고객 이름이나 이메일을 한 줄이라도 받는 사이트를 열면 개인정보처리방침이 필요합니다. 결론부터 말하면, 개인정보보호위원회의 2026 작성지침과 표준(안)을 바탕으로 내 서비스가 실제로 받는 정보와 맡기는 곳만 정확히 적어 첫 화면 하단에 공개하면 됩니다. 이 글은 2026년 10월 12일 기준 개인정보 보호법·시행령 조문과 개인정보보호위원회 「개인정보 처리방침 작성지침」(2026년 4월 개정)을 근거로 했고, 1인 창업가가 자주 빠뜨리는 위탁·국외 이전·쿠키 항목을 중심으로 정리했습니다. 법률 자문이 아니라 정리 자료이니, 업종 특성이 강하면 전문가 검토를 받으세요.
개인정보처리방침은 누가 꼭 만들어야 하나요?
개인정보 보호법 제30조는 개인정보처리자가 처리방침을 정하고, 정보주체가 쉽게 확인할 수 있게 공개하도록 정합니다. 회원가입, 주문, 상담 신청, 뉴스레터 구독처럼 사람을 알아볼 수 있는 정보를 받는다면 1인 사업자도 예외가 아닙니다.
안 만들면 어떻게 될까요? 같은 법 제75조는 처리방침을 정하지 않거나 공개하지 않은 자에게 1천만 원 이하의 과태료를 정하고 있습니다. 결제대행사·클라우드처럼 처리를 맡긴 곳(수탁자)을 공개하지 않은 경우도 같은 조항에서 1천만 원 이하입니다.
이용약관과 헷갈리기 쉬운데 역할이 다릅니다.
| 구분 | 이용약관 | 처리방침 |
|---|---|---|
| 무엇을 정하나 | 서비스 이용 조건, 환불, 책임 범위 | 개인정보를 어떻게 받고 쓰고 지우는지 |
| 근거 | 계약(약관) | 개인정보 보호법 제30조 |
| 없으면 | 분쟁 때 불리 | 과태료 대상(1천만 원 이하) |
결제를 붙일 계획이라면 토스페이먼츠 연동 순서처럼 사이트 오픈 전 점검할 것이 많으니, 두 문서도 그때 함께 준비해 두는 편이 편합니다.
개인정보처리방침에 꼭 들어가야 하는 항목은 무엇인가요?
법 제30조와 시행령 제31조를 합치면, 작은 웹서비스 기준으로 아래가 기본입니다.
- 처리 목적과 처리하는 항목: 회원 관리, 주문 처리, 문의 응대 등 목적별로 받는 항목(이름, 이메일, 전화번호, 배송지)
- 처리·보유 기간과 파기 방법: 탈퇴 즉시 파기인지, 전자상거래법처럼 다른 법 때문에 보존하는 기록이 있는지(보존 근거와 항목까지)
- 정보주체의 권리와 행사 방법: 열람·정정·삭제·처리정지를 어디로 요청하는지
- 개인정보 보호책임자: 1인 회사라면 대표 본인 이름과 연락처
- 안전성 확보조치: 접근 권한 관리, 비밀번호 암호화 같은 실제 조치
여기에 해당할 때만 넣는 항목이 있습니다. 제3자 제공, 처리 위탁, 국외 이전, 민감정보, 가명정보, 쿠키 같은 자동 수집 장치입니다. 작성지침은 해당 사항이 없으면 "해당 개인정보를 처리하지 않는다"는 사실을 적는 것도 가능하다고 안내합니다.
1인 창업가가 가장 많이 빠뜨리는 항목은 무엇일까요?
처리 위탁: 결제·호스팅·메일 발송
직접 서버를 돌리지 않아도, 고객 정보가 지나가는 외부 서비스는 대부분 수탁자입니다. 결제대행사, 데이터베이스(예: 수파베이스), 호스팅, 이메일 발송 서비스, 고객센터 채팅 도구를 하나씩 적어 보세요. 법 제26조는 위탁하는 업무 내용과 수탁자를 정보주체가 언제든 쉽게 확인할 수 있게 공개하라고 정합니다.
국외 이전: 해외 리전 서버
쓰는 클라우드의 서버나 DB가 해외 리전에 있으면 국외 이전(처리위탁·보관)에 해당할 수 있습니다. 법 제28조의8은 계약 이행에 필요한 처리위탁·보관이라면 이전되는 항목, 국가·시기·방법, 이전받는 자, 이용 목적·보유 기간, 거부 방법을 처리방침에 공개하는 방식으로 이전할 수 있게 합니다. 대시보드에서 리전을 확인해 그대로 적는 것이 출발점입니다.
위탁 항목은 이렇게 적습니다
작성지침의 예시처럼 표 하나로 정리하면 읽기도, 고치기도 쉽습니다. 아래는 형식 예시이며 회사 이름과 업무는 내 서비스에 맞게 바꿔 넣습니다.
| 수탁자(회사 이름) | 맡긴 업무 | 비고 |
|---|---|---|
| 결제대행사 | 결제 처리, 환불 | 결제 정보는 결제대행사가 처리 |
| 클라우드 DB | 회원·주문 데이터 보관 | 리전이 해외면 국외 이전 항목도 작성 |
| 이메일 발송 서비스 | 가입 확인·주문 안내 메일 발송 | 마케팅 메일이면 별도 동의 확인 |
수탁자가 바뀌면 이 표를 먼저 고치고 변경 이력을 남깁니다. 표에 적힌 회사와 실제로 연결된 서비스가 다르면, 공개한 내용이 실제와 달라집니다.
쿠키: 분석 도구
구글 애널리틱스(GA4)처럼 쿠키를 쓰는 분석 도구를 붙였다면 '개인정보 자동 수집 장치의 설치·운영 및 거부' 항목이 필요합니다. 작성지침은 쿠키의 개념, 목적, 브라우저에서 거부하는 방법을 함께 적도록 예시를 줍니다.
처리방침은 어떻게 만들면 되나요?
- 받는 정보 적기: 가입·주문·문의 폼을 열어 실제 입력 칸을 그대로 옮겨 적습니다. 받지 않는 항목을 습관처럼 넣지 않습니다.
- 맡기는 곳 적기: 결제, 호스팅, DB, 메일, 분석, 채팅 도구를 목록으로 만들고 각 회사 이름과 맡긴 업무를 씁니다.
- 작성지침 예시로 쓰기: 개인정보보호위원회 안내서 게시판의 「2026 개인정보 처리방침 작성지침」에 항목별 작성 예시가 있습니다. 같은 게시판의 표준(안)(2026.2.)도 함께 올라와 있으니 뼈대로 쓰기 좋습니다.
- 공개하고 이력 남기기: 시행령 제31조는 홈페이지에 지속적으로 게재하라고 정합니다. 작성지침은 로그인과 상관없이 첫 화면에서 바로 찾을 수 있게 하고, 모바일 앱은 첫 화면에서 3단계 이상 거치지 않게 하라고 권합니다.
이 블로그도 하단에 처리방침과 광고·제휴 고지 페이지를 따로 두고 있습니다.
링크 이름과 위치는 어떻게 해야 하나요?
작성지침이 소개하는 표준지침 제20조는 "개인정보 처리방침"이라는 명칭을 쓰고, 글자 크기나 색상으로 다른 고지사항과 구분하라고 정합니다. 그래서 사이트 하단 링크를 '약관 및 정책' 같은 이름 속에 숨기지 말고, "개인정보 처리방침"을 굵게 따로 두는 편이 안전합니다.
팁
웹사이트 빌더나 AI 코딩 도구로 사이트를 만들었다면, 푸터 컴포넌트에 처리방침 링크를 고정해 두세요. 새 페이지를 만들어도 링크가 빠지지 않습니다.
바꿀 때는 어떻게 공지해야 하나요?
도구를 바꾸면 처리방침도 바뀝니다. 분석 도구를 추가하거나 결제대행사를 바꾸면 위탁·쿠키 항목을 고쳐야 합니다. 작성지침은 변경 시 변경·시행 시기와 바뀐 내용을 계속 공개하고, 이전 버전과 적용 기간을 함께 볼 수 있게 하라고 안내합니다. 처리 항목이나 목적이 바뀌는 중대한 변경은 대조표 같은 방식으로 따로 알려야 하고, 수탁자 목록처럼 영향이 작은 변경은 4주 같은 기간 단위로 모아 안내할 수 있습니다.
템플릿만으로 안 되는 경우는 언제인가요?
- 민감정보·고유식별정보를 받는 경우: 건강 정보, 주민등록번호 등을 다룬다면 별도 동의와 더 엄격한 기준이 붙습니다. 업종별 검토가 필요합니다.
- 만 14세 미만 아동이 쓰는 서비스: 법정대리인 동의와 아동용 안내가 별도로 권장됩니다.
- AI로 고객 데이터를 학습하거나 자동화된 결정을 하는 경우: 2026 작성지침에 생성형 AI 서비스 부록과 자동화된 결정 항목이 따로 있습니다.
- 다른 회사 방침을 그대로 복사한 경우: 받지 않는 정보가 적혀 있거나 받는 정보가 빠지면 오히려 문제가 됩니다.
이런 경우는 표준(안)만으로 끝내지 말고 전문가 검토를 받는 편이 안전합니다. 개발 단계에서 폼·DB 구조를 처리방침과 맞추는 작업이 필요하다면 함께 설계하는 것도 방법입니다.
정리: 오늘 할 일
- 내 사이트의 모든 입력 폼과 연결한 외부 도구(결제, DB, 메일, 분석)를 목록으로 만듭니다.
- 개인정보보호위원회 2026 작성지침과 표준(안)으로 초안을 쓰고, 해당 없는 항목은 지웁니다.
- 법이 정한 명칭 그대로 첫 화면 하단에 굵게 링크합니다.
- 도구를 바꿀 때마다 처리방침을 고치고 이전 버전을 남깁니다.
도메인부터 결제·분석까지 다른 IT 기초는 1인 창업가가 알아야 할 필수 IT 개념에 모아 두었습니다.
