개인정보 처리방침
온라인 셀러 필수 기재사항 체크리스트 (2026)
고객 주문 정보를 받고, 회원가입을 받고, 뉴스레터·이벤트로 이메일을 모은다면 — 당신은 이미 개인정보처리자입니다. 「개인정보 보호법」 제30조는 개인정보처리자에게 개인정보 처리방침을 수립하고 공개할 의무를 지웁니다. 이 의무에는 규모·매출·업종에 따른 예외가 없습니다. 2026년 9월 11일 시행되는 개정법은 처리방침 의무를 새로 만든 것이 아니라, 이미 있어야 할 처리방침을 손봐야 하는 지점을 몇 군데 바꿨습니다. 이 글은 소규모 온라인 셀러가 "처리방침에 무엇이 반드시 들어가야 하는지, 9/11 개정으로 무엇을 고쳐야 하는지"를 비용 없이 점검하도록 정리했습니다.
처리방침에 반드시 들어가야 하는 것
제30조 제1항과 그 위임을 받은 시행령 제31조가 정하는 법정 기재사항입니다. "해당하는 경우"라고 적힌 항목은 그 처리를 실제로 할 때만 넣으면 됩니다.
| 기재사항 | 내용 | 근거 |
|---|---|---|
| 처리 목적 | 개인정보를 어떤 목적으로 처리하는지 | 제30조 제1항 |
| 처리·보유 기간 | 수집한 정보를 언제까지 보유·이용하는지 | 제30조 제1항 |
| 제3자 제공 | 제공하는 경우 그 사항(누구에게·무엇을·왜) | 제30조 제1항 |
| 파기 절차·방법 | 보유기간이 끝난 정보를 어떻게 파기하는지 | 제30조 제1항 |
| 처리 위탁 | 배송·CS·결제대행 등 위탁하는 경우 수탁자·업무 | 제30조 제1항 |
| 정보주체 권리·행사방법 | 열람·정정·삭제·처리정지 요구 방법 | 제30조 제1항 |
| 처리하는 개인정보 항목 | 실제로 수집·처리하는 항목 목록 | 시행령 제31조 |
| 안전성 확보조치 | 기술·관리적 보호조치에 관한 사항 | 시행령 제31조 |
| 보호책임자 | 개인정보 보호책임자의 성명·부서·연락처(전화·이메일) | 시행령 제31조 |
| 자동수집장치(쿠키) | 쿠키 등 설치·운영 및 거부 방법(해당 시) | 시행령 제31조 |
| 국외이전 | 개인정보를 국외로 이전하는 경우 그 사항 | 시행령 제31조 |
9월 11일 개정이 처리방침에 미치는 영향
이번 개정의 핵심은 유출 신고·과징금·보호책임자 강화입니다. 처리방침 관점에서 실제로 손봐야 할 곳은 다음과 같습니다.
| 바뀐 것 | 처리방침·문서에서 할 일 |
|---|---|
| 유출 신고 근거 조항 이동 (제34조 제3항 → 제4항) | 처리방침·유출 대응 절차서에 조항 번호를 적어 두었다면 새 번호로 수정 |
| 보호책임자 연락처 기재 강화 | 처리방침의 보호책임자 성명·연락처(전화·이메일)가 최신인지 확인 |
| 일정 규모 이상 보호책임자 지정·신고 강화 | 대상 사업자라면 보호책임자 지정 요건·신고 여부를 점검(대다수 소상공인은 대표자 겸임) |
지금 점검할 체크리스트
대부분 비용이 들지 않고, 처리방침 문서와 자사몰 푸터 링크만 손보면 됩니다.
① 처리방침이 있고, 최신인가
- 자사몰·쇼핑몰에 개인정보 처리방침 문서가 실제로 존재하고, 푸터 등에서 쉽게 접근되는지 확인.
- 처리방침 내용이 실제 운영과 일치하는지 점검(수집 안 하는 항목을 적어두거나, 실제 위탁을 빠뜨리지 않았는지).
- 마지막 개정일이 오래됐다면, 위 법정 기재사항 표와 대조해 빠진 항목을 보완.
② 위탁·제3자 제공을 빠뜨리지 않았는가
- 택배·풀필먼트, 문자·이메일 발송 대행, 결제대행(PG), CS 외주 등 업무 위탁이 있으면 수탁자·위탁업무를 처리방침에 기재.
- 제휴사·마케팅 등으로 제3자에게 제공하는 경우 그 사항을 별도 기재(위탁과 제공은 다릅니다).
- 국외 서버·해외 솔루션(예: 해외 이메일·클라우드)을 쓰면 국외이전 기재가 필요한지 확인.
③ 정보주체 권리·보호책임자 정보
- 고객이 열람·정정·삭제·처리정지를 요구하는 방법과 창구를 처리방침에 명시.
- 개인정보 보호책임자의 성명·부서·연락처(전화·이메일)를 기재하고 실제 연결되는 연락처인지 확인(소상공인은 대표자 겸임).
- 쿠키 등 자동수집장치를 쓴다면 설치·운영과 거부 방법을 안내.
④ 9/11 개정 반영·위반 리스크
- 처리방침·절차서의 유출 신고 조항 번호를 제34조 제4항으로 갱신했는지 확인.
- 처리방침을 정하지 않거나 공개하지 않으면 1천만 원 이하 과태료(제75조 제4항 제8호). 형사처벌이 아닌 행정 과태료입니다.
- 구체적 과태료 금액은 위반 횟수·정도에 따라 시행령 별표2 기준으로 정해지므로, 정확한 액수는 사안별로 달라집니다(상한 1천만 원).
처리방침, 셀러가 가장 많이 묻는 것
매출이 작은 1인 쇼핑몰도 개인정보 처리방침을 꼭 만들어야 하나요?
네. 처리방침 수립·공개 의무(제30조)는 업종·규모·매출과 무관하게 고객·회원 정보를 처리하는 모든 개인정보처리자에게 적용되며, 소상공인 면제 규정은 없습니다. 소상공인에게 완화되는 것은 보호책임자를 따로 지정하지 않고 대표자가 겸하는 부분(시행령 제32조)이지, 처리방침 작성 의무 자체가 면제되는 것은 아닙니다.
9월 11일 개정으로 처리방침에서 뭘 바꿔야 하나요?
개정으로 유출 신고의 근거 조항 번호가 제34조 제3항에서 제34조 제4항으로 이동했습니다. 처리방침·절차서에 조항 번호를 적어 두었다면 최신 번호로 수정하세요. 또 보호책임자 연락처(전화·이메일) 기재가 강화됐으니 처리방침의 보호책임자 정보가 최신인지 확인하세요. 필수 기재 항목 자체가 크게 늘어난 개정은 아닙니다.
'처리방침 평가제'가 이번에 새로 생긴 건가요?
아닙니다. 개인정보 처리방침의 평가 및 개선권고(제30조의2)는 2023년 9월 15일부터 이미 시행 중인 제도로, 9월 11일 개정으로 신설된 것이 아닙니다. 개인정보보호위원회가 매년 분야를 특정해 평가하며, 2026년 대상은 특정 7개 분야 52개 서비스여서 일반 온라인 셀러가 자동으로 평가 대상이 되는 것은 아닙니다.
처리방침을 안 만들거나 공개 안 하면 처벌은 어떻게 되나요?
처리방침을 정하지 않거나 공개하지 않으면 1천만 원 이하의 과태료(제75조 제4항 제8호) 대상입니다. 이는 형사처벌이 아니라 행정 제재이며, 위반 횟수·정도에 따른 구체적 부과 금액은 시행령 별표2 기준에 따르므로 정확한 액수는 사안별로 달라집니다. 상한이 1천만 원이라는 점만 확정적으로 이해하면 됩니다.
내 처리방침, 30초 무료 점검
처리방침 전문을 붙여넣으면 동의 강제·묵시적 동의 간주·모호한 위탁·구법 용어 같은 부적정 표현을 개인정보 보호법 조항과 함께 짚어드립니다. 붙여넣기만 하면 됩니다. (입력값은 서버로 전송되지 않습니다.)
처리방침 무료 점검 → 전체 무료 도구 보기처리방침·동의서 템플릿이 필요하다면
개인정보 대응킷은 소상공인용 처리방침 템플릿, 동의·위탁 조항 예시, 유출 대응 절차서, 자가점검표를 담은 실전 패키지입니다. 처음부터 쓰는 시간을 아껴 9/11 개정 반영까지 한 번에 끝냅니다.
대응킷 살펴보기 →참고 출처(2026-09-07 재확인): 개인정보 보호법(국가법령정보센터) · 개인정보보호위원회(privacy.go.kr) · 개인정보보호위원회(pipc.go.kr).