핵심 요약: 개인정보 처리방침은 문서 작성 의무가 아니라 실제 처리 내역의 공개 의무입니다(개인정보 보호법 제30조 제1항, 시행령 제31조 제1항). 자동 생성 도구나 템플릿으로 만든 처리방침이 위험해지는 것은 문장이 어색해서가 아니라, 실제 안 하는 처리를 나열하거나 실제 하는 위탁·국외 이전을 빠뜨려 회사의 실제와 어긋날 때입니다. 그 불일치는 실사에서 데이터 흐름과의 대조 한 번으로 드러나고, 조사에서는 회사가 스스로 적어낸 진술이 되며, 실제보다 후한 약속은 제30조 제3항에 따라 회사를 구속합니다.

자동 생성 처리방침에서 반복되는 불일치 세 가지

처리방침을 도구로 만드는 것 자체는 문제가 아닙니다. 개인정보보호위원회도 작성지침을 두고 준수를 권장할 뿐(제30조 제4항), 작성 방법을 제한하지 않습니다. 문제는 산출물이 회사의 실제와 어긋나는 전형적인 유형이 있다는 것입니다.

첫째, 하지 않는 처리가 들어갑니다. 템플릿이 넣어 준 민감정보 항목, 쓰지 않는 자동 수집 장치, 운영하지 않는 파기 절차가 그대로 남습니다. 둘째, 하는 처리가 빠집니다. 분석 도구·고객관리 SaaS로 나가는 데이터가 위탁 항목과 국외 이전 항목에 없는 경우가 대표적이고, 국외 이전 근거의 흠은 실사의 자료 대조만으로 드러납니다. 셋째, 숫자가 다릅니다. 문서의 보유 기간과 실제 데이터베이스의 보관 상태가 다르고, 탈퇴 시 즉시 파기라는 문장과 백업 보관 주기가 다릅니다.

이 세 유형의 공통점은, 문서만 읽어서는 보이지 않고 실제 처리 흐름과 대조해야 보인다는 점입니다. 그리고 실사와 조사가 하는 일이 정확히 그 대조입니다.

문서가 실제와 다르면 어느 조문이 걸리나

처리방침을 정하지 않거나 공개하지 않으면 1천만원 이하의 과태료 대상입니다(제75조 제4항 제8호). 그런데 자동 생성 처리방침은 대개 존재하고 공개되어 있으므로, 이 조문은 작은 문제입니다.

실질적인 위험은 기재사항 목록이 실체 의무와 하나씩 연결되어 있다는 데서 나옵니다. 처리방침에는 처리 목적, 처리·보유 기간, 제3자 제공, 파기 절차, 위탁, 정보주체의 권리 행사 방법, 처리하는 개인정보의 항목, 국외 이전의 근거와 고지 사항, 안전조치가 들어가야 합니다(제30조 제1항, 시행령 제31조 제1항). 처리방침에 없는 위탁이 실제로 있다면 수탁자 공개 의무 위반이 함께 성립하고(제26조 제2항, 제75조 제4항 제5호), 국외 이전 항목의 누락은 제28조의8의 고지·동의 구조가 지켜졌는지에 대한 의문으로 곧장 이어집니다.

조사 국면에서 처리방침의 역할은 하나 더 있습니다. 처리방침은 회사가 자기 처리 실태에 관해 스스로 적어 공개한 진술이므로, 조사기관은 신고서·시스템 기록과 처리방침을 대조하는 것에서 시작합니다. 문서와 실제의 차이는 그 자체로 설명을 요구받는 항목이 됩니다.

실제보다 후하게 적혀 있으면 오히려 안전한가

반대입니다. 개인정보 처리방침의 내용과 정보주체와 체결한 계약의 내용이 다른 경우에는 정보주체에게 유리한 것을 적용합니다(제30조 제3항). 자동 생성 문서가 넣어 준 탈퇴 즉시 파기, 넓은 열람 보장 같은 관대한 문장은, 회사의 실제 운영이나 약관과 어긋나는 순간 회사가 이행해야 할 기준으로 올라섭니다.

과다 기재도 마찬가지입니다. 하지 않는 처리를 나열해 두면 정보주체에게 그 처리를 한다고 알린 셈이 되어, 불일치 항목이 늘어날 뿐 아무것도 방어해 주지 않습니다. 처리방침은 넓게 쓰는 문서가 아니라 맞게 쓰는 문서입니다.

실사에서는 이 문서를 어떻게 쓰나

인수인 측 실사라면 처리방침은 출발점 문서입니다. 자료요청 목록에서 받은 위탁 계약·인프라 구성·수집 양식과 처리방침을 대조하면, 대상회사의 개인정보 관리 수준이 문서 관리 수준부터 드러납니다. 자동 생성 흔적 자체는 감점 사유가 아니지만, 불일치가 나오면 그 항목은 실체 위반의 단서로 승격됩니다.

지적이 나온 다음은 조항 배치의 문제입니다. 클로징 전에 완료 상태를 만들 수 있는지로 선행조건과 확약을 가르는 기준을 적용하면, 처리방침 정비는 클로징 전에 끝낼 수 있으므로 선행조건으로 잡을 수 있습니다. 그러나 문서를 고치는 것은 장래를 향한 정비일 뿐이고, 없던 공개가 있었던 것이 되지는 않으므로, 불일치 상태로 운영된 기간의 위험은 진술보증과 면책의 영역에 남습니다.

처리방침 평가제가 이 문서를 규제 접점으로 만든다

2023년 신설된 처리방침 평가제에 따라 개인정보보호위원회는 기재사항의 적정성, 알기 쉬운 작성, 공개 방법을 평가하고 개선을 권고할 수 있습니다(제30조의2, 제61조 제2항). 처리방침은 회사 문서 중 드물게 상시 공개되어 있어 규제기관이 회사를 처음 만나는 지점이 됩니다. 자동 생성 여부는 평가 항목이 아니지만, 템플릿 문장이 회사의 실제와 맞는지는 정확히 평가의 대상입니다.

이 확인은 사고가 났을 때 어떻게 쓰이나

앞에서 조사 국면의 시작점을 짚었습니다. 조사기관은 신고서·시스템 기록과 처리방침을 대조하는 것에서 출발하고, 문서와 실제의 차이는 그 자체로 설명을 요구받는 항목이 됩니다.

유출 사고에서 이 순서가 그대로 나타납니다. 회사가 통지·신고에 대응하는 동안 상시 공개돼 있던 처리방침은 이미 조사기관의 손에 있습니다. 사고 이후에 문서를 고치는 것은 장래를 향한 정비일 뿐이고, 불일치 상태로 운영된 기간은 그대로 남습니다. 그래서 처리방침 점검은 사고 대응 항목이 아니라 사고 전에 끝내 두어야 할 항목입니다. 인지 이후의 시간표 자체는 개인정보 유출을 인지했습니다 — 72시간 안에 해야 할 일과 하면 안 되는 일에 정리했습니다.

자주 묻는 질문

Q. 자동 생성 도구로 처리방침을 만들면 안 되나요?

도구 자체가 문제인 것은 아닙니다. 법은 처리방침을 어떤 방법으로 작성했는지 묻지 않고, 기재된 내용이 실제 처리와 맞는지를 봅니다. 문제는 도구에 입력하는 사실관계가 실제와 다르거나, 서비스가 바뀌었는데 문서만 그대로일 때 생깁니다. 어떤 방법으로 만들었든 산출물이 실제 처리 흐름과 일치하는지 검증할 책임은 개인정보처리자인 회사에 있습니다.

Q. 처리방침을 지금 고치면 과거 문제도 해소되나요?

문서 정비는 장래를 향해서만 작동합니다. 처리방침에 없던 위탁이나 국외 이전이 이미 이루어지고 있었다면, 문서를 고쳐도 그 기간의 공개 의무 위반 상태가 소급해서 사라지지는 않습니다. 다만 실사나 조사 국면에서 지적 후 신속한 정비는 그 자체로 의미가 있으므로, 고치지 않을 이유는 되지 않습니다. 고치는 것과 과거가 지워지는 것을 구별해서 계획하면 됩니다.

Q. 실제보다 넓게 적어 두면 안전한 것 아닌가요?

반대로 작동합니다. 개인정보 처리방침의 내용과 정보주체와 체결한 계약의 내용이 다르면 정보주체에게 유리한 것을 적용하므로(제30조 제3항), 실제 운영보다 후한 약속이 회사의 기준이 됩니다. 또한 하지 않는 처리를 나열해 두면 정보주체에게는 그 처리를 한다고 알린 셈이 되어, 문서와 실제의 불일치 항목만 늘어납니다. 넓게 쓰는 것은 안전 마진이 아니라 불일치의 확대입니다.

참고 자료

본 글은 일반적인 정보 제공을 위한 것으로 법률자문이 아닙니다. 구체적 사안은 개별 검토가 필요합니다.