회사 소개 홈페이지에 문의 폼 하나만 있으면 개인정보 처리방침까지는 없어도 될 것 같지만, 결론부터 말하면 필요해요. 이름이나 연락처를 한 칸이라도 받는 순간 그 회사는 개인정보 보호법이 말하는 '개인정보처리자'가 되고, 처리방침을 정해서 홈페이지에 계속 걸어 두는 의무가 생기거든요. 문의 폼 아래에 동의 체크박스가 있다고 이 의무가 채워지지도 않아요.
이름과 연락처를 받으면 처리방침을 걸어 둬야 해요
개인정보 보호법 제30조는 개인정보처리자가 처리 목적, 보유 기간, 파기 방법 같은 사항을 담은 처리방침을 정하고 문의를 남긴 사람 같은 정보의 주인이 쉽게 확인할 수 있게 공개하라고 정하고 있어요. 공개하는 방법은 시행령 제31조가 정하는데, 홈페이지가 있으면 그 홈페이지에 지속적으로 게재하는 게 기본입니다. 보통 사이트 맨 아래에 '개인정보 처리방침' 링크를 두는 이유가 이거예요.
회사 규모나 문의 건수로 빠지는 예외는 조문에 없어요. 처리방침을 정하지 않았거나 정해 놓고 공개하지 않으면 제75조에 따라 1천만 원 이하의 과태료 대상이 됩니다. 만들어 두기만 하면 끝나는 것도 아니라서, 처리방침에 '답변 뒤 즉시 파기'라고 적어 놓고 문의 내역을 3년씩 쌓아 두고 있다면 회사가 공개한 내용과 실제 처리가 다른 셈이 됩니다.
동의 체크박스와 처리방침은 하는 일이 달라요
문의 폼 아래의 "개인정보 수집·이용에 동의합니다" 체크박스는 정보를 받는 자리에서 무엇을 왜 받는지 알리는 장치예요. 제15조는 동의를 받을 때 수집 목적, 받는 항목, 보유 기간, 동의를 거부할 수 있다는 사실과 거부하면 생기는 불이익까지 네 가지를 알리도록 정하고 있어요. 그래서 체크박스 옆의 '자세히 보기'에는 이 네 가지가 짧게 들어가 있어야 합니다.
처리방침은 홈페이지로 받는 개인정보 전부를 한곳에 적어 두는 공개 문서예요. 받는 정보와 보관 기간은 물론이고 누구에게 처리를 맡기는지, 문의한 사람이 자기 정보를 보여 달라거나 지워 달라고 하려면 어디로 연락하면 되는지까지 들어가서 체크박스 문구로는 대신할 수 없어요.
2023년 9월 법 개정으로, 계약을 맺는 과정에서 상대가 먼저 요청한 일을 해 주는 데 필요한 정보라면 동의 없이 받을 길도 생겼어요(제15조 제1항 제4호). 다만 그때도 받는 항목과 근거를 동의받는 정보와 구분해서 알려야 해서(제22조), 문의 폼이라면 지금처럼 동의를 받아 두는 쪽이 단순합니다. 어느 쪽이든 처리방침은 따로 있어야 하고요.
문의 폼만 있는 홈페이지라면 이 항목들이 들어가요
제30조가 꼽는 사항은 열 가지가 넘지만, 상당수는 '해당하는 경우에만' 적는 항목이에요. 회사 소개 사이트에 문의 폼 하나가 전부라면 아래 정도가 실제로 채워야 할 칸입니다.
처리방침에 들어갈 사항 | 문의 폼만 있는 사이트라면 |
|---|---|
처리 목적 | 문의 접수와 답변, 상담 |
처리하는 개인정보 항목 | 폼에 실제로 있는 칸 그대로(이름·연락처·이메일·문의 내용 등) |
처리 및 보유 기간 | 답변이 끝난 뒤 얼마나 두는지, 정한 기간 그대로 |
파기 절차와 방법 | 기간이 지난 문의를 누가 어떻게 지우는지 |
처리 위탁 | 홈페이지 서버를 맡긴 호스팅 업체, 문의 알림 문자를 보내는 업체처럼 문의 정보를 대신 다루는 곳 |
방문 통계와 쿠키(법 조문의 '자동으로 수집하는 장치') | 방문 통계 도구가 쿠키를 쓴다면 그 내용과 거부하는 방법 |
문의한 사람(법정대리인 포함)의 권리와 행사 방법 | 자기 정보의 열람·정정·삭제·처리정지를 요청하는 방법, 미성년자의 부모 같은 법정대리인이 대신 요청하는 방법 |
개인정보 보호책임자 | 이름 또는 담당 부서와 전화번호 |
안전성 확보 조치 | 관리자 계정 권한 관리, 암호화처럼 실제로 하고 있는 조치(제작사·호스팅 업체에 확인) |
처리방침 변경 이력 | 시행일과 이전 판을 볼 수 있는 링크(조문이 꼽는 항목은 아니지만, 바꿀 때도 공개해야 해서 함께 두는 편) |
표에서 회사가 따로 확인해야 하는 건 보유 기간, 위탁 업체, 방문 통계예요. 보유 기간은 법에 정해진 숫자가 없지만, 제21조가 목적을 이룬 정보는 지체 없이 파기하라고 정하고 있어서 길게 잡아 두면 안 돼요. 답변이 끝나고 거래로 이어지지 않은 문의를 얼마나 더 둘 필요가 있는지 따져서 정하고, 다른 법이 보관하라고 정한 경우에만 그 근거와 기간을 함께 적으면 됩니다. 서버나 문자 발송을 바깥 업체에 맡기고 있다면 그 업체가 위탁받은 곳입니다. 위탁은 회사 일을 대신 하라고 맡기는 것이고, 다른 회사가 자기 목적으로 쓰도록 넘기는 제3자 제공과는 달라서 문의 폼만 있는 사이트라면 제3자 제공 칸은 대개 비어요. 방문 통계 도구는 쿠키를 쓰는지, 무엇을 모으는지가 도구와 설정마다 달라서 제작사에 확인한 그대로 적어야 해요.
병원처럼 건강 정보가 오갈 수 있는 곳이나 회원 가입·결제가 있는 사이트는 민감정보·제3자 제공 같은 항목이 더 붙어서, 이 표보다 문서가 길어집니다. 문의 정보가 해외 서버에 저장되는 서비스(해외 호스팅이나 메일·폼 서비스 등)를 쓰고 있다면 국외 이전 항목도 들어가야 해서, 서버가 어느 나라에 있는지도 제작사에 같이 물어 두는 게 좋아요.
다른 회사 처리방침을 그대로 가져오면 생기는 일
처리방침을 처음부터 쓰기 어려워서 다른 사이트 것을 가져다 회사 이름만 바꾸는 경우가 있어요. 문서 모양은 갖춰지지만 그 안의 항목, 보유 기간, 위탁 업체가 남의 회사 사정으로 적혀 있게 되죠. 회원 가입도 없는 사이트에 '회원 탈퇴 시 파기'가 적혀 있거나, 쓰지도 않는 결제 대행사가 위탁 업체로 올라가 있는 식이에요.
처음에 맞게 써 둔 처리방침도 사이트가 바뀌면 어긋나요. 만든 뒤에 폼에 '회사명' 칸을 하나 더 넣었거나 방문 통계 도구를 바꿨거나 호스팅 업체를 옮겼다면 처리방침도 같이 고쳐야 하거든요. 제30조는 처리방침을 바꿀 때도 공개하라고 정하고 있어서, 고친 판에 시행일을 적고 이전 판도 열어 볼 수 있게 남겨 두는 게 안전해요.
우리 홈페이지 맨 아래의 '개인정보 처리방침'을 열어 놓고, 옆 창에 문의 폼을 띄워 칸 이름이 처리방침의 항목과 같은지 맞춰 보는 데서 시작하면 돼요. 보유 기간이나 호스팅·통계 도구처럼 모르는 칸은 제작사에 물어 채우면 되고, 링크가 아예 없다면 그것부터 만들어야 합니다.
처리방침을 실제 문의 폼과 방문 통계 설정에 맞게 고치거나, 폼에 동의 문구를 다시 넣는 작업이 필요하다면 웨이비웍스에 문의하실 수 있어요. 지금 홈페이지 주소를 알려 주시면 문의 폼 칸, 방문 통계 도구, 호스팅 업체를 처리방침과 하나씩 대조해서 다른 곳을 짚어 드립니다.
