개인정보처리방침 예시, 항목별 해설

짧은 예문으로 패턴을 볼 수 있지만, 완성된 방침을 읽어 보는 것도 도움이 됩니다. 아래 설명용 샘플은 같은 엔진이 가상의 답변으로 생성한 것이므로, 제품별로 항목들이 어떻게 맞물리는지 볼 수 있습니다.

• 웹사이트 개인정보처리방침 샘플: Google Analytics, 뉴스레터, 동의, EU 및 영국 권리가 있는 가상의 콘텐츠 웹사이트
• 모바일 앱 개인정보처리방침 샘플: 계정, Firebase 분석, 인앱 구독, 캘리포니아 고지가 있는 가상의 앱
• 전자상거래 개인정보처리방침 샘플: Stripe 결제, 뉴스레터, Meta Pixel 광고, EU 및 캐나다 권리가 있는 가상의 온라인 쇼핑몰
• AI SaaS 개인정보처리방침 샘플: 모델 제공업체, 저장되는 프롬프트, 학습 미사용, GDPR 권리가 있는 가상의 AI 글쓰기 제품

복사할 텍스트가 아니라 구조와 상세 수준을 이해하는 데 활용하세요. 각 샘플은 가상 사업체의 관행을 설명합니다. 준비가 되면 개인정보처리방침 템플릿 페이지에서 같은 구조가 여러분의 답변에 맞게 어떻게 바뀌는지 확인하세요.

잘 쓴 개인정보처리방침은 겉보기에는 달라 보여도 몇 초 만에 알아볼 수 있는 몇 가지 특징을 공유합니다.

• 일반적이지 않고 구체적: ‘일부 정보’, ‘신뢰할 수 있는 파트너’ 대신 실제 데이터 범주, 도구, 제공업체를 밝힙니다
• 목적 중심: 데이터의 각 이용이 독자가 이해할 수 있는 이유와 연결됩니다
• 훑어보기 쉬움: 명확한 제목, 짧은 문단, 목록, 그리고 상단 요약이 있는 경우가 많습니다
• 실행 가능: 실제로 작동하는 연락 경로와 함께 권리 행사 방법을 설명합니다
• 한계에 정직함: 완벽한 안전을 약속하지 않고 보안 조치를 설명합니다
• 날짜 표시: 시행일을 보여주고 변경을 어떻게 알리는지 설명합니다

영국 ICO의 개인정보 제공 항목 목록과 GDPR 제13조가 내용을 정하고, 쉬운 말이 그것을 쓸모 있게 만듭니다. 아래 예시는 가상의 사업체인 Harbor Lane Ceramics를 사용합니다. 아일랜드의 온라인 도자기 쇼핑몰로, EU와 영국 고객에게 판매하고, 결제대행사를 이용하고, 뉴스레터를 보내며, 동의를 받아 분석 도구를 운영합니다. 예문은 설명을 위한 것일 뿐입니다. 여러분의 문구는 여러분의 관행을 설명해야 하며, 그래서 복사는 좋지 않은 생각입니다. 자세한 내용은 개인정보처리방침을 복사해도 될까에서 설명합니다.

예시 문구: “Harbor Lane Ceramics Ltd(가상), 1 Example Street, Example City, Ireland는 이 방침에서 설명하는 개인정보에 대한 책임을 집니다. 개인정보 관련 문의는 [email protected]으로 보내 주세요. 영업일 기준 5일 이내에 답변드리는 것을 목표로 합니다.”

효과적인 이유:

• 브랜드만이 아니라 법인을 밝힙니다. GDPR 제13조가 컨트롤러의 신원과 연락처를 요구할 때 바로 이것을 요구합니다
• 누군가 실제로 확인하는 개인정보 전용 연락처를 제공합니다
• 답변에 대해 현실적인 기대치를 제시합니다

데이터 보호 책임자(DPO)를 지정했거나, 해당 지역 밖에 있어 EU 또는 영국 대리인을 지정했다면 그 연락처도 여기에 넣으세요. 직접적인 경로를 제시할 수 있다면 ‘웹사이트를 통해 문의하세요’ 같은 일반적인 문구는 피하세요.

온라인에서 흔히 보이는 약점은 브랜드나 웹사이트 주소만 밝히는 것입니다. 독자, 규제 당국, 앱 스토어 심사자는 실제로 어느 회사가 책임지는지 알고 싶어 하며, Google Play의 사용자 데이터 정책은 개발자 정보와 개인정보 문의처를 명시적으로 요구합니다.

예시 문구: “저희는 다음 정보를 수집합니다.

• 결제 시 제공하시는 주문 정보: 이름, 이메일 주소, 배송 주소, 전화번호
• 결제대행사로부터 받는 결제 확인 정보. 저희는 카드 번호 전체를 보거나 저장하지 않습니다
• 뉴스레터 정보: 구독하시는 경우 이메일 주소와 어떤 이메일을 열어 보셨는지
• 동의를 받아 자동으로 수집하는 이용 정보: 조회한 페이지, 기기 유형, IP 주소로 추정한 대략적인 위치
• 이메일이나 문의 양식으로 보내시는 메시지”

효과적인 이유: 각 범주가 구체적이며, 이용자 본인, 자동 수집, 제3자 중 어디서 오는지와 연결되어 있습니다. 독자는 모든 항목을 사이트에서 자신이 한 행동과 대응시킬 수 있습니다. 카드 번호에 관한 명시적 문장에 주목하세요. 많은 구매자가 궁금해하는 질문에 답하며, 쇼핑몰이 호스팅 결제창을 쓰기 때문에만 사실인 문장입니다.

이 항목의 약한 버전은 ‘저희는 이름, 이메일 및 기타 정보와 같은 개인정보를 수집할 수 있습니다’라고 씁니다. 실제로 무슨 일이 일어나는지 독자에게 아무것도 알려주지 않으며, 범주와 출처를 요구하는 법도 충족하지 못합니다.

예시 문구: “저희는 다음을 위해 귀하의 정보를 이용합니다.

• 주문 처리와 배송, 반품 처리(법적 근거: 계약의 이행)
• 주문 확인 및 배송 안내 발송(계약)
• 구독하신 경우 뉴스레터 발송(동의, 언제든지 철회 가능)
• 방문자가 사이트를 어떻게 이용하는지 파악해 개선(쿠키 설정을 통한 동의)
• 세법이 요구하는 회계 기록 보관(법적 의무)
• 부정행위 방지와 쇼핑몰 보안 유지(사업과 고객을 보호하려는 저희의 정당한 이익)”

효과적인 이유: GDPR 제13조가 요구하는 대로 각 목적이 법적 근거와 짝지어져 있고, 정당한 이익도 모호하게 남기지 않고 무엇인지 밝힙니다. 목적은 쇼핑몰이 눈에 보이게 하는 일과 일치하는 일상적인 언어로 쓰여 있습니다.

유럽 외 지역을 대상으로 하는 방침은 법적 근거 없이 목적만 제시하는 경우가 많으며, 그런 요건이 없는 곳에서는 문제가 없습니다. 하지만 EU나 영국 이용자에게 서비스한다면, 이 짝짓기는 일반 템플릿으로 만든 방침에서 가장 자주 빠지는 요소 중 하나입니다. 각 근거는 GDPR 개인정보처리방침 가이드에서 설명합니다.

예시 문구: “저희는 쇼핑몰 운영을 돕는 제공업체와만 정보를 공유합니다.

• 결제를 받고 부정행위를 방지하기 위한 결제대행사
• 쇼핑몰을 호스팅하고 주문 기록을 저장하는 전자상거래 플랫폼
• 주문 이메일과 뉴스레터를 보내기 위한 이메일 제공업체
• 분석 쿠키에 동의하신 경우 분석 제공업체
• 소포를 배송하기 위한 택배사

저희는 귀하의 개인정보를 판매하지 않습니다. 일부 제공업체는 미국에 소재합니다. 정보가 유럽경제지역 밖으로 이전되는 경우, 저희는 유럽연합 집행위원회의 표준계약조항 또는 그 밖의 적법한 보호 장치에 근거합니다.”

효과적인 이유: 수령자를 역할별로 묶고 각각 이유를 밝힙니다. 이전에 관한 문장은 데이터가 역외로 나갈 때 GDPR이 요구하는 보호 장치를 명시합니다. 실제 방침 중에는 제공업체를 하나하나 이름으로 밝히는 경우도 많은데, 독자가 그 제공업체의 방침을 읽고 싶어 할 수 있다는 점에서 도움이 됩니다.

약한 버전인 ‘저희는 신뢰할 수 있는 제3자와 데이터를 공유할 수 있습니다’는 부실한 방침에서 가장 흔한 문구 중 하나입니다. 독자나 규제 당국이 물을 질문에 하나도 답하지 못합니다.

예시 문구: “저희는 장바구니와 결제를 운영하기 위해 필수 쿠키를 사용합니다. 동의하시는 경우 어떤 페이지가 방문되는지 측정하기 위해 분석 쿠키도 사용합니다. 처음 방문하실 때 배너에서 분석 쿠키를 수락하거나 거부할 수 있으며, 푸터의 쿠키 설정 링크를 통해 언제든지 선택을 바꿀 수 있습니다.”

효과적인 이유: 필수 쿠키와 선택 쿠키를 구분하고, 선택 쿠키는 동의에 달려 있다고 밝히며, 이용자가 선택을 바꿀 수 있는 위치를 정확히 알려줍니다. 무엇보다 동의 배너의 실제 동작과 일치합니다. 분석 도구가 즉시 로드되는 사이트에서 분석은 동의를 받아야만 실행된다고 말하는 방침은 규제 당국과 이용자가 알아챌 수 있는 모순입니다.

추적 기술을 많이 사용한다면, 각 쿠키와 제공업체, 목적, 기간을 나열한 표를 이 항목에 넣거나 여기서 링크하는 별도의 쿠키 정책에 둘 수 있습니다. 일부 도구에는 계약상 요건도 있습니다. 예를 들어 Google Analytics 약관은 서비스 이용 사실을 공개하도록 요구합니다. 분석 관련 문구 주제는 분석 도구 개인정보 고지 가이드를 참고하세요.

예시 문구: “저희는 다음과 같이 보관합니다.

• 주문 및 송장 기록: 세무 기록 보관 의무를 지키기 위해 6년
• 뉴스레터 정보: 구독을 해지하실 때까지
• 고객 서비스 이메일: 마지막 메시지 후 2년
• 분석 데이터: 14개월, 이후 자동 삭제”

효과적인 이유: GDPR은 보유 기간 또는 기간을 정하는 기준을 요구하며, 이 예시는 이유와 함께 구체적인 기간을 제시합니다. 독자는 아무것도 무기한 보관되지 않는다는 것을 알 수 있고, 쇼핑몰은 내부적으로 따를 명확한 규칙을 갖게 됩니다.

예시의 숫자는 가상의 쇼핑몰을 위한 설명용입니다. 여러분의 기간은 실제 법적 의무, 제공업체 설정, 사업상 필요에서 나와야 합니다. 고정된 기간을 정할 수 없다면 ‘계정이 유지되는 동안, 그리고 분쟁 해결을 위해 그 후 제한된 기간 동안’처럼 기준을 대신 설명하세요.

약한 보유 항목은 ‘필요한 기간 동안 데이터를 보관합니다’라고 씁니다. 기준이 없는 이 문장은 누구에게도 아무것도 알려주지 않으며 GDPR의 요건도 충족하지 못합니다.

예시 문구: “귀하는 개인정보를 열람, 정정, 삭제할 권리, 특정 처리에 반대하거나 처리를 제한할 권리, 정보를 이동 가능한 형식으로 받을 권리, 언제든지 동의를 철회할 권리가 있습니다. 요청하시려면 [email protected]으로 이메일을 보내 주세요. 조치하기 전에 본인 확인을 요청드릴 수 있습니다. 또한 아일랜드 데이터보호위원회(Data Protection Commission) 또는 거주하시는 곳의 데이터 보호 감독기관에 민원을 제기할 권리가 있습니다.”

효과적인 이유: 쇼핑몰의 이용자층에 적용되는 권리를 나열하고, 권리를 행사할 간단한 경로 하나를 제시하고, 본인 확인을 설명하며, GDPR이 요구하는 감독기관을 밝힙니다.

이용자층에 캘리포니아 주민이 있고 사업이 CCPA 기준을 충족한다면, 이 항목은 알 권리, 삭제권, 정정권, 판매 또는 공유에 대한 옵트아웃 권리, 민감한 개인정보 이용을 제한할 권리, 그리고 옵트아웃 선호 신호와 권한을 위임받은 대리인을 어떻게 처리하는지까지 다루도록 확장됩니다. CCPA 규정은 각 필수 요소를 나열합니다. 다른 지역도 고유한 권리를 추가하므로, 답변에 따라 지역 모듈을 선택하는 개인정보처리방침 생성기가 고정 템플릿을 고치는 것보다 시간을 아껴 줄 수 있습니다.

예시 문구: “저희 쇼핑몰은 성인을 대상으로 합니다. 저희는 아동의 개인정보를 알면서 수집하지 않습니다. 아동이 저희에게 정보를 제공했다고 생각되시면 연락해 주세요. 해당 정보를 삭제하겠습니다.

저희는 관행이 바뀌면 이 방침을 업데이트합니다. 중대한 변경이 있으면 변경이 시행되기 전에 고객과 뉴스레터 구독자에게 이메일로 알려드립니다.

시행일: 2026년 3월 1일. 최종 업데이트: 2026년 3월 1일.”

효과적인 이유: 대상 이용자에 관한 문장이 짧고 정직하며, 변경 절차는 사람들에게 정기적으로 다시 확인하라고 하는 대신 직접 알리는 방식을 설명하고, 두 날짜가 모두 표시되어 있습니다. CalOPPA는 시행일과 중요한 변경을 이용자에게 어떻게 알리는지에 대한 설명을 요구하고, CCPA 규정은 방침의 최종 업데이트일을 요구합니다.

미국에서 13세 미만 아동을 대상으로 하는 서비스라면 이 짧은 문장으로는 부족합니다. COPPA는 구체적인 내용을 담은 전용 고지를 요구합니다. 업데이트를 언제, 어떻게 알려야 하는지는 개인정보처리방침은 얼마나 자주 업데이트해야 할까를 참고하세요.