바뀌는 것은 조항 번호 하나입니다

현행 방침은 개인정보 보호법 제28조의8 제1항 제1호, 그러니까 정보주체에게 국외 이전에 관한 별도 동의를 받는 방식을 근거로 삼고 있습니다. 개정본은 이 근거를 같은 항 제3호로 바꿉니다. 제3호는 계약의 체결과 이행을 위해 개인정보의 처리위탁이나 보관이 필요할 때, 법이 정한 사항을 개인정보처리방침에 공개하면 별도 동의 없이 국외 이전을 할 수 있도록 한 조항입니다. 공개해야 하는 사항은 이전되는 개인정보 항목, 이전되는 국가와 시기·방법, 이전받는 자의 명칭과 연락처, 이용 목적과 보유·이용 기간, 그리고 이전을 거부하는 방법·절차와 거부의 효과까지 다섯 가지입니다. 개정본의 국외 수탁사 표에 회사별 이메일 주소가 함께 실리고 거부 절차 문단이 새로 붙은 것은 이 다섯 가지를 채우기 위한 조치로 읽힙니다. 동의창 하나가 사라지는 대신, 방침 문서 자체가 근거가 되는 구조입니다.

AI 국외 수탁사가 한 곳에서 세 곳으로

현행 방침에서 AI와 관련해 국외로 나가는 곳은 OpenAI 한 곳입니다. 개정본에는 여기에 Google LLC와 Anthropic, PBC가 더해져 세 곳이 됩니다. 세 곳 모두 국가는 미국, 목적은 AI 기반 서비스의 답변과 분석 생성, 전송 방식은 암호화된 API 통신, 보유 기간은 각 수탁사의 정책을 따르는 것으로 적혀 있습니다. 여기에 한 줄이 더 늘었습니다. 기존에는 인프라 운영과 데이터 보관만 맡던 Amazon Web Services의 위탁 업무에, Amazon Bedrock을 통한 AI 기반 서비스의 LLM 추론 처리가 추가됐습니다. 정리하면 아임웹의 AI 기능은 특정 한 회사의 모델에 묶여 있지 않고 여러 모델을 상황에 따라 쓰는 구조라는 뜻이 됩니다. 국내 쪽에서는 전자세금계산서 발행과 국세청 전송을 맡는 수탁사가 새로 들어왔습니다.

'최종 이용자'는 내 쇼핑몰 손님을 가리킵니다

개정본은 AI 기반 서비스의 처리 목적을 설명하면서 '최종 이용자'라는 용어를 새로 정의합니다. 아임웹 회원만이 아니라, 아임웹으로 만든 사이트를 이용하는 사람까지 함께 가리키는 말입니다. 제작하는 입장에서는 이 한 줄이 가장 중요합니다. 이 조항이 다루는 정보가 사장님 본인의 가입 정보가 아니라, 사장님 쇼핑몰에서 주문하고 문의한 손님의 정보라는 뜻이기 때문입니다.

개정본에 새로 붙은 AI 수집 항목 표를 보면 보관 기준이 두 갈래로 갈립니다. 이름과 연락처, 사이트 회원 등급, 주문번호, 문의 내용과 대화 기록, 그리고 세션 ID·대화 일시·인텐트 분류 결과·대화 로그·AI 분석 결과물은 수집일로부터 3년 동안 보관됩니다. 반면 성별·연령대·지역 같은 프로필 정보, 주문·배송·결제·클레임 내역과 배송지 주소, 리뷰와 게시글 내용, 방문·이용 이력은 AI 처리 과정에서 별도로 저장하지 않는다고 적혀 있습니다. 처리는 하되 남기지는 않는다는 구분입니다. 손님에게 설명할 일이 생겼을 때 이 두 갈래를 구분해 말할 수 있어야 합니다.

문언에서 빠진 단어 하나, '마스킹'

현행 방침의 안전성 확보조치 항목에는, AI 상담 서비스를 운영할 때 이름·연락처·주소 같은 식별정보를 외부 AI로 보내기 전에 가려서 처리한다는 서술이 들어 있습니다. 개정본의 같은 자리에는 이 문장 대신, AI 기반 서비스에 이용되는 개인정보가 외부 AI 제공사의 모델 학습에 쓰이지 않는다는 문장이 들어갔습니다. 국외 이전 표의 제공 항목 표기도 달라졌습니다. 현행이 가려서 처리한 고객 발화와 조회 결과라는 식으로 좁게 적혀 있던 자리에, 개정본은 최종 이용자 입력과 검색 결과, 서비스 데이터라고 더 넓게 적습니다.

문언이 바뀌었다는 것이 곧 실무에서 가리는 처리를 중단한다는 뜻은 아닙니다. 다만 방침 문서만 놓고 보면 '보내기 전에 가린다'는 약속은 더 이상 확인되지 않고 '학습에는 쓰지 않는다'는 약속만 남습니다. 이 둘은 성격이 다른 보호조치입니다. 개인정보 취급을 예민하게 보는 업종의 클라이언트를 맡고 있다면, 실제 운영에서 가림 처리가 유지되는지는 아임웹에 직접 확인해두는 편이 안전합니다. 공개된 방침 문서만으로는 판단할 수 없는 부분입니다.

거부하는 길은 하나로 좁혀집니다

개정본에는 국외 이전 거부에 관한 문단이 새로 들어갑니다. 정보주체가 거부할 수 있다고 먼저 밝히되, 이 이전이 서비스 제공에 필수적이기 때문에 거부하려면 해당 서비스 이용을 중단하거나 회원에서 탈퇴해야 하고, 그 경우 서비스의 전부 또는 일부를 이용할 수 없다는 내용입니다. 문의는 아임웹 개인정보 보호책임자 메일로 하도록 안내돼 있습니다. 공지 쪽에서도 개정 방침에 동의하지 않으면 탈퇴로 의사를 표시하라고 안내하고, 시행일 전까지 별도 이의가 없으면 동의한 것으로 본다고 밝히고 있습니다. AI 기능만 따로 끄고 나머지 기능은 그대로 쓰는 선택지는 공개된 방침 문서에서는 확인되지 않습니다. 클라이언트가 국외 이전을 꺼리는 경우에 제안할 수 있는 대안이 사실상 없다는 뜻이므로, 계약 전 단계에서 짚어두는 편이 낫습니다.

이번 개정은 기능 변화가 아니라 문서 변화입니다. 그래서 관리자 화면에서는 아무것도 달라 보이지 않습니다. 하지만 내 쇼핑몰 손님의 정보가 어디까지 가는지 설명해야 할 책임은 그대로 제작자와 운영자에게 남습니다. 9월 11일 개정 개인정보 보호법 시행에 맞춰 자사 사이트의 처리방침을 손볼 계획이 있다면, 플랫폼 쪽 변경 내역을 먼저 확인하고 반영 여부까지 함께 정리해두는 순서가 맞습니다. 시행일까지 남은 시간은 닷새입니다.

어디까지가 플랫폼의 몫이고 어디부터가 제작 범위인지는 프로젝트마다 갈립니다. 누끼토끼가 운영하는 강의와 칼럼에서 아임웹·식스샵·카페24의 이런 실무 경계를 사례별로 계속 정리하고 있습니다.