개인정보보호법과 마케팅 — 쿠키·리타겟팅·제3자 제공 규제 조사 원문

조사 대상: 12code(마케팅 지식백과) — 개인정보보호법 마케팅 준수 실무 가이드
조사 기간: 2026-08-29
조사 방식: 공식 법령(국가법령정보센터), 개인정보보호위원회 과징금 사례, 판례
대상 독자: 마케팅·광고 담당자, 광고주, 광고 플랫폼 운영사

1. 개인정보보호법 기본 구조 — 마케팅 동의의 3가지 층위

1.1 개인정보보호법 제15조 — 동의 요건

규정: 개인정보처리자는 개인정보를 수집·이용하려면 정보주체의 명시적 동의를 받아야 한다. 법령에 따라 개인정보를 수집할 수 있는 경우(세금, 신용조사 등)는 예외다.

마케팅 실무 의미:

• 고객의 이름, 이메일, 전화번호를 수집할 때 동의 필수
• '서비스 제공 목적'과 '마케팅 목적'은 별개의 동의로 분리되어야 함
• "회원가입 = 자동 마케팅 수신" 방식은 법적으로 무효

1.2 개인정보보호법 제22조 — 동의의 '분리' 원칙

규정: 동의를 받을 때 처리 목적별로 구분해서 받아야 한다.

세 가지 필수 동의 항목:

위반 사례:

❌ 잘못된 방식
[✓] 회원가입 및 마케팅 수신에 동의합니다

⭕ 올바른 방식
[✓] 회원가입 및 서비스 이용에 동의합니다 (필수)
[✓] 광고 플랫폼에 정보 제공에 동의합니다 (선택)
[✓] 마케팅 메일 수신에 동의합니다 (선택)

2026년 규제 강화:

• 2026년 이후 모호한 표현("서비스 개선", "운영 최적화") 금지
• "구글 애즈에 고객 이메일 제공" 같이 구체적이어야 함

2. 쿠키·행태정보와 개인정보의 법적 구분

2.1 행태정보 = 개인정보인가?

법적 기준 (개인정보보호위원회):

단독 행태정보 (쿠키 1개, 광고 ID 1개)
   ↓ (개인정보 ❌)

여러 행태정보 결합
   ↓ (예: 쿠키 + 광고 ID + 구글 계정)

다른 정보와 결합
   ↓ (예: 쿠키 + 이메일, 광고 ID + 휴대폰 번호)

특정 개인 식별 가능 ✓ (개인정보로 판단)

핵심:

• 쿠키 자체만으로는 개인정보가 아니다
• 그러나 결합 가능성이나 실제 결합이 있으면 개인정보다
• "쿠키는 개인정보 아니니 동의 필요 없다"는 주장은 법적 보호를 받지 못함

2.2 구글·메타 과징금 — 쿠키 전쟁

판례 의미: 한국 법원과 개인정보보호위원회는 국제적으로 가장 엄격하게 행태정보를 개인정보로 인정하고 있다. 구글·메타 같은 글로벌 기업도 한국에서 천억 대 과징금을 피할 수 없었다.

3. 리타겟팅 광고와 제3자 제공 동의

3.1 리타겟팅의 법적 정의

리타겟팅이란: 고객이 웹사이트를 방문했을 때 쿠키를 심어 나중에 다른 사이트에서 광고를 보여주는 기법.

핵심 당사자:

• 고객의 데이터를 수집한 곳: 귀사 웹사이트
• 데이터를 받는 곳: 구글 애즈, 메타 비즈니스, 네이버 클릭스 등 광고 플랫폼

3.2 제3자 제공 동의의 필수 요소

리타겟팅을 시작하려면 다음이 반드시 필요하다:

1단계: 고객 동의

• "구글 애즈에 고객 이메일·방문 이력을 제공합니다" 명시
• "메타에 고객 클릭 데이터를 제공합니다" 명시
• 모호한 표현 금지

2단계: 개인정보처리방침에 기록

• 제3자 회사명
• 제공 정보 항목
• 제공 목적(맞춤형 광고)
• 제공 데이터 보유 기간

3단계: 문제 발생 대비

• 고객의 동의 철회 권리 명시
• 철회 방법(메일, 웹 양식 등) 제시

3.3 메타 서비스 거부 사건 — 동의의 '자유로움'

사건: 메타는 사용자가 맞춤형 광고를 위한 제3자 행태정보 제공을 거부했을 때 Facebook·Instagram 서비스 자체를 사용하지 못하게 차단했다.

위반 판정:

• 동의는 자유로워야 한다는 원칙 위반
• 동의 거부 시 기본 서비스 이용 불가는 강제 동의와 동일한 위반

과징금: 66억 원 (서비스 차단 추가 위반)

마케팅 실무 교훈:

• "동의하지 않으면 가입 불가"는 위반
• "동의하지 않으면 맞춤형 광고 미지원" 같이 '기본 서비스 유지' 전제 필수

4. 광고메일과 정보통신망법

4.1 정보통신망법 제50조 — 광고성 정보 전송 동의

규정: 전자메일, 문자메시지, 앱 푸시, 카톡 등을 이용해 영리 목적의 광고성 정보를 전송하려면:

• 명시적 사전 동의 필수
• 단순 '수신거부 버튼'은 법적으로 불충분

광고메일의 예:

• "오늘의 쿠폰 30% 할인"
• "새로운 상품 입고 안내"
• "회원 전용 세일 정보"

뉴스레터의 예:

• "산업 뉴스 레터"
• "전문가 칼럼"
• (순수 정보 제공은 '광고성'이 아닐 수 있음 — 법적 판단 필요)

4.2 광고메일 동의의 실무 절차

올바른 절차:

1. 가입 시점

   이메일/문자로 광고성 정보를 받으시겠습니까?
   [✓] 받겠습니다 (선택)
   [ ] 받지 않겠습니다 (기본값)
   

2. 동의 받은 후

   • 동의 여부 기록 저장 (법적 증거)
   • 발송 시간, 발송 내용 기록

3. 2년마다 재확인 ⚠️

   • 정보통신망법 시행규칙: "매 2년마다 수신자에게 동의 여부 확인"
   • 미이행 시 3천만 원 이하 과태료

4.3 광고메일 위반 시 제재

2026년 개정:

• 기존 과태료(3천만 원)에 매출액 비례 과징금 추가
• 대규모 광고사는 훨씬 높은 과징금 부과 가능

5. 개인정보보호법 제39조 — 과징금 기준

5.1 과징금 계산 방식

기준:

과징금 = 연간 매출액 × 3% (상한)

실제 사례:

계산 과정:

1. 위반 행위와 관련된 사업 부문의 매출액 추정
2. 위반 기간과 심각도 고려
3. 3% 상한 내에서 최종 금액 결정

5.2 과징금과 과태료의 차이

6. 세이프 트랙(Safe Track) — 동의 면제 조건

6.1 세이프 트랙이란

배경: 개인정보보호위원회는 "안전한 행태정보 처리 환경(Safe Track)" 조건을 만족하면 일부 동의 요건을 완화해 줄 수 있다는 입장을 밝혔다.

현재 상황 (2026년 8월):

• 최종 가이드라인 공식화 대기 중
• 정책 개발 진행 단계
• 기업들은 아직도 '공식 세이프 트랙' 기준을 명확히 알 수 없음

6.2 예상되는 세이프 트랙 요소

공식화되지 않았지만, 일반적으로 다음 조건들이 검토되고 있다:

1. IP 마스킹: 사용자 IP 주소 익명화
2. 쿠키 TTL 제한: 쿠키 유효 기간을 6개월 이내로 제한
3. 투명성 강화: 개인정보처리방침에 행태정보 수집 명시
4. 사용자 통제: 행태정보 수집 거부 옵션 제공
5. 데이터 최소화: 필요한 최소 정보만 수집

6.3 현재 권장 전략

세이프 트랙이 최종 확정될 때까지는:

• 명시적 동의를 기본으로 운영
• 세이프 트랙 조건 선제 준수 (미래 준비)
• 개인정보보호위원회 정책 동향 주시

7. 동의 철회와 처리 중단

7.1 사용자 권리 — 동의 철회

법적 근거: 개인정보보호법 제15조, 정보통신망법 제50조

권리 내용:

• 고객은 언제든지 동의를 철회할 수 있음
• 철회 이후 귀사는 즉시 정보 수집·이용 중단 필수
• 이미 수집된 정보는 '제공받은 목적 범위 내'에서만 보유 가능

마케팅 실무:

7.2 동의 철회 처리 시간

법적 기준:

• "지체 없이(지연 없이)" 처리
• 일반적으로 2~3일 이내 권장
• 시스템 자동 처리가 베스트 프랙티스

8. 제3자 데이터 수집 — 광고 플랫폼 통합

8.1 일반적인 리타겟팅 흐름

1단계: 고객 웹사이트 방문
       └─ 쿠키 저장 (귀사 웹사이트)

2단계: 고객 동의 획득
       └─ "구글에 방문 데이터 제공 동의합니다" (필수)

3단계: 구글 애즈에 고객 ID 업로드
       └─ 이메일, 고객 ID, 클릭 이력 등

4단계: 구글이 고객 프로필 생성
       └─ "이 사람은 구매 의도 높음" 판단

5단계: 다른 사이트에서 맞춤형 광고 노출
       └─ 고객이 거부하지 않는 한 계속

8.2 각 단계별 법적 책임

귀사의 책임:

• 처음 두 단계를 법적으로 완벽히 이행
• "우리는 동의 받았으니 문제없다"는 것은 위험한 오해
• 구글이 그 데이터를 위반하면 귀사도 연대 책임질 수 있음 (메타 사건 참조)

9. 2026년 개인정보보호 규제 강화 요약

9.1 주요 변화

9.2 기업 체크리스트

지금 바로 확인할 것:

• 회원가입 동의 폼에 3가지 항목 분리 (수집·제3자·마케팅)
• 개인정보처리방침에 제3자 회사명 명시
• 광고메일 발송 기록 (발송일, 동의 상태) 보관
• 2년 재확인 발송 스케줄 등록
• 동의 철회 기능 웹사이트에 표시
• 구글/메타 등과 데이터 연동 약관 재검토

10. 마케팅 실무 시나리오별 법적 판단

10.1 상황 1: 뉴스레터 발송

상황: 수신자가 가입할 때 "뉴스레터 수신"에 동의했다. 2년이 지났는데 재확인을 안 했다. 계속 발송해도 되나?

답변: ❌ 정보통신망법 제50조의2 위반 우려.

• 2년마다 재확인 필수
• 미이행 시 3천만 원 과태료
• 즉시 재확인 이메일 발송 + 가입 기간 리셋 필요

10.2 상황 2: 리타겟팅 광고 시작

상황: 고객 DB 10만 명을 구글 애즈에 업로드해서 맞춤형 광고를 시작하려 한다. 모두 동의를 받았나 확인할 자료가 없다.

답변: ❌ 개인정보보호법 위반 고위험.

• 제3자 제공 동의 기록 필수
• 동의 없는 업로드 = 과징금 대상
• 즉시 자료 정리 + 재동의 캠페인 시작 권장

10.3 상황 3: 거부 고객 계속 메일 발송

상황: 고객이 메일 수신을 거부했는데 신입 직원이 과거 DB에서 리스트를 뽑아 계속 발송했다.

답변: ❌ 명백한 위반 + 이중 적발.

• 거부 후 발송 = 정보통신망법 제50조 위반
• 발송 기록 위조 + 관리 부실 = 추가 과징금
• 즉시 중단 + 고객 사과 + 내부 규정 점검

10.4 상황 4: 세이프 트랙 준수 후 동의 제외?

상황: "우리는 IP 마스킹, 쿠키 6개월 제한 등을 다 했으니 동의 안 받아도 되겠지?"

답변: ⚠️ 현재 미권장. 2026년 말까지 기다릴 것.

• 세이프 트랙 최종 가이드라인 미확정
• 발표 전까지 명시적 동의 유지 필수
• 세이프 트랙 조건은 선제 준수하되, 동의는 분리 유지

11. 출처 및 참고 자료

공식 법령

• 개인정보보호법(국가법령정보센터)
• 정보통신망법 제50조(국가법령정보센터)
• 개인정보보호법 제39조의15(과징금 부과기준)

개인정보보호위원회 과징금 사례

• 메타 맞춤형 광고 제3자 정보 수집 미동의 사건(308억 원)
• 틱톡·애플 강제 동의 사건(105억 원)
• 카카오 개인정보 관리 미흡(151억 원)

정책·가이드라인

• 개인정보보호위원회 — 쿠키 및 행태정보 보호 정책
• 개인정보보호위원회 — 맞춤형 광고 정책방안
• 정보통신망법 광고성 정보 전송 가이드라인

판례 및 해설

• 메타 맞춤형 광고 타사 행태정보 수집 사건 해설
• 구글·메타 1000억원 과징금 사건 해설

12. FAQ — 자주 묻는 질문

Q1. 쿠키는 개인정보 아니라고 들었는데?

A: 쿠키 단독으로는 개인정보 아니지만, 이메일·휴대폰 같은 다른 정보와 결합하면 개인정보가 된다. 그 결합 가능성만 있어도 준용할 수 있다. 구글·메타가 천억 대 과징금을 받은 것도 이 논리다.

Q2. 동의 받은 지 1년 9개월이면 재확인 안 해도 되나?

A: 아니다. 매 2년마다 재확인하는 것이 의무다. 2년이 되기 전에 한 번이라도 더 하는 것이 법리상 안전하다. 재확인 방식은 이메일·메일·SMS 등 다양하게 가능하다.

Q3. 우리 회사는 작으니 과징금 안 받겠지?

A: 과징금은 매출액 기준이지만, 개별 위반 행위마다 과태료가 별도로 적용된다. 예를 들어 동의 없이 1만 건을 발송하면 "액수는 상관없고" 그 행위에 대해 3천만 원 과태료 대상이 될 수 있다. 규모와 관계없이 위반 행위 자체가 문제다.

Q4. 세이프 트랙은 언제 정책이 되나?

A: 현재(2026년 8월) 최종 가이드라인 발표 예정이나 정확한 일정은 미정. 지금은 세이프 트랙 권장 조건(IP 마스킹, 쿠키 TTL 제한 등)을 선제 준수하되, 명시적 동의는 계속 받는 것이 안전하다.

Q5. 구글 애즈에 DB 업로드했는데 고객이 삭제 요청하면?

A: 즉시 처리 의무 발생.

1. 귀사 DB에서 삭제
2. 구글 애즈에 그 고객 제거 요청
3. 고객에게 완료 통지 처리 지연 시 정보통신망법 위반 추가 과태료 가능.

작성 완료: 2026-08-29
대상 글: 12code 마케팅 지식백과 개인정보보호법·마케팅 토픽
다음 단계: 콘텐츠 집필팀에서 이 조사 자료 기반 글 작성