핵심 요약. 본사가 보내는 글로벌 DPA는 흔히 본사를 controller로, 한국 법인이나 한국 벤더를 processor로 지정합니다. 그러나 개인정보 보호법 공식 영문본에 GDPR의 processor에 대응하는 지위는 없습니다. 수탁자는 제26조 제8항에 따라 안전조치부터 과징금까지 개인정보처리자의 의무 대부분을 그대로 부담합니다. 위탁자도 위탁했다고 개인정보처리자 지위를 벗지 않으며, 손해배상에서는 수탁자가 위탁자의 소속 직원으로 간주됩니다(제26조 제7항). DPA의 역할·책임 배분은 GDPR 구도가 아니라 한국법 기준으로 다시 잡아야 합니다.
본사 프라이버시 팀이 글로벌 DPA 템플릿을 보내옵니다. 역할표에는 답이 이미 적혀 있습니다. 본사는 controller, 한국 법인은 processor. 남은 일은 서명 판단뿐인 것처럼 보입니다. 본사 정책을 한국에 그대로 옮길 때 어긋나는 지점이 계약에서 반복되는 자리이고, 그 역할표는 전제부터 한국법과 맞지 않습니다.
한국법 공식 영문본에는 왜 processor가 없습니까?
국가법령정보센터(law.go.kr)의 공식 영문본(법률 제20897호, 2025. 10. 2. 시행 기준)은 주요 지위를 이렇게 옮깁니다.
| 국문 | 공식 영문본 |
|---|---|
| 개인정보처리자 | personal information controller |
| 위탁자 | person entrusting |
| 수탁자 | person entrusted (제26조 제8항은 outsourcee와 병용) |
GDPR의 processor에 대응하는 항목이 없습니다. processor라는 단어가 본문에 두 번 나오기는 합니다. 제31조의2 제2항 제2호와 제34조의2 제1항인데, 둘 다 국문으로는 개인정보처리자이고 다른 218곳에서 controller로 옮겨진 바로 그 말입니다. 한국 영문본에서 processor는 controller가 흔들린 표기일 뿐, 별개 지위가 아닙니다. 본사가 그 단어를 GDPR 의미로 읽으면 정반대 지위를 가리키게 됩니다. 본사가 영문본으로 검토하고 있다면 그 영문본이 현행 버전인지도 함께 확인할 필요가 있습니다.
그러면 한국법의 지위는 어떻게 나뉩니까?
한국법의 지위는 셋이고, GDPR의 controller–processor 두 층과 맞아떨어지지 않습니다.
| 지위 | 근거 | 누구인가 |
|---|---|---|
| 개인정보처리자 | 제2조 제5호 | 업무를 목적으로 스스로 또는 다른 사람을 통하여 개인정보를 처리하는 법인·단체·개인 등 |
| 수탁자 | 제26조 제2항 | 처리 업무를 위탁받아 처리하는 자(재수탁자 포함) |
| 개인정보취급자 | 제28조 제1항 | 개인정보처리자의 지휘·감독을 받아 개인정보를 처리하는 임직원 등 자연인 |
셋째 줄이 함정입니다. 개인정보취급자는 조직 내부의 자연인이지 벤더 회사가 아닙니다. 본사가 processor를 이 자리에 대응시키면, 내부 직원의 관리·감독(제28조 제1항)과 정기 교육(같은 조 제2항)을 정한 조문을 벤더 계약에 적용하게 됩니다.
수탁자라서 책임이 제한된다는 전제는 성립합니까?
가장 크게 어긋나는 지점입니다. 제26조 제8항은 개인정보처리자에게 적용되는 조문 대부분을 수탁자에게 준용합니다. 수집·이용·제공의 근거와 동의, 민감정보·고유식별정보 제한, 파기, 국외이전, 안전조치, 처리방침, 개인정보 보호책임자 지정, 영향평가, 유출 통지·신고, 정보주체 권리 대응, 조사 관련 조문이 통째로 넘어오고, 목록 끝에는 과징금 조문인 제64조의2가 있습니다.
“우리는 processor라서 책임이 제한적"이라는 전제는 그래서 한국에서 서지 않습니다.
위탁하면 위탁자는 그 의무에서 벗어납니까?
반대 방향도 어긋납니다. 제2조 제5호는 개인정보처리자를 “스스로 또는 다른 사람을 통하여” 개인정보를 처리하는 자로 정의합니다. 위탁이 정의 안에 이미 들어 있으므로, 업무를 위탁했다고 위탁자가 개인정보처리자 지위를 벗지 않습니다.
제26조 제7항은 더 나아갑니다.
수탁자가 위탁받은 업무와 관련하여 개인정보를 처리하는 과정에서 이 법을 위반하여 발생한 손해배상책임에 대하여는 수탁자를 개인정보처리자의 소속 직원으로 본다.
계약서의 책임제한 조항을 정교하게 다듬어도 정보주체에 대한 대외적 책임의 구도는 바뀌지 않습니다. 계약이 정할 수 있는 것은 당사자 사이의 내부 분담입니다.
본사 표준 DPA에서 무엇을 다시 확인해야 합니까?
출발점은 제26조의 세 요건입니다. 위탁은 일정한 내용이 포함된 문서로 해야 하고(제1항), 위탁하는 업무의 내용과 수탁자를 정보주체가 언제든지 쉽게 확인할 수 있도록 공개해야 하며(제2항), 수탁자가 재위탁하려면 위탁자의 동의를 받아야 합니다(제6항). 본사 표준 DPA에는 이 셋에 대응하는 조항이 없는 경우가 있습니다.
그 계약이 애초에 ‘위탁’인지 제3자 제공인지는 별개의 판별 문제로, 기준은 처리방침에 SDK를 모두 ‘위탁’으로 적어 두었습니다에서 다루었습니다.
조사가 시작되면 무엇을 기준으로 판단됩니까?
계약서의 역할 표기가 결론을 정해 주지 않습니다. 어떤 회사가 수탁자인지, 별개의 개인정보처리자인지는 DPA에 적힌 단어가 아니라 실제 처리 구조를 놓고 판단할 문제입니다. 서명 전에 역할 배분과 책임 조항이 한국법의 지위 구성과 맞는지 개별 검토가 필요합니다.
참고 자료
- 개인정보 보호법 제2조, 제26조, 제28조, 제31조의2, 제34조의2 — 국가법령정보센터. 법률 제20897호(2025. 4. 1. 공포, 2025. 10. 2. 시행)
- Personal Information Protection Act (English translation), Korea Law Information Center — 같은 법령의 공식 영문본
자주 묻는 질문
Q. 본사 DPA에 한국 법인을 processor로 적어 두면 효력이 없습니까?
당사자 사이의 내부 분담 약정으로서 의미가 없지는 않습니다. 다만 한국법상 지위와 의무는 계약의 표기가 아니라 법률과 실제 처리 구조에 따라 정해지므로, processor라는 표기가 제26조 제8항으로 준용되는 의무의 범위를 줄여 주지 않습니다.
Q. 수탁자도 과징금 부과 대상이 됩니까?
제26조 제8항의 준용 목록에는 과징금 조문인 제64조의2가 포함되어 있습니다. 수탁자는 준용되는 의무를 위반하면 개인정보처리자와 마찬가지로 과징금 조문의 적용을 받습니다.
Q. 위탁 계약을 체결하면 위탁자가 할 일은 끝납니까?
아닙니다. 위탁자는 제26조 제2항에 따라 위탁하는 업무의 내용과 수탁자를 공개해야 하고, 수탁자의 재위탁에는 제6항에 따른 동의가 필요합니다. 그리고 제7항에 따라 손해배상에서는 수탁자가 위탁자의 소속 직원으로 간주됩니다.