SaaS 서비스를 런칭하면 가장 먼저 맞닥뜨리는 법적 숙제 중 하나가 개인정보 처리 동의서입니다. 단순히 양식을 붙여 넣는 수준으로는 부족합니다. 2026년 9월 시행 예정인 개정 개인정보보호법(PIPA)은 CEO에게 형사책임까지 부과합니다. 지금부터 SaaS 운영자가 반드시 알아야 할 동의서 작성법을 정리합니다.
왜 지금 동의서를 다시 써야 하는가?
2026년 9월 개정의 핵심: CEO 형사책임
기존 PIPA는 과태료·과징금 중심의 행정 처벌이었습니다. 하지만 2026년 9월 시행 개정안은 다음 위반 행위에 대해 개인정보보호책임자(CPO)와 대표이사(CEO)에게 직접 형사책임을 묻습니다.
- 정보주체 동의 없이 개인정보를 제3자에게 제공
- 동의 없이 목적 외 처리
- 민감정보(건강, 신용, 생체정보 등)에 대한 별도 동의 누락
SaaS 서비스가 사용자 데이터를 분석 툴·마케팅 플랫폼·결제사에 전달할 경우, 동의서에 명시하지 않으면 곧바로 이 조항에 걸립니다.
PIPA vs GDPR: 한국 SaaS의 특수성
해외 SaaS 템플릿을 그대로 복사·붙여넣기 하면 문제가 생깁니다. GDPR과 PIPA는 구조가 다릅니다.
| 항목 | GDPR (EU) | PIPA (한국) | |------|-----------|-------------| | 동의 기반 | 6가지 적법 처리 근거 중 하나 | 원칙적으로 동의가 기본 | | 민감정보 | 별도 명시적 동의 | 별도 서면 동의 (전자동의 가능) | | 제3자 제공 | 정당한 이익(Legitimate Interest) 가능 | 별도 동의 원칙 | | 위반 제재 | 글로벌 매출의 4% | 전년도 매출의 3% + CEO 형사책임 | | 보존기간 | 목적 달성 후 삭제 | 명시적 기재 필수 |
한국 SaaS는 GDPR의 "정당한 이익" 조항을 쓸 수 없습니다. 제3자 제공·마케팅 활용 시 반드시 별도 동의 항목을 만들어야 합니다.
개인정보 처리 동의서 필수 기재사항
PIPA 제15조·제17조·제22조에 따라 동의서에는 다음 사항이 명확하게 기재되어야 합니다.
1. 수집·이용 동의 (필수)
□ [필수] 개인정보 수집·이용 동의
수집 항목: 이름, 이메일 주소, 결제정보
수집 목적: 서비스 제공, 계정 관리, 청구서 발송
보유 기간: 회원 탈퇴 후 30일 (단, 전자상거래법에 따라 거래 기록은 5년 보관)
동의 거부 권리: 동의를 거부할 수 있으나, 서비스 이용이 제한될 수 있습니다.
2. 제3자 제공 동의 (선택 — 제공 시 필수)
□ [선택] 개인정보 제3자 제공 동의
제공받는 자: Stripe Inc. (결제 처리), SendGrid (이메일 발송)
제공 항목: 이메일, 결제정보
제공 목적: 결제 처리 및 트랜잭션 알림
보유 기간: 거래 완료 후 5년
3. 마케팅 수신 동의 (선택)
□ [선택] 마케팅 정보 수신 동의
마케팅 채널: 이메일, SMS, 앱 푸시
내용: 서비스 업데이트, 프로모션, 이벤트 안내
동의 철회: 이메일 하단 '수신거부' 또는 설정 페이지에서 언제든 철회 가능
4. 민감정보가 있다면 반드시 별도 항목
SaaS가 건강, 생체인증(얼굴/지문), 신용정보, 정치적 견해 등을 수집하는 경우 별도 동의란을 반드시 분리해야 합니다.
SaaS 동의서 작성 시 자주 하는 실수 5가지
실수 1: "필수"와 "선택"을 구분하지 않음
PIPA 제22조는 필수·선택 동의를 반드시 구분하도록 요구합니다. "전체 동의" 하나만 두고 마케팅 수신을 묶어 넣으면 위반입니다.
실수 2: 보유기간을 "서비스 종료 시까지"로만 기재
모호한 보유기간 표현은 위반입니다. 구체적인 기간(예: "회원 탈퇴 후 30일") 또는 법적 근거(예: "전자상거래법 제6조에 따라 5년")를 명시해야 합니다.
실수 3: 해외 제3자 제공을 국내 제공과 동일하게 처리
Stripe, AWS, Twilio 등 해외 업체에 개인정보를 이전할 경우, PIPA 제28조의8에 따라 국외 이전 동의를 별도로 받거나 표준계약조항(SCC)을 체결해야 합니다.
실수 4: 쿠키·분석 도구 사용 미고지
Google Analytics, Mixpanel 등 행동 분석 도구는 개인정보를 처리할 수 있습니다. 이를 동의서 또는 개인정보처리방침에 명시하지 않으면 위반입니다.
실수 5: 동의 기록을 보관하지 않음
"언제, 어떤 버전의 동의서에, 어떤 항목에 동의했는가"를 증명할 수 없으면 분쟁·감사에서 불리합니다. 동의 타임스탬프와 동의서 버전을 DB에 저장하세요.
동의서 버전 관리와 재동의
서비스 기능이 추가되거나 제3자 파트너가 바뀌면 동의서도 변경됩니다. PIPA는 기존 동의 범위를 벗어나는 변경이 있을 경우 재동의를 요구합니다.
실무 권장 사항:
- 동의서에 버전 번호와 시행일 기재 (예:
v2.1 · 2026-04-01 시행) - 중요 변경 시 이메일 사전 고지 (최소 7일 전)
- 변경 내용 요약을 팝업·배너로 재동의 유도
체크리스트: 런칭 전 동의서 검토
- [ ] 필수·선택 항목이 명확히 분리되어 있는가?
- [ ] 수집 항목·목적·보유기간이 구체적으로 기재되었는가?
- [ ] 제3자 제공 업체 목록이 최신 상태인가?
- [ ] 해외 이전 동의 또는 SCC가 확보되어 있는가?
- [ ] 민감정보 처리 시 별도 동의란이 있는가?
- [ ] 동의 타임스탬프·버전이 DB에 저장되는가?
- [ ] 마케팅 수신 거부 방법이 명확히 안내되어 있는가?
PIPAGuard로 동의서 자동 생성하기
위 항목을 하나하나 법무팀에 의뢰하면 수백만 원의 비용이 듭니다. PIPAGuard는 SaaS 서비스 정보를 입력하면 PIPA 요건에 맞는 동의서와 개인정보처리방침 초안을 자동으로 생성합니다.
- 수집 항목·제3자 파트너 입력 → 동의서 초안 자동 생성
- 해외 이전 여부 자동 감지 → 국외 이전 조항 자동 삽입
- 변경 이력 관리 및 재동의 워크플로 내장
2026년 9월 형사책임 개정 전, 지금 바로 동의서를 점검하세요.