한계 정의: 개인정보보호법 강화로 인해 기업 IP 주소를 통한 개별 유저 추적의 기술적 제한 및 가명 데이터 활용의 한계

6강에서 다룬 리버스 IP 룩업은 "이 IP는 A기업에서 나온 트래픽이다"라는 회사 단위 추정까지만 기술적으로 가능하다고 설명했습니다. 이 구분이 8강의 출발점입니다 — 회사 단위 식별과 개인 단위 식별 사이에 법적 리스크의 경계선이 있기 때문입니다. 개인정보보호법 제15조는 개인정보처리자가 개인정보를 수집·이용하려면 정보주체의 명시적 동의를 받아야 한다고 규정하며, 마케팅·광고 목적의 개인정보 수집은 반드시 별도의 명시적 동의가 필요합니다.

여기서 핵심 질문은 "IP 주소나 쿠키가 개인정보에 해당하는가"입니다. 개인정보보호위원회의 쿠키 및 행태정보 보호 가이드라인에 따르면, 쿠키·픽셀·광고ID 등으로 수집되는 행태정보는 단독으로는 개인정보가 아니지만, 여러 행태정보를 결합하거나 다른 정보와 결합해 특정 개인을 식별할 수 있으면 개인정보에 해당합니다. 즉 "IP는 개인정보가 아니다"라는 단순한 주장은 법적 보호를 받지 못하며, 실제 결합 가능성과 결합 여부에 따라 판단이 달라집니다.

개인정보보호법 제22조는 동의를 받을 때 처리 목적별로 구분해 동의를 받도록 규정합니다. 수집·이용 동의, 제3자 제공 동의, 마케팅 활용 동의는 각각 별도의 체크박스로 분리해야 하며, 하나의 체크박스에 여러 목적을 묶는 일괄 동의는 규제 위반 사례로 적발되고 있습니다. 5강에서 다룬 리드 젠 폼처럼 방문자가 직접 정보를 입력해 자발적으로 제공하는 경우는 그 폼 자체가 동의 절차 역할을 하지만, 6강의 IP 기반 자동 추적처럼 방문자가 별도로 동의 절차를 거치지 않는 방식은 이 동의 요건과 충돌할 소지가 있습니다.

특히 리타겟팅처럼 광고 플랫폼(구글, 메타, 링크드인 등)에 사용자 데이터를 제공하는 경우, 제3자 제공에 대한 별도의 명시적 동의가 필수입니다 — 수집·이용 동의만으로는 불충분합니다. 5강에서 다룬 컨택트 리스트(이메일) 업로드도 이 관점에서 다시 봐야 합니다. 영업팀이 명함 교환이나 미팅을 통해 확보한 이메일이라도, 그 이메일을 광고 플랫폼(제3자)에 업로드해 타겟팅하는 것은 원래 수집 목적(영업 커뮤니케이션)과 다른 목적(광고)으로의 제3자 제공에 해당할 수 있어, 이 활용까지 포함한 동의를 받았는지 재확인해야 합니다.

개인정보 보호법 제64조의2(과징금의 부과)는 '전체 매출액의 100분의 3을 초과하지 아니하는 범위'에서 과징금을 부과할 수 있다고 규정합니다. 이는 개별 위반 건이 아니라 연간 전체 매출액을 기준으로 하되 산정 시 위반행위와 관련이 없는 매출액은 제외하는 구조이며, 연매출 1조 원 기업이 위반하면 이론상 최대 300억 원의 과징금이 가능합니다. 매출액이 없거나 산정이 곤란한 경우에는 20억 원을 초과하지 않는 범위에서 부과합니다. 여기서 조문 번호를 주의해야 합니다. 정보통신서비스 제공자에게만 적용되던 특례 조항인 옛 제39조의15는 2023년 개정(법률 제19234호)에서 삭제되고 전 사업자에 적용되는 제64조의2로 통합됐으므로, 옛 조문 번호나 '위반행위와 관련한 매출액의 3%'라는 옛 기준 표현을 그대로 인용해서는 안 됩니다. 실제 사례로 메타는 제3자 행태정보 수집·미동의 시 서비스 이용을 강제한 혐의로 2024년 약 308억 원, 구글은 동일 위반으로 약 692억 원의 과징금을 부과받았고, 국내 기업인 카카오도 개인정보 관리 미흡으로 약 151억 원의 과징금과 시정명령을 받았습니다.

이 사례들이 시사하는 바는, 규제 리스크가 해외 대형 플랫폼만의 문제가 아니라는 점입니다. ABM처럼 정교한 개인 단위 타겟팅을 지향하는 마케팅 방식일수록, 데이터 결합·제3자 제공의 빈도가 높아 오히려 일반 마케팅보다 법적 검토가 더 자주 필요합니다.

가명처리(개인을 알아볼 수 없도록 일부 정보를 삭제·대체하는 처리)는 개인정보 규제의 일부 예외를 인정받는 개념이지만, 이 예외는 통계 작성, 과학적 연구, 공익적 기록 보존 등 제한된 목적에 한정됩니다. ABM에서 "타겟 기업 방문자가 어떤 콘텐츠를 봤는지"를 가명처리해 분석하는 것 자체는 폭넓게 허용되는 편이지만, 그 가명 데이터를 다시 개인을 특정해 개별 광고를 보내는 데 쓰는 순간 가명처리의 예외 범위를 벗어나 원래의 동의 요건이 다시 적용됩니다.

또한 개인정보보호위원회가 밝힌 '세이프 트랙(안전한 행태정보 처리 환경)' 정책은 일정 조건을 준수하면 동의 없이도 맞춤형 광고 목적의 행태정보 수집이 가능하다는 조건부 면제 방향을 제시하고 있지만, 이 정책은 2026년 현재 최종 가이드라인 형태로 공식화되지 않았습니다. 즉 "세이프 트랙을 준수했으니 동의가 필요 없다"고 단정하기보다는, 최신 정책 발표를 계속 주시하면서 현재로서는 명시적 동의를 받는 방식을 기본으로 운영하는 것이 안전합니다.

결론적으로 이 강의가 다룬 5·6강의 기술(IP 기반 회사 식별, 이메일 매칭 타겟팅)은 회사 단위 식별에서는 상대적으로 안전 범위에 있지만, 개인을 특정해 이메일·행동 데이터를 광고 플랫폼에 제공하는 순간부터는 정보통신망법 제50조와 개인정보보호법 제17조·제22조가 요구하는 동의 절차를 별도로 확인해야 합니다. 컨택트 리스트에 올릴 이메일이 "이 목적(광고 타겟팅)으로 활용해도 된다"는 동의를 실제로 포함하고 있는지, 법무팀 또는 개인정보보호 담당자와 사전에 확인하는 절차를 ABM 운영 프로세스에 정식으로 포함시켜야 합니다.