개정 개인정보보호법 시행, 홈페이지 · 쇼핑몰은 무엇을 점검해야 하나 — 5가지

결론부터 말씀드리면, 개정 개인정보 보호법(법률 제21445호)이 2026년 9월 11일부터 시행됐고, 홈페이지나 쇼핑몰로 고객 이름 · 연락처를 받는 브랜드라면 처리방침 공개, 동의 받는 방식, 파기, 유출 대응 순서를 지금 한 번 점검하는 것이 좋습니다. 크게 달라진 것은 반복 · 중대 위반의 과징금 상한(전체 매출액의 10%), 유출 「가능성」 단계의 통지, 대표자 책임 명시입니다. 다만 저희가 보기에 중소 브랜드가 먼저 챙길 것은 새 조항보다 원래 있던 기본 의무 — 처리방침과 동의 화면 — 입니다.

이번 개정에서 무엇이 바뀌었나

국가법령정보센터의 개정 법률 본문과 정책브리핑 기사로 확인한 핵심은 세 가지입니다.

• 과징금 상한 — 일반 위반의 과징금 상한은 지금도 전체 매출액의 3%입니다. 개정법 제64조의2 제2항은 과징금 처분을 받은 날부터 3년이 지나기 전에 고의 또는 중대한 과실로 같은 위반을 다시 하거나, 고의 또는 중대한 과실로 위반해 정보주체의 피해 규모가 1천만명 이상이거나, 시정조치 명령을 따르지 않아 유출이 생긴 경우에 전체 매출액의 10%까지 부과할 수 있게 했습니다. 정책브리핑은 사전 투자와 보호체계 강화 노력이 있으면 과징금 부과 기준금액의 40% 범위에서 감경할 수 있다고 전했습니다.
• 유출 가능성 통지 — 제34조 제2항이 새로 생겨, 대통령령으로 정하는 유출 「가능성」을 알게 된 단계에서도 정보주체에게 알려야 합니다. 정책브리핑은 단순한 보안 취약점만으로는 통지 대상이 아니고, 불법 접근 같은 객관적 정황이 있어야 한다고 설명합니다. 시행령 제39조의3은 통지 기한을 72시간 이내로 정했습니다.
• 대표자 책임 — 제30조의3이 신설돼, 사업주 또는 대표자가 개인정보의 안전한 처리와 정보주체의 권리 보호에 대한 최종적인 책임자로서 총괄적인 관리 조치를 하도록 했습니다.

우리 같은 작은 브랜드도 해당되나요

해당됩니다. 법은 「업무를 목적으로 개인정보파일을 운용하기 위하여」 개인정보를 처리하는 법인 · 단체 · 개인을 모두 개인정보처리자로 봅니다(제2조). 문의 폼으로 받은 연락처를 모아 상담하고, 주문 고객의 주소로 배송한다면 회사 규모와 상관없이 기본 의무가 걸립니다. 10% 과징금은 위 요건에 해당하는 반복 · 중대 위반에 붙는 것이므로, 작은 브랜드가 먼저 챙길 것은 아래 다섯 가지입니다.

홈페이지 · 쇼핑몰 점검 5가지

1. 개인정보 처리방침이 홈페이지에 늘 걸려 있나 — 시행령 제31조는 처리방침을 인터넷 홈페이지에 「지속적으로 게재」 하도록 정합니다. 처리 목적, 처리 및 보유 기간, 파기 절차, 정보주체의 권리와 행사 방법, 개인정보 보호책임자나 담당 부서 연락처, 처리하는 항목 등이 들어가야 합니다(법 제30조 · 시행령 제31조). 처리방침을 정하지 않거나 공개하지 않으면 1천만원 이하의 과태료 대상입니다(제75조 제4항).
2. 문의 폼 · 회원가입의 동의 화면 — 동의를 받을 때는 수집 · 이용 목적, 수집 항목, 보유 및 이용 기간, 동의를 거부할 권리와 거부 시 불이익을 알려야 합니다(제15조 제2항). 홍보나 판매 권유를 위한 동의는 다른 동의와 구분해 따로 받아야 하고(제22조 제1항 제7호), 선택 동의를 하지 않았다는 이유로 서비스 제공을 거부하면 안 됩니다(제22조 제5항).
3. 분석 도구 · 광고 태그 — 방문 분석이나 광고용 태그처럼 접속 정보를 자동으로 모으는 장치를 쓰면, 그 설치 · 운영과 거부 방법을 처리방침에 적어야 합니다(제30조 제1항 제7호, 해당하는 경우). 저희가 점검해 보면 사이트를 고친 뒤 태그만 늘고 처리방침은 그대로인 경우가 종종 있습니다.
4. 외부에 맡긴 일 — 배송, 메일 발송, 상담 같은 업무를 외부 업체에 맡겨 개인정보를 넘긴다면, 처리방침의 위탁 항목에 반영해야 합니다(제30조 제1항 제4호, 해당되는 경우).
5. 파기와 유출 대응 순서 — 목적을 다한 개인정보는 지체 없이 파기해야 합니다(제21조, 다른 법령에 따라 보존해야 하는 경우는 제외). 예를 들어 지난 이벤트 응모자 명단, 오래된 문의 메일함을 점검해 볼 수 있습니다. 유출을 알게 되면 72시간 이내에 정보주체에게 알려야 하므로(시행령 제39조), 누가 판단하고 누가 연락하는지를 미리 정해 두는 것이 좋습니다.

스너그 관점 — 화면에서 먼저 고칠 곳

저희 기준으로 홈페이지 · 쇼핑몰을 만들거나 고칠 때는 법 문구보다 화면 구조를 먼저 봅니다. 보통 이렇게 점검합니다. 첫째, 처리방침 링크를 모든 페이지 하단에 두고 「개인정보 처리방침」 이라는 이름 그대로 보이게 합니다. 둘째, 문의 폼의 동의 체크는 필수 동의와 마케팅 수신 동의를 따로 나누고, 마케팅 체크는 미리 체크해 두지 않습니다. 셋째, 폼에서 실제로 쓰지 않는 칸(생년월일, 주소 등)은 뺍니다 — 받지 않은 정보는 파기할 일도, 유출될 일도 없습니다. 넷째, 사이트에 태그를 더할 때마다 처리방침도 같이 고치는 것을 작업 목록에 넣습니다. 리뉴얼 견적을 받을 때 이 네 가지가 작업 범위에 들어 있는지 확인해 보시길 권합니다.

이 글은 일반 정보입니다. 개별 제품 · 계약은 담당 기관이나 전문가에게 확인하세요.

자주 묻는 질문

직원 몇 명뿐인 쇼핑몰도 개인정보 처리방침이 꼭 있어야 하나요?

네. 업무를 목적으로 고객 개인정보를 처리하면 개인정보처리자에 해당하고, 처리방침을 정해 홈페이지에 공개해야 합니다(법 제30조, 시행령 제31조). 정하지 않거나 공개하지 않으면 1천만원 이하의 과태료 대상입니다.

매출 10% 과징금은 모든 위반에 붙나요?

아닙니다. 일반적인 과징금 상한은 전체 매출액의 3%이고, 10%는 3년 안에 고의 · 중과실로 같은 위반을 반복한 경우, 고의 · 중과실로 피해 규모 1천만명 이상, 시정조치 명령 불이행으로 생긴 유출처럼 법이 정한 경우에만 적용됩니다(제64조의2 제2항).

개인정보 보호책임자를 따로 두지 않으면 어떻게 되나요?

법은 종업원 수 · 매출액 등 대통령령으로 정하는 기준에 해당하면 책임자를 따로 지정하지 않을 수 있게 하고, 이 경우 사업주 또는 대표자가 개인정보 보호책임자가 된다고 정합니다(제31조 제1항 · 제2항). 처리방침의 책임자 연락처 칸에는 실제로 연락이 닿는 사람과 번호를 적어 두는 것이 좋습니다.

출처

• 개인정보 보호법(법률 제21445호, 2026. 9. 11. 시행) — 국가법령정보센터
• 개인정보 보호법 시행령(2026. 9. 11. 시행) — 국가법령정보센터
• 개인정보 반복·대규모 유출시 '매출액 10%' 내 징벌적 과징금 — 대한민국 정책브리핑
• 이달부터 개인정보 보호 한층 강화 — 대한민국 정책브리핑(2026-09-01)