가명정보 제공 업무위탁 계약서

시흥도시공사(이하 “위탁자”이라 한다)와 ○○○(이하 “수탁자”라 한다)는 “위탁자”의 가명정보를 “수탁자”에게 제공함에 있어 다음과 같은 내용으로 본 업무위탁 계약을 체결한다.

제1조(목적) 이 계약은 “수탁자”가 가명정보를 “위탁자”에게 신청하고, “위탁자”는 이를 승낙하여 “수탁자”의 책임아래 성실하게 업무를 완성하도록 하는데 필요한 사항을 정함을 목적으로 한다.

제2조(용어의 정의) 본 계약에서 별도로 정의되지 아니한 용어는 「개인정보 보호법」, 동 법 시행령 및 시행규칙, 「개인정보의 안전성 확보조치 기준」(개인정보보호위원회 고시 제2020-8호), 「표준 개인정보 보호지침」(개인정보보호위원회 고시 제2020-1호)에서 정의된 바에 따른다.

제3조(위탁업무의 목적 및 범위) “수탁자”는 계약이 정하는 바에 따라 ○○○ 목적으로 다음과 같은 가명정보를 이용하며 이 외 가명정보의 이용은 엄격히 금지한다.

1. 통계작성, 과학적 연구, 공익적 기록보존 등에 한함

제4조 (위탁업무 기간) 이 계약서에 의한 가명정보의 이용기간은 다음과 같다.

계약기간 : 202○년 ○○월 ○○일 ~ 202○년 ○○월 ○○일

제5조(재위탁 제한) ① “수탁자”는 제공받은 정보의 재위탁(재제공)은 원칙적으로 금지한다.

② “수탁자”는 “위탁자”의 사전 승낙을 얻은 경우를 제외하고, “위탁자”와의 계약상의 권리와 의무의 전부 또는 일부를 제3자에게 양도하거나 재위탁할 수 없다.

③ “수탁자”가 재위탁을 위해 제3의 수탁회사를 선임한 경우, “수탁자”는 해당 사실을 계약 체결 7일 이전에 “위탁자”에게 통보하고 협의 및 승인받아야 한다.

제6조(개인정보 및 가명정보의 안전성 확보조치) “수탁자”는 「개인정보 보호법」 제29조 및 제28조의 4, 동 법 시행령 제30조 및 개인정보의 안전성 확보조치 기준 고시(개인정보보호위원회 고시 제2021-2호)에 따라 개인정보의 안전성 확보에 필요한 관리적․기술적 조치를 취하여야 한다.

제7조(가명정보의 처리제한) ① “수탁자”은 계약기간은 물론 계약 종료 후에도 위탁업무의 목적 및 범위를 넘어 가명정보를 이용하거나 이를 제3자에게 제공 또는 누설하여서는 안 된다.

② “수탁자”은 계약이 해지되거나 또는 계약기간이 만료된 경우 위탁업무와 관련하여 보유하고 있는 가명정보를「개인정보 보호법」시행령 제16조 및 「개인정보의 안전성 확보조치 기준」(개인정보보호위원회 고시 제2021-2호)에 따라 즉시 파기하거나 “위탁자”에게 반납하여야 한다.

③ 제2항에 따라 “수탁자”이 가명정보를 파기한 경우 지체없이 “위탁자”에게 그 결과를 통보하고 파기확인서를 제출하여야 한다.

제8조(수탁자에 대한 관리·감독 등) ① “위탁자”는 “수탁자”에 대하여 다음 각 호의 사항을 감독할 수 있으며, “수탁자”는 특별한 사유가 없는 한 이에 응하여야 한다.

1. 가명정보의 처리 현황에 관한 전수조사 및 점검

2. 가명정보의 기술적·관리적 보호조치에 관한 사항 준수 여부

3. 가명정보의 접근 또는 접속기록의 보관·기록 여부

4. 가명정보의 접근통제 및 가명정보취급자 관리·감독 여부

5. 위탁업무 수행 목적 외 가명(개인)정보의 처리 금지 여부

6. 목적 외 이용·제공 및 재식별 금지 및 계약서 상 명시, 인지 여부

7. 재제공 또는 재위탁 가능범위 제한 여부
8. 재식별 위험 발생 시 가명정보 처리 중지 및 통지 의무 준수 여부

9. 계약에 따른 의무를 위반한 경우 손해배상 등 관련 사항 인지 여부
10. 그 밖에 가명정보의 보호를 위하여 필요한 사항

② “위탁자”은 “수탁자”에 대하여 제1항 각 호의 사항에 대한 실태를 점검하여 시정을 요구할 수 있으며, “수탁자”은 특별한 사유가 없는 한 이행하여야 한다.

③ “위탁자”은 처리위탁으로 인하여 정보주체의 가명정보가 분실·도난·유출·변조 또는 훼손되지 아니하도록 「개인정보의 안전성 확보조치 기준」(개인정보보호위원회 고시 제2021-2호)에 따라 1년에 1회 이상 “수탁자”를 교육할 수 있으며, “수탁자”는 이에 응하여야 한다.

④ 제1항에 따른 교육의 시기와 방법 등에 대해서는 “위탁자”은 “수탁자”과 협의하여 시행한다.

제9조(재식별 금지) ① “수탁자”은 “위탁자”로부터 제공받은 가명정보를 ○○○ 목적으로 안전하게 이용하고, 이를 이용해서 개인을 재식별하기 위한 어떠한 행위도 하여서는 아니 된다.

② “위탁자”로부터 제공받은 정보의 재위탁(재제공)은 원칙적으로 금지한다. 다만 불가피한 사유로 이를 재위탁(재제공)하고자 하는 경우에는 사전에 “위탁자”의 동의를 얻어야 하며, 이 경우 “수탁자”는 재식별 방지를 위해 필요한 조치를 하여야 한다.

③ “수탁자”은 “위탁자”로부터 제공받은 정보가 재식별 되거나 재식별 가능성이 현저하게 높아지는 상황이 발생하면 즉시 해당 정보의 처리를 중단하고 관련 사항을 “위탁자”에게 알리며, 필요한 협조를 하여야 한다.

④ “수탁자”은 제1항에서 제3항까지의 사항을 이행하지 않아 발생하는 모든 결과에 대해 형사 및 민사상 책임을 진다.

제10조(가명정보의 파기) ① “수탁자”는 제4조의 위탁업무기간이 종료되면 특별한 사유가 없는 한 지체 없이 가명정보를 파기하고 파기확인서를 “위탁자”에게 즉시 제출하여야 한다.

② “위탁자”는 파기 확인을 위해 “수탁자”에게 실제 확인 여부를 요청할 수 있으며, “수탁자”는 이에 적극적으로 협력(파기전문 프로그램 사용기록, 파기업무 수행기록(로그)의 공동 확인 등)하여야 한다.

제11조(손해배상) ① “수탁자” 또는 “수탁자”의 임직원 및 “수탁자”의 수탁자가 이 계약에 의하여 위탁 또는 재위탁(재제공)받은 정보를 취급함에 있어 이 계약에 따른 의무를 위반하거나 “수탁자” 또는 “수탁자”의 임직원 및 “수탁자”의 수탁자의 귀책사유로 인하여 재식별시 “위탁자” 또는 개인정보주체 기타 제3자에게 손해가 발생한 경우 “수탁자”은 그 손해를 배상하여야 한다.

② 제1항과 관련하여 개인정보주체 기타 제3자에게 발생한 손해에 대하여 “위탁자”가 전부 또는 일부를 배상한 경우에 “위탁자”은 이를 “수탁자”에게 구상할 수 있다.

제12조(비용의 지급) ① “수탁자”는 “위탁자”에게 부속합의서에서 정한 방법 등에 따라 비용을 지급한다.

② “위탁자”는 제1항에 따라 “수탁자”로부터 수령한 금원을 “위탁자”의 연구 활동비, 정보보호 및 보안시스템과 분석시스템 등 정보시스템의 구축과 보완, 정보주체의 권익보호 등에 사용한다.

제13조(분쟁의 해결) ① 당사자 일방은 상대방이 본 계약을 위반한 경우 상대방에게 서면으로 일정한 기간을 정하여 시정을 최고하고, 그 기간 내 이를 시정하지 않는 때에는 본 계약을 해지할 수 있으며 최고를 하지 않은 경우라도 해당 위반과 관련된 상대방의 의무나 책임을 면제하는 것이 아니다.

② 본 계약과 관련하여 양 당사자간 분쟁이 발생한 경우 상호 신의성실에 따라 합의하여 해결하되, 합의에 의해 분쟁이 해결되지 않는 경우에는 소송에 의해 해결한다. 소송을 제기할 경우 관할법원은 “위탁자”의 관한법원으로 한다.

본 계약의 내용수탁자 증명하기 위하여 계약서 2부를 작성하고, “위탁자”와 “수탁자”가 서명 또는 날인한 후 각 1부씩 보관한다.

2022년     월    일

위 탁 자	수 탁 자
시흥도시공사 경기도 시흥시 시흥대로 268번길8 공공청사 성 명 : (인)	㈜○○○ ○○시 ○○구 ○○동 ○○번지 성 명 : (인)