구글폼 개인정보 수집 실수 7가지 — 2026 담당자 4단계 점검표

✅ 핵심 요약

• 이름·연락처를 한 칸이라도 받으면 그 설문은 개인정보 처리입니다. 경품 발송용 연락처도 예외가 아닙니다.

• 만들 때·배포 전·운영 중·종료 시 4단계로 점검하세요. 처리 근거, 결과 공개 설정, 다운로드 권한, 파기 기록이 핵심입니다.

• 문제를 발견하면 지우기 전에 먼저 캡처하고 보고하세요. 2026년 9월 11일부터 유출 ‘가능성’만으로도 72시간 이내 통지 의무가 생겼습니다.

설문 링크 하나가 왜 문제가 될까요?

만족도 조사, 행사 신청, 경품 이벤트. 담당자라면 한 달에도 몇 번씩 설문 링크를 만드시죠?

저도 교육을 설계할 때마다 사전 설문을 받습니다. 수강생의 실제 업무를 알아야 맞춤 커리큘럼을 짤 수 있거든요. 그런데 설문 문항을 고민하는 시간에 비해, 개인정보를 점검하는 시간은 늘 짧았습니다.

알고 보니 이 틈이 가장 위험한 지점이었습니다. 이 글은 장보윤 변호사의 강의 자료 「온라인 개인정보 수집 실무 리스크와 대응 사례」를 바탕으로, 조문과 공식 자료를 하나씩 대조해 정리했습니다.

[ 설문 링크 하나에도 개인정보 처리 의무가 따라옵니다]

 

📊 데이터 인사이트
개인정보보호위원회가 2025년에 처분한 유출 관련 사건 115건 중 원인 1위는 업무 과실(46%, 53건)이었습니다. 해킹(45%, 52건)보다 1건 많았습니다. 처분까지 가는 사고의 절반 가까이가 ‘사람의 실수’라는 뜻입니다.

---

Q. 어떤 설문부터 개인정보 처리인가요?

A. 누구인지 알아볼 수 있는 정보를 받는 순간부터입니다. 이름·휴대전화·이메일 중 한 칸만 있어도 해당합니다.

반대로 성별·연령대·지역·응답 내용만 받으면 보통 개인정보가 아닙니다. 다만 소속·직급·연령대를 함께 받아 누구인지 짐작할 수 있다면 개인정보가 됩니다(개인정보 보호법 제2조).

구분	받는 항목	판단
익명 설문	성별, 연령대, 지역, 응답	원칙적으로 개인정보 아님
조합 식별	소속 + 직급 + 연령대	누구인지 알 수 있으면 개인정보
실명 설문	이름, 연락처, 이메일	받는 순간 개인정보 처리

현장에서는 경품 때문에 연락처를 받는 경우가 많습니다. 정부 정책브리핑(2026.4.10)에 따르면, 외부 플랫폼으로 설문한 기관의 절반 이상이 경품 제공·당첨자 안내를 이유로 이름·연락처를 받았습니다. 개인정보위는 이후 공공기관에 외부 설문 플랫폼 유의사항을 공문으로 다시 알렸습니다.

---

현장에서 자주 나오는 실수 7가지는 무엇인가요?

강의 자료의 사례를 설문의 흐름에 맞춰 7가지로 정리했습니다. 각 항목의 근거 조문도 함께 적었습니다.

● 실수 1. 필요 없는 항목까지 필수로 받는다

행사 신청서에 생년월일·자택 주소·직급까지 필수로 두는 경우입니다. 기준은 하나입니다. 이 항목이 없으면 행사를 못 하는가?

‘예전부터 받았다’는 근거가 되지 않습니다. 최소 수집의 입증 책임은 수집하는 쪽에 있습니다(제16조). 참고로 홈플러스 경품 사건(대법원 2016도13263)에서는 추첨과 무관한 생년월일·자녀 수 등을 받으면서 판매 목적을 1mm 글씨로 고지한 것이 ‘거짓이나 부정한 수단’으로 판단됐습니다.

● 실수 2. 체크박스 한 줄로 동의를 끝낸다

“개인정보 수집에 동의합니다” 한 줄만 있는 화면입니다. 동의를 받는다면 목적·항목·보유 기간·거부권과 불이익 네 가지를 알려야 합니다(제15조 제2항).

공공기관이라면 한 단계 앞을 봐야 합니다. 이 조사가 동의 대상인지, 소관 업무 수행에 불가피한 경우(제15조 제1항 제3호)인지부터 정합니다. 어느 근거든 처리방침에 적어 둡니다.

● 실수 3. 도구를 확인하지 않는다

해외 서비스는 응답이 국외 서버에 저장될 수 있습니다. 이 경우 국외 이전 요건(제28조의8)을 검토해야 합니다. 국내 서비스라도 안전조치(제29조)와 위탁(제26조) 문제는 그대로 남습니다.

● 실수 4. 결과 공개 설정을 켜 둔다

‘응답 요약 보기’ 같은 공개 옵션이 켜져 있으면, 링크만 있어도 다른 사람의 응답을 볼 수 있습니다. 설정 스위치 하나가 응답자 전원의 정보를 노출시킵니다.

● 실수 5. 당첨자 명단을 그대로 게시한다

이름 일부, 전화번호 뒷자리, 거주지를 함께 올리면 누구인지 알 수 있습니다. 당첨 통보는 개별 연락이 원칙입니다. 꼭 공개해야 한다면 응모 단계에서 공개 목적·항목·기간을 알리고, 게시 종료일을 정해 내립니다.

● 실수 6. 폼을 지우면 끝났다고 생각한다

설문 폼 삭제와 개인정보 파기는 다른 일입니다(제21조). 응답은 이미 엑셀로 내려받아 여러 곳에 퍼져 있거든요.

● 실수 7. 외주를 주면 책임도 넘어간다고 여긴다

조사를 외부 업체에 맡겨도 관리 책임은 위탁자에게 남습니다. 오히려 수탁자 교육·감독 의무가 하나 더 생깁니다(제26조). 계약서에 조사 시스템, 저장·파기 방법, 재위탁 조건을 적어 두세요.

💡 핵심 포인트
7가지 실수는 모두 해킹이 아니라 설정과 습관의 문제입니다. 그래서 체크리스트 하나로 상당 부분을 막을 수 있습니다.

📌 바로 써보세요 — 설문 문항 최소수집 점검 프롬프트

"아래는 [행사명/조사명] 설문 문항 목록입니다. 목적은 [설문 목적]입니다. 각 문항마다 ① 목적 달성에 꼭 필요한지 ② 필수/선택 중 무엇이 맞는지 ③ 빼도 되는 이유를 표로 정리해 주세요. 개인을 알아볼 수 있는 항목 조합이 있으면 따로 표시해 주세요. [문항 목록 붙여넣기 — 응답 데이터는 넣지 마세요]"

👉 활용 상황: ChatGPT·Claude·Gemini에서 설문을 배포하기 전 문항을 줄일 때 씁니다.

[설문 응답은 내려받는 순간 여러 곳으로 복됩니다]

 

설문이 끝나면 어디를 확인해야 하나요?

강의 자료는 복제본이 남는 곳을 여섯 군데로 정리합니다. 설문이 끝나면 이 목록을 그대로 따라가 보세요.

📋 복제본 6곳 체크리스트
✅ ① 설문 플랫폼의 응답 DB
✅ ② 내려받은 엑셀 파일
✅ ③ 부서 공유폴더
✅ ④ 담당자 PC·메일함·메신저
✅ ⑤ 수탁업체 보유본
✅ ⑥ NAS·백업

근거 없는 것은 파기하고, 보관할 것은 기록이 남는 내부 시스템으로 옮깁니다. 그리고 파기 일시와 방법을 기록합니다. 기록이 없으면 나중에 파기했다는 사실을 입증할 수 없습니다.

접속 기록도 같습니다. 안전성 확보조치 기준 제8조는 접속기록을 1년 이상 보관하도록 합니다. 5만 명 이상이나 고유식별·민감정보를 처리하는 시스템은 2년 이상입니다.

---

2026년 9월 개정법, 설문 담당자에게 무엇이 달라졌나요?

개정 개인정보 보호법과 시행령·고시가 2026년 9월 11일부터 시행됐습니다. 설문 실무와 직접 닿는 변화만 추렸습니다.

항목	이전	2026.9.11 이후
통지 시점	유출 사실을 안 때부터 72시간	유출 가능성이 높다고 합리적으로 판단되면 72시간 이내 통지
통지 대상	분실·도난·유출	위조·변조·훼손까지 확대
과징금	전체 매출액 3% 이하	반복·대규모(1천만 명 이상)·시정명령 불이행 시 최대 10%
예방 투자	별도 감경 없음	투자 실적에 따라 기준금액의 최대 40% 감경

⚠️ 주의사항
결과 공개 설정이 켜져 있었다면, 실제로 누가 열어봤는지가 쟁점이 됩니다. 판례는 ‘볼 수 있는 상태’만으로 곧바로 유출이라 보지 않습니다(대법원 2011다24555). 하지만 접속 기록이 없으면 열람 여부를 확인할 수 없고, 개정법에서는 가능성만으로 통지 의무가 생길 수 있습니다.

---

설문 4단계 점검표는 어떻게 쓰나요?

강의 자료의 실무 체크리스트를 표로 옮겼습니다. 출력해서 설문 담당자 책상에 붙여 두기 좋습니다.

단계	확인할 것
01 만들 때	처리 근거(소관업무/동의) 결정 · 항목별 필요 이유 한 줄 · 동의라면 4가지 고지 · 주민등록번호·건강·장애 입력란 없음
02 배포 전	결과 공개·요약 보기 꺼짐 · 개인 계정이 아닌 기관 계정 · 해외 서비스면 국외이전 검토 · 처리방침 반영과 결재
03 운영 중	다운로드 권한 최소 인원 · 내려받은 파일 이동 통제 · 문의·삭제 요청 창구 · 당첨자 공개 항목·기간 최소화
04 종료 시	필요한 데이터만 내부 시스템으로 이전 · 외부 플랫폼·개인 계정 데이터 삭제 · 복제본 6곳 확인 · 파기 일시·방법 기록

⭐ 프리미엄 팁
공공기관은 업무용 민간 클라우드(SaaS)를 쓸 때 보안 인증·검증 요건이 있습니다. 2026년 4월 20일 발표에 따라 공공 클라우드 보안 검증은 2027년 7월부터 국정원 단일 검증으로 바뀔 예정입니다. 어떤 설문 도구를 써도 되는지는 기관 정보보안 담당과 먼저 확인하세요.

📌 바로 써보세요 — 배포 전 셀프 점검 프롬프트

"나는 [기관 유형: 공공기관/기업]의 설문 담당자입니다. [설문 도구명]으로 [설문 목적] 설문을 배포하려 합니다. 수집 항목은 [항목]이고, 경품 [있음/없음]입니다. 만들 때·배포 전·운영 중·종료 시 4단계로 확인할 항목을 체크리스트로 만들어 주세요. 법 조문을 인용할 때는 조문 번호를 적고, 확실하지 않으면 '확인 필요'라고 표시해 주세요."

👉 활용 상황: 결재 올리기 전 스스로 점검할 때 씁니다. 답변은 초안이니 기관 개인정보 담당과 교차 확인하세요.

[설문 개인정보 4단계 점검 흐름: 만들 때 → 배포 전 → 운영 중 → 종료 시]

문제를 발견하면 무엇부터 해야 하나요?

결론부터 말씀드리면, 지우지 마세요. 확인 전에 삭제하면 증거 인멸로 오해받을 수 있습니다. 발견 경로는 달라도 첫 대응의 순서는 비슷합니다.

발견 경로	먼저 할 일
자체 점검	현재 화면 캡처 → 설정 변경·응답 중단 → 부서장·개인정보 담당 보고
정보주체 문의	사실 확인 먼저 → ‘문제없다’고 미리 답하지 않기 → 접수 일시·내용 기록
외부 통보	통보 내용 보관 → 해당 링크·담당자 특정 → 기관 대응 창구 일원화
감사 지적	조치 이력 문서화 → 개인정보 보호책임자 보고 → 재발 방지 계획 첨부

💡 핵심 포인트
캡처하고, 접수를 멈추고, 보고한다. 이 세 가지가 72시간을 지키는 출발점입니다. 인지 시점은 기관이 입증해야 하므로 기록을 남기는 습관이 중요합니다.

---

AI를 설문 점검에 어떻게 활용하나요?

생성형 AI는 설문 문항과 안내문을 점검하는 데 쓰세요. 응답 데이터는 절대 넣지 않습니다. 개인정보를 지키려다 AI에 개인정보를 넘기는 일이 생기거든요.

도구	추천 활용
ChatGPT	문항별 필요성 표 만들기, 필수/선택 재분류
Claude	동의 안내문·처리 근거 안내문 문장 다듬기
Gemini	Google Workspace 환경의 설문 공유 설정 점검 질문
NotebookLM	기관 처리방침·지침 문서를 올려 근거 조항 찾기

📌 바로 써보세요 — 동의 안내문 작성 프롬프트

"[설문 목적] 설문에서 [수집 항목]을 받습니다. 보유 기간은 [기간]입니다. 개인정보 보호법 제15조 제2항의 4가지 고지 사항(목적, 항목, 보유·이용 기간, 거부권과 불이익)을 담은 동의 안내문을 표 형식으로 써 주세요. 필수 동의와 선택 동의를 나누고, 경품 발송용 연락처는 선택 항목으로 분리해 주세요."

👉 활용 상황: 체크박스 한 줄짜리 동의 화면을 고칠 때 씁니다.

📌 바로 써보세요 — NotebookLM 근거 찾기 프롬프트

"업로드한 [기관 개인정보 처리방침/내부 지침]에서 [설문 종류] 설문의 처리 근거로 쓸 수 있는 조항을 찾아 주세요. 조항 원문, 문서 위치, 적용 가능성을 표로 정리하고, 문서에 근거가 없으면 '근거 없음'이라고 답해 주세요."

👉 활용 상황: 소관업무로 처리할지 동의로 처리할지 판단 자료를 모을 때 씁니다.

---

자주 묻는 질문 FAQ

Q1. 이름 없이 연락처만 받아도 개인정보인가요?

네. 휴대전화번호나 이메일만으로도 특정인을 알아볼 수 있으면 개인정보입니다. 경품 발송용이라도 처리 근거와 보호 조치가 필요합니다.

Q2. 공공기관 만족도 조사는 항상 동의 없이 해도 되나요?

항상은 아닙니다. 소관 업무 수행에 ‘불가피한 경우’여야 동의 없이 처리할 수 있습니다. 경품 발송처럼 조사 자체에 꼭 필요하지 않은 항목은 따로 판단해야 하니, 기관 개인정보 담당과 먼저 정하세요.

Q3. 무료 설문 도구를 써도 되나요?

도구 자체보다 설정과 계정이 중요합니다. 개인 계정이 아닌 기관 계정을 쓰고, 결과 공개 옵션을 끄고, 해외 서비스면 국외 이전을 검토하세요. 공공기관은 도입 가능 여부를 정보보안 담당과 확인해야 합니다.

Q4. AI가 만들어 준 체크리스트를 그대로 믿어도 되나요?

초안으로만 쓰세요. AI는 조문 번호나 기준을 틀리게 말할 수 있습니다. 국가법령정보센터 원문과 기관 담당자 확인을 거쳐야 합니다.

Q5. 오늘 당장 무엇부터 하면 되나요?

지금 열려 있는 설문의 결과 공개 설정부터 확인하세요. 그다음 이미 끝난 설문의 엑셀 파일이 어디에 남아 있는지 복제본 6곳 목록으로 점검하시면 됩니다.

---

설문 개인정보, 결국 무엇이 핵심일까요?

이름을 한 칸이라도 받으면 개인정보 처리입니다. 처분까지 가는 원인의 절반 가까이는 해킹이 아니라 업무 실수입니다. 그리고 문제를 알게 되면 캡처하고, 멈추고, 보고합니다.

AI 교육을 할 때도 저는 “AI가 대신 판단하게 하지 말고, 점검을 빠르게 하는 데 쓰자”고 말씀드립니다. 설문 개인정보 점검이 딱 그런 영역입니다.

🚀 함께 나눠 주세요
이 글이 도움이 되셨다면, 같은 고민을 하고 계신 동료분께 공유해 주세요.
필요할 때 다시 찾아보실 수 있도록 저장해 두셔도 좋습니다.

여러분 기관에서는 설문 종료 후 파일을 어떻게 관리하고 계신가요? 댓글로 나눠 주시면 함께 고민해 보겠습니다.

 

출처 및 확인처
· 국가법령정보센터 — 개인정보 보호법·시행령, 개인정보의 안전성 확보조치 기준 — https://www.law.go.kr
· 개인정보보호위원회 — https://www.pipc.go.kr
· 대한민국 정책브리핑, 「개보위 “온라인 설문 시 개인정보 보호 위해 노력”」(2026.4.10) — korea.kr
· 개인정보위, 2025년 개인정보 유출 신고 및 조사·처분 사례 분석(2026.5.15 발표)
· 대법원 2017.4.7. 선고 2016도13263 판결 / 대법원 2014.5.16. 선고 2011다24555 판결
위 정보는 2026년 10월 1일 기준입니다. 법령과 지침은 공식 출처에서 반드시 재확인하시기 바랍니다. 이 글은 법률 자문이 아니며, 개별 사안은 기관 개인정보 담당자나 전문가와 확인하세요.

---

글쓴이 | 배미주 박사

휴먼AI융합교육원 · AI·AX 교육 컨설턴트

기업과 공공기관의 실제 업무를 분석하여 생성형 AI를 업무에 적용할 수 있도록 교육과 실행 체계를 설계합니다. 단순한 AI 도구 사용법을 넘어, 조직과 직무별 업무를 AI가 수행할 수 있는 구조로 재설계하고, 교육생이 배운 그날 자신의 업무에 적용하도록 돕습니다.

🌐 홈페이지 : https://www.humanai-edu.kr/

📩 공공기관·기업 맞춤형 AI 교육 문의는 홈페이지 또는 댓글로 남겨주세요.
사전 설문으로 실제 업무를 파악한 뒤 기관별 맞춤 커리큘럼으로 설계해 드립니다.

작성일 : 2026년 10월 · 본 글은 장보윤 변호사의 강의 자료 「온라인 개인정보 수집 실무 리스크와 대응 사례」와 공식 법령·보도자료를 바탕으로 작성했습니다.