개인정보처리방침 업데이트 주기와 이용자 고지 방법

대부분의 업데이트는 새로운 법이 아니라 여러분의 제품에서 비롯됩니다. 다음 변경 사항이 적용되기 전, 또는 적용과 동시에 방침을 업데이트하세요.

• 분석, 이메일, 결제, 고객 지원, 호스팅 서비스처럼 개인정보를 받는 제공업체를 추가하거나 교체할 때
• 특히 광고나 어트리뷰션을 위한 새 SDK, 픽셀, 태그를 설치할 때
• 위치, 연락처, 사진, 건강 정보, 음성 녹음 같은 새로운 데이터 범주를 수집할 때
• 개인화, 광고, AI 모델 학습처럼 기존 데이터를 새로운 목적으로 이용할 때
• 이용자 콘텐츠를 모델 제공업체에 보내는 AI 기능을 출시할 때
• 데이터를 판매, 공유하거나 타깃 광고에 이용하기 시작할 때
• 새로운 국가나 미국 주로 진출하거나, 법의 적용 기준을 넘을 때
• 보유 기간, 저장 위치, 국외 이전을 바꿀 때
• 회사명, 주소, 연락처, 개인정보 담당 연락처를 바꿀 때
• 새 요청 양식이나 설정 페이지처럼 이용자의 권리 행사 방법을 바꿀 때

출시 체크리스트에 ‘개인정보처리방침에 영향이 있는가?’를 추가해 두면 유용합니다. 답이 ‘예’라면 방침 변경도 기능과 함께 배포하세요.

고정된 주기를 정한 주요 법은 하나뿐이지만, 여러 법이 사실상 같은 결과가 되는 기대를 정하고 있습니다.

• CCPA: 민법(Civil Code) 제1798.130조 (a)(5)항은 적용 대상 사업자가 온라인 개인정보처리방침에 특정 정보를 포함하고 그 정보를 최소 12개월마다 한 번 업데이트하도록 요구합니다. CCPA 규정은 방침에 마지막 업데이트 날짜를 표시하도록 요구하기도 합니다.
• CalOPPA: 방침에 시행일을 밝히고, 중요한 변경을 이용자에게 알리는 절차를 설명해야 합니다.
• GDPR: 고정된 주기는 없지만 사람들에게 제공하는 정보는 정확해야 하며, 유럽의 투명성 가이드라인은 책임성이 수집 시점뿐 아니라 처리 생애주기 전체에 걸쳐 적용된다고 강조합니다.
• 호주: APP 1은 명확하게 표현되고 최신 상태인 개인정보처리방침을 요구합니다.

실무적으로는 간단한 규칙이 됩니다. 최소 12개월마다 검토하고, 관행이 바뀌면 즉시 업데이트하세요. 바꿀 것이 없는 연례 검토도 기록해 둘 가치가 있습니다. 방침이 적극적으로 관리되고 있다는 것을 보여주기 때문입니다. 캘리포니아 관련 내용은 CCPA 및 CPRA 개인정보처리방침 가이드를 참고하세요.

모든 수정에 공지가 필요한 것은 아닙니다. 유럽데이터보호이사회(EDPB)가 승인한 제29조 작업반(Article 29 Working Party)의 투명성 가이드라인은 권리 행사 능력을 포함한 사람들에게 미치는 영향과, 그 변경이 얼마나 예상 밖이거나 놀라운지를 따져 보라고 제안합니다.

가이드라인은 구체적인 예를 제시합니다. 항상 알려야 하는 변경은 다음과 같습니다.

• 처리 목적의 변경
• 컨트롤러 신원의 변경
• 권리 행사 방법의 변경

오탈자 수정이나 문체 및 문법 개선은 실질적인 변경으로 보지 않습니다. 그 사이의 경우에는 판단이 필요합니다. 새 광고 파트너 추가, 국외 이전 시작, AI 모델 학습에 데이터 이용 같은 변경은 대부분의 독자가 중요하다고 여길 만한 것입니다. 의미를 바꾸지 않고 기존 문장을 명확히 다듬는 것은 대개 그렇지 않습니다.

애매하다면 중요한 변경으로 취급하세요. 사소한 변경을 과하게 알리는 데는 비용이 거의 들지 않지만, 중대한 변경을 조용히 도입하면 신뢰를 잃고 규제 당국의 관심을 끌 수 있습니다.

중요한 변경이라면 페이지 상단의 날짜만 바꾸는 것으로는 부족합니다. 유럽의 투명성 가이드라인은 이메일, 서신, 팝업처럼 적절한 방식으로, 마케팅 내용과 섞지 않고 변경 사항만을 다루는 고지를 해야 하며, 사람들에게 ‘변경 사항이 있는지 개인정보처리방침을 정기적으로 확인하라’고 말하는 문구는 불충분할 뿐 아니라 불공정하다고 봅니다. 새로운 수령자 범주나 역외 이전처럼 근본적인 변경이라면, 사람들이 변경을 검토하고 권리를 행사할 수 있도록 충분히 앞서 알리라고 권고합니다.

실무적인 고지 계획은 다음과 같습니다.

1. 새 버전을 시행일과 함께 게시하고 이전 버전도 계속 볼 수 있게 둡니다
2. 계정 보유자에게 무엇이 왜 바뀌는지 짧고 쉽게 요약한 이메일을 보냅니다
3. 로그인한 이용자에게 앱 또는 사이트 내 공지를 보여줍니다
4. 예상되는 영향과 옵트아웃처럼 이용자가 선택할 수 있는 사항을 설명합니다
5. 변경이 시행되기 전에 합리적인 기간을 둡니다

문구 예시: ‘3월 1일부터 미국에 소재한 새 이메일 제공업체를 이용합니다. 뉴스레터 데이터는 표준계약조항에 따라 이전됩니다. 언제든지 구독을 해지할 수 있습니다.’

어떤 변경은 고지 이상의 것이 필요합니다. GDPR에서 개인정보를 새로운 목적으로 이용하려 한다면, 제13조 제3항은 그 추가 처리를 시작하기 전에 사람들에게 알리도록 요구하며, 처리가 동의에 근거한다면 새로운 목적까지 포함하는 동의가 필요합니다. 가이드라인은 또 처리의 성격이 완전히 달라질 정도로 중대한 변경은 투명성만으로 해결되지 않는다고 경고합니다.

미국 규제 당국도 비슷한 입장입니다. 2024년 게시물에서 FTC 직원들은 더 허용적인 데이터 관행을 도입하면서 서비스 약관이나 개인정보처리방침을 몰래 소급 개정하는 방식으로만 알리는 회사는 불공정하거나 기만적인 행위를 하는 것일 수 있다고 경고했습니다. 이 게시물은 소비자에게 알리거나 동의를 받지 않고 제3자와 데이터를 공유하도록 개인정보처리방침을 바꾼 회사의 사례를 포함해 이전 사건들을 언급합니다.

중대한 변경에 대한 안전한 기본 원칙은 다음과 같습니다.

• 새로운 관행은 변경 이후에 수집한 데이터에만 적용하거나,
• 이미 보유한 데이터에 적용하기 전에 명확하고 적극적인 동의를 받으세요

어느 쪽이 해당하는지 확실하지 않다면, 변경을 적용하기 전에 자격을 갖춘 변호사의 조언을 받으세요.

버전 관리를 잘해 두면 앞으로 받을 모든 질문에 답하기가 쉬워집니다. 최소한 CalOPPA가 요구하는 시행일과, CCPA 규정이 적용 대상 사업자에게 요구하는 최종 업데이트일을 방침에 표시해야 합니다. 많은 사이트가 방침 상단이나 하단에 짧은 변경 요약도 덧붙입니다.

내부적으로는 다음과 같은 보관본을 유지하세요.

• 게시한 모든 버전과 그 시행일 및 교체일
• 무엇이 왜 바뀌었는지에 대한 한 줄 요약
• 보낸 변경 고지의 사본과 발송 시점
• 동의가 필요했던 변경에 대해 받은 동의 기록

이 보관본이 있으면 이용자가 가입할 때 어떤 방침이 적용되었는지 보여주고, 규제 당국이나 고객의 질문에 정확히 답하고, 당시 무엇을 약속했는지에 관한 분쟁을 해결할 수 있습니다. 기억이 아니라 과거 결정의 기록에서 시작하므로 연례 검토도 빨라집니다.

Legal Policy Generator는 답변에 따라 결정론적으로 선택되는 버전 관리 조항을 사용하므로, 답변을 업데이트하면 다시 생성된 문구는 사실이나 기반 조항 버전이 바뀐 부분에서만 달라집니다. 어떤 도구를 쓰든 사본은 직접 보관하세요.

법도 바뀌며, 최근의 여러 변화가 방침에 영향을 줄 수 있습니다.

• 미국 주: 인디애나, 켄터키, 로드아일랜드의 포괄적 개인정보 보호법이 2026년 1월 1일 시행되어, 타깃 광고, 판매, 프로파일링에 대한 옵트아웃 권리를 둔 주 목록에 합류했습니다. 미국 주별 개인정보 보호법 가이드에 공통 고지 사항이 요약되어 있습니다.
• 캘리포니아: 개정된 CCPA 규정이 2026년 1월 1일 시행되어 자동화된 의사결정 기술, 위험 평가, 사이버보안 감사에 관한 규칙을 추가했으며, 준수 기한은 단계적으로 적용됩니다.
• 아동: 개정된 COPPA 규칙이 2025년 4월 공포되어 고지와 동의 요건이 바뀌었습니다.
• 영국: Data (Use and Access) Act 2025가 단계적으로 시행되며 영국 데이터 보호 체계의 일부를 개정하고 있습니다. 자세한 내용은 UK GDPR 개인정보처리방침 가이드에서 다룹니다.
• 뉴질랜드: Privacy Amendment Act 2025는 정보를 간접적으로 수집할 때 사람들에게 알리도록 하는 새로운 원칙을 추가했습니다.

모든 법안을 추적할 필요는 없습니다. 대신 연례 검토 때마다 서비스하는 지역의 공식 출처를 확인하고, 이용자층과 관련된 규제 당국의 소식을 구독하세요.

달력에 반복 일정을 넣고 매년, 또는 큰 출시가 있으면 그보다 일찍 다음 루틴을 진행하세요.

1. 데이터 목록 다시 점검: 양식, 계정, SDK, 태그, 제공업체, AI 기능
2. 방침과 비교: 새로 생기거나, 없어지거나, 다르게 설명된 것이 있나요?
3. 제공업체 확인: 이름, 역할, 위치, 이전 보호 장치를 확인하세요
4. 지역 확인: 새로운 나라나 주에 서비스하게 되었거나, CCPA 같은 법의 기준을 넘었나요?
5. 공식 출처 확인: 서비스하는 각 지역의 새로운 법이나 가이드라인을 찾아보세요
6. 권리 요청 시험: 방침에 안내된 경로마다 시험 요청을 보내 보세요
7. 동의 도구 및 스토어 라벨과 비교: 배너, App Store 개인정보 라벨, Google Play 데이터 보안 양식이 방침과 일치해야 합니다
8. 업데이트 및 기록: 새 날짜로 변경 사항을 게시하고, 이전 버전을 보관하고, 중요한 변경이라면 이용자에게 알리세요

바뀐 것이 없다면 검토를 했다는 사실을 기록하세요. 업데이트된 답변으로 방침을 다시 만들고 싶다면, 개인정보처리방침 생성기에서 게시 전에 결과를 무료로 미리 볼 수 있습니다. 각 항목을 작성하는 전체 과정은 개인정보처리방침 작성법을 참고하세요.