광고·웹·앱·아동 대상 맞춤형 광고사업자, 책임 명확화 위한 의무사항 발표
개인정보 처리방침 또는 환경설정 등을 통해 사후 거부 기능 제공 필요
개인정보·행태정보, 처리 시스템 분리 등을 통해 결합되지 않도록 주의해야

[보안뉴스 김경애 기자] ‘제13회 개인정보보호페어 & CPO워크숍’이 4일 ‘AI, 신뢰를 넘어 데이터 가치를 열다’란 주제로 코엑스 그랜드볼룸에서 화려하게 개막한 가운데, ‘맞춤형 광고에 활용되는 온라인 행태정보 보호를 위한 정책방안’이 발표돼 이목이 집중됐다.


▲PIS FAIR 2024에서 개인정보위 고낙준 과장이 ‘맞춤형 광고에 활용되는 온라인 행태정보 보호를 위한 정책방안’을 주제로 발표하고 있다[사진=보안뉴스]

개인정보보호위원회(이하 개인정보위) 신기술개인정보과 고낙준 과장은 “온라인 광고 발전으로 맞춤형 광고가 대세로 떠오르고 있다”며 “이러한 광고를 보면 적법한 동의를 받지 않아 처벌 대상이 되는 경우가 있는데, 이번 정책은 이를 투명화, 적법화할 수 있는 방안 마련에 주력했고, 현재 후속 조치 중”이라고 밝혔다.

이어 고 과장은 “이번 정책을 살펴보면 행태정보를 수집해서 마케팅에 활용하는 사업자의 경우 개인정보 보호법을 어떻게 준수해야 하고, 행태정보를 어떻게 보호할 수 있을지 알 수 있을 것”이라며 “그동안 행태정보에 대해서는 명확한 정의와 규정이 없다 보니 개인정보 보호법 적용 여부에 대해 혼란스러워했다”고 설명했다.

그렇다면 해외는 어떨까. 해외의 관련 규정에 대해 고 과장은 “개인 식별을 할 수 있으면 개인정보로 보고 있고, 이는 국내도 마찬가지”라며, “일본의 경우 행태정보에 대한 통제를 강화하는 추세”라고 설명했다. 즉, 전 세계적으로 행태정보에 대한 통제가 확산되는 분위기라는 얘기다.

개인정보위가 조사한 바에 따르면 74%가 맞춤형 광고이며, 타켓팅 광고의 95%를 차지하고 있다. 100곳의 웹 사이트중 90개 웹에서 제3자 쿠키가 설치되어 있으며, 제3자 쿠키 개수 상위 10개 사이트의 경우 평균 300여 개가 설치된 것으로 확인됐다.

이에 대해 고 과장은 “맞춤형 광고 시장은 실시간 경매 시스템으로 진행돼 복잡하고 그 이면에 많은 것들이 이뤄지고 있어 알기 쉽지 않다”며 “이용자 역시 행태정보 수집 여부를 잘 모르고 있고, 맞춤형 광고 주체별로도 이해관계가 상이해 법·제도 개선이 어렵다”고 제도 개선이 쉽지 않음을 시사했다.

이에 따라 고 과장은 행태정보 수집과 관련한 주요 쟁점사항으로 △온라인 행태정보의 개인정보 해당 여부 △개인정보처리자로서의 법적 의무 부담 주체 △온라인 식별자 관리 등을 꼽았다.

고 과장은 “온라인 식별자 관리가 무엇보다 중요하다”며 “쿠키, 로그인 아이디 등은 고유값을 갖고 있어 개인을 특정할 수 있는 개인정보이기 때문에 행태정보의 마케팅 전략으로 수집한다면 동의를 받아야 한다”고 강조했다.

특히, 온라인 식별자 관리에 대해 고 과장은 “결국 행태정보를 수집하다가 이메일 수집, 주소 수집 등이 될 수 있는 만큼 핵심은 개인 식별이 가능한 행태정보를 수집한다면 개인정보 보호법을 준수해야 한다”고 강조했다.

또한, 웹·앱 사업자의 역할과 책임으로 제3자 광고와 같이 웹·앱사업자가 행태정보를 직접 수집·이용하지 않는 경우에도 행태정보 처리에 관한 역할과 책임이 부여되는지 검토가 필요하다고 설명했다. 개인정보위의 행태정보 수집과 관련된 주요 추진과제는 다음과 같다.

1. 광고사업자, 이해관계자 별 역할과 책임 명확화(의무사항)
△수집·이용 내약을 명확히 알리고 이용자의 동의를 받는 등 적법한 수집 요건 갖춰 처리
△개인정보 처리방침 또는 환경설정 등을 통해 사후 거부 기능 제공
△결합금지 : 개인정보와 행태정보를 처리하는 시스템을 분리하는 등 개인정보와 행태정보가 결합되지 않도록 주의해야 한다.

①광고사업자, 역할 책임 명확화(권고사항)
광고사업자, 이해관계자별 역할과 책임 명확화를 위한 권고사항에 대해 고낙준 과장은 “투명성 확보를 위해 맞춤형 광고 고지 및 행태정보 수집 고지, 사후 통제권 등은 6개월 단위로 수행하는 게 바람직하다”며 “안전한 처리를 위해 개인 식별이 되지 않도록 기술적·관리적·물리적 조치를 해야 하며, 주기적 점검을 해야 한다”고 강조했다.

②웹·앱 사업자, 역할 책임 명확화(권고사항)
웹·앱 사업자의 역할 책임 명확화는 권고사항으로 행태정보 처리내역 공개, CPO의 관리책임을 제시했다.

이와 관련 고낙준 과장은 “구글, 매타 등에서 행태정보를 수집한다고 사이트 운영자는 방문자들에게도 적극적으로 알리는 게 바람직하다”며, “글로벌 기업에서 이벤트 기간에 수집한 행태정보를 잊어버리고 2~3년 계속 사용하게 되는 상황이 발생하기도 하는 만큼, 자동 로그 설정 기간, 약정 및 계약 기간 등을 꼼꼼히 확인하고 철저하게 관리할 것”을 당부했다.

③아동 대상 맞춤형 광고 사업자, 역할 책임 명확화(권고사항)
아동 대상 맞춤형 광고에 대해서도 행태정보를 수집하지 않도록 권고하고 있다. 특히 14세 미만 타깃을 한 맞춤형 광고의 경우 애니메이션, 장난감 등을 노출할 때 행태정보를 수집하지 않도록 해야 한다는 것이다.

이에 대해 고 과장은 “구분과 식별은 다르다”며 “A사람으로 특정 된다면 법적 동의를 받아야 하고, 14세 미만의 경우 광고와 콘텐츠 식별 구분 능력이 떨어지기 때문에 행태정보를 수집하지 않도록 권고하고 있으며, EU에서도 그렇게 하고 있다”고 제시했다.

2. 이용자의 인식 및 보호 역량 강화
이어 개인정보위는 이용자의 인식과 보호 역량 강화를 위해 행태정보 보호를 위한 이용자 실천수칙을 제시하고 적극적으로 홍보할 계획이다. 실천수칙은 다음과 같다.

[행태정보 보호를 위한 이용자 실천 수칙]
①웹 방문 및 앱 설치 시 해당 웹·앱의 개인정보 처리방침 주기적 확인
②회원가입을 통해 이용하는 서비스의 경우, 행태정보 수집·제공 관련 등의 동의를 신중히 하고, 필요 시 철회(옵트, opt-out) 기능을 적극 활용해 행태정보 처리 조정
③스마트폰 환경 설정을 통한 기기 내 광고 식별자(ADID) 재설정·삭제, 추적 금지 활용
④불필요한 제3자 쿠키 차단 기능이 구현된 안전한 브라우저 활용하기
⑤웹 브라우저 환경 설정을 통한 제3자 쿠키 이용내역의 주기적 점검 및 삭제

3. 온라인 맞춤형 광고 현황 조사 및 개인정보 처리방침 평가
이어 개인정보위는 온라인 맞춤형 광고 현황을 조사하고 개인정보 처리방침을 평가할 계획이다. 이와 관련 고 과장은 “광고 시장이 너무 세분화돼 있고, 그들 간의 거래도 알려지지 않았다”며 “광고 업계와 밀접하게 관련이 있어 코바코와 함께 현황을 조사해 가이드라인에 반영하는 등 제도 개선에 활용할 것”이라고 설명했다.

4. 민·관 협력체계 구축, 법제도 보완
개인정보위는 온라인 맞춤형 광고 관련 산업계(협·단체 등), 시민단체, 개인정보위가 참여하는 온라인 행태정보 보호 민·관 협의체를 구성·운영하고 있다. 이와 관련 고낙준 과장은 “향후 맞춤형 광고 현황조사 결과와 민·관 협의체 운영 결과 등을 종합적으로 반영해 ‘온라인 맞춤형 광고 가이드라인’을 개정할 방침”이라고 밝혔다.
[김경애 기자(boan3@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>