[개인정보 01] 개인정보처리방침 만들기｜소상공인 의무·필수 기재사항·공개 방법

이 포스팅은 쿠팡 파트너스 활동의 일환으로, 이에 따른 일정액의 수수료를 제공받습니다.

※ 2026년 10월 20일 기준 (처음 작성 2026년 9월 20일) (2026년 10월 20일에 고친 내용: 소상공인 정의에 매출 기준(소기업) 요건을 더했고, 홈페이지에 게재할 수 없을 때의 공개 방법 설명을 시행령 제31조 제3항 원문에 맞게 바로잡았으며, 법정 14항목 작성 서식과 가상 가게 작성 예시를 추가했습니다.)

손님 전화번호를 받아 예약을 잡거나, 배달 주소를 적어두거나, 직원 이력서를 보관하고 있다면 이미 개인정보처리자입니다. 회사 규모와 상관없습니다. 그리고 개인정보처리자는 개인정보처리방침을 만들어 공개해야 합니다.

“우리 같은 작은 가게도?” 하는 의문이 드는 지점입니다. 법에는 매출이나 직원 수로 개인정보처리방침 의무를 면해 주는 규정이 없습니다. 다만 개인정보 보호책임자는 소상공인에게 예외가 있습니다. 이 둘을 섞어서 “소상공인은 안 해도 된다”고 잘못 이해하기 쉽습니다. 게다가 소상공인인지 여부는 근로자 수만이 아니라 매출 기준(소기업 요건)까지 함께 봅니다.

이 글에서는 처리방침에 무엇을 적어야 하는지, 홈페이지가 없으면 어디에 붙여야 하는지, 안 하면 얼마를 무는지를 법령 원문과 함께 정리합니다. 소상공인 보호책임자 기준은 매출 요건까지 포함해 다시 정리했고, 14개 법정 항목을 순서대로 채우는 직접 만든 작성 서식과 가상 가게를 가정한 작성 예시를 붙였습니다.

한눈에 보기

항목	내용
누가	개인정보를 처리하는 모든 사업자 (규모 무관)
무엇을	열네 가지 중 무조건 7개 항목 + 해당될 때만 7개
어디에	홈페이지에 지속적으로 게재
홈페이지가 없으면	사업장 보기 쉬운 곳에 게시 등 4가지 중 하나 이상
안 하면	1천만원 이하 과태료
보호책임자	소상공인(소기업이면서 근로자 수 기준 충족)은 지정 안 해도 됨, 대표가 자동으로 보호책임자. 소상공인이 아니면 지정해야 함
이 글의 자료	법정 14항목 작성 서식(빈칸)과 가상 가게 작성 예시 (“양식은 어디서 받나” 부분)
근거	개인정보 보호법 제30조·제31조, 시행령 제31조·제32조, 소상공인기본법 제2조

목차

• 우리 가게도 만들어야 하나
• 무조건 들어가야 하는 7가지
• 어디에 어떻게 공개하나
• 개인정보 보호책임자 — 소상공인은 대표가 자동
• 안 만들면 얼마를 무나
• 개인정보처리방침 만들기 — 양식은 어디서 받나

우리 가게도 만들어야 하나

개인정보처리방침 만들기 의무의 출발점부터 보겠습니다. 「개인정보 보호법」 제30조 제1항은 이렇게 시작합니다.

개인정보처리자는 다음 각 호의 사항이 포함된 개인정보의 처리 방침(이하 “개인정보 처리방침”이라 한다)을 정하여야 한다.

주어가 “개인정보처리자”입니다. 매출액이나 직원 수 조건이 붙어 있지 않습니다. 그 개인정보처리자가 누구인지는 법 제2조 제5호가 정합니다.

“개인정보처리자”란 업무를 목적으로 개인정보파일을 운용하기 위하여 스스로 또는 다른 사람을 통하여 개인정보를 처리하는 공공기관, 법인, 단체 및 개인 등을 말한다.

마지막에 “개인”이 들어 있습니다. 법인이 아니어도, 직원이 없어도 대상입니다.

실제로 걸리는 경우를 보면 이렇습니다.

• 전화나 앱으로 예약을 받으면서 이름과 연락처를 적어둔다
• 배달을 위해 주소와 전화번호를 받는다
• 온라인 판매를 하면서 주문자 정보를 받는다
• 직원 이력서나 근로계약서를 보관한다
• 매장에 CCTV를 달아두었다

이 중 하나라도 해당하면 대상입니다. 종이에 적어두든 엑셀에 적어두든 마찬가지입니다.

무조건 들어가야 하는 7가지

처리방침에 적을 사항은 두 군데에 나뉘어 있습니다. 「개인정보 보호법」 제30조 제1항은 제1호부터 제8호까지(제3호의2·제3호의3·제4호의2를 합쳐 열한 개 호)를 두고, 그 마지막 제8호가 나머지를 시행령으로 넘깁니다. 「개인정보 보호법 시행령」 제31조 제1항이 네 가지를 더 정합니다. 시행령으로 넘기는 제8호를 빼면 법에 직접 열 가지, 시행령에 네 가지로 모두 열네 가지이고, 그중 일곱 가지는 조건 없이 무조건 들어갑니다.

무조건 들어가는 7가지	근거
개인정보의 처리 목적	법 제30조①1
개인정보의 처리 및 보유 기간	법 제30조①2
파기절차 및 파기방법 (다른 법령에 따라 보존해야 하는 경우에는 그 보존근거와 보존하는 항목 포함)	법 제30조①3의2
정보주체와 법정대리인의 권리·의무 및 행사방법	법 제30조①5
개인정보 보호책임자 성명 또는 부서 명칭과 연락처	법 제30조①6
처리하는 개인정보의 항목	영 제31조①1
안전성 확보 조치에 관한 사항	영 제31조①3

나머지 일곱 가지는 해당될 때만 적습니다. 조문에 “해당되는 경우에만 정한다”라고 괄호로 붙어 있는 것들입니다.

해당될 때만 적는 7가지	근거
제3자 제공에 관한 사항	법 제30조①3
민감정보의 공개 가능성과 비공개 선택 방법	법 제30조①3의3
개인정보 처리의 위탁에 관한 사항	법 제30조①4
가명정보 처리에 관한 사항	법 제30조①4의2
쿠키 등 자동 수집 장치의 설치·운영과 거부 방법	법 제30조①7
개인정보의 국외 이전	영 제31조①2
국외에서 국내 정보주체의 개인정보를 직접 수집하는 경우 그 국가명	영 제31조①4

작은 가게에서 빠뜨리기 쉬운 것이 위탁입니다. 배달대행사에 주소를 넘기거나, 예약 앱·포스·문자 발송 업체를 쓰고 있다면 위탁에 해당할 수 있습니다. 쓰고 있는 외부 서비스를 먼저 적어보는 편이 빠릅니다. 위탁할 때는 위탁 업무 수행 목적 외 처리 금지와 보호조치에 관한 사항을 넣은 문서로 해야 하고(법 제26조 제1항), 위탁하는 업무의 내용과 수탁자를 정보주체가 언제든지 쉽게 확인할 수 있게 공개해야 합니다(같은 조 제2항). 이를 어기면 각각 1천만원 이하의 과태료 대상입니다(법 제75조 제4항 제4호·제5호). 위탁과 제3자 제공을 어떻게 가르는지는 개인정보 제3자 제공과 처리위탁 차이에 정리했습니다.

어디에 어떻게 공개하나

처리방침은 공개까지 해야 끝납니다. 만들어 놓고 서랍에 두면 안 됩니다. 법 제30조 제2항은 “정보주체가 쉽게 확인할 수 있도록” 공개하라고 하고, 방법은 시행령 제31조가 정합니다.

홈페이지가 있으면 — 시행령 제31조 제2항입니다.

개인정보처리자는 … 개인정보 처리방침을 개인정보처리자의 인터넷 홈페이지에 지속적으로 게재하여야 한다.

“지속적으로”입니다. 공지사항에 한 번 올리고 내리는 것이 아니라, 항상 볼 수 있는 자리에 두어야 합니다. 화면 맨 아래(푸터)에 링크를 두는 방식이 한 예입니다.

홈페이지에 게재할 수 없으면(홈페이지가 없는 가게 등) — 같은 조 제3항이 네 가지를 주고, 하나 이상만 하면 됩니다.

1. 사업장 등의 보기 쉬운 장소에 게시하는 방법
2. 사업장 등이 있는 시·도 이상의 지역을 주된 보급지역으로 하는 일반일간신문·일반주간신문 또는 인터넷신문에 싣는 방법 (조문에는 관보도 있지만 공공기관인 경우만 해당하므로 민간 사업자와는 관계없습니다)
3. 같은 제목으로 연 2회 이상 발행하여 정보주체에게 배포하는 간행물·소식지·홍보지 또는 청구서 등에 지속적으로 싣는 방법
4. 재화나 서비스를 제공하기 위하여 작성한 계약서 등에 실어 발급하는 방법

오프라인 가게라면 1번이 가장 현실적입니다. 계산대 옆이나 출입구처럼 손님 눈에 들어오는 자리에 붙여 두면 됩니다.

개인정보 보호책임자 — 소상공인은 대표가 자동

개인정보 보호책임자는 헷갈리기 쉬운 부분이라 따로 정리합니다.

「개인정보 보호법」 제31조 제1항은 보호책임자를 지정하라고 하면서 단서를 답니다.

다만, 종업원 수, 매출액 등이 대통령령으로 정하는 기준에 해당하는 개인정보처리자의 경우에는 지정하지 아니할 수 있다.

그 기준을 시행령 제32조 제1항이 이렇게 못 박습니다.

「소상공인기본법」 제2조제1항에 따른 소상공인에 해당하는 개인정보처리자를 말한다.

그리고 지정하지 않으면 어떻게 되는지는 법 제31조 제2항이 정합니다.

제1항 단서에 따라 개인정보 보호책임자를 지정하지 아니하는 경우에는 개인정보처리자의 사업주 또는 대표자가 개인정보 보호책임자가 된다.

정리하면 이렇습니다. 소상공인에 해당하면 따로 누군가를 지정할 필요가 없고, 대표가 자동으로 보호책임자가 됩니다. 지정 의무가 없는 것이지 보호책임자가 없는 것이 아닙니다. 그래서 처리방침에는 대표 이름과 연락처를 보호책임자 항목으로 적으면 됩니다. 소상공인에 해당하지 않으면 사정이 달라지므로, 아래에서 소상공인인지부터 확인하세요.

소상공인 기준은 「소상공인기본법」 제2조 제1항과 같은 법 시행령 제3조 제1항에 있습니다. 법은 소상공인을 「중소기업기본법」 제2조 제2항에 따른 소기업 중 상시 근로자 수가 10명 미만이면서 업종별 상시 근로자 수 기준에도 맞는 자로 정합니다. 즉 소기업이어야 하고(매출 요건), 근로자 수 기준도 맞아야 합니다. 근로자 수 기준은 시행령 제3조 제1항이 이렇게 정합니다.

업종	상시 근로자 수
광업·제조업·건설업·운수업	10명 미만
그 밖의 업종 (음식점, 소매, 서비스 등)	5명 미만

소상공인이 되려면 소기업이어야 합니다 (매출 요건)

소기업인지는 「중소기업기본법 시행령」 제8조 제1항이 정합니다. 중소기업 중 주된 업종별 평균매출액등이 같은 시행령 별표 3의 기준에 맞는 기업이 소기업입니다. 그 앞 단계인 중소기업이 되려면 업종별 매출 기준(별표 1)과 자산총액 5천억원 미만, 소유와 경영의 독립성 요건도 갖춰야 합니다(같은 시행령 제3조 제1항). 업종별 매출 상한 금액은 별표에 있는데, 별표의 숫자는 확인하지 못해 이 글에 싣지 않았습니다. 우리 업종의 소기업 기준은 중소벤처기업부나 소상공인시장진흥공단 안내에서 직접 확인하시기 바랍니다. 주된 업종은 업종별 매출 비중이 가장 큰 업종으로 봅니다(「중소기업기본법 시행령」 제4조 제1항, 소상공인기본법 시행령 제3조 제2항에서 준용).

상시 근로자는 이렇게 셉니다

상시 근로자는 「근로기준법」 제2조 제1항 제1호의 근로자 중 아래에 해당하는 사람을 뺀 사람입니다(「소상공인기본법 시행령」 제3조 제3항).

• 임원, 그리고 「소득세법 시행령」 제20조 제1항의 일용근로자
• 3개월 이내의 기간을 정해 일하는 사람
• 인정받은 기업부설연구소 또는 연구개발전담부서의 연구전담요원
• 1개월 동안의 소정근로시간이 60시간 미만인 단시간근로자

수는 같은 조 제4항으로 산정합니다. 직전 사업연도의 사업기간이 12개월이면 직전 사업연도 매월 말일 현재의 상시 근로자 수를 합해 12로 나눈 인원입니다. 이때 단시간근로자로서 1개월 소정근로시간이 60시간 이상인 사람은 1명을 0.5명으로 칩니다. 창업·합병·분할한 지 12개월이 안 된 경우의 계산법은 같은 항 제2호에 따로 있습니다.

계산 예시 두 가지 (모두 가정)

아래는 예시이고 숫자는 모두 가정한 값입니다. 직전 사업연도가 12개월이고, 소기업(매출) 요건은 충족하며, 음식점처럼 근로자 수 기준이 “5명 미만”인 업종이라고 봅니다.

예시 1. 정규직 3명이 1년 내내 일하고, 월 소정근로시간 80시간인 단시간근로자 1명이 3월부터 12월까지 일하며, 월 소정근로시간 40시간인 아르바이트 2명이 있습니다. 40시간짜리는 60시간 미만이므로 뺍니다.

기간	개월 수	매월 말 상시 근로자 수	인원 합계
1~2월	2	정규직 3명 = 3.0명	6.0
3~12월	10	정규직 3명 + 단시간 1명 × 0.5 = 3.5명	35.0
합계	12		41.0

41.0 ÷ 12 = 약 3.42명으로 5명 미만입니다. 이 가게는 근로자 수 요건을 충족합니다.

예시 2. 정규직 4명과, 월 소정근로시간 80시간인 단시간근로자 2명이 1년 내내 일합니다. 매월 말 상시 근로자 수는 4 + 2 × 0.5 = 5.0명이고, 12개월 합계 60.0을 12로 나누면 5.0명입니다. 5명 미만이 아니므로 음식점이라면 근로자 수 요건을 충족하지 못합니다.

판단표 — 두 요건을 함께 보면

소기업 요건(매출)	근로자 수 요건	소상공인	보호책임자
충족	충족	해당	지정하지 않아도 되고 대표가 자동으로 보호책임자
충족	초과	해당 안 됨	지정해야 함
미충족	충족	해당 안 됨	지정해야 함
미충족	초과	해당 안 됨	지정해야 함

소상공인이 아니라면 보호책임자를 지정해야 합니다. 지정은 사업주 또는 대표자, 또는 임원(임원이 없으면 개인정보 처리 업무를 맡은 부서의 장) 중에서 합니다(시행령 제32조 제2항 제2호). 대표자가 직접 맡아도 됩니다. 한편 규모가 커져 소상공인에 해당하지 않게 된 경우에도 그 사유가 생긴 해의 다음 해부터 3년간은 소상공인으로 봅니다(「소상공인기본법」 제2조 제2항, 다른 기업과의 합병 등은 예외).

2026년 9월 11일 시행 개정에서 달라진 점. 법 제31조에 제3항이 새로 생겼습니다(2026. 3. 10. 개정). 매출액·개인정보 보유 규모 등이 시행령 제32조 제3항 기준에 해당하는 개인정보처리자는 보호책임자를 지정·변경·해제할 때 이사회 의결(법인인 경우)을 거치고 개인정보보호위원회에 신고해야 합니다. 시행령 기준은 연간 매출액등 1,800억원 초과이면서 민감정보·고유식별정보 5만명 이상 또는 개인정보 100만명 이상을 처리하는 곳, 재학생 2만명 이상 대학, 상급종합병원, 공공시스템운영기관 등입니다. 동네 가게와는 거리가 멉니다. 처리방침의 기재 항목을 정한 법 제30조 제1항은 개정 표시상 마지막 개정이 2023년, 시행령 제31조 제1항은 2024년이어서 이번 개정으로 기재 항목이 바뀐 것은 없습니다.

안 만들면 얼마를 무나

처리방침을 만들지 않거나 공개하지 않으면 과태료 대상입니다. 근거는 「개인정보 보호법」 제75조 제4항 제8호입니다.

제30조제1항 또는 제2항 … 을 위반하여 개인정보 처리방침을 정하지 아니하거나 이를 공개하지 아니한 자

1천만원 이하의 과태료입니다. 만들지 않은 것도, 만들고 공개하지 않은 것도 같은 호에 걸립니다.

보호책임자 쪽은 액수가 다릅니다. 지정 의무가 있는데 지정하지 않으면 법 제75조 제2항 제14호의2에 따라 3천만원 이하의 과태료입니다. 앞에서 본 대로 소상공인에 해당하면 지정 의무 자체가 없으므로 이 조항에 걸리지 않습니다. 반대로 소기업이 아니거나 근로자 수 기준을 넘어 소상공인이 아니라면 지정 의무가 있으니 이 조항 대상이 될 수 있습니다.

개인정보처리방침 만들기 — 양식은 어디서 받나

처음부터 직접 쓸 필요는 없습니다. 법 제30조 제4항이 개인정보보호위원회에 작성지침을 정할 근거를 주고 있고, 실제로 공개되어 있습니다.

• 「개인정보 처리방침 표준(안)」 — 빈칸을 채우는 형태의 표준 양식입니다 (목록 표기 2026년 2월판, 2026년 7월 24일 파일 수정 게시)
• 「개인정보 처리방침 작성지침」 — 항목별로 무엇을 어떻게 쓰는지 설명합니다 (2026년 4월 개정)
• 「개인정보 보호책임자 지정·신고 실무 매뉴얼」 — 보호책임자 관련 실무를 다룹니다 (2026년 9월판)

세 가지 모두 개인정보보호위원회 홈페이지 정책·법령 > 법령정보 > 안내서에 올라와 있습니다. 표준(안)을 내려받아 우리 가게 내용으로 바꾸는 것이 가장 빠릅니다.

바꿔야 하는 곳은 정해져 있습니다.

1. 상호와 대표자 이름
2. 실제로 받는 개인정보 항목 (이름, 연락처, 주소 중 받는 것만)
3. 받는 목적과 보유 기간
4. 외부에 맡기는 업무가 있으면 위탁업체 이름과 위탁 내용
5. 보호책임자 이름과 연락처 (소상공인은 대표)
6. 시행 날짜

남의 회사 방침을 그대로 복사해 상호만 바꾸면 안 됩니다. 실제로 받지 않는 항목이 적혀 있거나, 우리가 쓰지 않는 위탁업체가 남아 있으면 내용이 사실과 달라집니다.

직접 만든 작성 서식 — 법정 14항목 빈칸 양식

아래 서식은 이 글에서 직접 만든 빈칸 양식입니다. 개인정보보호위원회 표준(안)을 대신하는 것이 아니라, 앞에서 본 열네 가지를 빠뜨리지 않도록 법 제30조 제1항의 호 순서대로, 이어서 시행령 제31조 제1항의 순서대로 늘어놓은 점검용 틀입니다. ○○ 자리에 우리 가게 내용을 넣고, 해당 없는 항목은 “해당 없음”이라고 쓰거나 지웁니다. 실제로 공개할 문구는 표준(안)·작성지침과 대조해 완성하세요.

순서	항목	빈칸 문장	근거
1	처리 목적 (필수)	우리 가게는 ○○(예: 예약 확인, 주문 상품 배송)을 위해 개인정보를 처리합니다.	법 제30조 제1항 제1호
2	처리 및 보유 기간 (필수)	○○ 정보는 ○○(기간 또는 기준)까지 보유하고, 그 뒤에는 파기합니다. 다른 법령에 따라 보존하는 정보는 그 기간과 법령 이름을 함께 적습니다.	제2호
3	제3자 제공 (해당 시)	제공받는 자 ○○ / 제공받는 자의 이용 목적 ○○ / 제공 항목 ○○ / 제공받는 자의 보유·이용 기간 ○○. 제공하지 않으면 “제3자에게 제공하지 않습니다”라고 씁니다.	제3호 (동의받을 때 알릴 사항은 법 제17조 제2항)
4	파기절차 및 파기방법 (필수)	파기 절차: ○○. 파기 방법: 전자 파일은 복원이 불가능한 방법으로 영구 삭제하고, 종이 서류는 파쇄 또는 소각합니다. 다른 법령에 따라 보존하는 경우 그 근거 ○○와 보존하는 항목 ○○를 적습니다.	제3호의2, 시행령 제16조 제1항, 법 제21조 제1항 단서
5	민감정보의 공개 가능성 및 비공개 선택 방법 (해당 시)	해당 없음. (민감정보가 공개될 수 있는 서비스를 제공하면 공개 가능성과 비공개를 선택하는 방법을 적습니다.)	제3호의3, 법 제23조 제3항
6	처리 위탁 (해당 시)	수탁자 ○○ / 위탁하는 업무 ○○. 위탁하지 않으면 “위탁하지 않습니다”라고 씁니다.	제4호, 법 제26조 제1항·제2항
7	가명정보 처리 (해당 시)	해당 없음.	제4호의2, 법 제28조의2·제28조의3
8	정보주체와 법정대리인의 권리·의무 및 행사방법 (필수)	손님은 자신의 개인정보에 대해 열람, 정정·삭제, 처리정지, 동의 철회를 요구할 수 있습니다. 요구 방법: ○○(전화·이메일·방문 중 실제로 받는 방법). 대리인이나 만 14세 미만 아동의 법정대리인을 통한 요구도 받습니다. 요구 거절 등에 불복하는 경우 이의를 제기하는 방법: ○○.	제5호, 법 제35조~제38조
9	개인정보 보호책임자 (필수)	개인정보 보호책임자: ○○○(대표자) / 연락처: ○○	제6호, 법 제31조 제2항
10	자동 수집 장치 (해당 시)	홈페이지에서 인터넷 접속정보파일(쿠키 등)처럼 개인정보를 자동으로 수집하는 장치를 설치·운영하면 그 내용과 거부 방법을 적습니다. 없으면 “해당 없음”.	제7호
11	처리하는 개인정보의 항목 (필수)	○○할 때: ○○(예: 이름, 연락처). 실제로 받는 항목만 적습니다.	시행령 제31조 제1항 제1호
12	국외 이전 (해당 시)	해당 없음. (국외로 이전하면 이전의 근거와 법 제28조의8 제2항 각 호의 사항을 적습니다.)	제2호
13	안전성 확보 조치 (필수)	우리 가게가 실제로 하는 조치: ○○(예: 취급자 제한, 파일 암호 설정, 보안 프로그램 설치·갱신, 서류 잠금 보관).	제3호, 시행령 제30조
14	국외에서 직접 수집 (해당 시)	해당 없음. (국외에서 국내 정보주체의 개인정보를 직접 수집하면 처리하는 국가명을 적습니다.)	제4호

시행일(○○년 ○월 ○일)과 바뀐 날짜를 문서 맨 위나 아래에 적어 두면 관리하기 좋습니다. 법정 기재 항목은 아니지만, 내용이 바뀌면 다시 공개해야 하기 때문입니다(법 제30조 제2항). 안전성 확보 조치의 세부 기준은 개인정보보호위원회 고시로 정해집니다(시행령 제30조 제3항).

작성 예시 — 가상의 꽃집 (예시)

아래는 예시입니다. “예시꽃집”은 이 글을 위해 지어낸 가상의 가게이고, 이름·연락처·업체는 모두 가정한 값입니다. 가정은 이렇습니다. 홈페이지는 없고, 전화와 문자로 예약·주문을 받고, 택배로 보내고, 예약 안내 문자를 문자 발송 업체로 보내고, 직원이 2명 있고, 개인정보를 해외로 보내지 않습니다. 그대로 베껴 쓰지 말고 실제 사정에 맞게 고치세요.

항목	예시꽃집의 문구 (가상)
처리 목적	① 예약 확인과 수령 일정 연락 ② 주문 상품 제작과 배송 ③ 직원 근로계약 체결, 급여 지급과 근로관계 서류 관리
처리하는 항목	손님: 이름, 연락처, (배송 주문 시) 배송지 주소, 주문 내용. 직원: 이름, 연락처, 근로계약서와 임금대장에 적힌 정보
보유 기간	예약 정보: 상품 수령이 끝나면 지체 없이 파기(법 제21조 제1항). 주문·결제·배송 기록: 계약 또는 청약철회 등에 관한 기록과 대금결제 및 재화 공급에 관한 기록은 5년, 소비자 불만·분쟁처리 기록은 3년(전자상거래법 시행령 제6조 제1항 제2호~제4호). 직원 근로계약서: 근로관계가 끝난 날부터 3년(근로기준법 제42조, 같은 법 시행령 제22조 제2항 제2호). 임금대장 등 다른 서류는 같은 항에서 기산일을 따로 정합니다
제3자 제공	손님과 직원의 개인정보를 제3자에게 제공하지 않습니다.
파기 절차와 방법	보유 기간이 끝나거나 목적을 이룬 정보는 지체 없이 파기합니다. 엑셀 파일과 메신저 기록은 복원할 수 없도록 영구 삭제하고, 종이 서류는 파쇄합니다.
민감정보·가명정보	처리하지 않습니다(해당 없음).
위탁	수탁자: 예시문자(가상) / 위탁 업무: 예약 안내 문자 발송
정보주체의 권리	열람, 정정·삭제, 처리정지, 동의 철회는 전화 010-0000-0000(예시) 또는 가게 방문으로 요구할 수 있습니다. 요구에 대한 거절 등에 불복하면 같은 연락처로 이의를 제기할 수 있습니다.
보호책임자	대표자 ○○○(예시) / 010-0000-0000(예시)
자동 수집 장치	홈페이지가 없어 해당 없음.
국외 이전·국외 직접 수집	해당 없음.
안전성 확보 조치	개인정보를 다루는 사람을 대표와 직원 2명으로 제한, 예약·주문 엑셀 파일에 비밀번호 설정, 업무용 컴퓨터에 보안 프로그램 설치·갱신, 종이 서류는 잠금장치가 있는 서랍에 보관 (실제로 하는 조치만 적습니다)
시행일과 공개	시행일 2026년 ○월 ○일(예시). 계산대 옆에 게시합니다(시행령 제31조 제3항 제1호).

배송 택배사를 위탁으로 적을지 제3자 제공으로 적을지는 계약 내용에 따라 달라질 수 있어 이 예시에서는 문자 발송 업체만 적었습니다. 전화·문자 주문이 전자상거래법의 통신판매에 해당하는지에 따라 5년·3년 보존 대상인지가 달라질 수 있으니 우리 가게 경우를 확인하세요. 소상공인이 아닌 가게라면 보호책임자 칸에 지정한 사람의 이름과 연락처(사업주·대표자 또는 임원)를 적습니다.

참고로 개인정보보호위원회는 처리방침을 평가해 개선을 권고할 수 있습니다(법 제30조의2). 평가 대상은 매출액 규모, 처리하는 개인정보의 유형과 규모 등을 종합적으로 고려해 선정합니다(시행령 제31조의2 제1항).

자주 묻는 질문

직원 없이 혼자 하는데도 만들어야 하나요?

네. 법 제30조 제1항의 주어는 “개인정보처리자”이고 인원 조건이 없습니다. 손님 연락처를 받아 적는 순간 대상입니다. 다만 소상공인(소기업이면서 근로자 수 기준을 충족하는 경우)이라면 보호책임자를 따로 지정할 필요는 없고 대표가 자동으로 보호책임자가 됩니다.

홈페이지가 없는데 어떻게 공개하나요?

시행령 제31조 제3항이 인터넷 홈페이지에 게재할 수 없는 경우에 네 가지 방법을 주고, 그중 하나 이상만 하면 됩니다. 오프라인 가게라면 사업장의 보기 쉬운 장소에 게시하는 1번이 가장 간단합니다. 계산대 옆이나 출입구처럼 손님 눈에 들어오는 자리에 두면 됩니다.

만든 방침을 정부에 신고해야 하나요?

민간 사업자는 신고하거나 제출할 곳이 없습니다. 「개인정보 보호법」 제32조 제1항이 등록 의무를 정하고 있는데, 그 주어가 “공공기관의 장”입니다. 민간은 대상이 아닙니다. 만들어서 정보주체가 볼 수 있게 공개해 두는 것까지가 할 일입니다.

스마트스토어나 배달앱으로만 파는데도 필요한가요?

플랫폼이 자기 방침을 갖고 있는 것과, 내가 받은 개인정보를 내가 어떻게 처리하는지는 다른 문제입니다. 주문자 정보를 받아 배송하고 보관한다면 내 처리방침이 필요합니다. 다만 플랫폼이 어디까지 처리하고 내가 어디부터 처리하는지는 사업 형태마다 다르므로, 애매하면 개인정보보호위원회나 개인정보 포털에 확인하시기 바랍니다. (판매 채널을 고르는 단계라면 스마트스토어·쿠팡·자사몰 비교 글을 함께 보시면 도움이 됩니다.)

개인 손님 없이 거래처만 상대하는데도 필요한가요?

필요합니다. 법 제2조 제1호는 개인정보를 “살아 있는 개인에 관한 정보“로 정의하고, 성명 등으로 개인을 알아볼 수 있는 정보를 포함합니다. 거래처 담당자의 이름과 연락처도 개인정보입니다. 명함을 받아 연락처를 저장해 두고 있다면 대상입니다.

내용이 바뀌면 다시 올려야 하나요?

네. 법 제30조 제2항이 “수립하거나 변경하는 경우”를 함께 적고 있습니다. 받는 항목이 늘거나 위탁업체가 바뀌면 방침도 고쳐서 다시 공개해야 합니다. 시행일을 적어두고, 바뀐 날짜를 남겨 두면 관리가 편합니다.

CCTV만 있는데도 처리방침이 필요한가요?

영상도 개인정보입니다. 다만 고정형 영상정보처리기기에는 안내판 설치 같은 별도 의무가 따로 있습니다. CCTV만 운영하는 경우와 다른 개인정보를 함께 처리하는 경우가 달라질 수 있으니, 매장 상황을 정리해 개인정보 포털에 확인하시는 편이 확실합니다.

처리방침과 동의서는 같은 건가요?

다릅니다. 동의서는 개인정보를 받을 때 정보주체에게 받는 것이고, 처리방침은 내가 개인정보를 어떻게 다루는지 미리 공개해 두는 문서입니다. 동의를 받았다고 처리방침을 안 만들어도 되는 것이 아닙니다.

방침 내용과 계약서 내용이 다르면 어느 쪽이 맞나요?

법 제30조 제3항에 답이 있습니다. 처리방침과 계약 내용이 다르면 정보주체에게 유리한 것을 적용합니다.

함께 보면 좋은 글

• [사업자 시작 01] 개인사업자 사업자등록 방법｜홈택스 신청부터 준비서류까지
• [직원 채용 01] 첫 직원 채용 방법｜근로계약서·4대보험·급여 준비까지
• [온라인 판매 시작 01] 스마트스토어 vs 쿠팡 vs 자사몰｜처음 판매할 때 어디서 시작할까?

참고 자료

• 국가법령정보센터, 개인정보 보호법 (제2조 정의, 제17조 개인정보의 제공, 제21조 개인정보의 파기, 제23조 민감정보의 처리 제한, 제26조 업무위탁, 제30조 처리방침의 수립 및 공개, 제30조의2 평가 및 개선권고, 제31조 보호책임자의 지정, 제32조 개인정보파일의 등록 및 공개, 제35조~제38조 정보주체의 권리, 제75조 과태료)
• 국가법령정보센터, 개인정보 보호법 시행령 (제16조 개인정보의 파기방법, 제30조 안전성 확보 조치, 제31조 처리방침의 내용 및 공개방법, 제31조의2 평가 대상 및 절차, 제32조 보호책임자의 지정 등)
• 국가법령정보센터, 소상공인기본법 제2조 (소상공인의 정의)
• 국가법령정보센터, 소상공인기본법 시행령 제3조 (소상공인의 범위)
• 국가법령정보센터, 중소기업기본법 제2조 (중소기업자의 범위)
• 국가법령정보센터, 중소기업기본법 시행령 제3조 (중소기업의 범위), 제4조 (주된 업종의 기준), 제8조 (소기업과 중기업의 구분)
• 국가법령정보센터, 전자상거래 등에서의 소비자보호에 관한 법률 시행령 제6조 (사업자가 보존하는 거래기록의 대상 등)
• 국가법령정보센터, 근로기준법 제42조 (계약 서류의 보존), 같은 법 시행령 제22조 (보존 대상 서류 등)
• 개인정보보호위원회 안내서 — 개인정보 처리방침 표준(안), 개인정보 처리방침 작성지침, 개인정보 보호책임자 지정·신고 실무 매뉴얼

※ 2026년 10월 20일 기준 국가법령정보센터의 법령 원문을 바탕으로 정리했습니다. 「개인정보 보호법」과 시행령은 2026년 9월 11일 시행본(법률 제21445호, 대통령령 제36671호)이 현행입니다. 「소상공인기본법」은 2026년 6월 3일 시행본(법률 제21192호), 같은 법 시행령은 2026년 2월 1일 시행본(대통령령 제36055호), 「중소기업기본법」은 2026년 7월 1일 시행본(법률 제21290호), 같은 법 시행령은 2026년 1월 2일 시행본(대통령령 제35947호), 「근로기준법」은 2026년 10월 8일 시행본(법률 제21533호), 같은 법 시행령 제22조는 2025년 10월 23일 시행본(대통령령 제35436호)을 확인했습니다. 「전자상거래 등에서의 소비자보호에 관한 법률 시행령」 제6조는 조문 내용만 확인했고 시행일은 확인하지 못했습니다. 중소기업기본법 시행령 별표(소기업 매출 상한 금액)는 확인하지 못해 싣지 않았습니다. 과태료는 위반 횟수와 사정에 따라 감경·가중될 수 있으므로 실제 부과액은 다를 수 있습니다.