이 문서는 datalaw.kr이 실제로 처리하는 개인정보를 적은 처리방침입니다. 개인정보 보호법 제30조 제1항과 같은 법 시행령 제31조 제1항이 요구하는 항목을 순서대로 담았습니다.
절마다 「이 항목을 왜 이렇게 썼나」라는 접힌 주석을 붙여 두었습니다. 처리방침은 어느 회사나 비슷해 보이지만 실제로 갈리는 것은 문구가 아니라 그 문구를 고른 판단입니다. 남의 방침을 옮겨 적는 대신 근거 조문과 선택 이유를 같이 적어 두면, 같은 작업을 하는 분들이 무엇을 자기 사정에 맞게 바꿔야 하는지 알 수 있다고 보아 이렇게 공개합니다.
1. 처리하는 개인정보의 항목과 목적, 보유 기간
| 구분 | 처리하는 항목 | 목적 | 보유 기간 |
|---|---|---|---|
| 뉴스레터 구독 | 이메일 주소 | 뉴스레터 발송 | 구독 해지 시까지 |
| 이메일 문의 | 발신자 이메일 주소, 이름, 메일 본문에 적어 보내신 내용 | 문의에 대한 회신과 사안 검토 | 회신·검토 종료 후 3년(자문 관계로 이어진 경우에는 법무법인 세움의 보존 기준에 따릅니다) |
| 문의 폼 | 회신 받으실 이메일 주소, 적어 보내신 내용, 이름(또는 역할명, 선택), 회사·역할(선택), 사안 유형·시급성(선택), 폼을 연 페이지의 주소, 접수 때 부여하는 문의번호 | 문의에 대한 회신과 사안 검토, 같은 문의의 후속 처리 연결 | 회신·검토 종료 후 3년(자문 관계로 이어진 경우에는 법무법인 세움의 보존 기준에 따릅니다) |
| 사이트 접속 | 접속 IP 주소, 브라우저·운영체제 정보, 요청한 주소, 방문 경로(리퍼러) | 사이트 호스팅과 보안(공격·과부하 차단), 방문 통계 집계 | 호스팅·보안 사업자(Cloudflare)의 로그 보존 정책에 따르며, 운영자는 개별 기록이 아닌 집계 통계만 열람합니다 |
| 상황별 안내 이용 집계 | 사고·조사(A), 해외 본사(B), 거래(C), 제재DB 상황(S1–S5), 일반 구분과 안내 열람·링크 이동·문의 화면 이동·폼 전송 결과의 유형, 서버가 메일 전송을 수락한 건수 | 안내 경로와 문의 기능 개선, 문의 전송 누락 점검 | 개인별 식별자·문의번호 없이 날짜별 근사 횟수만 저장, 90일 후 자동 삭제 |
| 자료 표 조회 통계 | 자료 표에서 고른 조건(위반 조문·연도·처분 종류)과 검색어를 입력했는지 여부(예·아니오) | 어느 조문·연도의 자료가 실제로 쓰이는지 파악해 자료를 보강 | 날짜별 집계값만 저장하며 90일이 지나면 자동 삭제됩니다 |
이 사이트에는 회원가입·로그인·댓글이 없습니다. 이용자가 직접 입력하는 칸은 뉴스레터 신청과 문의 폼 둘뿐입니다. 위 표에 없는 개인정보는 수집하지 않으며, 만 14세 미만 아동을 대상으로 하는 서비스가 아닙니다.
이 항목을 왜 이렇게 썼나 — 수집하지 않는 것을 적는 이유
처리방침에서 가장 자주 틀리는 자리가 첫 표입니다. 실제로는 수집하지 않는 항목(생년월일·휴대전화번호 등)이 표준 양식에 남아 있는 채로 공개된 방침이 많습니다. 개인정보보호위원회가 제재 사건에서 처리방침과 실제 처리 현황이 다른 점을 지적한 예가 있고, 2023년 신설된 처리방침 평가제(법 제30조의2)의 평가 항목 첫 번째도 「포함해야 할 사항을 적정하게 정하고 있는지」입니다.
그래서 여기서는 표에 없는 것은 수집하지 않는다는 문장을 같이 적었습니다. 이 한 줄이 있으면 나중에 무엇을 새로 수집하게 됐을 때 방침을 고쳐야 한다는 사실이 스스로에게도 분명해집니다. 실제로 네 번째 줄(표 검색 이용 통계)은 이 방침을 공개한 날 함께 추가한 항목입니다.
문의 메일의 보유 기간을 3년으로 잡은 것은, 문의가 자문으로 이어지지 않더라도 이해충돌 확인을 위해 누구에게서 어떤 사안의 연락을 받았는지를 남겨 두어야 하기 때문입니다.
2026년 9월 문의 폼을 열면서 같은 순서를 한 번 더 지켰습니다. 그때까지 이 사이트에서 이용자가 직접 입력할 수 있는 칸은 뉴스레터 신청 하나뿐이었고, 폼은 그 사실을 바꾸는 변경입니다. 그래서 표에 「문의 폼」 줄을 먼저 넣어 공개한 뒤에 폼을 열었습니다. 폼으로 받은 내용은 메일로 전달되어 메일함에 남을 뿐 별도의 데이터베이스에 저장하지 않습니다 — 보유 기간을 이메일 문의와 같게 적은 이유입니다. 「폼을 연 페이지의 주소」를 함께 받는 것은 어느 글을 읽고 연락하셨는지 알아야 그 글을 보강할 수 있기 때문이고, 이용자가 적는 항목이 아니라 폼이 자동으로 붙이는 값이라 표에 따로 적었습니다. 문의번호도 접수 때 자동으로 붙여 메일과 내부 문의 대장의 같은 건을 연결할 때만 쓰며, 방문 통계에는 보내지 않습니다.
네 번째 줄(자료 표 조회 통계)이 그 원칙이 실제로 작동한 자리입니다. 이 방침을 처음 공개한 2026년 9월 13일에는 기능을 만들어 두고 켜지 않은 상태여서 표에 줄이 없었고, 방침에는 「준비했으나 켜지 않았다」고만 적었습니다. 같은 날 기능을 켜면서 줄을 먼저 추가하고 함께 배포했습니다. 방침이 먼저 바뀌고 처리가 따라가야지, 그 반대가 되면 이 문서는 실제와 다른 문서가 됩니다.
집계 설계도 같은 생각에서 나왔습니다. 무엇을 검색했는지 궁금하면 검색어를 그대로 저장하는 것이 가장 쉽지만, 회사명이나 사건을 검색창에 넣는 분이 있을 수 있어 검색어는 전송 자체를 하지 않도록 만들었습니다. 조문·연도·처분 종류처럼 미리 정해 둔 값만 받고, 그 형식에 맞지 않으면 서버가 통째로 버립니다. 자료를 보강하는 데에는 그 정도면 충분합니다.
2. 개인정보의 제3자 제공
이 사이트는 수집한 개인정보를 제3자에게 제공하지 않습니다. 법령에 특별한 규정이 있거나 수사기관이 적법한 절차에 따라 요구하는 경우에만 제공하며, 그 경우에도 요구의 근거와 범위를 확인한 뒤 최소한으로 응합니다.
3. 개인정보 처리의 위탁
| 수탁자 | 위탁하는 업무 | 처리 장소 |
|---|---|---|
| 스티비 주식회사 | 뉴스레터 발송과 구독자 명단 관리 | 국내 |
| Cloudflare, Inc. | 사이트 호스팅·보안·방문 통계 집계, 문의 폼의 사람 확인·처리·메일 전달 | 아래 4절 |
수탁자가 바뀌면 이 방침을 고쳐 공개합니다.
Cloudflare의 셀프서비스 이용약관에는 고객 데이터 처리 부속계약(DPA)이 편입됩니다. 이 계약에서 이 사이트 운영자는 개인정보처리자(controller), Cloudflare는 수탁처리자(processor)로 정해지고, Cloudflare는 계약 이행에 필요한 범위에서 개인정보를 처리하며 하위처리자 목록과 변경 통지 절차를 공개합니다.
이 항목을 왜 이렇게 썼나 — 제3자 제공과 위탁을 가르는 기준
같은 「남에게 넘긴다」인데 제17조(제공)와 제26조(위탁)는 요건이 다릅니다. 가르는 기준은 누구의 목적을 위해 처리하는가입니다. 받는 쪽이 자기 목적으로 쓰면 제공이고, 맡긴 쪽의 목적과 지시 범위 안에서만 처리하면 위탁입니다. 위탁은 원칙적으로 동의 없이 가능한 대신 처리방침에 공개해야 하고(법 제26조 제2항·제3항), 수탁자의 위반은 위탁자의 책임으로 돌아옵니다(같은 조 제7항).
뉴스레터 발송 대행과 호스팅은 전형적인 위탁입니다. 실무에서 자주 놓치는 것은 호스팅·클라우드도 위탁이라는 점입니다. 서버를 빌린 것이지 개인정보를 준 것이 아니라고 생각하기 쉽지만, 이용자의 접속 정보가 그 서버에서 처리되는 이상 위탁으로 적어야 합니다. 위·수탁 관계에서 사고가 났을 때 책임이 어떻게 갈리는지는 위탁·수탁 책임 가이드에 따로 정리했습니다.
4. 개인정보의 국외 이전
이 사이트는 Cloudflare, Inc.의 네트워크에서 제공됩니다. 문의는 Cloudflare Pages의 처리 함수, Cloudflare Worker와 메일 전달 서비스를 거쳐 운영자의 수신 메일함으로 전달됩니다. 접속 정보뿐 아니라 그 과정에서 처리하는 문의 항목도 아래 표에 포함합니다.
| 항목 | 내용 |
|---|---|
| 이전되는 개인정보 항목 | 접속 IP 주소, 브라우저·운영체제 정보, 요청 주소·방문 경로, 문의 폼의 이메일·내용·선택 입력사항·유입 페이지 주소와 사람 확인 토큰 |
| 이전되는 국가·시기·방법 | 미국 및 Cloudflare 글로벌 네트워크의 처리 지역. Cloudflare가 공개한 Developer Platform 하위처리자 지역에는 미국·유럽경제지역(EEA)·영국·일본·호주·인도·캐나다·싱가포르가 포함됩니다. 접속 시에는 접속 정보가, 문의 전송 시에는 문의 내용이 정보통신망을 통해 전달됩니다 |
| 이전받는 자 | Cloudflare, Inc.(연락처: privacyquestions@cloudflare.com) |
| 이전받는 자의 이용 목적과 보유·이용 기간 | 사이트 호스팅·보안·통계 집계, 문의 폼의 사람 확인·처리·메일 전달. 문의 처리 함수는 본문을 별도 DB나 Workers Logs에 보관하지 않으며 Logpush도 사용하지 않습니다. 메일은 Cloudflare 계정에서 인증된 고정 수신처로만 전달하며, 발송 원문을 약 7일 저장하는 Email preview 기능은 사용하지 않습니다. 수신 메일함 보관은 제1절의 기간을 따르고, 그 밖의 서비스 로그는 Cloudflare의 보존 정책과 고객 데이터 처리 부속계약에 따릅니다 |
| 이전을 거부하는 방법과 그 효과 | 이 사이트는 위 네트워크를 통해서만 접속되므로, 국외 이전을 거부하시려면 사이트 접속을 중단하시는 것 외의 방법이 없습니다. 문의 폼의 전송을 거부하려면 폼을 제출하지 않고 전화로 연락하실 수 있습니다. 뉴스레터 구독은 별도로 해지하실 수 있습니다 |
국외 이전의 근거는 개인정보 보호법 제28조의8 제1항 제3호 가목입니다. 같은 조 제2항 각 호의 사항을 위 표에 공개하는 것이 그 요건입니다.
이 항목을 왜 이렇게 썼나 — 동의를 받지 않고 처리방침 공개로 가는 길
국외 이전에는 제28조의8 제1항 각 호의 근거가 필요합니다. 이 사이트는 이용자가 요청한 웹페이지 제공과 문의 접수·회신에 필요한 호스팅·전달 업무에 관하여 제3호 가목을 근거로 삼습니다. 동의를 받기 어렵다는 사정만으로 이 근거가 성립하는 것은 아니며, 서비스 제공에 필요한 범위를 벗어난 처리는 별도의 근거를 검토해야 합니다. 익명 집계에서는 개인별 방문 이력이나 문의 내용을 수집하지 않습니다.
여기서 실무가 자주 걸립니다. 3호 가목을 쓰기로 하면 제2항 각 호 다섯 가지를 전부 적어야 하는데, 특히 마지막 「거부하는 방법, 절차 및 거부의 효과」를 비워 두거나 「고객센터로 문의」라고만 적은 방침이 많습니다. 거부할 방법이 실제로 없다면 없다고 적는 것이 맞습니다. 위 표의 마지막 줄을 그렇게 쓴 이유입니다.
국내 사업자만 쓰는 것처럼 보이는 서비스도 CDN·메일 발송·오류 수집 도구를 통해 국외 이전이 일어나는 경우가 많습니다. 외국계 한국법인이 본사 시스템을 그대로 쓸 때 생기는 문제는 본사 정책과 한국법의 간극에서 다뤘습니다.
5. 개인정보의 파기 절차와 방법
보유 기간이 지나거나 처리 목적이 달성되면 지체 없이 파기합니다. 뉴스레터 구독을 해지하시면 구독자 명단에서 이메일 주소를 삭제하고, 문의 메일은 보유 기간이 지난 것부터 복구할 수 없는 방법으로 삭제합니다. 전자적 파일은 복원이 불가능한 방법으로 영구 삭제하며, 출력물이 있는 경우 분쇄하거나 소각합니다.
6. 정보주체와 법정대리인의 권리·의무와 행사 방법
이용자는 언제든지 자신의 개인정보에 대해 열람·정정·삭제·처리정지를 요구할 수 있고, 동의를 철회할 수 있습니다.
- 행사 방법: 이메일(hyunsub.lee@seumlaw.com)로 요구하시면 10일 이내에 조치하고 결과를 알려 드립니다.
- 뉴스레터 해지: 받으신 메일 하단의 수신거부 링크로 직접 해지하실 수 있습니다. 별도 확인 절차 없이 즉시 처리됩니다.
- 대리인: 법정대리인이나 위임을 받은 사람이 대신 요구할 수 있으며, 이때는 위임장을 확인합니다.
7. 개인정보를 자동으로 수집하는 장치의 설치·운영과 거부
이 사이트는 쿠키를 사용하지 않습니다. 방문자를 식별하는 값을 만들어 저장하지도 않습니다.
- 방문 통계: Cloudflare Web Analytics를 씁니다. 쿠키나 개별 식별자 없이 페이지 단위 집계만 수집합니다. 브라우저에서 자바스크립트를 차단하시면 이 집계에서 빠지며, 그 상태로도 사이트의 모든 내용을 보실 수 있습니다.
- 자료 표의 검색·거르기: 표는 페이지를 열 때 전부 받아 두고 걸러 내는 방식이라, 검색창에 입력하신 글자 자체는 전송되지 않습니다. 어느 조문·연도·처분 종류를 골랐는지와 검색어를 입력했는지 여부(예·아니오)만 전송되어 날짜별 합계로만 쌓이고, 90일이 지나면 자동으로 지워집니다. 접속 IP·브라우저 정보·쿠키는 이 집계에 쓰이지 않으므로 개별 이용자를 되짚을 수 없습니다. 자바스크립트를 차단하시면 이 집계에서도 빠집니다. 표의 공개 내용은 읽을 수 있지만 검색·필터 등 상호작용 기능은 제한됩니다.
- 상황별 안내 이용 집계: 안내 경로(A·B·C·제재DB 상황 S1–S5·일반)와 행동 유형만 날짜별로 집계합니다. S1–S5는 통지 시계, 위·수탁 구조, 내부자 반출, 안전조치 항변, 과징금 산정 범위라는 큰 주제 구분일 뿐입니다. 브라우저의 폼 전송 성공 집계와 별도로, 서버가 메일 전송을 수락한 건수도 날짜별 합계로만 남겨 전송 누락을 점검합니다. 문의 내용·이메일·문의번호·검색어·결정번호·회사명·페이지 주소·IP·브라우저 정보는 이 집계에 넣지 않으며, 쿠키나 방문자 식별자를 만들지 않습니다. 개별 이용자의 이동 경로를 연결하지 않으므로 고유 방문자 수나 수임 전환율이 아닙니다. 브라우저에서 자바스크립트를 차단하면 화면 행동 집계에서는 빠지지만, 폼 전송이 성공하면 서버 수락 건수에는 포함됩니다.
- 화면 설정: 밝은 화면·어두운 화면 선택값을 브라우저 안(로컬 스토리지)에 저장합니다. 이 값은 서버로 전송되지 않습니다.
- 문의 폼의 사람 확인: 폼이 자동 프로그램에 악용되지 않도록 Cloudflare Turnstile을 씁니다. Cloudflare는 보안 판정을 위해 접속 IP 주소, TLS 핑거프린트, 브라우저 정보(User-Agent), 사이트키와 원본 도메인 등의 신호를 처리하지만 폼에 적은 이메일·문의 본문에는 접근하거나 이를 저장·전송하지 않습니다. 이 사이트의 처리 함수는 검증 요청에 접속 IP를 추가로 보내지 않고 검증 성공 여부만 사용하며, 그 응답이나 이용자 식별값을 별도 저장하지 않습니다. 확인 토큰은 5분이 지나면 만료되고 한 번만 쓸 수 있습니다. 자세한 역할과 처리 항목은 Cloudflare Turnstile 개인정보 부속문서에 공개되어 있습니다.
이 항목을 왜 이렇게 썼나 — 쿠키를 안 쓰면 이 절을 빼도 되는가
법 제30조 제1항 제7호는 자동 수집 장치에 관한 사항을 「해당하는 경우에만」 적도록 하고 있어서, 쿠키를 쓰지 않으면 이 절을 통째로 빼도 위반은 아닙니다. 그래도 남겨 둔 것은 없다는 사실 자체가 이용자에게 필요한 정보이기 때문입니다.
개인정보를 다루는 글을 쓰는 사이트가 방문자 행태를 쿠키로 추적하면 그것부터 설명해야 합니다. 그래서 계측 도구를 고를 때 쿠키를 쓰지 않고 개별 식별자를 저장하지 않는 것을 조건으로 삼았습니다. 같은 이유로 표 검색 통계도 검색어 원문을 보내지 않는 방식으로 만들었습니다. 어떤 조문을 골랐는지만 알아도 자료를 보강하는 데는 충분합니다.
8. 개인정보의 안전성 확보 조치
- 사이트 전 구간에 HTTPS를 적용해 전송 구간을 암호화합니다.
- 구독자 명단과 문의 메일에 접근할 수 있는 사람은 운영자 본인으로 한정되며, 계정에는 2단계 인증을 적용합니다.
- 문의 폼으로 받은 내용은 별도의 데이터베이스에 저장하지 않고 운영자의 메일함으로 전달만 합니다. 전달을 처리하는 프로그램은 내용을 기록하지 않습니다.
- 수집하는 항목을 목적에 필요한 최소한으로 유지합니다. 문의 폼에서 고유식별정보·민감정보를 요구하지 않습니다. 자유 입력란에는 초기 사안 개요만 적고 민감한 정보나 상세 자료는 이해충돌 확인 후 안내받은 방법으로 전달해 주십시오.
9. 개인정보 보호책임자
| 구분 | 내용 |
|---|---|
| 개인정보 보호책임자 | 이현섭 (변호사, 법무법인 세움 파트너) |
| 연락처 | hyunsub.lee@seumlaw.com · 02-562-3117 |
개인정보 처리에 관한 문의·불만·피해 구제는 위 연락처로 접수하시면 됩니다.
이 항목을 왜 이렇게 썼나 — 지정 의무가 없어도 보호책임자는 있다
법 제31조 제1항 단서와 시행령 제32조 제1항은 소상공인에 해당하는 개인정보처리자는 보호책임자를 지정하지 않을 수 있도록 하고 있습니다. 다만 같은 조 제2항이 그 경우 사업주 또는 대표자가 보호책임자가 된다고 정하므로, 「우리는 지정 의무가 없다」는 결론이 「보호책임자가 없다」가 되지는 않습니다. 그래서 이 방침에도 이름과 연락처를 적었습니다.
2026년 9월 11일 시행된 개정법은 여기에 두 가지를 더했습니다. 대표자의 최종 책임을 명시한 제30조의3이 신설됐고, 매출액·보유 규모가 시행령 기준에 해당하는 사업자는 보호책임자의 지정·변경·해제에 이사회 의결을 거쳐 위원회에 신고해야 합니다(제31조 제3항). 뒤의 의무는 규모 기준에 걸리는 사업자만 지는 것이라 이 사이트에는 해당하지 않습니다. 겸직·지정 요건이 실제로 어떻게 걸리는지는 CISO와 CPO 겸직에 정리했습니다.
10. 권익침해 구제 방법
개인정보 침해로 상담이나 피해 구제가 필요하시면 아래 기관에 신청하실 수 있습니다. 이 사이트의 처리에 대한 것뿐 아니라 다른 사업자와의 분쟁에도 같은 경로를 쓰실 수 있습니다.
- 개인정보분쟁조정위원회 — 1833-6972 (kopico.go.kr)
- 개인정보침해 신고센터 — 118 (privacy.kisa.or.kr)
- 대검찰청 사이버수사과 — 1301 · 경찰청 사이버수사국 — 182
분쟁조정이 실제로 어떻게 진행되고 어떤 결과가 나오는지는 분쟁조정 사례 조회에 위원회 처리 결과 전수를 정리해 두었습니다.
11. 처리방침의 변경
이 방침을 변경할 때는 변경 내용과 시행일을 이 페이지에 공개합니다. 이용자에게 불리하게 바뀌는 내용이라면 시행일 7일 전부터 알립니다.
| 시행일 | 내용 |
|---|---|
| 2026년 9월 21일 | 문의번호와 서버의 메일 수락 건수 집계 추가(문의 내용·문의번호는 통계에 저장하지 않음) |
| 2026년 9월 21일 | 제재DB 상황별 안내(S1–S5)를 기존 익명 이용 집계 범위에 추가 |
| 2026년 9월 21일 | Cloudflare DPA·하위처리자, Turnstile 보안 신호, 문의 처리 로그와 메일 전달 설정 설명 보완 |
| 2026년 9월 21일 | 문의 전달 항목·거부권·구제 방법 명확화, 상황별 안내의 익명 집계 추가 |
| 2026년 9월 19일 | 문의 폼 항목·처리 경로 반영(당일 배포 이력 확인) |
| 2026년 9월 13일 | 최초 수립·공개 |
| 2026년 9월 13일 | 자료 표 조회 통계 항목 추가(1절·7절) — 해당 기능을 켜면서 같은 배포에 반영 |
자주 묻는 질문
Q. datalaw.kr은 어떤 개인정보를 수집하나요?
Q. 개인정보를 국외로 이전하나요?
Q. 정보주체의 권리는 어떻게 행사하나요?
참고 자료
- 개인정보 보호법 제30조(개인정보 처리방침의 수립 및 공개) — 처리방침에 담아야 하는 항목
- 개인정보 보호법 시행령 제31조(개인정보 처리방침의 내용 및 공개방법 등) — 법 제30조 제1항 제8호가 위임한 사항
- 개인정보보호포털 — 개인정보보호위원회가 운영하는 포털. 처리방침 작성 안내와 침해 신고 창구가 있습니다