개인정보처리방침은 코드에서 시작한다

개인정보처리방침을 만들어 달라고 하면 대개 문서부터 연다. 다른 서비스의 방침을 참고하고, 회사명과 이메일을 바꾸고, 우리 서비스에 맞아 보이는 항목을 덧붙인다. 문장은 그럴듯해진다. 정작 서비스가 어떤 정보를 모으는지는 여전히 모른다.

이 문제는 드물지 않다. 개인정보보호위원회가 2025년 50개 서비스를 평가한 결과, 실제 서비스 이용 과정에서 고지되는 처리 목적·항목·보유기간과 처리방침의 일치율은 53%였다. 전년의 28%보다는 나아졌지만, 절반 가까운 내용이 실제 서비스와 맞지 않았다는 뜻이다. 개인정보위 평가 결과

처리방침은 약속문이다. 코드와 운영이 실제로 하는 일을 글로 공개한다. 그래서 방침보다 먼저 읽어야 할 것은 회원가입 화면, 데이터베이스 스키마, 로그 수집 설정, 결제 모듈, 분석 도구, 고객문의 채널이다. 문서가 코드보다 앞서면 약속과 현실이 어긋난다.

법률의 목차는 시스템 조사표다

개인정보 보호법 제30조는 처리 목적, 보유기간, 제3자 제공, 파기, 처리위탁, 정보주체의 권리, 자동수집 장치 등을 처리방침에 담도록 한다. 시행령 제31조는 처리 항목, 국외 이전의 근거와 세부 내용, 안전성 확보조치까지 요구한다.

이 목록은 문서 목차이기 전에 조사 질문이다. 어느 화면과 API에서 무엇을 받는가. 어떤 데이터베이스·로그·파일 저장소에 남는가. 누가 접근할 수 있는가. 외부 사업자에게 어떤 값이 전달되는가. 어느 국가에서 처리되는가. 무엇을 기준으로 언제 삭제되는가.

그러므로 첫 산출물은 처리방침 초안이 아니라 개인정보 처리대장이어야 한다. 기능, 정보주체, 수집 지점, 처리 항목, 목적과 법적 근거, 저장소, 접근자, 수탁자·재수탁자, 이전 국가, 보유기간, 파기 방법, 마지막 검증일을 한 줄로 연결한다.

코드만 읽어서도 부족하다

제목은 “코드에서 시작한다”지만 코드만 읽어서는 처리방침을 만들 수 없다. 회원가입 폼과 데이터베이스 스키마뿐 아니라 인증 사업자, 결제대행사, 분석 SDK, 오류 추적기, 고객문의 메일, CRM, 운영자가 내려받은 CSV, 협업 도구, 백업과 관리자 화면까지 봐야 한다. 개인정보는 애플리케이션 코드 밖에서도 복제되고 전달된다.

확인은 네 방향으로 하면 된다. 어디서 들어오는가. 어디에 남는가. 누구에게 넘어가는가. 어떻게 없어지는가. 이 네 질문에 답하지 못한 칸이 처리방침의 빈칸이 된다.

여기서부터 개인정보 작업은 법률 문구를 고르는 일이 아니라 시스템의 모순을 고치는 일이 된다. 목적이 없는 로그는 줄이고, 사용하지 않는 입력 항목은 없애고, 삭제할 수 없는 저장소에는 삭제 경로를 만들어야 한다.

개인정보 보호법 제21조는 개인정보가 불필요해지면 지체 없이 파기하고 복구·재생되지 않도록 조치하도록 정한다. “탈퇴 시 삭제합니다”라는 문구만 있고 실제 삭제 경로가 없다면 문장보다 시스템을 먼저 고쳐야 한다.

처리방침은 출시 절차에 들어가야 한다

서비스는 계속 바뀐다. 소셜 로그인을 붙이고, 결제사를 바꾸고, 상담 챗봇을 추가하고, 로그 필드를 늘리고, 분석 SDK를 교체한다. 기능 변경이 곧 데이터 흐름 변경일 수 있다.

2026년 개인정보위 작성지침은 처리방침과 실제 처리 현황을 일치시키고 정확성·투명성·최신성을 유지하라고 안내한다. 신규 서비스를 도입하거나 기존 서비스를 변경할 때 개인정보 보호책임자에게 사전 통보하는 내부 절차도 권고한다.

실무에서는 기능 출시 전에 다섯 가지를 확인하면 된다.

• 새로 받거나 생성하는 개인정보가 있는가.
• 새 저장소·수탁자·재수탁자·처리 국가가 생겼는가.
• 목적과 보유기간이 달라졌는가.
• 열람·정정·삭제 요청을 실제로 처리할 수 있는가.
• 처리대장과 처리방침에서 바뀌어야 할 줄은 어디인가.

2025년 평가에서도 서비스 도입·변경 시 개인정보 처리 승인 절차를 둔 기업이 처리방침과 실제 처리의 정합성을 높인 사례로 소개됐다. 문서를 출시 후에 고치는 대신 데이터 흐름 변경을 출시 조건으로 다룬 것이다.

처리방침 자체도 제품 화면이다. 2026 지침은 로그인하지 않아도 확인할 수 있어야 하며, 모바일 앱에서는 첫 화면에서 세 단계 이상 거치지 않는 경로를 권고한다. 이전 버전과 적용기간을 보존하고, 중요한 변경은 전후 비교표로 알려야 한다.

AI에서는 프롬프트도 데이터 흐름이다

AI 기능을 붙이면 조사 범위가 넓어진다. 사용자가 입력한 문장뿐 아니라 문서·이미지·음성·첨부파일, 생성된 결과물, 이용기록까지 처리 대상이 될 수 있다.

프롬프트와 첨부파일을 저장하는지, 답변 생성 뒤 파기하는지, 서비스 제공과 품질 개선의 보유기간이 다른지 확인해야 한다. 입력을 자체 모델이나 외부 사업자의 모델 학습에 쓰는지, 외부 AI API로 어떤 값이 전송되는지, 사용자가 학습 활용을 거부하거나 대화를 삭제할 수 있는지도 따로 봐야 한다.

개인정보위의 생성형 AI 개인정보 처리 안내서는 목적 설정부터 학습·개발, 배포, 정보주체 권리 보장까지 수명주기 전체를 확인하도록 한다. 2026 처리방침 작성지침에는 AI 입력·결과물, 외부 모델 위탁, 국외 이전, 학습 활용 여부를 다루는 별도 부록도 신설됐다.

외부 AI 사업자가 자사 서비스의 답변 생성을 대신한다면 처리위탁에 가까울 수 있다. 외부 제휴사가 자기 서비스 제공을 위해 정보를 저장·이용한다면 제3자 제공에 가까울 수 있다. 이름만 보고 판단할 수 없고, 데이터가 어디로 가서 누구의 목적으로 쓰이는지를 확인해야 한다. 개인정보 보호법 제26조는 위탁업무와 수탁자·재수탁자의 공개와 감독을 요구한다.

해외 AI나 클라우드로 개인정보를 보내는 경우에는 수탁사 이름만 적어서도 부족하다. 이전 국가, 시기와 방법, 이전받는 자, 목적, 보유기간, 거부 방법과 효과까지 실제 계약과 설정을 확인해야 한다. 개인정보 보호법 제28조의8

처리방침은 데이터 흐름의 배포본이다

영국 개인정보 감독기관 ICO도 개인정보 안내문을 쓰기 전에 정보감사와 데이터 매핑으로 무엇을 보유하고 어디에서 왔으며 누구와 공유하고 얼마나 보관하는지 먼저 확인하라고 안내한다. ICO 데이터 매핑 지침

처리방침을 독립된 문서로 보면 출시 때 한 번 쓰고 잊는다. 개인정보 처리대장의 공개용 배포본으로 보면 기능·수탁자·저장소가 바뀔 때 함께 바뀐다. 문서에서 답하지 못한 칸은 문장 문제가 아니라 시스템의 미확인 영역이다.

이 글은 제품·개발·운영 관점의 일반적인 해설이며 법률 자문이 아닙니다. 구체적인 적법 근거, 민감정보, 아동 정보, 처리위탁·제3자 제공 및 국외 이전 판단은 현재 서비스 구조와 계약을 기준으로 별도 검토해야 합니다. 법령과 안내서는 2026년 8월 8일 확인했습니다.