자사몰도 예외 없다! 9월 시행 개인정보보호법, 쇼핑몰이 점검할 것

최근 쿠팡은 대규모 개인정보 유출로 역대 최대인 6,246억 8,100만 원의 과징금을 부과받았어요. 개인정보 유출이 곧 막대한 비용으로 이어질 수 있다는 걸 보여준 사례죠. 이런 흐름 속에 2026년 9월 11일부터는 개정 개인정보보호법이 시행됩니다. 반복적이거나 중대한 침해에는 과징금 규모가 기업 전체 매출액의 최대 10%까지 커질 수 있어요.

온라인 쇼핑몰도 회원가입·주문·배송·상담 과정에서 개인정보를 다루는 만큼 자사몰과 플랫폼 입점몰 모두 처리방침과 동의, 파기 등 기본적인 관리 의무를 지켜야 합니다. 이번 글에서는 개인정보보호법 개정 내용과 판매 채널별 책임, 시행 전 점검 사항과 개인정보 유출 대응 방법까지 살펴볼게요.

© 아임웹. 본 콘텐츠의 텍스트와 이미지는 모두 아임웹이 직접 제작한 자산으로, 무단 복제·스크랩·재배포를 금합니다.

1. 9월 11일 시행, 개인정보보호법 개정의 핵심은?

이번 개정은 과징금부터 기업의 관리 책임, 유출 대응까지 개인정보 보호 체계를 전반적으로 강화했어요. 개인정보를 처리하는 사업자라면 확인해야 할 주요 변화는 다음과 같아요.

📌 개인정보보호법 개정 핵심 내용

• 징벌적 과징금 도입: 반복적이거나 중대한 개인정보 침해에는 전체 매출액의 최대 10%까지 과징금이 부과돼요.
• 대표자 책임 강화: 사업주나 대표자를 개인정보 보호의 최종 책임자로 명시하고, 필요한 인력과 예산을 지원하도록 했어요.
• 개인정보 보호책임자(CPO) 권한 강화: 일정 규모 이상의 기업은 CPO를 지정·변경·해제할 때 이사회 의결과 개인정보보호위원회 신고가 의무예요.
• 개인정보 보호 인증 확대: 일정 규모 이상의 기업과 기관에는 개인정보 보호 인증 의무가 적용돼요. 이 항목은 2027년 7월 1일부터 시행됩니다.
• 유출 통지 범위 확대: 실제 유출뿐 아니라 유출 가능성을 알게 된 경우에도 고객에게 통지해야 해요. 개인정보가 위조·변조·훼손된 경우도 통지·신고 대상에 포함됩니다.

CPO 신고와 개인정보 보호 인증은 주로 규모가 큰 기업에 적용돼요. 반면 고객 정보를 수집하고 이용하는 쇼핑몰이라면 개인정보 처리방침과 동의, 파기, 접근권한처럼 기본적인 관리 의무를 우선 확인해야 합니다.

개인정보 유출 과징금, 개정 후 매출액의 최대 10%까지 ©아임웹

 

2. 자사몰·스마트스토어·오픈마켓의 개인정보 보호 책임

판매 채널에 따라 고객 정보를 수집하고 관리하는 범위는 달라요. 하지만 브랜드가 주문·배송·상담을 위해 개인정보를 제공받아 이용하거나 따로 보관한다면 해당 정보를 안전하게 관리할 책임도 함께 생깁니다.

채널별로 직접 관리해야 할 고객 정보

판매 채널이 달라도 고객 정보 관리 책임은 브랜드에게! ©아임웹

 

3. 개인정보보호법 시행 전, 쇼핑몰이 확인할 5가지 운영 기준

고객 정보는 수집부터 보관, 파기까지 모든 단계에서 관리가 필요해요. 아래 다섯 가지를 기준으로 개인정보 처리방침과 실제 운영 방식, 관리자 계정 설정이 서로 맞는지 확인해 보세요.

쇼핑몰 개인정보 관리 체크리스트 5 ©아임웹

 

1️⃣ 개인정보 처리방침, 최신 내용으로 업데이트 했나요?

처리방침이 실제 쇼핑몰 운영과 맞는지 살펴보세요. 회원가입·주문·문의·후기 과정에서 수집하는 정보와 이용 목적, 보유기간이 빠짐없이 적혀 있어야 해요. 새로 이용하거나 계약을 종료한 PG사·택배사·문자 발송 업체가 있다면 위탁업체와 업무 내용도 함께 반영해야 합니다.

2️⃣ 주문 동의 vs. 마케팅 동의, 따로 받고 있나요?

주문과 배송에 필요한 개인정보 처리(필수 동의)와 광고 문자·이메일 수신 동의(선택 동의)를 구분하세요. 상품을 구매했다는 이유만으로 고객 연락처를 마케팅에 활용해서는 안 돼요.

3️⃣ 오래된 고객 정보, 삭제했나요?

탈퇴 회원 정보와 종료된 이벤트 명단, 오래된 상담 내역, 내려받은 주문 파일이 남아 있지 않은지 확인하세요. 법령에 따라 보관해야 하는 자료를 제외하고 이용 목적과 보유기간이 끝난 정보는 파기해야 합니다.

4️⃣ 퇴사자･외주 계정, 접근 권한 회수했나요?

퇴사자나 외부 작업자가 쇼핑몰 관리자와 고객 관리 도구에 계속 접속할 수 있는지 살펴보세요. 고객 정보는 업무에 필요한 사람만 확인하도록 권한을 나누고 작업이 끝난 계정은 바로 회수해야 해요.

5️⃣ 유출 사고 대응 담당자, 정해뒀나요?

사고가 의심될 때 상황을 확인하고 고객 안내와 신고를 맡을 담당자를 미리 정해 두세요. 필요한 연락처까지 한곳에 모아두면 초기 대응이 늦어지는 것을 막을 수 있어요.

4. 개인정보 유출이 의심될 때, 4단계 대응 순서

개인정보 유출이 의심된다면 사실 확인을 기다리지 말고 즉시 대응해야 해요. 개정법에 따라 실제 유출뿐 아니라 불법 접근이나 개인정보의 불법 유통 등 유출 가능성을 인지한 경우에도 고객에게 알려야 합니다. 시행령 개정안은 통지 기한을 인지 시점부터 72시간 이내로 정하고 있어요.

개인정보 유출 대응 4단계 ©아임웹

 

➡️ 1단계. 접근 차단하고 유출 범위 확인하기

의심되는 관리자 계정의 접속을 차단하고 비밀번호를 변경하세요. 이후 어떤 고객 정보가 얼마나 노출됐을 가능성이 있는지 확인해야 합니다.

➡️ 2단계. 72시간 안에 고객에게 통지하기

유출된 정보와 발생 시점, 비밀번호 변경 등 고객이 할 수 있는 보호 조치를 안내하세요. 개인정보가 위조·변조·훼손된 경우도 통지 대상에 포함될 수 있어요.

➡️ 3단계. 신고 대상이면 관계기관에 신고하기

고객 정보가 1천 명 이상 유출됐다면 개인정보보호위원회나 한국인터넷진흥원(KISA)에도 신고해야 해요. 민감정보·고유식별정보가 포함됐거나 해킹으로 유출된 경우에는 인원과 상관없이 신고 대상이에요.

➡️ 4단계. 원인 조치하고 기록 남기기

유출 경위와 조치 내용, 통지·신고 내역을 정리해 두면 재발을 막고 이후 소명에도 도움이 돼요.

오늘의 콘텐츠는 여기까지입니다. 고객 정보를 안전하게 관리하는 일은 운영 리스크와 비용 손실을 줄이는 동시에, 고객과의 약속과 브랜드 신뢰를 지키는 일이에요. 9월 시행 전에 고객 정보 관리 기준과 유출 대응 절차를 미리 준비해 두세요.

※ 이 콘텐츠는 2026년 8월 기준, 개인정보보호위원회와 국가법령정보센터의 공식 자료를 바탕으로 작성되었습니다. 향후 확정되는 시행령의 세부 내용과 사업자의 개인정보 처리 방식에 따라 적용이 달라질 수 있으므로, 구체적인 판단이 필요하다면 법률 전문가와 상담하세요.

🔎 자주 묻는 질문

Q. 비회원으로 주문만 받아도 개인정보보호법 대상인가요?

네. 회원가입 없이 주문만 받아도 이름·연락처·주소 같은 개인정보를 수집하고 이용하기 때문에 개인정보보호법 적용 대상이에요. 규모나 회원 여부와 관계없이 고객 정보를 다루면 처리방침 공개와 파기 같은 기본 의무를 지켜야 해요.

Q. 매출 10% 과징금, 작은 쇼핑몰도 해당되나요?

사업 규모만으로 제외되지는 않아요. 다만 전체 매출액의 최대 10%는 모든 위반에 적용되는 것이 아니라, 반복적이거나 피해가 큰 중대한 위반 등에 적용되는 과징금 상한입니다. 소규모 쇼핑몰도 처리방침 공개와 파기, 유출 통지 등 기본 의무를 위반하면 시정명령이나 과태료 대상이 될 수 있어요.

Q. 개인정보 처리방침, 어떻게 작성해야 하나요?

처음부터 백지에서 작성할 필요는 없어요. 개인정보보호위원회가 공개한 「개인정보 처리방침 작성지침」에는 필수 기재 사항과 항목별 작성 방법, 소상공인용 예시가 함께 담겨 있습니다. 예시를 참고하되 실제로 수집하는 정보와 보유기간, 위탁업체 등 쇼핑몰 운영 방식에 맞게 수정해야 해요.

꼭 담아야 할 기본 항목은 이거예요.

• 개인정보의 처리 목적과 항목
• 개인정보의 보유기간과 파기 방법
• 개인정보의 안전성 확보조치
• 고객과 법정대리인의 권리 및 행사 방법
• 개인정보 보호책임자와 문의처
• 개인정보 처리방침의 변경 사항

제3자 제공이나 개인정보 처리 위탁, 쿠키 등 자동 수집 장치를 운영하고 있다면 해당 내용도 추가해야 해요.

💡아임웹에서는 이용약관과 개인정보처리방침을 쇼핑몰 운영 방식에 맞게 직접 작성하고 수정할 수 있어요.

Q. 개인정보 처리방침은 어디에 공개해야 하나요?

개인정보 처리방침은 고객이 쉽게 찾을 수 있도록 이용약관과 구분해 쇼핑몰 하단 등 눈에 잘 띄는 곳에 상시 공개해야 해요. 약관 안에만 포함하지 말고 별도 링크를 통해 바로 확인할 수 있도록 해주세요.

Q. 택배사나 마케팅 대행에 고객 정보를 넘겨도 되나요?

배송이나 문자 발송처럼 쇼핑몰 운영에 필요한 업무라면 개인정보 처리를 위탁할 수 있어요. 다만 위탁 업무와 업체를 개인정보 처리방침에 공개하고, 고객 정보가 안전하게 처리되는지 관리·감독해야 합니다. 위탁했더라도 브랜드의 관리 책임이 사라지는 것은 아니에요.