# 데이터 처리 계약(DPA) — GDPR 제28조 평가 체크리스트

문서 코드: DPA-28-CHK-01 · 버전 1.0 · 분류: 내부용
컨트롤러: ....................   프로세서: ....................
계약일: ....../....../20....   검토자: ....................

채점:  [Y] 있음·충분   [P] 부분·문구 보완 필요   [N] 없음

A. 관계와 범위
[ ] A1 당사자와 역할(컨트롤러 / 프로세서)이 특정되어 있다.
[ ] A2 처리의 대상·기간·성격·목적이 기재되어 있다.
[ ] A3 개인정보 유형과 정보주체 범주가 열거되어 있다.
[ ] A4 계약이 전자적 형식을 포함하여 서면으로 되어 있다(제28조 제9항).

B. 여덟 가지 필수 조항 (제28조 제3항)
[ ] B1 (a) 제3국 이전을 포함하여, 컨트롤러의 문서화된 지시에 따라서만 처리.
[ ] B2 (b) 처리 권한자는 비밀유지 의무를 진다.
[ ] B3 (c) 제32조의 보안 조치를 모두 이행한다.
[ ] B4 (d) 하위프로세서: 승인(일반 또는 개별) 없이 참여 불가, 동일한 의무를
        계약으로 승계, 프로세서는 하위프로세서에 대해 전적으로 책임진다.
[ ] B5 (e) 정보주체 권리 행사(제3장) 대응을 컨트롤러에게 지원한다.
[ ] B6 (f) 가용 정보 범위에서 제32~36조(보안·침해통지·DPIA·사전협의)를 지원한다.
[ ] B7 (g) 종료 시 컨트롤러의 선택에 따라 데이터를 삭제 또는 반환하고, 법령상
        보관이 요구되지 않는 한 사본을 삭제한다.
[ ] B8 (h) 준수를 입증하는 데 필요한 정보를 제공하고 감사·점검을 허용·협조한다.
[ ] B9 지시가 GDPR 또는 관련 데이터보호법을 위반한다고 보면 컨트롤러에 통지한다.

C. 하위프로세서 (제28조 제2항·제4항)
[ ] C1 승인 방식이 명시(사전통지형 일반 또는 개별).
[ ] C2 최신 하위프로세서 목록/부속서가 있다.
[ ] C3 변경 통지와 이의 제기 절차가 정의되어 있다.
[ ] C4 각 하위프로세서에 동일한 데이터보호 의무가 부과된다.

D. 국외 이전 (제44조 이하)
[ ] D1 이전 위치(프로세서·하위프로세서)가 특정된다.
[ ] D2 유효한 이전 수단(적정성 / SCC / BCR)이 있다.
[ ] D3 SCC를 쓰는 경우 첨부·작성되어 있다.
[ ] D4 필요한 경우 이전영향평가가 있다.

E. 보안·침해·기록
[ ] E1 기술적·관리적 조치가 참조가 아니라 구체적으로 기재되어 있다.
[ ] E2 컨트롤러 대상 침해 통지가 "부당한 지체 없이", 기한과 함께 정의된다.
[ ] E3 프로세서가 컨트롤러를 대신한 처리기록을 보관한다(제30조 제2항).
[ ] E4 감사의 빈도·비용·방법이 형식적이지 않고 실행 가능하다.

결과
[N] / [P] 항목 수: ....   우선 결함: ........................
개선 담당: ..............   목표일: ....../....../20....

이 체크리스트는 일반적 성격이며 법률 자문을 구성하지 않습니다.