문의 양식 개인정보처리방침: GDPR 기본 원칙과 고지 문구

제출 버튼 옆의 짧은 고지는 GDPR의 계층형 고지 방식을 그대로 실천하는 것입니다. 수집 시점에는 핵심만 보여 주고, 자세한 내용은 클릭 한 번으로 볼 수 있게 합니다. 한두 문장이면 충분합니다.

상황에 맞게 고쳐 쓸 수 있는 짧은 예시 세 가지입니다.

• 일반 문의: “이름, 이메일, 메시지는 답변하는 데에만 사용하며 대화 내용은 12개월 동안 보관합니다. 자세한 내용과 귀하의 권리는 개인정보처리방침을 확인하세요.”
• 견적 요청: “입력하신 정보는 견적을 준비하고 관련 후속 연락을 하는 데 사용합니다. 고객이 되시면 계정 정보의 일부로 보관합니다. 개인정보처리방침을 확인하세요.”
• 뉴스레터 선택 항목이 있는 경우: “입력하신 정보는 답변하는 데 사용합니다. 월간 뉴스레터도 받고 싶으시면 체크박스를 선택하세요. 언제든지 수신을 거부할 수 있습니다.”

개인정보처리방침이라는 문구는 전체 문서로 실제 연결되는 링크로 만드세요. 고지는 툴팁 속에 숨기지 말고 눈에 보이게 두며, 실제 처리 방식과 일치하는지 확인하세요. 메시지가 CRM으로 전달되거나 2년 동안 보관된다면 그렇게 밝혀야 합니다. 더 폭넓은 배치 규칙은 개인정보처리방침 링크는 어디에 둬야 할까를 읽어 보세요.

개인정보란 식별 가능한 사람과 관련된 모든 정보를 말합니다. 문의 양식은 애초에 이런 정보를 모으도록 만들어져 있습니다. 이름, 이메일 주소, 때로는 전화번호나 회사명, 그리고 거의 어떤 내용이든 담길 수 있는 자유 형식의 메시지까지 수집합니다. 보이지 않는 곳에서는 양식 도구나 서버가 보낸 사람의 IP 주소, 브라우저 정보, 제출 시각을 기록하기도 합니다.

여기서 세 가지 결과가 따릅니다.

1. 개인정보가 어떻게 처리되는지 알려야 합니다. GDPR 제13조에 따라 이 정보는 수집하는 시점에 제공해야 합니다.
2. 처리 과정의 모든 제공업체가 해당됩니다. 양식 플러그인이나 서비스, 이메일 제공업체, CRM, 스팸 필터가 모두 메시지를 처리합니다.
3. 미국 법률도 적용될 수 있습니다. CalOPPA는 캘리포니아 거주자로부터 이름이나 이메일 주소 같은 개인 식별 정보를 수집하는 상업용 웹사이트에 적용됩니다.

사이트에 개인정보처리방침이 필요한지 아직 고민 중이라면, 양식이 있는 거의 모든 사이트의 답은 ‘필요하다’입니다. 개인정보처리방침이 꼭 필요할까요? 가이드에서 법적 요건을 더 자세히 설명합니다.

GDPR 제5조의 데이터 최소화 원칙에 따르면 개인정보는 목적에 적절하고 관련성이 있으며 필요한 범위로 제한되어야 합니다. 문의 양식의 목적은 상대방에게 답변하는 것이므로, 그러기 위해 정말 필요한 것이 무엇인지 따져 보세요.

실용적인 항목 체크리스트는 다음과 같습니다.

• 이메일 주소: 답변하려면 필요하므로 필수입니다.
• 이름: 유용한 경우가 많지만 선택 항목이나 단일 입력란으로 두는 것을 고려하세요.
• 메시지: 필수이며, 민감한 정보는 적지 말라는 안내를 함께 표시하세요.
• 전화번호: 실제로 전화를 걸어 회신하는 경우가 아니라면 선택 항목으로 두세요.
• 회사명, 예산, 프로젝트 유형: 문의를 분류하거나 답변하는 데 실제로 쓰는 경우에만 요청하세요.
• 생년월일, 신분증 번호, 건강 정보: 일반 문의 양식에서는 거의 언제나 부적절합니다.

항목을 하나 줄일 때마다 보호하고 보관하고 설명해야 할 정보도 하나 줄어듭니다. 병원이나 법률사무소처럼 전문 서비스를 운영한다면 양식으로 민감한 정보를 보내지 말라는 안내 문구를 넣고, 그런 정보를 위한 더 안전한 채널을 마련하세요.

많은 사이트가 습관처럼 모든 양식에 동의 체크박스를 넣습니다. 영국 감독기관의 지침은 이것이 잘못된 방법인 경우가 많다고 말합니다. 대개는 제6조의 다른 두 가지 처리 근거가 더 적합합니다.

• 계약, 제6조 제1항 (b)호: ICO는 이 근거가 계약 체결 전 정보주체의 요청에 따라 특정 조치를 취하는 데 필요한 처리를 포함한다고 설명합니다. 견적 요청이나 서비스 구매에 관한 문의가 대표적인 예입니다.
• 정당한 이익, 제6조 제1항 (f)호: 일반 문의, 의견, 언론 문의에 답변하는 것은 사람들이 예상하는 정당한 이익입니다. ICO는 정당한 목적, 필요성, 그리고 정보주체의 이익과의 균형이라는 3단계 테스트를 제시합니다.

ICO의 동의 지침은 어차피 데이터를 처리할 것이라면 실질적인 선택권이 없으므로 동의를 요청하는 것이 오해를 불러일으킨다고 경고합니다. 질문을 보낸 사람은 당연히 답변을 기대합니다.

마케팅은 다릅니다. 문의에 답변한다고 해서 그 사람을 뉴스레터 명단에 추가해도 되는 것은 아닙니다. ePrivacy 규정상 마케팅 메시지에 동의가 필요하다면, 대개 그 메시지의 처리 근거로도 동의가 적합합니다.

메시지에 답변하는 용도라면 보통 필요하지 않습니다. 필수 “개인정보처리방침에 동의합니다” 체크박스는 오히려 혼란을 줄 수 있습니다. 동의가 처리 근거가 아닌데도 처리 근거인 것처럼 보이게 만들고, 개인정보처리방침은 사람들이 동의해야 하는 계약이 아니라 안내 정보이기 때문입니다.

체크박스가 의미 있는 경우는 다음과 같습니다.

• 뉴스레터 또는 마케팅 수신 동의: 미리 체크되지 않은 별도 체크박스를 사용하고, 메시지 전송의 조건으로 삼지 마세요.
• 선택적 추가 사항: 예를 들어 후기를 게시하거나 문의 내용을 파트너와 공유하는 것에 대한 허락입니다.
• 민감정보(특수 범주 데이터): 민감한 정보가 정말 필요하다면, 명시적 동의가 근거로 삼을 수 있는 요건 중 하나일 수 있습니다.

GDPR에서 미리 체크된 체크박스로는 유효한 동의가 성립하지 않는다는 점을 기억하세요. 개인정보 고지를 확인했다는 표시가 필요하다면, 제출 버튼 옆에 링크가 포함된 간단한 문장 하나면 동의를 받는 척하지 않고도 충분합니다. 특정 양식에 대해 확신이 서지 않는다면 GDPR 개인정보처리방침 생성기 페이지에서 생성된 방침에 처리 근거가 어떻게 반영되는지 확인하세요.

자세한 내용은 전체 방침에 들어갑니다. 다음 내용을 다루는 섹션이나 데이터 표의 한 행을 추가하세요.

1. 수집 항목: 양식의 입력 항목과 함께 IP 주소, 제출 시각처럼 자동으로 수집되는 정보.
2. 목적: 문의에 대한 답변과 견적 준비 같은 후속 목적.
3. 처리 근거: 일반적으로 계약 체결 전 조치 또는 정당한 이익이며, 동의는 선택적 마케팅에만 해당합니다.
4. 수령자: 양식 제공업체, 이메일 호스팅, CRM, 헬프데스크, 스팸 방지 서비스.
5. 국외 이전: 이 제공업체 중 영국이나 EU 밖에서 데이터를 처리하는 곳이 있는지, 어떤 보호 조치를 사용하는지.
6. 보관 기간: 메시지를 얼마나 오래 보관하는지.
7. 권리: 열람, 정정, 삭제, 반대할 권리와 그 요청 방법.

뉴스레터, 채팅 위젯, 예약 양식도 운영한다면 모두 문의 항목 하나에 몰아넣지 말고 각각 짧은 항목을 따로 두세요. 어떤 개인정보 안내를 제공해야 하는지에 관한 ICO 지침은 필수 항목을 대조해 보기에 좋은 자료입니다.

GDPR의 보관 기간 제한 원칙에 따르면 개인정보는 목적에 필요한 기간보다 오래 보관해서는 안 됩니다. 문의 양식 메시지에 대해 하나의 숫자를 정해 둔 법률은 없으므로, 정당화할 수 있는 기간을 직접 정하고 이를 지켜야 합니다.

일반적인 방식은 다음과 같습니다.

• 이어지는 거래가 없는 일반 문의: 마지막 답변 후 6~12개월처럼 후속 질문에 대응할 수 있을 만큼의 정해진 기간이 지나면 삭제합니다.
• 고객으로 이어진 문의: 거래 관계와 법적 기록 보존 의무에 필요한 기간 동안 고객 기록의 일부로 보관합니다.
• 스팸 및 악성 메시지: 보안상 필요한 경우가 아니라면 즉시 삭제합니다.
• 웹사이트 데이터베이스에 저장된 양식 제출 내역: 많은 양식 플러그인이 이메일과 별도로 모든 제출 내역의 사본을 보관합니다. 플러그인이 제출 내역을 자동으로 삭제하도록 설정하거나 정기적으로 지우세요.

보관 기간을 개인정보처리방침에 적고, 알림이나 자동 삭제를 설정해 방침 내용이 계속 사실과 일치하도록 하세요. 받은편지함보다 사본을 더 오래 보관하는 경우가 많은 백업과 이메일 보관함도 잊지 마세요.

네. 스팸 방지 도구는 양식을 사용하는 사람들에 관한 데이터를 처리하므로 개인정보처리방침에 포함해야 합니다.

reCAPTCHA: Google의 reCAPTCHA FAQ에 따르면 2026년 4월 2일부터 고객이 처리되는 데이터의 단독 컨트롤러(controller)가 되고, reCAPTCHA 배지에서 Google 개인정보처리방침 및 약관에 대한 언급이 삭제되었으며, 고객은 자체 최종 사용자 개인정보 고지가 보안, 사기 및 악용 방지 목적을 포함하는지 검토해야 합니다. FAQ는 사이트가 reCAPTCHA로 보호된다는 사실을 사용자에게 눈에 보이게 알린다면 여전히 배지를 숨기는 것을 허용합니다. 또한 reCAPTCHA가 위험 분석을 위해 필수 쿠키를 설정한다고 명시합니다.

기타 서비스: hCaptcha, Cloudflare Turnstile, 스팸 방지 플러그인도 각각 양식 데이터나 기기 신호를 처리합니다. 사용하는 서비스의 이름을 밝히고 그 목적을 설명하세요.

허니팟 필드와 요청 횟수 제한은 자체 서버에서 실행되고 제3자가 관여하지 않는 더 가벼운 대안이지만, 집요한 봇에는 덜 효과적일 수 있습니다. 무엇을 선택하든 무엇을, 누가, 왜 확인하는지 쉬운 말로 설명하세요.

문의 양식이 도구 하나로만 이루어지는 경우는 드뭅니다. 일반적인 구성은 여러 제공업체가 연결되어 있으며, 각 업체가 모두 개인정보처리방침에 포함되어야 합니다.

• 양식 플러그인 또는 양식 서비스: 제출 내역을 저장하며, 때로는 자체 서버에 저장합니다.
• 이메일 발송: 호스팅 업체나 트랜잭션 이메일 서비스를 통해 받은편지함으로 알림을 보냅니다.
• 받은편지함과 CRM: 공유 메일함, 헬프데스크, 영업용 CRM처럼 메시지가 장기간 보관되는 곳입니다.
• 자동화: 제출 내역을 스프레드시트나 채팅 채널로 복사하는 도구입니다.

제공업체가 귀하를 대신해 데이터를 처리하는 경우 GDPR 제28조는 처리자 조항을 담은 계약, 보통 제공업체의 데이터 처리 부속 계약(DPA)을 요구합니다. 개인정보처리방침에 이 제공업체들을 이름이나 범주로 나열하고, 도구를 바꿀 때마다 목록을 최신 상태로 유지하세요.

Legal Policy Generator의 설문에서는 Mailchimp, HubSpot, Zendesk, Intercom, SendGrid, reCAPTCHA, hCaptcha 같은 제3자 서비스를 선택할 수 있으며, 답변에 맞는 조항을 선택합니다. 설문, 미리보기, 기본 HTML 다운로드는 무료입니다. 문서의 나머지 부분은 웹사이트 개인정보처리방침 만들기 가이드에서 다룹니다.