대부분의 프로세서 계약은 제28조 제3항이 의무화한 여덟 조항 중 하나 이상을 빠뜨립니다. 아래에서 조항별 체크리스트를 내려받아 각 요건에 비추어 DPA를 채점할 수 있습니다.
체크리스트 다운로드회사가 개인정보를 공급업체(클라우드 호스트, 분석 SaaS, 급여 대행, AI 제공자)에 넘기면 그 업체는 프로세서가 되고 회사는 컨트롤러로 남습니다. GDPR 제28조는 이 관계를 여덟 가지 구체적 약정을 담은 서면 계약에 종속시킵니다.
문제는 대개 계약의 부재가 아니라, 존재하지만 불완전한 계약입니다. 감사권을 빠뜨리거나, 하위처리를 열어두거나, 삭제를 모호한 한 줄로 처리하는 DPA입니다. 집행 심사에서 규제기관은 DPA를 제28조 제3항에 비추어 조항별로 읽으며, 실제 처리가 어떻게 이루어졌는지와 무관하게 누락된 조항은 지적 사항이 됩니다.
제28조 제1항: 충분한 보장을 제공하는 프로세서만 사용. 제2항·제4항: 승인 없는 하위프로세서 불가, 동일 의무를 계약으로 승계. 제3항: 계약은 (a)부터 (h)까지 여덟 가지로 프로세서를 구속. 제9항: 전자적 형식을 포함해 서면이어야 함.
| 조항 | 요건 | DPA에서 확인할 점 |
|---|---|---|
| 제28조(3)(a) | 문서화된 지시 | 제3국 이전 포함, 컨트롤러의 문서화된 지시에 따라서만 처리 |
| 제28조(3)(b) | 비밀유지 | 권한자는 비밀유지 의무(계약 또는 법령) |
| 제28조(3)(c) | 보안 | 제32조 조치를 모두 이행 |
| 제28조(3)(d) | 하위프로세서 | 제2항·제4항 준수, 동일 의무 승계 |
| 제28조(3)(e) | 정보주체 권리 | 제3장 요청 대응을 지원 |
| 제28조(3)(f) | 보안·침해·DPIA | 가용 정보로 제32~36조 지원 |
| 제28조(3)(g) | 반환 또는 삭제 | 컨트롤러 선택에 따라, 사본 삭제 |
| 제28조(3)(h) | 감사 | 준수 입증 정보 제공, 감사·점검 허용 |
| 제28조(3) 말단 | 위법한 지시 | 지시가 법을 위반하면 컨트롤러에 통지 |
인용은 이 페이지 작성 시점의 규정(EU) 2016/679을 반영합니다. 현행 조문과 대조하세요.
데이터 처리 계약을 각 제28조 요건에 비추어 채점하세요. 텍스트를 복사하거나 markdown으로 내려받으세요. 회원 가입이 필요 없습니다.
# 데이터 처리 계약(DPA) — GDPR 제28조 평가 체크리스트
문서 코드: DPA-28-CHK-01 · 버전 1.0 · 분류: 내부용
컨트롤러: .................... 프로세서: ....................
계약일: ....../....../20.... 검토자: ....................
채점: [Y] 있음·충분 [P] 부분·문구 보완 필요 [N] 없음
A. 관계와 범위
[ ] A1 당사자와 역할(컨트롤러 / 프로세서)이 특정되어 있다.
[ ] A2 처리의 대상·기간·성격·목적이 기재되어 있다.
[ ] A3 개인정보 유형과 정보주체 범주가 열거되어 있다.
[ ] A4 계약이 전자적 형식을 포함하여 서면으로 되어 있다(제28조 제9항).
B. 여덟 가지 필수 조항 (제28조 제3항)
[ ] B1 (a) 제3국 이전을 포함하여, 컨트롤러의 문서화된 지시에 따라서만 처리.
[ ] B2 (b) 처리 권한자는 비밀유지 의무를 진다.
[ ] B3 (c) 제32조의 보안 조치를 모두 이행한다.
[ ] B4 (d) 하위프로세서: 승인(일반 또는 개별) 없이 참여 불가, 동일한 의무를
계약으로 승계, 프로세서는 하위프로세서에 대해 전적으로 책임진다.
[ ] B5 (e) 정보주체 권리 행사(제3장) 대응을 컨트롤러에게 지원한다.
[ ] B6 (f) 가용 정보 범위에서 제32~36조(보안·침해통지·DPIA·사전협의)를 지원한다.
[ ] B7 (g) 종료 시 컨트롤러의 선택에 따라 데이터를 삭제 또는 반환하고, 법령상
보관이 요구되지 않는 한 사본을 삭제한다.
[ ] B8 (h) 준수를 입증하는 데 필요한 정보를 제공하고 감사·점검을 허용·협조한다.
[ ] B9 지시가 GDPR 또는 관련 데이터보호법을 위반한다고 보면 컨트롤러에 통지한다.
C. 하위프로세서 (제28조 제2항·제4항)
[ ] C1 승인 방식이 명시(사전통지형 일반 또는 개별).
[ ] C2 최신 하위프로세서 목록/부속서가 있다.
[ ] C3 변경 통지와 이의 제기 절차가 정의되어 있다.
[ ] C4 각 하위프로세서에 동일한 데이터보호 의무가 부과된다.
D. 국외 이전 (제44조 이하)
[ ] D1 이전 위치(프로세서·하위프로세서)가 특정된다.
[ ] D2 유효한 이전 수단(적정성 / SCC / BCR)이 있다.
[ ] D3 SCC를 쓰는 경우 첨부·작성되어 있다.
[ ] D4 필요한 경우 이전영향평가가 있다.
E. 보안·침해·기록
[ ] E1 기술적·관리적 조치가 참조가 아니라 구체적으로 기재되어 있다.
[ ] E2 컨트롤러 대상 침해 통지가 "부당한 지체 없이", 기한과 함께 정의된다.
[ ] E3 프로세서가 컨트롤러를 대신한 처리기록을 보관한다(제30조 제2항).
[ ] E4 감사의 빈도·비용·방법이 형식적이지 않고 실행 가능하다.
결과
[N] / [P] 항목 수: .... 우선 결함: ........................
개선 담당: .............. 목표일: ....../....../20....
이 체크리스트는 일반적 성격이며 법률 자문을 구성하지 않습니다.
DPA가 서명되고 레터헤드가 있어도 제28조에 미달할 수 있습니다. 반복되는 공백:
아닙니다. 서명은 계약의 존재를 증명할 뿐이며, 충족 여부는 28(3)(a)-(h)의 여덟 조항이 모두 있고 충분한지, 하위처리가 통제되는지, 삭제·감사권이 실질적인지에 달려 있습니다. 서명되었어도 불완전한 DPA는 여전히 지적 사항입니다.
때로는 제공자가 별도의 DPA를 게시하고 이를 수락하면 인정될 수 있습니다. 일반 서비스 약관은 대개 인정되지 않는데, 제28조가 요구하는 컨트롤러별 지시·하위프로세서 통제·감사권이 없기 때문입니다. 전용 DPA 문서가 편입되는지 확인하세요.
네. SCC는 제5장의 이전 수단이고, DPA는 제28조 프로세서 계약입니다. 겹치지만 서로를 대체하지 않습니다. 최신 SCC 모듈은 제28조 조건을 담지만, 전체 조항이 귀하의 관계에 적용되는지는 별도로 확인해야 합니다.
둘 다 책임질 수 있으나 1차적 책임성 의무는 컨트롤러에 있습니다(제5조 제2항, 제24조). 결함 있는 DPA는 우선 컨트롤러의 입지를 약화시키며, 그래서 평가를 컨트롤러 측에서 수행합니다.
튀르키예법(제6698호)은 컨트롤러 / "veri işleyen"(프로세서) 구분을 두고 서면 지시와 보안을 요구하지만, 제28조 제3항 목록을 조항별로 그대로 반영하지는 않습니다. 통합적으로 보려면 KVKK + GDPR 결함 보고서를 사용하세요.