왜 마케터가 개인정보의 법적 정의부터 알아야 하나

캠페인을 설계할 때 가장 먼저 부딪히는 질문은 "지금 다루는 이 데이터가 법이 말하는 개인정보에 해당하는가"입니다. 회원 이름, 전화번호, 이메일 주소처럼 그 자체로 특정 개인을 가리키는 정보는 누구나 개인정보라고 판단할 수 있습니다. 문제는 그 경계에 걸쳐 있는 데이터, 즉 쿠키값이나 광고 ID처럼 겉보기에는 무작위 문자열로 보이는 정보입니다.

이 구분을 잘못하면 두 가지 방향으로 실수하게 됩니다. 필요 이상으로 보수적으로 굴어 데이터를 활용하지 못하거나, 반대로 "이건 개인정보가 아니다"라고 안이하게 판단해 동의 없이 리타겟팅에 쓰다가 규제 대상이 되는 경우입니다. 실제로 이 두 번째 실수 때문에 국내외 대형 플랫폼들이 상당한 규모의 과징금을 부과받은 사례가 있습니다.

행태정보는 언제 개인정보가 되나

개인정보보호위원회는 쿠키, 픽셀, 광고 ID 등으로 수집되는 행태정보를 원칙적으로 개인정보와 구분해서 다룹니다. 하나의 쿠키값만 놓고 보면 그 자체로는 누구인지 특정할 수 없기 때문입니다. 하지만 여러 행태정보를 결합하거나, 회원 이메일·전화번호 같은 다른 정보와 연결해 특정 개인을 식별할 수 있게 되면 그 순간부터 개인정보로 취급됩니다.

핵심은 "결합 가능성"입니다. 마케터가 실제로 결합할 계획이 없다고 주장해도, 기술적으로 결합이 쉽고 실제로 결합해 활용하는 구조라면 개인정보 보호 규정이 적용됩니다. 광고 플랫폼에 이메일 해시값과 광고 ID를 함께 전달해 맞춤형 광고를 집행하는 구조가 대표적인 예입니다. 이 경우 쿠키나 ADID만 따로 떼어 "익명 데이터"라고 부르는 것은 법적으로 인정받기 어렵습니다.

가명정보와 비식별 데이터는 어떻게 다른가

가명정보는 추가 정보 없이는 특정 개인을 알아볼 수 없도록 이름·연락처 같은 식별자를 대체하거나 삭제한 정보를 말합니다. 예를 들어 회원 데이터베이스에서 이름과 전화번호를 삭제하고 대신 임의의 회원 코드를 부여한 뒤, 그 코드와 실제 신원을 연결하는 매핑 테이블을 별도로 안전하게 분리 보관하는 방식입니다. 가명정보는 개인정보와 완전히 별개는 아니지만, 통계 작성이나 연구 목적 등 특정 조건에서는 정보주체 동의 없이도 처리할 수 있는 별도 규정을 적용받습니다.

반면 마케팅 현장에서 흔히 쓰는 "비식별 데이터"라는 표현은 법률 용어가 아니라 업계 관행 표현에 가깝습니다. 쿠키값·광고 ID·디바이스 ID를 비식별 데이터라고 부르더라도, 앞서 설명한 결합 가능성 기준을 통과하면 언제든 개인정보로 재분류될 수 있다는 점을 전제로 다뤄야 합니다.

실무에서는 어떤 기준으로 판단해야 하나

가장 안전한 접근은 "이 데이터를 다른 데이터와 결합해 누군가를 특정할 수 있는가"를 먼저 자문하는 것입니다. 회원 DB의 이메일과 광고 플랫폼의 매칭용 해시값을 연결하는 구조라면, 그 프로젝트는 처음부터 개인정보 처리 프로젝트로 설계해야 합니다. 반대로 정말로 통계적 집계에만 쓰이고 개별 식별로 되돌릴 수 없는 구조라면 상대적으로 규제 부담이 적은 영역에 속합니다.

이 판단을 마케팅팀 혼자 내리기보다, 데이터를 어떤 플랫폼에 어떤 형태로 전달하는지를 법무·개인정보보호 담당자와 함께 검토하는 절차를 두는 편이 안전합니다. 결합 가능성 판단은 기술적 세부사항에 따라 달라지기 때문에, 캠페인 기획 초기 단계에 이 검토를 넣어야 나중에 광고 소재만 바꾸는 수준으로 문제를 해결할 수 없는 상황을 피할 수 있습니다.

마케터가 자주 헷갈리는 경계 사례는 무엇인가

현장에서 가장 많이 나오는 질문은 "고객센터에 남긴 문의 내용도 개인정보인가", "구매 이력만 따로 뽑아 쓰면 괜찮은가" 같은 것들입니다. 문의 내용 자체에는 이름이 없더라도 회원 계정과 연결된 로그로 저장된다면, 그 계정 정보와 결합해 특정 개인을 식별할 수 있으므로 개인정보로 다뤄야 합니다. 구매 이력도 마찬가지로 회원 ID나 주문번호와 묶여 있다면 개인정보의 일부로 취급됩니다.

반대로 "이번 달 20대 여성 구매 비중은 몇 %인가"처럼 집계된 통계 수치만 뽑아 보고서에 쓰는 경우는, 개별 회원으로 되돌릴 수 없는 형태라면 개인정보 처리로 보지 않는 경우가 많습니다. 다만 이 판단도 표본 수가 너무 적어 역으로 개인을 특정할 위험이 있는지까지 따져봐야 하므로, 소규모 세그먼트를 다룰 때는 특히 주의가 필요합니다.

또 하나 흔한 오해는 "동의 없이 수집한 쿠키 데이터라도 광고 플랫폼이 자체적으로 매칭하니 우리 책임은 아니다"라는 생각입니다. 데이터를 넘기는 주체는 광고주이므로, 플랫폼의 매칭 방식과 무관하게 광고주가 동의 확보 책임을 집니다. 이 오해 하나 때문에 캠페인 전체가 규제 대상이 되는 경우가 실무에서 반복적으로 나타납니다.