행태정보, 어떻게 수집·활용되는지 쉽게 알 수 없어 권리침해 가능성 우려
생태계 현황조사 및 민관 협의체 등 통해 맞춤형 광고의 역할과 책임 구체화 필요
행태정보가 개인정보에 해당할 수 있는 사례 제시해 맞춤형 광고 사업자들에게 홍보

[보안뉴스 김경애 기자] 개인정보 수집보다 어쩌면 더 위험할 수 있는 게 바로 행태정보 수집이다. 행태정보는 개인이 접속하는 사이트, 인터넷 검색 이력 등 개인의 온라인 활동 정보를 의미한다. 맞춤형 광고사업자는 행태정보를 수집해 개인의 관심 분야, 취미, 성향 등을 분석해 그에 맞는 맞춤형 광고를 제공한다. 즉 나의 온라인 활동 하나 하나가 맞춤형 광고사업자에게는 돈을 벌 수 있는 기회로 작용하는 셈이다.


▲개인정보보호위원회 신기술개인정보과 고낙준 과장[사진=보안뉴스]

문제는 이러한 행태정보가 쌓여 나중에는 개인을 식별할 가능성이 있다는 점이다. 게다가 악의적으로 이용될 수 있는 가능성 때문에 부작용 우려도 제기된다. 이용자 측면에서는 자신의 행태정보가 보호되어야 하고, 맞춤형 광고사업자, 광고매체사 등 이해관계자 간의 준수사항과 책임이 명확하게 정리될 필요가 있다. 이와 관련 개인정보보호위원회는 1월 31일 ‘맞춤형 광고에 활용되는 온라인 행태정보 보호 위한 정책 방안’을 발표했다.

이에 <보안뉴스>는 개인정보보호위원회(이하 개인정보위) 신기술개인정보과 고낙준 과장과의 인터뷰를 통해 맞춤형 광고와 관련된 주요 이해관계자의 역할과 책임성, 주요 문제점, 그리고 맞춤형 광고가 민감한 개인정보를 침해하는 사례 등에 대해 들어봤다.

Q. 최근 ‘맞춤형 광고에 활용되는 온라인 행태정보 보호 위한 정책 방안’을 발표했는데, 발표 배경은 무엇인가요?
최근 온라인 광고시장의 대세로 자리잡은 맞춤형 광고는 기업에게 새로운 비즈니스 기회를 제공하고 정보주체에게 자신의 관심사가 반영된 광고를 효과적으로 볼 수 있도록 해주는 장점을 가지고 있습니다.

그러나 맞춤형 광고를 제공하기 위해 필요한 행태정보가 누적·축적 수집되고, 처리 과정이 고도화됨에 따라 정보주체의 동의 없이 개인이 식별된 채로 처리되거나 사상·신념, 정치적 견해 등 민감한 정보까지 추론할 수 있게 될 위험성이 증가하고 있습니다.

그럼에도 이용자는 자신의 행태정보가 어떻게 수집·활용되는지 쉽게 알 수 없어 권리침해 가능성에 대한 우려의 목소리가 높아지고 있고, 기업에서도 행태정보에 대한 규율이 모호해 처리 과정에서 법적 불확실성이 상존하고 있는 상황입니다.

이에 개인정보위는 정보주체의 자기결정권을 보호하면서 기업이 법적 불확실성 없이 행태정보를 안전하게 처리할 수 있도록 하기 위해 이번 정책 방안을 마련하게 됐습니다.

Q. 맞춤형 광고와 관련된 주요 이해관계자의 역할과 책임 명확화에 대해 어떤 질문을 가장 많이 받나요?
행태정보 수집･이용주체가 누구인가라는 점입니다. 이용자가 방문한 사이트를 운영하는 사업자가 자사의 웹사이트에서 직접 행태정보를 수집하는 경우라면 당연히 해당 사업자가 주체라는 점에는 이론의 여지가 없습니다.

그러나 광고사업자가 임의의 웹사이트･앱에서 수집한 행태정보를 활용해 광고사업자가 운영하지 않는 제3의 다양한 웹사이트･앱에서 맞춤형 광고를 하는 경우 과연 행태정보 수집･이용주체가 누구인지 논란이 많습니다.

이번 정책 방안을 통해 개인정보위는 원칙적으로 이용자가 실제 방문하는 웹사이트･앱을 운영하는 사업자가 아닌 해당 웹사이트･앱에 행태정보 수집도구를 설치한 광고사업자라는 점을 밝혔습니다.

다만, 이용자의 행태정보가 수집되는 지점인 웹사이트･앱 사업자는 직접 수집･이용하지 않더라도 이용자가 해당 웹사이트･앱을 신뢰하고 방문한 점을 고려해 그 수집사실을 투명하게 공개하도록 했습니다.

Q. 맞춤형 광고의 책임과 관련해 주요 문제점은 무엇인가요?
개인정보위에서 광고사업자와 광고매체사(웹사이트･앱 운영자) 간의 역할과 책임을 구분했지만 맞춤형 광고는 전통적인 광고와 달리 정형적인 시장 구조와 거래 흐름이 없고, 그 처리과정이 계속 변화하는 한편, 외부에 쉽게 노출되지 않는 폐쇄성이 존재합니다.

이러한 점을 고려하면 맞춤형 광고에 참여하는 주요 이해관계자별 역할과 책임도 일률적으로 단정하기 어렵고, 지속적으로 변화할 수 있어 앞으로 맞춤형 광고 생태계 현황조사, 민관 협의체 등을 통해 역할과 책임을 지속적으로 구체화할 필요가 있습니다.

Q. 맞춤형 광고가 민감한 개인정보를 침해하는 사례도 많을 것 같은데요. 주요 사례에 대한 설명을 부탁드립니다
맞춤형 광고는 크게 두 가지로 구분될 수 있습니다. 이용자를 식별한 상태에서 행태정보를 수집･이용하는 사례(이용자 식별)와 이용자는 식별하지 않지만 접속한 기기 등을 기준으로 임의의 번호나 부호로 다른 기기와 구별만 가능한 상태에서 행태정보를 수집･이용하는 경우(기기 식별)로 나뉠 수 있습니다.

이용자 식별과 관련해서 이용자를 식별한 상태에서 행태정보를 수집･이용하면서도 적법한 동의를 받지 않는 구글･메타에 대해서는 개인정보보호법 위반으로 제재한 사례가 있습니다.

기기 식별과 관련해서는 아직 국내 제재 사례는 존재하지 않지만, 해외에서는 기기 식별이라 하더라도 수집한 행태정보간 결합･축적 등을 통해 개인을 식별할 수 있으면 제재한 사례가 있습니다.

Q. 맞춤형 광고와 관련해 기업에서 잘 모르거나 어려워하는 부분은 무엇인가요?
맞춤형 광고와 관련해서 행태정보를 수집･이용하는 광고 기업은 자신의 비즈니스 모델이 규제 대상인지도 불분명하고, 어떻게 하면 규제를 따를 수 있는지도 잘 모르고 있습니다.

수집･이용하는 행태정보가 개인정보에 해당한다면 당연히 개인정보보호법상 의무를 잘 지키면 되지만, 우선 자신이 수집하는 행태정보가 개인정보인지도 잘 판단하기 어렵습니다.

아울러 수집하는 행태정보가 개별적으로 개인정보가 아니라고 판단되더라도 추후에 수집한 행태정보간 결합･축적으로 개인 식별성이 발생하게 되면 개인정보보호법상 규제 대상이 되기 때문에 이를 피하기 위해 어떤 노력을 해야 하는지 잘 모르는 경우가 많습니다.

그래서 이번 정책 방안에서는 행태정보가 개인정보에 해당할 수 있는 사례를 제시하는 한편, 개인을 식별해 처리하지 않더라도 결합･축적으로 인한 개인 식별성이 발생하지 않도록 하는 권고사항을 제시했습니다.
[김경애 기자(boan3@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>