기업법무 칼럼
IT 스타트업 법률자문 | 개인정보처리방침·이용약관 작성 및 검토 절차
스타트업 문서 사고의 5가지 유형과 자가진단 체크리스트
"대표님, 서비스 오픈이 2주 남았는데 개인정보처리방침이랑 이용약관 좀 봐주실 수 있을까요?"
기업자문을 하면서 가장 자주 받는 연락이 이런 내용입니다. 그리고 솔직히 말씀드리면, 이 시점에 오는 연락은 이미 조금 늦은 경우가 많습니다. 문서를 만드는 데 시간이 걸려서가 아닙니다. 그 문서를 제대로 쓰려면 서비스의 설계 자체를 조금 바꿔야 하는 상황이 꽤 자주 생기기 때문입니다.
개인정보처리방침과 이용약관은 흔히 '오픈 전에 홈페이지 하단에 넣어야 하는 것' 정도로 여겨집니다. 그런데 실무에서 이 두 문서는 성격이 전혀 다릅니다. 이용약관은 회사와 이용자 사이의 계약서이고, 개인정보처리방침은 계약이 아니라 법이 정한 사항을 회사가 일방적으로 공개하는 법정 문서입니다. 하나는 협상의 산물이고, 하나는 신고서에 가깝습니다. 이 차이를 모른 채 한 파일에서 복사해 붙이면, 나중에 반드시 문제가 생깁니다.
이 글에서는 IT 스타트업 법률자문 과정에서 실제로 반복해서 마주치는 사고 유형과, 저희가 문서를 만들고 검토할 때 어떤 순서로 접근하는지를 정리해 두었습니다. 창업 초기에 계신 분이라면 아래 체크리스트만 훑어보셔도 지금 상태를 대략 진단하실 수 있을 겁니다.
유형 ① 복사·붙여넣기형 "비슷한 서비스 걸 참고했어요"
가장 흔합니다. 경쟁사 홈페이지의 처리방침을 그대로 가져오면서 회사명만 바꾸는 경우죠. 문제는 그 회사가 수집하는 항목과 우리 회사가 수집하는 항목이 다르다는 겁니다. 상대는 결제 정보를 받는데 우리는 안 받고, 우리는 위치정보를 받는데 상대는 안 받습니다. 그 결과 실제로는 수집하지 않는 항목이 적혀 있고, 정작 수집하는 항목은 빠진 문서가 완성됩니다. 이건 단순 오탈자가 아니라 허위 공개에 해당할 수 있습니다.
유형 ② 문서와 서비스가 따로 노는 형 SDK와 외주 개발의 함정
개발을 외주로 맡기거나 오픈소스·상용 SDK를 붙였을 때 자주 발생합니다. 분석 도구, 광고 SDK, 푸시 서비스, 클라우드 스토리지가 붙는 순간 개인정보의 위탁과 국외 이전이 시작되는데, 대표님은 이 사실 자체를 모르고 계신 경우가 많습니다. 개발자에게 "우리 앱에 붙은 외부 SDK 목록 좀 뽑아 주세요"라고 요청드리면, 열에 아홉은 처리방침에 없는 이름이 서너 개는 나옵니다.
유형 ③ 동의 설계 오류형 필수와 선택의 경계
회원가입 화면에서 마케팅 수신 동의를 필수 항목에 묶어 두거나, 전체 동의 체크박스 하나로 모든 걸 처리하는 방식입니다. 서비스 제공에 반드시 필요한 정보와 그렇지 않은 정보는 반드시 구분해서 동의를 받아야 하고, 선택 항목에 동의하지 않았다는 이유로 가입을 막을 수 없습니다. 광고성 정보 전송도 마찬가지여서, 정보통신망법상 별도 동의가 필요하고 야간(21시~익일 08시) 전송은 또 한 번 별도 동의를 받아야 합니다.
유형 ④ 약관 무효형 써 놨는데 효력이 없는 조항
약관에 "회사는 어떠한 경우에도 책임지지 않는다", "환불은 불가하다" 같은 문구를 넣어 두신 경우가 많습니다. 마음은 이해합니다만, 약관의 규제에 관한 법률은 고객에게 부당하게 불리한 조항을 무효로 봅니다. 게다가 중요한 내용은 이용자가 이해할 수 있도록 명시하고 설명해야 하는데, 이 절차를 지키지 않으면 그 조항 자체를 계약 내용으로 주장할 수 없게 됩니다. 쓰기만 하고 효력은 없는 문장이 되는 셈이죠.
유형 ⑤ 실사 지연형 투자 라운드에서 발목 잡히는 경우
시드나 프리A 단계에서 법률 실사를 받을 때, 개인정보 관련 항목은 거의 예외 없이 질문지에 들어갑니다. 처리방침 이력이 없거나, 수집 동의 로그가 남아 있지 않거나, 마케팅 DB의 출처를 설명하지 못하면 그 자리에서 진행이 멈춥니다. 사업이 문제가 아니라 서류가 문제여서 몇 주를 까먹는 상황, 생각보다 흔합니다.
유형별 정리표
오픈 전 자가진단 체크리스트
아래 항목을 하나씩 짚어 보시고, '아니오'가 세 개 이상 나오면 문서를 다시 손보셔야 하는 단계라고 보시면 됩니다.
개인정보처리방침
☐ 우리 서비스가 실제로 수집하는 항목을 모두 적어 두었는가
☐ 항목별 수집 목적과 보유 기간이 각각 특정되어 있는가
☐ 처리를 위탁한 업체(결제·문자·클라우드·CS 툴 등)의 이름이 전부 적혀 있는가
☐ 해외 서버를 쓰는 서비스가 있다면 국외 이전 사실과 국가·업체가 명시되어 있는가
☐ 앱에 붙인 외부 SDK 목록을 개발팀에서 최근에 확인받았는가
☐ 개인정보 보호책임자의 연락처가 실제로 연결되는 번호·메일인가
☐ 만 14세 미만 가입이 가능한 서비스라면 법정대리인 동의 절차가 있는가
☐ 파기 시점과 파기 방법이 구체적으로 적혀 있는가
☐ 개정 이력이 남아 있고, 직전 버전을 다시 볼 수 있는가
이용약관
☐ 유료 서비스라면 가격·결제 주기·자동 갱신 여부가 명확히 적혀 있는가
☐ 환불 및 청약철회 기준이 관련 법령과 충돌하지 않는가
☐ 회사가 약관을 변경할 때의 통지 방법과 기간이 정해져 있는가
☐ 이용자가 만든 콘텐츠의 권리 귀속과 이용 범위가 정리되어 있는가
☐ 이용 제한·계정 정지의 사유가 구체적으로 열거되어 있는가
☐ 분쟁 발생 시 관할 법원과 준거법이 명시되어 있는가
운영·화면
☐ 가입 화면에서 필수 동의와 선택 동의가 시각적으로 구분되는가
☐ 해지·탈퇴가 가입만큼 쉬운 경로로 제공되는가
☐ 결제 직전 화면에 총 결제 금액이 한 번에 표시되는가
☐ 동의 시각과 동의 버전이 로그로 남고 있는가
마지막 세 항목은 특히 눈여겨보셔야 합니다. 2025년 2월부터 시행된 개정 전자상거래법은 총액을 숨기는 순차적 가격 공개, 미리 선택된 옵션, 취소·탈퇴 방해, 반복적인 선택 변경 요구 같은 이른바 '다크패턴'을 명시적으로 금지하고 있습니다. 문서가 아무리 완벽해도 화면 설계가 어긋나면 그대로 제재 대상이 됩니다.
법률사무소 정로 5단계 작성·검토 절차와 사건 유형별 조력
여기서부터는 저희가 IT 스타트업 법률자문을 맡았을 때 실제로 어떤 순서로 일하는지 말씀드리겠습니다. 문서 작성이라기보다는 서비스 구조를 한 번 훑는 작업에 가깝습니다.
1단계 데이터 흐름을 먼저 그립니다
문서를 바로 쓰지 않습니다. 먼저 대표님, 개발 담당자, 그리고 가능하면 마케팅 담당자까지 함께 앉아서 "어떤 정보가, 어디서 들어와서, 어디에 저장되고, 누구에게 넘어가고, 언제 지워지는가"를 그림으로 그립니다. 이 과정에서 회사도 몰랐던 흐름이 튀어나옵니다. 예전 이벤트 응모 데이터가 담당자 개인 노트북에 남아 있다거나, 상담 채널 로그가 별도 SaaS에 3년째 쌓이고 있다거나 하는 것들이죠.
2단계 우리 서비스에 적용되는 법을 확정합니다
같은 앱이라도 어떤 사업이냐에 따라 적용 법령이 달라집니다. 결제가 붙으면 전자상거래법과 전자금융거래법, 위치 기반이면 위치정보법, 채용·인사 데이터를 다루면 근로 관련 법령, 헬스케어라면 의료법까지 검토 대상에 들어옵니다. 이 단계에서 범위를 잘못 잡으면 뒤의 작업이 전부 헛돕니다.
3단계 문서 세트를 함께 만듭니다
개인정보처리방침 하나만 만들어 드리지 않습니다. 처리방침, 이용약관, 개별 동의 서식, 위탁 계약서, 마케팅 수신 동의문까지 한 묶음으로 봅니다. 이 문서들은 서로 참조 관계에 있어서 따로 만들면 반드시 어긋나기 때문입니다. 표현도 가급적 쉬운 말로 씁니다. 법률 용어를 잔뜩 넣은 처리방침은 평가에서도, 분쟁에서도 좋은 소리를 듣지 못합니다.
4단계 문서가 아니라 화면을 봅니다
실제 가입 화면, 결제 화면, 탈퇴 경로를 캡처해서 하나씩 점검합니다. 앞서 말씀드린 다크패턴 규제 때문이기도 하고, 동의의 유효성이 결국 화면에서 결정되기 때문입니다. 이 단계에서 개발팀에 전달되는 수정 요청은 보통 열 건 안팎입니다.
5단계 오픈 이후를 설계합니다
문서는 살아 있는 서류입니다. 기능이 추가되면 처리방침도 바뀌어야 하고, 변경 시에는 시행일 전에 미리 알려야 합니다. 저희는 개정 이력 관리 양식, 유출 사고 발생 시 72시간 내 통지 절차를 담은 대응 매뉴얼, 그리고 반기 단위 점검 일정까지 함께 정리해 드립니다. 개인정보보호위원회가 매년 특정 분야를 골라 처리방침의 적정성·가독성·접근성을 평가하고 개선을 권고하는 제도를 운영하고 있어서, 성장하는 회사일수록 이 관리 체계가 중요해집니다.
사건 유형별 조력 사례
아래는 저희가 실제로 다루는 사건 유형과 조력의 형태를 정리한 것입니다. 사건의 구체적 사정에 따라 결과는 달라질 수 있으므로 참고 자료로만 봐주시기 바랍니다.
마무리하며
개인정보처리방침과 이용약관은 회사가 이용자에게 하는 약속을 문서로 옮긴 것입니다. 약속을 지킬 수 없는 문장을 적어 두면 그게 나중에 그대로 증거가 됩니다. 반대로, 실제 운영과 일치하는 문서를 갖춘 회사는 조사가 들어와도, 분쟁이 생겨도, 투자자가 물어봐도 설명할 말이 있습니다.
법률사무소 정로는 초기 스타트업부터 시리즈 단계 기업까지 IT 스타트업 법률자문을 맡아 왔습니다. 템플릿을 채워 드리는 방식이 아니라, 서비스 구조를 이해한 뒤 회사에 맞는 문서를 만드는 방식으로 일합니다. 사건은 적게, 더 깊이 저희가 지켜 온 원칙입니다.
문서 검토가 필요하시거나, 지금 상태가 괜찮은지 확인만 받고 싶으신 경우에도 편하게 연락 주십시오. 현재 문서를 보내 주시면 어느 부분을 먼저 손봐야 할지 정리해 드리겠습니다.
법률사무소 정로 기업자문팀
서울 서초동 | IT·스타트업 법률자문, 개인정보 컴플라이언스, 기업 일반 자문
FAQ
Q. 아직 이용자가 없는 초기 단계인데, 개인정보처리방침을 꼭 만들어야 하나요?
A. 이용자 수와 무관하게 개인정보를 처리하는 사업자라면 처리방침을 수립하고 공개해야 합니다. 개인정보 보호법은 사업 규모에 따른 예외를 두고 있지 않고, 미수립이나 미공개는 과태료 부과 대상입니다. 오히려 초기일수록 수집 항목이 단순해서 문서 작성이 빠르고 비용도 적게 듭니다. 서비스가 복잡해진 뒤에 손대면 정리해야 할 이력이 훨씬 많아집니다.
Q. 인터넷에 있는 무료 템플릿이나 자동 생성기를 써도 되나요?
A. 뼈대를 잡는 용도로는 도움이 됩니다. 다만 템플릿은 우리 회사가 어떤 SDK를 붙였는지, 어느 나라 서버를 쓰는지, 어떤 업체에 업무를 위탁했는지를 알 수 없습니다. 결국 가장 중요한 부분이 비어 있거나 틀린 채로 공개되는 경우가 많습니다. 템플릿으로 초안을 만드시더라도 실제 데이터 흐름과 대조하는 작업은 반드시 거치셔야 합니다.
Q. 이용약관과 개인정보처리방침을 한 페이지에 같이 올려도 되나요?
A. 권장하지 않습니다. 두 문서는 법적 성격이 다르고, 개정 주기와 고지 방식도 다릅니다. 처리방침은 별도로 구분해 이용자가 쉽게 찾을 수 있는 곳에 게시하도록 되어 있습니다. 실무적으로는 홈페이지 하단에 두 링크를 나란히 두되, 각각 독립된 페이지로 운영하시는 편이 안전합니다.
Q. 문서를 수정하면 이용자에게 어떻게 알려야 하나요?
A. 변경 내용과 시행일을 시행일 전에 미리 공지해야 합니다. 이용자에게 불리한 내용으로 약관을 바꾸는 경우에는 더 여유 있는 기간을 두고, 공지와 함께 개별 통지를 병행하는 것이 일반적입니다. 개정 전 버전을 함께 보관해 두면 나중에 분쟁이 생겼을 때 어떤 시점에 어떤 내용이 적용됐는지 입증하기 수월해집니다.
Q. 해외 클라우드나 분석 도구를 쓰면 무조건 문제가 되나요?
A. 그 자체가 위법은 아닙니다. 문제는 그 사실을 알리지 않았을 때 생깁니다. 국외로 개인정보가 이전된다면 이전받는 국가, 업체, 항목, 시점과 방법 등을 처리방침에 명시하거나 별도로 동의를 받아야 합니다. 도구를 바꾸는 게 아니라 문서를 정확하게 맞추는 것이 우선입니다.
Q. 자문 비용은 어느 정도이고, 기간은 얼마나 걸리나요?
A. 수집하는 정보의 범위와 서비스 구조에 따라 달라집니다. 일반적인 초기 스타트업의 문서 세트 구축은 3주에서 4주 정도가 걸리며, 상담 단계에서 서비스 설명을 들어 본 뒤 범위와 견적을 먼저 안내해 드립니다. 이미 만들어 둔 문서가 있다면 진단만 받아 보시는 것도 가능합니다.
Q. 유출 사고가 이미 발생한 뒤에 연락드려도 되나요?
A. 가능한 한 빨리 연락 주시는 편이 좋습니다. 유출 사실을 알게 된 시점부터 통지와 신고에 관한 시간 제한이 적용되기 때문에, 초기 대응의 속도가 이후 절차 전체에 영향을 미칩니다. 사고 직후에는 원인 파악, 통지문 작성, 기관 대응이 동시에 진행되어야 해서 혼자 감당하기 어려운 경우가 많습니다.
