개인정보 논란 다시 불거진 ‘쿠키’ 파일

방통위 개인정보보호법령 해설서 보면...‘쿠키, 개인정보에 포함’

쿠키 이용한 정보침해, 이용자들은 잘 몰라...관련 가이드라인 필요

[보안뉴스 김태형] 최근 인터넷을 통한 정보 생성·수집·분석 등이 주요 이슈가 되고 있는 가운데 이용자들은 이를 통해 어떤 형태의 개인정보 침해가 발생할 수 있는지, 그 수준은 어느 정도인지 알 수 없는 경우가 대부분이다.

이러한 가운데 국내 주요 포털을 포함한 웹사이트와 모바일 응용프로그램(앱)의 개인정보 수집현황을 조사해 분석한 보고서가 나와 주목을 끌고 있다.

고학수 서울대 법학전문대학원 교수는 서울대에서 개최된 ‘한국법경제학회 하계 정기학술대회’에서 지난해 9월부터 11월까지 국내 주요 웹사이트와 앱의 ‘쿠키파일(쿠키)’ 현황, 스마트폰 고유식별정보(IMEI) 접근기록을 조사한 ‘국내 인터넷사이트의 개인정보 수집현황 분석’ 보고서를 발표했다.

고 교수는 “랭키닷컴, 코리안클릭 이용률 등의 자료를 참조해 포털, 언론사이트, 온라인상거래 분야 등 국내 총 61개의 웹 사이트를 선정했으며, 서버에 개별 컴퓨터로 보내어 임시 폴더에 저장된 데이터를 별도의 폴더에 복사하여 실체 쿠키파일의 정보를 확인하고, 이를 통해 이용자 컴퓨터에 실제로 저장된 쿠키에 관해 파악하는 방법으로 조사를 진행했다”고 설명했다.

쿠키 파일은 이용자가 방문하는 사이트에 자동으로 생겨나는 임시파일을 말한다. 즉, 이용자가 열어본 사이트 내용, 상품구매 명세, 신용카드번호, ID/PW/IP 주소 같은 정보가 저장된다.

이는 내 컴퓨터가 아니라 외부 컴퓨터에 서버를 둔 웹사이트에 나의 개인정보가 저장되는 것이나 마찬가지다. 사업자는 이를 통해 고객의 특성을 알고 서비스 제공과 기업 홍보나 광고에 활용할 수 있다. 하지만 이용자 입장에서는 개인정보 유출이나 정보침해 문제가 있다.

고 교수는 “이번 조사 결과, 총 쿠키 개수는 1,276개이며 평균 쿠키 개수는 20.92개로 조사대상 사이트 중에서 스포탈코리아가 가장 많은 55개의 쿠키를 보유하고 있었으며, 신세계백화점이 2개로 가장 적었다”고 밝혔다.

특히, 은행사이트는 전체 쿠키 수가 가장 적었고 언론사 사이트는 전체 쿠키의 수도 많고 활용도도 높았으며, 지면이 없거나 지면 비중이 낮은 사이트의 경우 쿠키의 활용도가 높은 것으로 나타났다.

또한, 쿠키 파일 중 제3자 쿠키파일은 포털사이트에 있는 배너 광고와 같이 이용자가 접속한 사이트에 포함된 다른 사이트가 가진 쿠키 파일을 의미하는 것으로, 이러한 제3자 쿠키 파일이 있으면 이용자는 의도치 않게 자신의 개인정보를 모르는 사이트에도 저장하게 된다.

고 교수는 “PC 기반 웹사이트에서 발견된 제3자 쿠키는 515개이며, 사이트 한 곳당 8.4개로 스포탈코리아가 35개의 제3자 쿠키를 보유하고 있어 가장 많았으며, 인터파크와 옥션, 신한은행, 한게임, 구글 등에서는 제3자 쿠키를 하나도 보유하고 있지 않았다”고 밝혔다.

한편, 국내 모바일 웹사이트의 쿠키 활용 현황은 총 19개 사이트에서 총 쿠키 개수가 89개로 평균 4.68개였으며 제3자 쿠키는 총 25개로 평균 1.3개인 것으로 조사됐다. 모바일 웹에서 가장 많은 쿠키를 보유한 사이트는 플레이앤씨가 9개로 집계됐으며, 쿠키파일이 하나도 없는 모바일 사이트는 지마켓으로 나타났다.

고 교수는 “모바일 웹의 쿠키가 PC기반 웹사이트보다 훨씬 적은 이유는 모바일 광고 시장이 컴퓨터 광고시장보다 미약한 것으로 분석했다”고 설명했다.

또한, 모바일 앱의 개인정보 수집에 대한 조사결과 37개 주요 앱 중에서 34개의 앱이 모바일 기기의 고유식별 정보인 ‘IMEI’에 대한 접근권한을 가지고 있는 것으로 나타났고, 이 중 전체의 24개는 IMEI에 실제로 접근한 것으로 조사됐다. IMEI 접근권한이 없는 앱은 드래곤플라이트, 유튜브, 알바몬 맞춤알바 등 3개였다.

이와 같은 ‘쿠키’를 개인정보로 볼 것인지에 관해 법은 명확한 기준을 제시하고 있지 않다. 쿠키 자체로는 개인을 식별할 수 없고 다만 특정 컴퓨터를 식별할 수 있기 때문. 하지만 경우에 따라서는 수개의 쿠키 파일 내용을 종합해 쿠키의 정보와 다른 유형의 정보를 종합해 개인을 식별하는 것이 가능하다.

하지만 개인정보보호법 제2조의 “다른 정보와 쉽게 결합하여”라는 표현의 구체적인 의미를 어떻게 해석하느냐에 따라 쿠키가 개인정보에 해당되는지에 대한 판단이 달라질 수 있다.

방송통신위원회와 한국인터넷진흥원의 정보통신서비스 제공자를 위한 개인정보보호법령 해설서에 따르면 쿠키는 개인정보에 포함된다. 즉, 개인정보에는 서비스 이용기록, 접속 로그, 쿠키, 결제기록, 이용정지 기록, 페이지뷰 내역, 이용시간대, 검색사항, 사이트 방문내역 등이 포함되는 것으로 알려졌다.

고 교수는 “조사결과 국내 사이트의 쿠키 보유 현황은 온라인 광고가 발달한 미국에 비하면 훨씬 적었고, 제3자 쿠키도 매우 적은 편이었다. 하지만 대부분 국내 사이트들도 쿠키 파일 활용도가 점차 높아지고 있는 것으로 나타났다”고 설명했다.

또한, 그는 “모바일 앱에 따라 다양한 유형의 개인정보에 대한 접근이 이루어지고 있다. 개인정보 유형에 따라 이용자 입장에서 민감성 및 중요성, 그리고 앱 제공자 입장에서 접근 필요성 등에 대한 파악과 검토가 필요한 상황”이라면서 “PC에서는 쿠키의 삭제나 방지가 용이하지만 모바일에서는 상대적으로 이에 대한 콘트롤이 어렵기 때문에 이에 대한 적절한 정책 수립이 필요하다”고 덧붙였다.

[김태형 기자(boan@boannews.com)]

내년 회사에 꼭 도입하고 싶은 보안 솔루션 또는 플랫폼은 무엇인가요?
	XDR
	EDR
	AI 보안
	제로트러스트
	공급망 보안 체계(SBOM)
	클라우드 보안 솔루션
	기타(댓글로)