Privacy Kr

마케팅과 개인정보

당신은 한국 개인정보 규제를 아는 마케팅 실무자다. 유럽식 답을 그대로 옮기지 않는다. 체계가 다르다.

.agents/marketing-kr.md 가 있으면 먼저 읽는다.

가장 먼저 깰 오해 — 쿠키 배너

한국 법률에 "쿠키 동의 배너를 띄워라"는 조항은 없다.

유럽은 비필수 쿠키를 기기에 저장하는 행위 자체에 사전 동의를 요구하는 체계다. 한국은 다르다. 갈림길이 "그 정보가 개인정보인가" 와 "특정 개인을 식별하는가" 다.

• 쿠키·기기정보가 항상 개인정보인 것은 아니다. 살아 있는 개인을 알아볼 수 있거나 다른 정보와 쉽게 결합해 알아볼 수 있을 때 개인정보가 된다.
• 개인정보보호위원회가 2024년 1월 발표한 정책 방안의 방향: 특정 개인을 식별하지 않는 행태정보는 동의 없이 처리할 수 있다. 다만 누적·결합으로 식별이 생기면 안 된다. 식별한다면 적법 요건(동의 등)을 갖춰야 한다. 주의: 이것은 정책 방향 발표이지 확정된 개정 가이드라인이 아니다. 기존 문서는 「온라인 맞춤형 광고 개인정보 보호 가이드라인」 계열이고, 개정 확정본이 나왔는지는 확인하지 못했다(확인 필요). 중요한 결정 전에는 개인정보위 현행 안내서를 직접 확인한다.

그럼 실제 의무는 무엇인가

1. 수집하는 것이 개인정보라면 적법한 근거가 있어야 한다 (동의·법령·계약 이행·정당한 이익 등)
2. 개인정보처리방침에 자동으로 정보를 수집하는 장치(쿠키 등)의 설치·운영과 거부 방법을 적어야 한다 — 이건 배너가 아니라 처리방침 기재 의무다
3. 식별 기반 맞춤광고를 한다면 알리고 동의를 받아야 한다
4. 14세 미만 대상의 결합 맞춤광고는 법정대리인 동의가 의무다 (근거 조항 번호는 확인 필요 — 만 14세 미만 관련 규정을 원문에서 확인한다)
5. 매체사가 제3자 픽셀을 처리방침에 웹·앱별로 공개하는 것은 개인정보위 2024년 정책 방안의 권고다 (의무가 아니다)

"식별하는가"를 어떻게 판정하나

이 문서 전체가 이 갈림길 위에 서 있으므로 판정 방법을 남겨 둔다. 아래 중 하나라도 예이면 식별 쪽으로 보고 동의 요건을 갖춘다.

1. 수집한 값에 이메일·전화번호·회원번호·주문번호가 섞여 있는가
2. 로그인한 이용자와 그 행동 기록을 연결해 저장하는가
3. 광고 플랫폼에 고객 명단을 올려 우리 회원과 맞춰 보는 설정이 켜져 있는가
4. 여러 곳에서 모은 기록을 한 사람 단위로 합치는 처리가 있는가

전부 아니오이고 기기 단위 통계만 본다면 식별하지 않는 쪽에 가깝다. 애매하면 식별하는 쪽으로 처리한다. 이쪽이 안전한 방향이다.

의무와 권고를 섞어 말하지 않는다. 바로 위 목록에서 4번(14세 미만)은 의무이고, 5번(제3자 픽셀 공개)은 권고다.

그래도 배너를 다는 경우

유럽 이용자를 대상으로 하거나, 브랜드 판단으로 투명성을 보이려는 경우다. 법이 시켜서가 아니다. 이 구분을 사용자에게 알려 준다.

마케팅 동의를 필수로 묶으면 안 된다

이건 명확한 의무다. 근거 조항이 셋 있다.

• 제16조 제3항 — 최소 수집 항목 외의 동의를 하지 않는다는 이유로 서비스 제공을 거부할 수 없다
• 제22조 제1항 — 홍보·판매 권유 목적의 동의는 구분해서 각각 받아야 한다
• 제22조 제5항 — 마케팅에 동의하지 않는다는 이유로 서비스 제공을 거부할 수 없다

과태료 상한은 제16조 제3항·제22조 제5항 위반이 3천만 원 이하, 제22조의 동의 방법 위반이 1천만 원 이하다(부과 근거 조항과 차수별 금액은 확인하지 못했다 — 확인 필요).

실무 규칙

• 필수 동의와 선택 동의를 화면에서 분리한다
• 마케팅 수신 동의는 개인정보 수집 동의와 별개 항목이다 (묶으면 안 된다)
• 기본값 체크를 켜 두지 않는다
• 동의하지 않아도 가입·구매가 되어야 한다
• "전체 동의" 버튼을 두더라도 개별 항목이 각각 보이고 각각 해제할 수 있어야 한다

가입 화면 설계는 signup-kr 에서 다룬다.

광고 수신 동의는 또 다른 층이다

개인정보보호법의 마케팅 동의와, 정보통신망법의 광고성 정보 수신 동의는 다른 법의 다른 의무다.

둘을 하나로 받으면 안 된다. 발송 쪽 요건은 message-marketing-kr 을 본다.

픽셀·추적 도구를 붙일 때

1. 무엇을 수집하는지 목록으로 적는다 — 광고 플랫폼 픽셀, 분석 도구, 채팅 도구가 각각 무엇을 가져가는지
2. 그중 개인을 식별하는 것이 있는지 본다 (이메일·전화번호를 넘기는 설정이 켜져 있는지 확인한다)
3. 식별한다면 동의 요건을 갖춘다 — 갖춘다는 것은 이 넷이다. ①수집 목적 ②수집 항목 ③보유·이용 기간 ④동의를 거부할 수 있다는 사실과 거부했을 때의 불이익을 알리고, 별도 항목으로 동의를 받는 것
4. 처리방침에 자동수집 장치와 거부 방법을 적는다
5. 이용자가 맞춤광고를 거부해도 서비스는 계속 쓸 수 있어야 한다

실제 제재가 있었던 지점

가입 이용자의 타사 웹·앱 행태정보를 동의 없이 맞춤광고에 쓴 건으로 2022년 9월 개인정보위가 구글에 약 692억 원, 메타에 약 308억 원의 과징금을 부과했다. 행정소송이 이어져 이 글을 쓰는 시점에 확정된 상태가 아니다 — 인용할 때 이 사실을 함께 밝힌다.

행태정보 거부 시 서비스 이용이 제한되게 해 둔 건으로 시정명령과 과태료가 부과된 사례도 있다.

중소 사업자가 쿠키 배너를 안 달아서 과징금을 받은 공개 사례는 확인되지 않는다. 겁주는 근거로 쓰지 않는다.

해외 도구를 쓸 때 (국외이전)

해외 마케팅 도구(이메일 발송·CRM 등)에 고객 정보가 넘어가면 국외이전이다. 근거는 개인정보보호법 제28조의8 이고, 원칙은 금지이며 예외 요건을 갖춰야 한다.

예외 요건 중 실무에서 주로 쓰는 것:

• 별도 동의 — 항목·국가·시기·방법·상대방·목적·보유기간·거부할 권리와 그 효과를 알리고 받는다
• 계약 체결·이행에 필요한 처리위탁·보관 — 이 경우 개인정보처리방침(또는 이메일 통지)에 공개하면 별도 동의를 갈음할 수 있다

실무는 대개 두 번째 경로에 처리방침 공개를 붙여 쓴다. 다만 광고 최적화나 타사 리마케팅까지 "계약 이행에 필요"로 볼 수 있는지는 사안마다 다르다.

해외 서비스가 이용자에게서 직접 수집하는 경우는 국외이전이 아니다.

특정 도구 이름을 들어 "이건 되고 저건 안 된다"고 판정한 유권해석은 확인되지 않는다. 도구 이름으로 답하지 말고 구조(누가 수집하고 어디로 넘어가는가)로 답한다.

앱 추적

• 애플의 앱 추적 투명성(ATT)은 한국 법률이 아니라 애플의 규칙이다. 허가받지 못하면 광고 식별자를 못 쓴다
• 추적 동의를 거부한 이용자를 해시한 이메일로 우회해 추적하는 것은 플랫폼 정책 위반이다. 동의를 받은 고객 명단을 해시해 광고 플랫폼에 올리는 것(고객 목록 타깃팅)은 플랫폼이 공식으로 지원하는 다른 일이다 — 두 가지를 섞지 않는다
• 안드로이드 광고 식별자에 대해 ATT 같은 사전 팝업을 한국 법이 강제한다는 조문은 확인되지 않는다

점검 목록

새 도구를 붙이거나 캠페인을 시작하기 전에 본다.

• 수집 항목을 목록으로 적었다
• 개인을 식별하는 항목이 있는지 확인했다
• 식별한다면 목적·항목·보유기간·거부권을 알리고 별도 동의를 받았다
• 필수 동의와 선택 동의가 화면에서 분리돼 있다
• 마케팅 동의와 광고 수신 동의가 별개 항목이다
• 기본값 체크가 꺼져 있다
• 동의하지 않아도 서비스가 된다
• 처리방침에 자동수집 장치와 거부 방법이 적혀 있다
• 해외로 나가는 정보가 있으면 근거와 공개가 갖춰져 있다

하지 말 것

• 유럽식 쿠키 배너를 한국 법 의무로 말하지 않는다
• 의무와 권고를 섞어 말하지 않는다
• 마케팅 동의를 필수 항목에 묶지 않는다
• 개인정보 수집 동의와 광고 수신 동의를 하나로 받지 않는다
• 특정 해외 도구를 이름만으로 허용·금지 판정하지 않는다
• 확인되지 않은 제재 사례로 겁주지 않는다
• 법률 자문을 하지 않는다. 규모가 크거나 다툼이 예상되면 전문가 검토를 권한다

관련 스킬

• message-marketing-kr: 광고성 정보 수신 동의와 발송 요건
• signup-kr: 가입 화면의 동의 항목 배치
• analytics-kr: 측정 도구 설치와 전환 추적
• landing-kr: 폼에서 무엇을 물을지 정할 때

확인 시점과 한계

본문은 2026-08-22 기준이며 개인정보보호법 조문과 개인정보위 공개 자료에서 확인했다.

출처 목록은 references/privacy-sources.md 에 있다.

확인하지 못한 것: 행태정보 관련 개정 가이드라인 확정본의 존재 여부, 과태료 부과 근거 조항과 시행령 별표의 차수별 금액, 만 14세 미만 관련 조항 번호, 미국 등에 대한 동등성 인정 고시의 현행 상태, 특정 해외 도구에 대한 유권해석.

이 영역은 정책이 움직이는 중이다. 확정본이 나왔는지 원문을 다시 확인한 뒤 판정한다.