매체별 오디언스 데이터(리스트) 업로드 정책 차이와 개인정보 처리 유의사항

메타 맞춤 타겟은 웹사이트 방문자(픽셀), 고객 리스트 업로드(이메일·전화), 앱 활동, 메타 플랫폼 참여(페이지 방문자·동영상 시청자·리드폼 제출자)의 네 가지 데이터 소스로 구성됩니다. 이 중 고객 리스트 업로드는 광고주가 보유한 고객 이메일·전화번호를 직접 매체에 업로드하는 방식이라, 다른 소스와 달리 개인정보를 원본 형태로 다루게 되는 유형입니다. 구글 PMax의 오디언스 시그널 역시 고객 리스트, 유튜브 시청자, 웹사이트 방문자 같은 첫 번째 데이터(First-party data)를 지원하며, 첫 번째 데이터가 제삼자 데이터보다 성과가 훨씬 높다고 안내되는 만큼 리스트 업로드의 활용도는 앞으로도 높은 편입니다.

웹사이트 픽셀 기반 맞춤 타겟은 동적으로 자동 업데이트되며, 설정 가능한 유지 기간(retention period, 최대 180일) 후 자동 제거됩니다. 새로운 방문자는 즉시 오디언스에 포함되고, 지정된 기간이 지난 사용자는 자동 제거되는 구조입니다. 다만 Apple ATT(App Tracking Transparency)로 인해 iOS 사용자의 상당수가 앱 추적을 거부하면서 이 방식의 모수와 정확도가 줄어든 상태입니다. 업계에서 제시하는 보완책은 Conversions API로 서버 사이드 이벤트를 병행 전송하는 것, 이메일·전화번호 등 1차 데이터 기반 오디언스 비중을 늘리는 것, 픽셀 추적에 의존하지 않는 온플랫폼 참여 오디언스를 활용하는 것 세 가지로 정리됩니다. 어느 쪽이든 개인정보를 다루는 비중이 늘어나는 방향이므로, 처리 원칙을 함께 점검해야 합니다.

광고 플랫폼(구글, 메타, 네이버 등)에 사용자 데이터를 제공하는 리타겟팅 광고의 경우, 제3자 제공에 대한 별도의 명시적 동의가 필수입니다. 개인정보 수집·이용에 대한 동의만으로는 충분하지 않습니다. 또한 마케팅 목적의 개인정보를 광고 플랫폼에 제공할 때는 사용자에게 어느 회사에, 어떤 목적으로, 어떤 정보를 제공하는지 구체적으로 고지하고 동의를 받아야 합니다. 막연히 '맞춤형 광고 제공'이라고만 안내하는 방식은 충분한 고지로 인정되지 않으며, 실제로 메타는 사용자가 제3자 행태정보 제공을 거부했을 때 서비스 이용을 강제한 혐의로 국내에서 과징금을 부과받은 사례가 있습니다.

쿠키, 픽셀, 광고 ID 등으로 수집되는 행태정보는 단독으로는 개인정보가 아닙니다. 하지만 여러 행태정보를 결합하거나 다른 정보와 결합해 특정 개인을 식별할 수 있으면 개인정보에 해당합니다. 고객 리스트 업로드처럼 이메일·전화번호 자체를 다루는 경우는 이 결합 여부를 따질 필요 없이 처음부터 개인정보로 취급해야 하는 영역이라는 점을 실무자가 분명히 인식하고 있어야 합니다.

개인정보 처리 업무위탁계약서에는 개인정보보호 관련 법규 준수, 개인정보에 관한 비밀유지, 제3자 제공 금지, 사고 시 책임 부담, 위탁기간, 처리 종료 후 개인정보의 반환 또는 파기 의무 등을 규정하도록 하는 것이 개인정보보호법상 위탁자의 의무로 설명됩니다. 위탁자(광고주)는 정보주체의 개인정보가 분실·도난·유출·위조·변조·훼손되지 않도록 수탁자(대행사)를 교육하고, 처리 현황 점검 등을 통해 안전하게 처리하는지 감독해야 할 법적 의무도 함께 갖습니다.

위탁 기간이나 계약이 종료되면 원칙적으로 5일 이내에 수탁자가 보유한 개인정보를 파기하거나 위탁자에게 반환해야 합니다. 파기할 경우에는 복원이 불가능하도록 완전하게 파기해야 합니다. 다만 구체적인 파기·반환 기한이나 절차는 개별 위탁계약서의 약정에 따라 달라질 수 있으므로, 5일이라는 기간은 원칙적 기준으로 이해하고 실제 계약서 문구를 다시 확인해야 합니다.

이 글은 개인정보보호법과 관련된 조항·기간을 facts로 확보된 범위 안에서 정리한 것이며, 개별 상황에 대한 법 해석이나 준수 여부 판단을 대신하지 않습니다. 오디언스 리스트 업로드와 관련한 동의 문구·계약서 조항을 실제로 적용할 때는 개인정보보호 전문가나 법무 검토를 거치는 것이 안전합니다.