| 등급 | 건수 | 내용 |
|---|---|---|
| 반드시 고칠 것 | 3 | 국외 이전 필수 기재사항 누락 · 개인정보 보호책임자 표기 요건 미충족 · 개인 Gmail 계정에서 고객 정보 처리 |
| 권장 | 4 | 처리 목적별 법적 근거 기재 · AI 기본법 사전 고지 · 이행보조자 면책 문구 · 거래기록 보관 근거 법령 |
| 확인 필요 | 2 | 분석 쿠키(GA4)의 처리 근거 · 수집 시점 안내 문구 |
| 적합 | - | 필수 기재 13개 항목 중 대부분, 의료 관련 고지, 재판관할, 약관 변경 고지 기간, 처리방침 명칭 구분 표시 |
근거: 개인정보 보호법 제28조의8 제2항. 처리방침 공개를 근거로 국외 이전을 하려면 이전 항목, 국가·시기·방법, 이전받는 자의 성명(법인은 명칭과 연락처), 이용 목적과 보유·이용 기간, 거부 방법·절차와 거부의 효과를 모두 적어야 합니다.
현재: 항목·국가·시기·방법·목적·기간은 있으나 Google·Vercel의 연락처가 없고, 거부 방법은 "이메일 또는 전화로 문의"뿐이며 거부 효과(서비스 이용 제한 여부)가 없습니다. 이전 근거 조항(제28조의8 제1항 제3호 가목)도 적혀 있지 않습니다.
근거: 개인정보 보호법 시행령 제31조. 처리방침에는 보호책임자의 성명 또는 개인정보 보호업무·고충 처리를 맡는 부서의 명칭과 전화번호 등 연락처를 적어야 합니다. 또한 법 제31조에 따라 보호책임자를 실제로 지정해야 합니다.
현재: "(주)AI오투오 개인정보 보호 담당"으로 적혀 있어 성명도 실제 부서명도 아닙니다. 열람 청구를 받는 부서도 따로 적혀 있지 않습니다.
근거: 개인정보 보호법 제26조(업무위탁)는 위탁자와 수탁자 사이에 처리 목적·안전조치·재위탁 제한 등을 문서로 정하도록 합니다. 처리방침 제5조는 Google을 "수탁자"로 적었지만, 개인용 Gmail 계정은 기업용 데이터 처리 계약이 붙는 구조가 아니어서 이 표기를 뒷받침하기 어렵습니다. 문의 서식은 이름·연락처를 받으므로 회사 계정에서 관리되어야 합니다.
근거: 개인정보보호위원회 「개인정보 처리방침 작성지침」(2025.4 개정)은 처리 목적별로 동의, 계약 이행, 법령 등 근거를 구분해 적도록 안내합니다. 개인정보 보호법 제15조 제1항 제4호(2023 개정)는 "계약을 체결하는 과정에서 정보주체의 요청에 따른 조치"에 필요한 경우 동의 없이 수집할 수 있게 합니다.
근거: 「인공지능 발전과 신뢰 기반 조성 등에 관한 기본법」(2026.1.22 시행) 제31조. 생성형 AI를 이용한 제품·서비스를 제공할 때 그 사실을 이용자에게 미리 알리고(이용약관 등), 결과물이 생성형 AI로 만들어졌음을 표시해야 합니다. 정부는 시행 초기 1년 이상 과태료를 부과하지 않는 계도기간을 운영 중이며, 위반 시 과태료는 1회 500만 원부터입니다.
현재: 이용약관에 AI 사용 고지가 없습니다. 진단 리포트 작성, 공식 답변 허브 콘텐츠 작성, 이미지·영상 생성(데모 스튜디오)에 생성형 AI를 씁니다.
근거: 약관의 규제에 관한 법률 제7조. 사업자·이행보조자의 고의·중과실 책임을 배제하거나, 상당한 이유 없이 사업자의 손해배상 범위를 제한하는 조항은 무효입니다.
현재: "외부 서비스(호스팅·AI 답변엔진·검색엔진 등)의 장애나 정책 변경 등 회사가 통제할 수 없는 사유"로 면책합니다. 호스팅처럼 회사가 고른 업체는 이행보조자로 볼 여지가 있습니다.
근거: 「전자상거래 등에서의 소비자보호에 관한 법률」의 보관 의무는 전자상거래·통신판매 거래를 대상으로 합니다. 이 서비스는 병원(사업자)과의 개별 계약이 중심이라 근거로 맞지 않을 수 있습니다.
국내에는 분석 쿠키에 사전 동의 배너를 요구하는 명문 규정이 없고, 처리방침에 수집 항목·목적·거부 방법을 공개하는 방식이 관행입니다(현재 제8조가 이 방식). 다만 쿠키 식별자와 결합된 방문 기록을 개인정보로 볼지, 근거를 "정당한 이익(법 제15조 제1항 제6호)"으로 둘지는 해석이 갈립니다. 해외 이용자(특히 EU) 비중이 커지면 동의 배너가 필요할 수 있습니다.
제15조 제1항 제4호로 동의 없이 받을 수 있지만, 서식 하단의 "입력 정보는 문의 회신 용도로만 사용합니다" 옆에 처리방침 링크와 "해외 서버(Google·Vercel)에 저장" 한 줄을 붙이면 투명성이 높아집니다(작성지침의 알기 쉬운 고지 원칙).
| 항목 | 근거 | 판단 |
|---|---|---|
| 처리 목적·항목·보유기간·파기·제3자 제공·정보주체 권리(10일 내 조치)·안전성 확보조치·자동수집장치·권익침해 구제·변경 고지 | 개인정보 보호법 제30조, 시행령 제31조 | 기재됨 |
| 처리방침 명칭을 다른 링크와 구분해 표시(푸터 굵게) | 시행령 제31조 공개 방법 | 적합 |
| 만 14세 미만·민감정보 미수집, 문의에 환자 정보 금지 안내 | 법 제22조의2, 제23조 | 적합 |
| 의료광고 사전심의 책임은 의료기관에 있음을 고지 | 의료법 제56조 제1항(광고 주체), 제57조(사전심의) | 적합. 회사는 의료광고의 주체가 될 수 없으므로 산출물 게시 책임 구분이 맞음 |
| AI 답변 노출을 보장하지 않는다는 고지 | 의료법 제56조 제2항(효과 보장 금지 취지), 표시광고법 | 적합 |
| 재판관할: 민사소송법에 따른 관할 법원 | 약관규제법 제14조(고객에게 부당하게 불리한 관할 합의 금지) | 적합 |
| 약관 변경 7일 전, 불리한 변경 30일 전 고지 | 약관규제법 제3조 취지, 업계 표준약관 | 적합 |
| 권익침해 구제 기관 연락처 (1833-6972, 118, 1301, 182) | 작성지침 | 적합 |