Custom Audience 업로드가 왜 제3자 제공에 해당하나

구글 애즈의 고객 일치 타겟팅이나 메타의 맞춤 타겟(Custom Audience)은 광고주가 보유한 회원 이메일·전화번호를 해시값으로 변환해 광고 플랫폼에 업로드하고, 플랫폼이 자사 로그인 정보와 매칭해 그 회원에게 광고를 노출하는 방식입니다. 이 과정에서 광고주의 고객 데이터가 플랫폼 서버로 전송되고, 플랫폼은 이 데이터를 매칭 알고리즘 운영과 자사 광고 상품 개선에도 함께 활용합니다. 이 지점에서 데이터를 받는 쪽(광고 플랫폼)의 이익이 발생하므로, 이는 앞서 다룬 처리위탁이 아니라 제3자 제공으로 분류됩니다.

제3자 제공에 해당하면 정보주체에게 어느 회사에, 어떤 목적으로, 어떤 항목을 제공하는지 구체적으로 고지하고 별도의 명시적 동의를 받아야 합니다. 회원가입 시 받은 수집·이용 동의만으로는 이 업로드를 정당화할 수 없습니다. "회원 정보를 마케팅에 활용한다"는 포괄적 동의 문구도 마찬가지로 부족합니다.

실제로 어떤 과징금 사례가 있었나

개인정보보호위원회는 메타(페이스북·인스타그램)가 맞춤형 광고를 위한 제3자 행태정보 수집에 동의하지 않은 이용자에게 사실상 서비스를 차단하는 방식으로 동의를 강요한 혐의로 2024년 약 308억 원의 과징금을 부과했습니다. 구글 역시 유사한 유형의 위반으로 약 692억 원의 과징금을 부과받았습니다. 두 회사 모두 "쿠키·행태정보는 개인정보가 아니다"라는 논리로 오랫동안 저항했지만, 결합 가능성과 실제 결합 여부를 기준으로 개인정보로 판단됐습니다.

이 사례들이 보여주는 핵심은, 광고 플랫폼이 글로벌 대기업이라도 한국 법을 위반하면 예외 없이 대규모 과징금 대상이 된다는 점입니다. 국내 광고주 입장에서는 "플랫폼이 알아서 관리하겠지"라고 안심할 근거가 없으며, 데이터를 업로드하는 광고주 자신이 동의 확보 책임을 진다는 점을 다시 확인해야 합니다.

"우리 회원이니까 괜찮다"는 판단이 왜 위험한가

DB 마케팅 실무에서 가장 흔한 착각은 "이미 회원가입한 고객이니 우리 데이터고, 우리가 알아서 활용해도 된다"는 생각입니다. 하지만 회원가입 동의는 대부분 자사 서비스 내에서의 활용(문자·이메일 발송 등)을 전제로 받은 동의이지, 제3자인 광고 플랫폼에 데이터를 넘기는 것까지 포함하지 않습니다. 목적이 다르면 별도 동의가 필요하다는 원칙이 여기서도 그대로 적용됩니다.

특히 탈퇴 회원이나 오래전에 수집한 이메일 리스트를 재활용해 Custom Audience를 만드는 경우는 더 위험합니다. 탈퇴한 회원의 개인정보는 원칙적으로 파기 대상이므로, 파기되지 않고 남아 있는 이메일 리스트를 광고 타겟팅에 쓰는 것은 여러 겹의 위반이 겹치는 상황이 됩니다.

실무에서는 어떻게 확인하고 진행해야 하나

Custom Audience나 고객 일치 타겟팅을 집행하기 전, 업로드하려는 이메일·전화번호 리스트가 제3자 제공 동의를 받은 회원인지부터 필터링해야 합니다. 동의 관리 시스템(CDP, CRM 등)에서 제3자 제공 동의 여부를 별도 필드로 관리하고 있다면, 캠페인 대상 리스트를 뽑을 때 이 필드를 기준으로 필터링하는 절차를 표준으로 만들어야 합니다.

동의 여부를 시스템적으로 구분하지 못하고 있다면, 전체 회원 대상 캠페인을 잠정 중단하고 동의 관리 체계부터 정비하는 것이 안전합니다. 과징금 규모가 매출액 기준으로 산정될 수 있다는 점을 고려하면, 캠페인 하나를 늦추는 비용보다 위반이 적발됐을 때의 비용이 훨씬 큽니다.

유사 타겟(Lookalike) 광고는 다른 문제가 없나

유사 타겟은 업로드한 고객 리스트를 씨앗 삼아 플랫폼이 비슷한 특성을 가진 새로운 이용자 그룹을 찾아 광고를 노출하는 방식입니다. 유사 타겟 자체는 광고를 새로운 이용자에게 보여주는 것이라 기존 고객에게 직접 영향을 주지 않는다고 생각하기 쉽지만, 씨앗이 되는 고객 리스트를 업로드하는 단계는 Custom Audience와 똑같이 제3자 제공 절차를 거쳐야 합니다. 즉 유사 타겟 광고도 출발점은 동일한 동의 문제를 안고 있습니다.

또한 유사 타겟으로 확장된 신규 이용자가 광고를 클릭해 자사몰에 유입되고 회원가입까지 이어지는 흐름 자체는 문제가 없지만, 그 유입 경로를 분석하기 위해 광고 플랫폼과 전환 데이터를 다시 주고받는 과정에서도 별도의 데이터 처리 이슈가 생길 수 있습니다. 픽셀·전환 API를 통한 데이터 전송 범위도 함께 점검하는 것이 안전합니다.

대행사에 캠페인을 맡겼다면 책임은 누구에게 있나

광고 대행사가 실제로 Custom Audience 업로드 작업을 대신 수행하더라도, 데이터의 원 소유자이자 동의를 받은 주체는 광고주입니다. 대행사가 "저희가 알아서 처리하겠습니다"라고 안내했다 해도, 동의받지 않은 데이터를 업로드해 위반이 발생하면 광고주도 함께 책임을 질 가능성이 큽니다. 대행사와 업무를 진행할 때는 업로드 대상 리스트의 동의 여부를 광고주가 직접 필터링해 전달하고, 대행사에는 그 필터링된 리스트만 넘기는 방식으로 역할을 나누는 것이 안전합니다.