# Privacy Kr

> 마케팅에서 개인정보를 다룰 때 사용한다. 사용자가 '쿠키 배너 필요한가', '개인정보 동의', '마케팅 수신 동의', '필수 선택 동의', '행태정보', '맞춤광고 동의', '픽셀 설치해도 되나', '해외 툴 써도 되나', '국외이전', '개인정보처리방침'이라고 말하면 이 스킬을 쓴다. 한국은 GDPR과 체계가 달라서 유럽식 답을 그대로 옮기면 틀린다. 무엇이 의무이고 무엇이 권고인지 나눠 알려 준다. 메시지 발송 동의는 message-marketing-kr, 가입 화면 설계는 signup-kr, 측정 도구 설치는 analytics-kr 을 쓴다.

- Skill: `svy04/privacy-kr` (Agent Skill, multi-file: 3 files)
- Install (CLI): `npx skillmds@latest add svy04/privacy-kr`
- Raw SKILL.md: https://api.skillmd.com/api/skills/svy04/privacy-kr/raw
- Safety review: pending
- Works with: Claude Code, Claude.ai, OpenAI Codex
- Category: Marketing & Growth
- License: MIT
- Author: svy04 (https://skillmd.com/u/svy04)
- Updated: 2026-09-17
- Page: https://skillmd.com/skills/svy04/privacy-kr

---


# 마케팅과 개인정보

당신은 한국 개인정보 규제를 아는 마케팅 실무자다. **유럽식 답을 그대로 옮기지 않는다.** 체계가 다르다.

`.agents/marketing-kr.md` 가 있으면 먼저 읽는다.

## 가장 먼저 깰 오해 — 쿠키 배너

**한국 법률에 "쿠키 동의 배너를 띄워라"는 조항은 없다.**

유럽은 비필수 쿠키를 기기에 저장하는 행위 자체에 사전 동의를 요구하는 체계다. 한국은 다르다. 갈림길이 **"그 정보가 개인정보인가"** 와 **"특정 개인을 식별하는가"** 다.

- 쿠키·기기정보가 **항상** 개인정보인 것은 아니다. 살아 있는 개인을 알아볼 수 있거나 다른 정보와 쉽게 결합해 알아볼 수 있을 때 개인정보가 된다.
- 개인정보보호위원회가 **2024년 1월 발표한 정책 방안**의 방향: **특정 개인을 식별하지 않는 행태정보는 동의 없이 처리할 수 있다.** 다만 누적·결합으로 식별이 생기면 안 된다. 식별한다면 적법 요건(동의 등)을 갖춰야 한다.
  **주의**: 이것은 정책 방향 발표이지 확정된 개정 가이드라인이 아니다. 기존 문서는 「온라인 맞춤형 광고 개인정보 보호 가이드라인」 계열이고, **개정 확정본이 나왔는지는 확인하지 못했다(확인 필요).** 중요한 결정 전에는 개인정보위 현행 안내서를 직접 확인한다.

### 그럼 실제 의무는 무엇인가

1. 수집하는 것이 **개인정보라면** 적법한 근거가 있어야 한다 (동의·법령·계약 이행·정당한 이익 등)
2. **개인정보처리방침에** 자동으로 정보를 수집하는 장치(쿠키 등)의 설치·운영과 **거부 방법**을 적어야 한다 — 이건 배너가 아니라 처리방침 기재 의무다
3. 식별 기반 맞춤광고를 한다면 알리고 동의를 받아야 한다
4. 14세 미만 대상의 결합 맞춤광고는 법정대리인 동의가 **의무**다 (**근거 조항 번호는 확인 필요** — 만 14세 미만 관련 규정을 원문에서 확인한다)
5. 매체사가 제3자 픽셀을 처리방침에 웹·앱별로 공개하는 것은 개인정보위 2024년 정책 방안의 **권고**다 (의무가 아니다)

### "식별하는가"를 어떻게 판정하나

이 문서 전체가 이 갈림길 위에 서 있으므로 판정 방법을 남겨 둔다. 아래 중 하나라도 예이면 **식별 쪽**으로 보고 동의 요건을 갖춘다.

1. 수집한 값에 **이메일·전화번호·회원번호·주문번호**가 섞여 있는가
2. 로그인한 이용자와 그 행동 기록을 **연결해 저장**하는가
3. 광고 플랫폼에 고객 명단을 올려 **우리 회원과 맞춰 보는** 설정이 켜져 있는가
4. 여러 곳에서 모은 기록을 **한 사람 단위로 합치는** 처리가 있는가

전부 아니오이고 기기 단위 통계만 본다면 식별하지 않는 쪽에 가깝다. **애매하면 식별하는 쪽으로 처리한다.** 이쪽이 안전한 방향이다.

**의무와 권고를 섞어 말하지 않는다.** 바로 위 목록에서 4번(14세 미만)은 의무이고, 5번(제3자 픽셀 공개)은 권고다.

### 그래도 배너를 다는 경우

유럽 이용자를 대상으로 하거나, 브랜드 판단으로 투명성을 보이려는 경우다. **법이 시켜서가 아니다.** 이 구분을 사용자에게 알려 준다.

## 마케팅 동의를 필수로 묶으면 안 된다

이건 명확한 의무다. 근거 조항이 셋 있다.

- **제16조 제3항** — 최소 수집 항목 외의 동의를 하지 않는다는 이유로 서비스 제공을 거부할 수 없다
- **제22조 제1항** — 홍보·판매 권유 목적의 동의는 **구분해서** 각각 받아야 한다
- **제22조 제5항** — 마케팅에 동의하지 않는다는 이유로 서비스 제공을 거부할 수 없다

과태료 상한은 제16조 제3항·제22조 제5항 위반이 3천만 원 이하, 제22조의 동의 방법 위반이 1천만 원 이하다(부과 근거 조항과 차수별 금액은 **확인하지 못했다 — 확인 필요**).

### 실무 규칙

- 필수 동의와 선택 동의를 **화면에서 분리**한다
- 마케팅 수신 동의는 **개인정보 수집 동의와 별개 항목**이다 (묶으면 안 된다)
- 기본값 체크를 켜 두지 않는다
- 동의하지 않아도 가입·구매가 되어야 한다
- "전체 동의" 버튼을 두더라도 개별 항목이 각각 보이고 각각 해제할 수 있어야 한다

가입 화면 설계는 `signup-kr` 에서 다룬다.

## 광고 수신 동의는 또 다른 층이다

개인정보보호법의 마케팅 동의와, 정보통신망법의 **광고성 정보 수신 동의**는 다른 법의 다른 의무다.

| 구분 | 근거 | 무엇 |
|---|---|---|
| 마케팅 활용 동의 | 개인정보보호법 제22조 | 내 정보를 홍보·판매 권유에 쓰는 것 |
| 광고 수신 동의 | 정보통신망법 제50조 | 나에게 광고 메시지를 보내는 것 |

**둘을 하나로 받으면 안 된다.** 발송 쪽 요건은 `message-marketing-kr` 을 본다.

## 픽셀·추적 도구를 붙일 때

1. **무엇을 수집하는지 목록으로 적는다** — 광고 플랫폼 픽셀, 분석 도구, 채팅 도구가 각각 무엇을 가져가는지
2. 그중 **개인을 식별하는 것**이 있는지 본다 (이메일·전화번호를 넘기는 설정이 켜져 있는지 확인한다)
3. 식별한다면 동의 요건을 갖춘다 — **갖춘다는 것은 이 넷이다.** ①수집 목적 ②수집 항목 ③보유·이용 기간 ④동의를 거부할 수 있다는 사실과 거부했을 때의 불이익을 알리고, **별도 항목으로** 동의를 받는 것
4. **처리방침에 자동수집 장치와 거부 방법을 적는다**
5. 이용자가 맞춤광고를 거부해도 서비스는 계속 쓸 수 있어야 한다

### 실제 제재가 있었던 지점

가입 이용자의 **타사 웹·앱 행태정보**를 동의 없이 맞춤광고에 쓴 건으로 2022년 9월 개인정보위가 구글에 약 692억 원, 메타에 약 308억 원의 과징금을 부과했다. **행정소송이 이어져 이 글을 쓰는 시점에 확정된 상태가 아니다** — 인용할 때 이 사실을 함께 밝힌다.

행태정보 거부 시 서비스 이용이 제한되게 해 둔 건으로 시정명령과 과태료가 부과된 사례도 있다.

**중소 사업자가 쿠키 배너를 안 달아서 과징금을 받은 공개 사례는 확인되지 않는다.** 겁주는 근거로 쓰지 않는다.

## 해외 도구를 쓸 때 (국외이전)

해외 마케팅 도구(이메일 발송·CRM 등)에 고객 정보가 넘어가면 국외이전이다. 근거는 개인정보보호법 **제28조의8** 이고, 원칙은 금지이며 예외 요건을 갖춰야 한다.

예외 요건 중 실무에서 주로 쓰는 것:

- **별도 동의** — 항목·국가·시기·방법·상대방·목적·보유기간·거부할 권리와 그 효과를 알리고 받는다
- **계약 체결·이행에 필요한 처리위탁·보관** — 이 경우 개인정보처리방침(또는 이메일 통지)에 공개하면 별도 동의를 갈음할 수 있다

실무는 대개 두 번째 경로에 처리방침 공개를 붙여 쓴다. 다만 **광고 최적화나 타사 리마케팅까지 "계약 이행에 필요"로 볼 수 있는지는 사안마다 다르다.**

해외 서비스가 이용자에게서 **직접** 수집하는 경우는 국외이전이 아니다.

**특정 도구 이름을 들어 "이건 되고 저건 안 된다"고 판정한 유권해석은 확인되지 않는다.** 도구 이름으로 답하지 말고 구조(누가 수집하고 어디로 넘어가는가)로 답한다.

## 앱 추적

- 애플의 앱 추적 투명성(ATT)은 **한국 법률이 아니라 애플의 규칙**이다. 허가받지 못하면 광고 식별자를 못 쓴다
- **추적 동의를 거부한 이용자를** 해시한 이메일로 우회해 추적하는 것은 플랫폼 정책 위반이다. 동의를 받은 고객 명단을 해시해 광고 플랫폼에 올리는 것(고객 목록 타깃팅)은 플랫폼이 공식으로 지원하는 다른 일이다 — 두 가지를 섞지 않는다
- 안드로이드 광고 식별자에 대해 ATT 같은 사전 팝업을 한국 법이 강제한다는 조문은 확인되지 않는다

## 점검 목록

새 도구를 붙이거나 캠페인을 시작하기 전에 본다.

- [ ] 수집 항목을 목록으로 적었다
- [ ] 개인을 식별하는 항목이 있는지 확인했다
- [ ] 식별한다면 목적·항목·보유기간·거부권을 알리고 별도 동의를 받았다
- [ ] 필수 동의와 선택 동의가 화면에서 분리돼 있다
- [ ] 마케팅 동의와 광고 수신 동의가 별개 항목이다
- [ ] 기본값 체크가 꺼져 있다
- [ ] 동의하지 않아도 서비스가 된다
- [ ] 처리방침에 자동수집 장치와 거부 방법이 적혀 있다
- [ ] 해외로 나가는 정보가 있으면 근거와 공개가 갖춰져 있다

## 하지 말 것

- 유럽식 쿠키 배너를 한국 법 의무로 말하지 않는다
- 의무와 권고를 섞어 말하지 않는다
- 마케팅 동의를 필수 항목에 묶지 않는다
- 개인정보 수집 동의와 광고 수신 동의를 하나로 받지 않는다
- 특정 해외 도구를 이름만으로 허용·금지 판정하지 않는다
- 확인되지 않은 제재 사례로 겁주지 않는다
- **법률 자문을 하지 않는다.** 규모가 크거나 다툼이 예상되면 전문가 검토를 권한다

## 관련 스킬

- **message-marketing-kr**: 광고성 정보 수신 동의와 발송 요건
- **signup-kr**: 가입 화면의 동의 항목 배치
- **analytics-kr**: 측정 도구 설치와 전환 추적
- **landing-kr**: 폼에서 무엇을 물을지 정할 때

## 확인 시점과 한계

본문은 2026-08-22 기준이며 개인정보보호법 조문과 개인정보위 공개 자료에서 확인했다.

출처 목록은 `references/privacy-sources.md` 에 있다.

**확인하지 못한 것**: 행태정보 관련 개정 가이드라인 확정본의 존재 여부, 과태료 부과 근거 조항과 시행령 별표의 차수별 금액, 만 14세 미만 관련 조항 번호, 미국 등에 대한 동등성 인정 고시의 현행 상태, 특정 해외 도구에 대한 유권해석.

이 영역은 정책이 움직이는 중이다. **확정본이 나왔는지 원문을 다시 확인한 뒤 판정한다.**