서비스를 운영하다 보면 새 기능 추가, 수탁자 변경, 법령 개정 등 다양한 이유로 개인정보처리방침을 변경해야 합니다. 문제는 "어떻게 고지해야 하는가", "동의를 다시 받아야 하는가"를 모르는 경우가 많다는 것입니다.
처리방침 변경이 필요한 상황
| 변경 사유 | 유형 | 고지 필요 | |-----------|------|----------| | 새 SaaS 수탁자 추가 | 수탁 현황 변경 | ✅ 필요 | | 수집 항목 추가 | 중요 변경 | ✅ 필요 + 동의 재취득 검토 | | 이용 목적 변경·추가 | 중요 변경 | ✅ 필요 + 동의 재취득 | | 보유 기간 연장 | 중요 변경 | ✅ 필요 + 동의 재취득 | | 제3자 제공 추가 | 중요 변경 | ✅ 필요 + 동의 재취득 | | 책임자 연락처 변경 | 경미한 변경 | ✅ 필요 (약식 가능) | | 오탈자 수정 | 경미한 변경 | 권장 (의무 아님) | | 법령 개정에 따른 문구 정비 | 경미한 변경 | ✅ 필요 (약식 가능) |
변경 고지 방법과 기간
개인정보보호법 제30조 제3항에 따라 처리방침을 변경하는 경우 변경 전에 공지해야 합니다.
고지 기간
| 변경 유형 | 사전 고지 기간 | |-----------|--------------| | 중요 변경 (수집 항목·목적·제3자 제공 추가) | 30일 이전 | | 경미한 변경 (수탁자 변경, 연락처 변경 등) | 7일 이전 |
"사전 고지"란 변경 내용을 미리 공지하고 해당 기간이 지난 후 변경을 시행하는 것을 의미합니다.
고지 방법
| 방법 | 적합한 상황 | |------|------------| | 홈페이지 팝업 또는 배너 | 웹서비스 운영 시 (가장 일반적) | | 이메일 발송 | 회원 이메일 보유 시 | | 앱 내 푸시 알림 | 모바일 앱 서비스 | | 서비스 로그인 시 고지 화면 | 로그인 기반 서비스 |
중요 변경 vs 경미한 변경 판단 기준
중요 변경 (30일 사전 고지)
정보주체의 권리에 실질적 영향을 미치는 변경:
- 수집 항목 추가: 기존에 수집하지 않던 정보를 새로 수집
- 이용 목적 추가·변경: 마케팅 목적 추가, 제3자 분석 제공
- 제3자 제공 신규 추가: 기존에 없던 제3자 제공 발생
- 보유 기간 연장: 더 오래 보관하는 방향으로 변경
- 개인정보 처리자 변경: 합병, 인수로 처리자가 바뀌는 경우
경미한 변경 (7일 사전 고지)
정보주체 권리에 영향이 적은 변경:
- 수탁자 명칭 변경 (동일 업무, 다른 회사명)
- 수탁자 추가 (기존 서비스 범위 내)
- 개인정보 보호책임자 연락처 변경
- 법령 개정에 따른 문구 정비
- 오탈자 수정
동의 재취득이 필요한 경우
변경 고지만으로 충분한 경우도 있지만, 동의를 새로 받아야 하는 경우가 있습니다.
동의 재취득 필요
- 기존 동의 범위를 벗어나는 새로운 목적으로 개인정보를 이용하는 경우
- 기존에 동의를 받지 않은 제3자에게 새로 개인정보를 제공하는 경우
- 민감정보를 새로 수집하는 경우
동의 재취득 방법
로그인 시 새 동의서를 팝업으로 제시하거나, 이메일로 동의 링크를 발송합니다.
[동의 재취득 팝업 예시]
서비스 이용약관 및 개인정보처리방침이 변경되었습니다.
변경 내용:
- [변경 항목]: [기존 내용 → 변경 내용]
변경 시행일: 2026년 ○월 ○일
변경된 내용에 동의하시면 계속 서비스를 이용하실 수 있습니다.
동의하지 않으시면 서비스 이용이 제한될 수 있습니다.
□ 변경된 개인정보처리방침에 동의합니다
이전 버전 처리방침 보관
처리방침을 변경할 때 이전 버전을 보관해야 합니다. 분쟁 발생 시 "변경 전에 어떤 내용이었는가"를 증명할 수 있어야 합니다.
보관 방법
1. 홈페이지 아카이브 페이지:
개인정보처리방침 이력
- [현재 버전] v3.0 (2026.04.01 시행) ← 현재 적용 버전
- v2.1 (2025.11.01 시행) [내용 보기]
- v2.0 (2025.03.01 시행) [내용 보기]
- v1.0 (2024.01.01 시행) [내용 보기]
2. 내부 문서 보관:
- 버전별 처리방침 PDF 또는 문서 파일
- 시행일, 변경 사유, 승인자 기록
- 최소 5년 이상 보관 권장
처리방침 버전 관리 실무 절차
Step 1: 변경 검토
법무팀 또는 CPO가 변경 필요성을 검토하고 중요·경미 여부를 판단합니다.
Step 2: 변경 초안 작성
기존 처리방침 대비 변경 사항을 명확히 표시합니다 (Track Changes 방식).
Step 3: 내부 승인
CPO → 대표이사 또는 이사회 승인 (중요 변경의 경우).
Step 4: 사전 고지 게시
시행일로부터 30일(중요) 또는 7일(경미) 이전에 고지문을 게시합니다.
고지문 예시:
[개인정보처리방침 변경 안내]
시행일: 2026년 ○월 ○일
변경 이유: 신규 마케팅 분석 도구 도입
주요 변경 내용:
- 수탁자 추가: [업체명] (웹 분석 서비스)
- 보유 기간 변경: 마케팅 데이터 1년 → 2년
변경 후 처리방침 미리 보기: [링크]
문의: privacy@company.com
Step 5: 시행 및 공식 적용
시행일에 처리방침 페이지를 새 버전으로 교체하고, 이전 버전을 아카이브로 이동합니다.
Step 6: 기록 보관
- 변경 일시
- 변경 사유
- 고지 방법 및 기간
- 승인자
자주 하는 실수
| 실수 | 올바른 방법 | |------|------------| | 변경 후 즉시 적용 (사전 고지 없음) | 반드시 사전 고지 기간 준수 | | 이전 버전 삭제 | 아카이브 페이지 또는 내부 보관 | | 모든 변경을 동의 재취득으로 처리 | 경미한 변경은 고지만으로 충분 | | 처리방침만 바꾸고 수탁자 계약 미체결 | 처리방침 변경 + 계약 체결 동시에 | | 시행일 기재 누락 | 처리방침에 버전 및 시행일 필수 기재 |
PIPAGuard로 처리방침 현황 점검하기
처리방침 게시 여부, 버전 기재, 수탁자 현황 일치를 자동으로 점검할 수 있습니다.