B2B 웹사이트 개인화와 데이터 프라이버시: 규정 준수 방법

대부분의 B2B 개인화 프로젝트는 2주차에 같은 벽에 부딪힙니다. 마케팅팀은 세그먼트와 헤드라인 변형을 준비해 두었는데, 법무팀의 누군가가 방문자 식별이 GDPR상 어떻게 작동하는지 묻고, 아무도 문서로 정리된 답을 갖고 있지 않습니다. 프로젝트는 멈춥니다.

이 글은 저희가 문서로 남겨 두고 싶었던 답입니다. 가장 많은 질문을 낳는 세 가지 규정(GDPR, 쿠키와 기기 접근에 관한 EU ePrivacy 규정, 캘리포니아 CCPA/CPRA)에 따른 B2B 웹사이트 개인화 데이터 프라이버시, 각 규정이 실제로 요구하는 것, 그리고 법무팀에 그대로 전달할 수 있는 오픈 체크리스트를 다룹니다. 법률 자문은 아닙니다. 목표는 마케팅팀과 법무팀이 더 빨리 같은 대화를 하도록 돕는 것이며, 법률 자문가가 확인할 수 있도록 1차 출처를 링크했습니다.

B2B 개인화의 개인정보 보호 특성이 다른 이유

대부분의 개인정보 보호 가이드는 쇼핑 사이트 간 광고 추적, 서드파티에 판매되는 행동 프로필 같은 소비자 시나리오를 기준으로 쓰였습니다. B2B 웹사이트 개인화는 대개 다른 모습입니다.

• 주요 입력값은 보통 방문자의 IP 주소에서 도출한 기업 단위 데이터(업종, 규모, 위치, 사용 기술)입니다.
• 결과는 소박합니다. 제조업 방문자가 핀테크 대신 제조업 사례 연구를 봅니다.
• 많은 방문자가 이미 거래 중이거나 타깃으로 삼은 기업에서 오므로, 이들에게 관련 콘텐츠를 보여 줄 타당한 비즈니스상의 이유가 있습니다.

그렇다고 B2B 개인화가 개인정보 보호법에서 면제되는 것은 아닙니다. 모든 IP 주소 뒤에는 여전히 사람이 있고, 법은 기업이 아니라 그 사람을 보호합니다. 달라지는 것은 위험 수준과 현실적으로 적용 가능한 법적 근거입니다. 이 분류를 제대로 하는 것이 일의 대부분입니다.

GDPR: IP 주소 문제

법무팀이 가장 먼저 물을 질문은 IP 주소가 개인정보에 해당하는지입니다. 솔직한 답은 "보유 주체에 따라 다르지만 대개 그렇다"입니다. Breyer 사건(Case C-582/14)에서 EU 사법재판소는 웹사이트 운영자가 인터넷 서비스 제공업체가 보유한 추가 정보로 방문자를 식별할 법적 수단을 갖고 있다면 동적 IP 주소는 해당 운영자에게 개인정보라고 판결했습니다. 이 사건은 구 데이터 보호 지침하에서 판결되었지만, Article 4(1)의 GDPR 개인정보 정의는 개인을 식별 가능하게 만드는 것으로 "온라인 식별자"를 명시하고 있어 같은 논리가 적용됩니다.

저희의 견해: 처리하는 모든 IP 주소가 개인정보라고 가정하고 계획하십시오. 그렇지 않다고 주장해서 얻는 것은 거의 없고, 규제 기관에게는 문서가 회피적으로 보일 뿐입니다.

법적 근거 선택하기

GDPR 제6조는 여섯 가지 법적 근거를 제시합니다. 웹사이트 개인화와 관련된 것은 두 가지입니다.

여기서 중요한 점이 두 가지 있습니다. 첫째, Breyer 보도자료는 웹사이트 운영자가 방문자 데이터를 처리하는 데 정당한 이익을 가질 수 있다는 법원의 판단도 언급합니다. 단, 방문자의 권리와 비교 형량해야 합니다. 이것이 바로 LIA가 보여줘야 하는 이익 형량입니다. 둘째, 개인화가 직접 마케팅의 일부라면 제21조 (2)항과 (3)항에 따라 방문자에게 절대적인 반대권이 주어집니다. 방문자가 반대하면 즉시 중단해야 합니다. 첫 번째 불만이 접수된 후가 아니라 출시 전에 옵트아웃 기능을 만드세요.

GDPR 위반의 대가

Article 83(5)에 따르면 처리 원칙, Article 6의 적법 근거 규정, Article 7의 동의 조건, Articles 12 to 22의 정보주체 권리를 위반하면 최대 2,000만 유로 또는 전 세계 연간 매출의 4% 중 높은 금액의 과징금이 부과될 수 있습니다. 이는 상한선이지 일반적인 과징금이 아닙니다. 미드마켓 B2B 팀에게 더 현실적인 비용은 규제 당국의 조사로, 이미 갖추고 있어야 할 문서를 준비하는 동안 개인화를 중단해야 하는 상황입니다.

ePrivacy: “쿠키리스”가 오해받는 지점

ePrivacy 지침(2002/58/EC, Article 5(3))은 쿠키 배너의 근거가 되는 규정입니다. 사용자가 요청한 서비스에 반드시 필요한 경우가 아니라면, 사용자 기기에 정보를 저장하거나 기기의 정보에 접근하기 전에 동의를 받아야 합니다. GDPR과 함께 적용되며, 해당 정보가 개인정보인지 여부와 무관합니다.

영국에서는 같은 규칙이 PECR에 있습니다. ICO 지침은 동의가 능동적이고 명확하게 주어져야 하며, 단지 도움이 되거나 편리한 쿠키에도 동의가 필요하다고 분명히 합니다. 개인화 쿠키는 이 범주에 속합니다.

많은 벤더 블로그가 건너뛰는 부분이 있습니다. 많은 개인화 마케팅이 '서버 사이드, 쿠키리스이므로 동의가 필요 없다'고 말합니다. 이는 지나치게 단순한 설명입니다. EDPB의 Article 5(3)의 기술적 범위에 관한 Guidelines 2/2023(2024년 10월 최종판)은 IP 주소만을 기반으로 한 추적도 Article 5(3)에 해당할 수 있으며, IP 주소가 사용자의 기기에서 비롯되지 않았음을 보장할 수 없다면 적용 대상으로 취급해야 한다고 명시합니다. 같은 가이드라인은 클라이언트 측 코드가 브라우저에 식별자를 전송하도록 지시하는 경우에도 Article 5(3)이 적용된다고 합니다.

실무적으로 의미하는 바는 다음과 같습니다.

• 현재 페이지 조회의 헤드라인을 고르기 위한 일회성 서버 측 IP 조회가 가장 위험이 낮은 패턴입니다. 일부 변호사는 여전히 동의나 EDPB 가이드라인에 따른 명확한 예외 분석을 요구할 수 있으니 자문을 구하세요.
• IP 주소로 방문자를 페이지나 세션 간에 추적하는 것은 트래킹이며, EDPB는 이에 쿠키와 동일한 동의 분석이 필요하다고 봅니다.
• 브라우저에서 식별자(쿠키, 로컬 스토리지, 핑거프린팅 신호)를 읽거나 설정하는 JavaScript 스니펫은 반드시 필요한 경우가 아니라면 실행 전에 동의를 받아야 합니다.

시점과 관련해 한 가지 참고할 점: 지침을 대체할 예정이던 ePrivacy 규정은 무산되었습니다. 유럽연합 집행위원회는 2025년 업무 계획에서 해당 제안을 철회한다고 발표했으며, 기존 지침과 각국의 시행 법률이 계속 효력을 유지합니다. 새로운 EU 쿠키 규정을 기다리지 말고 지금 동의 체계를 제대로 갖추세요.

CCPA/CPRA: 우리 회사에 적용되기는 할까?

캘리포니아 법은 캘리포니아에서 사업을 하면서 최소 하나의 기준을 충족하는 영리 기업에만 적용됩니다. 캘리포니아 개인정보보호청(CPPA)에 따르면 기준은 다음과 같습니다.

1. 연간 총매출 2,662만 5천 달러 이상(2025년 1월 1일부터 조정된 금액).
2. 캘리포니아 주민 또는 가구 100,000명 이상의 개인정보를 구매, 판매 또는 공유하는 경우.
3. 캘리포니아 주민의 개인정보를 판매하거나 공유해 연 매출의 50% 이상을 얻는 경우.

B2B 팀에게 중요한 연혁은 비즈니스 연락처 데이터와 직원 데이터에 대한 한시적 면제가 2023년 1월 1일에 만료되었다는 점입니다. 캘리포니아에서 회사 노트북으로 귀사 사이트를 둘러보는 구매자도 법적으로는 소비자입니다.

적용 대상이라면, 개인화와 관련된 의무는 다음과 같습니다.

• 개인정보 처리방침에 개인화를 위해 IP 기반 데이터를 수집한다는 사실과 사용하는 데이터 범주를 고지하세요.
• 데이터 보강 또는 광고 파트너가 '판매' 또는 '공유'(공유에는 맥락 간 행동 기반 광고가 포함됨)에 해당하는 방식으로 방문자 데이터를 받는다면, '내 개인정보를 판매하거나 공유하지 마십시오' 링크를 제공하고 옵트아웃을 존중하십시오.
• CPPA FAQ에 따라 열람, 삭제, 정정 요청에는 45일(역일) 이내에 응답해야 하며, 당사자에게 통지하면 45일 더 연장할 수 있습니다.

CPPA 발표에 따르면 2025년 1월 1일 인플레이션을 반영해 벌금이 인상되어, 위반 1건당 최대 $2,663, 고의 위반 1건당 최대 $7,988의 행정 벌금이 부과됩니다. 미국의 다른 주들도 기준이 다른 자체 포괄적 개인정보 보호법을 두고 있으므로, 해당 주에서 의미 있는 트래픽이 발생한다면 캘리포니아 분석으로 충분하다고 가정하지 말고 별도로 검토하세요.

실용적인 프레임워크: 세 가지 데이터 티어

이를 관리 가능하게 만드는 가장 쉬운 방법은, 무엇이든 만들기 전에 개인화에 쓰이는 모든 입력값을 분류해 두는 것입니다.

저희 의견: Tier 1으로 시작하세요. 물류 기업에 물류 고객 사례를 보여 주는 데 읽는 사람에 대해 아무것도 알 필요가 없습니다. 눈에 띄는 개인화 성과(업종 헤드라인, 관련 증거, 기업 규모별 요금 강조)의 대부분은 Tier 1에 있습니다. Tier 2와 3도 가치를 더하지만 동의 의존성과 서류 작업도 늘어나므로, Tier 1이 측정되고 안정된 후에 추가하세요.

단계별: 규정을 준수하며 시작하기

1. 동의 여부에 따라 경험을 나누기

흔한 실수는 방문자가 “수락”을 클릭할 때까지 모든 개인화를 차단하는 것입니다. 더 나은 설계:

1. 동의 전: 기기에 식별자를 저장하지 않는 서버 측 조회 기반의 티어 1 개인화만 적용합니다. 행동 이력은 사용하지 않습니다.
2. 개인화 쿠키에 동의한 후: 재방문과 참여를 기록하기 시작하고, 이를 티어 2 규칙에 활용하세요.
3. 양식 제출 후: 개인정보 처리방침과 법적 근거가 허용하는 범위에서 계정을 CRM 데이터(3등급)와 연결하십시오.

지루하지만 확실한 방법으로 테스트하세요. 깨끗한 브라우저 프로필에서 사이트를 열고 모두 거부한 뒤 DevTools의 Application 탭을 확인합니다. 개인화 쿠키나 로컬 스토리지 키가 나타나면 안 됩니다. 그다음 동의하고 다시 확인하세요.

2. 동의 카테고리를 실제와 일치시키기

'분석'에 동의한 방문자가 '개인화'에 동의한 것은 아닙니다. 동의 관리 도구에 세부 카테고리가 있다면 개인화 카테고리를 추가하고(또는 개인화를 정확히 설명하는 기존 '기능' 또는 '마케팅' 카테고리에 포함하고), 개인화 스크립트가 바로 그 카테고리를 따르도록 하세요.

3. 데이터 흐름에 있는 모든 벤더를 감사합니다

방문자 데이터를 다루는 각 벤더(IP 보강, 분석, CDP, CRM, 동의 관리 도구)에 대해 다음을 기록하세요.

• 사이트에서 어떤 데이터를 받고, 무엇을 돌려보내는지.
• 데이터를 어디에 저장하고 처리하는지, EEA 밖으로의 이전에는 어떤 이전 메커니즘이 적용되는지.
• 귀사의 방문자 데이터를 자사 제품에 사용하는지 여부. 그렇다면 수탁자가 아니라 관리자(controller)로 활동하는 것일 수 있으며, 이는 계약과 개인정보 처리방침을 바꿉니다.
• 데이터 처리 계약(DPA) 체결 여부와 보관 위치.

계약서는 절반만 다룹니다. 나머지 절반은 각 공급업체가 실제로 데이터를 어떻게 보호하느냐입니다. 사내에 보안 전문가가 없다면 서명 전에 외부 사이버 보안 서비스를 통해 공급업체의 접근 통제와 저장 방식을 검토받을 수 있습니다.

이 감사에서 흔히 발견되는 예(가상): 이용 약관상 고객 데이터를 자체 오디언스 상품 개발에 사용할 수 있는 애널리틱스 도구. 이는 수탁자(processor) 관계가 아니므로 재협상하거나, 제대로 고지하거나, 귀사의 지시에 따라서만 데이터를 처리하는 개인화 분석 구성처럼 수탁자 역할을 유지하는 도구로 바꿔야 합니다.

4. 세 가지 문서 작성하기

• 개인정보처리방침 섹션. 수집하는 정보(IP 기반 기업 데이터, 동의를 받은 행동 데이터), 목적(관련 콘텐츠 표시), 법적 근거, 보관 기간, 벤더, 이의 제기 방법.
• 정당한 이익 평가(LIA). 목적 테스트(비즈니스 방문자에게 관련 콘텐츠 제공), 필요성 테스트(회사 단위 데이터로 충분하며 더 많은 데이터가 필요 없는 이유), 균형 테스트(민감 데이터 없음, 회사 단위 결과물, 쉬운 이의 제기, 짧은 보관 기간).
• 쿠키 정책. 개인화 시스템이 설정하는 모든 쿠키나 저장소 키와 그 목적, 유효 기간, 분류.

5. 실제로 지킬 수 있는 보존 기한 설정하기

GDPR 제5조 제1항 (e)호의 보관 기간 제한 원칙은 개인 데이터를 목적에 필요한 기간보다 오래 보관하지 않는다는 뜻입니다. 법은 구체적인 기간을 정하지 않으므로, 기간을 정하고 그 근거를 마련하세요. 예: 행동 데이터는 90일, 보강된 기업 데이터는 일반적인 B2B 영업 주기를 고려해 12개월. 어떤 기간을 정하든 삭제가 자동으로 이루어지도록 도구에 설정하세요.

6. 정보주체 요청 대응 리허설하기

Article 12(3)에 따라 열람, 삭제, 반대 요청에는 부당한 지체 없이 1개월 이내에 응답해야 하며, 필요한 경우 2개월 연장할 수 있습니다. 캘리포니아는 45일을 줍니다. 출시 전에 테스트 요청을 실행하세요. 사이트를 방문한 적이 있는 동료를 골라 스택이 보유한 그 사람에 관한 모든 정보를 찾고, 내보내고, 삭제해 보세요. 방문자 식별 도구가 IP 주소별 또는 연락처별로 이를 할 수 없다면 라이브 전에 해결해야 할 문제가 있는 것입니다.

흔한 컴플라이언스 실수

기업 데이터를 '익명'이라고 부르는 것

기업을 식별하는 것이 익명 데이터를 처리하는 것과 같지는 않습니다. 조회에 사용한 IP 주소는 대부분의 현실적인 상황에서 개인정보입니다. 문서에 그렇게 명시하고, 문서화된 법적 근거에 의존한 뒤 다음 단계로 넘어가세요.

'서버 측'이면 '동의가 필요 없다'고 가정하는 것

앞서 설명했듯이 EDPB는 Article 5(3)을 IP 기반 추적과 클라이언트 측 식별자 수집까지 포함할 만큼 넓게 해석합니다. 서버 사이드에서 요청마다 기업을 조회하는 방식이 가장 위험이 낮은 설계이지만, 이는 자동으로 면제되는 것이 아니라 법률 자문과 논의해야 할 설계상의 선택입니다.

반대 의사 표시 경로 없음

법적 근거가 정당한 이익이라면 방문자는 반대할 수 있습니다. 아무도 확인하지 않는 이메일 수신함으로 연결되는 개인정보 처리방침 링크는 인정되지 않습니다. 개인화를 끌 수 있는 설정을 제공하고 개인화 엔진에서 이를 준수하세요.

출처를 확인하지 않고 서드파티 구매 의도 데이터를 투입하는 것

서드파티 구매 의도 데이터는 사이트 간 탐색 데이터로 만들어지는 경우가 많습니다. 제공업체가 그 수집에 대해 동의나 다른 법적 근거를 어떻게 확보했는지 보여 주지 못한다면, 데이터를 사용하는 순간 그 약점을 그대로 떠안게 됩니다. 계약 전에 데이터 출처 문서를 요청하고, 퍼스트파티 행동 신호를 우선하세요. 장단점은 B2B 웹사이트 개인화를 위한 구매 의도 데이터 가이드에서 더 자세히 다룹니다.

무기한 보관

개인화 도구는 기본적으로 모든 데이터를 보관하는 경우가 많습니다. 주요 개인화 플랫폼뿐 아니라 스택의 모든 도구에서 보관 설정을 확인하세요.

오픈 전 체크리스트

1. 데이터 인벤토리 완료, 모든 입력 항목을 1, 2, 3등급으로 분류.
2. 티어별 법적 근거 문서화, 티어 1은 LIA 포함.
3. IP 조회와 모든 클라이언트 측 스크립트에 대한 ePrivacy 분석을 법률 자문이 검토함.
4. 동의 배너에 개인화를 포함하는 카테고리가 있고, 깨끗한 브라우저 테스트로 동의 전에 아무것도 저장되지 않는 것이 확인됨.
5. 모든 벤더와 DPA 체결 완료, 저장 위치와 이전 메커니즘 기록 완료.
6. 개인정보 처리방침과 쿠키 정책을 업데이트했습니다.
7. 이의 제기 및 수신 거부 경로가 작동하며 개인화 엔진이 이를 준수합니다.
8. 모든 도구에 보존 기한 설정 완료.
9. GDPR 및 CCPA 기한 내에 테스트용 정보주체 요청 처리 완료.
10. 세 가지 기준으로 CCPA 적용 범위를 확인하고, 해당 지역 트래픽이 있다면 다른 미국 주법도 매핑함.

개인정보 보호 제약이 더 나은 개인화로 이어지는 이유

여기부터는 의견이며, 동의하지 않는 팀도 있을 것입니다. 개인정보 보호 규정 안에서 일하다 보면 어차피 효과가 있는 개인화 방향으로 가게 됩니다.

기업 단위 세그먼트는 쿠키를 거부한 방문자를 포함해 모든 방문자에게 적용되므로, 첫 테스트가 ‘동의’를 누른 일부에게만 제한되지 않습니다. 적고 넓은 세그먼트(예: 업종과 기업 규모 기준 대여섯 개)는 탐색 패턴으로 만든 수십 개의 마이크로 세그먼트보다 좋은 콘텐츠를 쓰기 쉽고, 세그먼트마다 측정할 만큼의 트래픽이 확보됩니다. 그리고 서드파티 데이터에 기댈 수 없을 때는 사람들이 실제로 자사 사이트를 어떻게 이용하는지를 바탕으로 한 퍼스트파티 데이터 전략에 투자하게 되는데, 이것이야말로 여러분에 대한 관심을 구체적으로 반영하는 데이터입니다.

이 세그먼트의 출발점이 필요하다면, 전환되는 기업 정보 세그먼트에 관한 글에서 선택 방법을 설명하고, 기업 단위 방문자 식별의 작동 방식에서 IP 조회로 알 수 있는 것과 없는 것을 설명합니다.

법무 검토에서 막히지 않고 시작하기

대부분의 B2B 팀에게 현실적인 리스크는 과징금이 아닙니다. 법무팀에 검토할 구체적인 설계를 아무도 주지 않아 몇 달씩 의견을 주고받는 것입니다. 이렇게 하나를 건네세요.

1. IP 조회, 반환되는 데이터, 저장되는 데이터를 보여주는 한 페이지짜리 데이터 흐름도.
2. 위의 티어 표를 자사 스택에 맞게 채운 것
3. LIA 초안과 개인정보 처리방침 섹션.
4. 클린 브라우저 동의 테스트 결과

그런 다음 트래픽이 많은 몇 개 페이지에서 티어 1을 시작하고, 30일간 측정한 뒤, 동의 체계가 작동하고 수치가 정당화할 때 티어 2를 추가하세요.

Markettailor는 이 작업 순서에 맞습니다. 기업 정보 기반 세분화는 기업 단위 데이터로 작동하므로, 동의 관련 작업을 마무리하는 동안 티어 1 규칙부터 시작할 수 있습니다. 법무팀과 이야기하기 전에 요금제를 비교하고 싶다면 Markettailor 요금을 확인하세요.