데이터 처리 계약(DPA)

흔한 함정

• 1.하위 처리자 목록이 누락되거나 오래됨 — GDPR은 관리자가 실제로 누가 데이터에 접근하는지 알아야 한다고 요구.
• 2.침해 통지 기한이 모호함 — "가능한 한 빨리"는 성숙한 DPA에서 구체적인 시간(24, 48, 72)으로 대체됨.
• 3.감사권이 없거나 순수하게 가설적 — 관리자는 일반적으로 현장 감사나 최근 SOC 2 / ISO 27001 보고서가 필요.
• 4.국제 이전 메커니즘이 지정되지 않음 — Schrems II 이후 DPA는 메커니즘(SCC, 적정성 결정)을 명명하고 보완 조치를 다루어야 함.
• 5.종료 시 데이터 반환 또는 삭제가 선택 사항 — GDPR은 이를 필수로 함. DPA는 어느 것과 언제까지인지 명시해야 함.

자주 묻는 질문

DPA는 언제 법적으로 요구되나요?

관리자가 EU 또는 EEA 거주자의 개인 데이터를 처리하기 위해 처리자를 고용할 때마다. EU 외부의 관리자와 처리자도 EU 거주자의 데이터를 처리하는 경우 똑같이 해당됩니다. 영국은 UK GDPR 하에 거의 동일한 체제를 가지고 있습니다.

DPA와 서비스 계약의 차이는 무엇인가요?

서비스 계약(또는 기본 서비스 계약)은 상업적 관계 — 범위, 가격, SLA — 를 다룹니다. DPA는 특히 데이터 보호를 다루며 독립 문서, 부록 또는 주요 계약의 섹션이 될 수 있습니다. 대부분의 성숙한 SaaS 공급업체는 참조로 통합된 독립 DPA를 사용합니다.

고객마다 새로운 DPA가 필요한가요?

대부분의 공급업체는 모든 고객과 함께 사용하는 하나의 DPA 템플릿을 유지하며, 고객별 보충 사항(예: 특정 하위 처리자 목록이나 감사 빈도)만 협상합니다. 표준 DPA는 조달을 가속화합니다. 고객별 맞춤 DPA는 거래 주기를 상당히 늦춥니다.