개인정보보호 — 서비스 출시 전에 갖춰야 할 최소한

개인정보를 한 건이라도 수집한다면 그 시점부터 개인정보처리방침 공개와 수집·이용 동의 절차를 갖춰야 한다. 실무에서 가장 먼저 손봐야 할 부분은 수집 항목이다. 회원가입이나 서비스 이용에 실제로 필요한 최소한의 항목만 받고 있는지 점검하고, 나중에 쓸지도 모른다는 이유로 넣어둔 항목이 있다면 걷어내는 것이 안전하다. 처리방침은 홈페이지 어딘가에 묻어두는 것이 아니라 이용자가 쉽게 찾을 수 있도록 별도 링크로 공개해야 하며, 내용은 실제 처리 현황과 일치해야 한다.

스타트업이 자주 놓치는 지점은 위탁과 국외 이전 고지다. 클라우드 인프라나 분석도구처럼 외부 서비스에 개인정보 처리를 맡기고 있다면 그 사실을 처리방침에 명시해야 하고, 이전되는 데이터가 국내가 아닌 해외 서버에 저장되거나 처리되는 경우라면 별도의 고지와 동의 절차가 필요한지 확인해야 한다. 사용 중인 도구들을 하나씩 나열해 어디에 어떤 데이터가 흘러가는지 정리해보면 빠진 고지 항목을 찾기 쉽다. 서비스가 만 14세 미만 이용자를 받는 구조라면 법정대리인 동의를 받는 절차가 갖춰져 있는지도 별도로 확인해야 한다.

가장 흔한 실수는 다른 회사의 처리방침을 그대로 가져와 회사명만 바꿔 게시하는 것이다. 이렇게 만든 방침은 실제 자사의 수집 항목이나 위탁 현황과 어긋나는 경우가 많아 오히려 문제의 소지를 키운다. 처리방침은 실제 서비스 구조를 반영해 작성하고, 애매한 부분은 전문가 검토를 받는 것이 바람직하다. 또 하나 자주 나오는 실수는 마케팅 정보 수신 동의를 서비스 이용에 필요한 필수 동의 항목에 묶어버리는 것으로, 이는 동의가 선택 사항이어야 할 부분을 강제하는 형태가 될 수 있어 별도 동의 항목으로 분리해야 하는지 점검이 필요하다.

이런 사항들은 서비스 규모가 작을 때는 눈에 띄지 않다가 이용자가 늘거나 투자 실사, 제휴 심사 과정에서 뒤늦게 드러나는 경우가 많다. 출시 전에 수집 항목, 처리방침 공개 여부, 위탁·국외 이전 고지, 미성년자 동의 절차를 한 번에 점검해두면 이후 서비스가 커졌을 때 다시 손대야 하는 부담을 줄일 수 있다.