업무를 목적으로 회원 정보를 모아 관리하는 쇼핑몰·홈페이지는 개인정보처리자로서 개인정보 보호법 제30조에 따라 처리방침을 정하고 공개합니다. 항상 적는 항목은 처리하는 개인정보의 항목, 처리 목적, 처리·보유 기간, 파기 절차와 방법입니다. 정보주체의 권리와 행사 방법, 보호책임자 연락처, 안전성 확보 조치도 함께 적습니다. 제3자 제공, 처리 위탁, 쿠키 같은 자동수집장치, 국외 이전은 그 처리를 할 때 추가합니다.
핵심 요약
- 처리방침은 사업장 전체의 처리 방식을 한 문서로 공개하는 것이며, 가입 화면의 동의 안내와는 따로 갖춥니다.
- 쇼핑몰에서 빠지기 쉬운 곳은 결제·배송 등 외부 위탁, 쿠키 차단 방법, 탈퇴 뒤 보존하는 항목입니다.
- 처리방침과 약관·동의 문구가 다르면 회원에게 유리한 쪽이 적용되므로 세 문서를 함께 맞춥니다.
개인정보 처리방침은 누가 만들고, 법은 무엇을 요구하나요
개인정보 보호법 제30조는 개인정보처리자가 개인정보 처리방침을 정하도록 합니다. 회원 이름·연락처·배송지를 받아 관리하는 쇼핑몰이라면 먼저 이 조문을 기준으로 자기 사업장을 점검합니다. 조문이 요구하는 내용은 세 가지입니다.
- 처리방침에 법이 정한 사항을 담습니다(제1항).
- 처리방침을 수립하거나 변경하면 정보주체가 쉽게 확인할 수 있도록 대통령령이 정한 방법으로 공개합니다(제2항).
- 처리방침과 정보주체와 맺은 계약 내용이 다르면 정보주체에게 유리한 쪽을 적용합니다(제3항).
제3항 때문에 처리방침은 형식만 갖춘 문서로 끝나지 않습니다. 예를 들어 이용약관에는 「마케팅 수신 동의를 철회하면 즉시 삭제」를, 처리방침에는 「철회 후 1년 보관」을 적었다면 회원에게 유리한 쪽이 적용됩니다. 두 문서의 문구를 함께 대조해야 하는 이유입니다.
제30조의2에 따라 개인정보보호위원회는 처리방침을 평가하고 개선을 권고할 수 있습니다. 평가 항목은 기재사항을 알맞게 정했는지, 알기 쉽게 썼는지, 쉽게 확인할 수 있게 공개했는지입니다.
처리방침에 적어야 하는 항목은 무엇입니까
법 제30조 제1항의 항목과, 같은 항 제8호가 시행령에 위임한 항목을 쇼핑몰 상황에 맞춰 옮기면 아래 표와 같습니다. 「항상」은 모든 사업장이 적는 항목이고, 「해당 시」는 그 처리를 할 때만 적는 항목입니다.
| 법정 기재 항목 | 예를 들어 쇼핑몰이 적는 내용 | 적는 경우 |
|---|---|---|
| 처리하는 개인정보의 항목(시행령) | 가입·주문·상담 화면별로 받는 항목(이름, 휴대전화, 배송지 등) | 항상 |
| 개인정보의 처리 목적 | 회원 관리, 주문·배송, 고객 상담 | 항상 |
| 처리 및 보유 기간 | 회원 탈퇴 시까지 등 항목별 보유 기간, 또는 기간을 정하는 기준 | 항상 |
| 파기 절차와 방법 | 파기 시점, 전자 파일·종이 문서별 파기 방식, 법령에 따라 보존하는 경우 그 보존 근거와 보존 항목 | 항상 |
| 제3자 제공 | 제공받는 자, 제공 목적, 제공 항목 | 해당 시 |
| 민감정보 공개 가능성과 비공개 선택 방법 | 후기·게시판 등 서비스 화면에 민감정보가 드러날 수 있을 때 안내 | 해당 시 |
| 처리 위탁 | 수탁자, 위탁하는 업무 내용 | 해당 시 |
| 가명정보 처리 | 가명정보를 처리하는 목적과 범위 | 해당 시 |
| 정보주체와 법정대리인의 권리·의무와 행사 방법 | 열람·정정·삭제·처리정지 요구 창구와 절차 | 항상 |
| 보호책임자 성명 또는 담당 부서 연락처 | 이름 또는 부서, 전화·이메일 | 항상 |
| 자동수집장치의 설치·운영과 거부 | 쿠키 사용 목적, 브라우저별 차단 방법 | 해당 시 |
| 개인정보의 안전성 확보 조치(시행령) | 시행령 제30조에 따라 실제로 시행하는 보호 조치 | 항상 |
| 국외 이전의 근거와 이전 사항(시행령) | 해외 업체로 정보를 이전할 때 그 근거와 법 제28조의8 제2항의 사항(이전 항목, 이전 국가·시기·방법, 이전받는 자의 이름·연락처, 이전받는 자의 이용 목적과 보유 기간, 이전을 거부하는 방법과 거부의 효과) | 해당 시 |
| 국외에서 직접 수집·처리하는 국가명(시행령) | 국내 회원 정보를 국외에서 직접 수집·처리할 때 그 국가 | 해당 시 |
「(시행령)」으로 표시한 네 줄은 개인정보 보호법 시행령 제31조 제1항에 있는 항목입니다. 시행령은 2026년 9월에도 개정되었으므로, 문안을 확정하기 전 현행 개인정보 보호법 시행령(2026. 9. 11. 시행)에서 제31조 각 호를 다시 대조합니다.
작성지침은 2025년 개정 때부터 법령상 기재사항과 정책상 권장사항을 구분해 안내합니다. 문안은 표의 법정 항목부터 채우고, 권장사항은 그다음에 검토합니다.
회원가입 동의 문구와 처리방침은 무엇이 다른가요
가입 화면의 동의 안내와 처리방침은 함께 필요한 경우가 많지만 하는 일이 다릅니다. 하나는 수집하는 순간의 안내이고, 다른 하나는 사업장 전체 처리 방식을 공개하는 문서입니다.
회원가입 화면의 동의 안내
- 동의를 근거로 수집할 때 그 화면에서 알립니다.
- 수집·이용 목적, 수집 항목, 보유·이용 기간, 동의를 거부할 권리와 거부에 따른 불이익을 알립니다.
- 항목별로 구분해 동의를 받고 선택 여부를 분명히 표시합니다.
개인정보 처리방침
- 처리 근거와 관계없이 사업장 전체 처리 방식을 공개합니다.
- 제30조 제1항의 항목과 시행령 항목을 담습니다.
- 수립·변경할 때 쉽게 확인할 수 있는 곳에 공개합니다.
2025년 4월 개정 작성지침은 동의 없이 처리할 수 있는 경우를 예시로 구체화했습니다. 회원 서비스 운영처럼 계약 체결·이행에 필요한 정보는 별도 동의 없이 처리할 수 있습니다.
다만 민감정보·고유식별정보(주민등록번호 제외)·제3자 제공은 계약 이행만으로는 처리 근거가 되지 않습니다. 동의 등 법이 정한 다른 근거가 필요합니다. 주민등록번호는 동의를 받아도 처리할 수 없고, 법령이 구체적으로 요구하거나 허용하는 경우 등에만 처리합니다(제24조의2). 결제·배송 업체에 맡기는 처리가 위탁인지 제공인지는 다음 절에서 구분합니다.
개인정보는 처리 근거와 관계없이 목적에 필요한 최소한만 수집합니다(제16조). 선택 항목에 동의하지 않았다는 이유로 상품이나 서비스 제공을 거부할 수 없습니다(제22조 제5항). 만 14세 미만 아동의 정보를 동의를 근거로 처리할 때는 법정대리인의 동의를 받고, 법정대리인이 동의했는지 확인합니다(제22조의2).
실무에서는 가입 화면의 안내를 처리 근거별로 나누고, 처리방침에도 같은 구분을 적는 방법이 있습니다. 두 문서의 항목 이름을 똑같이 맞추면 어긋날 일이 줄어듭니다.
쇼핑몰에서 빠지기 쉬운 위탁·쿠키·보유기간은 어떻게 적나요
결제·배송·서버 운영을 맡기면 위탁인지 제공인지 먼저 구분합니다
쇼핑몰은 결제, 배송, 서버 운영, 문자 발송을 외부 업체에 맡기는 경우가 많습니다. 제30조는 처리 위탁과 제3자 제공을 서로 다른 항목으로 둡니다. 수탁자는 위탁받은 업무 범위를 넘어 개인정보를 이용하거나 제3자에게 제공할 수 없습니다.
이 기준에 비추어 업체가 쇼핑몰의 업무만 대신 처리하면 위탁으로, 받은 정보를 자기 목적으로 쓰면 제공으로 정리하는 것이 실무의 출발점입니다. 예를 들어 배송 업체에 주문자 이름·주소·연락처를 넘겨 배송만 맡기면 위탁 항목에 적습니다. 제휴사가 넘겨받은 회원 정보로 자기 상품을 홍보한다면 제공 항목에 적고 동의 등 근거를 갖춥니다. 판단이 애매하면 계약서의 업무 범위와 정보 이용 제한 조항을 먼저 확인합니다.
2025년 개정 때 작성지침은 제3자를 특정하기 어려우면 특정할 수 있는 수준으로 유형화해 적는 방식을 예외적으로 인정했습니다.
쿠키를 쓰면 차단 방법까지 적습니다
장바구니 유지, 방문 분석, 맞춤형 광고에 쿠키를 쓰면 자동수집장치 항목을 적습니다. 같은 개정에서 작성지침은 쿠키와 맞춤형 광고를 차단하는 방법을 단계별로 안내하도록 했습니다.
처리방침에는 브라우저 이름과 메뉴 경로를 단계별로 적고, 브라우저 메뉴가 바뀌면 함께 고칩니다.
보유기간은 탈퇴 이후까지 적습니다
개인정보 보호법 제21조는 보유기간이 지나거나 목적을 달성해 불필요해진 정보를 지체 없이 파기하도록 합니다. 다른 법령에 따라 보존해야 하면 예외이며, 그때는 다른 정보와 분리해 저장·관리합니다. 파기할 때는 복구·재생되지 않도록 조치합니다.
그래서 보유기간 항목에는 탈퇴 즉시 지우는 정보와 법령에 따라 보존하는 정보의 기간을 나누어 적습니다. 보존하는 정보는 파기 항목에도 그 보존 근거와 보존 항목을 적습니다(제30조 제1항 제3호의2). 기간을 하나로 정하기 어려우면 작성지침이 인정한 대로 기간을 정하는 기준을 적을 수 있습니다.
예를 들어 문안은 「회원 탈퇴 시 개인정보를 지체 없이 파기합니다. 다만 ○○법에 따라 보존해야 하는 △△ 정보는 □년간 다른 정보와 분리해 보관한 뒤 파기합니다.」처럼 씁니다. ○○·△△·□에는 사업장에 실제로 적용되는 법령과 그 법령이 정한 기간을 확인해 채웁니다.
연락처와 권리 행사 방법은 실제로 응답하는 창구를 적습니다
연락처에는 보호책임자의 성명 또는 담당 부서의 연락처를 적습니다. 2025년 개정으로 보호책임자 책임 아래 고충을 처리하는 고객센터 등의 연락처도 적을 수 있게 되었습니다.
제31조에 따라 종업원 수·매출액 등이 대통령령 기준에 해당하면 보호책임자를 따로 지정하지 않을 수 있습니다. 찾기쉬운 생활법령정보는 상시 근로자 수 요건(업종별 5명 미만, 광업·제조업·건설업·운수업은 10명 미만 등)을 모두 갖춘 사업자가 해당한다고 안내합니다. 이때는 사업주나 대표자가 보호책임자가 되므로 대표자 이름과 실제 연락처를 적습니다.
권리 행사 방법에는 열람·정정·삭제·처리정지를 어디로, 어떻게 요구하는지 적습니다. 이 요구 방법과 절차는 개인정보를 수집하는 방법과 절차보다 어렵지 않게 마련합니다(제38조 제4항).
처리방침은 어떤 순서로 만들고 어디에 공개하나요
처리방침은 문안부터 쓰지 않고 실제 처리 현황을 먼저 정리합니다. 그래야 표와 본문, 가입 화면과 처리방침이 서로 어긋나지 않습니다.
1단계 · 처리 현황 목록 만들기
화면별로 받는 항목, 이용 목적, 보관 위치를 한 장의 표로 정리합니다. 모든 입력 칸이 표에 들어가면 끝납니다.
2단계 · 외부 업체와 쿠키 확인
외부 계약서를 보고 위탁·제공·국외 이전 여부를 정리하고, 사이트에 설치된 쿠키와 그 목적을 확인합니다.
3단계 · 항목별 문안 작성
기재 항목 표의 순서대로 문안을 씁니다. 「항상」 항목 7개가 모두 들어갔는지 확인하면 끝납니다.
4단계 · 약관·동의 문구와 대조
이용약관과 가입 화면 동의 문구의 항목·기간이 처리방침과 같은지 비교합니다.
5단계 · 공개와 변경 관리
쉽게 보이는 위치에 게시합니다. 처리 방식이 바뀌면 처리방침을 고치고 변경 내용을 안내합니다.
공개 방법은 시행령 제31조가 정합니다. 홈페이지가 있으면 처리방침을 홈페이지에 지속적으로 게재합니다(제2항). 공개 위치는 2025년 개정 작성지침에서 넓어졌습니다. 첫 화면 하단 외에 서비스 메뉴, 설정, 회원가입, 로그인 영역처럼 쉽게 확인할 수 있는 곳에도 공개할 수 있습니다.
이럴 때는 전문 기관에 먼저 확인합니다
- 건강 정보 같은 민감정보나 주민등록번호 같은 고유식별정보를 받아야 하는 경우
- 만 14세 미만 회원을 받는 경우
- 해외에 있는 업체에 정보 보관이나 처리를 맡기는 경우
- 회원 정보 유출이 의심되는 경우: KISA 118로 상담하고, 범죄 피해가 의심되면 수사기관에 신고합니다.
정리
- 지금 게시된 처리방침을 열어 기재 항목 표의 「항상」 항목 7개가 모두 있는지 표시합니다.
- 결제·배송·서버·문자 발송 업체의 계약서 목록을 뽑아 위탁인지 제공인지 구분하고, 처리방침의 해당 항목과 대조합니다.
- 사이트에서 쿠키를 쓰는지 확인하고, 쓴다면 브라우저별 차단 경로가 처리방침에 있는지 봅니다.
- 이용약관·가입 동의 문구의 보유기간을 처리방침의 보유기간과 나란히 놓고 대조합니다.
- 개인정보 포털에서 2026 작성지침을 내려받아 수탁자 기재 방식과 변경 안내 방법을 확인하고, 국가법령정보센터에서 현행 시행령 제31조를 대조한 뒤 고칠 문안을 정합니다.
참고 자료
- 한국법제연구원 — 개인정보 보호법 국문·영문 법령(제16조·제17조·제21조·제22조·제22조의2·제24조의2·제28조의8·제30조·제30조의2·제31조·제38조)
- 국가법령정보센터 — 개인정보 보호법 시행령(대통령령 제36671호, 2026. 9. 11. 시행)
- 국가법령정보센터 — 개인정보 보호법 제21조(개인정보의 파기)
- 한국법제연구원 — 개인정보 보호법 시행령 영문 법령(대통령령 제34309호, 제31조)
- 개인정보보호위원회 — 개인정보위, 개인정보 처리방침 작성지침 개정본 공개(2025.4.21.)
- 개인정보보호위원회 — 개인정보위, 새 개인정보 처리방침 작성지침 현장 안착에 나선다(2026.4.28.)
- 개인정보 포털 — 2026 개인정보 처리방침 작성지침(2026.4.24.)
- 법제처 찾기쉬운 생활법령정보 — 개인정보의 수집·이용방법
- 법제처 찾기쉬운 생활법령정보 — 개인정보의 제3자로의 이전
- 법제처 찾기쉬운 생활법령정보 — 개인정보 수집·이용·제공 등의 동의 철회
- 법제처 찾기쉬운 생활법령정보 — 개인정보 보호책임자의 지정