구글 프라이버시 샌드박스의 함의

1. 구글 프라이버시 샌드박스 도입 경과 및 배경

가. 구글 프라이버시 샌드박스 도입 경과

구글은 2020. 1. 이용자 개인정보 보호를 위하여 구글 웹브라우저인 크롬(Chrome)에서 타사 쿠키 사용(Third Party Tracking)을 단계적으로 폐지하겠다는 ‘프라이버시 샌드박스(Privacy Sandbox) 도입 계획을 밝혔다. 나아가 2022. 2. 16.에는 웹(PCㆍ인터넷) 뿐만 아니라 모바일(스마트폰ㆍ앱)에서도 광고식별자(Google Advertising ID, GAID) 지원을 중단하겠다고 발표했다.

다만, 구글은 기존의 방식을 대체할 수 있는 솔루션 개발 및 테스트 등을 위해 약 2년의 유예기간을 설정하고 프라이버시 샌드박스를 점진적으로 도입하겠다고 했는데, 이에 따르면 웹의 프라이버시 샌드박스 애플리케이션 프로그래밍 인터페이스(Application Programming Interface, API)는 2023년 3분기부터 일반 제공되고, 2024년 후반부터는 타사 쿠키 사용 지원이 단계적으로 중단될 예정이다.[1] 모바일용 안드로이드 프라이버시 샌드박스의 경우는 2023. 8. 현재 개발자 프리뷰와 API 베타가 출시돼 있다. 이에 관해서는 향후 타임라인이 구체적으로 공개되지는 않았으나 2024년 이후가 될 것으로 예측되고, 웹용 프라이버시 샌드박스 API 및 기술과 연계될 가능성도 있어 보인다.[2]

나. 구글 프라이버시 샌드박스 도입 배경

이러한 구글의 결정의 배경에는 맞춤형 광고에 대한 반감과 개인정보에 관한 의식의 고양, 그리고 가장 직접적으로는 각국 행정청에 의하여 이루어진 제재 조치가 있다.

‘맞춤형 광고’는 온라인상 행태정보(웹ㆍ앱 방문 내역, 구매·검색 이력 등)를 처리해 개인 관심ㆍ흥미ㆍ기호ㆍ성향 등을 분석 및 추정한 후 개인 맞춤형으로 제공되는 온라인 광고로,[3] 통상 웹 또는 앱을 소유하지 않는 제3의 광고사업자가 이용자의 행태정보가 기록되는 ‘쿠키’ 또는 ‘광고식별자’를 활용하여 웹(앱) 이용자의 관심사나 선호 등을 확인할 수 있도록 하는 방식으로 구현돼 왔다.

문제는 이러한 ‘행태정보’ 내지는 ‘광고식별자’가 개인정보에 해당할 수 있다는 점이다. EU GDPR은 ‘개인정보’의 범위에 식별번호, 위치정보, IP주소 등 온라인 식별자 정보가 포함될 수 있음을 명확히 하고 있다.[4] 우리나라 개인정보보호법은 ‘행태정보’를 별도로 규정하고 있지는 않지만, 개인을 알아볼 수 있는 정보뿐만 아니라 해당 정보만으로는 특정 개인을 알아볼 수 없더라도 다른 정보와 쉽게 결합하여 알아볼 수 있는 정보, 나아가 이러한 정보를 가명처리한 가명정보까지도 ‘개인정보’에 포함시킴으로써(제2조), 개인 식별가능성이 있으면 개인정보에 해당한다고 규정하고 있다. 이용자 행태정보가 오랜 기간 쌓이고 광고식별자 등 특정 데이터와 결합하면 ‘개인정보’화 될 여지가 크다. 아울러 개인정보보호법상 특별히 더 엄격한 처리가 요구되는 민감정보가 생성될 우려 또한 있다.[5] 이에, 사업자는 행태정보를 수집ㆍ이용ㆍ제공하기 위해서는 정보주체가 본인의 개인정보 처리에 관한 실질적 선택권과 통제권을 행사할 수 있도록 사전에 동의를 받았어야 하나, 구글, 메타 등 사업자가 이러한 사전 동의를 받지 않아 위법하다는 것이 유럽 각 국의 관할 행정청 및 우리나라 개인정보보호위원회의 판단이었다.[6]^,[7]

2. 구글 프라이버시 샌드박스의 내용

가. 애플의 앱 추적 투명성 정책

구글의 프라이버시 샌드박스의 주요 내용을 살펴보기에 앞서 애플의 대응과 대안을 먼저 살펴보는 것이 도움이 된다.

애플은 2020. 3. 인터넷(사파리)에서 타사 쿠키 사용을 전면적으로 중단하였고, 그 이듬해인 2021. 4.에는 iOS 14.5 업데이트로 앱 추적 투명성(App Tracking Transparency, ATT) 정책을 도입하여 앱 설치 시 광고식별자(IDentity For Advertisers, IDFA) 정보에 대한 수집 동의 여부를 Opt-in 방식으로 수집하도록 의무화했다.[8] 이는 정보주체의 개인정보자기결정권을 충실히 보호하는 것이자 개인정보 보호를 강점으로 내세우는 애플의 정책에 부합하는 조치였으나, 애플의 광고 수입 감소와 광고 시장의 타격을 야기하였다. 이용자의 약 80% 정도가 광고식별자 정보의 수집을 거부하여 맞춤형 광고를 위한 데이터 수집 범위가 대폭 감소했기 때문이다.[9]

참고로, 애플은 2018. 5.부터 광고 성과 측정 API인 ‘어트리뷰션 프레임워크 SKAdNetwork(SKAN)’[10]를 무료로 제공해 오고 있는데, 이는 ATT 정책 하에서 개인정보 처리에 동의하지 않은 이용자의 광고 성과를 파악하는 유일한 방법이 되었다.[11] 단, SKAN에서는 이용자 수준의 데이터와 지표 확인이 어렵기 때문에 기존의 방식에 비하여 전반적인 정확도 감소, 데이터 수신 지연, 리인게이지먼트 측정 불가 등의 문제가 있다고 평가된다.[12]

나. 구글 프라이버시 샌드박스의 요지

구글은 애플과 달리, 타사 쿠키 사용 및 광고식별자의 즉시 폐지가 아닌 유예를 택하였다. 그리고 약 3년 남짓의 유예기간 동안, 개인정보 보호에 충실하면서도 기존의 타사 쿠키 제공, 광고식별자 등을 대체할 수 있는 기술을 개발하여 맞춤형 광고를 유지할 수 있도록 프라이버시 샌드박스를 도입하겠다고 하였다.

프라이버시 샌드박스의 구현을 위하여 구글이 제안한 네 가지 주요 기술의 내용과 특징을 요약하면 다음과 같다.[13]^,[14]

[구글 안드로이드 프라이버시 샌드박스의 주요 기술]

SDK 런타[15]	과거 앱에 타사 라이브러리를 삽입하고 앱 자체에 부여된 모든 권한을 얻도록 한 것과 달리, 철저하게 모니터링되는 가상 샌드박스에서 타사 라이브러리를 작동할 수 있도록 함
Attribution Reporting	이용자 개인 수준의 정보를 사용하지 않고 기기에서 발생한 이벤트 데이터를 기반으로 광고 성과를 측정 및 최적화함
Topics API[16]	이용자의 관심사를 350개 토픽으로 분류해 3주간 보관하는 기술로, 이용자 개인 수준의 식별자를 사용하지 않고, 관심사를 기반으로 광고 최적화를 지원.
Protected Audience	타사와 데이터를 공유하지 않고, 이전의 앱 참여를 토대로 사용자에게 맞춤형 광고를 표시함

3. 구글 프라이버시 샌드박스의 함의

가. 구글 프라이버시 샌드박스의 의미

구글은 애플을 비판하며 ATT 정책과의 차별성을 강조한다. 구글은, 계획 없이 광고를 막을 경우 개발자나 기업의 영업에 타격을 입힐 뿐만 아니라 플랫폼의 유료화를 촉발시켜 이용자에게도 나쁜 결과를 초래할 뿐이라고 비판한다.[17] 이용자의 개인정보를 보호하면서도 개발자 기타 기업에게 성공적인 비즈니스를 구축하는 데 필요한 도구를 제공할 수 있어야 한다는 것이다.[18]

맞춤형 광고 문제에 대한 구글의 기조와 노력은 의미가 있다. 다만, 세부적인 차이에도 불구하고, 식별자 등 제공을 폐지하고 이용자 식별이 어려운 집단 정보를 사용하는 등의 방법으로 광고를 위한 도구를 제공한다는 점에서 구글의 정책은 애플의 정책과 본질적으로 다르지 않아 보인다. 특히 프라이버시 샌드박스에 적용될 세부 기술 등은 아직 테스트 중이고 확정되지 않은 상태이다. 이러한 상황에서 구글 프라이버시 샌드박스로써 과연 지금까지 문제돼 온 맞춤형 광고의 개인정보보호법 등 관련 법령 위반 리스크가 완전히 소멸할 수 있을지는 명확하지 않으며, 위 정책의 도입이 관련 산업계에 미칠 파급효 역시 정확히 파악하기 어렵다.

이에, 구글 프라이버시 샌드박스가 시행되는 미래를 섣불리 낙관하기는 어려우며, 다음의 이슈들을 먼저 고찰해볼 필요가 있다고 생각된다.

나. 구글의 정보수집 문제

구글의 프라이버시 샌드박스는 이용자 개인별 데이터 처리를 제한한다. 그러나 데이터를 수집한다는 것 자체에는 변함이 없다. 이에 미국 IT매체 테크레이더는 “결국 구글이 사용자의 어떤 데이터가 민감정보인지 판단해 수집하는 건 여전하다”며 “사용자 허가 없이 정보가 공유되도록 설계됐기에 사생활 침해 논란은 계속될 것”이라고 지적한 바 있다.[19] 참고로, ATT 정책 도입 이후 애플은 ATT 정책에도 불구하고 자사 앱에서는 이용자 동의 없이 개인정보를 무단 수집하였다는 혐의로 집단 소송을 당했다고 알려진 바 있다.[20]

다. 개인 식별 가능성 문제

개인 식별 문제 역시 완전히 해소될 수 있을지 명확하지 않다. 광고식별자 등의 정보를 이용하지 않는다는 점에서 프라이버스 샌드박스 하 개인 식별 가능성은 현저히 낮아진 것이 사실이지만, 기존의 결과물에 준하는 정도의 가치 있는 행태정보를 생산하려는 과정에서 식별 문제는 다시 도마에 오를 수 있다. 그 자체로는 개인을 식별할 수 없는 데이터라고 하더라도 관련 정보가 상당량 축적되거나 데이터의 평균치에서 크게 벗어나는 등의 특이정보를 포함하고 있는 경우 등에도 식별 문제는 발생한다. 일례로, 구글이 당초 프라이버시 샌드박스 도입을 위해 제안한 ‘FLoC API’ 기술은 집단화 과정에서 특정 개인이 유추될 수 있다는 문제가 지적되어 폐지된 바 있다.[21]

참고로, 개인정보보호위원회는 ▲온라인 식별자와 행태정보 모두 개인정보가 아닐 것 ▲행태정보를 개인정보와 물리적ㆍ논리적으로 분리할 것 ▲행태정보의 투명성 및 사후통제권에 관한 가이드라인을 준수할 것 ▲행태정보를 재식별되지 않을 수 있는 최소한의 기간만 보관해 관리할 것 등 4가지 조건을 충족할 경우 동의 없이 맞춤형 광고 목적 정보 수집이 가능하다는 입장을 밝힌 바 있으나,[22] 아직 세부 가이드라인이 공개되지 않은 상태이므로 추후 확인이 필요하다.[23]

라. 개인정보보호법 외 다른 규제의 적용 문제

개인정보보호법이 아니더라도, 전자상거래 등에서의 소비자보호에 관한 법률(이하 ‘전자상거래법’) 등 기타 관련 법령상 규제 또한 추가로 요구될 소지도 있다. 정부는 2021. 3. 8. 전자상거래법 전부개정안을 마련하여 입법예고한 바 있는데,[24] 이에 따르면 맞춤형 광고를 하려는 온라인판매사업자[25]는 그 내용과 방법을 사전에 소비자에게 고지하고 맞춤형 광고의 수신 여부를 소비자가 선택할 수 있도록 해야 한다.[26] 이 같은 내용의 입법이 이루어질 경우, 구글 프라이버시 샌드박스를 통해 제공받는 데이터에 기반하여 맞춤형 광고를 시행하는 광고주 또는 광고사업자는 광고의 내용과 방법을 사전에 고지하고 광고 수신의 동의를 받아야 한다. 이 경우, 구글 프라이버시 샌드박스 하에서 처리하는 데이터가 개인정보에 해당하지 않는다고 판단돼 개인정보보호법상 규제를 받지 않게 된다고 하더라도, 정작 기업이 체감하는 효용은 기대보다 크지 않을 수 있다.

마. 구글의 독점에 대한 우려

프라이버시 샌드박스의 시행이 구글의 독점력을 더 높일 우려가 있다는 의견도 경청할 필요가 있다. 영국 경쟁시장국(Competition and Markets Authority, CMA)은 “제3자 쿠키(웹 방문 기록) 제한은 구글의 데이터 우위를 높이는 결과를 초래할 것”이라고 경고했다. 플랫폼을 가진 광고 사업자라 이용자에게 동의를 받는 절차를 간소화할 수 있기 때문이다. 광고 사업자 입장에서는 제약이 많아졌지만, 여러 사업자로 나눠 광고를 진행하는 것보다 단일 사업자를 이용하는 게 편해지면 반사이익을 얻게 될 수도 있다.[27] 이러한 우려를 의식한 구글은, 디지털 광고 경쟁에 미치는 영향, 특히 경쟁에 대한 왜곡 위험을 프라이버시 샌드박스 개발의 주요 요소로 고려할 것임을 강조하고 있으며,[28] 실제로 프라이버시 샌드박스의 개발 및 출시에 관하여 영국 경쟁시장국과 협약을 체결하고, 최소 60일 전에 중요한 정책 변경을 고지하겠다고 하는 등 긴밀히 협의해 오고 있다.

4. 나가며

이상에서 구글 프라이버시 샌드박스 도입의 배경과 경과, 이에 대한 평가와 그 영향에 관한 현재까지의 논의 내용을 정리하였다.

개인정보자기결정권은 실질적으로 보장돼야 하고, 특히 온라인 플랫폼 환경에 특수한 개인정보 침해의 문제를 현실적으로 예방하고 차단할 필요가 있다. 반면, 그 과정에서 생산되는 수많은 데이터들의 이용 가치를 고려할 때 합리적인 범위 내에서 데이터를 활용할 필요성이 큰 것 역시 사실이다.

향후 관련 기술의 고도화, 명확하고 구체적인 가이드라인의 정립, 나아가 정부 및 관련 기업과의 긴밀한 협력을 통해 상생의 대안 마련이 이뤄지기를 기대한다.

---

[1] 구글 개인정보보호 샌드박스 홈페이지(2023. 8. 30. 확인). Available : http://privacysandbox.com/intl/ko_kr/

[2] 구글 프라이버시 샌드박스 개발자 페이지(2023. 8. 30. 확인) Available : http://developer.android.com/design-for-safety/privacy-sandbox?hl=ko

[3] 방송통신위원회 한국인터넷진흥원(2017. 2.). 「온라인 맞춤형 광고 개인정보보호 가이드라인」

[4] KISA – GDPR 대응지원센터 홈페이지(2023. 8. 30. 확인). EU GDPR 제30조 원문 및 번역문. Available : https://gdpr.kisa.or.kr/gdpr/static/gdprProvision.do

원문

번역문

(30) Natural persons may be associated with online identifiers provided by their devices, applications, tools and protocols, such as internet protocol addresses, cookie identifiers or other identifiers such as radio frequency identification tags. This may leave traces which, in particular when combined with unique identifiers and other information received by the servers, may be used to create profiles of the natural persons and identify them.

(30) 개인은 본인이 사용하는 기기, 애플리케이션, 툴, 프로토콜을 통해 제공되는 인터넷 프로토콜 주소, 쿠키 식별자 또는 전파식별태그 등의 기타 식별자인 온라인 식별자와 연결될 수 있다. 특히 이러한 정보는 개인에 대한 자취를 남겨, 이러한 정보가 서버를 통해 전해지는 독특한 식별인자 및 기타 정보와 결합되는 경우, 해당 개인에 대한 프로파일을 생성하고 이들을 식별하는 데 사용될 수 있다.

[5] 개인정보보호위원회(2022. 9.). 보도자료 「개인정보위, 구글과 메타의 개인정보 불법 수집 제재」

[6] 각주 5번 보도자료 1~3면 및 참고8.

[7] 단, 구글 및 메타는 개인정보보호위원회의 결정에 불복하여 처분 취소소송을 제기하였음[한겨레(2023. 3. 6.). “구글ㆍ메타, ‘개인정보 불법수집 제재’ 개보위에 행정소송 제기” Available : https://www.hani.co.kr/arti/economy/it/1082419.html].

[8] 매일경제(2022. 4. 8.). “구글 개인정보 보호 강화 의미와 파장… 脫중앙화 ‘웹3.0’ 패러다임 전환 힘 받나” Available : https://www.mk.co.kr/news/culture/10284115

[9] CCTV NEWS(2021. 6. 9.). “앱 추적 금지로 맞붙은 애플 VS 페이스북, 광고 시장 흐름 변화는?”Available : https://www.cctvnews.co.kr/news/articleView.html?idxno=227175 ; 메일리(2022. 2. 28.). “구글의 앱트래킹 정책, 진실은 무엇인가?” Available : https://maily.so/dxletter/posts/c5fd93b7

[10] 애플 개발자 페이지(2023. 8. 30. 확인) Available : https://developer.apple.com/kr/app-store/ad-attribution/

[11] ADJUST(2023. 8. 30. 확인). “SKAdNetwork(SKAN)의 정의 및 작동방식” Available : https://www.adjust.com/ko/glossary/skadnetwork-skan/

[12] 각주 11번.

[13] 구글 안드로이드 프라이버시 샌드박스 개발자 페이지(2023. 8. 30. 확인). Available : https://developer.android.com/design-for-safety/privacy-sandbox/program-overview?version=preview&%3Bhl=ko&hl=ko

[14] 웹 버전에 적용되는 기술의 개념과 내용도 대체도 유사함.

[15] 안드로이드 프라이버시 샌드박스 구성요소 중에서 유일하게 프라이버시 샌드박스 웹 버전에는 포함되어 있지 않다는 점에서 특수성이 있음[Branch(2022. 2.), “안드로이드 프라이버시 샌드박스란 무엇일까요? IDFA의 종말에 대한 또 다른 예고일까요?” Available : https://www.branch.io/ko/resources/blog/what-is-android-privacy-sandbox-is-this-the-idfa-apocalypse-all-over-again/].

[16] 당초에는 탐색 패턴이 유사한 사람들을 ‘집단(Cohort)’으로 묶어 분석하는 ‘FLoC API’ 기술을 제안하였으나, 폐지되고 ‘Topics API’로 대체되었음(각주 1번 홈페이지 참조).

[17] NAVER 개인정보보호 블로그(2022. 2.). “구글, 안드로이드에 ‘프라이버시 샌드박스’ 구축 공식화” (2022. 2.). Available : https://blog.naver.com/n_privacy/222656408212

[18] GOOGLE IN EUROPE Blog(2022. 2.). “The path forward with the Privacy Sandbox” Available : https://blog.google/around-the-globe/google-europe/path-forward-privacy-sandbox/

[19] 중앙일보(2022. 2. 17.). “[팩플] 페복이 쓸어간 타깃형 광고, 이제 어디로…구글도 광고정책 개편”. Available : https://www.joongang.co.kr/article/25049003#home

[20] ZDNET Korea(2022. 11. 14.) “’앱 추적금지’ 애플, 자사 앱에선 무단수집…집단소송 당해”. Available : https://zdnet.co.kr/view/?no=20221114135507 ; ZDNET Korea(2023. 1. 11.) “애플, 미(美)서 개인정보 침해로 또 집단 소송 당해” Available : https://zdnet.co.kr/view/?no=20230111084113

[21] 각주 15번; 보안뉴스(2021. 3. 8.) “서드파티 쿠키 대신 플록 제안한 구글, 사실은 덫을 놓았나?”. Available : https://www.boannews.com/media/view.asp?idx=95418

[22] 디지털투데이(2023. 7. 14.) “개인정보위 “세이프 트랙 준수시 동의 없어도 맞춤형 광고 목적 정보 수집 가능”. Available : https://www.digitaltoday.co.kr/news/articleView.html?idxno=481885

[23] 이르면 2023년 3분기 중 가이드라인이 발표될 계획이라고 함(각주 21번 기사 참조)

[24] 공정거래위원회(2021. 3.). 보도자료 「공정위, 「전자상거래 소비자보호법」 전부개정안 입법예고」

[25] 온라인 플랫폼 이용사업자, 자체인터넷 사이트 사업자를 포함하는 용어임. 온라인 플랫폼 운영사업자는 포함하지 않음.

[26] 전자상거래법 전부개정안 제18조(소비자에 관한 정보의 이용 등) ③ 온라인판매사업자는 소비자의 기호, 연령, 성별, 소비습관, 구매내역 등의 특징에 따라 소비자에게 상품이나 서비스의 검색결과를 제공하거나 재화 등을 추천(이하 “맞춤형 광고”라 한다)하는 경우에는 그 내용과 방법을 사전에 소비자에게 고지하고, 맞춤형 광고의 수신 여부를 소비자가 선택할 수 있도록 하여야 한다.

④ 온라인판매사업자는 제3항에 따라 소비자가 맞춤형 광고 대신 해당 소비자의 특성이 반영되지 않은 일반적인 검색결과 또는 광고의 수신을 선택하는 경우에는 해당 정보를 소비자에게 제공하여야 한다.

⑤ 공정거래위원회는 제3항 및 제4항에 따른 맞춤형 광고의 고지의 내용과 방법, 맞춤형 광고에 대해 소비자가 선택할 수 있도록 하는 방법을 정하여 고시할 수 있다.

[27] 각주 8번 기사.

[28] 각주 18번 홈페이지.