인터넷 방송과 개인정보보호법 - 시청자 정보 수집 시 주의사항

스트리머가 수집하는 개인정보의 범위

"나는 시청자 개인정보를 수집한 적 없는데?"라고 생각하는 스트리머가 대부분일 것이다. 하지만 법적 의미에서의 개인정보 수집은 생각보다 넓은 범위를 포괄한다.

직접 수집하는 경우

• 팬미팅, 오프라인 이벤트 참가 신청 시 이름, 전화번호, 이메일 수집
• 디스코드 서버에서 인증 절차로 나이, 성별 등을 요구하는 경우
• 굿즈 판매 시 배송을 위한 주소, 이름, 전화번호 수집
• 시청자 참여 이벤트(경품 추첨)에서 당첨자 연락처 수집
• 팬레터, DM 등으로 시청자가 자발적으로 개인정보를 전달하는 경우

간접적으로 수집되는 경우

• 채널 분석 도구를 통해 시청자의 접속 IP, 시청 시간, 지역 정보가 수집되는 경우
• 후원 플랫폼(투네이션, 트윕 등)을 통해 후원자의 결제 정보가 처리되는 경우
• 채팅 로그에 시청자의 닉네임과 대화 내용이 저장되는 경우

개인정보보호법에서 정의하는 '개인정보'란 "살아 있는 개인에 관한 정보로서 성명, 주민등록번호 및 영상 등을 통하여 개인을 알아볼 수 있는 정보"를 말한다. IP 주소, 이메일, 닉네임(다른 정보와 결합해 개인을 식별할 수 있는 경우)도 개인정보에 해당한다.

방송 중 시청자의 닉네임을 호명하는 것이나, 채팅 로그를 VOD로 저장하는 것은 일반적으로 개인정보 처리에 해당하지 않는다(시청자가 자발적으로 공개한 정보이므로). 하지만 위의 직접 수집 항목은 명확한 개인정보 처리 행위이며, 법적 의무가 따른다.

개인정보보호법상 스트리머의 의무

개인정보를 수집·이용하는 모든 자는 "개인정보처리자"에 해당한다. 사업자 등록 여부와 관계없이, 개인정보를 처리하는 스트리머도 개인정보처리자로서의 의무를 진다.

의무 1: 수집·이용 동의 획득

개인정보를 수집하기 전에 정보 주체(시청자)의 동의를 받아야 한다. 동의 시 알려야 할 사항은 다음과 같다.

1. 개인정보 수집·이용 목적
2. 수집하는 개인정보 항목
3. 보유 및 이용 기간
4. 동의 거부 권리 및 거부 시 불이익

의무 2: 목적 외 이용 금지

수집 목적과 다른 용도로 개인정보를 사용하면 안 된다. 굿즈 배송을 위해 수집한 주소를 마케팅 목적으로 사용하는 것은 목적 외 이용에 해당한다.

의무 3: 안전한 관리

수집한 개인정보가 유출, 변조, 훼손되지 않도록 기술적·관리적 보호 조치를 해야 한다. 엑셀에 시청자 이름과 주소를 저장해두고 비밀번호도 안 건 채 방치하면 안전 관리 의무 위반이다.

의무 4: 파기

수집 목적이 달성된 후에는 지체 없이 파기해야 한다. 이벤트가 끝나고 경품을 발송한 후에도 당첨자의 주소와 전화번호를 계속 보관하면 위법이다.

의무 5: 개인정보 처리방침 공개

개인정보를 처리하는 경우, 처리방침을 작성해 공개해야 한다. 처리방침에는 수집 항목, 목적, 보유 기간, 제3자 제공 여부, 파기 절차 등을 포함해야 한다.

위반 시 제재

개인정보보호법 위반 시 과태료(최대 5,000만 원), 과징금(매출액의 3%), 형사 처벌(5년 이하 징역 또는 5,000만 원 이하 벌금)까지 가능하다. 개인 스트리머에게 이런 제재가 내려진 사례는 아직 드물지만, 법적으로는 누구에게나 적용될 수 있다.

적법한 개인정보 수집과 동의 절차

실제 상황에서 어떻게 동의를 받아야 하는지 구체적으로 안내한다.

상황 1: 팬미팅 참가 신청

구글 폼(Google Forms)이나 네이버 폼으로 신청서를 만들 때, 상단에 아래 내용을 기재하고 동의 체크박스를 추가한다.

"[개인정보 수집·이용 동의]
1. 수집 항목: 이름, 연락처, 이메일
2. 수집 목적: 팬미팅 참가 확인 및 안내
3. 보유 기간: 행사 종료 후 30일까지 (이후 파기)
4. 동의를 거부할 수 있으며, 거부 시 팬미팅 참가가 제한됩니다."

체크박스에 체크해야만 양식 제출이 가능하도록 설정한다.

상황 2: 굿즈 판매

자체 쇼핑몰이나 크라우드펀딩을 통해 굿즈를 판매할 때, 주문 페이지에 개인정보 수집·이용 동의를 넣어야 한다. 통신판매업 신고를 한 경우 대부분의 쇼핑몰 솔루션(스마트스토어, 카페24 등)에 기본 개인정보 처리방침 템플릿이 포함되어 있으므로 이를 활용한다.

상황 3: 이벤트 경품 추첨

방송 중 경품 이벤트를 진행하고, 당첨자에게 연락처를 받아야 하는 경우. 방송에서 구두로 "경품 발송을 위해 이름과 주소를 DM으로 보내주세요. 발송 완료 후 30일 이내에 삭제합니다"라고 안내하고, DM으로 연락처를 받을 때 다시 한번 동의를 받으면 된다. 가급적 구글 폼 링크를 제공해 서면 동의를 남기는 것이 증거 확보에 좋다.

스트리머가 흔히 저지르는 개인정보 위반 사례

사례 1: 후원자 실명 방송 노출

후원 알림에 후원자의 실명이 표시되고, 이것이 방송과 VOD를 통해 공개되는 경우가 있다. 후원자가 닉네임이 아닌 실명을 사용하고 있었다면, 이를 방송에서 노출하는 것은 주의가 필요하다. 대부분의 후원 도구는 닉네임으로 표시되지만, 일부 결제 시스템에서 실명이 노출될 수 있다.

대응: 후원 알림에 실명이 뜨지 않도록 설정을 확인하고, 실명이 노출된 경우 해당 VOD 구간을 편집하거나 삭제하라.

사례 2: 시청자 DM 내용을 방송에서 공개

시청자가 보낸 DM이나 메일의 내용, 닉네임, 프로필 사진 등을 방송에서 공유하는 경우다. 시청자의 동의 없이 사적인 메시지를 공개하면 개인정보 침해뿐 아니라 명예훼손에도 해당할 수 있다.

대응: 시청자의 DM을 방송에 사용하려면 반드시 사전 동의를 받아라. 닉네임과 프로필 사진을 모자이크 처리하는 것이 기본이다.

사례 3: 이벤트 후 개인정보 미파기

경품 이벤트 당첨자의 이름, 주소, 전화번호를 수집한 후 발송이 완료되었는데도 데이터를 삭제하지 않고 계속 보관하는 경우. 이는 보유 기간 초과에 해당한다.

대응: 이벤트 종료 후 약속한 기간 내에(보통 30일) 수집한 개인정보를 완전 삭제하고, 삭제 사실을 기록으로 남겨라.

사례 4: 채팅 금지 목록(밴 리스트) 외부 공유

악성 시청자를 차단한 밴 리스트를 다른 스트리머와 공유하는 것은 개인정보의 제3자 제공에 해당할 수 있다. 닉네임만으로는 개인을 특정하기 어렵지만, IP 주소나 기타 식별 정보가 포함된 경우 문제가 될 수 있다.

대응: 밴 리스트 공유 시 닉네임만 공유하고, IP 주소 등 추가 식별 정보는 제외하라.

해외 시청자와 GDPR - 글로벌 방송 시 추가 의무

영어 방송을 하거나, 해외 시청자가 채널의 상당 부분을 차지하는 경우 추가적인 법적 의무가 발생할 수 있다.

EU GDPR (일반데이터보호규정)

EU 거주자의 개인정보를 처리하는 경우, GDPR이 적용된다. 한국에 있는 스트리머라도 EU 시청자의 데이터를 수집하면 GDPR 대상이 될 수 있다. GDPR은 한국 개인정보보호법보다 더 엄격하며, 위반 시 전 세계 매출의 4% 또는 2,000만 유로 중 높은 금액이 과징금으로 부과될 수 있다.

다만 현실적으로, EU 당국이 한국의 개인 스트리머에게 GDPR 위반을 추궁할 가능성은 매우 낮다. 하지만 해외 시청자 대상 굿즈 판매, 유료 멤버십, 뉴스레터 등을 운영한다면 GDPR 준수를 고려하는 것이 바람직하다.

GDPR 준수를 위한 최소 조치

• 개인정보 처리방침(Privacy Policy)을 영어로 작성해 공개
• 데이터 수집 시 명시적 동의(opt-in) 방식 사용
• 시청자가 자신의 데이터 삭제를 요청할 수 있는 절차 마련
• 쿠키 사용 고지 (자체 웹사이트 운영 시)

미국 CCPA/CPRA

미국 캘리포니아 거주자의 개인정보를 처리하는 경우 캘리포니아 소비자 프라이버시법(CCPA/CPRA)이 적용될 수 있다. 연 매출 $25,000,000 이상이거나, 50,000명 이상의 개인정보를 처리하는 경우 적용 대상이다. 대부분의 한국 개인 스트리머는 이 기준 미달이지만, MCN이나 법인 스트리머는 해당될 수 있다.

개인정보 보호 실천 체크리스트

복잡한 법률 내용을 실천 가능한 체크리스트로 정리했다. 이것만 지키면 개인정보 관련 법적 리스크를 대부분 예방할 수 있다.

• 시청자 개인정보를 수집할 때 반드시 수집 항목, 목적, 보유 기간을 고지하고 동의받는다
• 후원 알림에 실명이 노출되지 않도록 설정을 확인한다
• 시청자 DM이나 개인 메시지를 방송에 사용할 때는 사전 동의를 받고, 식별 정보를 모자이크한다
• 이벤트 종료 후 수집한 개인정보를 약속한 기간 내에 삭제한다
• 수집한 개인정보 파일에 비밀번호를 설정하고, 불필요한 사람에게 공유하지 않는다
• 굿즈 판매 등 온라인 쇼핑몰을 운영하는 경우, 개인정보 처리방침을 사이트에 게시한다
• 해외 시청자 대상 서비스를 운영하는 경우, 영어 Privacy Policy를 준비한다
• 연 1회 이상 수집·보관 중인 개인정보를 점검하고, 불필요한 데이터를 삭제한다

개인정보 보호는 의무이자 시청자와의 신뢰 관계를 지키는 행위다. 법적 제재보다 더 무서운 것은 개인정보 유출 사건으로 인한 시청자의 신뢰 상실이다. 기본 원칙을 지키는 것만으로도 대부분의 위험을 피할 수 있으니, 어렵게 생각하지 말고 위의 체크리스트를 하나씩 실천하라.