데이터 처리 계약(DPA)
Data Processing Agreement · 제28조 계약 · GDPR DPA
데이터 처리 계약(DPA)은 관리자와 처리자 간의 계약으로, 관리자를 대신하여 개인 데이터를 어떻게 처리할 수 있는지를 정의합니다. GDPR 제28조에 따라 관리자가 처리자를 사용할 때 DPA는 필수이며, 주제, 기간, 범위 및 처리자의 의무를 다루어야 합니다.
DPA가 실제로 하는 일
DPA는 GDPR의 추상적인 처리자 의무를 구체적인 계약상 약속으로 번역합니다. 어떤 데이터를 왜 처리하는지, 얼마나 오래, 누가 하위 처리자로 간주되고 어떻게 승인되는지, 어떤 보안 조치가 적용되는지, 데이터 침해가 어떻게 보고되는지, 감사권이 어떻게 작동하는지, 관계 종료 시 무엇이 일어나는지, 국제 이전이 어떻게 처리되는지를 정의합니다. EU 지향 고객을 대신하여 개인 데이터를 저장하거나 처리하는 모든 SaaS 공급업체에게 규정 준수 DPA는 판매 전제 조건입니다 — 조달 팀은 DPA 없이는 서명하지 않습니다. 고객에게 DPA는 마케팅 페이지가 약속하는 보안 약속에 대해 공급업체를 법적으로 책임지게 하는 것입니다.
왜 중요한가
GDPR 과징금은 전 세계 매출의 백분율로 계산되며, DPA는 관리자가 규정 준수 위험을 할당하기 위해 사용하는 주요 계약 메커니즘입니다. 약한 DPA는 처리자가 데이터를 잘못 처리할 경우 관리자를 노출된 채로 둡니다. 강한 DPA는 구체적인 보안 약속, 감사권, 신속한 통지를 강제합니다. 공급업체에게 DPA 품질은 거래 규모의 예측자입니다: 엔터프라이즈 고객은 특정 하위 처리자 목록, 감사권 및 정의된 통지 기한이 있는 성숙한 DPA를 요구합니다. 일반 템플릿은 더 이상 엔터프라이즈 조달을 통과하지 못합니다.
흔한 함정
- 1.하위 처리자 목록이 누락되거나 오래됨 — GDPR은 관리자가 실제로 누가 데이터에 접근하는지 알아야 한다고 요구.
- 2.침해 통지 기한이 모호함 — "가능한 한 빨리"는 성숙한 DPA에서 구체적인 시간(24, 48, 72)으로 대체됨.
- 3.감사권이 없거나 순수하게 가설적 — 관리자는 일반적으로 현장 감사나 최근 SOC 2 / ISO 27001 보고서가 필요.
- 4.국제 이전 메커니즘이 지정되지 않음 — Schrems II 이후 DPA는 메커니즘(SCC, 적정성 결정)을 명명하고 보완 조치를 다루어야 함.
- 5.종료 시 데이터 반환 또는 삭제가 선택 사항 — GDPR은 이를 필수로 함. DPA는 어느 것과 언제까지인지 명시해야 함.
자주 묻는 질문
- DPA는 언제 법적으로 요구되나요?
- 관리자가 EU 또는 EEA 거주자의 개인 데이터를 처리하기 위해 처리자를 고용할 때마다. EU 외부의 관리자와 처리자도 EU 거주자의 데이터를 처리하는 경우 똑같이 해당됩니다. 영국은 UK GDPR 하에 거의 동일한 체제를 가지고 있습니다.
- DPA와 서비스 계약의 차이는 무엇인가요?
- 서비스 계약(또는 기본 서비스 계약)은 상업적 관계 — 범위, 가격, SLA — 를 다룹니다. DPA는 특히 데이터 보호를 다루며 독립 문서, 부록 또는 주요 계약의 섹션이 될 수 있습니다. 대부분의 성숙한 SaaS 공급업체는 참조로 통합된 독립 DPA를 사용합니다.
- 고객마다 새로운 DPA가 필요한가요?
- 대부분의 공급업체는 모든 고객과 함께 사용하는 하나의 DPA 템플릿을 유지하며, 고객별 보충 사항(예: 특정 하위 처리자 목록이나 감사 빈도)만 협상합니다. 표준 DPA는 조달을 가속화합니다. 고객별 맞춤 DPA는 거래 주기를 상당히 늦춥니다.
Attorly와의 DPA가 검토 준비 완료
Attorly는 GDPR 제28조를 준수하는 DPA를 제공하며, 저장 및 전송 시 암호화, Enterprise의 Bring-Your-Own-Key, 72시간 이내 침해 통지를 다룹니다.
Attorly의 DPA 보기