글로벌 쇼핑몰을 준비하면서 이런 이야기를 한 번쯤 들어보셨을 것입니다. "유럽에 판매하려면 GDPR을 확인해야 합니다." 또 미국 시장을 준비하다 보면 CCPA라는 용어도 등장합니다. GDPR, CCPA, CPRA... 이름부터 어렵습니다. 법률 내용을 찾아보기 시작하면 더 어렵게 느껴집니다. 하지만 글로벌 쇼핑몰 운영자가 처음부터 복잡한 법 조항을 모두 이해할 필요는 없습니다. 중요한 것은 하나입니다.

해외 고객의 개인정보를 수집하고 활용한다면 해당 고객이 위치한 국가와 지역의 개인정보보호 규정을 확인할 필요가 있다는 것.

이번 글에서는 글로벌 쇼핑몰을 준비하는 브랜드와 담당자의 눈높이에서 GDPR과 CCPA/CPRA가 무엇인지 쉽게 살펴보겠습니다.

글로벌 쇼핑몰과 개인정보가 무슨 관계가 있을까요?

쇼핑몰을 운영하면 생각보다 많은 고객 정보를 다루게 됩니다. 고객이 상품을 구매한다고 생각해 보겠습니다. 이름과 이메일 주소가 필요할 수 있습니다. 상품을 배송하려면 주소와 연락처가 필요합니다.

뉴스레터를 신청하면 이메일 주소를 저장할 수 있고, 고객이 사이트에서 어떤 상품을 살펴봤는지 분석하거나 광고 성과를 측정하기도 합니다. 즉 온라인 쇼핑몰은 운영 과정에서 자연스럽게 고객의 다양한 정보를 다루게 됩니다. 그래서 글로벌 시장으로 판매 지역이 확대되면 개인정보보호 역시 글로벌 관점에서 살펴볼 필요가 있습니다.

GDPR이란 무엇인가요?

GDPR은 General Data Protection Regulation의 약자로 유럽연합(EU)의 개인정보보호 규정입니다. 쉽게 설명하면, 기업이 개인의 데이터를 어떤 목적으로 수집하고 어떻게 사용하는지 보다 투명하게 관리하고, 개인에게 자신의 정보에 대한 여러 권리를 보장하기 위한 규정이라고 이해하면 됩니다.

2018년 본격적으로 시행되면서 글로벌 디지털 비즈니스에서 개인정보보호를 이야기할 때 가장 많이 언급되는 규정 중 하나가 되었습니다.

한국 기업도 GDPR과 관계가 있을까요?

여기서 많은 분이 궁금해합니다. “우리는 한국 회사인데요?” 한국 기업이라고 해서 GDPR과 무조건 관계가 없는 것은 아닙니다. 사업자가 유럽에 있지 않더라도 EU 지역의 고객에게 상품이나 서비스를 제공하거나 일정한 방식으로 EU 내 개인의 행동을 모니터링하는 경우 등에는 GDPR 적용 여부를 검토해야 할 수 있습니다. 하지만 해외에서 주문 한 건이 들어왔다고 해서 모든 한국 쇼핑몰에 GDPR이 동일하게 적용된다고 단순화해서도 안 됩니다.

실제 적용 여부는 판매 대상 지역과 사업 활동, 개인정보의 처리 방식 등 여러 요소에 따라 판단해야 합니다. 그래서 글로벌 스토어를 준비할 때는 “우리 회사가 한국에 있으니 상관없다.” 보다는 “우리가 어느 국가의 고객을 대상으로 사업하고 있는가?”라는 관점으로 보는 것이 좋습니다.

CCPA는 무엇인가요?

미국 시장을 준비하다 보면 CCPA라는 용어도 자주 접하게 됩니다. CCPA는 California Consumer Privacy Act의 약자로 미국 캘리포니아주의 개인정보보호법입니다. 이후 CPRA(California Privacy Rights Act)를 통해 CCPA 체계가 개정·강화되었습니다.

쉽게 설명하면 캘리포니아 소비자가 기업이 자신의 개인정보를 어떻게 수집하고 사용하는지 알 수 있도록 하고, 일정한 조건에서 개인정보에 대한 접근·삭제·정정 및 판매·공유 거부 등의 권리를 행사할 수 있도록 하는 제도라고 이해하면 됩니다.

GDPR은 유럽, CCPA는 미국?

절반은 맞고 절반은 조금 다릅니다. GDPR은 EU의 개인정보보호 규정입니다. 반면 CCPA는 미국 전체에 적용되는 하나의 연방법이 아니라 캘리포니아주의 개인정보보호법입니다. 미국에서는 캘리포니아 외에도 여러 주에서 각각 개인정보보호 관련 법률을 시행하고 있습니다.

따라서 GDPR = 유럽, CCPA = 미국 전체라고 단순하게 이해하는 것은 정확하지 않습니다. 글로벌 이커머스 사업자는 판매 지역이 확대될수록 해당 국가와 지역에서 어떤 개인정보보호 규정이 관련될 수 있는지 함께 확인하는 것이 좋습니다.

GDPR과 CCPA는 무엇이 다른가요?

두 제도 모두 개인정보를 보호한다는 큰 방향은 비슷하지만 접근 방식에는 차이가 있습니다. 아주 쉽게 이해하면 다음과 같습니다.

GDPR

개인정보를 처리하기 위한 적절한 법적 근거가 중요하며, 동의를 근거로 처리하는 경우에는 유효한 동의를 받기 위한 요건 등을 고려해야 합니다. 그래서 유럽 웹사이트에서 쿠키 배너와 함께 Accept / Reject / Preferences 같은 선택지를 자주 볼 수 있습니다.

CCPA/CPRA

소비자에게 기업이 어떤 개인정보를 수집하고 이용하는지 알리고, 법에서 정한 개인정보의 판매 또는 공유 등을 거부할 수 있는 권리를 제공하는 것이 중요한 부분 중 하나입니다. 미국 사이트에서 볼 수 있는 Your Privacy Choices 또는 개인정보 판매·공유 거부와 관련된 링크가 이러한 개인정보보호 체계와 관련될 수 있습니다. 다만 실제 적용 방식과 의무는 사업자의 상황에 따라 달라질 수 있으므로 이 차이를 단순히 '유럽은 동의, 미국은 거부'만으로 이해하는 것은 피하는 것이 좋습니다.

개인정보보호라고 해서 쿠키만 보면 될까요?

아닙니다. 쿠키는 개인정보보호와 관련된 여러 영역 중 하나입니다. 글로벌 쇼핑몰에서는 고객의 이름, 이메일, 전화번호, 배송지, 주문 정보, 마케팅 수신 정보, 웹사이트 이용 정보 등 다양한 데이터를 다룰 수 있습니다. 따라서 개인정보보호는 단순히 사이트에 쿠키 배너 하나를 추가하는 것보다 훨씬 넓은 개념입니다. 고객에게 어떤 정보를 수집하는지 알리고, 왜 사용하는지 설명하며, 필요한 경우 고객이 자신의 개인정보에 관한 권리를 행사할 수 있는 방법을 제공하는 것이 중요합니다.

그러면 쿠키 배너는 왜 필요한가요?

쿠키는 고객의 웹사이트 이용과 광고·분석 과정에서 사용될 수 있기 때문에 개인정보보호와 밀접한 관계가 있습니다. 특히 Google Analytics, Meta Pixel, Google Ads 등 분석 및 광고 서비스를 사용한다면 쿠키와 기타 추적 기술이 어떻게 사용되는지 확인할 필요가 있습니다. 다만 국가와 지역에 따라 요구되는 방식이 다를 수 있습니다. 따라서 글로벌 쇼핑몰에서 중요한 것은 "쿠키 배너 하나를 전 세계에 똑같이 띄우면 끝”이라고 생각하지 않는 것입니다.

Shopify에서 쿠키 배너와 Customer Privacy 기능을 어떻게 확인하는지는 별도의 「쇼피파이 쿠키 정책 가이드」에서 자세히 살펴볼 수 있습니다.

Shopify로 만들면 자동으로 GDPR·CCPA에 대응될까요?

Shopify는 글로벌 이커머스 플랫폼인 만큼 개인정보보호와 관련된 여러 기능을 제공합니다. Customer Privacy 설정, 쿠키 배너 및 개인정보 관련 기능 등을 통해 글로벌 스토어 운영자가 개인정보보호 설정을 관리할 수 있도록 지원합니다. 하지만 여기서 중요한 점이 있습니다.

Shopify를 사용한다고 해서 모든 국가의 개인정보보호 규정에 자동으로 대응되는 것은 아닙니다. 왜냐하면 각 브랜드가 사용하는 서비스가 다르기 때문입니다. 어떤 스토어는 GA4만 사용할 수 있고, 어떤 스토어는 Meta Pixel, Google Ads, CRM, 이메일 마케팅, 리뷰, 추천 솔루션 등 여러 외부 서비스를 함께 사용할 수 있습니다. 판매 국가도 다릅니다. 결국 플랫폼이 제공하는 기능과 함께 우리 스토어의 실제 데이터 처리 환경을 확인하는 것이 중요합니다.

글로벌 쇼핑몰이라면 무엇부터 준비하면 될까요?

처음부터 GDPR이나 CCPA 법률 문서를 정독할 필요는 없습니다. 브랜드 담당자라면 먼저 다음 질문부터 시작해 보세요.

첫째, 어느 국가에 판매하고 있나요? 한국, 미국, 유럽, 영국, 일본 등 주요 판매 대상 국가를 확인합니다.

둘째, 어떤 고객 정보를 받고 있나요? 회원가입, 주문, 배송, 뉴스레터 등 고객 정보를 수집하는 지점을 확인합니다.

셋째, 어떤 외부 서비스를 사용하고 있나요? GA4, Meta Pixel, CRM, 이메일 마케팅, Shopify App 등 고객 데이터를 활용할 수 있는 서비스를 확인합니다.

넷째, 고객에게 어떻게 안내하고 있나요? Privacy Policy와 Cookie Policy 등 고객이 개인정보 처리 내용을 확인할 수 있는 정책을 점검합니다.

다섯째, 고객이 자신의 선택을 변경할 수 있나요? 쿠키 설정이나 개인정보 관련 권리를 행사할 수 있는 방법이 적절하게 제공되고 있는지 확인합니다.

이 다섯 가지부터 살펴보는 것만으로도 글로벌 개인정보보호를 이해하는 좋은 출발점이 됩니다.

개인정보보호 책임자와 운영 점검은 왜 중요할까요?

개인정보를 다루는 사업자라면 내부적으로 개인정보 보호책임자 또는 개인정보보호 책임자를 지정하고 역할을 분명히 하는 것이 중요합니다. 쇼핑몰 규모가 커질수록 개인정보의 처리 목적, 수집 항목, 보관 기간, 외부 제공 여부, 파기 절차를 체계적으로 점검해야 하기 때문입니다.

특히 개인정보처리자는 고객에게 어떤 정보를 개인정보 수집·이용 목적에 따라 처리하는지 명확히 안내해야 합니다. 또한 목적이 달성된 정보는 개인정보의 파기 기준에 따라 적절히 정리해야 하며, 법령에 따라 개인정보를 보존하여야 하는 경우에는 그 기간과 근거를 함께 관리해야 합니다.

운영 문서에는 개인정보 처리방침과 함께 고객이 확인해야 할 필수 고지 항목이 포함되어야 합니다. 예를 들어 개인정보의 처리 목적, 보유 및 이용 기간, 제3자 제공 여부, 처리 위탁 여부, 정보주체의 권리 행사 방법, 개인정보 처리책임자의 연락처 등이 대표적입니다. 글로벌 스토어는 여기에 국가별 요구사항까지 겹칠 수 있으므로 초기 설정 단계에서부터 꼼꼼히 점검하는 것이 좋습니다.

만약 이러한 고지나 동의 관리가 누락되면, 관련 법령에 따라 제재를 받을 수 있습니다. 국내의 개인정보보호법 기준에서도 위반 유형에 따라 1천만원 이하의 과태료가 부과될 수 있고, 중대한 경우에는 5년 이하의 징역 또는 벌금 대상이 될 수 있습니다. 따라서 단순히 디자인 요소로만 보지 말고, 실제 운영 구조와 연결해 살펴보는 것이 중요합니다.

브랜드가 Shopify로 글로벌 쇼핑몰을 구축할 때도 개인정보처리방침, 쿠키 고지, 수집·이용 동의, 보관 및 파기 기준을 함께 검토해야 합니다. 결국 개인정보보호는 법률 문서 하나로 끝나는 일이 아니라, 사이트 구조와 운영 프로세스 전체를 정리하는 과정에 가깝습니다.

개인정보보호를 생각하면 먼저 규제와 벌금을 떠올리는 경우가 많습니다. 하지만 이커머스의 관점에서는 조금 다르게 바라볼 수도 있습니다. 고객에게 어떤 정보를 받고, 왜 사용하며, 어떻게 관리하는지 투명하게 알려주는 것. 이것 역시 고객 경험의 일부입니다. 특히 얼굴을 마주하지 않고 거래하는 글로벌 이커머스에서는 신뢰가 더욱 중요합니다.

결제 페이지의 안정성, 정확한 배송 정보, 명확한 반품 정책, 그리고 개인정보를 어떻게 관리하는지에 대한 투명성. 이런 작은 요소들이 모여 고객이 브랜드를 신뢰할 수 있는 환경을 만듭니다.

한국에서 성공적으로 운영하던 쇼핑몰을 영어로 번역하고 해외 배송을 연결한다고 해서 글로벌 이커머스가 완성되는 것은 아닙니다. 국가가 달라지면 결제가 달라집니다.

배송이 달라지고, 세금이 달라지고, 언어와 통화가 달라지며, 개인정보를 바라보는 기준도 달라질 수 있습니다. GDPR과 CCPA/CPRA 역시 이러한 글로벌 비즈니스 환경의 일부입니다. 처음에는 복잡해 보이지만 모든 법률을 외울 필요는 없습니다.

가장 먼저 해야 할 일은 단순합니다. 우리 고객이 어디에 있고, 우리는 그 고객의 데이터를 어떻게 사용하고 있는지 확인하는 것. 글로벌 개인정보보호는 바로 이 질문에서 시작됩니다.

브릿지세븐은 Shopify 기반 글로벌 이커머스 구축 및 운영 과정에서 브랜드의 판매 국가와 비즈니스 환경을 고려하여 결제, 배송, 데이터, CRM 등 글로벌 스토어 운영에 필요한 요소를 함께 검토합니다.

글로벌 이커머스는 단순히 해외에서 주문을 받을 수 있는 쇼핑몰을 만드는 것이 아니라, 서로 다른 시장의 고객이 안심하고 구매할 수 있는 환경을 만드는 과정입니다.

※ 본 콘텐츠는 글로벌 이커머스와 개인정보보호에 대한 일반적인 이해를 돕기 위한 정보이며 법률 자문을 목적으로 하지 않습니다. GDPR, CCPA/CPRA 및 기타 개인정보보호법의 실제 적용 여부와 의무는 사업 규모, 소재지, 판매 대상 국가 및 개인정보 처리 방식 등에 따라 달라질 수 있으므로 필요한 경우 관련 전문가의 검토를 권장합니다.