개인정보처리방침 필수 항목 — AI로 만든 서비스가 자주 빠뜨리는 것

처리방침이 꼭 있어야 하는 경우

개인정보 보호법은 개인정보를 처리하는 사업자(개인정보처리자)에게 개인정보 처리방침을 정하도록 합니다(제30조 제1항). 카카오 로그인으로 이름·이메일을 받거나, 문의 폼에서 연락처를 받거나, 결제 기록을 남기는 순간 해당된다고 보는 것이 안전합니다.

정한 처리방침은 홈페이지에 계속 올려 두어야 합니다(시행령 제31조 제2항). 보통 모든 화면 하단에 "개인정보처리방침" 링크를 둡니다. 처리방침과 손님과의 계약 내용이 다르면 손님에게 유리한 쪽이 적용됩니다(제30조 제3항).

법이 정한 기재 항목

아래는 법 제30조 제1항과 시행령 제31조 제1항에 적힌 항목을 쉬운 말로 옮긴 것입니다. "해당되는 경우에만"이라고 된 항목은 그 일을 하지 않으면 빼도 됩니다.

• 처리 목적: 무엇 때문에 받는지(회원 관리, 주문 처리, 문의 답변 등)
• 처리하는 개인정보 항목: 실제로 받는 정보의 목록(시행령)
• 처리 및 보유 기간: 언제까지 보관하는지, 다른 법 때문에 더 보관하는 것이 있으면 그 근거
• 파기 절차와 방법: 기간이 끝나면 어떻게 지우는지
• 제3자 제공(해당 시): 다른 회사에 넘기는 경우 누구에게 무엇을
• 처리 위탁(해당 시): 서버·결제·메일 발송 등 처리를 맡긴 회사와 맡긴 일
• 국외 이전(해당 시): 해외 회사·서버로 보내는 경우 그 근거와 이전 항목·국가·받는 자 등(시행령)
• 민감정보 공개 가능성과 비공개 선택 방법, 가명정보 처리(해당 시)
• 손님(정보주체)과 법정대리인의 권리와 행사 방법: 열람·정정·삭제·처리정지 요청 방법
• 개인정보 보호책임자 또는 담당 부서의 이름과 연락처
• 쿠키 등 자동 수집 장치의 설치·운영과 거부 방법(해당 시)
• 안전성 확보 조치: 접근 권한 관리, 암호화 등 어떻게 지키는지(시행령)

AI 로 만든 서비스에서 자주 빠지는 것

• 받는 항목이 실제와 다름: 카카오 로그인에서 전화번호·생일까지 받는데 처리방침에는 이메일만 적혀 있는 경우
• 위탁 회사 누락: 서버(Vercel·Supabase 등), 결제대행, 메일 발송, 문자 발송, AI API 회사를 적지 않은 경우
• 국외 이전 누락: 해외에 서버가 있는 회사에 손님 정보를 보내면서 이전 국가·항목을 적지 않은 경우
• 분석 도구·쿠키 누락: 방문 분석 도구나 광고 픽셀을 붙였는데 자동 수집 장치 항목이 없는 경우
• 외국 법 용어 그대로: 해외 서식을 번역해 "GDPR", "데이터 컨트롤러" 같은 말만 있고 국내 법 항목이 빠진 경우
• 연락처가 비어 있음: 보호책임자 이름·연락처 자리에 예시 문구가 그대로 남은 경우
• 시행일과 변경 이력이 없음: 언제부터 적용되는지, 이전 판은 무엇인지 알 수 없는 경우

혼자 일하는 사장님의 보호책임자

법은 개인정보 보호책임자를 정하도록 하면서, 시행령으로 정한 소상공인은 따로 지정하지 않을 수 있게 했습니다. 이 경우 사업주나 대표자가 보호책임자가 됩니다(법 제31조 제1항·제2항, 시행령 제32조 제1항). 혼자 운영한다면 대표자 이름과 실제로 답장을 받는 연락처를 적으면 됩니다.

코드와 처리방침 맞춰 보기

1. 내 AI 코딩 도구에게 아래 요청을 붙여 넣어, 코드에서 실제로 받는 정보와 보내는 곳 목록을 뽑습니다.
2. 그 목록과 지금 처리방침을 한 줄씩 비교해, 빠진 항목·회사를 표시합니다.
3. 개인정보보호위원회가 공개한 처리방침 작성지침을 함께 보며 문장을 고칩니다.
4. 고친 처리방침에 시행일을 적고, 이전 판은 링크로 남겨 둡니다.

자주 묻는 질문

함께 보면 좋은 글

• 해외 AI API 쓰면 개인정보 국외 이전 고지 — 처리방침 작성법
• 통신판매업 신고와 사이트 하단 사업자 정보 표시 방법 정리
• 카카오 로그인 동의항목·비즈 앱 전환·검수 반려 이유 정리

참고

• 개인정보 보호법(국가법령정보센터)
• 개인정보 보호법 시행령(국가법령정보센터)
• 개인정보보호위원회 안내서(개인정보 처리방침 작성지침)