비상주 사무실 법인도 개인정보 보호법 제30조에 따라 개인정보처리방침 공개 의무가 있으며, 고객 이메일·주문 정보 등 1건만 수집해도 즉시 적용된다

결론부터 말하면 그렇다. 개인정보 보호법은 상시 근로자 수, 사무실 형태, 자본금 크기와 무관하게 개인정보를 처리하는 모든 개인정보처리자에게 적용된다. 비상주 사무실에 입주한 1인 법인도 예외가 없다.

적용 시작점은 생각보다 이르다. 홈페이지에서 고객 이메일 주소를 수집하는 순간, 쇼핑몰에서 주문자 이름·배송 주소를 저장하는 순간, 채팅 상담에서 연락처를 입력받는 순간부터 적용된다. B2B 거래만 한다거나 오프라인 명함만 받는다는 경우에도 명함에 기재된 이름·연락처가 개인정보다.

처리방침 미공개 시 최대 3,000만원 과태료가 부과될 수 있다. 실제 제재 사례는 대기업에 집중되어 있지만, 2023년 개정 이후 개인정보보호위원회의 소규모 사업자 점검이 강화되고 있다. 공공기관에 납품하거나 기업 고객과 계약할 때 처리방침 유무를 계약 전 확인하는 사례도 늘고 있다.

비상주 사무실을 쓰는 법인 중 온라인 서비스(쇼핑몰·구독 서비스·SaaS·교육 플랫폼)를 운영하는 곳은 개인정보 처리량이 일반 오프라인 매장보다 훨씬 많다. 비상주 주소를 쓴다고 해서 온라인 데이터 처리 의무가 줄어드는 것은 아니다(출처: 법제처 law.go.kr 개인정보 보호법 제30조).

처리방침에 빠지면 안 되는 항목이 법에 정해져 있다. 간략히 정리하면 다음과 같다.

하나, 처리 목적. 회원가입·주문 처리·고객상담·마케팅 수신처럼 실제 목적을 구체적으로 쓴다. 서비스 제공처럼 너무 포괄적으로 쓰면 나중에 문제가 된다.

둘, 처리 항목. 이름·이메일·전화·주소·결제 정보·쿠키·IP 주소·기기 식별자 중 실제 수집하는 것만 쓴다. 수집하지 않는 항목을 기재하면 나중에 수집했을 때 미신고로 지적받을 수 있다.

셋, 보유 기간. 회원 탈퇴 후 즉시 삭제, 주문 완료 후 5년 보관(전자상거래 등에서의 소비자보호에 관한 법률), 세금계산서 5년 보관(국세기본법)처럼 근거 법률과 함께 구체 기간을 적는다.

넷, 제3자 제공. PG사·배송사·광고 플랫폼에 개인정보를 제공하면 제공받는 자·항목·목적·기간을 모두 기재한다. 제공하지 않는 경우도 명시해야 한다.

다섯, 위탁. AWS·CRM 서비스·개발 외주사·이메일 마케팅 서비스에 개인정보 처리를 맡기면 수탁자와 위탁 업무를 나열한다. 수탁사 목록이 가장 자주 빠지는 항목이다.

여섯부터 열넷까지는 CPO 정보, 권리 행사 방법(열람·정정·삭제·처리정지 청구), 쿠키 거부 방법, 국외 이전 여부, 처리방침 변경 고지 방법, 권익침해 구제 방법(개인정보보호위원회·경찰청 신고), 열람 요구를 받는 자 정보다.

14개 항목 중 해당 없는 것은 해당 없음으로 명시하면 된다. 전부 비워두면 빠진 것처럼 보이므로 한 줄이라도 써 두는 편이 낫다.

개인정보 안전성 확보 조치는 기술적·관리적·물리적 보호 조치를 모두 포함한다. 비상주 사무실 법인에서 가장 고민되는 부분이 물리적 보호 조치다.

종이 서류(계약서·명함·납품서 등)는 잠금 가능한 서랍이나 캐비닛에 보관하고, 더 이상 필요 없으면 파쇄기로 파쇄해야 한다. 비상주 법인 대표가 자택에서 업무를 보는 경우 자택 내 잠금장치 있는 서랍 하나로도 요건을 충족할 수 있다. 물리적 보호가 반드시 별도 사무실을 전제하지는 않는다.

전자적 개인정보는 클라우드 서비스에 보관해도 된다. 개인정보보호위원회는 ISO 27001·SOC 2 등 국제 인증을 받은 클라우드 서비스(AWS·GCP·Azure·네이버 클라우드·KT 클라우드 등)에서의 보관을 인정하고 있다. 다만 클라우드 사업자도 수탁자이므로 처리방침의 위탁 현황 섹션에 해당 클라우드 서비스명과 위탁 업무를 기재해야 한다.

접근 권한 관리도 빠지면 안 된다. 개인정보가 담긴 파일·데이터베이스·관리자 계정에는 담당자만 접근할 수 있도록 계정을 분리하고, 2단계 인증을 설정한다. 퇴사한 직원의 계정은 즉시 비활성화해야 한다. 공용 PC에 개인정보를 저장하거나 클라우드 공유 링크를 외부에 노출하지 않는 것이 기본이다.

비상주 사무실 법인 중에는 아직 홈페이지 없이 카카오채널·인스타그램·네이버 스마트스토어만 운영하는 곳도 있다. 이런 경우에도 개인정보처리방침 공개 의무는 그대로다.

방법 하나, 스마트스토어 또는 플랫폼 내 판매자 정보 섹션에 처리방침 전문을 붙여 넣는다. 스마트스토어는 쇼핑몰 정보 입력 화면에 개인정보처리방침 항목이 있다.

방법 둘, 이메일·카카오톡 채널에서 처음 고객과 연락할 때 처리방침 링크(Google Docs·Notion 페이지·Dropbox 공개 링크 등)를 함께 안내한다. 공개 URL이 있으면 공개했다는 근거가 생긴다.

방법 셋, 서비스 이용 계약서 또는 구매 확인 이메일에 처리방침 전문을 첨부한다. 고객이 수신 확인한 기록이 남으면 더욱 안전하다.

홈페이지를 만들 계획이 있다면 자체 홈페이지에 처리방침을 게시하는 것이 장기적으로 유리하다. 플랫폼 정책 변경에 종속되지 않고 URL도 안정적으로 유지된다. 비상주 사무실 법인의 운영 전반은 /virtual-office에서 추가로 확인할 수 있다.

실수 하나, 처리방침 없이 이메일 수집을 시작한다. 홈페이지 뉴스레터 신청 폼을 운영하면서 처리방침을 올리지 않는 경우가 흔하다. 폼을 배포하기 전에 처리방침 게시를 먼저 한다.

실수 둘, 3년 전 작성한 처리방침을 그대로 사용한다. 그 사이 CRM 서비스나 PG사를 바꿨는데 수탁사 목록이 구버전 그대로인 경우다. 수탁사가 바뀔 때마다 처리방침을 업데이트한다.

실수 셋, CPO를 지정하지 않거나 처리방침에 CPO 연락처를 기재하지 않는다. CPO 성명·이메일·전화번호가 처리방침에 없으면 고객이 열람·삭제 요청을 어디로 보내야 할지 알 수 없다.

실수 넷, 마케팅 수신 동의 없이 광고 이메일을 보낸다. 처리방침에 마케팅 수신을 목적으로 기재했더라도 수집 시점에 별도 동의를 받지 않으면 정보통신망법 위반이다.

실수 다섯, 국외 서버(AWS us-east 등)에 개인정보를 보관하면서 처리방침에 국외 이전 항목을 빠뜨린다. 국외 이전이 있으면 이전 국가·이전받는 기관·목적·이전 기간을 기재해야 한다.

점검 체크리스트 일곱 가지. 하나, 처리 항목 목록이 현재 서비스 현황과 일치하는가. 둘, CPO가 지정되고 처리방침에 연락처가 기재되어 있는가. 셋, 모든 수탁사(클라우드·PG·CRM·이메일 서비스)가 위탁 현황에 올라와 있는가. 넷, 처리방침이 홈페이지 또는 서비스 채널에서 1번 클릭으로 접근 가능한가. 다섯, 마케팅 수신 동의를 수집 시점에 별도로 받고 있는가. 여섯, 국외 이전이 있는 경우 이전 국가와 이전받는 기관이 기재되어 있는가. 일곱, 처리방침 버전 날짜와 변경 이력이 문서로 보관되어 있는가.

개인정보처리방침 법률 검토와 CPO 업무·과태료 이의신청은 변호사·개인정보 보호 전문 컨설턴트가 담당한다. 코워크시티 법인설립지원센터는 법인설립 5단계 절차 안내와 비상주 사무실을 제공하고, 등기는 제휴 법무사·세무기장은 제휴 세무법인이 직접 맡는다. 법인설립 직후부터 사업자등록과 운영 체계를 갖추려는 경우 /process 페이지에서 단계별 절차를 확인할 수 있다(출처: 법제처 law.go.kr 개인정보 보호법 제30조·제31조).