데이터 처리 계약은 데이터 관리자가 데이터 처리자에게 개인 데이터를 처리하는 조건을 명시하는 서면 계약입니다. GDPR은 데이터 처리를 아웃소싱하는 즉시 이러한 계약을 의무화하고, 계약에 포함되어야 하는 사항을 규정합니다.
법적 근거
이러한 의무는 일반 데이터 보호 규정(GDPR) 제28조(3)항에 명시되어 있습니다. 계약서에는 처리 대상, 기간, 성격 및 목적을 명시하고, 개인 데이터 유형과 데이터 주체 범주를 식별해야 합니다. 또한 다음 8가지 구체적인 의무 사항을 포함해야 합니다. 문서화된 지시에 따른 처리, 기밀 유지, GDPR 제32조에 따른 보안, 하위 처리자 고용 조건, 데이터 주체 요청 지원, 데이터 유출 및 영향 평가 지원, 계약 종료 후 반환 또는 삭제, 감사 목적의 정보 제공. 제28조(1)항은 충분한 보증을 제공하는 처리자만 이용할 수 있다고 명시하고 있습니다.
실제로 작동하는 방법
거의 모든 아웃소싱 계약이 포함됩니다. 급여, 호스팅, CRM 공급업체, 심지어 문서 파쇄 업체까지 모두 해당됩니다. 대부분의 공급업체는 자체 템플릿을 사용하며, 이를 주 계약서에 부록으로 첨부합니다. 이 템플릿은 고정된 것처럼 제시되더라도 협상이 가능합니다. 특히 처리 작업에 대한 설명 부분을 주의 깊게 살펴봐야 합니다. 모든 고객에게 적용되는 일반적인 설명이 아니라 실제로 발생하는 작업 내용을 정확하게 반영해야 합니다. 유럽 경제 지역(EEA) 외부로의 전송에는 추가적인 근거가 필요하며, 일반적으로 유럽 위원회의 표준 계약 조항을 활용합니다.
무엇이 잘못되는가
세 가지 실수가 반복적으로 발생합니다. 첫째, 실제 데이터 처리자가 아닌 당사자와 처리 계약을 체결하는 것입니다. 이 경우 해당 당사자는 처리 목적과 수단을 스스로 결정하게 되며, 서로 다른 규칙이 적용되는 공동 관리자가 됩니다. 둘째, 하위 처리자에게 포괄적인 권한을 부여하는 것입니다. 이렇게 되면 데이터가 실제로 어디에 저장되는지 파악하기 어려워집니다. 셋째, 구체적인 기준을 명시하지 않고 "적절한 조치"만을 언급하는 보안 계획을 세우는 것입니다. 이는 사고 발생 시 참고할 만한 근거가 전혀 없습니다.
관련 용어
개인 정보 처리 계약은 개인정보 유출 과 밀접한 관련이 있는데 , 처리자가 사용자에게 알려야 하는 기한을 명시해야 할 뿐만 아니라, 처리자가 정보를 제공해야 하는 데이터 보호 영향 평가 와도 연관되어 있기 때문입니다. 또한, 개인정보 처리 계약은 일반 약관 과도 상호 작용하는데 , 주 계약의 책임 한도 조항과 상충되는 경우가 많기 때문입니다.
추가 읽기
이 주제에 대한 추가 정보: GDPR에 따른 데이터 처리 계약(verwerkersovereenkomst): 네덜란드 실무 가이드.
개인정보처리방침 계약 검토를 원하십니까? 저희 IT 전문 변호사들이 계약을 평가하고 필요한 경우 협상을 진행합니다.
