개인정보처리방침 만들기, 2026 법정 항목 15가지

홈페이지에 문의 폼이나 회원가입, 뉴스레터 신청 칸이 하나라도 있으면 개인정보처리방침은 선택이 아니라 법으로 정해진 의무다. 개인정보 보호법 제30조는 개인정보를 수집하고 처리하는 사업자에게 처리방침을 만들어 공개하라고 정한다. 만들지 않거나 공개하지 않으면 1천만원 이하의 과태료 대상이 된다(같은 법 제75조). 2026년 기준으로 무엇을 담고 어떻게 만들어 어디에 올리는지를 순서대로 짚는다.

핵심 요약

• 개인정보를 한 건이라도 받는 순간 작성·공개 의무가 생긴다. 문의 폼에 적는 이름과 연락처도 개인정보다.
• 법이 요구하는 기재 항목은 크게 15가지다. 그중 일부는 해당하는 사업자만 쓰고 처리 목적·보유기간·파기·권리 행사 안내는 거의 모든 사이트가 공통으로 넣는다.
• 개인정보처리방침은 이용약관과 다르다. 약관이 서비스 이용 계약이라면 처리방침은 개인정보를 어떻게 다루는지 알리는 고지다.
• 개인정보 포털의 자동 생성기로 초안을 뽑고 우리 서비스 실제 흐름에 맞게 고친 뒤 홈페이지 하단에 항상 보이게 건다.
• 내용이 바뀌면 시행 최소 7일 전에 변경 사실과 사유를 미리 알리고 방침 하단 시행일자도 함께 고친다.

문의 폼 하나만 있어도 의무가 생긴다

많은 사장님이 "우리는 쇼핑몰도 아니고 회원가입도 안 받는데 개인정보처리방침이 왜 필요하냐"고 되묻는다. 기준은 회원 수나 매출이 아니라 개인정보를 받느냐다. 문의 폼에서 이름과 휴대폰 번호를 받는 순간, 상담 예약에서 이메일을 받는 순간 사업자는 개인정보처리자가 된다.

개인정보는 생각보다 범위가 넓다. 이름·연락처·이메일은 물론이고 방문자를 자동으로 남기는 접속 로그와 쿠키, 상담 게시판에 올라오는 사진까지 들어간다. 하나만으로는 누군지 몰라도 다른 정보와 합치면 특정 개인을 알아볼 수 있는 것까지 개인정보로 본다는 점이 중요하다. 홈페이지 외주를 진행하다 보면 "문의 폼만 있는 소개형 사이트"라며 처리방침을 아예 빼 달라고 하는 경우가 있는데 이건 폼에서 받는 연락처를 개인정보로 보지 않아 생기는 오해다. 받는 항목이 이름·연락처 두 개뿐이어도 방침은 있어야 한다.

반대로 개인을 알아볼 수 없게 완전히 처리한 통계나 사업자 등록번호 같은 법인 정보는 개인정보가 아니다. 그래서 방침을 쓰기 전 첫 단계는 "우리 사이트가 실제로 받는 항목을 한 줄씩 적어 보는 것"이다. 문의 폼의 입력칸, 회원가입 항목, 자동으로 쌓이는 로그와 쿠키까지 목록으로 만들면 방침에 무엇을 써야 할지가 저절로 정리된다.

의무는 사이트를 여는 시점이 아니라 개인정보를 받기 시작하는 시점에 생긴다. 그래서 폼을 붙이기 전에 처리방침을 먼저 준비하는 편이 순서상 맞는다. 개인정보가 오가는 구간을 https로 암호화하는 것도 같은 맥락의 기본기라 방침을 쓰면서 SSL 인증서도 함께 챙기면 좋다.

개인정보처리방침에 꼭 들어가는 항목 15가지

개인정보 보호법과 개인정보 보호위원회의 안내를 기준으로 처리방침에 담을 수 있는 법정 기재 항목은 다음 15가지로 묶인다. 전부를 무조건 다 쓰지는 않는다. 제3자 제공이나 위탁처럼 해당하는 사업자만 쓰는 항목이 있고 처리 목적이나 파기 방법처럼 사실상 모든 사이트가 공통으로 넣는 항목이 있다.

구분	기재 항목	적용
목적·기간	개인정보의 처리 목적	공통
목적·기간	처리 및 보유기간	공통
제공·위탁	제3자 제공에 관한 사항	해당 시
제공·위탁	처리 위탁에 관한 사항	해당 시
파기	파기 절차와 방법	공통
권리	정보주체·법정대리인의 권리와 행사 방법	공통
안전	안전성 확보 조치	공통
자동수집	쿠키 등 자동 수집 장치의 설치·운영·거부	해당 시
책임	개인정보 보호책임자	공통
열람	열람청구를 접수·처리하는 부서	공통
구제	권익침해 구제 방법	공통
변경	처리방침의 변경에 관한 사항	공통
기타	개인정보파일 등록 현황·영향평가 결과·보호수준 평가 결과	공공·해당 기관

작은 사업자의 사이트라면 대개 처리 목적, 보유기간, 파기, 권리 행사 방법, 보호책임자 연락처, 쿠키 사용 여부, 구제 방법 정도가 실제로 채워지는 뼈대다. 나머지는 "우리는 해당 없음"으로 비워 두기보다 해당하지 않으면 항목 자체를 빼는 편이 읽기 편하다.

항목 이름이 낯설어도 겁먹을 필요는 없다. 개인정보 보호위원회가 배포하는 개인정보 처리방침 작성지침에는 항목마다 예시 문장이 실려 있어 우리 상황에 맞는 문장을 골라 고치면 된다. 중요한 건 항목을 몇 개 채웠느냐가 아니라 실제로 받는 정보와 방침에 적힌 내용이 어긋나지 않느냐다.

이용약관·개인정보취급방침과 무엇이 다른가

세 가지 이름이 자주 헷갈린다. 지금 법에서 쓰는 정식 용어는 개인정보처리방침 하나다.

문서	성격	담는 내용
이용약관	서비스 이용 계약	이용 조건, 회사와 이용자의 책임, 요금, 해지 같은 약속
개인정보처리방침	법정 고지	개인정보를 어떤 목적으로 받아 얼마나 보관하고 어떻게 파기하는지
개인정보취급방침	옛 명칭	지금의 개인정보처리방침과 같은 문서. 예전 이름이 남아 있는 것

이용약관과 개인정보처리방침은 목적이 다른 별개 문서라 서비스 성격에 따라 둘 다 필요하다. 개인정보취급방침은 옛 이름이니 새로 만든다면 개인정보처리방침으로 이름을 통일한다. 간혹 약관 안에 개인정보 항목을 몇 줄 끼워 넣고 처리방침을 대신하려는 경우가 있는데 이렇게 하면 법이 요구하는 기재 항목을 놓치기 쉬워 문서를 나누는 편이 안전하다.

처리방침 만드는 순서, 초안부터 게시까지

빈 문서에 법조문을 옮겨 적을 필요는 없다. 정부가 무료로 제공하는 자동 생성기를 뼈대로 삼고 우리 서비스에 맞게 고치는 순서가 가장 빠르면서 안전하다.

1. 개인정보 포털의 개인정보 처리방침 만들기에서 업종과 수집 항목을 고르면 초안이 자동으로 만들어진다.
2. 우리 사이트가 실제로 받는 항목만 남긴다. 예시로 들어간 주민등록번호·계좌번호처럼 받지 않는 항목은 지운다.
3. 보유기간을 실제 운영에 맞게 적는다. 문의 상담 기록을 3년 보관한다면 그대로 3년으로 쓴다.
4. 개인정보 보호책임자의 이름·직책·연락처를 우리 담당자로 바꾼다. 1인 사업자면 대표가 책임자가 된다.
5. 시행일자를 넣고 홈페이지 하단에 링크를 건다. 이때 방침 링크는 다른 메뉴와 눈에 띄게 구분한다.

여기서 가장 자주 사고가 나는 지점은 2번이다. 자동 생성기의 예시 문구를 그대로 두면 실제로는 받지도 않는 민감정보를 수집한다고 공개하는 꼴이 된다. 검수하며 자주 보는 실수도 생성기 예시의 계좌번호·주민번호가 방침에 그대로 남아 있는 경우다. 한 줄씩 우리 폼과 대조하는 10분이 이 문서의 품질을 거의 결정한다.

순서를 밟다 보면 두 곳에서 막힌다. 하나는 보유기간이다. 법이 정한 다른 보관 의무가 없다면 목적을 다 이룬 뒤 지체 없이 파기하는 것이 원칙이라 문의 답변이 끝나면 언제 지우는지를 우리 운영 기준으로 못 박아 적는다. 다른 하나는 위탁이다. 문자 발송을 대행사에 맡기거나 예약을 외부 솔루션으로 받는다면 그 업체 이름과 위탁 업무를 방침에 적어야 한다. 계약할 업체에 "개인정보 위탁 계약서와 우리 방침에 넣을 위탁 문구를 주실 수 있나요"라고 먼저 물어 두면 나중에 헤매지 않는다.

어디에 올리고, 바뀌면 어떻게 알리나

다 만들었으면 눈에 띄는 곳에 항상 걸어 둔다. 관행은 홈페이지 맨 아래 푸터에 개인정보처리방침 링크를 두고 별도 페이지로 여는 방식이다. 이용약관과 나란히 두되 처리방침은 글씨를 조금 더 눈에 띄게 하는 곳이 많다. 법에서도 정보주체가 쉽게 확인할 수 있게 공개하라고 정하고 있어 첫 화면에서 두세 번 클릭해야 겨우 나오는 위치는 피한다. 흔히 쓰는 주소는 /privacy 같은 별도 경로이고, 방침이 길어도 한 페이지에서 처음부터 끝까지 읽히게 두는 편이 좋다.

규모가 큰 서비스라면 한 가지 더 알아 둘 게 있다. 개인정보 보호위원회는 2024년부터 처리방침 평가제를 운영해 온라인 쇼핑·플랫폼·병의원 같은 분야의 처리방침을 적정성·가독성·접근성 기준으로 점검한다. 작은 사업자가 당장 평가 대상이 되지는 않지만 방침을 읽기 쉽게 쓰고 찾기 쉬운 곳에 두라는 방향은 규모와 상관없이 참고할 만하다.

내용이 바뀔 때가 더 중요하다. 수집 항목이나 보유기간, 위탁 업체가 달라지면 방침을 고치고 시행 최소 7일 전에 변경 사실과 사유를 미리 알린다. 공지사항이나 방침 상단에 무엇이 언제부터 어떻게 바뀌는지 적어 두는 식이다. 방침 하단 시행일자를 고치지 않아 몇 년째 옛 날짜가 박혀 있는 사이트가 많은데 이건 관리가 안 된다는 인상을 준다.

앱·쇼핑몰·결제가 붙으면 더 챙길 것

수집하는 정보가 늘수록 방침도 두꺼워진다. 소개형 홈페이지가 이름·연락처 정도라면 회원가입과 결제를 받는 쇼핑몰은 결제 정보, 배송지, 구매 이력까지 다룬다. 이때는 결제 대행사·택배사 같은 위탁과 제3자 제공 항목이 반드시 붙고 광고성 문자나 메일을 보낸다면 마케팅 활용 동의를 처리방침과 별도로 받아야 한다. 동의는 목적별로 나눠 받고 받지 않아도 서비스는 이용할 수 있게 열어 두는 것이 원칙이다.

앱도 크게 다르지 않다. 다만 앱은 카메라·위치·연락처 같은 단말기 접근 권한을 요구하는 경우가 많아 어떤 권한을 왜 쓰는지 방침에 함께 적는다. 앱 마켓에 올릴 때 개인정보처리방침 주소를 요구하는 것도 이 때문이다. 웹이든 앱이든 원리는 같다. 받는 항목과 그 쓰임은 빠짐없이, 받지 않는 것은 넣지 않고 정직하게 적는다. 쇼핑몰을 준비 중이라면 결제와 회원 정보 흐름을 쇼핑몰 제작 과정에서 미리 그려 두면 방침 작성이 한결 수월하다.

자주 하는 오해 세 가지

상담을 하다 보면 반복해서 듣는 오해가 있다.

• 다른 사이트 처리방침을 복사해 쓰면 된다고 생각한다. 실제로는 수집 항목·보유기간·책임자가 회사마다 다르다. 남의 방침을 그대로 옮기면 실제 처리와 어긋나 오히려 위험하다.
• 무료 자동 생성기로 뽑으면 끝이라고 여긴다. 자동 생성은 초안일 뿐이다. 우리 폼과 대조해 손보지 않으면 받지도 않는 정보를 받는다고 공개하게 된다.
• 한 번 올리면 계속 그대로 둬도 된다고 본다. 수집 항목이나 위탁 업체가 바뀌면 방침도 고치고 변경 고지를 해야 한다. 특히 개인정보를 넘기는 위탁 업체가 달라졌는데 방침을 안 고치면 실제와 다른 문서가 되어 문제가 커진다.

노바랩 기준으로 문의 폼 사이트에 넣는 것

노바랩은 홈페이지를 만들 때 문의 폼이 있는 사이트라면 개인정보처리방침 페이지와 동의 문구를 기본 구성으로 넣는다. 실제로 채우는 뼈대는 대개 이렇다. 처리 목적은 문의 접수와 답변, 수집 항목은 이름·연락처·문의 내용, 보유기간은 문의 처리 후 일정 기간, 그리고 파기 방법과 보호책임자 연락처, 쿠키 사용 여부다. 폼 아래에는 개인정보 수집·이용 동의 체크와 처리방침 링크를 함께 둔다. 이 최소 구성만 갖춰도 대부분의 소개형·상담형 사이트는 법이 요구하는 뼈대를 채운다.

비용과 시간 감도 미리 잡아 두면 좋다. 방침 문서 자체는 자동 생성기와 검수만으로 하루 안에 준비되는 경우가 대부분이라 돈보다 항목을 대조하는 시간이 더 든다. 오히려 비용이 드는 쪽은 방침에 적은 대로 실제 운영을 맞추는 일이다. 보유기간이 지난 데이터를 실제로 지우고 위탁 업체와 계약서를 갖추고 동의 없이 마케팅 문자를 보내지 않는 것까지가 방침을 지키는 일이기 때문이다.

가상 예시를 하나 들면 이렇다. 동네 필라테스 스튜디오가 상담 신청 폼만 있는 한 장짜리 홈페이지를 열었다고 하자(가상 예시다). 받는 정보는 이름·연락처·희망 시간 세 가지다. 이 경우 처리방침에는 목적인 상담 예약, 항목 세 가지, 보유기간, 책임자인 대표, 구제 방법 정도만 있으면 충분하다. 반대로 결제와 회원가입을 받는 쇼핑몰이라면 제3자 제공·위탁·결제 대행 관련 항목이 더 붙는다.

어디까지 챙길지 판단이 서지 않으면 기준은 단순하다. 받는 개인정보가 이름·연락처 정도로 적고 외부에 넘기지 않으면 최소 구성으로 충분하다. 반대로 결제를 붙이거나 배송·문자 발송을 외부 업체에 맡기거나 마케팅 활용 동의를 받는다면 제3자 제공과 위탁 항목까지 갖춰야 한다. 문의 폼이 있는 랜딩페이지를 처음 만든다면 랜딩페이지 구조를 잡을 때 개인정보 동의 동선을 함께 설계하는 것이 좋다. 방침과 동의 배관까지 한 번에 처리하고 싶다면 홈페이지 제작 단계에서 요청해 두면 나중에 급하게 붙일 일이 없다. 판단이 애매한 지점은 문의로 물어봐도 된다.