2026년 7월 22일, 개인정보보호위원회는 틱톡과 애플 계열사에 과징금과 시정명령을 의결했습니다. 보도자료의 제목만 보면 해외 대형 플랫폼 제재처럼 보일 수 있어요. 하지만 내용을 따라가면 국내 기업의 마케팅 화면과 동의 설계에도 연결되는 이야기가 나옵니다.
틱톡 사례에서는 타사 웹사이트와 앱에 설치된 픽셀, SDK, API 같은 도구가 문제가 됐습니다. 이 도구들은 클릭, 구매, 장바구니 담기, 문의, 다운로드, 검색, 콘텐츠 보기 같은 이용자의 활동 기록을 수집했고, 틱톡은 이를 기기 식별자나 회원 계정과 연결해 맞춤형 광고에 활용한 것으로 조사됐습니다.
애플 사례에서는 Siri 이용 과정에서 만들어진 음성 녹음과 전사문이 다뤄졌습니다. 개인정보위는 음성 인식 기능이나 서비스 개선 목적의 데이터 처리에 별도의 적법 근거가 마련됐는지, 국외 이전에 필요한 항목과 목적, 보유기간이 충분히 안내됐는지를 살폈습니다.
두 사건은 서로 다른 서비스에서 벌어진 일입니다. 하나는 광고와 행태정보, 다른 하나는 음성 데이터와 전사문에 가깝죠. 그런데 공통 질문은 비슷합니다.
이용자가 실제로 무엇이 수집되고, 어디에 쓰이고, 거부할 수 있는지 알고 동의했는가.
행태정보는 왜 문제가 되나
행태정보는 이용자가 온라인에서 남기는 활동 기록입니다. 페이지를 방문하고, 버튼을 누르고, 상품을 장바구니에 담고, 검색어를 입력하고, 콘텐츠를 오래 읽고, 파일을 내려받는 기록이 여기에 들어갑니다. 이 설명만 들으면 행태정보는 개인정보와 조금 멀어 보일 수 있어요. 이름이나 휴대전화번호처럼 바로 사람을 떠올리게 하는 정보가 아니기 때문입니다.
하지만 행태정보는 혼자 남아 있지 않는 경우가 많습니다. 쿠키, 광고 ID, 앱 SDK, 로그인 계정, 기기 식별자, 광고 플랫폼 계정과 이어질 수 있어요. 그러면 단순한 클릭 기록이 아니라 특정 이용자의 관심사, 구매 가능성, 방문 경로, 전환 가능성을 추론하는 자료가 됩니다.
문제는 여기서 시작됩니다. 이용자가 “서비스 가입에 필요한 동의”를 했다고 생각했는데, 실제로는 다른 사이트에서의 활동 기록까지 광고 분석에 쓰이고 있었다면 그 동의는 이용자가 이해한 범위를 벗어날 수 있어요. 동의 화면에는 체크가 되어 있어도, 수집 목적과 실제 처리 방식이 이용자에게 설명된 목적대로 처리됐는지는 별개의 문제입니다.
행태정보 이슈에서 중요한 건 “이 정보가 무조건 금지된다”가 아닙니다. 행태정보가 어떤 정보와 연결되는지, 어떤 목적으로 쓰이는지, 이용자가 선택권을 가질 수 있었는지를 함께 따져야 합니다.
동의 받았으니까 괜찮아~ 이제는 안될걸요?
많은 팀은 동의 화면을 한 번 만들면 그 뒤의 마케팅 도구는 운영 설정으로 여깁니다. 회원가입 때 전체 동의를 받았고, 처리방침에도 마케팅이나 서비스 개선 목적이 있으니 새 광고 태그를 붙여도 괜찮다고 생각하기 쉽죠.
그런데 광고와 분석 도구는 서비스 밖의 경로까지 이어질 수 있습니다. 이벤트 신청 페이지에 픽셀을 붙이면 신청 여부, 방문 경로, 전환 기록이 광고 플랫폼으로 넘어갈 수 있습니다. 앱에 SDK를 넣으면 실행 기록이나 구매 행동이 외부 계정과 연결될 수 있습니다. 대행사가 태그를 대신 설치했다면 내부 담당자가 실제 수집 범위를 늦게 알게 되는 경우도 있습니다.
이때 “전체 동의”라는 말로는 부족합니다. 이용자가 어느 목적에 동의했는지, 선택 동의를 거부해도 기본 서비스를 쓸 수 있었는지, 광고 목적 수집과 서비스 제공 목적 수집이 분리되어 있었는지 설명해야 하기 때문입니다.
개인정보위가 이번 처분에서 강조한 지점도 이 흐름과 맞닿아 있습니다. 동의는 형식적인 체크가 아니라, 정보주체가 내용을 명확히 알고 자유롭게 선택한 경우에 의미가 있습니다. 서비스 이용을 위해 꼭 필요한 정보와 맞춤형 광고를 위한 정보가 한꺼번에 필수 동의로 묶여있으면, 이용자는 사실상 거부권을 행사하기 어려워져요. 서비스 사용을 위해서 전부 동의할 수 밖에 없기 때문입니다.
적법한 동의는 화면 구조에서 드러난다
적법한 동의는 문구 하나로 완성되지 않습니다. 화면에서 이용자가 무엇을 보고, 어떤 항목을 따로 선택할 수 있었는지가 함께 기록되어야 해요.
예를 들어 회원가입을 위해 이메일과 비밀번호가 필요하다면 이는 서비스 제공과 직접 연결됩니다. 배송 서비스라면 주소와 연락처가 필요할 수 있죠. 이런 항목은 필수 동의 또는 필수 수집 항목으로 설명될 여지가 있습니다.
반대로 맞춤형 광고, 광고성 정보 수신, 제3자 제공, 외부 광고 플랫폼을 통한 전환 분석, 부가 서비스 추천은 기본 서비스 제공과 거리가 있습니다. 이 항목은 이용자가 별도로 이해하고 선택할 수 있어야 해요. 당연하겠지만, 거부해도 회원가입이나 기본 서비스 이용이 가능해야 선택 동의겠죠?
문제는 실무에서 여러 목적이 한 동의서 내에 다 들어가 있을 수 있다는 겁니다. 이벤트 신청폼 하나에 경품 발송, 당첨 안내, 뉴스레터 수신, 맞춤형 광고 태그, 대행사 전달이 함께 들어갈 수 있긴한데, 이렇게 되면 화면은 짧아졌지만 나중에 설명해야 할 것들이 많아집니다. 선택 목적은 따로 분리해서 동의할 수 있도록 해야하기 때문이에요.
그래서 동의 화면을 설계할 때는 “필수냐 선택이냐”만 나누면 부족합니다. 이용자가 보는 문구, 실제 수집되는 항목, 광고·분석 도구의 처리 방식, 처리방침의 설명이 같은 목적을 가리켜야 합니다. 어느 하나가 다른 목적을 향하면 동의의 설명력이 약해집니다.
국외 이전은 해외 본사만의 문제가 아니다
다음으로, 이번 처분에서 함께 다뤄진 쟁점은 국외 이전입니다. 국외 이전이라고 하면 해외 본사로 파일을 보내는 장면을 먼저 떠올리기 쉽습니다. 하지만 실제로는 해외 광고 플랫폼, 분석 도구, 클라우드, 글로벌 계열사를 통해 개인정보가 제공되거나 위탁되거나 보관되는 구조도 확인 범위에 들어갑니다.
틱톡 라이트 사례에서는 포인트 현금 인출 서비스 제공 과정에서 계열사로 개인정보가 이전되는 구조가 문제로 다뤄졌습니다. 애플 사례에서도 미국의 계열사 등으로 개인정보가 이전되는 과정에서 이전 항목, 목적, 보유·이용 기간 등이 처리방침에 충분히 기재됐는지가 쟁점이었죠.
국내 기업에도 비슷한 일들이 있죠. 광고 대행사가 해외 광고 계정에 정보를 연결하거나, 분석 도구가 해외 서버에서 로그를 처리하거나, 고객 상담 도구와 CRM이 글로벌 클라우드에 저장되는 경우입니다. 여기서 얻을 수 있는 실무적 인사이트는 단순합니다. “우리 회사가 해외 기업은 아니니까 괜찮다”가 아니라, 우리 서비스에서 쓰는 외부 도구가 개인정보를 어느 범위에서 처리하는지 설명할 수 있어야 합니다. 특히 계열사, 수탁사, 광고 플랫폼, 클라우드가 얽히면 처리방침의 국외 이전 항목과 실제 운영 구조가 부합하는지 살펴봐야 합니다.
이 사례에서 배울 점
틱톡과 애플 처분은 대형 플랫폼만의 이야기가 아닙니다. 개인정보 처리가 복잡해질수록 동의의 의미가 더 엄격하게 해석된다는 신호에 가깝습니다.
- 첫 번째로, 동의는 받은 사실보다 이해 가능한 구조가 중요합니다. 이용자가 무엇에 동의했는지 알기 어려운 화면이라면 체크 기록만으로 충분히 설명하기 어렵습니다.
- 두 번째로, 행태정보는 “이름 없는 로그”라는 이유만으로 가볍게 볼 수 없습니다. 광고 ID, 쿠키, 회원 계정, 기기 식별자와 결합되면 이용자의 관심사와 행동을 추론하는 자료가 됩니다.
- 세 번째로, 마케팅 도구는 개인정보 처리 흐름의 바깥에 있지 않습니다. 픽셀, SDK, 전환 API, CRM, 문자 발송 대행사, 분석 도구는 모두 이용자 데이터의 이동 경로가 될 수 있습니다.
- 네 번째로, 처리방침은 실제 운영을 따라가야 합니다. 문구가 최신이어도 태그 설정, 수탁사 관계, 국외 이전 구조, 보유기간 기준이 따로 움직이면 이용자에게 설명하기 어려워집니다.
이 관점에서 보면 “동의 받았으니 괜찮다”는 말은 이제 부족합니다. 스스로 아래의 질문을 해보세요.
그 동의가 지금 수집되는 정보와 이용 목적, 외부 도구의 처리 방식, 이용자의 선택권까지 설명할 수 있는가.
마지막으로 점검할 체크리스트
글을 다 읽고 실제 화면을 열어본다면, 아래 다섯 가지만 먼저 체크해보세요. 이 체크리스트는 동의와 운영 구조가 어긋나는 지점을 찾기 위한 출발점입니다.
- 회원가입, 이벤트 신청, 앱 설정 화면에서 필수 동의와 선택 동의가 목적별로 구분되어 있는가
- 맞춤형 광고, 픽셀, SDK, 전환 API, 분석 도구가 수집하는 정보와 이용 목적을 이용자가 이해할 수 있는가
- 선택 동의를 거부하거나 철회해도 기본 서비스 이용, 광고 발송 중단, 태그 활용 중단이 실제로 반영되는가
- 해외 광고 도구, 클라우드, 계열사, 수탁사를 통한 제공·위탁·보관 구조가 처리방침에 설명되어 있는가
- 처리방침 문구, 동의 화면, 태그 설정, 대행사 운영 기록이 서로 부합하는가
캐치폼을 쓰면 이벤트 신청폼이나 설문폼을 만들 때 수집 항목, 동의 문구, 보유기간, 삭제 기준을 한 플랫폼 내에서 정리할 수 있습니다. 신청자 명단을 엑셀로 내려받아 따로 관리하는 대신, 폼 안에서 접근 권한과 파기 기준을 함께 관리하는거죠!
적법한 동의는 한 문장으로 끝나는 문구가 아닙니다. 이용자가 이해할 수 있는 화면, 거부할 수 있는 선택지, 실제 운영 기록, 처리방침의 설명이 함께 움직일 때 비로소 설명할 수 있습니다.
이번 처분을 기사로만 지나치지 말고, 지금 운영 중인 동의 화면과 광고 태그 목록을 차분히 대조해 보세요. 어디가 필수이고 어디가 선택인지, 어떤 도구가 어떤 목적의 정보를 처리하는지 나누는 것만으로도 다음 수정 범위가 훨씬 선명해집니다.
참고: 이 글은 개인정보위 2026년 7월 23일 보도자료 「개인정보위, 적법 근거 없이 개인정보수집·이용한 틱톡·애플 제재」를 바탕으로 행태정보와 적법한 동의 구조를 이해하기 위한 일반 안내입니다. 개별 사건의 위법 여부나 조치 필요성은 실제 수집 항목, 동의 방식, 처리 목적, 보유기간, 위탁·제3자 제공 및 국외 이전 구조에 따라 달라집니다. 참고 자료: 개인정보보호위원회 보도자료.
