개인정보처리방침 필수 기재사항 체크리스트 — 2023년에 만든 방침에서 빠져 있는 것들

핵심 요약 — 개인정보처리방침에 담을 내용은 개인정보 보호법 제30조 제1항 각 호와 시행령 제31조 제1항이 정하고 있고, 수립·공개하지 않으면 1천만 원 이하 과태료 대상입니다(법 제75조 제4항 제8호). 이 목록은 2023년 이후 네 차례 늘었습니다. 2023년 9월 15일 민감정보의 공개 가능성·비공개 선택 방법(제30조 제1항 제3호의3)과 가명정보 처리에 관한 사항(제4호의2), 그리고 국외이전의 근거와 고지사항(시행령 제31조 제1항 제2호)이 추가됐고, 2024년 3월 15일 국외에서 국내 정보주체의 개인정보를 직접 수집하는 경우의 처리 국가명(시행령 제31조 제1항 제4호)이 추가됐으며, 2025년 10월 2일부터 국내대리인 기재 누락이 1천만 원 이하 과태료 대상이 됐습니다(법 제31조의2 제4항, 제75조 제4항 제9호의2). 작성 기준은 **2026년 4월 24일 공개된 「2026 개인정보 처리방침 작성지침」**이 최신이며, 생성형 AI 서비스에 관한 부록이 신설됐습니다.

서비스를 처음 열 때 개인정보처리방침을 한 번 만들어 두고, 그 뒤로 손대지 않은 회사가 많습니다. 문구를 바꿀 일이 없었으니 그대로 두어도 된다고 생각하기 쉽습니다.

그런데 처리방침은 회사가 바뀌지 않아도 법이 바뀌면 낡는 문서입니다. 무엇을 담아야 하는지가 법으로 정해져 있고, 그 목록이 2023년 이후 계속 늘어났기 때문입니다. 2023년 초 기준으로 완벽했던 처리방침도 지금 기준으로는 항목이 비어 있을 수 있습니다.

이 글은 현행 법령을 기준으로 처리방침에 무엇이 들어가야 하는지, 그리고 그중 2023년 이후 새로 생긴 항목이 무엇인지를 나눠 정리합니다.

우리 회사도 개인정보처리방침을 만들어야 하나?

처리방침 수립·공개 의무를 지는 주체는 개인정보처리자입니다(법 제30조 제1항). 개인정보처리자는 “업무를 목적으로 개인정보파일을 운용하기 위하여 스스로 또는 다른 사람을 통하여 개인정보를 처리하는 공공기관, 법인, 단체 및 개인 등"으로 정의됩니다(법 제2조 제5호).

여기서 자주 오해가 생깁니다. 법인이 아니어도, 규모가 작아도 해당됩니다. 개인사업자가 영업을 위해 고객 명단을 관리한다면 그 자체로 개인정보처리자입니다. 반대로 업무와 무관하게 개인이 지인 연락처를 저장해 두는 것은 해당하지 않습니다.

온라인으로 서비스를 제공하면서 회원가입·문의·결제 과정에서 이용자 정보를 받는다면, 특별한 사정이 없는 한 개인정보처리자에 해당한다고 보아야 합니다. “우리는 아직 초기라서"는 면제 사유가 아닙니다.

2026년 기준, 처리방침에 반드시 들어가야 할 항목은?

현행 법령상 필수 기재사항은 법 제30조 제1항 각 호(11개) 와 같은 항 제8호의 위임을 받은 시행령 제31조 제1항 각 호(4개) 로 나뉩니다. 전체를 한 표로 정리하면 다음과 같습니다.

굵게 표시한 다섯 항목이 2023년 초 기준 처리방침에는 없었던 것들입니다.

2023년 이후 정확히 무엇이 늘어났나?

법령 원문 기준으로 신·구를 대조하면 이렇습니다.

법 제30조 제1항 (2023. 3. 14. 개정, 2023. 9. 15. 시행)

• 추가: 제3호의3 — 법 제23조 제3항에 따른 민감정보의 공개 가능성 및 비공개를 선택하는 방법
• 추가: 제4호의2 — 법 제28조의2·제28조의3에 따른 가명정보의 처리 등에 관한 사항

시행령 제31조 제1항

2023년 초 기준으로는 ① 처리하는 개인정보의 항목, ② (삭제), ③ 안전성 확보 조치 — 사실상 두 개뿐이었습니다. 현재는 네 개입니다.

• 추가: 제2호 — 국외이전의 근거와 법 제28조의8 제2항 각 호의 사항 (2023. 9. 12. 개정, 2023. 9. 15. 시행)
• 추가: 제4호 — 국외에서 국내 정보주체의 개인정보를 직접 수집하여 처리하는 경우 처리 국가명 (2024. 3. 12. 개정, 2024. 3. 15. 시행)

법 제31조의2 제4항 / 제75조 제4항 제9호의2 (2025. 4. 1. 개정, 2025. 10. 2. 시행)

• 국내대리인의 성명·주소·전화번호에 더해 전자우편 주소까지 처리방침에 포함하도록 정비되고, 이를 누락하면 1천만 원 이하 과태료가 부과되도록 제재 근거가 신설됐습니다.

해외 클라우드나 해외 SaaS를 쓰면 무엇을 더 적어야 하나?

가장 많이 빠져 있는 항목이 국외이전입니다. 해외 리전 클라우드에 데이터를 저장하거나, 해외 본사가 운영하는 분석 도구·CRM·고객지원 SaaS를 쓰는 순간 개인정보가 국외로 이전됩니다. 법은 “제공(조회되는 경우를 포함한다)·처리위탁·보관"을 모두 이전으로 봅니다(법 제28조의8 제1항).

시행령 제31조 제1항 제2호는 국외이전의 근거(동의, 법률·조약의 특별 규정, 계약 이행에 필요한 처리위탁·보관, 인증, 보호위원회의 동등수준 인정 중 어느 것인지)와 함께, 법 제28조의8 제2항 각 호의 사항을 처리방침에 적도록 합니다.

• 이전되는 개인정보 항목
• 개인정보가 이전되는 국가, 시기 및 방법
• 이전받는 자의 성명(법인은 명칭과 연락처)
• 이전받는 자의 이용목적 및 보유·이용 기간
• 이전을 거부하는 방법·절차 및 거부의 효과

실무적으로는 사용 중인 해외 서비스 목록을 뽑아 국외이전 현황표를 만들어 두고, 도구를 추가·교체할 때마다 표를 갱신하는 방식이 가장 관리하기 쉽습니다. 여기에 더해, 국외에서 국내 이용자의 개인정보를 직접 수집해 처리하는 구조라면 그 처리 국가명도 별도 항목으로 적어야 합니다(시행령 제31조 제1항 제4호).

사례 — 딥시크 시정권고가 남긴 기준

이 항목이 왜 형식 요건이 아닌지 보여 준 것이 딥시크(DeepSeek) 사건입니다. 개인정보위는 2025년 4월 23일 제9회 전체회의에서 사전 실태점검 결과를 의결하면서, 딥시크가 이용자의 기기·네트워크·앱 정보뿐 아니라 이용자가 AI 프롬프트에 입력한 내용까지 중국 소재 제3의 회사로 전송하면서 국외이전 동의를 받거나 처리방침을 공개하지 않은 점을 지적하고, 국외이전의 법적 근거 확보와 이미 이전된 프롬프트 입력 내용의 즉각 파기, 한국어 처리방침 공개를 시정권고했습니다. 딥시크는 권고를 수용해 한국어 처리방침을 공개하고 학습 활용에 대한 거부(opt-out) 기능을 마련했습니다.

여기서 스타트업이 가져갈 지점은 둘입니다. 첫째, 이용자가 AI에 입력하는 내용도 개인정보가 될 수 있고, 그것이 국경을 넘으면 국외이전입니다. 외부 LLM API를 붙인 서비스라면 프롬프트가 어느 나라 어느 회사로 가는지가 곧 처리방침 기재사항이 됩니다. 둘째, 이 사건의 결론은 과징금이 아니라 시정권고였습니다. 제재 수위가 낮았던 것은 위반이 가볍기 때문이 아니라 사전 실태점검 단계에서 시정이 이루어졌기 때문이므로, 같은 구조를 방치한 채 조사 국면에 들어가면 결론이 같으리라 기대하기 어렵습니다.

AI로 심사·추천을 자동화했다면 처리방침에 써야 하나?

완전히 자동화된 시스템(인공지능 기술을 적용한 시스템을 포함)으로 이루어지는 결정이 정보주체의 권리·의무에 중대한 영향을 미치는 경우, 정보주체는 그 결정을 거부하거나 설명을 요구할 수 있습니다(법 제37조의2 제1항·제2항). 그리고 개인정보처리자는 자동화된 결정의 기준과 절차, 개인정보가 처리되는 방식을 정보주체가 쉽게 확인할 수 있도록 공개해야 합니다(같은 조 제4항).

공개할 내용은 시행령 제44조의4 제1항이 다섯 가지로 정하고 있습니다.

1. 자동화된 결정이 이루어진다는 사실과 그 목적 및 대상이 되는 정보주체의 범위
2. 자동화된 결정에 사용되는 주요 개인정보의 유형과 자동화된 결정의 관계
3. 자동화된 결정 과정에서의 고려사항 및 주요 개인정보가 처리되는 절차
4. 그 과정에서 민감정보나 14세 미만 아동의 개인정보를 처리하는 경우 그 목적과 구체적 항목
5. 정보주체가 거부·설명 등을 요구할 수 있다는 사실과 그 방법·절차

주의할 점은 이것이 법 제30조의 처리방침 기재사항이 아니라 별도의 공개 의무라는 것입니다. 다만 시행령이 “인터넷 홈페이지 등을 통해” 공개하도록 정하고 있어, 실무에서는 처리방침 안에 한 항목으로 넣거나 처리방침에서 링크되는 별도 문서로 두는 방식이 일반적입니다.

한 가지 더. 같은 서비스가 AI기본법상 의무에도 걸릴 수 있습니다. 채용·대출 심사처럼 개인의 권리·의무에 중대한 영향을 미치는 판단에 AI를 쓴다면 고영향 인공지능 해당 여부를 사전에 검토해야 하고, 생성형 AI 기능이 있다면 고지·표시 의무가 별도로 발생합니다 — AI기본법 시행 6개월 — 계도기간이 끝나기 전에 우리 회사가 확인할 의무들을 함께 보시기 바랍니다.

생성형 AI 서비스라면 무엇을 더 적어야 하나?

개인정보위는 **2026년 4월 24일 「2026 개인정보 처리방침 작성지침」**을 공개했습니다. 이번 개정의 핵심은 생성형 AI 서비스에 관한 부록 신설입니다. 부록은 생성형 AI 서비스의 특성을 고려해, 이용자가 직접 입력한 정보와 이용 과정에서 생성된 결과물이 수집·저장되는 경우 이를 처리 항목으로 기재하도록 하고, AI가 어떤 맥락에서 누구를 대상으로 사용되는지 등 의도된 용례를 명확히 기재하도록 권장합니다.

그 밖의 개정 사항도 실무에 바로 영향을 줍니다.

• 수탁자 기재의 조건부 유형화 허용 — 수탁자를 개별 명칭 대신 유형으로 묶어 적는 것이 허용되나, 이용자가 마이페이지 등을 통해 실제 수탁자를 확인할 수 있어야 합니다.
• 온디바이스 처리 기준 명확화 — 기기 내에서만 처리되는지, 서버로 수집되는지에 따라 처리 항목·보유기간 기재 의무를 구분합니다.
• 변경사항 안내 방식 이원화 — 처리 항목 변경처럼 영향이 큰 사항은 개정 전후 대조표로 안내하고, 경미한 사항은 합리적 기간 단위로 모아 안내하는 것이 허용됩니다.

작성지침은 법령이 아니라 권고 기준입니다(법 제30조 제4항이 보호위원회의 작성지침 마련·준수 권장 근거를 둡니다). 다만 뒤에서 볼 처리방침 평가의 실질적 판단 기준으로 작동하므로, 지침을 벗어난 처리방침은 개선권고를 받을 가능성이 높아집니다.

처리방침은 어디에 어떻게 게시해야 하나?

작성만큼 자주 놓치는 것이 공개 방법입니다. 처리방침은 수립하거나 변경한 경우 정보주체가 쉽게 확인할 수 있도록 공개해야 하고(법 제30조 제2항), 원칙적인 방법은 인터넷 홈페이지에 지속적으로 게재하는 것입니다(시행령 제31조 제2항).

홈페이지에 게재할 수 없는 경우에만 다음 중 하나 이상의 방법을 씁니다(시행령 제31조 제3항).

1. 사업장 등의 보기 쉬운 장소에 게시
2. 관보(공공기관만) 또는 사업장 소재 시·도 이상 지역을 주된 보급지역으로 하는 일반일간신문·일반주간신문·인터넷신문에 게재
3. 연 2회 이상 발행해 정보주체에게 배포하는 간행물·소식지·홍보지·청구서 등에 지속적으로 게재
4. 재화·서비스 제공을 위해 작성한 계약서 등에 실어 정보주체에게 발급

여기서 하나 더 기억할 조항이 있습니다.

개인정보 보호법 제30조 ③ 개인정보 처리방침의 내용과 개인정보처리자와 정보주체 간에 체결한 계약의 내용이 다른 경우에는 정보주체에게 유리한 것을 적용한다.

처리방침은 안내문이 아니라, 이용약관 등과 어긋나면 정보주체에게 유리한 쪽으로 효력이 정리되는 문서입니다. “실제 운영과 다르지만 일단 넓게 써 두자"는 접근이 위험한 이유입니다.

안 지키면 어떻게 되나?

• 처리방침을 정하지 않거나 공개하지 않으면 1천만 원 이하의 과태료(법 제75조 제4항 제8호)
• 국내대리인 지정 대상인데 국내대리인의 성명·주소·전화번호·전자우편 주소를 처리방침에 포함하지 않으면 1천만 원 이하의 과태료(같은 항 제9호의2)

과태료보다 현실적인 압박은 처리방침 평가제입니다. 개인정보위는 ① 법정 기재사항을 적정하게 정하고 있는지, ② 알기 쉽게 작성했는지, ③ 정보주체가 쉽게 확인할 수 있는 방법으로 공개하고 있는지를 평가하고, 개선이 필요하면 개선을 권고할 수 있습니다(법 제30조의2 제1항).

평가 대상은 개인정보처리자의 유형·매출액 규모, 처리하는 개인정보의 유형·규모(민감정보·고유식별정보 포함 여부), 처리의 법적 근거와 방식, 법 위반행위 발생 여부, 아동·청소년 등 정보주체의 특성을 종합적으로 고려해 선정되고, 선정되면 평가 개시 10일 전까지 평가계획이 통보됩니다(시행령 제31조의2 제1항·제2항). 대상 분야가 해마다 바뀌며 넓어지고 있으므로, 차례가 온 뒤 손보는 것보다 기준을 미리 맞춰 두는 편이 낫습니다.

2026년 9월 11일 이후에는 무엇이 달라지나?

2026년 3월 10일 공포된 개정 개인정보 보호법(법률 제21445호)이 2026년 9월 11일 시행됩니다. 처리방침의 기재사항 목록 자체는 바뀌지 않지만, 처리방침에 적는 내용의 전제가 되는 조항들이 움직입니다.

• 제30조의3 신설 — 개인정보처리자의 사업주 또는 대표자가 개인정보의 안전한 처리와 정보주체의 권리 보호에 대한 최종적인 책임자임을 명문화하고, 전문 인력과 충분한 예산 지원 등 총괄적 관리 조치 의무를 부과합니다.
• 제31조 개편 — 개인정보 보호책임자의 지정·변경·해제에 이사회 의결과 신고 절차가 신설되고(제31조 제3항 신설), 종전 제3항 이하가 한 항씩 밀립니다. 처리방침에 적는 보호책임자 정보의 근거 조문 인용을 쓰고 있다면 조문 번호를 다시 확인해야 합니다.
• 개인정보 보호 인증 의무화 — 매출액·처리 규모 등 대통령령이 정하는 기준에 해당하는 개인정보처리자는 인증을 받아야 합니다(제32조의2 제1항 단서). 다만 이 부분과 그 과태료 규정은 2027년 7월 1일 시행입니다.

지금 바로 확인할 체크리스트

1. 처리방침에 민감정보의 공개 가능성·비공개 선택 방법 항목이 있는가 (해당되는 경우)
2. 가명정보 처리에 관한 사항을 적었는가 (가명처리를 하는 경우)
3. 국외이전 항목에 근거와 함께 이전 항목·국가·시기·방법·수령자·이용목적·보유기간·거부 방법이 모두 들어 있는가
4. 국외에서 국내 이용자 정보를 직접 수집한다면 처리 국가명을 적었는가
5. 국내대리인 지정 대상이라면 성명·주소·전화번호에 더해 전자우편 주소까지 적었는가
6. 자동화된 결정을 운영한다면 시행령 제44조의4 제1항의 다섯 항목을 공개하고 있는가
7. 생성형 AI 기능이 있다면 입력정보·생성 결과물의 수집 여부와 학습 활용 범위를 적었는가
8. 처리방침이 홈페이지에 지속적으로 게재되어 있고, 이용약관·실제 운영과 어긋나지 않는가
9. 마지막 개정일이 2024년 3월 15일 이후인가 (그 이전이라면 항목 누락 가능성이 높습니다)

자주 묻는 질문

Q. 2023년에 만든 개인정보처리방침을 그대로 써도 되나요?

항목이 빠져 있을 가능성이 큽니다. 2023년 9월 15일부터 민감정보의 공개 가능성·비공개 선택 방법(법 제30조 제1항 제3호의3)과 가명정보 처리에 관한 사항(같은 항 제4호의2)이 필수 기재사항으로 추가됐고, 같은 날 시행령 제31조 제1항 제2호로 국외이전 근거와 고지사항이, 2024년 3월 15일부터는 같은 항 제4호로 국외에서 국내 정보주체의 개인정보를 직접 수집하는 경우의 처리 국가명이 추가됐습니다.

Q. 처리방침에 국내대리인을 안 적으면 어떻게 되나요?

2025년 10월 2일 시행된 개정법부터 국내대리인의 성명·주소·전화번호·전자우편 주소를 개인정보 처리방침에 포함하지 않으면 1천만 원 이하의 과태료 대상입니다(법 제31조의2 제4항, 제75조 제4항 제9호의2). 국내대리인 지정 의무 자체는 국내에 주소·영업소가 없는 개인정보처리자 중 전년도 전체 매출액 1조 원 이상이거나 직전 3개월 국내 정보주체 수가 일일평균 100만 명 이상인 경우 등에 적용됩니다(시행령 제32조의3 제1항).

Q. AI로 자동 심사·추천을 하면 처리방침에 써야 하나요?

완전히 자동화된 시스템으로 이루어지는 결정의 기준과 절차, 개인정보가 처리되는 방식은 정보주체가 쉽게 확인할 수 있도록 공개해야 합니다(법 제37조의2 제4항, 시행령 제44조의4). 이는 법 제30조의 처리방침 기재사항과는 별개의 공개 의무이지만, 시행령이 “인터넷 홈페이지 등을 통해” 공개하도록 정하고 있어 실무에서는 처리방침 안이나 그에 연결된 별도 문서로 싣는 경우가 많습니다.

이 글은 일반적인 정보 제공을 목적으로 하며, 구체적인 사안에 대한 법률자문이 아닙니다. 개별 사안은 사실관계에 따라 결론이 달라질 수 있으므로 별도의 검토가 필요합니다.

참고 자료

• 개인정보 보호법 제2조 제5호(개인정보처리자), 제28조의8(국외이전), 제30조(처리방침의 수립 및 공개), 제30조의2(처리방침의 평가 및 개선권고), 제31조의2(국내대리인의 지정), 제37조의2(자동화된 결정에 대한 정보주체의 권리 등), 제75조 제4항 제8호·제9호의2(과태료)
• 개인정보 보호법 시행령 제31조(처리방침의 내용 및 공개방법 등), 제31조의2(처리방침의 평가 대상 및 절차), 제32조의3(국내대리인 지정 대상자의 범위 등), 제44조의4(자동화된 결정의 기준과 절차 등의 공개)
• 개인정보 보호법 일부개정법률(법률 제21445호, 2026. 3. 10. 공포, 2026. 9. 11. 시행 / 제32조의2 제1항 단서는 2027. 7. 1. 시행)
• 개인정보보호위원회, 「2026 개인정보 처리방침 작성지침」(2026. 4. 24. 공개)
• 개인정보보호위원회 제9회 전체회의(2025. 4. 23.), 딥시크 사전 실태점검 결과 및 시정권고