Google 폼과 GDPR: 알아야 할 것들

2026년 7월 업데이트 · 8분 읽기

EU나 영국 거주자로부터 데이터를 수집하는 데 Google 폼을 사용한다면 GDPR 관련 질문이 금방 떠오릅니다. 데이터는 어디로 가는지, 사람들에게 무엇을 알려야 하는지, 이것이 애초에 허용되는지 말입니다. 이 가이드는 GDPR이 대략적으로 요구하는 것, Google 폼 안에서 이에 맞추기 위해 실질적으로 할 수 있는 일, 그리고 그만큼 중요한, 폼이 부족한 부분을 다루어 언제 다른 곳을 찾아봐야 하는지 알 수 있게 합니다.

중요: 이것은 법률 자문이 아닙니다

이 글의 어떤 내용도 법률 자문이 아니며, 무언가를 보장하는 컴플라이언스 체크리스트로 취급되어서는 안 됩니다. GDPR 준수 여부는 구체적인 데이터, 조직, 역할(컨트롤러 대 프로세서), 활동하는 관할권에 따라 달라집니다. 민감한 데이터를 수집하거나, 대규모로 운영하거나, 규제 산업에 있다면, GDPR 관련 데이터 수집을 위해 어떤 폼 도구든 — Google 폼을 포함해 — 의존하기 전에 자격을 갖춘 개인정보 보호 전문가나 변호사와 상담하세요.

GDPR이 대략적으로 요구하는 것

모든 법적 세부사항을 다루지 않고 큰 틀에서 보면, GDPR은 EU나 영국 거주자로부터 개인정보를 수집할 때 일반적으로 다음을 기대합니다.

• 수집에 대한 법적 근거가 있어야 함 — 보통 동의이거나, 계약이나 서비스와 관련된 정당한 필요.
• 무엇을 왜 수집하는지 알려야 함 — 수집 시점 이전 또는 그 시점에 명확하게, 다른 곳에 묻혀 있지 않게.
• 사람들에게 자신의 데이터에 대한 권리가 있음 — 보유 중인 정보에 대한 접근 권리와 삭제 요청 권리 포함.
• 필요 이상으로 수집하지 않음 — 흔히 데이터 최소화라고 부르는 원칙.

Google 폼 안에서의 실질적 조치

이 중 어느 것도 그 자체로 준수를 보장하지는 않지만, 폼 제작자가 취할 수 있는 합리적이고 실질적인 조치입니다.

• 필수 질문으로 동의 체크박스 추가하기. 데이터를 수집하는 질문 전에 응답을 어떻게 사용할지 명시하는 체크박스 또는 객관식 질문을 추가하고 필수로 표시해 이를 확인하지 않으면 제출할 수 없게 하세요. Required 토글이 어떻게 작동하는지는 Google 폼의 필수 질문 가이드를 참고하세요.
• 필요 이상으로 수집하지 않기. 필드 하나하나가 이제 정당화하고, 저장하고, 결국 삭제해야 할 추가 개인정보입니다. 목적에 필수가 아닌 질문이라면 빼세요.
• 폼 설명에서 투명하게 밝히기. 폼 상단의 설명 필드를 사용해 응답이 어디에 쓰일지, 대략 얼마나 보관할지, 누가 볼 수 있는지를 명확히 밝히세요.
• '이메일 주소 수집'이 개인정보를 포착한다는 점 알기. Settings > Responses 아래의 이 설정은 응답자의 Google 계정 이메일을 자동으로 기록합니다. 켜져 있다면 공개하세요 — 이메일 주소는 이름과 마찬가지로 GDPR상 개인정보입니다.
• 삭제 요청에 대한 절차 마련하기. 누군가 데이터 삭제를 요청하면, 연결된 Google 스프레드시트를 열어 해당 행을 찾아 삭제하세요. Forms의 Responses 탭에서 개별 응답을 삭제할 수도 있습니다. 일괄, 자동화된 "이 사람 잊기" 버튼은 없습니다 — 수동 조회입니다.

응답이 실제로 저장되는 곳

Google 폼 응답은 폼 소유자의 Google Drive에, 스프레드시트를 연결했다면 같은 계정 내 해당 스프레드시트에 저장됩니다. 데이터가 물리적으로 어느 지역에 저장되는지는 특정 폼 안에서 설정하는 것이 아니라 소유자의 전체 Google 계정과 Workspace 설정에 달려 있습니다. Google 폼은 데이터를 EU 지역에 고정하거나 처리 위치를 제한하는 폼별 옵션을 제공하지 않습니다. 데이터 거주지가 사용 사례의 절대 요건이라면, 폼 설정으로 억지로 맞추려 하기보다는 해당 통제 기능을 갖춘 엔터프라이즈 설문 플랫폼을 살펴볼 이유가 됩니다.

Google 폼이 컴플라이언스 도구로서 부족한 부분

이 점은 솔직히 말할 필요가 있습니다. Google 폼은 GDPR 준수 제품으로 만들어지지 않았습니다. 전용 엔터프라이즈 설문 및 데이터 수집 플랫폼과 비교하면, 세밀한 동의 관리(누가 정확히 어떤 버전의 동의에 언제 동의했는지 기록하는 기능), 내장된 데이터 보관/자동 삭제 일정, 누가 응답에 접근했는지에 대한 감사 로그, 설정 가능한 데이터 거주지 통제 같은 것이 빠져 있습니다. 중요도가 낮은 내부 설문이나 일반적인 피드백 수집에는 위의 실질적 조치들이 어느 정도 도움이 됩니다. 민감한 범주의 데이터, 대량의 EU 응답자 데이터, 규제 감시가 관련된 경우라면 이 공백이 중요해집니다 — 그리고 설정과 잘 쓰인 설명 필드로 짜맞추기보다는 전문가를 데려와야 할 지점입니다.

특별 범주 데이터와 아동 데이터

GDPR은 건강 정보, 인종이나 민족 출신, 종교적 신념, 성적 지향, 생체 정보 등 특정 유형의 데이터를 더 위험도가 높고 더 엄격한 규칙이 적용되는 "특별 범주"로 취급합니다. HR, 의료 접수, 식이·접근성 질문이 있는 행사를 위해 만드는 폼이 이 중 어느 것이든 다룬다면, 적법한 수집의 기준은 일반적인 동의 체크박스보다 높으며, 폼에는 이런 필드에 대한 내장 분류나 추가 안전장치가 없습니다 — 특별 범주에 해당하는 답변도 다른 모든 것과 같은 스프레드시트 행에 놓입니다. HR 관련 폼을 만든다면 HR을 위한 Google 폼 가이드에서 직원 데이터에 특화된 데이터 처리 고려사항 일부를 다룹니다.

아동 데이터는 GDPR상 자체적인 고려사항을 지니며, 일반적으로 회원국마다 다른 특정 연령 기준 이하에서는 더 높은 수준의 동의(흔히 부모의 동의)를 요구합니다. 미성년자로부터 데이터를 수집한다면 — 학교 행사 등록이나 청소년 프로그램 신청 등 — 아이가 스스로 확인하는 체크박스에 의존하기보다 부모나 보호자의 동의 단계를 만들어 넣으세요.

Google 폼 vs. 전용 컴플라이언스 중심 플랫폼

이는 폼을 반대하는 주장이 아닙니다 — 대부분의 일상적인 폼은 엔터프라이즈급 컴플라이언스 도구가 필요하지 않습니다. 이는 그 경계선이 어디에 있는지 명확히 보고, 자신의 특정 폼이 어느 쪽에 속하는지 알고 판단할 수 있게 하는 방법일 뿐입니다.

Google 폼에서 흔히 저지르는 GDPR 실수

1. 공개 없이 '이메일 주소 수집'을 켜는 것. 이 설정이 활성화되어 있을 때는 폼 설명에 한 줄을 추가하세요.
2. 길고 모호한 개인정보 안내를 충분한 공개로 여기는 것. 무엇을 왜 수집하는지에 대한 짧고 구체적인 문장이 다른 곳에서 복사한 일반적인 문단보다 더 방어력이 있습니다.
3. "혹시 몰라서" 선택 필드를 수집하는 것. 엄밀히 필요하지 않은 필드는 결국 요청에 따라 정당화하거나 삭제해야 할 필드입니다. 질문 목록을 좁히고, 필드를 추가하는 대신 필수 필드가 받아들이는 내용을 제한해야 한다면 응답 유효성 검사 가이드를 참고하세요.
4. 접근 또는 삭제 요청에 대한 절차가 문서화되어 있지 않은 것. "연결된 스프레드시트를 확인하고, 이름으로 필터링하고, 행을 삭제한다" 같은 간단한 내부 메모라도 실제 요청이 들어왔을 때 시간에 쫓기며 방법을 찾는 것보다 낫습니다.
5. 잠긴 스프레드시트가 곧 잠긴 접근 권한이라고 가정하는 것. 연결된 스프레드시트에 편집이나 열람 권한이 있는 사람과 폼 자체의 협업자를 검토하세요. 누가 응답 데이터를 보고 변경할 수 있는지 제한하는 방법은 응답 편집 권한 가이드에서 다룹니다.

자주 묻는 질문

관련 가이드

• Google 폼에서 익명 설문을 진행하는 방법
• Google 폼의 필수 질문
• Google 폼에 협업자 추가하기
• 응답 편집 권한
• HR을 위한 Google 폼