EAP 위탁계약 개인정보 조항 체크리스트

개인정보·퇴직연금 · 실무 체크리스트

EAP 위탁계약 개인정보 조항 체크리스트

상담 신청정보·상담기록·기업 보고자료를 계약 단계에서 분리하는 HR·구매·법무 실무 기준

먼저 결론입니다. EAP 계약서에는 단순한 ‘비밀유지’ 문구만 넣어서는 부족합니다. 위탁업무의 범위, 처리하는 개인정보 항목, 목적 외 이용 금지, 재위탁, 접근권한, 보관·파기, 사고 통지, 점검권한을 문서로 정하고, 특히 회사가 받을 수 있는 운영보고와 받을 수 없는 개인 상담정보를 명확히 구분해야 합니다. 건강·심리 관련 정보는 민감정보가 될 수 있으므로 계약 체결 전에 정보 흐름과 처리 근거를 함께 검토해야 합니다.

📌 EAP 계약에서 개인정보 조항이 특히 중요한 이유

EAP는 일반 복리후생 서비스와 달리 상담 신청 과정에서 연락처, 소속, 이용일시 같은 기본정보와 심리·건강 상태에 관한 정보가 함께 생성될 수 있습니다. 회사가 비용을 부담한다는 이유만으로 개인별 상담 주제나 진술 내용을 받을 수 있는 것은 아닙니다. 「근로복지기본법」 제83조는 근로자지원프로그램 운영 과정에서 근로자의 비밀이 침해되지 않도록 익명성을 보장하도록 규정하고 있으며, 「개인정보 보호법」 제23조는 건강정보 등 민감정보의 처리를 제한합니다.

따라서 계약서의 핵심은 ‘수탁사가 안전하게 보관한다’는 선언이 아니라, 회사와 EAP 기관이 각각 어떤 정보를 왜 처리하고 어느 시점에 삭제하는지 검증 가능한 문장으로 만드는 것입니다. 실제 운영 담당자가 바뀌어도 같은 기준으로 판단할 수 있어야 합니다.

🔎 계약 전 먼저 그려야 할 정보 흐름

단계	발생 가능한 정보	주된 처리 주체	회사 제공 원칙
이용 안내	대상자 범위, 회사명, 인증 기준	회사·EAP 기관	서비스 이용에 필요한 최소 범위
상담 신청	성명 또는 식별값, 연락처, 희망 시간, 상담 유형	EAP 기관	개별 신청 여부는 원칙적으로 회사에 제공하지 않음
상담 진행	호소 문제, 평가·상담 기록, 상담자 메모	상담기관·상담자	개인 식별 상담내용은 운영보고에서 제외
비용 정산	이용 건수, 회기, 청구 금액	EAP 기관·회사	정산에 불필요한 상담내용 제거
운영 보고	기간별 이용건수, 범주화된 주제, 만족도	EAP 기관	소수 집단 재식별 위험을 검토한 집계정보
위기 대응	생명·신체 위험 관련 최소 정보	EAP 기관·지정 담당자	법령·사전 고지·내부 절차에 따른 필요 최소 범위

실무 포인트
‘상담기록’과 ‘서비스 운영기록’을 한 항목으로 쓰지 마세요. 접수·예약·정산 데이터와 상담자가 작성하는 전문기록의 접근자, 보관기간, 파기방법이 다를 수 있기 때문입니다.

🧾 반드시 확인할 계약 조항 12개

번호	조항	계약서에 적을 핵심	검토 질문
1	위탁 목적·범위	상담 접수, 제공, 정산, 통계 등 업무를 구체적으로 열거	‘EAP 운영 전반’처럼 범위가 과도하게 넓지 않은가?
2	처리 항목	단계별 필수·선택 항목과 민감정보 포함 여부	상담에 불필요한 사번·주민등록번호를 요구하지 않는가?
3	처리 근거·고지	동의 또는 법령 근거, 고지 책임과 양식	민감정보 동의가 다른 동의와 구분되어 있는가?
4	목적 외 이용 금지	마케팅, 모델 학습, 상품개발 등에 임의 사용 금지	서비스 개선이라는 포괄 문구로 2차 이용이 허용되지 않는가?
5	접근권한	직무별 최소 권한, 계정 회수, 로그 점검	상담자·운영자·개발자의 권한이 분리되어 있는가?
6	재위탁	사전 승인 또는 통지, 재수탁자 목록과 동일 의무	예약 플랫폼·클라우드·상담센터도 파악했는가?
7	국외 처리	국외 이전·보관 여부와 국가, 사업자, 보호조치	해외 SaaS 사용 여부를 계약 전에 확인했는가?
8	보관·파기	정보 유형별 기간, 계약 종료 시 반환·삭제, 파기 증빙	백업본과 로그도 파기 범위에 포함되는가?
9	안전조치	암호화, 전송보안, 접속기록, 취약점 관리, 교육	‘관련 법령 준수’ 외에 확인 가능한 기준이 있는가?
10	사고 대응	통지 기한, 초기 보고 항목, 조사 협조와 재발방지	야간·휴일 연락망과 최초 보고 책임자가 정해졌는가?
11	감독·점검	자료 제출, 정기 점검, 개선 요구와 이행 확인	위탁자가 법상 감독 의무를 수행할 수 있는가?
12	책임·종료	위반 책임, 손해배상, 데이터 이전·폐기, 계정 종료	계약 종료 후 접근권한이 즉시 회수되는가?

🔐 회사가 받아도 되는 보고와 받지 말아야 할 보고

원칙 1: 운영 목적에 필요한 집계정보만

회사는 계약관리와 제도 개선에 필요한 이용건수, 채널별 이용 현황, 만족도, 큰 범주의 이슈 비율 등을 받을 수 있습니다. 그러나 특정 부서의 이용자가 매우 적다면 부서·성별·직급을 결합한 통계만으로도 개인이 추정될 수 있습니다. 계약서에 최소 집계단위를 정하고, 기준 미만은 상위 조직과 합치거나 ‘표본 부족’으로 표시하도록 합니다.

원칙 2: 개인 확인이 필요한 예외는 별도 절차로

급박한 생명·신체 위험 등 예외 상황은 일반 월간보고와 섞지 않습니다. 위기 판단 기준, 근로자에게 사전 안내할 내용, 회사 내 연락 대상, 전달할 최소 정보, 전달 후 기록과 접근권한을 별도 절차서로 관리해야 합니다. 모든 고위험 호소가 곧바로 회사 통보 대상이라는 식의 포괄 조항은 비밀보장 신뢰를 훼손할 수 있습니다.

🤝 회사·EAP 기관의 역할을 나누는 방법

업무	회사	EAP 기관
대상자 안내	복지 대상과 채널 공지, 불이익 금지 안내	신청 시 처리방침·비밀보장·예외 설명
상담정보	개인별 상담내용을 요구하지 않음	상담기록 접근을 상담 목적 인력으로 제한
운영보고	목적과 필요한 지표를 사전 정의	재식별 위험을 검토해 집계·비식별 보고
정보주체 요청	접수 창구와 책임 소재 안내	열람·정정·삭제 요청에 계약상 기한 내 협조
사고 대응	법적 신고·통지 여부 결정과 대외 대응	즉시 통지, 범위 확인, 보존·차단, 조사 협조

👉 계약 문구를 검토하는 5단계

STEP 01

1. 실제 운영 프로세스를 인터뷰합니다

계약서 초안만 보지 말고 접수, 배정, 상담, 정산, 보고, 종료까지 누가 어떤 시스템을 사용하는지 확인합니다. 계약 문구와 실제 처리 흐름이 다르면 점검과 사고 대응이 작동하지 않습니다.

STEP 02

2. 정보 항목을 필수·선택·불필요로 나눕니다

회사 인증에 사번이 꼭 필요한지, 상담 배정에 부서명이 필요한지 질문합니다. 편의를 이유로 수집하는 항목은 대체 식별값이나 일회성 인증 방식으로 줄일 수 있는지 검토합니다.

STEP 03

3. 보고서 샘플을 계약 부속서에 붙입니다

‘통계 제공’만 적으면 운영 중 범위가 넓어지기 쉽습니다. 월간·분기 보고서 샘플에 허용 항목, 최소 표본, 소수값 숨김 기준을 표시하면 담당자 변경 시에도 기준을 유지할 수 있습니다.

STEP 04

4. 재위탁·클라우드 목록을 확인합니다

상담사가 속한 제휴센터, 예약 솔루션, 문자 발송사, 화상상담 도구, 클라우드 운영사가 실제 정보 처리에 관여하는지 확인합니다. 계약 후 변경 시 승인·통지 방식도 정합니다.

STEP 05

5. 종료 테스트까지 마칩니다

계약 종료일에 단순히 계정만 닫는지, 운영 데이터와 백업본까지 삭제되는지, 삭제확인서를 받을 수 있는지 점검합니다. 다른 업체로 이전할 데이터와 파기할 데이터를 구분합니다.

🗂 바로 쓸 수 있는 운영기록 예시

점검일	점검 대상	확인 자료	결과	개선 조치·기한
2026-09-03	재위탁 현황	재수탁자 목록, 업무 범위, 보관 위치	문자발송사 계약 부속서 누락	부속서 반영 / 9월 10일
2026-09-03	운영보고	전월 보고서 샘플	소규모 부서 수치 노출 가능	최소 집계 기준 적용 / 즉시
2026-09-03	퇴직·이동자 권한	계정 목록, 접속기록	회수 완료	분기별 재점검

점검 결과는 ‘적정/부적정’만 남기지 말고 근거 자료, 책임자, 기한, 이행 확인일을 함께 기록합니다. 위탁자는 개인정보 보호법 제26조에 따라 수탁자의 안전한 처리를 감독해야 하므로, 계약서에 점검권한이 있어도 실제 점검 기록이 없다면 운영 증빙이 약해집니다.

계약 부속서에 넣을 데이터 목록 예시

데이터 목록에는 항목명만 적지 말고 수집 시점, 필수 여부, 이용 목적, 열람 직무, 저장 위치, 보관기간, 파기 방법을 한 행에 연결합니다. 예를 들어 휴대전화 번호는 상담 일정 안내 목적으로 접수 담당자와 배정 상담자만 열람하고, 계약상 정한 기간이 끝나면 운영 시스템과 백업 정책에 따라 파기한다는 식입니다. 부서명은 집계보고에 꼭 필요한 경우에만 받고, 소수 부서의 재식별 위험이 크다면 사업장 단위 코드로 대체할 수 있습니다.

상담 주제도 자유서술 원문을 회사에 전달하기보다 사전에 합의한 넓은 범주로 집계합니다. 범주가 너무 세분되면 이용자가 적은 기간에 개인을 추정할 수 있으므로 월별 표본 수, 교차분석 허용 항목, 값 숨김 기준을 함께 적습니다. 보고서 작성자가 임의로 세부 사례를 넣지 않도록 사례 인용 금지 또는 별도 승인 절차도 정할 수 있습니다.

신규 수탁사 실사 질문 예시

상담 신청부터 종결까지 사용하는 시스템과 저장 위치는 어디인가?
상담자, 운영자, 개발자, 고객사 담당자의 화면과 권한은 어떻게 다른가?
퇴직·계약종료·역할 변경 시 권한 회수는 누가 언제 처리하는가?
제휴 상담센터와 개별 상담자에게 동일한 보안·비밀보장 의무가 적용되는가?
문자·이메일·화상상담·녹취 기능에서 별도의 개인정보가 남는가?
유출 의심을 처음 인지한 사람이 어느 채널로 몇 시간 안에 보고하는가?
계약 종료 후 운영 DB, 파일 저장소, 백업, 테스트 데이터의 파기를 어떻게 증명하는가?

변경관리까지 계약에 포함해야 합니다

서비스 도입 후 앱 기능, 인증 방식, 클라우드, 제휴 상담기관, 보고서 항목이 바뀌면 정보 흐름도 달라집니다. 신규 데이터 수집, 재위탁자 변경, 국외 처리, 인공지능 기능 도입, 상담 녹음처럼 위험이 커질 수 있는 변경은 적용 전에 회사에 알리고 검토받도록 계약에 기준을 둡니다. 경미한 변경과 사전 승인이 필요한 변경을 구분하면 모든 업데이트를 같은 절차로 처리하는 비효율도 줄일 수 있습니다.

분기 운영회의에서는 이용률만 보지 말고 접근권한 점검 결과, 재위탁 변경, 정보주체 요청, 보안사고 또는 오발송, 파기 실적, 개선조치 이행률을 함께 확인합니다. 사고가 없었다는 보고도 구두 확인으로 끝내지 않고 점검일과 담당자를 남기면 다음 계약 갱신 때 객관적인 평가자료가 됩니다.

⚠️ 자주 발생하는 계약 검토 실수

회사와 EAP 기관의 지위를 한 문장으로 처리: 각 처리 활동별 역할과 책임을 구분해야 합니다.
상담내용 제공 동의를 입사서류에 일괄 포함: 자유로운 선택과 별도 고지가 가능한지 다시 검토해야 합니다.
보고서 항목을 나중에 협의: 개인 추정 가능성이 있는 세부 통계가 관행적으로 추가될 수 있습니다.
보관기간을 ‘관련 법령에 따름’으로만 기재: 데이터 유형별 실제 기간과 기산점을 정해야 합니다.
재위탁을 IT 업체로만 이해: 지역 상담센터, 프리랜서 상담자, 예약·문자·화상도구도 확인 대상입니다.
위기 대응을 ‘필요 시 회사에 통보’로 규정: 판단 기준과 최소 제공 범위가 없어 과잉 공유 위험이 생깁니다.

✅ 계약 체결 전 최종 체크리스트

위탁 목적과 업무 범위가 실제 운영 흐름과 일치한다.
기본 개인정보와 건강·심리 관련 민감정보를 구분했다.
회사에 제공되는 집계지표와 최소 표본 기준을 정했다.
개인별 이용 여부와 상담내용은 일반 보고에서 제외했다.
재위탁 업체·국외 처리·클라우드 위치를 확인했다.
접근권한, 암호화, 접속기록, 계정 회수 기준을 확인했다.
사고 통지 시점과 최초 보고 항목, 비상 연락망을 정했다.
보관기간, 종료 시 파기, 백업본 삭제와 증빙 방식을 정했다.
정보주체 요청과 위기 대응의 책임자를 정했다.
정기 점검 일정과 개선조치 이행 확인 방법을 정했다.

체크 결과에서 하나라도 ‘미확인’이 나오면 곧바로 계약을 중단한다는 뜻은 아닙니다. 미확인 항목의 위험도를 정하고 계약 전 보완, 서비스 개시 전 보완, 개시 후 일정 내 보완으로 기한을 나눕니다. 다만 상담내용의 회사 제공 범위, 민감정보 처리 근거, 재위탁 구조, 사고 통지와 파기처럼 이용자의 권리에 직접 영향을 주는 항목은 서비스 개시 전에 명확히 하는 편이 안전합니다.

갱신 시에는 최초 계약서를 그대로 연장하지 말고 지난 기간의 실제 운영을 기준으로 조항을 다시 읽습니다. 당초 예상보다 많이 수집한 항목, 사용하지 않은 보고지표, 새로 추가된 협력사, 반복된 문의와 오발송, 파기가 지연된 데이터가 있는지 확인합니다. 이용자 안내문·개인정보 처리방침·상담 신청 화면·계약 부속서의 표현이 서로 다르면 같은 용어와 범위로 정리하고, 변경 내용을 다음 공지 전에 반영합니다.

최종 승인본에는 실무 책임자와 의사결정자를 구분해 두는 것이 좋습니다. HR은 제도 목적과 이용자 안내, 개인정보 담당자는 처리 근거와 보호조치, 구매는 재위탁·책임·종료 조건, 법무는 조항 정합성, 정보보안은 시스템 통제를 확인합니다. 어느 한 부서만 서명했다고 나머지 검토가 자동으로 완료되는 것은 아니므로 항목별 확인자와 승인일을 부속 체크리스트에 남기세요.

❓ 자주 묻는 질문

Q1. 직원별 이용 횟수만 받으면 괜찮나요?

이용 횟수도 특정 개인의 서비스 이용 사실을 드러낼 수 있습니다. 정산 목적이라도 회사가 개인 식별정보를 반드시 받아야 하는지 먼저 검토하고, 가능하면 익명 식별값과 집계 방식으로 설계하세요.

Q2. 상담 기록 보관기간은 회사 규정과 같아야 하나요?

반드시 같다고 단정할 수 없습니다. 자료의 성격, 처리 목적, 법적 근거, 전문기록 기준을 구분해 기간을 정하고, 회사가 상담기록 원본을 보유하는 구조는 신중히 검토해야 합니다.

Q3. 수탁사가 ISO 인증을 보유하면 점검을 생략해도 되나요?

인증은 참고 자료이지만 위탁자의 감독을 자동으로 대체하지 않습니다. 실제 EAP 업무 범위, 접근권한, 재위탁, 보고서, 파기 증빙을 계약과 정기 점검에서 확인해야 합니다.

Q4. 이용률이 낮을 때 개인별 홍보 대상 명단을 받을 수 있나요?

EAP 이용 여부를 기초로 개인을 선별하면 비밀보장 신뢰와 개인정보 문제가 생길 수 있습니다. 조직 전체 또는 직무·근무환경 단위로 안내를 개선하고, 개인별 이용정보 없이 접근성을 높이는 방식을 우선하세요.

🔗 함께 보면 좋은 실무 자료

EAP 계약서의 개인정보·비밀보장·운영보고 범위를 함께 점검해보세요.
조직 규모와 상담 운영 구조에 맞는 도입 설계가 필요하다면 넛지EAP 도입 문의에서 상담받을 수 있습니다.

📚 근거 자료 및 유의사항

확인 기준일: 2026년 9월 3일. 이 글은 일반적인 실무 검토를 위한 정보이며 개별 계약에 대한 법률 자문이 아닙니다. 실제 계약 전에는 최신 법령, 회사의 개인정보 처리방침, 수탁사의 실제 시스템과 처리 흐름을 기준으로 개인정보 보호책임자 및 법무 담당자와 검토하세요.

EAP 위탁계약개인정보 보호상담 비밀보장HR 체크리스트