개인정보 처리위탁계약서(DPA) 양식 2026 — 필수 기재사항 정리
요약: 개인정보를 외부 업체에 맡길 때는 개인정보보호법상 처리위탁 요건을 갖추어야 합니다. 위탁 사실의 고지, 위탁계약에 목적 제한·안전성 확보조치·재위탁 제한·파기 조항 명시, 그리고 위탁자의 감독이 세 축입니다. 단순히 데이터를 전송만 하는지, 위탁자를 위해 처리까지 하는지에 따라 외부전송과 처리위탁이 구분되므로 계약 구조가 달라집니다.
호스팅, CRM, 메일 발송, CS 아웃소싱, 개발 외주 — 오늘날 거의 모든 사업은 고객 개인정보를 외부 업체와 함께 다룹니다. 그런데 처리위탁계약(DPA) 없이 데이터만 넘겨 주는 경우가 여전히 많습니다. 위탁자는 감독 책임 때문에 수탁자의 사고까지 설명해야 할 수 있고, 수탁자는 계약 근거 없이 무한 책임을 지게 될 수 있습니다. 이 글에서는 2026년 기준 DPA에 반드시 들어가야 할 기재사항과 실무 체크표를 정리합니다.
처리위탁 시 고지는 어떻게 하나요?
개인정보를 처리위탁하면 위탁받은 자와 위탁하는 업무의 내용을 정보주체에게 알리는 등 투명성을 확보하는 것이 원칙입니다. 실무에서는 개인정보처리방침에 위탁 업체·업무 내용·위탁 기간을 반영하는 방식으로 이루어집니다. 위탁 업무나 업체가 바뀌면 방침도 함께 갱신해야 합니다.
동의와 고지의 관계는 개정에 따라 정비되어 왔습니다. 수집 시점에 위탁 사실을 알렸다면 별도 동의를 반복해서 받지 않는 구조가 인정되는 방향으로 정리되었으나, 세부 요건은 개정 이력에 따라 달라질 수 있으므로 우리 서비스 수집 시점 기준의 현행 규정을 확인해야 합니다. 방침과 동의 문구를 점검하는 실무는 AI 개인정보처리방침 작성에서 자세히 다룹니다.
위탁계약에 반드시 들어가야 할 필수 사항
개인정보보호법은 위탁계약 문서에 담아야 할 항목을 정하고 있습니다. 실무 관점에서 다섯 덩어리로 정리하면 다음과 같습니다.
- 위탁 업무의 목적과 범위: 어떤 개인정보 항목을, 어떤 업무 수행을 위해 맡기는지 구체적으로 적습니다. "고객 관리 업무" 식의 추상적 표현은 감독 다툼의 씨앗이 됩니다.
- 안전성 확보조치: 접근 권한 관리, 암호화, 접속 기록 보관 등 수탁자가 지켜야 할 기술·관리 조치를 명시합니다. 수준은 거래 규모에 걸맞게 정하되, 확인 가능한 항목으로 씁니다.
- 재위탁 제한: 수탁자가 다른 업체에 다시 맡기려면 위탁자의 사전 동의를 받도록 제한합니다. 재위탁 체인이 길어질수록 사고 시 책임 구조가 불분명해집니다.
- 처리·이용 제한과 파기: 위탁 목적 외 이용 금지, 계약 종료 시 개인정보의 반환 또는 파기(필요 시 파기 확인서)를 정합니다.
- 감독과 손해배상: 위탁자가 수탁자의 처리 현황을 점검할 수 있다는 조항과 사고 시 책임 분담을 명시합니다.
여기에 사고 발생 시 통보 의무와 기한, 보안 인증이나 침해사고 대응 절차의 연결을 넣으면 계약의 실효성이 올라갑니다. 실제 침해 사고가 발생했을 때의 대응 흐름은 데이터 유출 대응 가이드에서 정리했습니다.
감독 책임은 누구에게 있나요?
처리위탁의 핵심 원칙은 책임은 위탁자에게, 수행은 수탁자에게 있다는 구조입니다. 수탁자가 사고를 내더라도 정보주체 입장에서는 위탁자가 처음 설명 책임을 지는 경우가 많습니다. 그래서 감독은 형식이 아니라 실행 가능한 절차여야 합니다.
- 정기 점검: 점검 항목(권한 목록, 접속 기록 샘플, 파기 증빙)과 주기를 계약서에 명시합니다.
- 사고 통보: 수탁자가 침해 사실을 인지한 경우 위탁자에게 지체 없이 통보하도록 정합니다.
- 종료 시 확인: 파기 확인서 수령을 계약 종료 절차의 완료 조건으로 만듭니다.
수탁자 입장에서도 과도한 감독 조항은 운영 부담이 되므로, 점검 범위와 방식을 합리적으로 한정하는 협상이 일반적입니다.
외부전송과 처리위탁은 어떻게 다른가요?
많은 분들이 헷갈리는 구분입니다. 단순히 데이터를 상대에게 보내는 것(외부전송)과, 위탁자의 업무를 대신 수행하기 위해 개인정보를 처리하는 것(처리위탁)은 법적 요건이 다릅니다. 아래 표로 정리합니다.
| 구분 | 처리위탁 | 외부전송(제3자 제공) |
|---|---|---|
| 데이터를 다루는 목적 | 위탁자를 위해 업무를 대행·수행 | 상대방이 자기 목적으로 활용 |
| 대표 사례 | CS 아웃소싱, 호스팅 운영, 메일 발송 대행 | 제휴사에 회원 정보 전달, 데이터 판매 |
| 필요 계약 | 처리위탁계약(DPA) | 제3자 제공 동의·계약 등 별도 근거 |
| 정보주체 통지 | 위탁 사실 고지(방침 반영) | 제공 받는 자·항목·목적·기간 동의·고지 |
| 감독 책임 | 위탁자가 수탁자 감독 | 제공 후 관리 구조가 달라짐 |
| 흔한 실수 | DPA 없이 위탁, 방침 미반영 | 위탁이라 부르며 동의 없이 제공 |
판단이 애매한 거래(공동 서비스, 플랫폼 연동)는 실제 데이터 흐름과 활용 목적을 도식으로 그려 보면 구분이 쉬워집니다. 국제 거래라면 국가별 데이터 규제까지 겹치므로 한국 AI 기본법과 각국 데이터 법제 자료를 함께 확인하는 편이 안전합니다.
서명 전 체크표
| 항목 | 점검 내용 | 완료 기준 |
|---|---|---|
| 위탁 vs 전송 구분 | 데이터 활용 목적 도식화 | 거래 유형이 문서상 특정됨 |
| 고지 반영 | 개인정보처리방침에 위탁 내역 반영 | 방침 버전과 계약이 대응됨 |
| 목적·범위 | 항목·업무·기간 명시 | 추상 표현 없음 |
| 안전조치 | 권한·암호화·기록 보관 항목 명시 | 확인 가능한 수준으로 기술됨 |
| 재위탁 | 사전 동의 절차 존재 | 재위탁 목록 열람 가능 |
| 파기 | 종료 시 반환·파기 및 확인서 | 완료 조건으로 명시됨 |
| 감독·통보 | 점검 주기, 사고 통보 기한 | 실행 가능한 절차로 기술됨 |
AI 시대의 DPA — 추가로 정할 것들
2026년 실무에서는 위탁 업무에 AI 도구가 쓰이는 경우가 많아졌습니다. 수탁자가 AI를 활용해 업무를 수행할 때 입력 데이터가 모델 학습에 사용되는지, 출력 검증 책임이 어디에 있는지를 계약서에 정하는 것이 새로운 표준이 되고 있습니다. 학습 사용 금지 조항, 민감 데이터의 AI 입력 제한, 출력물의 사람 검증 의무 등을 점검하세요. 법률 업무 환경에서 AI를 안전하게 쓰는 원칙은 AI 법률 보안과 비밀유지에서, 계약서 초안 작성 전반은 AI 계약서 작성 가이드에서 확인할 수 있습니다. 외주 개발과 결합되는 거래라면 프리랜서 용역계약서 템플릿과 DPA를 세트로 준비하는 편이 깔끔합니다.
자주 묻는 질문(FAQ)
DPA 없이 거래하면 바로 위법인가요?
개인정보를 처리위탁하는데 법이 정한 계약 요건을 갖추지 않으면 규제 대상이 될 수 있습니다. 거래 규모와 정보의 민감도에 따라 리스크가 달라지므로, 위탁 구조라면 계약서와 방침 반영부터 정비하는 것이 순서입니다.
클라우드 서비스 이용도 처리위탁인가요?
단순 저장만 하는지, 위탁자 업무의 일부를 수행하는지에 따라 구분이 달라질 수 있습니다. 서비스 특성과 데이터 흐름을 기준으로 판단해야 하며, 애매한 경우 처리위탁 구조로 계약을 갖추는 편이 안전합니다.
개인정보처리방침에 어떤 내용을 적어야 하나요?
위탁받은 자(업체명), 위탁하는 업무의 내용, 위탁 기간이 기본 항목입니다. 업체나 업무가 바뀌면 방침을 갱신하고, 변경 이력을 남겨 두면 점검 대응이 쉬워집니다.
재위탁을 금지해야 하나요?
금지가 원칙이고 예외적으로 사전 동의 조건 하에 허용하는 구조가 일반적입니다. 재위탁이 불가피한 업종이라면 재위탁 업체의 보안 수준을 원위탁 수준으로 유지하도록 의무를 연쇄 적용하는 문구를 넣으세요.
파기 증빙은 꼭 받아야 하나요?
계약 종료 후 데이터가 남아 있는 것이 가장 흔한 사고 원인입니다. 파기 확인서를 완료 조건으로 만들어 두면 종료 절차가 형식적으로 흘러가는 것을 막을 수 있습니다.
수탁자가 해킹을 당하면 책임은 누구에게 있나요?
사고 원인과 안전조치 이행 여부에 따라 나뉩니다. 위탁자는 감독 책임과 정보주체 통지 책임을, 수탁자는 안전성 확보조치 위반 여부를 각각 다투게 될 수 있으므로 계약서에 책임 분담과 통보 절차를 명확히 해야 합니다.
해외 업체에 위탁하면 달라지나요?
국경을 넘는 데이터 이전에는 상대국 법제와 이전 요건이 추가로 고려됩니다. 국가별 규제 차이가 크므로, 해외 위탁 거래는 전문가 확인을 받아 계약 구조를 설계하는 것을 권합니다.
위탁 업무에 AI 도구 사용을 허용해도 되나요?
허용 조건을 계약으로 정하면 가능합니다. 학습 사용 금지, 입력 가능 데이터의 범위, 출력 검증 책임 등을 명시하지 않으면 사고 시 책임 다툼이 커집니다.
소규모 사업자도 DPA가 필요한가요?
규모와 무관하게 개인정보를 위탁한다면 요건은 적용됩니다. 다만 계약 수준은 거래 규모에 걸맞게 조정할 수 있습니다. 핵심 항목(목적, 안전조치, 재위탁, 파기)만이라도 문서로 남기세요.
고객 동의서에 위탁 내역을 다 적어야 하나요?
수집 시점의 고지·동의 구조는 개정에 따라 정비되어 왔습니다. 방침 고지로 충족되는지, 별도 동의가 필요한지는 서비스 수집 구조 기준의 현행 규정으로 확인해야 합니다.
NDA만으로 대신할 수 있나요?
비밀유지와 처리위탁은 요건이 다릅니다. NDA는 정보 보호를, DPA는 위탁 업무 구조와 감독·파기 의무를 다룹니다. 개인정보 위탁이라면 DPA가 별도로 필요한지부터 확인하세요.
AI로 만든 DPA 초안을 그대로 쓰면 되나요?
골격 생성에는 좋지만, 위탁 구조 판단(처리위탁 vs 외부전송)과 안전조치 수준 설정은 우리 서비스에 맞는 판단이 필요합니다. AI 초안 + 사람 검증 + 필요시 전문가 확인 순서를 권합니다.
본 글은 일반적인 정보 제공을 목적으로 하며 법률 자문이 아닙니다. 개인정보 관련 법령의 세부 요건은 개정과 서비스 구조에 따라 달라질 수 있으므로, 실제 계약과 정책 정비 전에는 최신 법령 확인과 전문가 검토를 받으시기 바랍니다.