회원, 기기정보는 물론 앱 삭제 및 검색기록까지 수집   삼성전자 측 “서비스 제공 위해 필수적인 정보만 수집”


[보안뉴스 민세아] 지난 7일부터 개정 개인정보보호법이 본격 시행되면서 주민번호 수집이 전면 금지되는 등 개인정보관련 규제가 한층 강화되고 있다. 더욱이 올해 대규모 개인정보 유출사고가 연이어 발생하면서 기업들의 개인정보 유출은 물론 과다한 개인정보 수집에도 국민들의 시선이 매우 싸늘해진 상황이다. 

이렇듯 개인정보 수집에 한층 민감한 상황에서 대형금융사인 신한카드 등에 이어 국내 최대 기업 삼성전자마저 개인정보를 과다 수집하고 있다는 논란이 일고 있다.  

▲ 도대체 내 정보 왜 가져가는지 설명좀 해줄래?
삼성전자의 개인정보 취급방침을 살펴보면, 회원가입을 위해 필요한 개인정보뿐만 아니라 서비스 이용기록·구매 또는 AS관련 정보, 기기정보, 심지어는 사용자가 무엇을 검색했는지 알 수 있는 검색정보까지 수집하는 것으로 나타났다.

또한 취급방침에는 ‘필수항목 수집·이용에 대한 동의를 거부할 경우 회원가입, 서비스 이용, 홈페이지 이용 등을 할 수 없다’는 문구도 기재돼 있다. 필수항목으로 기재한 개인정보를 제공하지 않으면 서비스를 이용하지 못한다는 얘기다. 이와 관련해 질의하자, 삼성전자 측은 다음과 같은 입장을 밝혔다.


Q. 로그데이터를 수집한다는 것은 사용자의 스마트폰(삼성제품)에 로그 전송 프로그램이 동의 없이 설치되어 있다는 것이고, 이 로그데이터에는 사용자가 스마트폰으로 한 모든 행동이 기록되어 있어 이를 제3자가 봤을 때 상당한 사생활 침해가 발생할 수 있습니다. 이용시간, 앱 설치 및 삭제 기록도 사생활을 침해할 여지가 있습니다. 이러한 항목을 수집하는 이유를 설명해 주시기 바랍니다.

(답변) 삼성전자는 고객께서 당사의 ‘삼성 서비스 이용약관’ 및 ‘개인정보 수집 및 이용에 대한 안내’에 동의하신 내용에 따라 서비스 제공에 필수적인 정보만을 수집합니다.

‘이용시간, 앱 설치 및 삭제 기록’을 수집하는 이유는 이용자들이 자주 사용하는 앱을 분석해 서비스 개선에 활용하고, 그 외 AS와 관련하여 단말의 기타 기능 등과 충돌이 일어나는 것은 아닌지 여부를 분석하기 위한 목적 때문입니다.

또한, 실제 수집되는 데이터는 보유하신 단말의 종류와 이용하는 서비스에 따라 달라질 수 있습니다.

Q. ‘이용자가 입력한 검색어 등’ 사생활과 밀접한 내용을 수집하는 이유가 무엇이며 어떤 목적으로 이용되나요? 또한 ‘등’이 있는 이유는 무엇이며 추가 수집 항목은 무엇인가요?

(답변) 이용자가 입력한 검색어를 수집하는 이유는 검색 시 오타 교정, 자주 쓰는 키워드 추출 등 검색 서비스의 품질을 제고하거나 검색한 이력을 기반으로 컨텐츠를 추천하는데 활용하기 위해서입니다. 개인정보 수집이용 동의서에 기재한 항목 이외에 추가 수집되는 정보는 없습니다.

Q. 단말고유정보(IMEI, DUID, Mac Address 등)을 각각 수집하는 이유와 사용목적은 무엇인가요? 또한 ‘등’이 있는 이유는 무엇이며, 추가 수집 항목이 있나요?

(답변) 단말고유정보를 수집하는 이유는 다음과 같습니다.

(1) IMEI
고객의 단말을 식별/구별해 해당 단말에 고객이 요청한 서비스를 제공하기 위해 이용합니다.

(2) DUID
고객의 단말을 식별/구별하는 정보으로 이용합니다. 이는 단말에서 직접 수집되는 정보는 아니며, IMEI와 같은 단말고유정보를 hashing한 값을 DUID로 활용하기도 합니다.

(3) Mac Address
일부 서비스에서 IMEI와 함께 조합하여 단말을 식별/구별하는 정보로 이용합니다. 그러나 조합 후 이를 hashing한 DUID 값을 이용하는 것이지, Mac Address 자체를 저장/이용하지는 않습니다. 이외에 수집되는 단말고유정보는 없습니다.
Q. 스마트폰에서 약관 변경에 대해 ‘거부’를 했음에도 불구하고 전원을 off/on 할 때마다 다시 묻는 이유는 무엇인가요?

(답변) 약관이 변경되고 사용자가 이에 대해 동의하지 않더라도 전화를 걸거나 연락처를 저장하는 등 스마트폰의 기본 기능은 사용 가능합니다. 다만 Samsung Galaxy Apps 등 삼성 계정에 로그인해야 쓸 수 있는 서비스의 경우 사용이 불가합니다. 따라서 한번 동의를 거부했다 하더라도 전원 off/on이 아닌, 삼성 계정이 필요한 서비스 아이콘을 클릭하거나 이용하려고 할 때 동의여부를 재차 묻고 있습니다.
 
▲삼성전자 개인정보 취급방침(https://account.samsung.com/membership/pp)

이와 관련 삼성전자 관계자는 “서비스별로 수집하는 개인정보가 다르다”며, “서비스별로 수집하는 개인정보를 따로따로 표기하면 양이 너무 방대해 한번에 표기할 수밖에 없었다”고 말했다. 제공 서비스별로 필요한 정보만을 수집하고 있지만, 서비스가 너무 방대해 따로 표기할 수 없었고, 그렇다고 수집 정보를 표기하지 않을 수도 없었다는 게 삼성전자 측의 설명이다.  

그러나 수집정보가 해당 서비스에 왜 필요한지, 어떻게 수집되고 있는지를 설명해 달라는 질문에 삼성전자 관계자는 “자신들의 서비스 분야에서 수집하는 정보가 아니라 답변을 할 수 없다”는 말만 되풀이했다.

아무리 개인정보 취급방침이 서비스별로 다르고 방대하더라도 현재의 개인정보 취급방침은 논란의 소지가 상당히 크다. 취급방침에서 언급된 정보들을 모두 수집할 경우 ‘나’라는 개인의 모든 것이 노출될 수 있기 때문이다.
제공 서비스별로 정보 수집항목이 다르고, 꼭 필요한 정보만 수집하고 있다면 이를 개인정보 취급방침에 명확히 구분해 기재하고, 해당 정보 수집에 대한 타당한 이유를 밝혀야 할 것으로 보인다. 
이에 대한 구체적인 설명 없이 ‘삼성 서비스 이용약관’ 및 ‘개인정보 수집 및 이용에 대한 안내’에 동의했다는 이유만으로, 사용자들의 개인정보를 과다 수집하고 있다는 지적이 제기됐다는 점에서 향후 삼성전자 측의 대응이 주목되고 있다.   [민세아 기자(boan5@boannews.com)]

       <저작권자: 보안뉴스(http://www.boannews.com/) 무단전재-재배포금지>