제작 업체의 재하청 여부 확인

작업별 실제 수행 주체를 묻는 기준

제작 업체의 재하청 여부는 작업별 실제 수행 주체를 서면으로 물어 확인하는 방식으로 접근해야 합니다. 개인정보 처리까지 다시 맡긴다면 재수탁자와 맡긴 업무, 동의 기록을 대조해야 합니다. 병원 실장은 디자인과 개발처럼 맡길 작업을 구분한 뒤, 계약할 업체가 직접 수행하는 작업과 다른 곳에 맡기는 작업을 각각 답하도록 요청합니다.

업체가 프로젝트 전체를 관리한다는 설명만으로는 누가 제작하는지 알기 어렵습니다. 병원은 연락을 받는 담당자와 결과물을 만드는 주체를 구별해 질문합니다. 업체가 사용하는 ‘협력사’나 ‘전문 파트너’라는 표현도 그대로 받아들이지 말고, 어느 작업을 수행한다는 뜻인지 구체적인 답변을 받습니다.

이 표는 병원이 업체에 보낼 질문을 구성하는 실행 제안입니다. 병원은 실제 요청할 작업만 남기고, 한 작업을 여러 주체가 나눠 수행한다면 각각 맡는 범위를 추가로 받습니다. ‘개발 일부’처럼 범위를 특정하기 어려운 답변에는 기능명이나 산출물 이름을 기재하도록 요청합니다.

제작 재하청과 개인정보 재위탁의 구별

다른 업체가 제작에 참여한다는 사실과 개인정보 처리업무를 다시 맡긴다는 사실은 구별해야 합니다. 디자인 파일을 만드는 일인지, 병원의 개인정보를 처리하는 업무까지 맡는지에 따라 요청할 자료가 달라집니다. 병원 담당자는 작업 이름뿐 아니라 전달할 자료와 접근할 수 있는 정보도 함께 질문합니다.

개인정보보호위원회의 개인정보 처리방침 작성지침은 작성 예시에서 재위탁 제한과 관리·감독 등 관련 사항을 계약서 등 문서에 명시하는 내용을 제시합니다. 같은 예시는 개인정보 처리업무를 재위탁할 때 개인정보처리자의 동의를 받고 재수탁자와 맡기는 업무를 공개하는 내용도 담고 있습니다. 다만 병원은 제작을 다시 맡긴다는 설명만으로 해당 관계를 단정하지 않고, 실제 업무와 자료 접근 범위를 받아 개인정보 담당자에게 전달합니다.

재하청이 있다는 이유만으로 부실 제작이나 법 위반으로 판정하지 않습니다. 반대로 업체의 서면 답변만으로 드러나지 않은 재하청이 없다고 보장할 수도 없습니다. 병원은 답변으로 특정할 수 있는 수행 주체와 아직 설명이 부족한 작업을 구분해 기록합니다.

질문부터 서면 답변까지의 실행 순서

병원 실장은 업체에 질문하기 전에 제작 요청 목록과 전달 예정 자료 목록을 준비합니다. 목록에는 화면이나 기능 이름, 병원이 제공할 자료, 업체가 사용할 작업 환경을 기재합니다. 개인정보 포함 여부가 불분명한 자료는 임의로 분류하지 않고 병원 개인정보 담당자에게 판단을 요청합니다.

1. 제작 요청 목록을 보내 작업별 실제 수행 주체를 질문합니다. 업체가 직접 하는 일과 다른 곳에 맡기는 일을 같은 목록에서 구분하도록 요청합니다.
2. 재하청 범위와 개인정보 처리 여부를 서면으로 받습니다. 자료 전달이나 접근이 예정되어 있다면 대상 자료와 수행 주체, 작업 내용을 함께 기재하도록 요청합니다.
3. 개인정보 처리업무의 재위탁에 해당한다면 동의 기록과 공개 목록을 대조합니다. 명칭이나 업무가 일치하지 않는 항목은 업체에 설명을 요청하고 병원 개인정보 담당자에게 전달합니다.

업체가 ‘필요하면 외주를 사용한다’고 답하면 병원은 확정된 작업과 아직 결정되지 않은 작업을 나눠 받습니다. 미정인 항목에는 결정 결과를 병원에 전달할 시점과 연락 담당을 정하도록 요청합니다. 미정이라는 답을 직접 수행한다는 뜻으로 기록하지 않습니다.

개인정보 재위탁 문서의 대조 항목

개인정보 담당자는 업체의 업무 설명과 관련 문서, 병원의 개인정보 처리방침을 함께 준비합니다. 동의를 요청한 내용과 동의한 범위를 식별할 수 있는 기록도 대상에 포함합니다. 특정 서식을 공식 요건으로 단정하지 않고, 기록에서 누구에게 어떤 업무를 다시 맡기는지 읽을 수 있는지를 따집니다.

지침은 위탁받는 자를 모두 공개하지 않거나 맡긴 업무 내용을 누락한 경우를 잘못 작성된 사례로 제시합니다. 다만 병원은 문구가 다르다는 이유만으로 누락을 확정하지 않고, 해당 표현이 가리키는 업체와 업무를 설명받습니다. 설명을 받은 뒤에는 문서를 정정할 항목과 내부 기록을 보완할 항목을 구분합니다.

수행 주체 변경 시 남길 기록

제작 중 수행 주체가 변경되면 병원은 변경 전후의 명칭, 새로 맡는 업무, 참여 시기를 기록합니다. 업체가 인력 사정만 설명한다면 병원 실장은 영향을 받는 작업과 자료 접근 범위를 추가로 요청합니다. 개인정보 처리와 관련된 변경 내용은 개인정보 담당자에게 별도로 전달합니다.

이때 최신 문서끼리만 대조하면 과거 작업을 누가 수행했는지 판단하기 어렵습니다. 병원은 작업이 진행된 시기의 답변과 변경 통지를 함께 보관하고, 현재 상태와 과거 상태를 구분해 기재합니다. 날짜가 없는 답변에는 언제부터 적용되는 설명인지 업체에 묻습니다.

지침은 개인정보 처리방침의 각 버전이 적용된 기간을 알 수 있도록 안내합니다. 또 영향이 경미한 수탁자나 재수탁자 목록의 변경을 모아 안내하는 경우에도 위탁 또는 재위탁의 시작과 종료 시기를 구체적으로 기재하도록 설명합니다. 다만 병원은 이를 모든 제작 재하청의 공통 공개 절차로 확대하지 않고, 개인정보 처리방침과 해당 목록을 읽는 기준으로 사용합니다.

서면 답변과 진행 기록의 불일치

작업 회신에 처음 듣는 업체명이 등장해도 곧바로 숨겨진 재하청으로 단정하지 않습니다. 병원 실장은 그 주체가 결과물을 제작하는지, 전달만 하는지, 개인정보 처리업무에 참여하는지 업체에 묻습니다. 역할 설명을 받은 뒤 앞에서 정한 기준에 따라 추가 문서가 필요한지 결정합니다.

업체 설명과 작업 기록이 충돌하면 병원은 충돌한 항목을 그대로 남기고 정정 답변을 요청합니다. 정정 답변에는 이전 설명과 달라진 내용, 변경 이유, 적용 시기를 기재하도록 제안합니다. 업체가 해소하지 못한 차이는 ‘미해결’로 기록하고, 해당 작업의 진행 여부를 병원 책임자에게 결정하도록 요청합니다.

재하청이 없다는 답변의 적용 범위

‘재하청 없음’이라는 답변에도 어떤 작업과 시점에 대한 설명인지 범위가 필요합니다. 업체가 현재 진행 중인 디자인만 기준으로 답했다면, 병원이 의뢰할 전체 작업에 대한 답으로 확대하지 않습니다. 병원 실장은 질문 목록을 답변 문서와 함께 보관해 두 문서가 가리키는 업무가 같은지 판단합니다.

또한 업체가 제안 단계에서는 직접 제작을 예정했더라도 이후 업무 배분이 달라질 수 있습니다. 병원은 최초 답변을 계속 유효한 확약으로 취급하기보다, 수행 주체가 달라질 때 통지할 항목을 업체와 정합니다. 기존 답변은 삭제하지 않고 변경된 답변과 구분해 기록합니다.

자주 묻는 질문

재하청 업체와 병원이 직접 연락해야 합니까?

직접 연락을 반드시 기본 절차로 정할 필요는 없습니다. 계약한 업체가 재하청 업체의 답변을 취합하고 병원에 설명하도록 요청할 수 있습니다. 직접 기술 협의가 필요하다면 계약한 업체도 협의 내용과 결정 사항을 전달받도록 연락 방식을 정합니다.

재하청 업체가 개인 사업자여도 명칭을 받아야 합니까?

실제 수행 주체를 구별할 수 있도록 사업체의 명칭과 맡는 업무를 요청합니다. 개인정보 재위탁과 관련해서는 지침의 작성 예시가 법인명 또는 명칭을 공개 항목으로 제시합니다. 일반 제작 질문에서는 개인의 사적인 정보까지 요구하지 않고 업무 주체를 특정하는 데 필요한 내용을 받습니다.

업체가 영업 비밀을 이유로 답변을 거절하면 어떻게 합니까?

병원은 외부 업체의 단가나 거래 조건보다 수행 주체와 맡기는 범위에 관한 설명을 요청합니다. 업체가 일부 내용을 공개하기 어렵다고 답하면 거절한 항목과 이유를 서면으로 받습니다. 필요한 업무 설명까지 확보할 수 없다면 병원 책임자가 그 상태로 해당 작업을 맡길지 결정합니다.

실제 개인정보 대신 시험 자료를 쓰면 무엇을 기록합니까?

병원은 시험 자료의 출처와 구성, 실제 개인정보를 포함하는지 기록합니다. 이름만 변경한 자료는 다른 항목에 개인정보가 남아 있을 수 있으므로 시험용이라는 명칭만으로 판단하지 않습니다. 실제 정보의 포함 여부가 불분명하면 전달 전에 개인정보 담당자가 자료 사용 범위를 결정합니다.

해외 업체가 제작에 참여하면 어떤 설명을 더 요청합니까?

병원은 제작 참여 사실과 개인정보를 국외에 맡기는 상황을 구별할 수 있도록 업무와 자료 처리 장소를 요청합니다. 지침의 작성 예시는 개인정보 처리업무를 국외에 위탁하는 경우 국외 수집 및 이전에 관한 항목에서 안내하는 내용을 제시합니다. 실제로 해당하는지는 해외 참여 사실만으로 단정하지 않고 병원 개인정보 담당자에게 판단을 요청합니다.

이어서 읽을 주제

병원 AI 도구 선택을 이어 읽으면 제작 업체의 참여 주체를 질문하는 것과 별개로, 병원이 사용할 도구에 어떤 자료를 입력하고 누구에게 전달하는지 결정할 때 필요한 질문을 정리할 수 있습니다. 도구 사용을 제안받았을 때 병원 담당자가 결정할 범위를 구체화하는 데 참고합니다.