세 법의 요구 방식은 어떻게 다른가

GDPR은 개인 데이터 처리에 정당한 근거를 요구하고, 광고 추적처럼 개인화가 걸린 처리에는 사실상 동의를 전제로 운영됩니다. 과징금은 2단계 구조로, 경미한 위반은 최대 1,000만 유로 또는 전 세계 연매출 2%, 중대한 위반은 최대 2,000만 유로 또는 전 세계 연매출 4% 중 더 큰 금액을 상한으로 합니다.

CCPA·CPRA는 산정 방식이 다릅니다. 매출 비율이 아니라 위반 1건·소비자 1인당 정액 과태료를 규정하며, 2025년 기준 비의도적 위반 2,663달러, 고의적 위반 7,988달러 수준으로 조정된 것으로 안내됩니다. 매출 대비 비율로 위험을 계산하던 습관을 그대로 옮기면 미국 쪽 리스크를 과소평가하게 됩니다. 이용자 수가 많을수록 총액이 커지는 구조이기 때문입니다.

중국 PIPL은 무엇을 더 요구하나

PIPL은 2021년 8월 20일 통과돼 2021년 11월 1일 시행됐습니다. 국외 이전에 대해서는 별도 동의를 요구하는데, 이는 특정 처리 목적을 개별적으로 고지한 뒤 명시적으로 받는 강화된 동의여서 여러 목적을 묶어 받은 동의로는 충족되지 않습니다.

마케팅 활용에 대한 해석도 국내와 다릅니다. 광저우인터넷법원의 국외이전 판결에서는 개인정보를 이용한 영업·마케팅 활동이 계약 이행에 필요한 처리로 인정되지 않았고, 별도 동의가 없으면 위법하다는 판단이 나왔습니다. 개별 사건 판결이라 모든 사안에 그대로 적용된다고 단정할 수는 없지만, "서비스 이용 동의에 마케팅이 포함된다"는 전제를 중국에 그대로 옮기면 위험하다는 신호로는 읽힙니다. 제재로는 불법 수익 몰수와 함께 최대 5,000만 위안 또는 직전 연도 매출액 5% 과징금, 영업 정지까지 규정된 것으로 해설되지만 이는 상한이지 표준 부과율이 아닙니다.

한국 기준은 어디에 맞물리나

국내 사업자가 해외 시장을 다룰 때 가장 먼저 걸리는 조항은 국외 이전입니다. 개인정보 보호법 제28조의8은 개인정보의 국외 제공·처리위탁·보관을 원칙적으로 금지하고, 정보주체의 별도 동의를 받거나 계약 이행에 필요해 처리방침에 공개·고지한 경우 등 법이 정한 예외가 있을 때만 허용합니다. 해외 클라우드나 해외 마테크 도구를 쓰는 순간 이 조항의 적용 여부를 따져야 합니다.

동의를 받는 방식도 별도 규정이 있습니다. 제22조는 처리 목적별로 구분해 동의를 받도록 하며, 수집·이용 동의와 제3자 제공 동의, 마케팅 활용 동의는 각각 별도 체크박스로 분리해야 합니다. 또한 쿠키·픽셀·광고 ID로 수집되는 행태정보는 단독으로는 개인정보가 아니지만, 결합해 특정 개인을 식별할 수 있으면 개인정보에 해당한다는 점도 함께 봐야 합니다.

추적 설정은 어떤 축으로 나눠야 하나

첫 번째 축은 지역입니다. 유럽 이용자에게는 동의 전까지 광고·분석 태그가 개인 식별 데이터를 보내지 않도록 기본 상태를 거부로 두고, 동의 이후 상태를 갱신하는 구조로 만듭니다. 미국은 주별로 요구가 갈리므로 옵트아웃 링크와 판매·공유 거부 처리 경로를 갖추는 쪽이 중심이 됩니다. 중국은 별도 동의와 이전 경로 요건이 걸리므로, 데이터를 국외로 빼는 설계 자체를 재검토하는 편이 낫습니다.

두 번째 축은 데이터 종류입니다. 익명 집계 지표와 개인 식별자가 붙는 데이터를 같은 태그에서 처리하지 말고 분리합니다. 고객 리스트를 매체에 올릴 때 쓰는 해시 매칭은 원본을 평문으로 넘기지 않는 구조지만, 해시라고 해서 국외 이전이나 제3자 제공 판단이 면제되지는 않습니다. 구글 고객 매치는 SHA256(Hex) 해싱과 함께 공백 제거·소문자 변환·전화번호 E.164 정규화를 요구하고, 메타 맞춤 타겟도 SHA-256 해싱을 전제로 합니다. 규격을 지키는 것과 법적 근거를 갖추는 것은 별개의 문제입니다.

도구를 도입할 때 무엇을 먼저 물어야 하나

도입 검토 단계에서 물어야 할 첫 질문은 데이터센터 위치입니다. 서버가 어디에 있는지에 따라 국외 이전 해당 여부가 갈리고, 그에 따라 필요한 동의와 문서가 달라집니다. 두 번째 질문은 계약 성격입니다. 우리 업무를 대신 수행하고 이익이 우리에게 귀속되면 처리위탁이고, 받는 쪽이 자기 이익을 위해 쓰면 제3자 제공이라 필요한 동의와 계약 문서가 다릅니다.

세 번째로 브라우저 환경 변화도 함께 봐야 합니다. 구글은 2024년 7월 크롬의 제3자 쿠키 폐지 계획을 철회했고, 2025년 10월에는 Privacy Sandbox 핵심 API 다수를 종료했습니다. 반면 사파리와 파이어폭스는 이전부터 기본값으로 제3자 추적 쿠키를 차단해 왔습니다. 규제와 브라우저 정책은 별개의 축이므로, 법 대응을 마쳤다고 측정 손실까지 해결되는 것은 아닙니다.