개인사업자가 운영하는 공간대여 웹사이트에서 GA4, Clarity, Meta 픽셀 사용 시 개인정보보호법 및 정보통신망법상 쿠키 수집 사전 동의가 필수인가요, 아니면 개인정보처리방침 공개로 충분한가요? 행태정보 수집 관련 개정법과 가이드라인을 근거로 설명해주세요.

결론부터 말씀드리면, 개인정보처리방침 공개만으로 충분하지 않고, 쿠키를 통해 방문자를 식별하거나 행태정보를 수집·결합하는 경우에는 원칙적으로 사전 동의(동의 배너에서 동의해야 켜지는 방식)를 받아야 합니다. 다만, 특정 개인을 식별하지 않고 행태정보만 처리하는 경우에는 사전 동의 없이 처리할 수 있는 여지가 있으며, 이 경우에도 처리방침 공개·사후 거부 기능 제공 등 다른 의무는 남습니다.

1. 사전 동의가 필요한 경우

• 개인정보보호법 제22조제1항은 동의 사항을 구분하여 정보주체가 명확히 인지할 수 있도록 알리고 동의를 받도록 하고, 제22조제2항은 서면(전자문서 포함)으로 동의를 받을 때 수집·이용 목적, 수집 항목 등 중요 내용을 명확히 표시하도록 규정합니다.
• 개인정보보호법 제22조의2는 14세 미만 아동의 개인정보 처리 시 법정대리인 동의를 받도록 정하고 있어, 아동 대상 맞춤형 광고나 아동 식별이 가능한 행태정보 처리에는 별도 주의가 필요합니다.
• 개인정보보호법 제30조제1항은 개인정보 처리방침에 처리 목적, 처리·보유 기간, 제3자 제공, 파기 절차, 민감정보 관련 사항, 위탁 사항, 가명정보 처리, 정보주체 권리·행사방법, 보호책임자 연락처, 자동수집장치 설치·운영 및 거부 방법 등을 포함하도록 정하고, 시행령 제31조는 처리 항목, 국외 이전 근거, 안전성 확보 조치, 국외 수집 국가명 등을 추가로 요구합니다.

2. 동의 없이 처리할 수 있는 경우와 그 한계

• 개인정보보호법 제15조제1항은 동의 외에도 법령상 의무, 계약 이행, 급박한 이익, 정당한 이익 등 수집·이용 근거를 두고 있고, 제15조제3항은 당초 수집 목적과 합리적으로 관련된 범위에서 일정 요건을 갖추면 동의 없이 이용할 수 있도록 합니다.
• 다만 제16조는 필요한 최소한의 정보만 수집해야 하고, 최소 수집이 아니라는 입증책임은 개인정보처리자에게 있으며, 최소 정보 외 수집에 동의하지 않았다는 이유로 서비스 제공을 거부해서는 안 된다고 정합니다.
• 제22조제3항은 동의 없이 처리할 수 있는 개인정보는 동의받아 처리하는 개인정보와 구분하여 처리방침에 공개하거나 전자우편 등으로 알려야 하고, 그 입증책임은 개인정보처리자가 부담한다고 규정합니다.

3. 맞춤형 광고(행태정보) 관련 정책 방향과 가이드라인

• 개인정보보호위원회는 맞춤형 광고에 활용되는 온라인 행태정보 보호 정책 방안에서, 광고 사업자가 특정 개인을 식별하지 않고 행태정보를 처리하는 경우라면 이용자 동의 없이 처리할 수 있으나, 누적·중첩·결합으로 특정 개인을 식별할 가능성이 발생하지 않도록 처리해야 하고, 투명성 확보·사후 통제권 제공·안전조치 이행 등 권고조치를 준수하도록 노력해야 한다고 제시합니다.
• 반대로 특정 개인을 식별하여 행태정보를 처리하려면 수집·이용 내용을 명확히 알리고 동의를 받는 등 적법한 수집 요건을 갖추어야 하며, 처리방침이나 환경설정 등을 통해 사후 거부 기능을 제공해야 합니다.
• 광고 매체 사업자(웹·앱 사업자)는 제3자가 수집도구를 통해 행태정보를 수집하도록 허용하는 경우, 해당 웹·앱에서 제3자가 수집해가는 행태정보를 웹·앱별로 분리하여 처리방침에 포함하도록 권고하고, CPO가 수집도구 현황을 주기적으로 점검하도록 권고합니다.
• 인앱 브라우저에서 이용자를 식별한 상태로 행태정보를 처리하면 수집항목·목적 등을 알리고 동의를 받는 등 적법한 수집 요건을 갖추어야 하고, 서비스 목적을 벗어나거나 사생활 침해 가능성이 높은 정보는 수집을 제한해야 합니다.

4. 2023년 개정 이후 달라진 점과 실무 포인트

• 2023년 3월 14일 개정에서 제22조제4항이 삭제되고, 시행령 제17조가 신설되어 동의받을 때 ① 자유로운 의사 결정, ② 구체적이고 명확한 내용, ③ 쉽게 읽고 이해할 수 있는 문구, ④ 동의 여부를 명확히 표시할 수 있는 방법 제공이라는 조건을 모두 충족해야 합니다.
• 같은 개정에서 제15조제3항, 제22조제3항, 제23조제3항(민감정보 공개 가능성 및 비공개 선택 방법 안내), 제28조의2·제28조의3(가명정보 처리·결합), 제28조의8(국외 이전) 등이 정비되어, 행태정보·가명정보·국외 이전을 처리방침에 어떻게 반영하고 어떤 보호조치를 해야 하는지가 더 분명해졌습니다.
• 정보통신망법 제22조는 개인정보 수집·이용 동의 방법을 정하는 규정으로, 온라인 서비스에서도 동의 방식(구분 고지, 명확 표시 등)을 점검할 때 함께 고려해야 합니다. 다만 공개된 장소의 고정형 영상정보처리기기 처리 등 일부 경우에는 적용이 제외될 수 있습니다.

5. GA4·Clarity·Meta 픽셀을 쓰는 공간대여 웹사이트에 적용하면

• 방문 분석·세션 녹화·픽셀 추적이 단순히 기기 구분 수준에 그치고 특정 개인을 식별하지 않으며, 식별 가능한 정보와 결합하지 않는다면, 사전 동의 없이 처리할 수 있는 여지가 있습니다. 이 경우에도 처리방침에 자동수집장치 설치·운영 및 거부 방법, 수집 목적, 수집 항목, 보유 기간 등을 공개하고, 사후 거부 기능을 제공하는 것이 바람직합니다.
• 반면 쿠키·식별자·회원정보·결제정보 등과 결합하여 특정 개인을 식별하거나 맞춤형 광고 목적으로 활용한다면, 사전 동의를 받고 동의 사항을 구분하여 명확히 고지해야 하며, 처리방침 공개만으로 대체할 수 없습니다.
• Meta 픽셀처럼 광고·전환 추적과 연결되는 도구는 행태정보와 식별정보가 결합될 가능성이 크므로, 어떤 정보가 어떤 목적으로 수집·결합되는지, 제3자 제공이 있는지, 거부 방법이 무엇인지 처리방침에 구체적으로 적고, 필요한 경우 사전 동의 절차를 두는 것이 안전합니다.

정리하면, 처리방침 공개만으로 모든 쿠키 수집이 정당화되지는 않고, 식별성·결합 여부·맞춤형 광고 목적 여부에 따라 사전 동의 필요 여부가 갈립니다. 식별 없이 행태정보만 처리하는 경우에도 처리방침 공개, 사후 거부 기능, 안전조치, 아동 보호, 제3자 수집도구 관리에 관한 권고·의무를 함께 점검하셔야 합니다.

최신 개정 사항을 별도로 확인해 보시는 것을 권장드립니다.