교육기관 개인정보 위탁 시 계약서에 넣어야 할 항목
결론: LMS 업체에 학습자 개인정보 처리를 맡길 때는 개인정보보호법상 위탁 계약서에 위탁 업무 범위, 안전조치, 재위탁 제한, 관리·감독, 손해배상, 반환·파기 항목을 넣어야 합니다. 계약서 점검표와 실무 문구 예시를 정리했습니다.
결론부터: 왜 위탁 계약서가 필요한가요?
교육기관이 LMS 업체의 서비스를 이용해 학습자 정보를 관리하면, 법적으로는 교육기관이 개인정보 처리를 업체에 '위탁'하는 관계가 됩니다. 개인정보 보호법은 위탁 시 문서로 정해야 할 내용을 규정하고 있으므로, 일반 서비스 이용약관과 별도로 개인정보 처리 위탁 계약서(또는 계약서 내 위탁 조항)를 갖추는 것이 안전합니다. 구체적인 조항은 기관의 법무 담당자나 전문가 검토를 거치는 것을 권장합니다.
계약서에 어떤 항목을 넣어야 하나요?
| 항목 | 담아야 할 내용 | 점검 포인트 |
|---|
| 위탁 업무 범위 | LMS 운영, 회원 관리 등 맡기는 업무 | 목적 외 이용 금지 명시 |
| 처리하는 개인정보 | 이름, 연락처, 수강·수료 기록 등 | 꼭 필요한 항목만 |
| 기술적·관리적 안전조치 | 암호화, 접근 권한 관리, 접속 기록 보관 | 구체적인 조치 목록 첨부 |
| 재위탁 제한 | 다른 업체에 다시 맡길 때 사전 동의 | 클라우드 등 재위탁처 공개 |
| 관리·감독 | 교육·점검, 자료 제출 요청 권한 | 점검 주기 합의 |
| 사고 통지 | 유출 등 사고 발생 시 통지 시점·방법 | 담당 창구 지정 |
| 손해배상 | 위반 시 책임 범위 | 책임 한도 확인 |
| 반환·파기 | 계약 종료 시 데이터 반환 형식·기한, 파기 확인 | 파기 확인서 발급 |
실무에서 특히 신경 써야 할 조항은 무엇인가요?
① 반환·파기 — 계약이 끝난 뒤 데이터를 어떤 형식(CSV 등)으로 언제까지 돌려받는지, 업체 보관 사본은 언제 파기하고 어떻게 확인받는지를 정해 두어야 나중에 업체를 바꿀 때도 문제가 없습니다. ② 사고 통지 — 기관이 정보주체 통지·신고를 제때 할 수 있도록, 업체가 사고를 인지한 뒤 기관에 알리는 절차를 구체적으로 적습니다. ③ 재위탁 — 업체가 쓰는 클라우드 등 재위탁처를 목록으로 받아 둡니다.
계약 후에는 무엇을 관리하나요?
위탁 사실과 수탁 업체는 개인정보 처리방침에 공개해야 합니다. 또한 연 1회 이상 업체로부터 안전조치 이행 현황을 받아 보거나 점검하는 절차를 운영하면 관리·감독 의무를 이행한 근거가 됩니다.
웹헤즈와 계약할 때는 어떻게 하나요?
웹헤즈의 개인정보 보호 조치는 보안 센터에 공개되어 있으며, 계약 시 보안 사양서를 요청할 수 있습니다. 업체 변경을 함께 검토 중이라면 LMS 이전 지원 페이지를 참고하세요.
관련 글
주식회사 웹헤즈 · 대표전화 02-540-4337 · 도입 문의