개인정보 처리방침 필수 항목 점검표 — 2026. 9. 11. 시행 기준 법정 기재·공개 의무 19개와 권장 8개

이 글이 다루는 범위

이 글은 영리 목적으로 개인정보를 처리하는 중소기업·소상공인·스타트업의 처리방침을 기준으로 씁니다. 공공기관은 개인정보파일 등록(법 제32조)과 연계된 별도 규정이 있고, 금융·의료처럼 개별 법령이 추가 기재를 요구하는 업종은 그 법령을 함께 봐야 합니다. 조문은 2026. 9. 11. 시행 개인정보 보호법과 같은 날 시행된 시행령을 기준으로 하며, 조항 번호는 모두 국가법령정보센터 원문과 대조했습니다.

항목이 빠졌는지만 빠르게 보려면 개인정보 처리방침 점검기에 처리방침 본문이나 사이트 주소를 넣으면 아래 27개 항목을 문서 기준으로 대조해 줍니다. 자동 점검은 법률 의견이 아니며, 문서에서 확인되지 않은 항목은 '해당 시 기재 필요'로 표시합니다.

표 1. 제30조와 시행령 제31조가 정한 법정 항목 14개

표 2. 다른 조문이 처리방침 또는 별도 공개로 요구하는 법정 의무 5개(점검기가 함께 보는 항목)

표 3. 작성지침의 권장 사항과 실무를 바탕으로 이 글과 점검기가 묶은 권장 항목 8개(법적 구속력 없음)

법정 항목과 작성지침 권장 항목은 무엇이 다른가요?

표 1의 14개는 법 제30조 제1항과 시행령 제31조 제1항이 처리방침에 '포함하여야 한다'고 정한 항목이고, 표 2의 5개는 다른 조문이 처리방침 또는 별도 공개를 요구하는 의무입니다. 해당되는 법정 항목이 빠진 처리방침은 처리방침을 제대로 정하지 않은 것으로 평가되어 법 제75조 제4항 제8호의 과태료(1천만원 이하) 문제가 될 수 있습니다. 다만 어느 정도의 누락을 미수립·미공개로 볼지는 사안별 판단이고, 모든 누락에 같은 과태료가 자동으로 붙는 것은 아닙니다. 반면 표 3의 8개는 보호위원회가 법 제30조 제4항에 따라 정한 「개인정보 처리방침 작성지침」의 권장 사항과 실무 관행을 이 글과 점검기가 묶은 것입니다. 법 제30조 제4항은 지침의 '준수를 권장할 수 있다'고 쓰고 있어, 지침만 어겼다고 과태료가 나오지는 않습니다.

다만 권장 항목이 가볍지는 않습니다. 보호위원회는 법 제30조의2에 따라 처리방침이 법정 사항을 적정하게 담았는지, 알기 쉽게 썼는지, 쉽게 확인할 수 있게 공개했는지를 평가하고 개선을 권고할 수 있습니다. 시행령 제31조의2는 평가 대상을 고를 때 처리자의 유형·매출, 민감정보·고유식별정보 처리 규모, 법 위반 발생 여부, 아동·청소년 대상 여부를 보도록 했습니다. 평가 자체는 과태료 제도가 아니지만, 권고를 받은 뒤 고치지 않으면 다른 조사의 출발점이 됩니다.

2026년 4월 24일 공개된 개정 작성지침은 생성형 AI 서비스 부록(입력 정보의 학습 활용 여부와 거부 절차, 부적절한 답변 신고 방법)을 새로 두었고, 수탁자나 제공받는 자가 많거나 자주 바뀌면 '택시기사', '배달원'처럼 유형별로 적되 실제 대상을 확인할 수 있는 경로를 함께 안내하도록 했습니다. 지침 원문의 조항 번호를 인용하지 않는 이유는 이 글이 공개 보도를 기준으로 개정 내용을 확인했기 때문입니다.

처리방침을 바꾸면 며칠 전에 알려야 하나요?

법에는 며칠 전이라는 숫자가 없습니다. 법 제30조 제2항은 처리방침을 수립하거나 변경하면 정보주체가 쉽게 확인할 수 있도록 공개하라고 하고, 시행령 제31조 제2항은 그 방법을 '인터넷 홈페이지에 지속적으로 게재'로 정할 뿐입니다. 실무에서 널리 쓰는 '시행 7일 전 공지, 권리에 중요한 변경은 30일 전'은 법정 기간이 아니라 기업들이 자율적으로 정한 기준입니다. 공개 보도에 따르면 2026년 개정 작성지침은 정보주체의 권리에 중대한 영향을 주는 변경은 개정 전 또는 개정 즉시 알리고, 수탁자 목록처럼 권리 침해 가능성이 낮은 변경은 일정 기간의 변경 내용을 모아 안내할 수 있다고 정리했습니다.

따라서 점검할 것은 일수가 아니라 세 가지입니다. 변경된 처리방침이 홈페이지에 계속 게재되어 있는지, 시행일이 본문에 적혀 있는지, 이전 버전을 찾아볼 수 있는지입니다. 중요한 변경(수집 항목 추가, 제3자 제공 상대 추가, 국외 이전 시작)은 시행 전에 공지하고, 변경 사항이 동의 범위를 넘으면 공지만으로는 부족하고 다시 동의를 받아야 합니다(법 제15조 제2항·제17조 제2항).

어디에 어떻게 공개해야 하나요?

• 원칙은 인터넷 홈페이지에 지속적으로 게재하는 것입니다(시행령 제31조 제2항). 특정 페이지 깊숙이 숨기거나 회원만 볼 수 있게 두면 '지속 게재'를 채우기 어렵습니다.
• 홈페이지가 없으면 사업장의 보기 쉬운 곳 게시, 일간·주간·인터넷신문 게재, 연 2회 이상 발행하는 간행물·청구서 게재, 계약서에 실어 발급하는 방법 중 하나 이상으로 공개합니다(시행령 제31조 제3항).
• 모바일 앱은 첫 화면이나 메뉴처럼 쉽게 접근할 수 있는 곳에 두라는 것이 작성지침의 안내입니다. 웹사이트는 푸터에 '개인정보 처리방침'이라는 이름으로 두는 관행이 자리 잡았고, 이용약관과 한 문서로 합치면 정보주체가 찾기 어려워집니다.
• 처리방침과 정보주체와 맺은 계약 내용이 다르면 정보주체에게 유리한 쪽이 적용됩니다(법 제30조 제3항). 이용약관·동의서와 처리방침의 보유 기간이 서로 다르면 정보주체에게 유리한 내용이 적용되고 다른 법령상 보존 의무는 별도로 확인해야 하니, 세 문서를 함께 맞춰야 합니다.

2026. 9. 11. 개정으로 처리방침 항목이 바뀌었나요?

처리방침 기재 사항을 정한 법 제30조 제1항·제2항은 이번 개정에서 바뀌지 않았습니다. 바뀐 것은 처리방침 주변입니다. 보호책임자를 지정하지 않으면 과태료가 1천만원 이하에서 3천만원 이하로 올랐고(법 제75조 제2항 제14호의2), 연간 매출액이 1,800억원을 넘으면서 5만명 이상의 민감정보·고유식별정보나 100만명 이상의 개인정보를 처리하는 대규모 처리자는 보호책임자 지정·변경 때 이사회 의결과 보호위원회 신고가 필요해졌습니다(법 제31조 제3항). 과징금은 기본 상한이 전체 매출액의 3%로 유지되면서, 3년 내 고의·중과실 재위반 등에 한해 10% 이하로 가중하는 조항이 생겼습니다(법 제64조의2 제2항).

처리방침 입장에서 할 일은 하나입니다. 처리방침에 적힌 보호책임자가 실제로 지정된 사람과 같은지 확인하는 것입니다. 누가 보호책임자가 되어야 하는지, 소상공인은 어떤 예외가 있는지는 보호책임자 지정 의무 글에서 다룹니다.

표 4. 처리방침과 직접 관련된 과태료

우리 사업에 해당하는 항목은 어떻게 가려내나요?

표 1의 8번 이후 항목은 '해당되는 경우에만' 적습니다. 해당 여부는 처리방침을 읽어서가 아니라 실제 운영을 보고 정합니다. 외부 업체에 맡기는 일이 있는지(결제대행·택배·문자 발송·호스팅·고객센터), 남에게 넘기는 정보가 있는지(제휴사·보험사·법령상 제출), 해외 서버나 해외 도구를 쓰는지(클라우드·분석·광고·이메일 발송), 쿠키나 분석 스크립트가 붙어 있는지, 건강·사상 같은 민감정보나 14세 미만 아동 정보를 다루는지, 매장이나 사무실에 CCTV가 있는지, 인공지능으로 심사·추천을 하는지를 하나씩 확인합니다.

이 가운데 실제 점검에서 가장 자주 빠지는 것이 위탁·제3자 제공과 국외 이전입니다. 결제대행·택배·알림톡이 위탁인지 제공인지는 위탁과 제3자 제공의 차이 글에서, 구글 애널리틱스·메타 픽셀·AWS 같은 해외 도구가 국외 이전인지는 해외 도구와 국외 이전 글에서 다룹니다. 항목별 과태료 금액 전체는 과태료·과징금 금액표에 모았습니다.

사이트 주소를 처리방침 점검기에 넣으면 사이트에서 실제로 불러오는 분석·결제·로그인 도구를 읽어 처리방침의 위탁·국외 이전 기재와 대조합니다. 해당 여부를 가리는 첫 단계로 쓰고, 결과가 '검토 필요'로 나온 항목은 문서만으로 단정할 수 없다는 뜻이니 실제 계약과 운영을 확인해야 합니다.

참고 자료

• 개인정보 보호법 제30조(개인정보 처리방침의 수립 및 공개)
• 개인정보 보호법 제30조의2(개인정보 처리방침의 평가 및 개선권고)
• 개인정보 보호법 시행령 제31조(개인정보 처리방침의 내용 및 공개방법 등)
• 개인정보 보호법 시행령 제31조의2(개인정보 처리방침의 평가 대상 및 절차)
• 개인정보 보호법 제21조(개인정보의 파기)
• 개인정보 보호법 제37조의2(자동화된 결정에 대한 정보주체의 권리 등)
• 개인정보 보호법 시행령 제44조의4(자동화된 결정의 기준과 절차 등의 공개)
• 개인정보 보호법 시행령 제14조의2(개인정보의 추가적인 이용·제공의 기준 등)
• 개인정보 보호법 제25조(고정형 영상정보처리기기의 설치·운영 제한)
• 개인정보 보호법 제31조의2(국내대리인의 지정)
• 개인정보 보호법 제22조(동의를 받는 방법) 제3항
• 개인정보 보호법 제75조(과태료)
• 개인정보보호위원회 2026. 4. 24. 보도자료(개인정보 처리방침 작성지침 개정)