온라인 쇼핑몰 개인정보처리방침 어떻게 작성할까? 판매자가 확인할 필수항목

온라인 쇼핑몰을 운영하면 주문을 처리하기 위해 자연스럽게 고객의 정보를 다루게 됩니다.

상품을 배송하려면 이름과 주소, 연락처 등이 필요할 수 있고 회원가입 기능이 있다면 계정정보를 처리할 수도 있습니다. 광고나 이벤트를 운영한다면 별도의 마케팅 정보가 추가될 수도 있습니다.

문제는 개인정보처리방침을 단순히 쇼핑몰 하단에 넣어두는 형식적인 문서라고 생각하는 경우입니다.

개인정보처리방침은 다른 쇼핑몰의 문구를 복사해 붙여 넣는 문서가 아니라 내 사업자가 실제로 어떤 개인정보를 어떤 목적으로 처리하고 있는지를 설명하는 문서에 가깝습니다.

개인정보 보호법 제30조에서는 개인정보처리자가 개인정보 처리방침을 정하도록 하고 있으며, 처리 목적·보유기간·제3자 제공·파기·처리위탁·정보주체의 권리 행사방법·개인정보 보호책임자 또는 담당부서 연락처 등을 규정하고 있습니다. (법제처)

따라서 온라인 판매자라면 쇼핑몰을 만들 때 디자인이나 상품등록만 확인할 것이 아니라 개인정보가 어떤 경로로 들어오고 어디에 전달되며 언제 삭제되는지도 함께 살펴볼 필요가 있습니다.

개인정보처리방침에는 무엇을 적어야 할까?

모든 쇼핑몰의 개인정보처리방침이 똑같을 수는 없습니다.

회원가입 여부, 결제방식, 배송구조, 이용하는 외부 서비스 등에 따라 실제 개인정보 처리구조가 달라지기 때문입니다.

현재 개인정보 보호법과 시행령을 기준으로 보면 처리방침에는 다음과 같은 사항을 검토해야 합니다. (법제처)

확인항목	온라인 쇼핑몰에서 확인할 내용
개인정보 처리 목적	회원관리, 주문·결제, 배송, 고객상담 등
처리·보유기간	각 정보의 이용기간과 법령상 보존기간
처리하는 개인정보 항목	실제 수집·처리하는 이름, 연락처, 주소 등
제3자 제공	해당되는 경우 제공받는 자·목적 등
개인정보 처리위탁	해당되는 경우 위탁업체와 업무
파기	보유기간 종료 후 파기 절차와 방법
정보주체의 권리	열람·정정·삭제·처리정지 등 행사방법
개인정보 보호 관련 연락처	보호책임자 또는 담당부서 등
자동수집 장치	해당되는 경우 쿠키 등의 설치·운영 및 거부방법
안전성 확보조치	개인정보 보호를 위해 적용하는 조치

여기서 중요한 것은 없는 내용을 억지로 만들어 넣지 않는 것입니다.

자신의 쇼핑몰에서 처리하지 않는 개인정보나 사용하지 않는 서비스를 다른 사업자의 처리방침을 복사하면서 그대로 기재하면 실제 개인정보 처리현황과 문서가 달라질 수 있습니다.

주문 하나에도 여러 개인정보가 사용된다

일반적인 온라인 주문을 생각해보겠습니다.

고객이 상품을 주문하면서 이름, 연락처와 배송지 정보를 입력했다고 가정합니다.

판매자는 이 정보를 주문 확인에 사용하고 상품을 발송하기 위해 배송업무에 활용합니다.

고객이 교환이나 반품을 요청한다면 고객응대 과정에서도 개인정보가 사용될 수 있습니다.

즉 개인정보처리방침을 작성할 때 단순히

“이름과 전화번호를 수집합니다.”

라고 끝낼 것이 아니라,

무엇을 → 왜 처리하고 → 얼마나 보관하며 → 누구와 어떤 방식으로 처리되는가

라는 흐름을 확인하는 것이 중요합니다.

개인정보는 필요한 만큼만 처리하는 것이 기본이다

온라인 판매자는 개인정보를 많이 확보할수록 좋은 것이 아닙니다.

개인정보 보호법의 기본원칙에는 처리 목적을 명확하게 하고, 그 목적에 필요한 범위에서 최소한의 개인정보만 적법하고 정당하게 처리해야 한다는 원칙이 포함되어 있습니다.

예를 들어 단순히 상품을 배송하기 위해 필요한 정보와 마케팅 메시지를 보내기 위해 필요한 정보는 목적이 다를 수 있습니다.

특히 광고성 정보나 선택적인 마케팅 활용 등을 운영한다면 주문처리에 반드시 필요한 정보와 선택적으로 동의받는 정보의 목적을 구분해서 관리할 필요가 있습니다.

개인정보보호위원회의 최신 처리방침 작성지침 역시 실제 개인정보 처리현황을 정확하게 반영하고 정보주체가 이해하기 쉽도록 작성하는 데 초점을 두고 있습니다. 개인정보위는 2026년 4월 개정된 개인정보 처리방침 작성지침을 현재 안내서로 제공하고 있습니다. (한국정보통신정책연구원)

개인정보의 제3자 제공과 처리위탁은 구분해야 한다

온라인 쇼핑몰을 운영하다 보면 외부 사업자가 개인정보를 처리하는 경우가 생길 수 있습니다.

이때 많이 헷갈리는 개념이 제3자 제공과 처리위탁입니다.

두 가지는 같은 의미가 아닙니다.

처리위탁은 사업자의 업무를 수행하기 위해 개인정보 처리업무의 일부를 외부에 맡기는 구조가 될 수 있습니다.

반면 제3자 제공은 개인정보를 제공받는 제3자의 목적 등을 위해 정보가 제공되는 구조와 관련됩니다.

따라서 외부 업체가 개인정보를 처리한다고 해서 전부 같은 항목에 적는 것이 아니라 실제 관계가 제3자 제공인지 처리위탁인지 확인한 뒤 맞는 항목에 기재해야 합니다.

개인정보 보호법 제30조 역시 제3자 제공에 관한 사항과 처리위탁에 관한 사항을 각각 별도의 처리방침 항목으로 규정하고 있습니다. (법제처)

택배사를 이용하면 개인정보도 함께 움직인다

온라인 판매에서는 배송 때문에 개인정보 이동이 발생하기 쉽습니다.

판매자는 고객이 입력한 배송정보를 이용해 상품을 발송합니다.

이 과정에서 배송업무를 수행하는 업체가 수취인의 이름, 주소, 연락처 등의 정보를 처리할 수 있습니다.

그래서 개인정보처리방침을 작성할 때는 단순히 쇼핑몰 관리자 화면에 저장되는 정보만 볼 것이 아니라

주문 → 결제 → 배송 → 고객상담 → 반품

전체 과정에서 개인정보를 처리하는 외부 업체가 있는지를 확인해야 합니다.

다만 어떤 업체를 처리위탁 대상으로 기재해야 하는지는 실제 계약관계와 개인정보 처리구조에 따라 판단해야 하므로, 다른 쇼핑몰에 택배사가 적혀 있다는 이유만으로 동일한 업체명을 복사하면 안 됩니다.

개인정보는 언제까지 보관해야 할까?

개인정보를 수집했다고 해서 계속 보관할 수 있는 것은 아닙니다.

개인정보 보호법 제30조는 처리방침에 개인정보의 처리 및 보유기간, 그리고 파기절차와 파기방법을 포함하도록 규정하고 있습니다. (법제처)

원칙적으로 처리 목적이 달성되고 개인정보가 불필요해지면 파기해야 하지만, 다른 법령에서 일정 기간 보존하도록 요구하는 정보가 있다면 해당 근거에 따라 별도로 보존할 수 있습니다.

따라서

“회원탈퇴 즉시 모든 정보를 삭제한다.”

같은 문장을 다른 사이트에서 그대로 가져오는 것도 조심해야 합니다.

실제로는 거래와 관련해 다른 법률에서 보존을 요구하는 기록이 있을 수 있기 때문입니다.

처리방침에는 이런 경우 보존 근거와 대상 정보 등을 실제 운영구조에 맞게 반영해야 합니다. 개인정보 보호법도 법령에 따라 보존해야 하는 경우 그 근거와 개인정보 항목을 처리방침에 포함하도록 규정합니다. (법제처)

개인정보처리방침은 홈페이지에서 쉽게 확인할 수 있어야 한다

개인정보처리방침을 작성했다고 해서 컴퓨터 안에 파일로만 저장해두면 되는 것은 아닙니다.

개인정보 보호법 시행령 제31조에 따르면 개인정보처리자는 수립하거나 변경한 처리방침을 인터넷 홈페이지에 지속적으로 게재해야 합니다. 홈페이지에 게재할 수 없는 경우에는 법령에서 정한 다른 공개방법을 사용할 수 있습니다. (법제처)

자사몰을 운영한다면 고객이 처리방침을 찾기 어려운 위치에 숨기기보다는 사이트에서 지속적으로 확인할 수 있도록 관리하는 것이 중요합니다.

또 처리방침 내용이 변경되면 실제 운영내용과 공개된 문서가 계속 일치하는지도 확인해야 합니다.

스마트스토어 같은 플랫폼 판매자는 자사몰과 무엇이 다를까?

이 부분은 온라인 판매자가 특히 구분해야 합니다.

자사몰을 직접 구축해 회원가입부터 주문·결제까지 운영하는 경우와 대형 오픈마켓이나 플랫폼에 입점해 판매하는 경우에는 개인정보 처리구조가 동일하지 않을 수 있습니다.

플랫폼 판매의 경우 플랫폼 자체가 회원정보와 주문시스템을 운영하고 판매자는 주문처리에 필요한 범위의 정보를 제공받는 구조가 있을 수 있습니다.

반면 자사몰은 판매자가 사용하는 쇼핑몰 솔루션, 결제대행사, 배송업체, 회원관리 서비스, 분석도구 등의 구조를 직접 파악해야 할 수 있습니다.

따라서 플랫폼 판매자가 자사몰의 개인정보처리방침을 그대로 복사하거나, 반대로 자사몰 운영자가 플랫폼의 개인정보 관련 문구만 가져오는 방식은 적절하지 않을 수 있습니다.

중요한 것은 내가 사용하는 판매채널에서 내 사업자가 실제로 어떤 개인정보를 처리하는지 확인하는 것입니다.

쿠키나 분석도구를 사용한다면 이것도 확인해야 한다

웹사이트에서는 이용자의 접속정보나 쿠키 등을 이용하는 기능이 사용될 수 있습니다.

개인정보 보호법 제30조는 인터넷 접속정보파일 등 개인정보를 자동으로 수집하는 장치의 설치·운영 및 거부에 관한 사항을 해당하는 경우 처리방침에 포함하도록 규정합니다. (법제처)

따라서 자사몰이나 워드프레스 사이트에서 분석·광고·로그인 등의 기능을 사용한다면 어떤 기술과 서비스를 사용하고 있는지 확인할 필요가 있습니다.

단순히

“우리 사이트는 쿠키를 사용합니다.”

라고 복사해 적기보다 실제 사용하는 서비스와 처리구조를 기준으로 작성하는 것이 중요합니다.

개인정보 보호책임자도 확인해야 한다

개인정보 보호법은 개인정보처리자에게 개인정보 보호책임자 지정에 관한 규정을 두고 있습니다.

다만 2026년 9월 11일부터 시행된 현행 제31조에는 종업원 수·매출액 등이 대통령령 기준에 해당하는 개인정보처리자의 경우 별도 보호책임자를 지정하지 않을 수 있는 예외가 있으며, 이 경우 사업주 또는 대표자가 개인정보 보호책임자가 됩니다. (법제처)

따라서 소규모 개인사업자라고 해서 인터넷에서 임의의 담당자 이름을 만들어 적는 방식은 피해야 합니다.

처리방침에는 법에서 요구하는 개인정보 보호책임자의 성명 또는 개인정보 보호업무 및 관련 고충사항을 처리하는 부서의 명칭과 연락처 등을 실제 상황에 맞게 작성해야 합니다. (법제처)

다른 쇼핑몰 개인정보처리방침을 그대로 복사하면 안 되는 이유

가장 흔하게 발생할 수 있는 문제가 이것입니다.

온라인에서 다른 쇼핑몰의 개인정보처리방침을 찾아 복사하면 빠르게 페이지 하나를 만들 수 있습니다.

하지만 그 쇼핑몰이 사용하는 서비스와 내가 사용하는 서비스는 다를 수 있습니다.

예를 들어 복사한 처리방침에는

A택배사,

B결제대행사,

C클라우드 서비스,

D마케팅 업체

가 적혀 있는데 실제 내 쇼핑몰에서는 전혀 사용하지 않을 수 있습니다.

반대로 내가 실제 사용하는 서비스가 빠질 수도 있습니다.

이렇게 되면 사이트에 공개된 처리방침과 실제 개인정보 처리현황이 달라집니다.

개인정보보호위원회가 현재 별도의 개인정보 처리방침 작성지침과 개인정보 처리방침 표준(안)을 제공하는 이유도 사업자가 실제 처리현황을 반영해 작성할 수 있도록 돕기 위한 것입니다. 현재 2026년 작성지침과 표준안 모두 개인정보위에서 확인할 수 있습니다. (한국정보통신정책연구원)

온라인 판매자가 실제로 점검할 순서

처리방침을 처음 작성한다면 문구부터 작성하지 않는 것이 좋습니다.

먼저 고객이 주문하면서 어떤 정보를 입력하는지 확인합니다.

그다음 해당 정보가

어디에 저장되는지,

누가 확인하는지,

결제 과정에서 어떤 업체가 관여하는지,

배송 과정에서 어디로 전달되는지,

고객상담 과정에서 어떻게 이용되는지,

얼마나 보관되는지,

언제 어떻게 파기되는지

를 순서대로 적어봅니다.

그 뒤 그 내용을 기준으로 개인정보처리방침을 작성하면 실제 운영과 문서가 달라지는 문제를 줄일 수 있습니다.

쇼핑몰 기능을 추가했다면 처리방침도 다시 확인하자

개인정보처리방침은 사이트를 만들 때 한 번 작성하고 끝나는 문서라고 생각하기 쉽습니다.

하지만 운영 중에 새로운 서비스를 추가하면 개인정보 처리구조가 달라질 수 있습니다.

예를 들어

회원가입 기능 추가,

새로운 결제서비스 도입,

택배업체 변경,

CRM 또는 고객상담 서비스 도입,

마케팅 도구 추가,

분석도구 추가

등이 발생하면 기존 처리방침과 실제 운영내용이 여전히 일치하는지 다시 확인할 필요가 있습니다.

특히 개인정보 보호법 시행령은 수립하거나 변경한 처리방침 역시 지속적으로 공개하도록 규정하고 있습니다. (법제처)

개인정보처리방침은 ‘페이지 하나 만들기’가 목적이 아니다

온라인 쇼핑몰에서 개인정보처리방침을 준비하는 목적을 단순히

“사이트 하단에 개인정보처리방침 링크 하나 만들기”

라고 생각하면 중요한 부분을 놓치기 쉽습니다.

실제로 중요한 것은

어떤 개인정보를 받고 있는지

왜 필요한지

누가 처리하는지

언제까지 가지고 있는지

언제 어떻게 파기하는지

를 사업자가 알고 있는 것입니다.

개인정보처리방침은 바로 그 내용을 고객에게 투명하게 설명하는 문서입니다.

온라인 판매 규모가 커지면서 주문과 고객정보가 많아질수록 개인정보 관리 역시 사업 운영의 일부가 됩니다.

따라서 다른 사업자의 처리방침을 그대로 복사하는 것보다 현재 자신의 쇼핑몰과 판매방식에서 실제 개인정보가 어떻게 움직이는지를 먼저 확인한 뒤 그 구조를 문서에 반영하는 것이 중요합니다.

공식 자료

개인정보보호위원회 개인정보 처리방침 작성지침·안내서

국가법령정보센터 개인정보 보호법 제30조

국가법령정보센터 개인정보 보호법 시행령 제31조