온라인 맞춤형 광고와 개인정보 — 쿠키·픽셀 쓰는 셀러의 준수 체크
쇼핑몰·스마트스토어에 Meta 픽셀·Google Ads 태그·GA를 심어 방문자에게 리타게팅 광고를 돌리는 셀러라면, 이때 오가는 행태정보(방문·검색·구매 이력)가 개인정보 보호법의 대상입니다. 한국법의 핵심은 흔히 오해하는 "EU식 쿠키 동의 배너"가 아니라 ① 자동수집장치(쿠키·픽셀) 설치·운영과 거부 방법을 개인정보처리방침에 고지(제30조 제1항 제7호)하고 ② 행태정보가 개인을 식별하거나 광고에 활용될 때 동의(제15조)를 받는 것입니다. 2022년 구글·메타에 약 1,000억 원 과징금이 부과된 바로 그 쟁점을 셀러 눈높이로 정리했습니다. (소관: 개인정보보호위원회, 기준일 2026-09-09)
"쿠키 동의 배너"부터 오해를 풉니다
해외 사이트에서 흔히 보는 "쿠키 동의(Accept Cookies)" 배너는 EU 개인정보보호법(GDPR)의 사전 동의(opt-in) 방식입니다. 한국법은 이 배너 자체를 의무로 정하지 않습니다. 한국 개인정보 보호법이 실제로 요구하는 것은 "수집 전 배너 클릭"이 아니라, 처리방침에 고지하고 거부 수단을 주며, 행태정보가 개인을 식별하거나 광고에 활용될 때 동의를 받는 것입니다. 즉 배너를 안 달았다고 곧바로 위법은 아니지만, "한국은 쿠키에 아무 제한이 없다"는 것도 틀린 말입니다.
| 구분 | EU식 쿠키 동의 배너(GDPR) | 한국 개인정보 보호법 |
|---|---|---|
| 기본 방식 | 수집 전 사전 동의 배너(opt-in) 원칙 | 처리방침 고지 + 거부권(opt-out) 보장이 기본, 식별·광고 활용 시 동의 |
| 배너 의무 여부 | 사실상 필수 | 배너 자체는 법정 의무 아님 |
| 핵심 의무 | 동의 기록·철회 | 자동수집장치(쿠키·픽셀) 설치·운영·거부 방법 고지(제30조 제1항 제7호) |
| 동의가 필요해지는 때 | 대부분의 비필수 쿠키 | 행태정보가 개인식별정보와 결합되거나 광고 목적으로 활용될 때(제15조 제1항) |
내 사이트에 픽셀·태그를 심었다면 — 처리방침에 무엇을 적나
Meta 픽셀·Google Ads·GA를 설치하면 방문자의 행태정보가 자동수집됩니다. 개인정보 보호법 제30조 제1항은 처리방침에 다음을 기재하도록 규정하며, 맞춤형 광고와 직접 관련된 항목은 아래와 같습니다. 특히 제7호(자동수집장치 설치·운영과 그 거부에 관한 사항)가 쿠키·픽셀 거부 방법을 공개해야 하는 법적 근거입니다.
| 기재 항목 | 근거 조항 | 맞춤형 광고 맥락 예시 |
|---|---|---|
| 처리 목적 | 제30조 제1항 제1호 | "맞춤형 광고·리타게팅 제공"을 목적으로 명시 |
| 처리·보유 기간 | 제30조 제1항 제2호 | 행태정보/쿠키 식별자 보관 기간 |
| 제3자 제공 | 제30조 제1항 제3호 | 광고 플랫폼(예: Meta·Google)에 제공 시 대상·항목 |
| 처리 위탁 | 제30조 제1항 제4호 | 광고·분석 서비스에 처리를 위탁하는 경우 |
| 수집하는 개인정보 항목 | 시행령 제31조 제1항 제1호 | 접속 로그·검색/구매 이력·쿠키 식별자 등 |
| 자동수집장치 설치·운영·거부 | 제30조 제1항 제7호 | 쿠키·픽셀 설치 사실과 브라우저에서 거부하는 방법 안내 |
키즈·아동 대상 쇼핑몰이면 한 단계 더
어린이 의류·완구·교육용품처럼 만 14세 미만 아동이 주로 이용하는 서비스라면, 개인정보 보호법 제22조의2 제1항에 따라 아동의 개인정보를 처리하려면 법정대리인의 동의가 필요합니다. 아동을 식별할 수 있는 상태로 픽셀·태그를 통해 행태정보를 수집·광고에 활용하는 것은 특히 위험합니다. 개인정보위 정책 방안도 아동 대상 서비스의 맞춤형 광고용 행태정보 수집을 제한하는 방향을 제시했습니다.
제재 수위 — 셀러 눈높이
| 위반 유형 | 근거 | 수위 |
|---|---|---|
| 처리방침 미공개(쿠키·자동수집장치 거부방법 등) | 제75조 | 과태료 1천만 원 이하 |
| 동의 없는 개인정보 수집·이용 | 제15조 위반 → 제71조·제72조 등 | 과징금(관련 매출액 기준·전부개정으로 상향)·시정명령, 형사처벌 가능 |
| 아동 법정대리인 동의 위반 | 제22조의2 | 동의 위반과 동일 제재 대상 |
지금 점검할 체크리스트
- 내 사이트/앱에 설치된 Meta 픽셀·Google Ads·GA 등 자동수집장치 목록을 파악했다
- 개인정보처리방침에 쿠키·픽셀 설치·운영과 거부 방법을 기재했다(제30조 제1항 제7호)
- 수집하는 행태정보 항목(접속 로그·검색/구매 이력·쿠키 식별자)과 처리 목적(맞춤형 광고)을 처리방침에 적었다
- 광고 플랫폼에 제3자 제공/위탁이 있으면 대상과 항목을 처리방침에 반영했다
- 행태정보를 회원 식별정보와 결합하거나 광고에 활용한다면 별도 동의 절차를 두었다
- 만 14세 미만 아동 대상 서비스라면 법정대리인 동의 체계를 갖췄다(제22조의2)
- "EU식 배너만 달면 끝"이라는 오해 대신, 고지·거부권·동의 3요소를 실제로 갖췄다
내 처리방침, 30초 무료 점검
처리방침 전문을 붙여넣으면 자동수집장치(쿠키·픽셀) 거부 방법 누락, 동의 강제, 모호한 위탁, 구법 용어 같은 부적정 표현을 개인정보 보호법 조항과 함께 짚어드립니다. 붙여넣기만 하면 됩니다. (입력값은 서버로 전송되지 않습니다.)
처리방침 무료 점검 → 전체 무료 도구 보기처리방침·동의서 템플릿이 필요하다면
개인정보 대응킷은 소상공인용 처리방침 템플릿, 동의·위탁 조항 예시, 자동수집장치 고지 문안, 자가점검표를 담은 실전 패키지입니다. 픽셀·태그를 쓰는 쇼핑몰이 처리방침에 무엇을 어떻게 적어야 하는지, 처음부터 쓰는 시간을 아껴 한 번에 끝냅니다.
대응킷 살펴보기 →맞춤형 광고 개인정보 — 자주 묻는 질문
한국에도 EU식 쿠키 동의 배너가 의무인가요?
아닙니다. 한국 개인정보 보호법은 EU GDPR식 사전 동의(opt-in) 쿠키 배너 자체를 법정 의무로 정하지 않습니다. 대신 처리방침에 자동수집장치(쿠키·픽셀) 설치·운영과 거부 방법을 고지(제30조 제1항 제7호)하고 거부권을 보장하며, 행태정보가 개인을 식별하거나 광고에 활용될 때 동의(제15조)를 받아야 합니다. 배너를 안 달았다고 곧바로 위법은 아니지만, "한국은 쿠키에 아무 제한이 없다"는 것도 틀린 말입니다.
픽셀은 구글·메타가 알아서 처리하니 셀러는 책임이 없나요?
아닙니다. 2022년 과징금 사건에서 타사(제3자) 행태정보를 동의 없이 수집·활용한 1차 책임은 광고 플랫폼(구글·메타)에 인정됐습니다. 그러나 사이트 운영자(개인정보처리자)에게는 별도로 자사가 수집하는 행태정보의 고지·동의(제15조·제30조)와 처리방침에 쿠키·자동수집장치 및 거부 방법을 공개할 의무(제30조 제1항 제7호)가 그대로 있습니다. "플랫폼 책임"과 "내 처리방침 의무"는 별개입니다.
행태정보 수집에 처리방침 고지만으로 충분한가요, 언제 동의가 필요한가요?
방문 통계처럼 개인을 식별하지 않는 범위라면 처리방침 고지와 거부권 보장으로 충분할 수 있습니다. 그러나 로그인 회원 정보와 결합해 개인을 식별하거나 그 행태정보를 광고에 활용하면 제15조 제1항의 수집·이용 동의 문제가 됩니다. 경계 판단이 애매하면 처리방침 공개는 기본으로 하되, 결합·광고 활용 부분은 동의 항목으로 분리하는 것이 안전합니다.
처리방침 미공개나 동의 없는 수집의 제재 수위는 어떻게 되나요?
처리방침 미공개(쿠키·자동수집장치 거부 방법 등)는 제75조에 따라 과태료 1천만 원 이하입니다. 동의 없는 개인정보 수집·이용은 제15조 위반으로 관련 매출액 기준 과징금(전부개정으로 상향)·시정명령, 형사처벌까지 가능합니다. 실제로 2022.9.14 개인정보위 의결로 구글 692억 원·메타 308억 원의 과징금이 부과된 바 있습니다.
참고 출처(2026-09 확인): 국가법령정보센터(law.go.kr) 개인정보 보호법 제15·22조의2·30·75조·시행령 제31조 · 개인정보보호위원회(pipc.go.kr) 구글·메타 과징금 의결(2022.9.14)·맞춤형 광고 행태정보 보호 정책 방안(2024.1.31).