개인정보보호법 2026, 웹사이트 운영자 의무 7가지

홈페이지에서 이름·전화·이메일을 하나라도 받는 순간, 그 사업자는 개인정보보호법이 말하는 개인정보처리자가 된다. 회사 규모나 회원 수와 상관없이 동의를 받고 처리방침을 알리고 다 쓴 정보는 파기할 의무가 함께 생긴다. 2026년 기준으로 이 의무는 대기업만의 것이 아니라 문의 폼 하나 달린 1인 사업자 홈페이지에도 그대로 적용된다. 이 글은 홈페이지를 만들거나 맡길 때 운영자가 챙겨야 할 최소한의 법적 의무를 생애주기 순서로 정리한다.

핵심 요약

• 이름·연락처를 하나라도 받으면 규모와 무관하게 개인정보처리자이고 아래 의무가 그대로 적용된다.
• 수집 화면에서 목적·항목·보유기간·거부 권리 네 가지를 알리고 동의를 받아야 한다(제15조).
• 개인정보 처리방침은 규모가 작아도 만들어 홈페이지에 상시 게재할 의무가 있다(제30조).
• 목적을 다 쓴 정보는 지체 없이 복구 불가능하게 파기해야 한다(제21조).
• 제작·호스팅을 외주로 맡겨도 법적 책임 주체는 발주자(운영자) 본인이다.

문의 폼 하나만 있어도 개인정보처리자가 된다

가장 흔한 오해가 "우리는 회원제도 아니고 결제도 없으니 개인정보와 무관하다"는 생각이다. 그런데 상담 문의 폼에서 이름과 연락처를 받는 순간, 그 정보를 처리하는 사업자는 개인정보처리자다. 규모 기준으로 면제되는 구간이 따로 없다. 홈페이지 외주를 진행하다 보면 문의 폼만 있는 소개형 사이트라 처리방침을 아예 빼 달라는 요청을 종종 받는데, 이건 편의가 아니라 위반의 소지를 남기는 선택이다.

개인정보는 법이 정한 요건(동의 등)에 해당할 때 목적 범위 안에서만 받을 수 있고 목적에 꼭 필요한 최소한만 수집해야 한다(제16조). 전화번호만 있으면 되는 상담 폼에 생년월일·주소까지 필수로 걸어 두는 식은 그 자체로 최소수집 원칙에서 벗어난다. 안 받아도 되는 항목을 필수로 만드는 것부터가 첫 번째 실수다.

받을 때·쓸 때·지울 때, 개인정보 4단계 의무

의무는 문서 한 장으로 끝나지 않고 정보의 생애주기를 따라 이어진다. 받을 때 동의, 알릴 때 처리방침, 쓰는 동안 최소 보관, 목적이 끝나면 파기 — 이 네 단계를 표로 보면 이렇다.

단계	해야 할 일	근거
받을 때	목적·항목·보유기간·거부 권리를 알리고 동의	제15조
알릴 때	개인정보 처리방침을 만들어 홈페이지에 게재	제30조
쓸 때	목적에 필요한 최소한만, 필수·선택 분리 동의	제16·22조
지울 때	목적 달성·기간 경과 시 지체 없이 파기	제21조

동의를 받을 때 알려야 하는 네 가지는 수집·이용 목적, 수집하는 항목, 보유·이용 기간, 그리고 동의를 거부할 권리와 거부 시 불이익이다. 이 중 하나라도 나중에 바뀌면 다시 알리고 동의를 받아야 한다. 광고·마케팅 문자 수신 같은 선택 항목은 필수 동의와 반드시 나눠서 받아야 하고 선택에 동의하지 않았다는 이유로 서비스 제공을 거부할 수 없다. 보유기간은 "회원 탈퇴 시까지"나 "문의 처리 후 일정 기간"처럼 목적에 맞춰 구체적으로 정해 두는 편이 좋다. 기간을 열어 두면 다 쓴 정보를 방치하게 되고 그 방치가 곧 파기 의무 위반으로 이어진다. 처리방침 문서에 정확히 무엇을 담아야 하는지는 개인정보처리방침 만들기에서 항목별로 정리해 두었으니, 이 글은 문서 이전에 지켜야 할 의무의 큰 그림에 집중한다.

외주를 줘도 법적 책임은 발주자에게 남는다

제작사에 홈페이지를 맡기고 메일·챗봇·호스팅을 외부 도구로 쓰면 개인정보 관리도 그쪽이 책임진다고 여기기 쉽다. 실제로는 반대다. 제작사·호스팅·챗봇 업체는 발주자의 지시로 정보를 대신 처리하는 수탁자일 뿐이고 법이 책임을 묻는 개인정보처리자는 정보를 수집·이용하는 사업자, 즉 발주자 본인이다.

구분	개인정보처리자	수탁자
누구	발주자(사이트 운영자)	제작사·호스팅·챗봇 등
역할	수집·이용을 결정	지시받아 대신 처리
법적 책임	있음(제재 주체)	운영자 책임을 대신 지지 않음

그래서 외주를 쓸 때는 위탁 사실을 처리방침에 적고 어떤 업체에 무엇을 맡기는지 관리해야 한다. 계약할 때 "개인정보 처리를 위탁하는 부분이 있으면 처리방침에 표기해 주시고, 종료 시 데이터는 어떻게 파기하시나요?"라고 물어 두면 나중에 책임 소재로 다툴 일이 준다.

위반하면 무엇이 문제인가

제재는 생각보다 구체적이다. 개인정보 처리방침을 만들지 않거나 공개하지 않으면 3천만원 이하의 과태료 대상이고 파기 의무를 어겨도 같은 3천만원 이하 과태료 대상이다(제75조 제2항). 유출 같은 중대한 사고가 나면 과징금이 별도로 붙는다. 2023년 9월 개정 시행으로 산정 기준이 위반과 관련된 매출이 아니라 전체 매출액의 3% 이하로 넓어졌고 매출을 산정하기 어려우면 20억원 이하로 부과한다(제64조의2). 동의를 제대로 받지 않은 경우도 제재 대상이다.

규모가 작을수록 이런 제재 한 번이 사업에 주는 타격은 더 크다. "작으니까 안 걸리겠지"가 아니라, 작을수록 방어할 여력이 없으니 처음 만들 때 배관을 맞춰 두는 편이 싸게 먹힌다.

홈페이지 만들 때 챙길 최소 의무 체크리스트

가상 예시로 감을 잡아 보자. 한 공방이 수강 문의 폼만 있는 소개형 홈페이지를 열면서, 이름·전화·이메일에 더해 "혹시 몰라" 생년월일까지 필수로 받고 처리방침은 넣지 않았다. 이 경우 최소수집 위반 소지에 처리방침 미게재까지 겹친다. 반대로 아래 목록만 지켰다면 대부분 예방됐을 일이다. (가상 예시다.)

1. 수집 화면에 목적·항목·보유기간·거부 권리 네 가지를 적고 동의를 받는다.
2. 목적에 꼭 필요한 항목만 필수로 받고, 나머지는 선택으로 나눈다.
3. 광고·마케팅 수신 동의는 서비스 이용 동의와 별도로 받는다.
4. 개인정보 처리방침을 만들어 푸터 등 찾기 쉬운 자리에 상시 게재한다.
5. 보유기간을 정하고, 목적을 다 쓰면 지체 없이 복구 불가능하게 파기한다.
6. 법령상 보존해야 하는 기록은 근거와 기간을 처리방침에 적고 분리해 둔다.
7. 제작·호스팅·챗봇 등 외주가 있으면 위탁 사실을 처리방침에 알린다.

판단 기준은 단순하다. 문의 폼 하나만 있는 소개형이면 위 체크리스트 1·4·5번만 지켜도 최소선은 넘는다. 회원가입·결제·마케팅 발송까지 붙는다면 2·3·6·7번이 함께 필요해진다. 홈페이지를 새로 만들거나 맡길 때 이 배관을 처음부터 넣어 두는 게 가장 확실하다. 제작 단계에서 개인정보 처리까지 함께 설계하려면 홈페이지 제작 안내를 참고하거나 노바랩에 상담을 남겨 범위를 맞춰 봐도 좋다. 이 글은 법률 자문이 아니라 실무 안내이므로, 사업 형태에 따른 정확한 적용은 개인정보보호위원회 안내와 최신 법령으로 확인하기를 권한다.