외주 상담사는 고객 개인정보를 어디까지 볼 수 있나요?
원청이 위탁한 업무에 필요한 범위까지입니다. 수탁자(외주 운영업체)는 위탁받은 업무 범위를 넘어 개인정보를 이용하거나 제3자에게 제공할 수 없고(개인정보 보호법 제26조 제5항), 다시 위탁하려면 원청 동의가 필요합니다(제6항). 원청은 위탁 업무와 수탁자를 공개하고(제2항), 수탁자를 교육·감독해야 합니다(제4항). 구체적으로 어떤 화면을 보는지는 회사 내부 설계라 공개되지 않습니다.
결과가 달라지는 조건 · 지금 할 일 · 2026-10-22 공식 자료로 확인
결과가 달라지는 조건
· 위탁 업무에 필요한 정보: 볼 수 있습니다.
· 업무와 무관한 조회·외부 전달: 위탁 범위 초과로 금지됩니다.
지금 할 일
- 원청 처리방침의 위탁 항목에서 고객센터 운영업체와 위탁 업무를 확인합니다.
- 내 정보가 업무와 무관하게 조회됐다고 의심되면 개인정보 보호책임자에게 접속기록 확인을 요청하고, 118에 상담합니다.
이어서 확인할 질문
회사가 책임집니다. 개인정보처리자가 법을 위반해 손해를 입히면 정보주체는 손해배상을 청구할 수 있고, 회사는 고의·과실이 없음을 입증하지 못하면 책임을 면할 수 없습니다(개인정보 보호법 제39조 제1항). 외주 운영업체가 위탁 업무 중 법을 위반해 생긴 손해배상책임은 그 수탁자를 원청의 소속 직원으로 봅니다(제26조 제7항). 고의·중과실로 유출되면 법원은 손해액의 5배 이내에서 배상액을 정할 수 있습니다(제39조 제3항).
권한개인정보를 처리하는 회사는 개인정보처리시스템의 접근 권한을 부여·변경·말소하는 기준을 세우고 지켜야 합니다(개인정보 보호법 제29조, 시행령 제30조). 그래서 상담사는 맡은 업무에 필요한 화면만 볼 수 있게 설정되는 경우가 많습니다. 외주 상담사는 위탁받은 업무 범위를 넘어 개인정보를 이용할 수도 없습니다(제26조 제5항). 상담사가 정보를 못 본다면, 그 정보를 볼 수 있는 부서로 이관해 달라고 요청하면 됩니다.
개인정보전달될 수 있습니다. 다만 요건이 있습니다. 개인정보를 국외로 제공·처리위탁·보관(조회 포함)하는 것은 원칙적으로 금지되고, 별도 동의나 법이 정한 예외가 있어야 합니다(개인정보 보호법 제28조의8 제1항). 계약 체결·이행에 필요한 처리위탁·보관이라면 이전 항목, 국가·시기·방법, 받는 자의 명칭·연락처, 이용 목적·보유기간, 거부 방법 등을 처리방침에 공개하거나 알리면 이전할 수 있습니다(제1항 제3호, 제2항). 해외 고객센터가 실제로 늘고 있는지는 공식 통계를 확인하지 못해 조사 중입니다.
왜 이렇게 처리되나
· 위탁 문서(제26조 제1항): 목적 외 처리 금지, 기술적·관리적 보호조치 등을 담아야 합니다.
· 안전조치(제29조, 시행령 제30조): 접근 권한 부여 기준, 접속기록 보관 등은 수탁자에게도 준용됩니다(제26조 제8항).
· 손해배상(제26조 제7항): 수탁자가 위탁 업무 처리 중 법을 위반해 발생한 손해배상책임은 수탁자를 원청의 소속 직원으로 봅니다.
외주 상담사가 직영 상담사보다 적은 정보를 본다는 일반적인 근거는 AMS가 확인하지 못했습니다. 다만 위탁 범위가 좁게 정해지면 상담사가 볼 수 있는 정보도 줄어듭니다.
누가 판단하나 — 소비자 몫과 사업자 사이 몫
위탁 범위는 원청이 정하고, 위반 여부는 개인정보보호위원회가 판단합니다.
확인된 사실과 공개되지 않은 것
- 개인정보 보호법 제26조 제5항: 수탁자는 위탁받은 해당 업무 범위를 초과하여 개인정보를 이용하거나 제3자에게 제공해서는 안 됩니다.
- 개별 회사의 외주 상담사 화면 접근 범위
이런 일이 왜 반복되는지 궁금하다면 AMS 분석: 고객센터는 왜 이렇게 운영될까 — 외주·권한·AI·보상의 비용 구조, 고객탐정에서 돈과 책임이 어떻게 나뉘는지 이어서 볼 수 있습니다.
사람들이 이것도 물어봐요
회사마다 다르며, 일괄적으로 "쓴다" 또는 "안 쓴다"고 말할 수 없습니다. 법적으로는 회사가 개인정보를 수집 목적 범위에서만 이용할 수 있고(개인정보 보호법 제15조), 그 범위를 넘으면 별도 동의 등 예외가 있어야 합니다(제18조). 상담 처리를 위해 받은 대화를 AI 모델 학습에 쓰는 것이 원래 목적 범위에 들어가는지는 처리방침의 이용 목적 기재와 구체적 처리 방식에 따라 달라집니다. 먼저 처리방침에서 "상담 내용"의 이용 목적과 보유기간을 확인하세요.
개인정보모든 회사가 모든 통화를 녹음하는지는 확인할 수 없습니다. 통화 연결 전 "녹음됩니다" 안내가 나오는 경우가 많지만 회사마다 다릅니다. 법적으로 통신비밀보호법이 금지하는 것은 "공개되지 아니한 타인간의 대화"의 녹음입니다(제3조, 제14조). 대법원은 대화에 참여한 사람이 녹음하는 경우 다른 사람의 발언은 녹음자와의 관계에서 타인간의 대화가 아니라고 봤습니다(2006도4981). 다만 녹음 파일도 개인정보이므로 회사는 수집 목적·보유기간 등을 지켜야 합니다(개인정보 보호법 제15조).
개인정보요구할 수 있습니다. 회사가 처리하는 내 개인정보에 대한 열람을 요구할 수 있고(개인정보 보호법 제35조 제1항), 회사는 대통령령이 정한 기간 안에 열람하게 해야 합니다(제3항). 상담 녹취에는 내 음성과 상담 내용이 들어 있어 열람 대상이 될 수 있습니다. 다만 다른 사람의 생명·신체를 해할 우려나 다른 사람의 재산과 그 밖의 이익을 부당하게 침해할 우려가 있으면 회사가 사유를 알리고 제한하거나 거절할 수 있습니다(제4항). 녹취가 이미 보유기간이 지나 파기됐다면 받을 수 없습니다.
개인정보녹취 파일의 보관기간은 회사가 처리방침에 정하며, 회사마다 다릅니다. 모든 녹취에 일괄 적용되는 법정 보관기간 조문은 AMS가 확인하지 못했습니다. 관련된 법정 기준은 있습니다. 전자상거래 사업자는 소비자의 불만 또는 분쟁처리에 관한 기록을 3년간 보존해야 합니다(전자상거래법 시행령 제6조 제1항 제4호). 녹취가 이 "기록"에 해당하는지는 회사의 기록 방식에 따라 다릅니다(INFERRED). 보유기간이 지나거나 목적을 달성하면 지체 없이 파기해야 합니다(개인정보 보호법 제21조).
개인정보요청할 수 있습니다. 자신의 개인정보를 열람한 정보주체는 정정 또는 삭제를 요구할 수 있고, 회사는 지체 없이 조사해 조치한 뒤 결과를 알려야 합니다(개인정보 보호법 제36조). 다만 다른 법령에서 수집 대상으로 정한 정보는 삭제를 요구할 수 없고(제36조 제1항 단서), 전자상거래 사업자는 거래기록과 관련 개인정보를 동의 철회 후에도 보존할 수 있습니다(전자상거래법 제6조 제2항). 불만·분쟁처리 기록은 3년 보존 대상입니다(시행령 제6조).
출처
- 개인정보 보호법 제26조(업무위탁에 따른 개인정보의 처리 제한) — 시행본 원문 — 국가법령정보센터 · 법령·생활법령정보
- 개인정보 보호법 제29조(안전조치의무) — 시행본 원문 — 국가법령정보센터 · 법령·생활법령정보
- 개인정보 보호법 시행령 제30조(개인정보의 안전성 확보 조치) — 시행본 원문 — 국가법령정보센터 · 법령·생활법령정보
이 페이지의 수치·기한은 2026-10-22에 위 출처로 재확인했습니다.