B2C 서비스를 만드는 스타트업이 언젠가 반드시 마주치는 질문이 있습니다. “우리 서비스, 14세 미만도 가입할 수 있게 되어 있나요?” 급하게 약관을 열어 보니 “만 14세 이상만 이용할 수 있습니다"라는 문장이 있습니다. 그래서 문제없다고 답합니다.
그런데 가입 화면에는 연령을 확인하는 절차가 전혀 없습니다. 이메일과 비밀번호만 넣으면 누구나 가입됩니다. 앱스토어 리뷰에는 초등학생이 쓴 것으로 보이는 후기가 여럿 달려 있습니다. 이 상태라면, 약관의 그 한 줄은 회사를 지켜주지 못할 가능성이 큽니다.
왜 ‘만 14세’인가
개인정보 보호법 제22조의2가 기준선입니다.
개인정보 보호법 제22조의2(아동의 개인정보 보호)
① 개인정보처리자는 만 14세 미만 아동의 개인정보를 처리하기 위하여 이 법에 따른 동의를 받아야 할 때에는 그 법정대리인의 동의를 받아야 하며, 법정대리인이 동의하였는지를 확인하여야 한다.
포인트는 두 개입니다. 만 14세 미만 아동의 개인정보는 아동 본인이 아니라 법정대리인(대개 부모)의 동의가 있어야 수집할 수 있고, 동의를 받았다는 사실을 확인할 의무까지 사업자에게 있다는 것입니다. “부모님 동의를 받았나요?“라는 체크박스에 아동이 스스로 체크하게 하는 방식이 통하지 않는 이유입니다.
여기서 나이는 ‘만 나이’입니다. 그리고 판단 시점은 수집 시점 — 실무적으로는 가입 시점입니다.
함정: “아동 대상 서비스가 아닌데요”
키즈 콘텐츠를 만드는 회사만의 문제라고 생각하기 쉽지만, 규제는 그렇게 좁게 작동하지 않습니다. 개인정보위의 아동·청소년 개인정보 보호 가이드라인(2022. 7.)의 취지에 비추어 보면, 아동을 대상으로 하지 않는 서비스라 하더라도 만 14세 미만 이용자가 있음을 인식하였다면 그에 따른 조치를 취해야 합니다. 법정대리인 동의를 받아 적법하게 처리 근거를 갖추든가, 그럴 계획이 없다면 해당 계정의 이용을 중단시키고 수집된 개인정보를 파기하는 것입니다. 고객 문의, 결제 분쟁, 리뷰 등으로 아동 이용을 알게 되었는데도 계정을 그대로 두는 것은 그 자체로 위반 상태의 방치가 됩니다.
그리고 아동을 받지 않기로 한 서비스라면, 그 정책이 이용자에게 분명히 전달되고 실제로 확인되는 구조여야 합니다. 두 가지가 필요합니다.
첫째, ‘만 14세 미만은 이용할 수 없다’는 점을 분명히 표시해야 합니다. 약관 본문 깊숙한 곳에 한 줄 넣어두는 것이 아니라, 가입 화면에서 이용자가 인지할 수 있는 방식으로 드러나야 합니다.
둘째, 이용자 본인이 ‘만 14세 미만이 아니다’라는 점을 구체적으로 확인하는 절차를 두어야 합니다. 여러 약관 동의에 묻어가는 일괄 체크로는 부족하고, 연령 요건에 대한 확인을 이용자가 별도로, 스스로 하게 해야 합니다. 연령을 아예 묻지도, 확인하게 하지도 않는 가입 흐름은 “우리는 이용자 나이를 몰랐다"는 항변이 아니라 알 수 있는 수단을 두지 않은 설계로 평가될 위험이 있습니다.
다만 확인 ‘방법’을 고를 때 반대편에서 작동하는 원칙이 하나 있습니다. 개인정보 최소수집 원칙입니다. 개인정보처리자는 목적에 필요한 최소한의 개인정보만 수집해야 하고, 그것이 최소한이라는 입증책임은 사업자가 집니다(법 제3조 제1항, 제16조 제1항). 생년월일은 그 자체가 개인정보입니다. 서비스 제공에 생년월일이 필요하지 않은 서비스가 연령 확인을 이유로 생년월일을 수집·보관한다면, 아동 보호 리스크를 줄이려다 최소수집 원칙 위반이라는 별개의 위법 이슈를 만드는 셈이 됩니다.
그래서 확인 절차는 서비스 성격에 따라 층위를 나누는 것이 안전합니다.
- 생년월일이 서비스에 필요 없는 경우(대부분의 서비스) — 개인정보를 새로 수집하지 않는 방식이 기본입니다. 가입 화면에 ‘만 14세 미만 이용 불가’를 표시하고, ‘본인은 만 14세 이상입니다’를 별도 항목으로 명시적으로 확인하게 하는 방식입니다. 확인력이 더 필요하면 생년월일을 입력받되 만 14세 이상 여부만 판정하고 생년월일 자체는 저장하지 않는 설계를 검토할 수 있습니다.
- 생년월일이 서비스에 실제로 필요한 경우 — 연령별 콘텐츠 제공, 법령상 연령 확인 의무가 있는 서비스 등이라면 생년월일 수집에 목적상 근거가 있으므로 연령 게이트로 함께 확인하면 됩니다. 이 경우에도 수집 목적과 보유 기간을 처리방침에 밝혀야 합니다.
참고로 가이드라인이 “연령 확인은 이용자가 스스로 생년월일을 기입하는 방식으로 충분하다"고 한 것은 신분증 제출 같은 과도한 확인까지는 요구되지 않는다는 확인 강도의 상한을 말한 것이지, 모든 서비스가 생년월일을 수집해도 된다는 뜻이 아닙니다.
정리하면 회사의 선택지는 두 갈래입니다.
A. 14세 미만은 받지 않는다 — 대부분의 스타트업에게 현실적인 선택입니다. 위에서 본 ‘분명한 표시 + 본인의 구체적 확인’을 가입 흐름에 심고, 만 14세 미만으로 확인되면 가입을 차단합니다. 이용자가 답을 바꿔 재시도하는 것까지 완전히 막을 수는 없지만, 표시와 확인 절차를 제대로 갖춘 회사와 아무것도 묻지 않은 회사는 사후 평가에서 전혀 다른 위치에 서게 됩니다. 여기에 더해, 운영 중 아동 이용 사실을 인식하게 됐을 때 계정을 정리하고 정보를 파기하는 내부 절차까지 갖춰야 방어가 완성됩니다.
B. 14세 미만도 받는다 — 교육, 게임, 커뮤니티처럼 아동이 핵심 이용자라면 법정대리인 동의 체계를 정면으로 구축해야 합니다.
B를 선택했다면 — 법정대리인 동의, 어떻게 받고 어떻게 확인하나
시행령 제17조의2 제1항이 동의 확인 방법을 구체적으로 정하고 있습니다. 일곱 가지가 나열되어 있는데, 실무에서 쓸 만한 것 위주로 추리면 다음과 같습니다.
| 방법 | 시행령 근거 | 실무 난이도 |
|---|---|---|
| 사이트에서 법정대리인이 동의 표시 + 휴대전화 본인인증으로 본인 확인 | 제1항 제3호 | 가장 일반적. 본인인증 모듈로 구현 |
| 사이트에서 동의 표시 + 동의 확인을 문자메시지로 통보 | 제1항 제1호 | 구현 간단하나 ‘본인’ 확인력은 약함 |
| 사이트에서 동의 표시 + 신용카드·직불카드 정보 확인 | 제1항 제2호 | 결제 수단 겸용 시 유용 |
| 동의서 서면 발급·회수(우편·팩스 포함) | 제1항 제4호 | 오프라인 병행 서비스(학원 등) |
| 전자우편으로 동의 내용 발송 후 동의 의사가 적힌 회신 수령 | 제1항 제5호 | 회신율이 낮아 보조 수단 |
| 전화 동의(또는 안내 후 재통화 동의) | 제1항 제6호 | 콜센터 있는 경우 |
설계할 때 함께 챙길 세 가지가 있습니다.
- 법정대리인 연락처는 아동에게 물어봐도 됩니다. “부모 동의를 받으려면 부모 연락처가 필요한데, 그 연락처도 개인정보 아닌가?“라는 순환 문제를 법이 직접 풀어 뒀습니다. 동의를 받기 위해 필요한 최소한의 정보 — 시행령상 법정대리인의 성명·연락처 — 는 법정대리인 동의 없이 아동으로부터 직접 수집할 수 있습니다(법 제22조의2 제2항, 시행령 제17조의2 제2항).
- 동의가 끝내 확인되지 않으면 파기해야 합니다. 동의 절차를 위해 받아 둔 법정대리인 연락처를 포함해, 수집 목적이 달성되지 못한 정보는 보유할 근거가 없습니다.
- 아동에게 하는 고지는 아동의 언어로. 만 14세 미만 아동에게 개인정보 처리 사항을 알릴 때에는 이해하기 쉬운 양식과 명확하고 알기 쉬운 언어를 사용해야 합니다(법 제22조의2 제3항). 성인용 처리방침을 그대로 보여주는 것으로는 부족하다는 뜻입니다.
어기면 어떻게 되나
이 조항은 개인정보 보호법 안에서도 제재가 무거운 축에 속합니다.
- 형사처벌: 법정대리인 동의 없이 만 14세 미만 아동의 개인정보를 처리하면 5년 이하의 징역 또는 5천만 원 이하의 벌금 대상입니다(제71조 제3호).
- 과징금: 같은 위반이 전체 매출액의 3% 이하 과징금 부과 사유이기도 합니다(제64조의2 제1항 제2호). 위반 부분 매출이 아니라 전체 매출 기준에서 출발한다는 점, 그리고 지난 글에서 정리했듯 9월 11일부터는 고의·중과실의 중대·반복 위반에 대해 상한이 10%까지 올라간다는 점을 같이 기억할 필요가 있습니다.
실제 사례도 있습니다. 2020년 방송통신위원회(당시 소관)는 틱톡이 법정대리인 동의 없이 만 14세 미만 아동의 개인정보 최소 6,007건을 수집했다는 등의 이유로 과징금 1억 8,000만 원(과태료 포함 1억 8,600만 원)을 부과했습니다. 당시 틱톡은 가입 시 연령 확인 절차 자체가 부실했다는 점이 문제됐습니다. 연령 게이트가 왜 최소 방어선인지 보여주는 사례입니다.
다가오는 것들 — 규제는 더 촘촘해지는 방향
이 영역은 앞으로 더 강화됩니다. 개인정보위는 2026년 업무 추진계획에서 법정대리인 동의 제도 현실화와 아동·청소년 대상 맞춤형 광고 제한 논의를 구체화하겠다고 밝혔고, 개인정보 보호 기본계획(2024~2026)에는 보호 연령 확대와 연령대별 처리 체계를 담은 (가칭) 아동·청소년 개인정보 보호법 제정 추진이 포함되어 있습니다.
특히 맞춤형 광고는 지금도 주의 지점입니다. 현행 가이드라인은 만 14세 미만임을 알고 있는 아동에게는 맞춤형 광고를 제공하지 않도록 권장하고 있습니다. 광고·분석 SDK가 수집하는 행태정보는 이용자가 아동인지 가리지 않습니다. 아동 이용자가 있는 서비스라면, 얼마 전 틱톡·애플 제재에서 문제된 행태정보 이슈가 아동 보호 이슈와 겹쳐서 들어올 수 있는 구조입니다.
글로벌 서비스라면 기준선이 나라마다 다르다는 점도 챙겨야 합니다. 미국 COPPA는 13세 미만, EU GDPR은 회원국에 따라 13~16세 미만입니다. 한국 기준(만 14세)만 맞춘 연령 게이트로는 부족할 수 있습니다.
체크리스트
- ‘만 14세 미만 이용 불가’가 분명히 표시되는가 — 약관 속 한 줄이 아니라 가입 화면에서 이용자가 인지할 수 있게 드러나는지.
- 본인의 구체적 확인 절차가 있는가 — ‘만 14세 이상입니다’라는 별도의 명시적 확인을 이용자 스스로 하게 하는지. 일괄 약관 동의에 묻어가는 방식은 부족합니다. 반대로, 서비스에 필요하지 않은 생년월일을 확인 명목으로 수집·보관하고 있지는 않은지(최소수집 원칙, 제16조 제1항)도 함께 점검해야 합니다.
- 아동 이용을 인식했을 때의 조치 절차가 있는가 — 고객 문의·결제 분쟁·리뷰 등으로 알게 된 경우 법정대리인 동의를 받거나, 계정 이용 중단·정보 파기로 이어지는 내부 프로세스가 있는지.
- 허용 정책(B안)이라면 — 시행령 제17조의2의 방법 중 하나로 법정대리인 동의를 받고 있는지, 동의 이력을 기록·보관하는지, 동의 불발 시 파기하는지.
- 법정대리인 정보는 최소한만 — 성명·연락처를 넘는 정보를 동의 확인 명목으로 수집하고 있지 않은지.
- 아동용 고지 — 아동에게 보여주는 동의 화면·처리방침이 쉬운 언어로 되어 있는지.
- 광고·분석 SDK — 아동 이용자의 행태정보가 맞춤형 광고에 흘러 들어가는 구조는 아닌지.
- 해외 출시 시 — 진출국의 아동 연령 기준(COPPA 13세, GDPR 13~16세)에 맞춘 분기가 있는지.
아동 개인정보는 “문제가 생기면 그때 고치자"가 통하지 않는 영역입니다. 위반의 상대방이 아동이라는 사실 자체가 제재 수위와 여론 양쪽에서 가중 요소로 작동하기 때문입니다. 서비스가 크기 전, 가입 흐름이 단순할 때 정비하는 것이 가장 쌉니다.
이 글은 일반적인 정보 제공을 목적으로 하며, 구체적인 사안에 대한 법률자문이 아닙니다. 개별 사안은 사실관계에 따라 결론이 달라질 수 있으므로 별도의 검토가 필요합니다.
참고 자료
- 개인정보 보호법 제3조 제1항·제16조 제1항 (최소수집 원칙과 입증책임), 제22조의2, 제64조의2 제1항 제2호, 제71조 제3호
- 개인정보 보호법 시행령 제17조의2 (법정대리인 동의 확인 방법, 최소 수집 정보)
- 개인정보보호위원회, 아동·청소년 개인정보 보호 가이드라인 (2022. 7.)
- 개인정보보호위원회, 2026년 업무 추진계획 (법정대리인 동의 현실화, 아동·청소년 맞춤형 광고 제한 논의)
- 방송통신위원회, 틱톡 제재 의결 (2020. 7. 15. — 아동 개인정보 무단 수집 등)