"아동 개인정보 수집 최소화…14세 이상 보호 시급"

국회입법조사처 보고서…"서비스 따라 적합설계 원칙 적용도 필요"

(지디넷코리아=황정빈 기자)18세 미만 아동들의 개인정보를 수집할 때는 최소수집원칙을 준수하는지 엄격하게 감독할 필요가 있다는 지적이 제기됐다. 

이와 함께 아동들이 사용할 가능성이 많은 서비스에 대해서는 적합 설계 원칙을 적용, 보호수준을 탄력적으로 적용할 필요가 있는 것으로 지적됐다. 또 아동의 개인정보를 활용한 개인맞춤형 광고는 엄격하게 제한해야 한다는 의견도 제시됐다. 

국회입법조사처는 최근 이 같은 내용을 담은 '온라인 서비스에서의 아동 개인정보 보호 동향과 향후 과제' 보고서를 공개했다.

보고서는 아동 개인정보를 수집, 이용하려는 시도가 늘고 있는 반면 수집 대상인 아동들은 상황을 정확하게 파악하지 못한 채 동의할 가능성이 많다고 지적했다. 

이렇게 수집한 개인정보를 토대로 무분별한 광고 공세를 할 경우 아동에게 피해를 입힐 가능성이 많기 때문에 별도의 보호 방안 마련이 필요하다는 설명이다.

(사진=이미지투데이)

최근 아동들의 모바일 기기 이용 빈도가 크게 늘고 있을 뿐 아니라 이용 연령대도 낮아지고 있다.  

한국언론진흥재단이 2021년 발표한 '2020 어린이 미디어 이용 조사' 결과에 따르면, 3~9세 어린이의 하루 평균 스마트폰·태블릿PC·컴퓨터 이용 시간은 약 2시간 35분이었다.

스마트폰을 처음 이용하는 연령도 점점 낮아졌다. 7~9세 어린이는 3세 이전에 스마트폰을 이용하기 시작한 비율이 약 26%로 집계됐다. 하지만 3~4세 어린이들은 그 비율이 43%로 크게 증가했다. 

보고서에 따르면 아동의 디지털 활동이 증가하면서, 아동 개인정보를 수집·이용하는 상업적 시도가 증가했다. 이에 국내 및 주요국에서는 아동 개인정보 수집과 이를 이용한 광고를 보다 제한해야 한다는 논의가 진행 중이다.

■ 아동 대상 앱, 개인정보 제3자와 공유 비율 59%로 높아

2022년 3분기 기준 애플과 구글 앱 마켓의 전체 애플리케이션 중 약 8%가 아동 대상 앱이고, 아동 대상 앱의 44%가 개인정보 접근 권한을 요청하는 것으로 조사됐다.

또한 아동 대상 앱은 그렇지 않은 앱보다 개인 정보를 제3자와 더 많이 공유하고 있었다. 보고서에 따르면 아동을 대상으로 하지 않은 앱은 GPS·IP 주소를 제3자와 공유하는 비율이 43%인 반면, 아동 대상 앱은 59%에 이르는 것으로 나타났다.

수집된 아동 개인정보는 맞춤형 광고 등에 활용된다. 광고주가 아동을 대상으로 하는 앱에 지출하는 광고비는 그렇지 않은 앱보다 약 3배 높은 것으로 나타났다.

■ "아동 개인정보 수집 최소화하고, 프로파일링·개인정보 판매 등 제한해야"

이에 보고서에서는 정보주체인 아동과 법정대리인이 정확히 파악하지 못한 채 한 동의에 기대어 수집 오남용이 이루어질 수 있기 때문에, 아동 개인정보 수집에 대해서는 최소수집원칙 준수 여부를 보다 엄격하게 점검해 한다고 제언했다.

그 방안으로 미국 캘리포니아주 '캘리포니아 연령적합설계 규약법(CAADCA)' 같은 연령 적합 설계를 도입하는 개정을 검토해야 한다고 밝혔다.

캘리포니아주는 2022년 9월 CAADCA를 제정해, 내년 7월 1일부터 시행한다. CAADCA는 18세 미만 아동을 대상으로 한다. 아동이 접근할 가능성이 있는 온라인 서비스·제품·기능을 제공하는 사업자는 강력한 개인정보 보호 체계를 제공해야 하고, 필수적이거나 그 필요성을 입증할 수 있는 경우가 아니면 프로파일링, 개인정보 판매, 개인정보의 목적 외 이용, 위치정보 이용, 다크패턴 이용이 제한된다.

또한 사업자는 아동에게 유해할 수 있는 방식으로 아동 개인정보를 이용할 수 없으며, 관련 약관 등을 해당 아동 연령에 적합하고 명확한 언어로 설명해 간결하고 눈에 잘 띄게 제공해야 하고, 주기적으로 데이터 보호 영향 평가를 받아야 한다.

보고서는 무분별한 광고는 아동에게 예기치 못한 부정적인 영향을 줄 수 있기 때문에 아동 개인정보 프로파일링에 기반한 아동 대상 광고를 제한하도록 '개인정보보호법'을 개정해 사업자가 아동 개인정보를 수집하고자 하려는 유인을 낮출 필요가 있다고 밝혔다.

또한 우리나라 개인정보보호법은 14세 미만 아동에 대해서만 법정대리인의 동의 등의 규정을 두고 있어, 청소년의 개인정보가 온라인상에 노출돼 상업적으로 이용되고 있으므로 14세 이상 아동에 대해서도 별도의 보호 규정을 마련할 필요가 있다고 밝혔다.

황정빈 기자(jungvinh@zdnet.co.kr)