개인정보 처리 위탁 계약서(DPA) 작성법

개인정보 처리를 맡길 때 필요한 위탁 계약서. 개인정보 보호법 제26조와 GDPR 제28조가 요구하는 내용, 유출 통지 기한 예시, 체크리스트를 정리했습니다.

요약: 개인정보 처리 위탁 계약이 필요한 경우

다른 업체가 우리 대신 개인정보를 처리한다면 개인정보 처리 위탁 계약(DPA)이 필요합니다. 고객 데이터베이스 호스팅, 뉴스레터 발송, 급여 처리 대행, 우리 시스템 안에서 일하는 프리랜서 개발자 같은 경우입니다. 개인정보를 왜, 어떻게 쓸지 정하는 쪽이 위탁자(EU 용어로 controller), 그 지시에 따라 처리하는 쪽이 수탁자(processor)입니다.

개인정보 보호법 제26조는 위탁을 문서로 하도록 정하고, EU와 영국의 GDPR 제28조도 정해진 내용을 담은 계약을 요구합니다. 다른 나라에도 각자의 규칙이 있으니 적용되는 법을 확인하세요.

위탁자인가, 수탁자인가

목적을 누가 정하는지 물어보세요. 흔한 예는 다음과 같습니다.

  • 고객 기록을 저장하는 호스팅·SaaS 업체: 수탁자
  • 우리 고객 명단으로 뉴스레터를 보내는 메일 발송 서비스: 수탁자
  • 운영 데이터베이스에 접근하는 프리랜서 개발자: 수탁자
  • 자기 직무 규정에 따라 고객 정보를 다루는 세무사나 변호사: 독자적인 처리자인 경우가 많음
  • 두 회사가 함께 목적과 방법을 정한다면 공동 처리 관계일 수 있어 다른 약정이 필요

개인정보 보호법 제26조가 요구하는 것

개인정보 처리 업무를 위탁할 때는 문서로 해야 하고, 적어도 위탁업무 수행 목적 외 개인정보의 처리 금지, 기술적·관리적 보호조치, 그 밖에 대통령령으로 정한 사항을 담아야 합니다. 위탁하는 업무 내용과 수탁자는 정보주체가 쉽게 확인할 수 있게 공개해야 하며, 보통 개인정보 처리방침에 적습니다.

수탁자가 업무를 다시 다른 업체에 맡기려면(재위탁) 위탁자의 동의를 받아야 합니다. 동의 방식은 정해져 있지 않으므로 계약서에 재위탁 업체 목록과 변경 시 통지·이의 제기 절차를 적어 두는 것이 좋습니다.

  • 위탁업무의 목적과 범위, 처리하는 개인정보의 항목
  • 목적 외 처리 금지와 기술적·관리적 보호조치
  • 재위탁 업체와 위치, 재위탁 시 위탁자 동의
  • 관리·감독, 위탁 종료 시 반환 또는 파기

예시: 온라인 쇼핑몰과 뉴스레터 서비스

온라인 쇼핑몰이 뉴스레터 서비스를 씁니다. 계약서에는 수신 동의 고객에게 뉴스레터를 보내는 것을 목적으로, 이름·이메일·주문 내역을 처리 항목으로, 고객을 정보주체로 적습니다. 서비스는 메일 발송 업체를 재위탁 업체로 밝히고, 샘플대로 새 업체를 추가하기 30일 전에 알립니다.

서비스가 2026-10-06 09:00에 유출 사고를 발견했습니다. 샘플은 48시간 안에 위탁자에게 알리게 하므로 2026-10-08 09:00까지이고, 실제로는 2026-10-07 15:00에 알렸습니다. 유출 시 정보주체 통지와 신고 의무는 개인정보 보호법이 정하므로, 위탁자가 법정 기한 안에 대응할 수 있도록 수탁자의 통지 시한을 계약에 분명히 적어 두어야 합니다. EU 고객의 데이터라면 GDPR 제33조에 따라 위탁자는 사고를 안 때부터 가능하면 72시간 안에, 이 예시라면 2026-10-10 15:00까지 감독기관에 신고합니다.

EU 고객 데이터를 다룬다면: GDPR 제28조

EU 고객의 개인정보를 다룬다면 GDPR이 적용될 수 있습니다. 제28조는 처리의 대상과 기간, 성격과 목적, 개인정보의 종류, 정보주체의 범주를 적고, 수탁자가 문서화된 지시에 따라서만 처리하고, 처리 인원의 비밀유지, 보안 조치, 승인받은 재수탁, 정보주체 권리 행사 지원, 종료 시 삭제나 반환, 감사를 포함한 확인 자료 제공을 약속하도록 요구합니다.

QuoteBill 샘플 쓰기

QuoteBill의 개인정보 처리 위탁 계약서(DPA) 샘플은 기존 서비스 계약에 덧붙이는 형식이며 개인정보에 관해서는 이 계약이 우선합니다. 처리 내용, 보안 조치, 재위탁 업체와 위치, 유출 통지 기한, 데이터 저장 국가, 적용되는 개인정보 보호법을 빈칸으로 두고, 각 당사자가 그 법의 요구 사항을 확인해 빠진 조항을 더하라고 적고 있습니다. 로그인하기 전에 공개 페이지에서 전문을 읽어 보세요.

서비스 계약과 함께 전자계약으로 보내면 됩니다. 감사 기록이 남는 단순 전자서명이며 고급 전자서명이나 적격 전자서명이 아니고, QuoteBill은 서명자가 누구인지 확인하지 않습니다. 그것으로 충분한지는 계약과 나라에 따라 다르며, 샘플은 법률 자문이 아닙니다.

서명 전 체크리스트

서명하기 전에 위탁자와 수탁자 모두 확인하세요.

  • 처리 목적, 개인정보 항목, 정보주체가 막연하지 않고 구체적인가요?
  • 재위탁 업체와 위치가 적혀 있고, 바뀔 때 알리고 동의를 받나요?
  • 유출 통지 기한이 위탁자의 법정 대응 기한에 맞게 짧은가요?
  • 해외 이전이 있다면 국가와 법이 요구하는 보호조치가 적혀 있나요?
  • 종료 시 반환이나 파기에 기한과 서면 확인이 있나요?
  • 적용되는 법을 명시했고, 그보다 보호 수준이 낮은 조항은 없나요?

자주 묻는 질문

메일 발송 서비스나 호스팅 업체와도 위탁 계약이 필요한가요? 그 업체가 우리 대신 개인정보를 처리한다면 필요합니다. 큰 업체는 약관과 함께 처리 위탁 조건을 공개하는 경우가 많으니 읽고 사본을 보관하세요. 위탁 사실은 처리방침에도 공개합니다.

용역 계약서의 비밀유지 조항만으로는 부족한가요? 부족합니다. 법은 목적 외 처리 금지, 보호조치, 재위탁 동의처럼 비밀유지 조항이 담지 않는 내용을 요구합니다.

고객 데이터를 보는 프리랜서도 위탁 계약을 맺어야 하나요? 우리 대신 그 데이터를 처리한다면 위탁 계약이나 같은 내용의 조항을 두는 것이 안전합니다. 접근 권한은 작업에 필요한 만큼만 주세요.

유출 사고가 나면 누가 신고하나요? 위탁자가 판단하고 통지·신고하며, 수탁자는 빨리 알리고 돕습니다. EU 고객 데이터라면 GDPR상 위탁자의 신고 기한은 가능하면 72시간입니다.

참고 자료

샘플 계약서 119종 모두 보기

무료 견적서·청구서·영수증 양식 250종

  • 소프트웨어 유지보수 청구서

    유지보수 계약을 맡은 개발사를 위한 청구서 양식입니다. 월간 오류 수정, 보안 패치 적용, 장애 대응 항목이 예시로 들어 있습니다. 수량과 단가를 바꾸면 세액과 합계가 다시 계산됩니다. 온라인에서 작성하거나 엑셀·워드로 내려받으세요.

  • 전산 지원 청구서

    전산 유지보수 업체를 위한 청구서 양식입니다. 업무용 PC 설정, 계정 접근 복구, 원격 기술 지원 항목이 예시로 들어 있습니다. 수량과 단가를 바꾸면 세액과 합계가 다시 계산됩니다. 온라인에서 작성하거나 엑셀·워드로 내려받으세요.

  • 웹 개발 청구서

    웹 개발자·에이전시를 위한 청구서 양식입니다. 기능 구현, 반응형 적용, 배포 및 점검 항목이 예시로 들어 있습니다. 수량과 단가를 바꾸면 세액과 합계가 다시 계산됩니다. 온라인에서 작성하거나 엑셀·워드로 내려받으세요.