온라인쇼핑몰 개인정보 처리방침 작성 항목, 수집·보관·제공 기준

온라인쇼핑몰 개인정보 처리방침은 다른 쇼핑몰 문구를 복사해 붙이는 문서가 아닙니다. 회원가입, 주문·결제, 배송, 고객상담, 문자·이메일 발송, 방문 분석에서 실제로 어떤 정보를 왜 쓰고 언제 지우는지를 고객에게 설명하는 문서입니다. 화면에서 받는 정보와 처리방침의 내용이 다르면 문서가 있어도 실제 운영을 설명하지 못합니다.

처리방침을 만들기 전에 개인정보 흐름부터 그려보세요

먼저 고객이 정보를 입력하거나 시스템이 자동으로 기록하는 지점을 목록으로 만드세요. 회원가입 폼의 이메일만 볼 것이 아니라 주문서, 배송지, 상담 채팅, 리뷰, 쿠키·방문분석, 광고 전환 추적까지 함께 봐야 합니다.

“수집하지 않는다”고 적은 정보가 실제 로그나 외부 서비스에 남는지 확인하세요. 예를 들어 방문 분석 도구가 IP 일부나 방문 식별자를 저장한다면, 처리방침에서 사용하는 도구와 목적을 실제 설정에 맞게 설명해야 합니다.

개인정보 처리방침에 반드시 맞춰 적을 항목

개인정보 보호법 제30조는 개인정보 처리방침을 정하고 공개하도록 하며, 처리 목적·항목·보유기간 등 실제 처리 내용을 포함하도록 정하고 있습니다. 아래 표를 작성한 뒤 쇼핑몰의 회원·주문·상담 기능과 하나씩 대조하세요.

필수 동의와 선택 동의를 섞지 마세요

회원가입이나 주문에 꼭 필요한 처리와 광고성 정보 발송처럼 선택할 수 있는 처리를 한 문장으로 묶으면 고객이 무엇에 동의했는지 알기 어렵습니다. 주문을 위해 필요한 연락처와 배송지는 주문 처리 목적에 두고, 문자·이메일 광고 수신은 별도 선택 항목으로 운영하세요.

선택 동의를 받지 않았다고 주문이나 회원가입을 막는 구조라면 그 이유와 실제 필수성부터 다시 확인해야 합니다. 동의 화면에 표시한 내용, 처리방침, 관리자 화면의 동의 기록이 서로 같은지 확인하세요. 동의 여부뿐 아니라 동의 시각, 문구 버전, 철회 시각을 남겨야 나중에 어떤 안내에 동의했는지 확인할 수 있습니다.

• 회원가입에 필요한 정보와 마케팅 정보 입력란을 분리합니다.
• 선택 동의 거부만으로 기본 서비스 이용을 막지 않는지 확인합니다.
• 광고성 정보는 수신 동의와 철회 방법을 함께 안내합니다.
• 동의 문구를 수정할 때 이전 버전과 적용 시각을 보관합니다.
• 탈퇴나 철회 요청이 들어오면 발송 목록에서 제외됐는지 확인합니다.

제3자 제공과 처리 위탁은 어떻게 구분하나요?

결제대행사·택배사·문자 발송 업체·호스팅 업체를 사용한다고 해서 모두 같은 방식으로 적는 것은 아닙니다. 판매자가 정한 목적 안에서 업무를 대신 처리하는 업체인지, 업체가 별도의 목적과 책임으로 정보를 받는지 구분해야 합니다.

업체의 이름만 나열하고 실제로 전달되는 항목과 목적을 적지 않으면 고객이 위험을 판단하기 어렵습니다. 반대로 사용하지 않는 업체를 오래된 템플릿에서 그대로 남겨두는 것도 잘못된 정보가 됩니다.

보유기간은 한 숫자로 통일하면 안 됩니다

회원정보, 주문·결제 기록, 상담 기록, 광고 수신 동의 기록은 보관 이유와 기간이 다를 수 있습니다. 회원이 탈퇴했다고 해서 법령상 보존해야 하는 거래 기록까지 즉시 삭제하면 안 되고, 반대로 보관 이유가 끝난 회원정보를 계속 쌓아두어서도 안 됩니다.

정확한 법정 보존기간은 거래 유형과 적용 법령에 따라 달라질 수 있습니다. 처리방침에는 실제 운영 기준과 관련 법령상 보존 예외를 구분해 적고, 세무·전자상거래 자료를 회원정보 삭제와 같은 시점에 일괄 삭제하지 않도록 하세요.

쿠키·방문 분석·광고 도구도 확인해야 합니다

쇼핑몰은 페이지 방문 통계, 로그인 유지, 장바구니, 광고 전환 측정을 위해 쿠키나 접속 정보를 사용할 수 있습니다. 어떤 도구가 어떤 값을 저장하는지 모른 채 “쿠키를 사용하지 않는다”고 쓰면 실제 화면과 문서가 달라집니다.

관리자에서 분석·광고 플러그인과 외부 스크립트 목록을 확인하고, 도구별로 수집되는 정보와 목적을 정리하세요. 광고 성과를 위해 외부 플랫폼에 이벤트를 보내는 경우에는 적용 여부, 고객 선택권, 거부·차단 방법을 현재 운영 방식에 맞게 안내해야 합니다.

• 로그인·장바구니에 필요한 쿠키와 분석·광고 쿠키를 구분합니다.
• 분석 도구가 IP·방문 식별자·기기 정보를 저장하는지 확인합니다.
• 광고 스크립트가 페이지와 결제 완료 화면에서 어떤 이벤트를 보내는지 확인합니다.
• 사용하지 않는 추적 도구가 코드나 플러그인에 남아 있지 않은지 점검합니다.
• 쿠키 설정을 바꿨다면 처리방침과 동의 화면을 함께 수정합니다.

처리방침을 실제 사이트에 적용하는 순서

1. 기능 목록 작성: 회원가입, 소셜 로그인, 주문, 결제, 배송, 상담, 리뷰, 분석, 광고를 적습니다.
2. 입력값 대조: 각 화면의 필드와 데이터베이스·외부 서비스로 전달되는 값을 확인합니다.
3. 목적별 분류: 서비스 제공, 계약 이행, 보안, 통계, 마케팅을 나눕니다.
4. 보관 기준 정리: 삭제 대상, 법정 보존 자료, 분쟁 대응 자료를 구분합니다.
5. 업체 확인: 결제·택배·문자·호스팅·분석 업체의 실제 처리 범위를 확인합니다.
6. 문서 공개: 회원가입·주문 전에 쉽게 접근할 수 있는 위치에 최신 방침을 연결합니다.
7. 테스트: 가입·주문·탈퇴·동의 철회 요청을 직접 시뮬레이션하고 기록이 남는지 확인합니다.

처리방침을 바꾼 날에는 문서만 교체하지 말고 동의 화면, 회원가입·주문 안내, 고객센터 답변 문구도 같은 기준인지 확인하세요. 변경 전 문서와 변경 사유를 보관하면 고객 문의가 들어왔을 때 당시 기준을 설명하기 쉽습니다.

고객의 삭제·열람 요청을 받았을 때

고객이 “내 정보를 지워 달라”고 요청하면 먼저 어떤 계정·주문·상담 기록을 말하는지 확인하세요. 삭제할 수 있는 운영 데이터와 법령상 보관해야 하는 거래 기록을 분리하고, 삭제하지 못하는 자료가 있다면 그 이유와 보관 범위를 안내해야 합니다.

요청자 본인인지 확인하는 절차도 필요합니다. 이메일 링크나 로그인 상태 확인 등 실제 운영에 맞는 방법을 정하고, 확인 과정에서 주민등록번호나 신분증 사본을 불필요하게 수집하지 마세요. 처리 결과에는 접수일, 확인 방법, 삭제·정정한 범위, 보존한 예외와 완료일을 남깁니다.

처리방침 문구를 점검하는 예시

자주 묻는 질문

무료 쇼핑몰 플랫폼을 쓰면 처리방침도 자동으로 완성되나요?
플랫폼이 기본 문구를 제공해도 판매자가 추가한 결제·배송·문자·분석 도구까지 자동으로 반영되는 것은 아닙니다. 실제 기능과 외부 서비스 전달 범위를 직접 대조해야 합니다.

회원 탈퇴 즉시 모든 정보를 지워야 하나요?
서비스 운영상 삭제할 정보와 관련 법령에 따라 보존해야 할 거래·증빙 자료를 구분해야 합니다. 삭제 대상, 보존 예외, 파기 시점을 처리방침과 내부 절차에 맞춰 관리하세요.

광고 문자 수신 동의는 주문 동의에 포함해도 되나요?
광고성 정보 수신처럼 선택할 수 있는 목적은 주문 처리에 필요한 동의와 분리해 고객이 구분할 수 있게 운영하는 것이 좋습니다. 동의·철회 기록과 발송 제외 처리도 확인하세요.

카카오·구글 로그인을 사용하면 어떤 정보를 적어야 하나요?
소셜 로그인 제공자로부터 실제로 받는 식별값·이메일·프로필 정보와 이용 목적, 계정 연결 해제 방법을 확인해 작성하세요. 제공받지 않는 항목을 임의로 적지 않는 것이 중요합니다.

처리방침을 바꾸면 기존 회원에게 다시 동의받아야 하나요?
변경 내용과 처리 목적, 수집 항목, 제공 대상이 달라지는지에 따라 필요한 안내·동의 절차가 달라질 수 있습니다. 변경 전후 내용을 비교하고, 중요한 변경은 별도 안내가 필요한지 확인하세요.

공개 전 최종 점검: 사이트에서 실제로 받는 정보, 사용하는 외부 서비스, 목적별 보유기간, 고객 권리 행사 경로가 처리방침과 모두 일치하는지 확인하세요.

국가법령정보센터 개인정보 보호법 제30조 확인하기

개인정보보호위원회 개인정보 처리방침 안내 확인하기