홈페이지에 문의 폼 하나만 있어도 사장님은 개인정보를 다루는 셈입니다. 이름과 전화번호가 남기 때문입니다. 2026년 9월 11일부터 이 부분을 다루는 법이 바뀌었습니다. 이 글에서는 바뀐 내용 중 작은 가게에 실제로 영향을 주는 부분과, 오늘 확인할 3가지를 정리합니다.
9월 11일부터 무엇이 달라졌나요?
제재 기준이 올라가고, 대표자가 최종 책임을 지는 구조로 바뀌었습니다.
법무법인들이 정리한 내용을 보면 변화는 네 갈래입니다. 과징금 상한, 대표자 책임, 유출 통지 시점, 안전조치 과태료입니다. 아래 표로 한눈에 보시면 됩니다.
| 항목 | 이전 | 개정 후 |
|---|---|---|
| 과징금 상한 | 매출액의 3% | 반복·중대 위반은 매출액의 10% |
| 대표자 책임 | 담당자 중심 | 사업주·대표자가 최종 책임 |
| 유출 통지 | 유출이 확인된 뒤 | 가능성을 안 때부터 72시간 안 |
| 안전조치 과태료 | 1차 600만 원 | 1차 900만 원, 2차 1,800만 원 |
출처는 법률신문에 실린 개정법 시행 브리핑입니다. 과징금 10% 상한은 반복 위반이나 대규모 피해에 적용되는 기준입니다. 작은 가게가 바로 해당되는 항목은 아닙니다.
한 줄 정리: 작은 가게가 체감할 부분은 과징금보다 통지 기한과 과태료 쪽입니다.
우리 가게도 해당되나요?
이름·연락처를 한 건이라도 저장하면 해당됩니다.
매출 규모나 직원 수로 나누지 않습니다. 홈페이지 문의 폼, 예약 신청, 회원가입, 주문서 중 하나라도 있으면 개인정보를 처리하는 사업자입니다.
반대로 회사 소개와 오시는 길만 있는 홈페이지라면 저장되는 정보가 없습니다. 이 경우 부담은 훨씬 적습니다. 다만 나중에 문의 폼을 붙이는 순간부터는 같은 기준이 적용됩니다.
| 홈페이지 형태 | 저장되는 정보 | 오늘 할 일 |
|---|---|---|
| 소개 페이지만 있음 | 없음 | 폼을 추가할 때 다시 점검 |
| 문의·예약 폼 있음 | 이름, 연락처 | 아래 3가지 확인 |
| 회원가입·주문 있음 | 이름, 연락처, 주소 | 아래 3가지 + 보관 기간 정리 |
한 줄 정리: 문의 폼 한 개부터가 시작점입니다.
확인 1. 구글 애널리틱스(GA4)까지 포함해 모으는 정보를 적어 보세요
무엇을 모으는지 종이 한 장에 적는 것이 첫 단계입니다.
사장님이 직접 모으는 정보는 대개 떠올리기 쉽습니다. 문의 폼의 이름과 연락처, 주문서의 배송지 정도입니다. 놓치기 쉬운 쪽은 홈페이지에 붙여 둔 분석 도구입니다.
구글 애널리틱스(GA4, 방문자 수와 유입 경로를 보여 주는 무료 분석 도구)는 방문 기록을 남깁니다. 광고 도구를 붙였다면 그쪽도 마찬가지입니다. 무엇이 붙어 있는지는 제작 업체나 관리자 페이지에서 확인할 수 있습니다.
| 용어 | 쉬운 뜻 | 예시 |
|---|---|---|
| 개인정보 처리 | 정보를 모으고 보관하고 쓰는 일 전체 | 문의 명단 엑셀 저장 |
| 안전조치 | 정보가 새지 않게 해 두는 장치 | 비밀번호, 접근 권한 |
| 유출 통지 | 새어 나간 사실을 당사자에게 알리는 일 | 문자·메일 안내 |
| 처리 위탁 | 다른 회사에 맡겨 처리하게 하는 것 | 문자 발송 대행 |
한 줄 정리: 모으는 항목을 적어 두지 않으면 사고가 났을 때 무엇이 샜는지 설명할 수 없습니다.
확인 2. 관리자 계정을 지금 누가 갖고 있나요?
퇴사자 계정이 남아 있는지부터 보세요.
개인정보가 실제로 새어 나가는 경로는 해킹만이 아닙니다. 그만둔 직원 계정이 그대로 살아 있거나, 여러 명이 같은 아이디를 쓰는 경우가 훨씬 흔합니다.
예를 들어, 직원 6명인 동네 필라테스 학원에서 회원 명단을 관리자 페이지로 보고 있다고 해 봅시다. 강사 3명이 같은 아이디를 함께 쓰면, 명단을 내려받은 사람이 누구인지 나중에 확인할 수 없습니다. 사람마다 계정을 따로 만들어 두면 이 문제가 사라집니다.
개정법은 대표자가 예산과 인력을 챙기도록 정하고 있습니다. 규모가 작아도 "누가 무엇을 볼 수 있는지"를 대표가 알고 있어야 한다는 뜻으로 읽으시면 됩니다.
한 줄 정리: 계정은 사람 수만큼 만들고, 그만두면 그날 지우는 것이 기본입니다.
확인 3. 유출이 의심되면 누가 먼저 연락하나요?
확정을 기다리지 말고 72시간 안에 알리는 절차를 만들어 두세요.
이번 개정에서 가장 실무에 가까운 변화입니다. 예전에는 유출이 확인된 뒤 알리면 됐지만, 이제는 가능성을 인지한 때부터 시간이 흘러갑니다. 자세한 내용은 9·10월 시행 개정사항 정리에서 볼 수 있습니다.
작은 가게에서 필요한 건 복잡한 문서가 아닙니다. 종이 한 장에 이 네 가지만 적어 두세요.
- 이상한 점을 발견하면 누구에게 먼저 말한다.
- 홈페이지 제작·관리 업체 연락처는 여기에 적혀 있다.
- 접속 기록과 화면은 지우지 말고 저장해 둔다.
- 알려야 할 대상과 문구 초안은 미리 준비해 둔다.
한 줄 정리: 사고 당일에 정하는 것보다 미리 적어 둔 종이 한 장이 훨씬 빠릅니다.
그래서 우리 가게에는?
법 조문을 외울 필요는 없고, 홈페이지 쪽 준비만 맞춰 두면 됩니다.
개정법의 무거운 조항들은 대체로 대규모 사업자를 향합니다. 작은 가게가 실제로 준비할 것은 세 가지로 좁혀집니다. 모으는 항목 정리, 계정 정리, 연락 순서입니다.
기술적인 부분은 제작·관리 업체와 나누면 됩니다. 잇다웹은 SSL 보안 인증서(주소창에 자물쇠가 뜨게 해 주는 보안 장치)를 기본 제공하고 갱신까지 관리합니다. 관련 항목은 무료 제공 서비스 안내에 정리되어 있습니다. 서버·보안 점검 같은 작업은 유지보수 안내에서 건별로 확인하실 수 있습니다.
적용 범위가 애매하다면 개인정보보호위원회 자료를 보거나 전문가에게 확인해 보세요. 이 글은 공개된 기사 내용을 정리한 것이라 개별 사안의 판단까지 대신하지는 못합니다.
한 줄 정리: 우리 가게 몫은 정리 3가지, 나머지는 업체와 나누면 됩니다.
오늘 할 수 있는 실행 체크리스트
- □ 홈페이지에서 정보를 입력받는 화면을 모두 적어 보기
- □ 관리자 페이지에 로그인해 계정 목록 확인하기
- □ 퇴사자·미사용 계정 삭제하기
- □ 분석·광고 도구가 무엇이 붙어 있는지 업체에 물어보기
- □ 유출 의심 시 연락 순서를 종이에 적어 붙여 두기
- □ 개인정보처리방침에 적힌 항목과 실제 수집 항목이 같은지 비교하기
한 줄 정리: 여섯 줄 모두 오늘 30분 안에 끝낼 수 있는 일입니다.
자주 묻는 질문
직원이 저 혼자인 1인 가게도 대상인가요?
대상입니다. 직원 수가 아니라 개인정보를 저장하는지로 판단하기 때문입니다. 문의 폼으로 연락처를 받는다면 1인 가게도 같은 기준을 적용받습니다. 대신 준비할 양은 훨씬 적습니다.
72시간은 언제부터 세나요?
유출 가능성을 인지한 때부터입니다. 확정 시점이 아니라는 점이 이번 개정의 핵심입니다. 그래서 "이상한데?" 하는 순간에 누구에게 알릴지 미리 정해 두는 것이 중요합니다.
홈페이지를 업체가 관리하면 책임도 업체에 있나요?
나눠서 봅니다. 기술적인 조치는 관리 업체 몫이 크지만, 어떤 정보를 모을지 정하는 쪽은 사장님입니다. 개정법이 대표자 책임을 강조한 것도 이 부분입니다. 계약서에 역할이 어떻게 적혀 있는지 한 번 확인해 보세요.
개인정보처리방침만 올려 두면 되나요?
부족합니다. 방침은 무엇을 모으는지 알리는 문서일 뿐이고, 실제 관리가 함께 가야 합니다. 방침에 적힌 항목과 실제 수집 항목이 다르면 그 자체로 문제가 됩니다. 두 가지를 나란히 놓고 비교해 보세요.
한 줄 정리: 서류 한 장보다 계정 정리와 연락 순서가 먼저입니다.
홈페이지 보안 설정이나 점검이 필요하시면 무료 견적 상담에서 현재 홈페이지 주소와 상황을 알려 주세요.
사진: Unsplash (photo-1664463760781-f159dfe3af30, photo-1516210938721-0703012a297a, photo-1681949103006-70066fb25dfe)