데이터 처리위탁 계약서

개인정보 처리위탁 계약서(DPA)는 개인정보를 어떻게 쓸지 정하는 쪽(위탁자)과 그 일을 대신 맡아 처리하는 쪽(수탁자) 사이의 계약서입니다. 흔한 경우는 고객이나 직원의 개인정보를 저장·처리하기 위해 호스팅 업체, 급여 대행사, 메일 발송 서비스, 클라우드 소프트웨어 업체를 쓰는 기업입니다. 정보주체는 수탁자를 직접 보지 못하고 위탁자가 통제권을 유지할 것이라고 믿으므로, 많은 나라의 개인정보 보호 관련 법이 이런 관계를 서면으로 하고 정해진 사항을 담도록 요구합니다.

이 서식은 그 사항을 쉬운 말로 담았습니다. 수탁자는 위탁자의 지시에 따라서만 처리하고, 비밀을 지키고, 별지에서 체크한 안전조치를 적용하고, 합의한 재수탁자만 쓰고, 정보주체의 요청에 협조하고, 유출 시 정한 시간 안에 위탁자에게 알리고, 종료 시 삭제하거나 반환하고, 점검을 받아들이며, 승인이나 보호 장치 없이는 국외로 이전하지 않습니다. 귀하가 위탁자인지 수탁자인지 고르면 어느 쪽에서든 같은 조항이 쓰입니다. 나라별 버전은 EU·독일의 GDPR 제28조, 영국의 UK GDPR, 한국의 개인정보 처리위탁 규정, 일본의 위탁처 감독 의무, 캘리포니아의 서비스 제공자 규정을 안내합니다.

• 호스팅, 클라우드 도구, 급여 대행, 메일 발송처럼 고객·직원의 개인정보를 대신 처리할 업체를 쓸 때
• 소프트웨어나 서비스 제공자로서 고객이 계약 전에 처리위탁 계약서를 요구할 때
• 개인정보를 새 업체로 옮기면서 지시, 안전조치, 삭제 규칙을 서면으로 정하고 싶을 때
• 감사, 은행, 대형 고객이 수탁자와 계약을 맺었다는 증빙을 요구할 때

1. 귀하가 위탁자인지 수탁자인지 고른 뒤 양쪽 정보와 주 계약을 입력합니다.
2. 위탁 업무, 처리 목적, 정보주체, 개인정보 항목을 적습니다.
3. 수탁자가 실제로 적용하는 안전조치를 체크하고, 재수탁자와 소재 국가를 적습니다.
4. 유출 통지 시간, 삭제·반환 기한, 점검 사전 통지, 국외 이전 규칙을 정합니다.
5. 나라를 고르고 안내를 읽은 뒤, 완성된 문안은 적용되는 법을 아는 전문가에게 확인받습니다.

• 실제로 갖추지 않은 안전조치에 체크하는 것. 별지는 약속입니다.
• 수탁자가 다른 업체를 쓰는데 재수탁자 목록을 비워 두거나 갱신하지 않는 것
• 수탁자가 현실적으로 지키기 어려운 유출 통지 시간을 합의하는 것
• 개인정보를 자기 목적으로도 쓰는 업체를 수탁자로 취급하는 것. 다른 형태의 계약이 필요할 수 있습니다.
• 계약 후 업무, 정보 항목, 관련 국가가 바뀌었는데 계약서를 고치지 않는 것

1. 입력
2. 미리보기 확인
3. PDF, Word, Excel로 저장

필요한 나라를 고르세요. 각 서식은 그 나라에서 흔히 쓰는 문구와 형식을 따릅니다. “현지 전문가 확인 권장”이 붙은 서식은 쓰기 전에 현지 규정을 아는 사람이 읽어 보아야 합니다.

• 국제 공통 (XX): 작성 언어: 영어, 한국어, 일본어, 독일어
• 유럽연합 (EU): 작성 언어: 영어 – 현지 전문가 확인 권장
• 영국 (GB): 작성 언어: 영어 – 현지 전문가 확인 권장
• 미국 (US): 작성 언어: 영어 – 현지 전문가 확인 권장
• 대한민국 (KR): 작성 언어: 한국어, 영어 – 현지 전문가 확인 권장
• 일본 (JP): 작성 언어: 일본어, 영어 – 현지 전문가 확인 권장
• 독일 (DE): 작성 언어: 독일어, 영어 – 현지 전문가 확인 권장