'우리는 작아서 해당 없다'는 오해
개인정보 보호법은 사업장 규모로 대상을 나누지 않아요. 법에서 말하는 개인정보처리자는 '업무를 목적으로 개인정보파일을 운용하기 위하여 개인정보를 처리하는 공공기관, 법인, 단체 및 개인'입니다. 맨 뒤의 '개인'에 1인 미용실도 동네 카페도 그대로 들어가요. 직원 수나 매출로 빠져나가는 문턱은 없습니다.
개인정보파일이라는 말 때문에 전산 시스템이 있어야 대상이라고 오해하기 쉬워요. 법은 이 말을 '쉽게 검색할 수 있도록 일정한 규칙에 따라 체계적으로 배열하거나 구성한 개인정보의 집합물'로 정의합니다. 이름을 가나다순으로 적어 둔 예약 노트, 번호와 시술 내역을 정리한 엑셀, 포스에 등록해 둔 고객 목록이 전부 여기 해당해요.
그래서 손님 번호를 한 명이라도 업무 목적으로 모아 두면 처리방침을 만들어 공개할 의무가 생깁니다. 법 제30조는 개인정보처리자가 처리방침을 정하도록 하고 있고, 규모가 작다는 이유로 면제해 주는 단서는 없어요. 예약 확인 문자 한 통 보내려고 번호를 저장했다면 이미 대상입니다.
책임자를 새로 앉혀야 하나 걱정할 필요는 없어요. 개인정보 보호책임자를 따로 지정하지 않으면 사업주나 대표자가 그대로 보호책임자가 됩니다. 1인 매장이면 사장님 본인이 책임자이고, 방침에는 그 이름과 연락 닿는 번호를 적으면 끝이에요.
방침에 반드시 들어가는 항목
법 제30조가 요구하는 항목은 이미 정해져 있어요. 개인정보의 처리 목적, 처리 및 보유 기간, 제3자 제공에 관한 사항, 파기 절차와 방법, 처리 위탁에 관한 사항, 정보주체와 법정대리인의 권리·의무 및 행사 방법, 보호책임자의 성명이나 고충 처리 담당 연락처입니다. 제3자 제공과 위탁은 해당할 때만 적으면 돼요.
목적은 뭉뚱그리지 말고 실제 쓰는 대로 적어야 합니다. '예약 확인과 변경 안내', '재방문 주기 관리', '포인트 적립과 사용'처럼 손님이 읽고 바로 알아볼 표현이 좋아요. 보유 기간도 '마지막 방문일로부터 2년'처럼 끝나는 시점이 분명해야 하고, 적어 둔 기간이 지나면 실제로 지워야 합니다.
파기 절차는 언제 어떻게 지우는지를 쓰는 자리예요. 법은 보유 기간이 지나거나 목적을 이뤄 필요 없어진 개인정보를 지체 없이 파기하고, 복구되거나 재생되지 않도록 조치하라고 정합니다. 종이 예약 장부와 상담 카드는 파쇄하거나 소각하고, 엑셀 파일과 앱 데이터는 복원할 수 없게 삭제한다고 적으면 충분해요.
정보주체의 권리는 손님이 자기 정보를 어디까지 건드릴 수 있는지 알려 주는 부분입니다. 손님은 자기 정보의 열람과 사본 발급을 요구할 수 있고, 틀린 내용을 고치거나 지워 달라고 할 수 있고, 처리를 멈춰 달라고도 할 수 있어요. 이런 요구를 어디로 하면 되는지 매장 전화번호나 카카오채널처럼 실제 굴러가는 창구를 적어 두세요.
홈페이지가 없는 매장은 어디에 게시하나
원칙은 인터넷 홈페이지에 계속 올려 두는 것입니다. 손님이 아무 때나 찾아볼 수 있어야 하니 첫 화면 아래쪽처럼 눈에 띄는 자리에 링크를 거는 방식이 흔해요. 다른 안내문보다 글자를 작게 만들어 숨겨 두면 공개했다고 보기 어렵습니다.
홈페이지가 없다면 시행령이 정해 둔 다른 방법을 쓰면 됩니다. 사업장에서 보기 쉬운 장소에 게시하는 방법이 첫 번째예요. 매장이 있는 시·도 이상 지역을 주된 보급 지역으로 하는 일반일간신문·일반주간신문·인터넷신문에 싣는 방법도 있고, 연 2회 이상 발행해 손님에게 나눠 주는 간행물이나 청구서에 계속 싣는 방법도 인정됩니다.
동네 매장은 첫 번째 방법이 가장 현실적입니다. A4 한 장으로 뽑아 계산대 옆이나 대기 의자 뒤처럼 손님이 실제로 서 있는 동선에 붙여 두세요. 창고 문 안쪽이나 사장님 책상 서랍에 넣어 둔 종이는 게시로 인정받기 어렵습니다.
네이버 플레이스 소개글이나 카카오톡 채널 공지, 매장 블로그를 굴리고 있다면 같은 내용을 그대로 올려 두는 편이 좋아요. 전화와 문자로만 예약하는 손님은 매장에 오기 전까지 확인할 방법이 없으니까요. 예약 문자 아래에 '개인정보 처리방침은 매장 계산대와 카카오채널 공지에서 보실 수 있습니다' 한 줄을 넣어 두면 안내가 끝납니다.
최소 양식과 자주 나오는 실수
작은 매장이라면 A4 한 장 안에 다 들어갑니다. 맨 위에 상호와 대표자 이름을 쓰고, 수집 항목으로 이름·휴대폰 번호·방문일·시술이나 주문 메모를 적어요. 그다음 이용 목적, 보유 기간, 제3자 제공 여부, 위탁 업무와 업체 이름, 손님의 권리 행사 방법, 보호책임자 이름과 연락처, 시행일을 차례로 채우면 됩니다.
남의 방침을 그대로 복사해 오는 것이 가장 흔한 실수입니다. 대형 프랜차이즈 문서에는 회원 가입 절차, 마케팅 수신 동의, 국외 이전, 쿠키 설정처럼 동네 매장과 상관없는 항목이 잔뜩 들어 있어요. 상호와 담당자 이름만 바꿔 붙여 두면 손님이 물었을 때 사장님도 설명하지 못하는 문서가 남습니다.
적어 놓은 내용과 실제 운영이 어긋나는 것도 문제예요. 보유 기간을 1년으로 써 두고 5년 전 손님 번호를 그대로 들고 있거나, 제3자 제공이 없다고 해 놓고 옆 가게와 명단을 주고받는다면 방침이 오히려 불리한 근거가 됩니다. 손님이 열람이나 삭제를 요구했을 때 기준이 되는 문서가 바로 이 방침이에요.
위탁 항목을 빠뜨리는 경우도 많습니다. 예약 문자나 알림톡을 대행사로 보내거나 고객 명단을 관리 앱에 올려 두면 위탁에 해당하니, 맡긴 업무와 업체 이름을 적어야 해요. 로요처럼 고객 정보를 다루는 서비스를 쓴다면 그 이름을 그대로 쓰면 됩니다. 문자 업체를 바꾸거나 수집 항목이 늘면 방침도 고치고 시행일을 새로 적어 두세요.