개인정보 처리방침 작성법, 꼭 넣을 7가지와 해당하면 넣을 7가지

핵심 요약

홈페이지·앱으로 고객 정보를 받는 회사는 개인정보 처리방침을 정해 공개해야 하고, 안 하면 1천만 원 이하 과태료 대상입니다. 개인정보 보호법 제30조·시행령 제31조가 정한 필수 기재 항목 7가지와 해당할 때만 넣는 7가지, 개인정보보호위원회 작성지침(2026.4.)이 꼽은 잘못 쓴 사례, 작성 순서와 공개·변경 방법까지 정리합니다.

개인정보처리자는 처리 목적·보유기간·파기·정보주체 권리·보호책임자 등을 담은 개인정보 처리방침을 정하고 공개해야 합니다. 정하지 않거나 공개하지 않으면 1천만 원 이하 과태료 대상입니다 [근거 1][근거 3].
모든 회사가 꼭 넣을 항목은 처리 목적, 처리하는 개인정보 항목, 처리·보유 기간, 파기 절차·방법, 정보주체 권리·행사방법, 안전성 확보조치, 보호책임자 연락처 7가지입니다. 제3자 제공·위탁·국외 이전·쿠키 같은 자동 수집 장치 등 7가지는 실제로 할 때만 넣습니다 [근거 1][근거 2].
처리방침은 홈페이지에 「개인정보 처리방침」이라는 이름으로 계속 게재하고, 바꿀 때는 이전 버전과 적용기간을 함께 공개합니다. 「~등」 같은 불명확한 목적, 「목적 달성 시」 같은 추상적 기간, 수탁자 일부만 적기는 개인정보보호위원회가 꼽은 잘못된 사례입니다 [근거 2][근거 11].

개인정보 처리방침 작성법, 꼭 넣을 7가지와 해당하면 넣을 7가지 — 개인정보 처리방침 필수 7가지, 해당 시 7가지, 공개 방법을 한 장에 정리했습니다.

개인정보 처리방침은 누가 만들어야 하나요?

개인정보 보호법 제30조는 「개인정보처리자」에게 처리방침을 정하고 공개하라고 정합니다 [근거 1]. 개인정보처리자는 업무를 목적으로 개인정보파일을 운용하려고 개인정보를 처리하는 공공기관·법인·단체·개인입니다. 회원 명단, 주문 고객 엑셀, 상담 신청 내역처럼 일정한 규칙으로 정리한 개인정보 묶음이면 개인정보파일에 해당합니다 [근거 11].

처리방침을 정하지 않았거나 정해 놓고 공개하지 않았다면 1천만 원 이하 과태료 대상입니다 [근거 3][근거 11]. 개인정보보호위원회는 처리방침이 법이 정한 사항을 제대로 담았는지, 알기 쉽게 썼는지, 쉽게 확인할 수 있게 공개했는지를 평가해 개선을 권고할 수도 있습니다 [근거 10].

처리방침은 동의서나 약관과 다릅니다. 고객에게 따로 동의를 받는 문서가 아니라 회사가 개인정보를 어떻게 처리하는지 공개하는 문서입니다 [근거 11]. 다만 처리방침 내용과 고객과 맺은 계약 내용이 다르면 고객에게 유리한 쪽이 적용되므로, 실제와 다르게 써 두면 그대로 책임질 수 있습니다 [근거 1].

개인정보 처리방침은 누가 만들어야 하나요? 정리
구분	처리방침	수집·이용 동의서
목적	처리 기준을 공개	수집·이용에 동의를 받음
동의 필요	아니요	예(동의가 근거일 때)
어디에	홈페이지에 계속 게재	수집하는 화면·서면
어기면	1천만 원 이하 과태료	동의 없이 수집 시 별도 제재

처리방침과 동의서 차이 / 처리방침은 공개 문서로 동의가 필요 없음 / 동의서는 수집하는 화면에서 동의를 받는 문서 — 처리방침과 동의서

꼭 넣어야 하는 7가지

법 제30조 제1항과 시행령 제31조 제1항을 합치면, 「해당되는 경우에만」이라는 단서가 없는 항목은 7가지입니다 [근거 1][근거 2]. 회사 규모나 업종과 상관없이 모든 처리방침에 들어가야 합니다.

개인정보보호 표준지침은 이 항목들을 명시적으로 구분해 알기 쉬운 용어로 구체적이고 명확하게 쓰고, 처리하는 개인정보가 목적에 필요한 최소한이라는 점을 밝히라고 정합니다 [근거 11].

꼭 넣어야 하는 7가지 정리
항목	근거	이렇게 씁니다
1. 처리 목적	법 제30조①1	회원 관리, 주문 배송처럼 업무별로
2. 처리하는 개인정보 항목	영 제31조①1	목적별로 필수·선택 항목을 나눠서
3. 처리·보유 기간	법 제30조①2	「탈퇴 후 즉시」「5년」처럼 기간으로
4. 파기 절차·방법	법 제30조①3의2	법령상 보존하는 정보는 근거·항목까지
5. 정보주체 권리·행사방법	법 제30조①5	열람·정정·삭제·처리정지 요구 방법
6. 안전성 확보조치	영 제31조①3	내부관리계획, 접근권한, 암호화 등
7. 보호책임자 연락처	법 제30조①6	성명 또는 담당 부서명과 전화번호

처리방침 필수 기재 7가지 / 처리 목적 / 개인정보 항목 / 보유 기간 / 파기 절차와 방법 / 정보주체 권리 / 안전성 확보조치 / 보호책임자 연락처 — 필수 기재 7가지

해당하면 넣어야 하는 7가지

나머지 7가지는 그 처리를 실제로 하는 회사만 적습니다 [근거 1][근거 2]. 작성지침은 해당 사항이 없을 때 「해당 개인정보를 처리하지 않는다」는 사실을 적어 두는 것도 가능하다고 안내합니다 [근거 11].

작은 회사가 가장 많이 놓치는 것이 위탁입니다. 문자 발송, 택배, 결제대행, 고객 상담 솔루션, 클라우드 서버처럼 고객 정보를 다른 업체가 대신 처리하면 위탁이고, 위탁하는 업무 내용과 수탁자를 홈페이지에 계속 게재해야 합니다 [근거 4][근거 5]. 이를 공개하지 않으면 처리방침 미공개와 별개로 1천만 원 이하 과태료 대상입니다 [근거 3].

해외 클라우드에 고객 정보를 보관하거나 해외 업체에 처리를 맡기면 국외 이전입니다. 계약 이행에 필요한 처리위탁·보관이라면 이전되는 항목, 국가·시기·방법, 이전받는 자, 이용 목적·보유 기간, 거부 방법을 처리방침에 공개하는 것으로 이전 근거를 갖출 수 있습니다 [근거 6][근거 2].

해당하면 넣어야 하는 7가지 정리
항목	근거	이런 회사라면
제3자 제공	법 제30조①3	제휴사·협력사에 고객 정보를 넘김
처리 위탁	법 제30조①4	택배·문자·결제대행·클라우드 이용
국외 이전	영 제31조①2	해외 클라우드·해외 업체에 보관·처리
국외 직접 수집 시 국가명	영 제31조①4	해외에서 국내 고객 정보를 직접 수집
자동 수집 장치(쿠키 등)	법 제30조①7	쿠키·접속 로그를 수집·분석
민감정보 공개 가능성	법 제30조①3의3	건강 등 민감정보가 공개될 수 있는 서비스
가명정보 처리	법 제30조①4의2	가명처리해 통계·연구에 활용

해당할 때만 넣는 항목 / 제3자 제공 / 처리 위탁 택배 문자 클라우드 / 국외 이전 해외 보관 / 그 밖에 쿠키 민감정보 가명정보 국외 직접 수집 — 해당 시 기재 7가지

작성지침이 꼽은 잘못 쓴 사례

개인정보보호위원회 작성지침(2026.4. 개정)은 항목마다 「잘못 작성된 사례」를 붙여 두었습니다 [근거 11]. 처리 목적을 「회원 관리 등」처럼 「~등」으로 흐리게 쓰거나, 실제 처리하는 항목을 빠뜨리거나, 보유 기간을 「목적 달성 시」처럼 추상적으로 쓰는 것이 대표적입니다.

수집할 때 동의서로 알린 내용과 처리방침이 어긋나는 것도 잘못된 사례입니다 [근거 11]. 예를 들어 회원가입 동의서에는 「탈퇴 후 1년 보관」이라고 해 놓고 처리방침에는 「탈퇴 후 즉시 파기」라고 쓰는 식입니다. 제3자 제공받는 자나 수탁자를 일부만 적거나, 제공 기간·위탁 업무 내용 같은 칸을 빠뜨린 것도 같습니다 [근거 11].

법령 때문에 보관하는 정보는 근거와 항목을 함께 씁니다 [근거 1][근거 7]. 작성지침의 온라인 쇼핑몰 예시는 계약·청약철회 기록 5년, 대금결제·재화 공급 기록 5년, 소비자 불만·분쟁처리 기록 3년, 표시·광고 기록 6개월을 전자상거래법 시행령 제6조를 근거로 적습니다 [근거 11]. 이렇게 보존하는 정보는 다른 개인정보와 분리해 저장·관리해야 합니다 [근거 7].

작성지침이 꼽은 잘못 쓴 사례 정리
잘못 쓴 예	고쳐 쓴 예
회원 관리 등	회원 가입의사 확인, 본인 식별, 불량회원 부정이용 방지
목적 달성 시까지 보유	회원 탈퇴 시까지(법령상 보존 정보는 해당 기간)
동의서와 다른 보유기간	동의서·처리방침의 기간을 같게
수탁자 「OO 등」	수탁자 전체 이름과 위탁 업무를 모두

작성지침이 꼽은 잘못 쓴 사례 / 회원 관리 등은 목적을 구체적으로 / 목적 달성 시는 기간을 숫자로 / 수탁자는 전부 적기 — 잘못 쓴 사례

처리방침 작성 순서 6단계

처리방침은 다른 회사 문서를 고쳐 쓰기보다 우리 회사의 실제 처리 현황부터 적는 것이 빠릅니다. 내용이 실제와 다르면 고객에게 유리한 쪽이 적용되고 [근거 1], 작성지침도 동의서 고지와 어긋난 처리방침을 잘못된 사례로 듭니다 [근거 11].

보호책임자는 사업주·대표자나 임원(임원이 없으면 개인정보 처리 업무 부서장) 중에서 지정합니다 [근거 9]. 소상공인기본법상 소상공인은 지정하지 않아도 되며, 그 경우 사업주나 대표자가 보호책임자가 됩니다 [근거 8][근거 9]. 안전성 확보조치는 시행령 제30조의 내부 관리계획, 접근 권한 제한 등 실제로 하고 있는 조치를 적습니다 [근거 12].

구성은 제목 → 서문 → 목차 → 본문 순이 권장되고, 목차를 누르면 해당 내용으로 이동하게 만드는 것이 좋습니다 [근거 11]. 개인정보보호위원회 홈페이지의 처리방침이 이 구성대로 공개돼 있어 참고하기 좋습니다 [근거 13].

1. 업무별 처리 현황표: 어떤 업무에서 어떤 항목을, 무엇을 근거로, 얼마나 보관하는지 [근거 1][근거 2]
2. 동의서·회원가입 화면과 목적·항목·기간 맞추기 [근거 11]
3. 외부 업체 목록: 위탁·제3자 제공·해외 보관을 구분해 전부 [근거 4][근거 6]
4. 보호책임자 지정(소상공인은 대표자가 책임자) [근거 8][근거 9]
5. 실제로 하는 안전성 확보조치 정리 [근거 12]
6. 제목·서문·목차·본문 구성 후 홈페이지 게재 [근거 2][근거 11]

처리방침 작성 순서 / 업무별 처리 현황표 / 위탁 제3자 제공 해외 업체 목록 / 홈페이지 게재 — 작성 순서

공개는 어떻게 해야 하나요?

처리방침은 회사 인터넷 홈페이지에 지속적으로 게재해야 합니다 [근거 2]. 표준지침은 「개인정보 처리방침」이라는 이름을 쓰고, 글자 크기·색상 등으로 다른 고지사항과 구분해 쉽게 찾게 하라고 정합니다 [근거 11]. 처리방침에 접근하기 어렵게 두거나 「개인정보 처리방침」이 아닌 다른 이름을 쓰는 것은 작성지침이 꼽은 잘못된 사례입니다 [근거 11].

홈페이지가 없으면 사업장의 보기 쉬운 곳에 게시, 사업장 소재 시·도 이상을 보급지역으로 하는 일반일간·주간·인터넷신문에 싣기, 연 2회 이상 같은 제목으로 내는 소식지·청구서 등에 계속 싣기, 계약서 등에 실어 발급하기 중 하나 이상으로 공개합니다 [근거 2].

공개는 어떻게 해야 하나요? 정리
상황	공개 방법	근거
홈페이지 있음	홈페이지에 계속 게재, 「개인정보 처리방침」 명칭	영 제31조②
홈페이지 없음	사업장 게시·신문·정기 간행물·계약서 중 하나 이상	영 제31조③
위탁 업체	위탁 업무·수탁자를 홈페이지에 계속 게재	영 제28조②

처리방침을 바꿀 때는?

처리방침을 바꿔도 공개 의무는 같습니다 [근거 1][근거 2]. 작성지침은 변경·시행 시기와 변경 내용을 계속 공개하고, 이전 버전의 처리방침을 함께 공개해 각 버전의 적용기간을 확인할 수 있게 하라고 안내합니다 [근거 11]. 「20XX. X. X ~ 20XX. X. X 적용」 목록에서 누르면 그 버전이 열리게 하는 방식입니다.

처리 항목이나 목적이 바뀌는 것처럼 정보주체 권리에 중대한 영향을 주는 변경은 개정 전이나 개정 즉시 이전 내용과 바뀐 내용을 비교하는 대조표 등으로 따로 알려야 합니다 [근거 11]. 수탁자 목록처럼 자주 바뀌고 영향이 작은 항목은 4주처럼 합리적인 기간 단위로 모아 안내할 수 있습니다 [근거 11].

시행일과 변경 내용을 처리방침 맨 끝에 [근거 11]
이전 버전과 적용기간 목록을 함께 공개 [근거 11]
항목·목적 변경은 대조표로 별도 안내(공지·팝업 권장) [근거 11]
수탁자 변경은 지체 없이 처리방침에 반영 [근거 4][근거 13]

처리방침 변경 시 / 시행일과 변경 내용 / 이전 버전을 적용기간과 함께 공개 / 항목 목적 변경은 대조표로 안내 — 변경할 때

공개 전 체크리스트

처리방침을 올리기 전에 아래 항목을 하나씩 확인하세요. 작성지침은 법정 필수 항목 외에도 권익침해 구제방법(개인정보 분쟁조정위원회 1833-6972, 개인정보침해 신고센터 118 등) 같은 사항을 권장 항목으로 둡니다 [근거 11].

필수 7가지가 모두 있는지 [근거 1][근거 2]
위탁·제3자 제공·국외 이전 업체를 빠짐없이 적었는지 [근거 4][근거 6]
목적·기간에 「~등」「목적 달성 시」 같은 표현이 없는지 [근거 11]
동의서·회원가입 화면의 목적·항목·기간과 같은지 [근거 11]
보호책임자 이름 또는 부서·전화번호가 지금 맞는지 [근거 1]
홈페이지에서 「개인정보 처리방침」 이름으로 눈에 띄게 연결되는지 [근거 2][근거 11]
이전 버전·적용기간이 함께 공개되는지 [근거 11]

자주 묻는 질문

다른 회사 처리방침을 그대로 가져다 써도 되나요? 구성은 참고할 수 있지만 내용은 우리 회사 실제 처리와 맞아야 합니다. 동의서와 어긋나거나 처리하는 항목이 빠지면 작성지침이 말하는 잘못된 처리방침이 되고, 계약과 다르면 고객에게 유리한 쪽이 적용됩니다 [근거 1][근거 11].

처리방침에 고객 동의를 받아야 하나요? 아닙니다. 처리방침은 공개 문서이고 동의 대상이 아닙니다 [근거 11]. 동의가 필요한 수집·이용은 별도의 동의서로 받습니다.

직원이 몇 명 안 되는 작은 회사도 보호책임자를 적어야 하나요? 처리방침에는 보호책임자의 성명이나 담당 부서 연락처가 들어가야 합니다 [근거 1]. 소상공인은 따로 지정하지 않을 수 있지만 그때는 대표자가 보호책임자이므로 대표자 이름과 연락처를 적으면 됩니다 [근거 8][근거 9].

이 글의 기준은 언제 것인가요? 2026년 11월 12일 국가법령정보센터에서 연 현행 개인정보 보호법(법률 제21445호, 2026.9.11. 시행)·시행령(대통령령 제36804호, 2026.11.10. 시행)과 개인정보보호위원회 「개인정보 처리방침 작성지침」(2026.4. 개정) 기준입니다. 이 글은 편집팀이 법령 원문과 공식 자료를 대조해 쓰고 AI를 활용해 정리했으며, 업종별 특례(의료·교육 등)는 소관 법령을 함께 확인하세요.

84초 영상 · 실제 화면

매달 반복되는 청구·수금 일,
청구부터 입금 확인까지 알아서 갑니다

청구서 보내고, 세금계산서 발행하고, 통장 보며 입금 맞추고, 늦은 거래처에 연락하는 일. 청구서를 한 번 보내두면 나머지는 정해둔 일정대로 이어집니다.

필요한 장면만 골라서 보기

수금 스트레스, 이제 자동화로 끝낼 차례입니다청구스 도입 문의하기 →

83.3%1개월 넘은 연체 감소

8.1→1.7h주간 수금 업무 시간

530+함께하는 고객사

청구스 도입 문의하기 →무료로 시작하기

확인한 근거

이 글은 일반적인 이해를 돕는 자료입니다. 실제 적용은 거래 내용과 적용 기준에 따라 달라질 수 있습니다.

검토·수정 이력

2026-11-12 · 편집팀 검토(AI 활용) 후 발행.