식당 예약 고객 개인정보 관리: 동의가 필요한 것과 아닌 것

"김OO 님, 4명, 010-1234-5678, 토요일 7시." 예약을 받는 순간 매장에는 이미 손님의 개인정보가 쌓이기 시작합니다. 그런데 이 정보를 어디까지 받아도 되는지, 동의서를 따로 받아야 하는지, 언제 지워야 하는지 정확히 아는 사장님은 많지 않습니다.

먼저 좋은 소식부터 말씀드리면, 예약에 필요한 성함과 연락처는 동의서 없이 받아도 됩니다. 법이 그렇게 정하고 있습니다. 대신 처리방침 공개나 파기처럼 규모와 상관없이 지켜야 하는 의무도 분명히 있습니다. 이 글에서는 개인정보 보호법 조문을 근거로, 식당이 지켜야 할 규칙과 지키지 않아도 되는 오해를 구분해 정리합니다. 예약에 필요한 최소한의 정보만 받는 수수료 0% 온라인 예약 장부를 쓰든 종이 수첩을 쓰든, 원칙은 같습니다.

예약 장부가 있으면 우리 매장도 개인정보처리자입니다

개인정보 보호법은 업무를 목적으로 개인정보를 체계적으로 다루는 모든 사업자를 "개인정보처리자"로 봅니다. 손님의 이름과 연락처가 정리되어 있는 예약 수첩, 단골 메모, 예약 시스템 계정이 있다면 매장 규모와 무관하게 여기에 해당합니다. 종이 장부라고 예외가 아닙니다. 이름과 연락처를 찾아볼 수 있게 정리해 둔 수기 대장도 법이 말하는 개인정보파일이 될 수 있습니다.

예전에는 온라인 서비스 사업자에게만 적용되는 특례 조항이 따로 있었지만, 2023년 3월 전면 개정으로 특례가 통합되어 지금은 온라인이든 오프라인이든 같은 규칙 하나만 적용됩니다. "우리는 전화로만 예약을 받으니 해당 없다"는 생각은 이제 통하지 않습니다. 다만 겁먹을 필요는 없습니다. 법이 작은 식당에 요구하는 것은 대기업 수준의 보안 체계가 아니라, 규모에 맞는 상식적인 관리입니다.

예약 정보는 동의서 없이 받아도 됩니다

가장 널리 퍼진 오해가 "개인정보는 무조건 동의를 받아야 한다"는 것입니다. 그렇지 않습니다. 개인정보 보호법 제15조 제1항 제4호는 "정보주체와 체결한 계약을 이행하거나 계약을 체결하는 과정에서 정보주체의 요청에 따른 조치를 이행하기 위하여 필요한 경우" 동의 없이 개인정보를 수집·이용할 수 있다고 정합니다. 예약은 손님과 매장 사이의 계약이고, 성함·연락처·인원·일시는 그 계약을 이행하는 데 필요한 정보입니다. 확인 연락이나 예약 변경 안내도 같은 목적 안에 들어갑니다.

2023년 개정 전에는 이 조항에 "불가피하게 필요한 경우"라는 단서가 있어 해석이 좁았지만, 개정으로 "불가피하게"가 삭제되어 계약에 필요한 경우라는 기준이 한층 명확해졌습니다. 그러니 예약 접수 화면이나 전화 응대에서 별도의 동의서·체크박스를 요구할 필요가 없고, 오히려 필요 없는 동의를 형식적으로 받는 관행이 좋지 않은 습관입니다. 핵심은 동의가 아니라 최소 수집입니다. 예약 이행에 필요한 항목만 받고, 생년월일이나 직장명처럼 목적과 무관한 정보는 애초에 묻지 마세요.

마케팅 연락은 별도의 동의가 필요합니다

동의 없이 수집한 예약 정보는 예약 목적 안에서만 쓸 수 있습니다. 신메뉴 안내나 할인 문자 같은 광고성 연락은 다른 목적이므로, 정보통신망법 제50조에 따라 명시적인 사전 수신 동의를 따로 받아야 합니다. 보낼 때는 제목에 "(광고)" 표기와 발신자 명칭·연락처, 무료 수신거부 방법을 담아야 하고, 오후 9시부터 다음 날 오전 8시까지는 별도 동의 없이 광고를 보낼 수 없습니다(이메일은 야간 제한의 예외 매체입니다). 예외가 하나 있는데, 유료 거래 관계에서 직접 연락처를 받은 손님에게는 거래일부터 6개월 안에 같은 종류의 재화·서비스 광고를 동의 없이 보낼 수 있습니다. 정리하면, 예약 확인과 리마인더는 자유롭게, 광고는 동의받은 손님에게만 보내는 것이 원칙입니다. 동의를 제대로 받아 두면 단골을 만드는 재방문 마케팅의 합법적인 기반이 됩니다.

개인정보 처리방침, 작은 식당도 의무입니다

개인정보 보호법 제30조는 모든 개인정보처리자에게 처리 목적, 보유 기간, 파기 절차, 정보주체의 권리, 책임자 연락처 등을 담은 개인정보 처리방침을 정해 공개하도록 합니다. 소상공인 면제 조항은 없습니다. 정하지 않거나 공개하지 않으면 1천만 원 이하의 과태료 대상입니다.

어렵게 들리지만 식당의 처리방침은 한 페이지면 충분합니다. 무엇을(성함·연락처·인원), 왜(예약 접수와 확인), 얼마나(방문 후 일정 기간), 누가 관리하는지(사장님 연락처)를 적어 자체 예약 페이지나 홈페이지, 네이버 플레이스 공지에 올려 두면 됩니다. 개인정보보호위원회가 배포하는 개인정보 처리방침 작성지침(2025년 4월 개정)에 업종별 예시가 있고, 개인정보 포털(privacy.go.kr)의 "처리방침 만들기" 도구를 쓰면 빈칸 채우기 방식으로 만들 수 있습니다.

다 쓴 정보는 지체 없이 파기하세요

제21조는 처리 목적을 달성해 불필요해진 개인정보를 "지체 없이" 복구할 수 없는 방법으로 파기하라고 정합니다. 손님이 다녀간 예약 건의 연락처를 언제까지고 쌓아 둘 근거는 없습니다. 지난 시즌의 수기 대장을 버릴 때는 이름과 번호가 보이지 않게 파쇄하세요.

예외는 다른 법령이 보존을 요구하는 경우입니다. 온라인으로 예약금이나 선결제를 받았다면 그 거래는 통신판매에 해당해, 전자상거래법 시행령 제6조에 따라 계약·청약철회와 대금결제 기록은 5년, 소비자 분쟁 처리 기록은 3년간 보존해야 합니다. 이렇게 보존하는 기록은 다른 개인정보와 분리해 저장하고, 보존 근거를 처리방침에 적어 두면 됩니다.

CCTV를 운영한다면 안내판부터 확인하세요

매장 CCTV도 개인정보 규제 대상입니다. 제25조에 따라 손님이 쉽게 볼 수 있는 곳에 설치 목적 및 장소, 촬영 범위 및 시간, 관리책임자의 연락처를 적은 안내판을 붙여야 합니다. 화장실이나 탈의 공간처럼 사생활 침해 우려가 큰 장소에는 설치 자체가 금지되고, 녹음 기능은 어떤 경우에도 쓸 수 없습니다. 설치 목적과 다른 곳을 임의로 비추는 것도 위반입니다. 안내판 문구는 개인정보 포털의 표준 예시를 그대로 쓰면 됩니다.

이것만은 절대 하지 마세요

• 리뷰 대응에 예약 연락처를 쓰지 마세요. 별점 테러에 화가 나도, 예약 때 받은 번호로 전화해 따지는 순간 제18조가 금지하는 목적 외 이용이 됩니다. 리뷰는 플랫폼의 정식 절차로 대응해야 하며, 방법은 악성 리뷰·별점 테러 대응법에 정리해 두었습니다.
• 동의 없는 수집·목적 외 이용을 가볍게 보지 마세요. 제15조나 제18조 위반에는 전체 매출액의 3% 이하 과징금까지 부과될 수 있습니다.
• 손님 연락처를 제3자에게 넘기지 마세요. 옆 가게 사장님에게 단골 번호를 알려 주는 선의도 법 위반입니다.
• 예약 수첩을 카운터에 펼쳐 두지 마세요. 앞 손님의 이름과 번호가 다음 손님에게 그대로 보이는 구조 자체가 관리 소홀입니다.
• 코로나 시절 습관으로 출입명부를 요구하지 마세요. 방역용 출입명부(QR·안심콜·수기명부) 의무는 2022년 2월 19일에 중단됐습니다. 지금 방문자 명부를 받는다면 그건 방역이 아니라 근거 없는 수집입니다.

실무에서는 이렇게 관리하세요

직원 누구나 고객 정보 전체를 볼 필요는 없습니다. 예약 확인에 필요한 사람에게 필요한 범위만 열어 주고, 퇴사한 직원의 계정과 공용 비밀번호는 바로 정리하세요. 네이버 예약이나 캐치테이블 같은 플랫폼으로 받은 예약은 플랫폼도 별도의 개인정보처리자이고, 자체 예약 시스템에 입력을 맡기는 것은 처리 위탁이니 처리방침에 한 줄로 구분해 적어 두면 됩니다.

이 점에서 계정별 접근 권한을 나눌 수 있는 온라인 예약 장부는 카운터의 수첩보다 구조적으로 안전합니다. ViteUneTable의 무료 플랜은 예약 이행에 필요한 정보만 받도록 설계되어 있고, 수수료 0%에 인원당 수수료도 없습니다. 다만 솔직히 말씀드리면, 어떤 도구를 쓰든 손님 정보에 대한 법적 책임자는 여전히 사장님입니다. 도구는 관리를 쉽게 해 줄 뿐, 의무를 대신 져 주지는 않습니다. 수첩에서 시스템으로 옮기는 방법이 궁금하다면 수기 예약 대장의 디지털 전환 가이드를 참고하세요.

자주 묻는 질문

예약받을 때 개인정보 동의서를 꼭 받아야 하나요?

아니요. 예약 이행에 필요한 성함·연락처·인원·일시는 개인정보 보호법 제15조 제1항 제4호의 계약 이행 근거로 동의 없이 수집할 수 있습니다. 동의가 필요한 것은 광고성 연락처럼 예약과 다른 목적으로 쓸 때입니다.

종이 예약 수첩만 쓰는 매장도 법 적용을 받나요?

받습니다. 이름과 연락처를 찾아볼 수 있게 정리한 수기 대장도 개인정보파일에 해당할 수 있고, 매장 규모나 기록 방식에 따른 면제는 없습니다. 처리방침 공개와 파기 의무도 동일하게 적용됩니다.

개인정보 처리방침은 어디에 어떻게 올리나요?

자체 예약 페이지, 홈페이지, 매장 게시물 등 손님이 쉽게 확인할 수 있는 곳에 공개하면 됩니다. 개인정보 포털(privacy.go.kr)의 작성지침과 만들기 도구를 쓰면 식당 기준 한 페이지 분량으로 만들 수 있습니다.

노쇼 위약금 청구를 위해 연락처를 보관해도 되나요?

분쟁 처리라는 목적이 남아 있는 동안은 보관할 수 있습니다. 온라인 선결제 예약이라면 전자상거래법에 따라 결제·계약 기록을 5년, 분쟁 기록을 3년 보존해야 하고, 이 경우 다른 정보와 분리해 저장하세요. 목적이 끝난 정보는 지체 없이 파기하는 것이 원칙입니다.

CCTV 안내판에는 무엇을 적어야 하나요?

설치 목적 및 장소, 촬영 범위 및 시간, 관리책임자의 연락처가 필수 항목입니다. 녹음은 금지이고, 화장실 등 사생활 침해 우려가 큰 장소에는 설치할 수 없습니다.

예약 손님에게 신메뉴 문자를 보내도 되나요?

사전 수신 동의를 받았다면 가능합니다. 다만 "(광고)" 표기와 무료 수신거부 안내가 필수이고, 오후 9시~오전 8시에는 별도 동의 없이 보낼 수 없습니다. 유료 거래 후 6개월 이내에 같은 종류의 서비스 광고를 보내는 경우만 예외입니다.