개인정보 처리방침은 누가 꼭 만들어야 하나요?

업무를 목적으로 개인정보를 처리하는 개인정보처리자라면 누구나 만들어야 합니다. 대기업이나 온라인 서비스만의 의무가 아니며, 회원 명부나 주문 정보를 다루는 소규모 사업장도 대상인데요.

예전에는 '개인정보취급방침'이라는 이름이 널리 쓰였는데, 이는 정보통신서비스 제공자에게 적용되던 구 정보통신망법상의 용어입니다. 2020년 개인정보 보호 규정이 개인정보 보호법으로 일원화된 뒤로는 '개인정보 처리방침'으로 쓰는 것이 맞습니다. 이용약관과 혼동하는 경우도 많은데, 이용약관은 사업자와 이용자 사이의 계약 조건을 정한 문서이고 처리방침은 법이 공개를 요구하는 개인정보 처리 현황 문서입니다. 법은 두 문서의 내용이 다르면 정보주체에게 유리한 쪽을 적용하도록 정하고 있어, 처리방침에 적은 문장은 계약서처럼 회사를 구속할 수 있습니다.

개인정보 처리방침 필수 기재사항은 무엇인가요?

법 제30조 제1항 각 호와 시행령이 정한 사항입니다. 처리 목적, 처리하는 개인정보 항목, 보유 기간, 파기 절차와 방법, 정보주체의 권리 행사 방법, 안전성 확보조치, 개인정보 보호책임자 연락처는 모든 사업자에게 공통이고, 제3자 제공·위탁·국외 이전·자동수집장치는 해당하는 경우에만 넣습니다.

조문에 '해당되는 경우에만 정한다'는 단서가 붙은 항목이 많아 빼도 된다고 오해하기 쉽지만, 이는 실제로 그 처리를 하는 경우 반드시 적어야 한다는 뜻입니다. 결제대행사나 택배사에 주문 정보를 넘긴다면 위탁 항목은 선택이 아니라 필수가 됩니다. 시행령은 처리하는 개인정보의 항목, 국외 이전의 근거와 관련 사항, 안전성 확보조치 등을 추가로 요구합니다.

가장 자주 틀리는 부분은 제3자 제공과 처리 위탁의 구분입니다. 우리 회사의 업무를 대신 처리하도록 맡기는 것이 위탁이고, 받는 쪽이 자기 목적으로 쓰는 것이 제3자 제공입니다. 두 경우는 적용되는 법적 요건이 다릅니다. 위탁은 위탁 내용을 문서로 정하고 수탁자와 위탁 업무를 공개하는 한편, 수탁자를 교육하고 개인정보를 안전하게 처리하는지 감독할 의무를 부담합니다(법 제26조). 제3자 제공은 정보주체의 동의가 주된 근거가 되지만, 법률에 특별한 규정이 있는 경우나 당초 수집 목적과 합리적으로 관련된 범위에서 법이 정한 요건을 갖춘 경우처럼 동의 없이 제공할 수 있는 경우도 있습니다(법 제17조). 택배사를 제3자 제공으로 적거나 제휴 마케팅사를 위탁으로 적으면 근거와 절차가 함께 어긋나게 됩니다.

2026년 개정 작성지침에서 무엇이 달라졌나요?

개인정보보호위원회가 2026년 4월 24일 공개한 개정 작성지침의 핵심은 네 가지입니다. 수탁자와 제공받는 자의 유형화 기재 허용, 변경사항 안내 방식의 이원화, 온디바이스 처리 기준의 명확화, 생성형 AI 서비스 부록 신설입니다. 행태정보 처리 유형별 작성 예시도 함께 정비되었습니다.

첫째, 수탁자나 개인정보를 제공받는 자가 대규모이거나 자주 바뀌는 서비스는 '배달원', '택시기사'처럼 유형으로 묶어 적을 수 있게 되었습니다. 다만 정보주체가 실제 수탁자나 제공받는 자를 직접 확인할 수 있는 경로, 예컨대 앱의 이용기록 화면 같은 위치를 함께 안내해야 합니다. 유형화는 표시 방법을 바꾸는 것이므로, 실제 수탁자를 확인할 수 있도록 내부적으로도 최신 현황을 관리할 필요가 있습니다.

둘째, 변경 공지가 두 갈래로 나뉘었습니다. 정보주체의 권리에 중대한 영향을 주는 변경은 개정 전이나 개정 즉시 알려야 하고, 같은 업무를 하는 수탁자 목록의 교체처럼 권리 침해 가능성이 낮은 변경은 일정 기간 단위로 모아서 안내할 수 있습니다.

셋째, 온디바이스 처리 기준이 정리되었습니다. 개인정보가 외부 서버로 전송되지 않고 단말기 안에서만 처리된다면 그 사실과 삭제 기준을 안내하도록 권장하고, 서버에 저장되는 개인정보가 하나라도 있다면 온디바이스 기능이 포함되어 있더라도 처리방침을 작성해야 한다는 점을 분명히 했습니다.

생성형 AI 서비스는 처리방침에 무엇을 더 적어야 하나요?

이용자가 입력한 정보가 AI 모델 학습에 쓰이는지, 쓰인다면 거부할 방법이 있는지를 적어야 합니다. 이용자가 입력한 텍스트·음성·첨부파일과 서비스가 만든 결과물이 저장된다면 이를 처리 항목에 넣고, 민감정보나 고유식별정보를 입력하지 않도록 주의 안내도 함께 두는 것이 개정 작성지침의 방향입니다.

부적절한 답변에 대한 신고나 이의제기 방법도 처리방침에 명시하도록 했습니다. 해외 AI 모델이나 클라우드 API로 개인정보가 넘어간다면 국외 이전의 법적 근거부터 확인해야 합니다. 2023년 개정 이후에는 별도 동의 외에도, 정보주체와의 계약 체결·이행을 위해 처리위탁·보관이 필요한 경우 법이 정한 사항을 처리방침에 공개하거나 정보주체에게 알리는 방식으로 이전할 수 있게 되었습니다(법 제28조의8 제1항). 어느 근거를 쓰든 처리방침에는 이전되는 개인정보 항목, 이전 국가와 시기·방법, 이전받는 자와 연락처, 이용 목적과 보유·이용 기간, 이전을 거부하는 방법·절차와 거부의 효과를 실제 서비스 구조에 맞게 반영해야 합니다(같은 조 제2항, 시행령 제31조).

AI가 사람의 개입 없이 채용이나 대출 심사 같은 결정을 내린다면 자동화된 결정에 대한 정보주체의 권리도 검토해야 합니다. 법 제37조의2는 그런 결정이 권리나 의무에 중대한 영향을 미치는 경우 정보주체가 이를 거부하거나 설명을 요구할 수 있도록 정하고, 개인정보처리자에게는 자동화된 결정의 기준과 절차 등을 정보주체가 쉽게 확인할 수 있도록 공개할 의무를 따로 두고 있습니다. 이 공개는 법 제30조의 처리방침 기재사항과는 층위가 다른 별도의 의무입니다. 처리방침 안에서 함께 설명하는 것은 가능하지만, 필수 기재사항과 구분해 관리하는 편이 정확합니다.

한편 2026년 9월 8일 공포된 개정법(법률 제21910호)은 일정한 요건을 갖추고 개인정보보호위원회의 심의·의결을 거친 경우 기존에 적법하게 수집한 개인정보를 인공지능 기술 개발에 쓸 수 있도록 하는 내용을 담고 있습니다. 이 규정은 2027년 3월 9일부터 시행될 예정이므로, 학습 데이터 활용 계획이 있다면 시행 전후로 처리방침 문구를 다시 점검해야 합니다.

앱과 쇼핑몰은 어떤 항목을 특히 확인해야 하나요?

앱은 공개 위치와 자동수집 정보가, 쇼핑몰은 위탁과 제3자 제공의 구분이 핵심입니다. 앱은 앱 마켓에 등록한 처리방침 URL이 실제 최신 처리방침으로 연결되는지, 앱 안의 개인정보 안내와 서로 모순되지 않는지 관리해야 합니다. 광고식별자나 쿠키로 행태정보를 수집한다면 자동수집장치의 거부 방법도 처리방침에 적어야 합니다.

앱 개인정보 처리방침에서 자주 빠지는 것은 기기 권한으로 수집되는 정보와 SDK를 통해 외부로 나가는 정보입니다. 분석 도구나 광고 SDK를 붙였다면 그 운영사가 수탁자인지 제공받는 자인지부터 정리해야 합니다. 만 14세 미만 아동의 개인정보를 처리하면서 이 법에 따른 동의를 받아야 하는 경우에는 법정대리인의 동의를 받고 그 동의 여부를 확인해야 합니다. 또 아동에게 개인정보 처리와 관련한 사항을 안내할 때는 이해하기 쉬운 양식과 명확하고 알기 쉬운 언어를 사용해야 하는데, 이는 권장이 아니라 법이 정한 의무입니다(법 제22조의2). 개인정보보호위원회는 2025년 개정 작성지침에서 아동용 처리방침 작성 방법과 예시를 안내한 바 있습니다.

쇼핑몰 개인정보 처리방침은 결제대행사, 택배사, 고객상담 솔루션, 문자 발송 업체처럼 주문 한 건에 얽히는 외부 업체를 빠짐없이 적는 것이 출발점입니다. 스마트스토어처럼 플랫폼 안에서 판매하더라도 판매자가 주문 정보를 받아 배송과 고객 응대에 쓰는 이상, 그 판매자도 개인정보를 처리하는 주체라는 점을 염두에 두어야 합니다. 신산업 서비스의 데이터 구조를 함께 설계하는 방식은 신산업·신기술 서비스 소개에서 확인하실 수 있습니다.

인터넷 양식이나 생성기로 만든 처리방침을 그대로 써도 되나요?

뼈대로 쓰는 것은 괜찮지만 그대로 게시하는 것은 위험합니다. 개인정보 처리방침 양식이나 템플릿, 생성기는 법정 항목의 목차를 채워 줄 뿐, 우리 서비스가 실제로 어떤 정보를 누구에게 얼마 동안 넘기는지는 알지 못하기 때문입니다.

양식을 그대로 쓰면 두 방향으로 어긋납니다. 실제로 하는 위탁이나 국외 이전이 빠지면 기재 의무를 다하지 않은 것이 되고, 반대로 하지도 않는 처리를 잔뜩 적어 두면 정보주체가 자기 정보의 흐름을 알 수 없게 됩니다. 법 제30조 제3항 때문에 처리방침에 적은 보유 기간이나 파기 약속이 계약보다 정보주체에게 유리하다면 그 문구가 그대로 기준이 된다는 점도 기억해야 합니다.

처리방침을 정하지 않거나 공개하지 않으면 법 제75조에 따른 과태료 부과 대상이 됩니다. 국내에 주소나 영업소가 없어 국내대리인을 지정한 사업자가 국내대리인의 성명·주소·전화번호·전자우편 주소를 처리방침에 넣지 않은 경우에는 2025년 10월 2일 시행된 개정법에 따라 1천만원 이하의 과태료가 부과될 수 있습니다. 개인정보보호위원회는 법 제30조의2에 따라 처리방침을 평가하고 개선을 권고할 수도 있습니다.

처리방침을 만들기 전에 무엇을 정리해야 하나요?

문서를 쓰기 전에 데이터 흐름을 먼저 그려야 합니다. 어떤 정보를 어디서 받아 어디에 저장하고 누구에게 넘기며 언제 지우는지가 정리되면, 처리방침의 각 항목은 그 흐름을 옮겨 적는 작업이 됩니다.