답변
먼저 결론부터 말씀드리면, 이번 개정을 이유로 기존 회원 전체에게 마케팅 동의를 다시 받으라는 요구는 확인된 개정 항목에 들어 있지 않습니다. 2026년 9월 11일 시행된 개인정보 보호법 개정에서 확인되는 내용은 통지·신고 대상인 '유출등'에 위조·변조·훼손이 추가된 것, 실제 유출을 확인하기 전 유출 가능성을 알게 된 단계에서도 통지 의무가 생긴 것, 중대·반복 위반의 과징금 상한이 전체 매출액의 100분의 10으로 올라가고 개인정보 보호를 위한 사전 투자가 감경 사유로 신설된 것, 일정 규모 기업의 개인정보 보호책임자 지정·변경에 이사회 의결과 신고 의무가 붙고 미지정·자격미달에 과태료가 신설된 것, 그리고 사업주 또는 대표자를 최종 책임자로 규정한 것입니다. 유출 통지와 제재 수준, 보호책임자 거버넌스 쪽에 몰려 있는 개정이라는 뜻입니다. 다만 이 부분은 정직하게 한계를 밝혀두겠습니다. 국가법령정보센터 현행본의 본문과 부칙 원문을 직접 대조하지는 못했습니다. 해설 자료들은 이 개정을 '법률 제21445호, 2026년 3월 10일 공포, 2026년 9월 11일 시행'으로 소개하는데, 같은 시행일로 조회되는 법령 정보에서 다른 법률번호(제20897호, 2025년 4월 1일 공포)가 함께 나와 법률번호와 조문 번호를 여기서 단정하지 않겠습니다. 부칙 경과조치도 보호책임자 신고를 시행일부터 6개월 안에 하도록 한 유예 정도만 해설로 확인됐을 뿐, 동의의 효력에 관한 경과조치가 있는지는 원문으로 확인하지 못했습니다. 정확한 조문과 부칙은 국가법령정보센터(law.go.kr)에서 '개인정보 보호법' 현행본을 직접 열어 확인하시고, 개인정보보호위원회(pipc.go.kr)의 개정 안내 자료를 함께 보시는 것이 안전합니다. 그래서 실무에서 진짜 물어야 할 질문은 '법이 바뀌었으니 다시 받아야 하나'가 아니라 '지금 우리가 하려는 처리가 그때 받은 동의의 범위 안에 있나'입니다. 첫 번째 기준은 목적과 항목입니다. 동의서에는 수집 목적, 수집 항목, 보유·이용 기간, 동의 거부 권리와 거부 시 불이익이 명시돼 있어야 하고, '서비스 제공을 위해' 같은 포괄적 표현이나 '기타 필요한 정보' 같은 여지를 남기는 문구는 근거로 인정받기 어렵습니다. '이벤트·프로모션 안내'라는 목적으로 동의를 받았다면 그 범위 안에서는 추가 동의 없이 쓸 수 있지만, 생일 쿠폰을 보내려고 생년월일을 새로 받기 시작했다거나 신규 CRM 툴로 데이터를 넘기기 시작했다면 그 시점에 동의서를 갱신하고 필요한 동의를 새로 받으셔야 합니다. 실제 수집·활용 범위와 동의서에 적힌 범위가 어긋나는 순간부터 위반 소지가 생깁니다. 두 번째 기준은 그 동의를 어떤 화면으로 받았느냐입니다. 개인정보 보호법 제22조는 처리 목적별로 동의를 구분해 받도록 정하고 있어서, 수집·이용 동의와 제3자 제공 동의와 마케팅 활용 동의를 체크박스 하나에 묶어 '동의합니다' 한 줄로 처리한 일괄 동의는 목적별 구분 동의 원칙 위반으로 다뤄집니다. 이 방식으로 회원을 받아온 자사몰이라면 개정과 무관하게 기존 회원 전체에게 새 동의서 기준으로 재동의를 받는 절차가 필요할 수 있고, 재동의를 받는 동안에는 기존 일괄 동의로 확보한 마케팅 목적의 데이터 활용을 보수적으로 운영하시는 편이 안전합니다. 즉 '개정 때문에 다시 받아야 하는' 것이 아니라, 원래 기준에 맞지 않게 받아둔 동의였다면 지금이 정리할 시점이라는 쪽에 가깝습니다. 세 번째 기준은 데이터를 어디로 보내느냐입니다. 메타의 맞춤 타겟이나 구글 애즈의 고객 일치 타겟팅처럼 회원 이메일·전화번호를 해시값으로 바꿔 광고 플랫폼에 업로드하는 행위는 대부분 제3자 제공에 해당합니다. 플랫폼이 그 데이터를 매칭 알고리즘 운영과 자사 광고 상품 개선에도 활용해 받는 쪽의 이익이 생기기 때문에 처리위탁이 아니라 제3자 제공으로 분류되고, 어느 회사에 어떤 목적으로 어떤 항목을 제공하는지 구체적으로 고지하고 별도의 명시적 동의를 받아야 합니다. 회원가입 때 받은 수집·이용 동의나 '회원 정보를 마케팅에 활용한다'는 포괄 문구만으로는 정당화되지 않고, 유사 타겟도 씨앗 리스트를 올리는 단계는 똑같은 절차를 거쳐야 합니다. 참고로 개인정보보호위원회는 맞춤형 광고용 행태정보 수집에 동의하지 않은 이용자에게 사실상 서비스를 차단해 동의를 강요한 혐의로 메타에 약 308억 원, 구글에 약 692억 원의 과징금을 부과한 바 있습니다. 대행사에 맡겼더라도 동의를 받은 주체는 광고주이므로, 업로드 대상 리스트의 동의 여부는 광고주가 직접 필터링해 전달하고 대행사에는 걸러진 리스트만 넘기는 방식으로 역할을 나누시는 게 안전합니다. 다시 받아야 한다는 판단이 섰다면 절차는 이렇게 갑니다. 이메일이나 앱 푸시로 변경된 동의 항목을 안내하고, 선택 동의 항목별로 다시 체크할 수 있는 페이지로 유도합니다. 재동의를 요청할 때도 필수 동의와 선택 동의를 명확히 분리해 제시해야 하고, 재동의하지 않았다고 기존 서비스 이용에 불이익을 주면 안 됩니다. 화면 설계도 함께 고치셔야 합니다. 필수 항목과 선택 항목 체크박스를 물리적으로 분리하고 선택 항목의 기본값은 체크되지 않은 상태로 두며, 전체 동의 버튼을 두더라도 그 아래에서 개별 항목을 각각 켜고 끌 수 있어야 합니다. 동의율이 걱정되신다면 문구를 강제성 있게 바꾸는 대신 동의했을 때의 구체적 혜택을 안내하는 쪽으로 푸십시오. 혜택의 차등은 허용되지만 서비스 기능 자체를 막는 것은 강요된 동의 문제로 되돌아갑니다. 이 작업은 이후 신규 캠페인 데이터 활용의 기준이 되므로 법무 담당자와 일정을 맞춰 진행하시는 게 좋습니다. 마지막으로 행태정보·쿠키 쪽은 아직 확정되지 않은 논의가 섞여 있어 따로 짚어두겠습니다. 개인정보보호위원회는 '세이프 트랙(안전한 행태정보 처리 환경)' 조건을 지키면 동의 없이도 맞춤형 광고용 행태정보를 수집할 수 있다는 정책 방향을 밝힌 바 있지만, 그 조건이 최종 가이드라인으로 공식화되지는 않았습니다. 이걸 근거로 지금 동의 절차를 생략하는 것은 시기상조이고, 명시적 동의를 받는 방식이 현재로서는 가장 안전합니다. 배너는 '동의'와 '거부' 버튼을 같은 크기·같은 단계로 두고 필수 쿠키·분석 쿠키·광고 마케팅 쿠키를 카테고리별로 나눠 각각 켜고 끌 수 있게 하시면, 앞의 필수·선택 분리 원칙과 같은 맥락에서 안정적인 구조가 됩니다. 아동·청소년 대상 맞춤형 광고 제한도 2026년 업무 추진계획의 논의 과제로 제시돼 있을 뿐 확정된 시행령이나 가이드라인은 아니므로, 해당 이용자군이 있는 서비스라면 발표를 주시하며 대응을 준비해두시는 정도가 맞습니다.