맞춤 광고에 쓰는 ‘행태정보’,“개인 식별 가능성 없게 해야”

개인정보보호위, 정책안 발표
14세 미만은 대리인 동의 필요
매체 사업자엔 “처리 과정 공개”

앞으로 맞춤형 광고를 하는 광고 사업자는 활용하는 데이터에서 개인 식별 가능성을 없애고, 광고매체 사업자는 데이터 처리 과정을 투명하게 공개해야 한다.

개인정보보호위원회는 31일 이런 내용이 담긴 ‘맞춤형 광고에 활용되는 온라인 행태정보 보호를 위한 정책 방안’을 발표했다.

맞춤형 광고는 이용자의 온라인 행태정보를 기반으로 개인의 관심·흥미 등을 분석해 온라인에 노출하는 광고로, 관심사를 반영한 효과적인 광고를 할 수 있는 장점이 있다. 예컨대 ‘운동화’를 검색하면, 웹사이트에 신발 쇼핑몰 광고가 노출되는 식이다.

하지만 정보 주체 동의 없이도 개인이 식별될 수 있는 수준으로 처리되거나, 사상·신념·정치 견해 등 민감 정보를 추론할 수 있는 위험이 있다.

앞서 2017년 발표된 ‘온라인 맞춤형 광고 개인정보 보호 가이드라인’은 개인 식별정보와 결합해 행태정보 처리 시 이용자로부터 사전동의를 받도록 규정하고 있다. 그러나 개인 식별정보와 결합하지 않은 행태정보 처리에 대해선 관련 규정이 없다. 또 누가 어떤 역할을 해야 하는지 분명하지 않아 혼란이 일었다. 이에 개인정보위는 광고 사업자와 광고매체 사업자에게 각각 구체적인 책임을 부과했다.

개인정보위에 따르면 광고 사업자는 자사나 타사 웹사이트·애플리케이션(앱) 등을 통해 이용자의 행태정보를 수집해 이를 맞춤형 광고로 전송하는 사업자다. 광고매체 사업자는 자사 웹사이트·앱 등의 일부 공간에서 맞춤형 광고가 표시되도록 광고 지면을 제공하는 사업자다.

정책안은 광고 사업자가 특정 개인을 식별하지 않고 행태정보를 처리하는 경우 이용자의 동의를 받지 않고 처리할 수 있다고 명시했다. 다만 처리 과정에서 개인을 식별할 가능성이 발생하지 않도록 하고 안전조치 이행 등의 권고를 준수하도록 했다.

광고매체 사업자에게는 이용자가 자신의 행태정보 처리를 확인할 수 있도록 처리 과정을 투명하게 공개하도록 권고했다. 다만 자사 맞춤형 광고를 목적으로 행태정보를 처리할 때는 광고 사업자와 동일한 기준이 적용된다.

특히 14세 미만 아동의 행태정보를 개인 식별정보와 결합해 맞춤형 광고를 제공하려는 사업자의 경우 사전에 ‘법정대리인 동의’를 받아야 한다. 개인이 식별되지 않은 경우도 아동을 주 이용자로 삼은 사업자라면 맞춤형 광고를 목적으로 행태정보를 수집·활용하지 않을 것을 권고했다.

광고매체 사업자도 자신이 운영하는 웹사이트나 앱의 주 이용층이 14세 미만이라면 맞춤형 광고를 목적으로 아동의 행태정보 수집 도구를 설치하지 말아야 한다. 개인정보위는 ‘온라인 행태정보 보호 민관 협의체’를 구성, 현장 논의를 통해 연말에 개정된 가이드라인을 발표할 예정이다.

고낙준 신기술개인정보과장은 “맞춤형 광고 관련 생태계는 구글이 ‘제3자 쿠키’ 지원 중단을 예고하는 등 이용자의 행태정보 처리에 변곡점을 맞이하고 있다”며 “이번 정책을 바탕으로 행태정보 처리 적법성과 투명성을 높여 나가겠다”고 말했다.

앞서 구글은 브라우저 크롬 등에서 올해 1월부터 이용자 1%를 대상으로 제3자 쿠키 제공을 중단했다. 이어 올해 안에 모든 사용자를 대상으로 제3자 쿠키가 전면 차단된다. ‘쿠키’란 웹사이트에 남는 이용 흔적이다. 쿠키는 대개 맞춤형 광고 등에 쓰인다.

김은성 기자 kes@kyunghyang.com