스타트업 개인정보처리방침, 서비스 출시 전에 확정해야 할 조항들

01_썸네일_261028_스타트업 개인정보처리방침_1600x900

서비스 출시를 앞두고 개인정보 처리방침 표준 양식에 회사명만 바꿔 넣으면 실제 서비스와 맞지 않는 내용이 남을 수 있습니다. 수집 항목, 보유 기간, 처리위탁과 국외 이전 여부를 서비스 구조에 맞춰 정해야 합니다.

수집 항목과 보유 기간은 기능별로 적습니다

개인정보 보호법 제30조 제1항은 처리방침에 개인정보의 처리 목적, 처리 및 보유 기간, 파기절차 및 파기방법 등을 담도록 합니다. 여기에 같은 항 제8호와 개인정보 보호법 시행령 제31조 제1항 제1호가 처리하는 개인정보의 항목을 더합니다. 회원가입, 결제, 고객센터 문의 등 기능별로 수집 항목을 적고, 보유 기간이 실제 운영 기록과 맞는지 대조합니다. 표준 양식의 문구를 그대로 가져오면 서비스에 없는 항목이 들어가거나, 실제로 수집하는 항목이 빠질 수 있습니다. 개인정보보호위원회는 같은 법 제30조 제4항에 따라 개인정보 처리방침 작성지침을 정해 준수를 권장하고 있고, 2026년 4월 생성형 AI 서비스 부록을 더해 개정했습니다.

처리위탁, 제3자 제공, 국외 이전은 따로 적습니다

클라우드 서버나 마케팅 자동화 도구에 이용자 데이터를 넘길 때는 처리위탁인지 제3자 제공인지 혼동하기 쉽습니다. 개인정보 보호법 제30조 제1항은 제3자 제공에 관한 사항(제3호)과 처리위탁에 관한 사항(제4호)을 별도 호로 두고, 각각 해당되는 경우에만 정하도록 합니다. 구분 기준은 누구의 업무를 위해 개인정보를 처리하느냐입니다. 외부 사업자가 우리 회사의 업무를 대신 처리하는 것이면 처리위탁(같은 법 제26조)이고, 외부 사업자가 자기 사업을 위해 개인정보를 받아 이용하는 것이면 제3자 제공(같은 법 제17조)입니다.

해외 서버에 데이터를 보관하는 경우도 따로 봐야 합니다. 같은 법 제28조의8 제1항은 개인정보를 국외로 제공(조회되는 경우를 포함), 처리위탁, 보관하는 것을 모두 '이전'으로 봅니다. 국외로 이전한다면 시행령 제31조 제1항 제2호에 따라 국외 이전의 근거와 같은 법 제28조의8 제2항 각 호의 사항을 처리방침에 적어야 합니다. 이전되는 항목, 이전 국가와 시기 및 방법, 이전받는 자와 그 이용목적, 보유 및 이용 기간, 이전 거부 방법과 효과 등이 여기에 해당합니다. 국외에서 국내 정보주체의 개인정보를 직접 수집해 처리한다면 처리하는 국가명도 적습니다(시행령 제31조 제1항 제4호).

만 14세 미만 이용자: 법정대리인 동의와 정보 파기

만 14세 미만 아동의 개인정보를 처리하려고 동의를 받아야 할 때는 법정대리인의 동의를 받고, 법정대리인이 동의했는지 확인해야 합니다(개인정보 보호법 제22조의2 제1항). 같은 조 제3항에 따라 아동에게 고지할 때는 이해하기 쉬운 양식과 명확하고 알기 쉬운 언어를 써야 합니다. 법정대리인의 동의 없이 아동에게서 직접 받을 수 있는 정보는 법정대리인의 성명과 연락처입니다(같은 조 제2항, 시행령 제17조의2 제2항). 개인정보보호위원회 고시인 표준 개인정보 보호지침 제13조 제2항에 따르면 이렇게 받은 법정대리인의 정보는 동의를 얻는 목적으로만 쓸 수 있고, 법정대리인이 동의를 거부하거나 동의 의사가 확인되지 않으면 수집일로부터 5일 이내에 파기해야 합니다.

시행령 제17조의2 제1항은 동의 확인 방법으로 휴대전화 문자메시지, 카드정보, 휴대전화 본인인증, 서면, 전자우편, 전화 등을 두고 있으므로, 회사는 이 가운데 어느 방법을 쓸지 먼저 정하고 처리방침에는 법령 내용을 나열하지 말고 실제로 쓰는 절차를 적습니다. 법정대리인의 동의 없이 아동의 개인정보를 처리하면 5년 이하의 징역 또는 5천만 원 이하의 벌금 대상이 되고(개인정보 보호법 제71조 제3호), 전체 매출액의 100분의 3 이하의 과징금도 부과될 수 있습니다(같은 법 제64조의2 제1항 제2호).

쿠키, 행태정보, 위치정보는 해당하는 서비스만 더 적습니다

개인정보 보호법 제30조 제1항 제7호는 인터넷 접속정보파일 등 개인정보를 자동으로 수집하는 장치의 설치, 운영과 그 거부에 관한 사항을 해당하는 경우에만 정하도록 합니다. 쿠키 또는 이와 유사한 기술을 쓴다면 그 개념, 활용 목적, 수집 방법, 거부 방법을 적고, 웹이나 앱에서 제3자가 이런 장치로 행태정보를 수집하도록 허용한다면 장치 명칭과 종류, 수집해 가는 사업자와 행태정보, 그 목적, 거부 방법도 적습니다.

이용자 가운데 아동이나 청소년이 있다면 개인정보보호위원회의 아동·청소년 개인정보 보호 가이드라인(2022년 7월)도 참고합니다. 이 가이드라인은 서비스 기획 단계에서 아동·청소년 이용이 예상되면 연령을 적절히 확인하고, 높은 수준의 개인정보 보호 기본값을 설정하도록 권장합니다.

위치정보를 수집하는 서비스라면 「위치정보의 보호 및 이용 등에 관한 법률」도 검토합니다. 이 법은 긴급구조 요청 등 예외를 제외하고 누구든지 개인위치정보주체의 동의 없이 개인위치정보를 수집, 이용 또는 제공하지 못하도록 정합니다(제15조 제1항). 위치정보사업자 등이 14세 미만 아동의 개인위치정보를 수집, 이용 또는 제공하려면 법정대리인의 동의를 얻고 동의 여부를 확인해야 합니다(같은 법 제25조 제1항). 개인위치정보를 이용해 서비스를 제공하는 위치기반서비스사업에 해당하면 방송미디어통신위원회에 신고해야 하므로(같은 법 제9조 제1항), 출시 전에 신고 대상인지부터 확인합니다.

출시 후 변경: 공개 방법과 이용약관 대조

개인정보 보호법 제30조 제2항은 처리방침을 수립하거나 변경할 때 정보주체가 쉽게 확인할 수 있도록 대통령령으로 정하는 방법에 따라 공개하도록 합니다. 시행령 제31조 제2항에 따라 처리방침은 회사 인터넷 홈페이지에 지속적으로 게재해야 합니다. 홈페이지에 게재할 수 없으면 사업장 등의 보기 쉬운 장소에 게시하는 방법 등 같은 조 제3항의 방법 가운데 하나 이상으로 공개해야 합니다. 처리방침을 변경하면 변경 시기와 변경된 내용을 함께 공개하고, 이전 버전도 남겨 각 버전의 적용 기간을 확인할 수 있게 해 둡니다.

이용약관과 처리방침의 내용이 다를 때도 대비해야 합니다. 개인정보 보호법 제30조 제3항은 처리방침의 내용과 개인정보처리자와 정보주체 간에 체결한 계약의 내용이 다르면 정보주체에게 유리한 것을 적용하도록 정하고 있습니다. 따라서 이용약관을 개정할 때는 처리방침과 개인정보 관련 문구가 어긋나는지 함께 대조합니다.

출시 전 확인할 다섯 가지

1. 기능별로 수집하는 항목과 보유 기간이 처리방침과 일치하는가.

2. 외부 업체마다 처리위탁인지 제3자 제공인지 나누고, 해외 서버 보관을 국외 이전으로 적었는가.

3. 만 14세 미만 이용자가 있다면 법정대리인 동의 확인 방법과 법정대리인 정보의 파기 절차를 정했는가.

4. 쿠키 등 자동 수집 장치와 제3자의 행태정보 수집 여부가 처리방침과 맞는가.

5. 처리방침의 변경 이력과 이용약관의 개인정보 관련 문구를 함께 관리하고 있는가.

자주 묻는 질문

개인정보 처리방침 표준 양식을 그대로 써도 되나요

틀로 쓰는 것은 괜찮지만 내용은 서비스에 맞게 바꿔야 합니다. 작성지침은 작성 방법을 안내하고 준수를 권장하는 기준이고(개인정보 보호법 제30조 제4항), 처리하는 항목과 보유 기간, 처리위탁과 국외 이전 여부는 회사가 실제 운영에 맞춰 적어야 합니다. 기능별 수집 항목 목록을 먼저 만든 뒤 양식을 채우면 빠지거나 남는 항목이 줄어듭니다.

쿠키나 행태정보를 쓰지 않는 서비스도 관련 조항을 넣어야 하나요

쿠키 등 개인정보를 자동으로 수집하는 장치를 쓰지 않는다면 그 항목은 적지 않아도 됩니다. 개인정보 보호법 제30조 제1항 제7호가 이 사항을 해당하는 경우에만 정하도록 하기 때문입니다. 다만 웹이나 앱에 외부 분석 도구나 광고 도구를 설치했다면, 그 도구가 쿠키 등을 쓰는지 확인한 뒤 판단합니다.

서비스 기능이 바뀌면 처리방침도 바로 바꿔야 하나요

수집 항목이나 처리위탁, 제3자 제공 범위가 바뀌었다면 처리방침에 적어야 하는 사항이 달라진 것이므로 처리방침도 고쳐 공개해야 합니다(개인정보 보호법 제30조 제1항, 제2항). 처리하는 개인정보의 항목이나 처리 목적이 바뀌는 것처럼 정보주체의 권리에 영향이 큰 변경은 시행 전에 변경 전후를 비교할 수 있게 안내하고, 기능 배포 일정에 맞춰 개정본과 시행일을 함께 정해 두면 공개가 늦어지지 않습니다.

법무법인 채비의 개인정보 자문

법무법인 채비는 개인정보와 콘텐츠·IP 분야를 맡고 있는 신재윤 파트너 변호사를 중심으로 개인정보 처리방침과 이용약관의 작성·검토, 처리위탁과 국외 이전 계약, 아동 이용자 서비스의 동의 절차 설계를 돕고 있습니다. 상담은 상담 페이지를 통해 문의하실 수 있습니다.

이 글은 일반적인 정보 제공을 목적으로 작성된 것으로 개별 사안에 대한 법률자문이 아닙니다. 인용한 법령과 판례는 2026년 10월 기준입니다. 구체적인 사안은 변호사와 상담하시기 바랍니다.