기업법무 칼럼
개인정보처리방침 법률검토 자문에서 반드시 확인하는 항목들
검토에서 자주 발견되는 여섯 가지 문제와 자가진단 체크리스트
개인정보처리방침 검토를 의뢰하시는 분들이 자주 하시는 오해가 있습니다. 이 문서를 이용약관과 같은 성격으로 생각하시는 것입니다.
두 문서는 전혀 다릅니다. 이용약관은 회사와 이용자 사이의 계약이라서 이용자의 동의로 효력이 생깁니다. 반면 개인정보처리방침은 계약이 아니라 개인정보 보호법이 정한 사항을 회사가 일방적으로 공개하는 법정 문서입니다. 동의를 받는 것이 아니라 게시하는 것이고, 수립하지 않거나 공개하지 않으면 그 자체로 과태료 부과 대상이 됩니다.
그래서 개인정보처리방침 법률검토는 문장을 다듬는 작업이 아닙니다. 우리 회사가 실제로 처리하는 개인정보의 흐름과 문서에 적힌 내용이 일치하는지를 맞추는 작업입니다. 실무에서 문제가 되는 것은 대부분 이 불일치입니다. 문서에는 없는 정보를 실제로는 수집하고 있거나, 문서에는 있는데 실제로는 하지 않는 처리가 적혀 있는 경우입니다.
여기에 시점 문제도 있습니다. 개인정보 보호법은 계속 개정되고 있고, 개인정보보호위원회는 매년 특정 분야를 골라 처리방침을 평가하는 제도를 운영하고 있습니다. 몇 년 전에 만든 문서를 그대로 두고 계신다면, 지금 기준으로 다시 봐야 합니다.
1. 검토에서 자주 발견되는 여섯 가지 문제와 자가진단 체크리스트
유형 ① 실제 수집 항목과 문서의 불일치
가장 흔합니다. 서비스가 바뀌면서 수집하는 정보가 늘었는데 문서는 그대로인 경우입니다. 회원가입 화면에서는 생년월일과 위치정보를 받고 있는데 처리방침에는 이름과 연락처만 적혀 있는 식입니다. 이건 단순 누락이 아니라 사실과 다른 공개에 해당할 수 있습니다. 반대로 예전에 받던 항목을 이제는 받지 않는데 문서에 남아 있는 경우도 마찬가지로 문제입니다.
유형 ② 위탁과 제3자 제공의 혼동
이 둘은 다른데 섞어 쓰는 경우가 많습니다. 위탁은 회사의 업무를 대신 처리하도록 맡기는 것이고, 제3자 제공은 다른 사업자에게 정보를 넘겨 그들의 목적으로 쓰게 하는 것입니다. 결제 대행사, 문자 발송 업체, 클라우드, 고객 상담 툴은 위탁에 해당하는 것이 보통이고, 각각 수탁자와 위탁 업무를 처리방침에 공개해야 합니다. 이 부분이 통째로 빠져 있는 경우가 실제로 많습니다.
유형 ③ 국외 이전의 누락
해외 서버를 쓰는 서비스, 해외 SDK를 붙인 앱에서 자주 발생합니다. 분석 도구나 광고 SDK, 클라우드 스토리지가 붙는 순간 개인정보가 국외로 이전되는데, 대표님이 이 사실 자체를 모르고 계신 경우가 많습니다. 국외로 이전한다면 이전받는 국가와 업체, 항목, 시기와 방법 등을 명시해야 합니다. 개발팀에 외부 SDK 목록을 요청드리면 처리방침에 없는 이름이 서너 개는 나옵니다.
유형 ④ 보유 기간과 파기의 모호함
"목적 달성 시까지"라고만 적혀 있는 경우입니다. 항목별로 수집 목적과 보유 기간을 각각 특정해야 하고, 법령에서 일정 기간 보관을 요구하는 정보는 그 근거와 기간을 함께 적어야 합니다. 파기 시점과 방법도 구체적이어야 합니다. 이 부분이 두루뭉술하면 평가에서도 지적되고 분쟁에서도 불리합니다.
유형 ⑤ 형식만 갖춘 필수 기재사항
개인정보 보호책임자의 연락처가 실제로 연결되지 않거나, 정보주체의 권리 행사 방법이 형식적으로만 적혀 있는 경우입니다. 처리방침에는 처리 목적, 항목, 보유 기간, 제3자 제공, 위탁, 정보주체의 권리와 그 행사 방법, 안전성 확보 조치, 개인정보 보호책임자 등 정해진 사항이 들어가야 합니다. 항목만 채워 넣고 실제 운영과 연결되지 않으면 의미가 없습니다.
유형 ⑥ 자동수집장치와 가명정보 등 최신 쟁점 누락
쿠키 같은 자동수집장치의 운영과 거부 방법, 가명정보 처리, 만 14세 미만 아동의 정보 처리 같은 부분이 빠진 경우입니다. 서비스에 해당하는 항목인데 문서에 반영되지 않으면 검토에서 지적됩니다. 특히 아동을 대상으로 하는 서비스라면 법정대리인 동의 절차가 함께 정리되어 있어야 합니다.
유형별 정리표
처리방침 평가제를 염두에 둬야 하는 이유
이 부분을 검토에서 함께 봅니다. 개인정보보호위원회는 국민 생활과 밀접한 분야를 중심으로 매년 처리방침을 평가하는 제도를 운영하고 있습니다. 평가의 기준은 세 가지입니다. 필수사항을 제대로 포함했는지의 적정성, 국민이 이해하기 쉬운지의 가독성, 쉽게 확인할 수 있는지의 접근성입니다.
여기서 알 수 있는 것이 있습니다. 법이 요구하는 항목을 다 넣는 것만으로는 부족하다는 점입니다. 법률 용어를 잔뜩 넣어 읽기 어렵게 만든 처리방침은 평가에서도 좋은 소리를 듣지 못합니다. 그래서 저희는 검토할 때 정확성과 함께 읽히는지도 봅니다. 성장하는 회사일수록 이 부분이 중요해집니다.
검토 전 자가진단 체크리스트
☐ 우리 서비스가 실제로 수집하는 항목을 모두 적어 두었는가
☐ 항목별 수집 목적과 보유 기간이 각각 특정되어 있는가
☐ 처리를 위탁한 업체가 전부 기재되어 있는가
☐ 위탁과 제3자 제공이 구분되어 정리되어 있는가
☐ 해외 서버나 SDK를 쓴다면 국외 이전 내역이 명시되어 있는가
☐ 앱에 붙인 외부 SDK 목록을 개발팀에서 최근에 확인받았는가
☐ 개인정보 보호책임자의 연락처가 실제로 연결되는가
☐ 정보주체의 권리와 그 행사 방법이 구체적으로 적혀 있는가
☐ 만 14세 미만 이용이 가능하다면 법정대리인 동의 절차가 있는가
☐ 자동수집장치의 운영과 거부 방법이 안내되어 있는가
☐ 파기 시점과 방법이 구체적으로 적혀 있는가
☐ 개정 이력이 남아 있고 직전 버전을 다시 볼 수 있는가
여섯 번째 항목이 실무에서 자주 결정타가 됩니다. 대표님이 알고 계신 수집 항목과 앱에 실제로 붙어 있는 SDK가 다른 경우가 대부분이기 때문입니다. 개발팀에 최근 목록을 받아 문서와 대조하는 것만으로도 상당수의 누락이 드러납니다.
변호사는 이렇게 검토합니다
2. 변호사는 이렇게 검토합니다
1단계. 데이터 흐름을 먼저 그립니다
개인정보처리방침 법률검토의 출발점입니다. 문서를 바로 읽지 않습니다. 어떤 정보가 어디서 들어와서, 어디에 저장되고, 누구에게 넘어가고, 언제 지워지는지를 먼저 그립니다. 대표님과 개발 담당자, 가능하면 마케팅 담당자까지 함께 확인합니다. 이 과정에서 회사도 몰랐던 흐름이 나옵니다. 예전 이벤트 데이터가 담당자 노트북에 남아 있거나, 상담 로그가 별도 툴에 몇 년째 쌓이고 있는 경우가 실제로 있습니다.
2단계. 문서와 실제를 대조합니다
그린 흐름을 문서와 하나씩 맞춰 봅니다. 문서에 있는데 실제로는 하지 않는 처리, 실제로 하는데 문서에 없는 처리를 표로 정리합니다. 이 대조표가 검토의 핵심 산출물입니다. 여기서 드러난 불일치를 어느 쪽에 맞출지, 즉 문서를 고칠지 처리 방식을 바꿀지를 정합니다.
3단계. 필수 기재사항을 점검합니다
개인정보 보호법이 요구하는 항목이 빠짐없이 들어 있는지 확인합니다. 처리 목적, 항목, 보유 기간, 제3자 제공, 위탁, 국외 이전, 정보주체의 권리와 행사 방법, 안전성 확보 조치, 개인정보 보호책임자, 자동수집장치, 파기 절차 같은 항목을 하나씩 봅니다. 서비스 특성에 따라 가명정보나 아동 관련 사항이 추가로 필요한지도 검토합니다.
4단계. 문서 세트로 봅니다
처리방침만 검토하는 경우는 드뭅니다. 수집 동의 서식, 마케팅 수신 동의문, 위탁 계약서, 이용약관까지 함께 봅니다. 이 문서들은 서로 참조 관계에 있어서 따로 만들면 반드시 어긋납니다. 처리방침에는 특정 항목을 선택 동의로 받는다고 되어 있는데 가입 화면에서는 필수로 묶여 있는 식의 모순이 자주 발견됩니다.
5단계. 가입 화면과 동의 절차를 확인합니다
문서가 아니라 화면을 봅니다. 필수 동의와 선택 동의가 시각적으로 구분되는지, 선택 항목에 동의하지 않아도 가입이 되는지, 마케팅 수신 동의가 별도로 받아지고 있는지를 점검합니다. 처리방침이 정확해도 동의 절차가 어긋나면 수집 근거 자체가 흔들립니다.
6단계. 개정과 관리 체계를 정합니다
처리방침은 살아 있는 문서입니다. 기능이 추가되면 함께 바뀌어야 하고, 변경 시에는 시행일과 변경 내용을 알려야 합니다. 저희는 개정 이력 관리 양식과 함께, 유출 사고가 발생했을 때 정해진 시간 안에 통지하고 신고하는 절차를 담은 대응 방안, 반기 단위 점검 일정까지 정리해 드립니다. 검토 한 번으로 끝나지 않고 관리 체계가 남아야 합니다.
사건 유형별 조력 사례
의뢰인 정보는 특정되지 않도록 각색했으며, 사건의 구체적 사정에 따라 결과는 달라집니다.
개인정보처리방침은 회사가 이용자에게 하는 약속을 문서로 옮긴 것입니다. 그런데 이 문서에는 특별한 점이 있습니다. 지키지 못할 내용을 적어 두면, 그것이 나중에 그대로 회사에 불리한 증거가 된다는 점입니다. 실제로는 국외로 이전하는데 하지 않는다고 적어 두면, 그 문장이 규제기관 조사에서 문제가 됩니다.
반대로 실제 운영과 일치하는 문서를 갖춘 회사는 조사가 들어와도, 이용자가 문의해도, 투자자가 물어봐도 설명할 말이 있습니다. 좋은 처리방침은 항목을 많이 넣은 문서가 아니라 실제 처리와 정확히 맞는 문서입니다.
개인정보처리방침 법률검토는 결국 문서와 현실을 맞추는 작업입니다. 지금 쓰고 계신 문서가 괜찮은지 확인만 받고 싶으신 경우에도 편하게 문의 주십시오.
법률사무소 정로는 개인정보처리방침과 관련 문서 세트를 실제 데이터 흐름에 맞춰 검토하고, 오픈 이후의 관리 체계까지 함께 정리합니다. 템플릿을 채워 드리는 방식이 아니라 회사의 처리 현황에 맞게 다시 쓰는 방식으로 일합니다. 사건은 적게, 더 깊이. 저희가 지켜 온 원칙입니다.
현재 사용 중인 처리방침과 서비스 소개, 그리고 개발팀에서 받은 SDK 목록만 보내 주셔도 어느 부분을 먼저 손봐야 할지 정리해 드리겠습니다.
법률사무소 정로
서울 서초동 | 기업 자문, 개인정보 컴플라이언스, 스타트업 법률자문
FAQ
Q. 개인정보처리방침을 꼭 만들어야 하나요? 이용자가 많지 않은데요.
A. 이용자 수와 관계없이 개인정보를 처리하는 사업자라면 처리방침을 수립하고 공개해야 합니다. 개인정보 보호법은 사업 규모에 따른 예외를 두고 있지 않고, 미수립이나 미공개는 과태료 부과 대상입니다. 오히려 초기일수록 수집 항목이 단순해 작성이 빠르고 비용도 적게 듭니다. 서비스가 복잡해진 뒤에 손대면 정리할 이력이 훨씬 많아집니다.
Q. 무료 생성기로 만든 문서를 그대로 써도 되나요?
A. 뼈대를 잡는 용도로는 도움이 됩니다. 다만 생성기는 우리 회사가 어떤 SDK를 붙였는지, 어느 나라 서버를 쓰는지, 어떤 업체에 업무를 위탁했는지를 알 수 없습니다. 결국 가장 중요한 부분이 비어 있거나 틀린 채로 공개되는 경우가 많습니다. 초안을 만드시더라도 실제 데이터 흐름과 대조하는 작업은 반드시 거치셔야 합니다.
Q. 이용약관과 한 페이지에 같이 올려도 되나요?
A. 권장하지 않습니다. 두 문서는 법적 성격이 다릅니다. 이용약관은 이용자의 동의로 효력이 생기는 계약이고, 처리방침은 법이 정한 사항을 회사가 일방적으로 공개하는 법정 문서입니다. 처리방침은 별도로 구분해 이용자가 쉽게 찾을 수 있는 곳에 게시하도록 되어 있으므로, 각각 독립된 페이지로 운영하시는 편이 안전합니다.
Q. 해외 클라우드나 분석 도구를 쓰면 무조건 문제가 되나요?
A. 그 자체가 위법은 아닙니다. 문제는 그 사실을 알리지 않았을 때 생깁니다. 국외로 개인정보가 이전된다면 이전받는 국가와 업체, 항목, 시기와 방법 등을 처리방침에 명시하거나 별도로 동의를 받아야 합니다. 도구를 바꾸는 것이 아니라 문서를 정확하게 맞추는 것이 우선입니다.
Q. 문서를 수정하면 이용자에게 어떻게 알려야 하나요?
A. 변경 내용과 시행일을 시행일 전에 공지해야 합니다. 그리고 개정 전 버전을 함께 보관해 두시는 것이 중요합니다. 나중에 어느 시점에 어떤 내용이 적용됐는지 입증할 수 있어야 하기 때문입니다. 개정 이력을 관리하는 양식을 함께 갖춰 두시면 이후 관리가 훨씬 수월합니다.
Q. 처리방침 평가 대상이 되면 어떻게 되나요?
A. 개인정보보호위원회가 적정성, 가독성, 접근성을 기준으로 처리방침을 점검합니다. 우수한 곳은 포상하고 미흡한 곳은 자율 개선을 유도하는데, 개선이 부족하면 개선권고 등 후속 조치가 이뤄질 수 있습니다. 평가를 앞두고 있다면 필수사항이 빠지지 않았는지와 함께 이용자가 이해하기 쉽게 쓰였는지를 미리 점검해 두시는 것이 좋습니다.
Q. 검토는 어떻게 진행되나요?
A. 먼저 데이터 흐름을 파악하는 것에서 시작합니다. 어떤 정보가 어디로 흐르는지를 확인한 뒤 현재 문서와 대조해 불일치를 찾습니다. 처리방침만이 아니라 동의 서식과 위탁 계약, 가입 화면까지 함께 보는 것이 보통입니다. 현재 사용 중인 문서와 서비스 소개, 개발팀에서 받은 SDK 목록을 보내 주시면 검토 범위와 방향을 먼저 안내해 드립니다.
