쿠키를 활용한 맞춤형 광고의 적법성 여부

* 이 게시물은 개인정보보호위원회가 작성한 "2022 개인정보 주요 이슈 법령해석 사례 30선"을 발췌하여 제작되었습니다.

 

쿠키는 여러 개의 쿠키를 종합하거나 다른 정보와 쉽게 결합하여 특정 개인을 알아볼 수 있는 경우 개인정보에 해당하며, 이를 광고 등 홍보 목적으로 이용하는 경우에는 정보주체의 사전 동의가 필요합니다.

 

‘쿠키’란 웹사이트에 접속할 때 자동적으로 만들어지는 임시 파일로 이용자가 본 내용, 상품 구매 내역, 신용카드 번호, 아이디(ID), 비밀번호, IP주소 등의 정보를 담고 있는 일종의 정보파일을 말합니다. 쿠키는 ‘온라인 행태정보’2)에 해당하므로 다른 개인정보와 결합･분석하여 개인별 맞춤형 광고에 활용하는 것은 해당 서비스 제공 계약 이행과는 관계없는 목적으로 이용하는 것입니다. 따라서 그 수집을 위하여 정보주체의 동의를 받고, 수집 목적 범위 내에서 이용 또는 제공하여야 합니다.

 

｢개인정보 보호법｣은 인터넷 접속정보파일(쿠키) 등 개인정보를 자동으로 수집하는 장치의 설치･운영 및 그 거부에 관한 사항을 개인정보 처리방침으로 정하여 정보주체가 쉽게 확인할 수 있도록 그 공개를 의무화하고 있습니다. 그러므로 ｢개인정보 보호법｣ 제30조는 개인정보처리방침을 수립할 때 ‘인터넷 접속정보파일 등 개인 정보를 자동으로 수집하는 장치의 설치･운영 및 그 거부에 관한 사항’을 공개하도록 규정하고 있으므로 쿠키를 수집할 때, 정보주체의 동의를 받을 것을 요구하고 있지는 않습니다. 또한, 개인을 식별할 수 있는 정보를 중심으로 규율하고 있는데, 쿠키는 그 자체로는 개인을 식별할 수 없고, 특정 컴퓨터를 식별할 수 있지만, 여러 개의 쿠키 내용을 종합하거나, 쿠키 정보와 다른 유형의 정보를 종합해 개인을 식별하는 것이 가능 합니다.

 

비록 쿠키만으로 특정 개인을 알아볼 수 없더라도, 개인정보처리자인 서비스 제공자의 입장에서 단말기 번호, IP주소, 회원번호 등 다른 정보와 쉽게 결합하여 특정 개인을 알아볼 수 있다면 쿠키도 개인정보에 해당합니다.

 

그러므로 쿠키가 개인식별정보와 결합하여 식별가능성이 있는 경우 이를 홍보목적 등으로 활용할 때에는 해당 정보주체의 사전 동의가 필요합니다.