GDPR과 전자서명 가이드: 유럽 개인정보 규정 준수와 전자계약
GDPR 준수를 위한 전자서명 활용 방법을 안내합니다. 데이터 처리 계약(DPA), 정보주체 동의서, 개인정보 처리 기록 관리까지 Pactery로 GDPR 컴플라이언스를 달성하세요.
GDPR이란 무엇인가
GDPR(General Data Protection Regulation, 일반 데이터 보호 규정)은 2018년 5월 25일부터 시행된 EU의 개인정보 보호 법령입니다. EU 및 EEA(유럽경제지역) 거주자의 개인정보를 처리하는 모든 기업에 적용되며, EU 역외 기업도 EU 고객을 대상으로 서비스를 제공한다면 GDPR의 적용을 받습니다.
GDPR 위반 시 최대 전 세계 연간 매출액의 4% 또는 2,000만 유로(약 300억 원) 중 높은 금액의 과징금이 부과될 수 있습니다. 한국 기업도 유럽 고객을 보유하고 있다면 GDPR 준수가 필수입니다.
GDPR에서 전자서명이 중요한 이유
GDPR은 개인정보 처리에 대한 명확한 동의와 처리 기록 보존을 요구합니다. 전자서명은 이 두 가지 요건을 충족하는 핵심 도구입니다.
- 정보주체의 동의가 언제, 어떤 내용으로 이루어졌는지 감사추적으로 증명
- 데이터 처리 계약(DPA)을 전자서명으로 체결하여 계약 이행 증거 확보
- 개인정보 처리 동의서 원본을 안전하게 보관
- 동의 철회 요청 시 원본 동의서 즉시 조회 가능
GDPR 준수를 위한 주요 계약·문서 유형
1. 데이터 처리 계약 (DPA: Data Processing Agreement)
GDPR 제28조에 따라, 개인정보 컨트롤러(Controller)가 개인정보 처리를 위탁할 때는 반드시 서면으로 데이터 처리 계약(DPA)을 체결해야 합니다. SaaS 서비스 이용, 클라우드 컴퓨팅, 마케팅 대행, HR 아웃소싱 등 개인정보가 포함된 모든 위탁 처리에 해당합니다.
- 처리 목적 및 처리 유형 명시
- 처리되는 개인정보의 종류 및 정보주체 범주
- 처리자(Processor)의 의무 및 책임 규정
- 하위 처리자(Sub-processor) 이용 조건 및 사전 승인 요건
- 정보주체 권리 행사 지원 의무
- 처리 종료 후 데이터 삭제 또는 반환 의무
- 보안 조치 기준 (Article 32 준수)
DPA는 반드시 서면으로 체결되어야 하며, 전자서명은 이 요건을 충족합니다. Pactery를 활용하면 DPA 체결 및 서명 이력을 체계적으로 관리할 수 있습니다.
2. 표준 계약 조항 (SCCs: Standard Contractual Clauses)
EU 역외로 개인정보를 이전할 때는 적절한 보호 수단이 필요합니다. 한국, 미국 등 EU가 적정성 결정을 내리지 않은 국가로 개인정보를 이전하는 경우, 유럽 집행위원회가 승인한 표준 계약 조항(SCCs)을 체결해야 합니다.
- 2021년 개정 SCCs 사용 (구 SCCs는 2022년 12월 이후 효력 소멸)
- 컨트롤러-처리자 간 또는 처리자-처리자 간 모듈 선택
- 현지 법령이 SCCs 이행에 영향을 미치는지 사전 영향 평가(TIA) 수행
- 서명된 SCCs 원본을 감사 대응을 위해 안전하게 보관
3. 개인정보 처리 동의서
GDPR 제7조에 따라, 동의를 법적 근거로 개인정보를 처리하는 경우 해당 동의가 자유롭게, 구체적으로, 고지에 기반하여, 명확하게 이루어졌음을 증명할 수 있어야 합니다. 전자서명 기반 동의서는 이 증명 요건을 충족합니다.
- 처리 목적별 개별 동의 확보
- 동의 일시 및 동의 내용 버전 기록
- 동의 철회 방법 명시 및 철회 기록 관리
- 미성년자 데이터 처리 시 부모·보호자 동의 별도 확보
GDPR과 eIDAS: 유럽의 전자서명 법적 프레임워크
EU에서 전자서명의 법적 효력은 eIDAS 규정(Regulation No 910/2014)에 의해 규율됩니다. eIDAS는 전자서명을 세 등급으로 구분합니다.
- 단순 전자서명 (SES): 가장 기본적인 형태. 이메일·클릭 서명 등 포함. 대부분의 상업 계약에 유효합니다.
- 고급 전자서명 (AES): 서명자 신원과 서명 데이터가 고유하게 연결된 서명. 보다 높은 법적 확실성을 제공합니다.
- 적격 전자서명 (QES): 적격 인증서 기반의 가장 높은 등급. EU 전역에서 자필 서명과 동일한 효력을 가집니다. 일부 고위험 계약에 요구됩니다.
대부분의 DPA와 상업 계약은 SES 또는 AES 수준으로 충분히 처리할 수 있습니다.
Pactery 요금제 안내
- Starter (4,900원/월): 월 3건. GDPR 대상 계약이 소수인 소규모 서비스에 적합합니다.
- Starter (4,900원/월): 월 3건. EU 파트너사와 정기적으로 DPA를 체결하는 중소기업에 적합합니다.
- Business (19,904,900원/월): 월 15건. 다수의 EU 고객·파트너를 보유한 기업에 권장합니다.
GDPR 컴플라이언스 체크리스트
- 개인정보를 위탁 처리하는 모든 협력사와 DPA를 체결했는가
- EU 역외 데이터 이전 시 SCCs 또는 적절한 안전장치를 확보했는가
- 동의 기반으로 처리하는 개인정보에 대해 동의 기록을 보관하고 있는가
- 정보주체의 권리 행사(열람, 삭제, 이전 등) 프로세스가 있는가
- 개인정보 침해 발생 시 72시간 내 감독기관 신고 체계가 갖추어져 있는가
- 처리 활동 기록(Records of Processing Activities)을 관리하고 있는가
Pactery로 GDPR 컴플라이언스를 강화하세요
Pactery는 GDPR 준수를 위한 문서 관리와 전자서명을 하나의 플랫폼에서 지원합니다. DPA, SCCs, 동의서 등 GDPR 필수 문서를 전자서명으로 체결하고, 서명 감사추적과 함께 안전하게 보관함으로써 감독기관의 조사에도 신속하게 대응할 수 있습니다.