데이터 브로커·마케팅 플랫폼 개인정보보호법 가이드
개인정보를 수집·가공하여 기업에 판매하는 데이터 브로커, 광고 타겟팅을 위한 DMP(Data Management Platform), CRM 마케팅 자동화 서비스는 개인정보를 핵심 자산으로 다루는 사업 모델입니다. PIPA는 이 분야에 가장 엄격한 기준을 적용합니다.
데이터 비즈니스의 PIPA 핵심 원칙
[데이터 브로커 사업의 PIPA 적합성 판단]
합법적인 데이터 거래:
✅ 정보 주체 동의를 받고 수집한 데이터의 B2B 제공
(동의 범위 내에서 제공 목적과 일치하는 경우)
✅ 완전 익명화된 집계 데이터 판매
(개인 재식별 불가능한 수준)
✅ 공개 데이터 가공·분석 결과 판매
PIPA 위반 위험:
❌ 동의 없이 수집한 데이터 판매
❌ 동의 목적 범위를 초과한 데이터 활용
❌ 익명화가 불충분한 데이터 (재식별 가능) 거래
❌ 민감정보(건강, 정치적 견해 등) 거래
1. 퍼스트파티 데이터 수집과 동의 설계
마케팅 목적 데이터 수집의 동의 구조
[퍼스트파티 데이터 수집 동의 설계]
□ (선택) 맞춤 마케팅을 위한 행동 데이터 수집·분석 동의
수집: 사이트 방문 이력, 구매 패턴, 콘텐츠 소비 이력
목적: 개인화 광고 및 제품 추천
보관: 동의 후 2년 (또는 철회 시까지)
※ 거부해도 서비스 이용에 불이익 없음
□ (선택) 제3자 광고 네트워크 데이터 공유 동의
공유 대상: Google Ads, Meta Pixel 등
목적: 관심 기반 외부 광고
※ 동의 없이 외부 광고 픽셀 설치 금지
동의 관리 플랫폼(CMP) 운영:
- 동의 기록 보관 (누가, 언제, 무엇에 동의했는지)
- 동의 철회 요청 처리 자동화
- 동의 내역 이용자에게 열람 제공
2. 쿠키 없는 시대의 PIPA 준수
서드파티 쿠키 폐지 이후 대응
[쿠키리스 전환과 개인정보 처리]
대체 기술별 PIPA 적용:
1. 퍼스트파티 쿠키 강화:
- 자사 도메인 쿠키 → 이용자 동의 필요 (마케팅 목적)
- 기능성 쿠키(로그인 유지) → 동의 없이 가능
2. 구글 Topics API:
- 브라우저가 관심사 분류 → 개인 식별 없음
- 국내 PIPA: 여전히 행동 기반 프로파일링 → 동의 권장
3. 이메일 해싱(Customer Match):
- 이메일 해시값을 광고 플랫폼에 제공
→ 제3자 제공 → 동의 필수
→ "이메일을 광고 목적으로 Meta/Google에 제공합니다" 명시
4. 클린룸(Data Clean Room):
- 양사 데이터를 안전하게 결합·분석
→ 개인 식별 없는 집계 결과만 출력되도록 설계
→ PIPA 준수 가능 (익명화 수준 확인 필수)
3. DMP 운영과 세그먼트 데이터
오디언스 세그먼트 데이터의 개인정보 처리
[DMP 세그먼트 처리 원칙]
내부 DMP (자사 데이터):
- 자사 이용자 행동 기반 세그먼트 생성
- 동의받은 범위 내에서 활용 가능
- 세그먼트 명칭에 민감 정보 포함 금지
(예: "당뇨 관심 고객", "이혼 예정자" 세그먼트 생성 금지)
외부 DMP 데이터 구매:
- 구매한 데이터의 수집 동의 여부 확인 의무
- "동의받은 데이터"라는 공급사 주장만으로는 부족
→ 원래 수집 시 처리방침, 동의 범위 확인 필요
- 확인 불가한 외부 데이터 구매는 PIPA 위반 위험
세그먼트 보관:
- 활성 캠페인 종료 후 세그먼트 데이터 파기 권고
- 장기 누적 세그먼트: 6개월마다 갱신·정리
4. 마케팅 자동화와 프로파일링
CRM 마케팅 자동화의 자동화된 결정
[마케팅 자동화 PIPA 처리]
자동화된 이메일 트리거:
- 장바구니 이탈 후 자동 발송: 서비스 이용 목적 내 허용
(단, 마케팅 동의 필요)
- 구매 후 N일 리마인더: 동일
AI 기반 고객 세분화:
- AI가 "이탈 위험 고객" 분류 후 할인 쿠폰 발송
→ 자동화된 결정이지만 이익 제공이므로 PIPA 제37조의2 부담 낮음
AI 기반 블랙리스트/차단:
- AI가 "악성 고객"으로 분류하여 서비스 제한
→ PIPA 제37조의2 자동화된 결정 → 이의 신청 절차 필수
프로파일링 투명성:
"본 서비스는 귀하의 이용 이력을 분석하여
맞춤형 혜택을 제공합니다. 개인화 거부는 [설정]에서 가능합니다."
5. 데이터 거래 시 실사(Due Diligence)
데이터를 구매하거나 판매하는 모든 거래에서 PIPA 적합성 확인이 필수입니다.
[데이터 거래 전 체크리스트]
데이터 판매 시:
□ 원래 수집 시 동의 범위가 제3자 제공을 허용하는가?
□ 민감정보가 포함되어 있지 않은가?
□ 익명화 수준이 재식별 불가능한가?
□ 구매자의 처리 목적이 동의 범위와 일치하는가?
□ 판매 계약서에 구매자의 PIPA 준수 의무 포함했는가?
데이터 구매 시:
□ 공급자가 정보 주체로부터 동의를 받은 근거 확인
□ 동의 범위가 우리의 활용 목적과 일치하는가?
□ 수집 시점(최신성) 확인
□ 개인정보 유출 시 책임 소재 계약서에 명시
처리방침 기재:
구매한 외부 데이터 활용 시:
"당사는 이용자 동의를 획득한 제3자 데이터를 마케팅에 활용할 수 있으며,
이에 대한 수신 거부는 [수신 거부 링크]에서 가능합니다."
PipaGuard로 데이터·마케팅 플랫폼 PIPA 준수하기
데이터 브로커와 마케팅 플랫폼은 PIPA 위반 과징금 위험이 가장 높은 분야입니다. 동의 없는 데이터 거래, 민감 세그먼트 생성, 외부 픽셀 무단 설치는 과징금 주요 원인입니다. PipaGuard는 동의 관리 체계, 외부 데이터 활용 적합성, 마케팅 자동화 투명성을 자동으로 검토합니다.
→ pipaguard.vercel.app에서 무료로 시작해보세요.