개인정보처리방침이 없으면 생기는 일

방침 없이 데이터를 수집해 왔다는 것을 깨달았다면, 당황하지 말고 체계적으로 대응하세요.

1. 개인정보를 다루는 모든 양식, 계정 기능, 분석 또는 광고 태그, SDK, 제공업체의 목록을 만드세요
2. 이용자층에 해당하는 지역별 항목을 포함해, 이 사실을 정확하게 설명하는 방침의 초안을 작성하세요
3. 동의가 필요한 쿠키와 추적기가 이용자 동의 전에 작동하지 않도록 동의 설정을 점검하세요
4. 방침을 고정 URL에 게시하고, 푸터, 양식, 앱 설정, 스토어 등록 정보에서 링크하세요
5. App Store, Google Play 및 기타 플랫폼 등록 정보를 새 링크로 업데이트하세요
6. 시행일을 정하고 보관본을 유지해 이후 버전을 추적할 수 있게 하세요
7. 민감한 데이터나 아동 데이터를 다루거나, 민원을 받았거나, 규제 당국의 연락을 받았다면 법률 자문을 받으세요

개인정보처리방침 작성법 가이드에서 각 단계를 자세히 다룹니다. 더 빨리 시작하고 싶다면 개인정보처리방침 생성기가 같은 목록 작성 과정을 안내하며, 계정 없이 무료로 전체 방침을 미리 볼 수 있습니다.

전 세계에 공통으로 적용되는 단일 법은 없지만, 온라인에서 개인정보를 수집한다면 최소 하나의 규칙은 거의 확실히 적용됩니다. 주요 규칙은 다음과 같습니다.

• GDPR 및 UK GDPR: EU나 영국에 설립된 조직, 그리고 역외에 있더라도 그곳 사람들에게 상품이나 서비스를 제공하거나 그들의 행동을 모니터링하는 조직에 적용됩니다. 제13조와 제14조는 데이터를 수집할 때 구체적인 정보를 제공하도록 요구합니다.
• CalOPPA: 캘리포니아 거주자로부터 개인 식별 정보를 수집하는 상업용 웹사이트나 온라인 서비스의 모든 운영자에게 매출 기준 없이 개인정보처리방침을 눈에 잘 띄게 게시하도록 요구합니다.
• CCPA: 2025년 1월 1일부터 조정된 연간 총매출 $26,625,000 초과 등 기준 중 하나를 충족하는 영리 사업자에게 상세한 개인정보처리방침을 요구합니다.
• 기타 미국 주와 COPPA: 많은 주에 포괄적인 개인정보 보호법이 있으며, COPPA는 13세 미만 아동을 대상으로 하는 서비스에 온라인 고지를 요구합니다.
• 캐나다, 브라질, 호주, 뉴질랜드: PIPEDA, LGPD, 호주와 뉴질랜드의 Privacy Act는 각각 개인정보 처리 방식에 대한 공개성을 요구합니다.

개인정보처리방침이 필요할까 가이드에서 상황별로 더 자세히 살펴볼 수 있습니다.

네. 그리고 이는 개발자가 흔히 가장 먼저 겪는 결과입니다. Apple의 앱 심사 가이드라인 5.1.1(i)은 모든 앱이 App Store Connect 메타데이터 필드와 앱 안의 쉽게 접근할 수 있는 위치에 개인정보처리방침 링크를 포함해야 한다고 명시합니다. Google Play의 사용자 데이터 정책은 모든 앱이 Play Console과 앱 안에 개인정보처리방침 링크를 게시해야 하며, 개인 및 민감한 사용자 데이터에 전혀 접근하지 않는 앱도 방침을 제출해야 한다고 말합니다.

방침이 없으면 신규 제출은 거절될 가능성이 높고, 기존 앱도 이후 심사에서 제재를 받을 수 있습니다. Google Play의 제재에는 거절, 삭제, 정지가 포함될 수 있으며, 심각하거나 반복적인 위반은 개발자 계정까지 위험하게 만들 수 있습니다. 방침은 제출한 개인정보 라벨 및 데이터 보안 양식과도 일치해야 합니다.

모바일 앱을 출시한다면 Google Play 개인정보처리방침과 Apple App Store 개인정보처리방침 가이드에서 스토어별 정확한 요건을 확인하세요.

여러분이 의존하는 많은 도구는 개인정보처리방침을 이용의 계약 조건으로 삼습니다. 예를 들어 Google Analytics 약관은 쿠키, 모바일 식별자 또는 유사 기술의 이용 사실을 공개하고, Google Analytics를 이용한다는 사실과 그것이 데이터를 수집하고 처리하는 방식을 공개하는 개인정보처리방침을 게시하도록 요구합니다. 광고 프로그램도 쿠키와 광고 개인화에 관해 비슷한 고지를 요구하는 경우가 많으며, 이메일 플랫폼은 발신자가 구독자 데이터를 어떻게 이용하는지 설명하기를 기대합니다.

제공업체의 약관을 위반하면, 제공업체는 대개 같은 약관에 따라 접근을 제한, 정지 또는 해지할 수 있습니다. 광고 수익이나 마케팅 리스트에 의존하는 사업이라면 계정을 잃는 것이 규제 당국의 서한보다 더 큰 타격이 될 수 있습니다. 소명 절차 없이 일어나고 되돌리는 데 시간이 걸릴 수 있기 때문입니다.

해결책은 간단합니다. 사용하는 각 도구를 그 약관이 요구하는 방식대로 방침에 공개하세요. Google Analytics 개인정보처리방침과 AdSense 개인정보처리방침 요건 가이드에서 각 제공업체가 기대하는 문구 주제를 확인할 수 있습니다.

모든 결과가 규제 당국에서 오는 것은 아닙니다. 기업 고객은 구매 절차에서 개인정보처리방침과 공급업체 보안 검토 자료를 일상적으로 요청합니다. 방침이 없거나 제품을 분명히 설명하지 못하는 방침은 거래를 늦추거나 멈추게 하는 의문을 낳으며, 자체적인 개인정보 보호 의무가 있는 대형 고객일수록 더욱 그렇습니다.

과소평가하기 쉬운 다른 실무적 영향도 있습니다.

• Google 로그인이나 브라우저 확장 프로그램 스토어 같은 파트너 및 연동 프로그램은 승인 전에 방침 URL을 요구하는 경우가 많습니다
• 결제, 이메일, 마케팅 제공업체는 판매자가 고객 데이터를 어떻게 다루는지 설명하기를 기대합니다
• 투자자와 인수자는 실사 과정에서 개인정보 관련 문서를 검토합니다
• 이용자는 이메일 주소나 카드 번호를 건네기 전에 개인정보 링크를 찾는 경우가 점점 늘고 있습니다

이 중 어느 것도 과징금을 수반하지는 않지만, 각각 정확한 방침을 게시하는 데 드는 시간보다 더 큰 매출 손실과 지연을 일으킬 수 있습니다. 명확하고 정직한 방침은 사이트의 모든 페이지에서 조용히 신뢰를 보여주는 신호이기도 합니다.

GDPR은 투명성을 핵심 의무로 봅니다. 제83조 제5항에 따라, 사람들에게 제공해야 하는 정보를 포함한 제12조부터 제22조까지의 정보주체 권리 조항을 위반하면 최대 2,000만 유로 또는 직전 회계연도 전 세계 연간 총매출의 4% 중 높은 금액까지 행정 과징금이 부과될 수 있습니다. UK GDPR은 이에 상응하는 상한을 1,750만 파운드 또는 4%로 정합니다.

이는 출발점이 아니라 상한입니다. 제83조 제2항은 감독기관이 위반의 성격, 심각성, 기간, 영향을 받은 사람의 수, 고의 또는 과실 여부, 피해를 줄이기 위해 취한 조치, 조직의 협조를 고려하도록 요구합니다. 과징금은 효과적이고 비례적이며 억지력이 있어야 합니다.

과징금만이 수단은 아닙니다. 제58조에 따라 감독기관은 경고와 견책을 할 수 있고, 처리를 GDPR에 맞게 바로잡도록 명령하거나, 관련된 사람들에게 정보를 전달하도록 명령하거나, 금지를 포함해 처리에 일시적 또는 확정적 제한을 부과할 수 있습니다. 소규모 사업자에게는 이론상 최대 과징금보다 마케팅 관행을 중단하라는 명령이 더 중요할 수 있습니다.

캘리포니아에는 서로 겹치는 두 제도가 있습니다. CCPA는 캘리포니아에서 사업을 하면서 기준을 충족하는 영리 사업자에게 적용됩니다. 기준은 연간 총매출 $26,625,000 초과, 10만 명 이상의 소비자 또는 가구의 개인정보를 구매, 판매, 공유하는 경우, 연간 매출의 절반 이상을 개인정보 판매나 공유로 얻는 경우 등입니다. 캘리포니아 개인정보보호청(CPPA)이 발표한 2025년 1월 조정 이후, 행정 과징금과 민사 벌금은 위반당 $2,663, 고의 위반당 $7,988에 이를 수 있으며, 사업자가 16세 미만임을 알고 있는 소비자의 개인정보와 관련된 위반도 후자에 해당합니다. 개인정보보호청은 행정적으로 집행하고, 법무장관(Attorney General)은 민사 소송을 제기할 수 있습니다.

CalOPPA에는 규모 기준이 없습니다. 운영자가 미준수 통지를 받은 후 30일 이내에 요건에 맞는 방침을 게시하지 않으면 위반이 됩니다. CalOPPA 자체에는 벌금액이 없지만, 위반은 캘리포니아 불공정경쟁법(Unfair Competition Law)에 따라 다룰 수 있으며, 사업직업법(Business and Professions Code) 제17206조에 따라 민사 벌금은 위반당 최대 $2,500에 이를 수 있습니다.

위반당 금액은 이용자 수나 다운로드 수로 계산되면 빠르게 불어납니다. 캘리포니아 고지에 무엇이 들어가야 하는지는 CCPA 및 CPRA 가이드에서 설명합니다.

미국에는 모든 사업자에게 개인정보처리방침 게시를 요구하는 일반 연방법이 없습니다. 하지만 연방거래위원회법(FTC Act)은 상거래에서의 불공정하거나 기만적인 행위나 관행을 금지하며, FTC는 오랫동안 이 권한을 이용해 개인정보 관련 진술이 오해의 소지가 있거나 스스로 한 약속을 어긴 회사들을 상대로 조치해 왔습니다. 합의에는 개인정보 보호 프로그램, 독립적인 평가, 보고 같은 장기적인 의무가 부과되는 경우가 많으며, FTC 명령을 위반하면 민사 벌금으로 이어질 수 있습니다.

아동 대상 서비스에는 더 엄격한 규칙이 적용됩니다. COPPA 규칙은 13세 미만 아동을 대상으로 하는 웹사이트와 온라인 서비스의 운영자, 또는 그런 아동으로부터 개인정보를 수집한다는 사실을 실제로 알고 있는 운영자에게 온라인 개인정보 고지를 게시하고 검증 가능한 부모 동의를 받도록 요구합니다. FTC의 COPPA 안내에 따르면 법원은 위반자에게 위반당 최대 $53,088의 민사 벌금 책임을 지울 수 있으며, 이 금액은 물가에 따라 조정됩니다.

교훈은 침묵과 부정확성 모두 위험하다는 것입니다. 관행이 불공정하다면 방침이 없다고 FTC의 조사를 피할 수 없으며, 틀린 내용을 말하는 방침은 그 자체로 기만 문제를 일으킵니다.

이용자가 이들 나라에 있다면, 그 나라의 법도 데이터 처리에 관한 공개성을 요구합니다.

• 캐나다: PIPEDA의 공개성 원칙은 조직이 정책과 관행에 관한 정보를 쉽게 접근할 수 있도록 제공할 것을 요구합니다. 개인정보보호위원회(Office of the Privacy Commissioner)가 민원을 조사하며, 퀘벡의 Law 25는 자체 공개 의무를 추가합니다.
• 브라질: LGPD는 사람들에게 처리에 관한 명확한 정보를 받을 권리를 부여합니다. 제재에는 경고와 브라질 내 회사 매출의 최대 2%(위반 건당 최대 5,000만 헤알)의 과징금이 포함됩니다.
• 호주: Privacy Act 적용 대상, 즉 일반적으로 연 매출 300만 호주달러를 넘는 사업자와 일부 소규모 사업자는 APP 1에 따라 명확하게 표현되고 최신 상태인 개인정보처리방침을 갖추어야 합니다. OAIC는 조사를 하고 심각한 개인정보 침해에 대해 민사 벌금을 청구할 수 있습니다.
• 뉴질랜드: Privacy Act 2020은 기관이 수집 사실을 사람들에게 알리도록 요구하며, 개인정보보호위원(Privacy Commissioner)은 민원을 조사하고 준수 통지를 발할 수 있습니다.

세부 사항은 다르므로, 서비스하는 각 나라에 대해 개인정보 보호법 허브를 확인하세요.