급여 계산과 명세서 발송을 위해 넘겨받은 직원 연락처를 업체 자신의 광고 문자에 쓰는 것은 개인정보 보호법이 금지하는 행위입니다. 개인정보 처리 업무를 위탁받은 업체는 위탁받은 업무 범위를 넘어 개인정보를 이용할 수 없습니다. 그리고 업무를 맡긴 회사도 위탁자로서 업체를 교육하고 감독할 의무를 집니다. 개인정보 보호법 제26조 제5항은 수탁자는 개인정보처리자로부터 위탁받은 해당 업무 범위를 초과하여 개인정보를 이용하거나 제3자에게 제공하여서는 아니 된다고 정합니다. 같은 조 제2항은 개인정보 처리 업무를 위탁받아 처리하는 자를 수탁자라고 부르고, 업무를 맡긴 개인정보처리자를 위탁자라고 부릅니다. 같은 조 제1항은 개인정보의 처리 업무를 위탁할 때 위탁업무 수행 목적 외 개인정보의 처리 금지에 관한 사항, 개인정보의 기술적·관리적 보호조치에 관한 사항 등이 포함된 문서로 하도록 정합니다. 같은 법 시행령 제28조 제1항은 이 문서에 담을 사항으로 위탁업무의 목적 및 범위, 위탁업무와 관련하여 보유하고 있는 개인정보의 관리 현황 점검 등 감독에 관한 사항, 수탁자가 준수하여야 할 의무를 위반한 경우의 손해배상 등 책임에 관한 사항 등을 정합니다. 질문에 적용해 보겠습니다. 회사가 업체에 맡긴 업무는 급여 계산과 급여명세서 발송입니다. 직원들의 이름과 휴대전화 번호는 그 업무를 위해 넘긴 것입니다. 업체가 이 연락처로 자기 회사의 다른 서비스를 광고하는 문자를 보낸 것은 위탁받은 업무에 해당하지 않으므로, 제26조 제5항이 금지하는 위탁 범위를 넘은 이용입니다. 계약서에 광고 문자 금지라는 말이 따로 없더라도, 이 금지는 법이 수탁자에게 직접 정한 것입니다. 회사 쪽 의무도 있습니다. 제26조 제4항은 위탁자가 업무 위탁으로 인하여 정보주체의 개인정보가 유출등이 되지 아니하도록 수탁자를 교육하고, 처리 현황 점검 등 대통령령으로 정하는 바에 따라 수탁자가 개인정보를 안전하게 처리하는지를 감독하도록 정합니다. 시행령 제28조 제6항은 위탁자가 수탁자가 개인정보 처리 업무를 수행하는 경우에 개인정보처리자가 준수하여야 할 사항과 법 제26조 제1항 각 호의 사항을 준수하는지를 감독하도록 정합니다. 목적 외 처리 금지는 제26조 제1항 각 호의 하나이므로, 회사는 업체가 이를 지키는지 감독해야 하는 자리에 있습니다. 또한 제26조 제1항과 시행령 제28조 제1항은 위탁을 위의 사항이 포함된 문서로 하도록 정하고 있으므로, 회사와 업체가 맺은 위탁 문서에도 목적 외 처리 금지, 위탁업무의 목적 및 범위, 의무 위반 시 손해배상 등 책임에 관한 사항이 들어 있어야 합니다. 업체의 이번 광고 문자 발송은 위탁 문서에 어떤 내용이 들어 있는지와 관계없이 제26조 제5항에 어긋나는 행위이고, 회사의 감독 의무 역시 제26조 제4항에 따라 위탁 기간 내내 이어집니다. 구체적인 사안은 변호사와 상담하시기 바랍니다. ※ 2026년 10월 현행 법령을 기준으로 정리한 일반 정보입니다. 개별 사안은 전문가와 상담하세요.