내 바이브코딩 앱, 개인정보보호법 위반일까? 30초 자가진단

"회원가입 받는 순간, 당신도 개보법 대상입니다"

Lovable나 Cursor로 앱을 만들어 이메일 주소 하나라도 수집하고 있다면, 규모와 상관없이 개인정보보호법(개보법) 적용 대상입니다. "우리는 작으니까 괜찮겠지"는 통하지 않습니다. 실제로 2025년 개인정보보호위원회 민간 처분의 절반가량이 중소·소규모 사업자였습니다.

다행히 1만 명 미만 소상공인이라면 대부분 완화된 기준(유형1) 이 적용돼, 지켜야 할 것이 생각보다 적습니다. 아래 체크리스트만 넘기면 큰 위험은 피할 수 있습니다.

1. 개인정보처리방침, 올렸나요?

가장 흔한 위반이자 가장 쉬운 실수입니다. 처리방침 미공개는 그 자체로 1천만 원 이하 과태료 대상입니다. 홈페이지 하단에 링크 하나만 있으면 되는데, 바이브코딩으로 빠르게 만든 앱은 이걸 빼먹는 경우가 대부분입니다.

2. 처리방침에 이 항목들, 다 들어 있나요?

형식만 갖춘 처리방침은 오히려 위험합니다. 아래는 반드시 들어가야 하는 필수 기재사항입니다.

• 개인정보의 처리 목적
• 보유·이용 기간
• 제3자 제공 여부 (Supabase·Vercel 같은 해외 서비스 사용 시 특히 중요)
• 파기 절차·방법
• 개인정보 보호책임자의 성명·연락처 ← 가장 많이 빠지는 항목
• 정보주체의 권리·행사 방법
• 쿠키 등 자동수집장치 운영 여부

이 중 개인정보 보호책임자 연락처 누락이 압도적으로 많습니다. 1인 개발자라면 본인이 보호책임자입니다.

3. 전송 구간은 암호화돼 있나요? (HTTPS)

로그인·회원정보를 주고받는데 http://로 돌아간다면 안전조치 의무 위반입니다. Vercel·Netlify로 배포했다면 기본이 HTTPS라 보통 문제없지만, 커스텀 도메인 연결 시 인증서가 빠지는 경우가 있으니 확인하세요.

4. 데이터베이스, 로그인 없이 열리지 않나요?

법 조항은 아니지만 실제 사고의 90%가 여기서 납니다. Supabase를 RLS(행 수준 보안) 설정 없이 쓰면, 브라우저에 노출된 anon 키만으로 누구나 회원 테이블 전체를 조회할 수 있습니다. 이건 단순 과태료가 아니라 유출 사고이고, 유출 시에는 72시간 내 신고 의무와 과징금(매출의 일정 비율)까지 걸립니다.

이건 처리방침으로 해결되지 않습니다. 실제로 뚫리는지 확인해야 합니다.

5. 유출되면 72시간, 알고 계셨나요?

개인정보가 유출된 사실을 알게 되면 72시간 이내에 정보주체에게 통지하고 개인정보보호위원회(또는 KISA)에 신고해야 합니다. 사고가 난 뒤 절차를 찾기 시작하면 늦습니다. 미리 흐름만 알아두세요.

---

지금 30초 만에 확인해 보세요

위 항목 중 몇 개나 자신 있게 "네"라고 답할 수 있나요? 코드보안 무료 진단은 처리방침 필수 항목 누락, HTTPS 적용 여부, Supabase 데이터 노출 위험을 주소만 넣으면 한국어로 점검해 드립니다. 가입도 필요 없습니다.

이 글은 일반적인 정보 제공이며 법률 자문이 아닙니다. 구체적 사안은 전문가와 상담하세요.