개인정보처리방침 작성법, 단계별로 알아보기

정확한 개인정보처리방침은 템플릿이 아니라 데이터 목록에서 시작합니다. 스프레드시트를 열고 이용자가 하는 그대로 제품을 따라가며, 개인정보가 들어오는 지점을 하나씩 적어 보세요.

• 양식: 문의, 회원가입, 결제, 고객 지원, 채용 지원
• 계정: 이메일 주소, 이름, 비밀번호 해시, 프로필 사진, 설정
• 자동 수집: IP 주소가 담긴 서버 로그, 쿠키, SDK, 오류(크래시) 보고서
• 제3자로부터 받는 정보: Google 또는 Apple 로그인, 결제 확인, 광고 타깃 오디언스
• 이용자가 만드는 콘텐츠: 메시지, 업로드 파일, 리뷰, AI 기능에 보내는 프롬프트

각 행에 데이터 범주, 출처, 그리고 해당 데이터를 다루는 도구를 기록하세요. 눈에 보이지 않는 수집도 잊지 마세요. 삽입된 동영상, 제3자 서버에서 불러오는 웹 폰트, 채팅 위젯은 모두 IP 주소를 전송할 수 있습니다. 어떤 스크립트가 무엇을 하는지 확실하지 않다면 제공업체 문서를 읽거나 브라우저 개발자 도구의 네트워크 탭을 확인하세요. 이 목록은 이후 모든 단계의 뼈대가 되므로 한 시간쯤 더 들일 가치가 충분합니다.

다음으로 각 데이터 범주를 왜 이용하는지 적으세요. 대표적인 목적은 서비스 제공, 계정 관리, 결제 처리, 고객 문의 응대, 뉴스레터 발송, 이용 현황 측정, 부정행위 방지, 광고입니다. 목적은 구체적으로 적어야 합니다. ‘서비스 개선을 위해’라는 말만으로는 독자가 알 수 있는 것이 거의 없지만, ‘방문자가 어떤 페이지를 읽는지 파악해 헷갈리는 내용을 고치기 위해’라고 쓰면 정직하고 구체적입니다.

유럽경제지역(EEA)이나 영국의 이용자가 제품을 이용한다면, GDPR(EU 일반개인정보보호법) 제13조에 따라 목적별 법적 근거(계약, 동의, 법적 의무, 정당한 이익 등)도 밝혀야 하며, 정당한 이익에 근거한다면 그 이익이 무엇인지도 적어야 합니다. 메모에 간단한 대응표를 만들어 두면 방침의 일관성을 유지할 수 있습니다.

• 뉴스레터 이메일: 동의
• 주문 처리 및 영수증: 계약
• 부정행위 방지 및 보안: 정당한 이익
• 세무 및 회계 기록: 법적 의무

현재 실제로 추구하는 목적만 적으세요. 언젠가 추가할지도 모르는 목적은 오늘의 고지가 아니라 향후 개정에 넣어야 합니다.

독자와 규제 당국은 누가 데이터를 함께 받는지 알고 싶어 합니다. 데이터 목록을 살펴보며 호스팅, 콘텐츠 전송(CDN), 이메일 발송, 분석, 결제, 고객 지원, 오류 추적, 광고, AI 모델 제공업체 등 모든 서비스 제공업체를 나열하세요. 각 업체가 처리자(processor)나 서비스 제공자(service provider)처럼 여러분의 지시에 따라서만 데이터를 처리하는지, 아니면 많은 광고 네트워크처럼 자체 목적으로도 데이터를 이용하는지도 메모하세요.

방침에는 수령자의 범주를 설명하고, 독자에게 도움이 된다면 제공업체 이름도 직접 밝히세요. 일부 제공업체 계약은 특정 문구를 요구합니다. 예를 들어 Google Analytics 약관은 Google Analytics를 이용한다는 사실과 그것이 데이터를 수집하고 처리하는 방식을 공개하는 개인정보처리방침을 게시하도록 요구합니다. 이 항목에 보통 어떤 내용이 들어가는지는 분석 도구 고지 가이드에서 확인할 수 있습니다.

각 제공업체가 데이터를 어디서 처리하는지도 기록하세요. 정보가 유럽경제지역이나 영국 밖으로 나간다면, GDPR은 그 이전 사실과 적정성 결정이나 표준계약조항(SCC) 같은 보호 장치를 언급하도록 요구합니다.

많은 초안이 두 가지 질문에서 막힙니다. 데이터를 얼마나 오래 보관하는지, 그리고 어떻게 보호하는지입니다. 보유 기간의 경우 GDPR은 고정된 기간이나 기간을 정하는 기준 중 하나를 적으면 됩니다. 실무 예시는 다음과 같습니다.

• 계정 데이터: 계정이 유지되는 동안 보관하고, 탈퇴 후 정해진 기간 내에 삭제
• 청구 기록: 세법과 회계 법령이 요구하는 기간 동안 보관
• 고객 지원 이메일: 문의가 종료된 후 정해진 기간 동안 보관
• 분석 데이터: 분석 도구에 설정한 보유 기간 동안 보관

보안에 대해서는 전송 구간 암호화, 직원 접근 제한, 신속한 소프트웨어 업데이트처럼 실제로 시행하는 조치를 일반적인 표현으로 설명하세요. ‘귀하의 데이터는 완벽하게 안전합니다’ 같은 절대적인 약속은 피하세요. 침해로부터 완전히 자유로운 시스템은 없으며, 과장된 보안 주장은 문제가 생겼을 때 바로 기만적 관행으로 이어지는 진술입니다. 하고 싶은 일이 아니라 실제로 하는 일을 적으세요.

지역별 내용 대부분은 회사의 소재지만이 아니라 이용자층에 따라 결정됩니다. 세 가지를 물어보세요. 이용자는 어디에 있는가, 무엇을 수집하는가, 사업 규모는 어느 정도인가?

• EU 또는 영국 이용자: 법적 근거, 국외 이전, 감독기관에 민원을 제기할 권리 등 GDPR과 UK GDPR의 투명성 항목이 적용됩니다. GDPR 개인정보처리방침 가이드에 해당 항목이 정리되어 있습니다.
• 캘리포니아 방문자: CalOPPA는 캘리포니아 거주자로부터 개인 식별 정보를 수집하는 모든 상업용 웹사이트나 온라인 서비스에 규모 기준 없이 눈에 잘 띄게 게시된 방침을 요구합니다. CCPA는 기준을 충족하는 사업자에게 상세한 고지 사항을 추가로 요구하며, CCPA 및 CPRA 가이드에서 이를 차례로 설명합니다.
• 기타 미국 주: 현재 많은 주에 포괄적인 개인정보 보호법이 있으며, 주마다 적용 기준과 옵트아웃 권리가 다릅니다.
• 아동: 미국에서 13세 미만 아동을 대상으로 하는 서비스에는 COPPA의 고지 및 부모 동의 규칙이 적용됩니다.
• 캐나다, 브라질, 호주, 뉴질랜드: 각국은 고유한 공개성 또는 투명성 의무를 두고 있습니다.

적용되는 모듈만 포함하세요. ‘혹시 몰라서’ 모든 법을 넣으면 실제로 운영하지 않는 요청 절차를 약속하는 것처럼 모순이 생깁니다.

개인정보처리방침은 권리를 행사하려는 사람을 위한 사용 설명서이기도 합니다. 서비스하는 지역마다 적용되는 권리를 나열하고, 실제로 누군가 확인하는 이메일 주소, 웹 양식, 앱 내 설정 등 권리를 행사하는 방법을 정확히 설명하세요.

GDPR에서는 열람, 정정, 삭제, 처리 제한, 이동, 반대, 동의 철회, 감독기관에 대한 민원 제기 권리가 포함됩니다. CCPA 적용 대상 사업자와 거래하는 캘리포니아 주민은 알 권리, 삭제권, 정정권, 개인정보 판매 또는 공유에 대한 옵트아웃 권리, 민감한 개인정보 이용을 제한할 권리를 가지며, CCPA 규정은 요청을 어떻게 확인하는지 일반적으로 설명하도록 요구합니다.

게시하기 전에 경로를 시험해 보세요. 자신의 개인정보 문의 주소로 요청을 보내 실제로 도착하는지 확인하고, 누가 얼마나 빨리 답변할지 정하세요. 아무도 확인하지 않는 메일함을 안내하는 권리 항목은 쓸모없는 것보다 더 나쁩니다. 방침이 관리되지 않는다는 신호를 주고, 실제 요청은 답변 없이 방치되기 때문입니다.

GDPR 제12조는 정보를 간결하고 투명하며 이해하기 쉽고 접근하기 쉬운 형태로, 명확하고 평이한 언어를 사용하여 제공하도록 요구합니다. 이는 모든 독자에게 좋은 조언이며, 몇 가지 습관만 지켜도 긴 방침도 읽기 쉬워집니다.

• 가장 중요한 내용을 짧게 요약하며 시작하기
• ‘데이터를 공유하는 대상’처럼 훑어보기 쉬운 설명형 제목 쓰기
• ‘회사’, ‘정보주체’보다 ‘저희’, ‘귀하’ 쓰기
• ‘~할 수 있습니다’, ‘일부’ 같은 모호한 표현은 가능한 한 구체적인 내용으로 바꾸기
• 데이터 범주는 목록으로, 보유 기간은 표로 정리하기
• 방침이 길다면 앵커 링크가 있는 목차 추가하기

초안을 소리 내어 읽어 보세요. 두 번 읽어야 이해되는 문장이라면 다시 쓰세요. 쉬운 말은 가볍게 쓰라는 뜻이 아니라, 독자가 자신의 정보에 실제로 무슨 일이 일어나는지 알고 떠나게 하라는 뜻입니다. 실제 문구 패턴은 개인정보처리방침 예시 가이드에서 주석이 달린 예문을 항목별로 살펴볼 수 있습니다.

방침은 고정된 공개 URL에 게시하고, 사람들이 자신의 데이터에 관해 결정을 내리는 모든 곳에 링크하세요. 일반적인 위치는 다음과 같습니다.

• 웹사이트 모든 페이지의 푸터
• 회원가입, 결제, 뉴스레터 구독 양식
• 앱 안의 설정 또는 정보 화면
• App Store Connect와 Google Play Console 등록 정보

앱 스토어에는 별도 규칙이 있습니다. Apple 가이드라인 5.1.1(i)은 App Store Connect 메타데이터 필드와 앱 안의 쉽게 접근할 수 있는 위치에 개인정보처리방침 링크를 두도록 요구합니다. Google Play는 Play Console과 앱 안에 링크를 두도록 요구하며, 링크는 활성 상태이고 공개적으로 접근 가능하며 지역 제한(지오펜싱)이 없는 URL이어야 하고 PDF는 허용되지 않습니다. CalOPPA는 방침을 눈에 잘 띄게 게시하도록 요구하고, CCPA 규정은 홈페이지나 앱 다운로드 페이지에 ‘privacy’라는 단어가 들어간 눈에 띄는 링크를 두도록 요구합니다. 실제 사이트에서 효과적인 배치는 개인정보처리방침 링크를 어디에 둘까를 참고하세요.

개인정보처리방침은 살아 있는 문서입니다. CalOPPA가 요구하는 대로 상단에 시행일을 표시하고, 게시한 모든 버전의 사본을 보관해 어느 시점에 이용자가 무엇을 보았는지 보여줄 수 있게 하세요. 다음과 같은 경우에는 방침을 검토하세요.

• 도구, SDK, 제공업체를 추가하거나 제거할 때
• 새로운 데이터 범주를 수집하거나 데이터를 새로운 목적으로 이용하기 시작할 때
• 새로운 국가나 미국 주에 출시할 때
• AI 기능, 광고, 결제를 추가할 때
• 이용자가 권리를 행사하는 방법이 바뀔 때

CCPA 적용 대상 사업자는 민법(Civil Code) 제1798.130조 (a)(5)항에 따라 캘리포니아 관련 필수 정보를 최소 12개월마다 한 번 업데이트해야 하므로, 아무것도 바뀌지 않은 것 같더라도 연례 검토 일정을 달력에 넣어 두세요. 중요한 변경이 있다면 페이지를 조용히 고치지 말고 이용자에게 직접 알리세요. 고지 문구를 포함한 전체 절차는 개인정보처리방침은 얼마나 자주 업데이트해야 할까에 정리되어 있습니다.

방침을 공개하기 전에 다음 체크리스트를 확인하세요.

1. 운영자의 법적 명칭, 연락처 이메일, 그리고 필요한 경우 우편 주소가 정확하다
2. 데이터 목록의 모든 데이터 범주가 방침에 나오고, 목록에 없는 것은 나오지 않는다
3. 모든 목적이 구체적이며, EU나 영국 이용자가 대상이라면 법적 근거가 함께 적혀 있다
4. 분석 및 광고 도구를 포함해 모든 수령자 범주가 나열되어 있다
5. 해당하는 경우 국외 이전과 그 보호 장치가 설명되어 있다
6. 보유 기간 또는 보유 기간을 정하는 기준이 명시되어 있다
7. 서비스하는 지역마다 권리, 요청 방법, 확인 절차가 설명되어 있다
8. 쿠키 및 추적 관련 선택지가 동의 배너의 실제 동작과 일치한다
9. 아동 데이터, 민감 데이터, AI 기능이 있다면 이를 다루고 있다
10. 시행일이 설정되어 있고 이전 버전이 보관되어 있다
11. 푸터, 양식, 앱 설정, 스토어 등록 정보에 링크가 있다

이 모든 것을 직접 정리하고 싶지 않다면, Legal Policy Generator가 쉬운 말로 이러한 질문을 하고 답변에 따라 버전이 관리되는 조항을 선택합니다. 질문지와 전체 미리보기는 무료이며 계정이 필요 없으므로, 생성된 결과를 직접 만든 체크리스트와 비교해 볼 수 있습니다.