웹사이트나 앱을 운영하는 스타트업이라면 광고 성과 측정용 ‘픽셀’이나 분석 SDK 한두 개쯤은 붙여두셨을 겁니다. 마케터가 요청해서 개발자가 스크립트 한 줄 심는 것으로 끝나는, 너무 흔한 작업이죠. 그런데 지난주 개인정보보호위원회가 바로 이 도구를 둘러싸고 100억 원대 과징금을 부과했습니다.

먼저 용어부터 — 픽셀, SDK, 그리고 행태정보

픽셀(Pixel) 은 웹페이지에 심는 작은 코드 조각입니다. 방문자가 그 페이지에서 무엇을 했는지 — 어떤 상품을 봤는지, 장바구니에 담았는지, 결제까지 갔는지 — 를 광고 플랫폼의 서버로 전송합니다. SDK(Software Development Kit) 는 같은 일을 앱에서 하는 도구 묶음으로, 앱에 포함시켜 두면 앱 안에서의 이용자 행동 데이터가 수집·전송됩니다. 광고를 집행한 회사 입장에서는 “광고를 보고 온 사람이 실제로 구매했는가”(전환 추적)를 측정하고, 비슷한 고객을 찾아 광고를 내보내는 데 쓰는, 디지털 마케팅의 기본 인프라입니다.

이 도구들이 실어 나르는 것이 행태정보입니다. 행태정보란 웹사이트 방문 이력, 앱 사용 이력, 구매·검색 이력처럼 이용자의 관심·흥미·기호·성향을 파악하고 분석할 수 있는 온라인상의 활동정보를 말합니다(개인정보위 「온라인 맞춤형 광고 개인정보보호 가이드라인」의 정의). 법적으로 중요한 지점은 이것입니다: 행태정보는 그 자체만으로는 누구의 것인지 모를 수 있지만, 쿠키나 광고 식별자(GAID/IDFA) 같은 식별자와 결합되어 특정 개인을 알아볼 수 있게 되면 개인정보 보호법상 ‘개인정보’에 해당하고, 수집·이용에 동의 등 적법 근거가 필요해집니다. 이번 사건에서 개인정보위가 문제 삼은 것이 정확히 이 지점 — 행태정보를 식별자와 함께 수집해 틱톡 계정과 연결한 구조 — 입니다.

무슨 일이 있었나

개인정보보호위원회는 2026년 7월 22일 전체회의에서 틱톡(Tiktok Pte. Ltd.)에 과징금 103억 600만 원과 시정명령·공표명령을 의결했습니다. 같은 날 애플 계열사에도 Siri 음성·전사문의 동의 없는 수집을 이유로 과징금 2억 5,200만 원이 부과됐습니다(합계 105억 5,800만 원).

틱톡 건의 사실관계를 개인정보위 보도자료 기준으로 정리하면 이렇습니다.

  • 틱톡은 TikTok Pixel, Events SDK, Events API 같은 행태정보 수집 도구를 다른 웹·앱 사업자에게 배포했습니다. 국내 7만 1천여 개 기업이 이 도구를 사용 중이고, 이를 통해 945만 명의 국내 이용자의 타사 행태정보(클릭, 구매, 장바구니, 검색 등)가 수집됐습니다(2025. 12. 기준).
  • 틱톡은 이 행태정보를 광고 식별자(GAID/IDFA)·쿠키 등 기기 식별자와 함께 수집해 틱톡 계정과 연결하고, 관심사를 추론해 맞춤형 광고에 썼습니다.
  • 문제는 적법 근거였습니다. 가입 시 명확히 알리지 않았고, 서비스에 꼭 필요한 항목과 묶어서 ‘필수 동의’로 받았습니다. 개인정보위는 이렇게 받은 동의는 정보주체가 실질적 동의권을 행사할 수 없어 적법한 동의가 아니라고 보고, 개인정보 보호법 제15조 제1항(수집·이용의 적법 근거) 및 제28조의8 제1항(국외 이전) 위반으로 판단했습니다.

제재는 틱톡이 받았는데, 왜 스타트업이 봐야 하나

이번 처분의 상대방은 틱톡입니다. 하지만 세 가지 이유로 남 일이 아닙니다.

첫째, “묶음 필수동의"로는 적법한 동의가 되지 않는다는 판단이 다시 확인됐습니다. 회원가입 화면에서 서비스 이용에 필요한 동의와 마케팅·맞춤형 광고용 동의를 한 덩어리로 받는 방식은 초기 스타트업에서 정말 흔합니다. 개인정보위는 이번에도, 이용자가 내용을 명확히 인지하고 자유롭게 선택할 수 없었던 동의는 적법한 동의로서 효력을 인정할 수 없다는 점을 명시적으로 강조했습니다.

여기서 용어를 구분해 둘 필요가 있습니다. 잘못 받은 동의는 동의로서 무효입니다(효력이 없다는 뜻 — 동의의 효력 차원의 평가). 그리고 무효인 동의에 기대어 이루어진 개인정보 수집·이용은 적법 근거가 없는 처리가 되어 위법해집니다(법 제15조 제1항 위반 — 처리행위 차원의 평가). 즉 “동의가 무효"라서 “수집·이용이 위법"해지는 것이고, 과징금은 이 위법한 처리행위에 대해 부과됩니다.

둘째, ‘국외 이전’의 범위가 생각보다 넓습니다. 개인정보위는 국외 이전이 단순한 물리적 이동이 아니라 우리 보호법의 관할이 미치지 않는 범위로의 이전을 의미하며, 계열사 간 이전이든, 국외로의 제공·처리위탁·보관이든 모두 국외 이전 규정을 지켜야 한다고 밝혔습니다. 해외 본사·지사 간 데이터 공유, 해외 리전의 클라우드나 글로벌 SaaS(분석 툴 포함)에 개인정보를 맡기는 구조라면 처리방침 공개 등 국외 이전 요건을 갖췄는지 점검이 필요합니다.

셋째, 데이터로 광고·분석 사업을 하는 회사라면 ‘틱톡의 자리’에 서게 될 수 있습니다. 이번 사건의 구조를 한 문장으로 줄이면 이렇습니다: 틱톡은 다른 회사의 웹사이트·앱에 자기 수집 도구(픽셀·SDK)를 심게 하고, 그 도구로 모인 이용자 정보를 자기 사업(맞춤형 광고)에 썼습니다.

이제 역할을 바꿔 보겠습니다. 우리 회사가 다른 회사 서비스에 들어가는 도구 — 예컨대 앱에 붙이는 분석 SDK, 쇼핑몰에 설치되는 상품 추천 위젯, 웹사이트용 채팅 상담 모듈 — 를 만들어 배포하고, 그 도구로 수집된 이용자 데이터를 우리 회사의 분석·광고·추천 모델 개선에 쓴다면 어떻게 될까요? 그 순간 우리는 도구를 ‘설치한 회사’가 아니라 도구를 ‘배포하고 데이터를 가져가는 회사’, 즉 이번 사건에서 틱톡이 섰던 자리에 서게 됩니다. 이용자 눈에 보이지 않는 곳에서 데이터가 흘러온다는 이유로 책임이 가벼워지지 않으며, “식별자 + 행태정보 + 계정 연결"의 조합은 개인정보 처리로 다뤄진다는 전제에서 동의 방식과 고지 내용을 제품 설계 단계부터 갖춰야 합니다.

참고로, 2026년 3월 공포된 개정 개인정보 보호법(법률 제21445호, 2026. 9. 11. 시행)은 3년 내 반복된 고의·중과실 위반, 1천만 명 이상 피해를 낳은 위반 등에 대해 과징금 상한을 전체 매출액의 3%에서 최대 10% 까지 높였습니다. 제재의 무게 자체가 달라지는 시점입니다.

스타트업 실무 체크리스트

  1. 우리 서비스에 심어진 서드파티 픽셀·SDK를 목록화하세요. 마케팅팀이 넣은 픽셀, 개발팀이 넣은 분석·크래시 리포트 SDK까지 한 표로 모으는 것이 시작입니다.
  2. 개인정보 처리방침에 그 도구들이 반영되어 있는지 확인하세요. 어떤 도구로 어떤 행태정보가 수집되고 누구에게 전달되는지가 실제 구현과 일치해야 합니다.
  3. 맞춤형 광고 목적의 수집·이용 동의를 필수 동의에 끼워 넣지 않았는지 회원가입 플로우를 다시 보세요. 서비스 제공에 필수적이지 않은 목적은 분리해 선택 동의로 받아야 합니다.
  4. 개인정보가 국외로 나가는 지점(해외 계열사, 해외 클라우드·SaaS 위탁, 해외 광고 플랫폼 제공)을 파악하고, 이전 항목·이전받는 자·목적·보유 기간 등 법정 사항이 처리방침 등에 공개·고지되어 있는지 점검하세요.
  5. 자체 수집 도구를 배포하는 사업이라면 제품 설계 단계에서 적법 근거(동의 방식, 고지 내용)를 함께 설계하세요. 출시 후에 고치는 것보다 훨씬 쌉니다.

마치며

이번 사건의 교훈은 “글로벌 대기업도 걸렸다"가 아니라, 일상적인 마케팅 도구 하나에도 수집 근거·동의 방식·국외 이전이라는 세 겹의 법적 구조가 붙어 있다는 점입니다. 규모가 작을 때 정리해 두는 것이 가장 저렴한 컴플라이언스입니다.

본 글은 개인정보보호위원회 2026. 7. 23.자 보도자료 「개인정보위, 적법 근거 없이 개인정보 수집·이용한 틱톡·애플 제재」를 기준으로 작성되었으며, 향후 결정문 공개나 불복 절차에 따라 세부 내용이 달라질 수 있습니다.