스마트폰 앱이 나도 모르게 내 정보를 빼 가고 있지는 않을까?

스마트폰 앱 개인정보 수집은 동의 버튼을 눌렀다고 해서 무엇이든 허용되는 것이 아닙니다. 개인정보 보호법 제16조는 목적에 필요한 최소한의 개인정보만 수집하도록 합니다. 정보통신망법 제22조의2는 앱이 연락처·위치·카메라 같은 기능에 접근할 때 꼭 필요한 권한과 선택 권한을 나눠 알리고 동의를 받게 합니다. 손전등 앱이 주소록을 요구하는 것처럼 기능과 무관한 권한은 거부해도 되고, 이미 동의한 수집도 철회하거나 삭제를 요구할 수 있습니다.

• 개인정보: 살아 있는 개인에 관한 정보로서 그 개인을 알아볼 수 있거나 다른 정보와 쉽게 결합해 알아볼 수 있는 정보
• 과태료: 행정질서 위반에 부과되는 금전 제재로서 형벌과는 다른 것
• 조정: 중립적인 기관이나 사람이 당사자의 합의를 도와 분쟁을 해결하는 절차
• 손해배상: 위법한 행위나 계약 위반으로 생긴 손해를 갚는 책임

손전등 앱을 설치하면서 주소록 접근을 무심코 허용했거나, 사진 편집 앱이 왜 위치 정보를 ‘항상’ 쓰겠다는지 의아했던 적이 있다면 지금 점검해 볼 만합니다. 동의 버튼을 누르는 몇 초 사이에 생각보다 많은 정보가 넘어갑니다. 내 동선과 관심사가 여러 회사로 흘러가면 찝찝함을 넘어 맞춤형 사기의 표적이 될 수도 있습니다.

앱이 가져가는 정보와 개인정보의 범위

개인정보라고 하면 이름, 주민등록번호, 연락처 정도를 떠올리기 쉽습니다. 하지만 개인정보 보호법 제2조는 살아 있는 개인을 알아볼 수 있는 정보뿐 아니라, 그 자체로는 알아볼 수 없어도 다른 정보와 쉽게 결합해 알아볼 수 있는 정보까지 개인정보로 봅니다. 그래서 특정인과 연결되는 위치 기록, 검색 기록, 앱 사용 기록, 통화 목록, 건강 정보도 개인정보가 될 수 있습니다.

정보 수집은 크게 두 가지 방식으로 이루어집니다. 첫째는 회원가입 때 입력하는 이름, 이메일, 생년월일, 연락처처럼 사용자가 직접 입력하는 정보입니다. 무엇을 넘겼는지 본인이 알 수 있는 영역입니다. 둘째는 스마트폰 센서와 운영체제를 통해 자동으로, 지속적으로 수집되는 행태정보입니다. 하루 동선을 기록하는 GPS 정보, 통화 기록, 검색 기록, 앱 사용 패턴, 걸음 수와 심박수가 여기에 들어갑니다.

이런 정보는 하나씩 떼어 보면 사소해 보이지만 합쳐서 분석하면 직업, 소득 수준, 건강 상태, 생활 패턴까지 재구성할 수 있습니다. 대학병원 암센터를 주기적으로 방문한 위치 기록과 항암치료 부작용 검색 기록, 관련 커뮤니티 앱 사용 기록이 결합되면 그 사용자는 ‘암 환자일 가능성이 높은 고객’으로 분류될 수 있습니다. 이런 분류가 건강식품 광고에 쓰이는 데 그치지 않고 보험 같은 중요한 거래에 영향을 줄 수 있다는 점이 문제입니다.

기술적으로 주의할 부분은 앱 개발에 쓰이는 소프트웨어 개발 키트(SDK)입니다. 개발사들은 광고 송출, 사용자 분석, 소셜 로그인 같은 기능을 빠르게 붙이려고 외부 업체가 만든 SDK를 앱에 넣습니다. 이 SDK가 정보를 수집하는 통로가 되기도 하는데, 개발사조차 SDK가 어떤 정보를 어디로 보내는지 충분히 파악하지 못하는 경우가 있습니다. 사용자는 앱 하나를 믿고 설치했지만 실제로는 그 안에 들어온 여러 회사에 정보가 넘어갈 수 있는 구조입니다.

최근에는 운영체제가 권한을 쓸 때마다 알리거나 ‘이번만 허용’ 같은 선택지를 주는 등 무분별한 접근을 줄이려는 장치가 강화되고 있습니다. 그래도 ‘서비스 개선’이나 ‘맞춤형 경험’ 같은 모호한 명분으로 폭넓은 정보에 접근하려는 앱은 여전히 많습니다.

동의만 받으면 무엇이든 수집할 수 있을까

그렇지 않습니다. 개인정보 보호법 제15조는 정보주체의 동의, 법률의 특별한 규정, 계약 체결·이행에 필요한 경우 등 정해진 근거가 있을 때만 개인정보를 수집·이용할 수 있게 합니다. 동의는 여러 근거 가운데 하나일 뿐이고, 동의를 받더라도 지켜야 할 원칙이 있습니다.

• 최소수집 원칙: 목적에 필요한 최소한의 정보만 수집해야 하고, 최소한이라는 점은 사업자가 증명해야 합니다. 필요한 최소한의 정보 외의 수집에 동의하지 않았다는 이유로 서비스 제공을 거부해서도 안 됩니다.
• 접근권한 구분: 앱은 서비스에 반드시 필요한 필수 접근권한과 그렇지 않은 선택 접근권한을 나눠 알려야 하고, 선택 권한에 동의하지 않았다는 이유로 서비스를 거부할 수 없습니다.
• 동의 방법: 개인정보 보호법 제22조는 동의 사항을 구분해 알기 쉽게 알리고 각각 동의를 받도록 정합니다. 수집 항목, 이용 목적, 보유 기간, 제3자 제공 여부는 개인정보 처리방침과 동의 화면에서 확인할 수 있어야 합니다.

현실은 다릅니다. 처리방침은 어려운 법률·기술 용어로 가득하고, 선택 항목에 동의하지 않으면 큰 혜택을 놓치는 것처럼 보이게 만드는 눈속임 설계(다크 패턴)도 흔합니다. ‘마케팅 수신에 동의하면 500포인트 지급’처럼 민감한 정보의 장기적 가치를 몇백 원짜리 보상과 맞바꾸게 하는 방식이 대표적입니다.

경계가 모호한 경우도 많습니다. 지도 앱이 주변 맛집 추천을 위해 현재 위치를 쓰는 것은 합리적인 수집으로 볼 수 있습니다. 반면 앱을 쓰지 않는 시간에도 백그라운드에서 동선을 계속 추적해 광고 회사에 넘긴다면 목적 범위를 넘어선 과도한 수집일 가능성이 높습니다. 다만 위법성은 서비스 구조와 기술적 필요성을 따져 판단되므로, 개인이 소송으로 이를 입증하기는 쉽지 않습니다.

이미 한 동의도 되돌릴 수 있습니다. 개인정보 보호법 제37조는 정보주체가 처리정지를 요구하거나 동의를 철회할 수 있도록 정하고 있고, 사업자는 동의 철회 방법을 수집할 때보다 어렵게 만들어서는 안 됩니다. 그런데도 철회 메뉴를 설정 깊숙이 숨기거나 여러 단계를 거치게 하는 앱이 있다면 그 자체로 문제 제기 사유가 됩니다.

맞춤형 광고에 쓰이는 행태정보도 마찬가지입니다. 감독기관 가이드라인은 이용자가 행태정보 수집 사실을 알 수 있게 하고 쉽게 거부할 수 있는 수단을 제공하도록 권고하지만, 실제로는 거부 방법이 눈에 잘 띄지 않는 경우가 많습니다.

수집된 정보는 어디로 가나

앱이 수집한 정보가 개발사 서버에만 머무르는 것은 아닙니다. 광고·분석 업체나 데이터를 사고파는 중개업체로 넘어가 여러 출처의 정보와 결합되기도 합니다. 예를 들어 A앱의 ‘30대 남성’, B앱의 ‘강남구 거주’, C사이트의 ‘축구에 관심’이라는 정보가 합쳐지면, 각각으로는 누구인지 알 수 없던 정보가 특정인을 겨냥할 수 있는 수준이 됩니다.

법적으로 개인정보를 다른 회사에 넘기는 방식은 두 가지로 나뉩니다.

구분	제3자 제공	처리 위탁
근거	개인정보 보호법 제17조	개인정보 보호법 제26조
누구의 이익을 위한 처리인가	받는 회사가 자기 목적으로 이용	맡긴 회사의 업무를 대신 처리
이용자 보호 장치	받는 자, 목적, 항목, 보유 기간을 알리고 별도 동의 등 근거 필요	위탁 업무와 수탁자 공개, 수탁자 관리·감독

위탁은 고객 상담이나 배송처럼 회사 업무를 외부 업체가 대신 처리하는 것이어서 제3자 제공처럼 별도 동의를 받지 않아도 될 수 있습니다. 문제는 이름만 위탁으로 해 두고 실제로는 받는 회사가 자기 마케팅에 정보를 쓰는 경우입니다. 이런 처리는 위탁이 아니라 제3자 제공으로 평가될 수 있고, 근거 없이 개인정보를 넘기거나 판매하면 과징금과 형사처벌 대상이 될 수 있습니다.

가명정보도 쟁점입니다. 가명정보는 이름이나 연락처를 지우거나 다른 값으로 바꿔, 추가 정보 없이는 특정인을 알아볼 수 없게 만든 정보입니다. 개인정보 보호법 제28조의2에 따라 통계 작성, 과학적 연구, 공익적 기록 보존 목적이라면 동의 없이 처리할 수 있습니다. 데이터 활용을 넓히는 제도이지만, 다른 정보와 결합하면 다시 특정인을 알아볼 수 있다는 재식별 위험이 꾸준히 지적됩니다.

한번 퍼진 디지털 데이터는 사실상 회수하기 어렵습니다. 앱을 지우고 탈퇴해도 과거에 이미 다른 곳으로 넘어간 정보는 계속 남아 있을 수 있으므로, 처음부터 넘겨주지 않는 것이 가장 확실한 방어입니다.

광고를 넘어 사기의 재료가 될 때

수집된 정보가 가장 흔하게 쓰이는 곳은 맞춤형 광고입니다. 최근 검색한 운동화나 어제 들른 식당과 관련된 광고가 뜨는 것은 이제 일상입니다. 한 단계 더 나아가면 직업, 거주지, 소비 패턴, 금융 앱 사용 기록을 분석해 소비 능력을 평가하는 데 쓰입니다. 대환대출이나 신용회복 같은 키워드를 자주 검색한 사람은 고금리 대출이나 불법 사금융 광고의 표적이 되기 쉽습니다. 구매 의향이 강해 보이는 사람에게 더 비싼 가격을 보여 주는 동적 가격 책정에 쓰일 수도 있습니다.

가장 직접적인 위험은 특정인을 겨냥한 맞춤형 사기, 이른바 스피어 피싱입니다. 사기꾼이 자녀 이름과 학교, 며칠 전 결제한 학원비까지 알고 “어제 결제하신 계좌 말고 이쪽으로 교재비를 보내 주세요”라고 연락한다면 속지 않을 자신이 있을까요? 실시간 위치 정보와 ‘가족과 2주간 해외여행 중’이라는 게시물이 결합되면 빈집이라는 사실을 알려 주는 셈이 되고, 질병 정보가 새면 가짜 치료제를 파는 사기꾼의 표적이 됩니다.

회사 기밀이나 고객 데이터가 임직원 개인 스마트폰을 통해 새어 나가는 경우도 있습니다. 내 스마트폰의 보안은 나 한 사람을 넘어 가족과 직장 동료의 안전과도 연결됩니다.

이 권한, 이 앱에 정말 필요할까

권한이 필요한지는 앱의 핵심 기능과 연결되는지로 판단합니다. 아래는 흔한 예시이고, 실제 필요 여부는 앱이 안내하는 권한 설명에서 확인합니다.

앱 종류	기능상 필요할 수 있는 권한	요구하면 의심해 볼 권한
지도·내비게이션	위치(앱 사용 중)	주소록, 통화 기록
사진 편집	사진·저장공간	위치(항상), 마이크
계산기·손전등 같은 단순 도구	거의 없음	주소록, 위치, 통화 기록
메신저	주소록(친구 찾기), 카메라·마이크(영상통화)	위치(항상)
배달·쇼핑	위치(앱 사용 중), 알림	주소록, 통화 기록

‘의심해 볼 권한’을 요구한다고 곧바로 위법은 아닙니다. 다만 그 권한이 어떤 기능에 왜 쓰이는지 설명이 없다면 거부해 두고, 앱이 정상적으로 작동하는지 확인해 보세요.

지금 바로 할 수 있는 5가지 설정

1. 앱 권한 총점검: 설정의 애플리케이션 관리에서 앱마다 권한 메뉴를 열어, 그 권한이 핵심 기능에 정말 필요한지 따져 봅니다. 계산기 앱이 위치나 주소록에, 사진 편집 앱이 통화 기록이나 마이크에 접근할 이유는 없습니다. 특히 카메라, 마이크, 위치, 주소록, 저장공간 권한을 가장 엄격하게 봅니다.
2. 위치 권한은 ‘앱 사용 중에만’: 지도, 내비게이션, 배달 앱처럼 위치가 필요한 앱도 ‘항상 허용’ 대신 ‘앱 사용 중에만 허용’으로 바꾸면 백그라운드 추적을 대부분 막을 수 있습니다.
3. 광고 추적 차단: 안드로이드는 설정 → Google → 광고에서 광고 ID를 삭제하고, 아이폰은 설정 → 개인정보 보호 및 보안 → 추적에서 ‘앱이 추적을 요청하도록 허용’을 끕니다. 광고가 사라지지는 않지만 여러 앱의 활동 기록을 하나로 묶기 어려워져 정밀 타깃 광고가 줄어듭니다.
4. 쓰지 않는 앱 삭제: 몇 달 동안 실행하지 않은 앱은 지웁니다. 잊힌 앱도 백그라운드에서 데이터를 모을 수 있고, 업데이트가 끊긴 앱은 보안 구멍이 됩니다.
5. 설치할 때 10초 멈추기: 권한 요청 창이 뜨면 ‘왜 이 앱이 이 권한을 필요로 하는가’를 묻고, 이해되지 않으면 일단 거부한 뒤 써 봅니다. 대부분의 핵심 기능은 불필요한 권한을 거부해도 작동합니다. 권한을 허용하지 않으면 실행조차 안 되는 앱이라면 꼭 써야 하는지, 더 적은 권한을 요구하는 대안은 없는지 다시 생각해 봅니다.

처리방침 전체를 읽기 어렵다면 최소한 ‘수집하는 개인정보 항목’과 ‘제3자 제공 현황’ 두 가지만이라도 확인하세요. 이 부분이 지나치게 포괄적이거나 불투명하다면 그 회사의 개인정보 보호 의식을 의심해 볼 만합니다. 무료 앱이 데이터를 수익원으로 삼는 경우가 많다는 점을 고려하면, 합리적인 가격의 유료 앱이나 개인정보를 적게 수집하는 대안 서비스를 고르는 것도 방법입니다. 자녀가 새 게임 앱을 설치할 때 함께 권한 요청을 살펴보며 왜 거부해야 하는지 이야기해 주는 것도 좋은 교육이 됩니다.

이미 정보가 샜다면: 권리 행사와 구제 절차

먼저 해당 회사에 직접 권리를 행사할 수 있습니다. 개인정보 보호법 제35조의 열람, 제36조의 정정·삭제, 제37조의 처리정지와 동의 철회를 요구할 수 있습니다. 회사는 법에서 정한 예외 사유가 없는 한 이에 응해야 합니다. 앱의 개인정보 처리방침에 적힌 개인정보 보호책임자 연락처나 고객센터로 보내고, 요구 내용과 회신은 기록이 남는 방법으로 보관합니다.

요구서는 짧아도 됩니다. 무엇을 요구하는지만 분명하면 됩니다.

○○ 앱 회원(가입 이메일 기재)입니다. 개인정보 보호법 제35조에 따라 귀사가 보유한 제 개인정보 항목, 처리 목적, 제3자 제공 현황의 열람을 요청합니다. 또한 제37조에 따라 맞춤형 광고·마케팅 목적 처리에 대한 동의를 철회하고, 서비스 이용에 필요하지 않은 위치 기록의 삭제를 요청합니다. 처리 결과를 이메일로 회신해 주시기 바랍니다.

다음으로 신고와 구제 절차를 목적에 맞게 이용합니다.

• 개인정보 침해 신고: 한국인터넷진흥원 개인정보침해 신고센터(국번 없이 118)나 온라인 신고 창구에 신고할 수 있습니다. 어떤 앱을 통해, 언제, 어떤 정보가 새어 나간 것으로 의심되는지와 스팸 급증, 명의도용 같은 피해를 구체적으로 적고 캡처와 이메일을 첨부합니다. 위반이 확인되면 개인정보보호위원회의 시정명령, 과징금, 과태료 같은 행정처분으로 이어질 수 있습니다.
• 금전 피해가 생긴 경우: 보이스피싱이나 스미싱 같은 실제 피해가 생겼다면 112나 경찰청 사이버범죄 신고시스템에 따로 신고하고, 은행에 즉시 지급정지를 요청합니다. 경찰 신고는 범인을 처벌하기 위한 형사 절차이고 118 신고는 기업의 법 위반을 조사하기 위한 절차이므로, 둘 다 진행하는 것이 좋습니다.
• 분쟁조정: 개인정보 분쟁조정위원회에 조정을 신청하면 소송보다 간단하고 비용 부담 없이 결론을 받을 수 있습니다. 개인정보 보호법 제47조에 따라 양측이 조정안을 받아들이면 재판상 화해와 같은 효력이 생기지만, 기업이 거부하면 조정은 성립하지 않습니다. 같은 유형의 피해자가 많다면 제49조의 집단분쟁조정으로 일괄 처리될 수 있습니다.
• 민사소송: 조정이 성립하지 않으면 손해배상 소송을 검토합니다. 개인정보 보호법 제39조는 고의 또는 중대한 과실로 유출 등이 발생해 손해가 생기면 손해액의 5배까지 배상하게 할 수 있도록 합니다. 제39조의2는 구체적인 손해액을 입증하기 어려울 때 법정손해배상을 청구할 수 있게 합니다. 대규모 유출 사건에서는 여러 피해자가 함께 원고가 되는 공동소송으로 비용 부담을 나누기도 합니다.

소송에서는 유출 사실과 손해, 그 사이의 인과관계를 따져야 합니다. 예를 들어 특정 회사의 유출 공지 직후부터 스팸 전화와 문자가 급증했다는 사실을 통신 기록으로 보여 주는 식의 자료가 필요하므로, 피해를 의심한 날부터 기록을 모아 두는 것이 중요합니다. 유출 통지를 받았을 때의 구체적인 순서는 개인정보 유출 통지를 받았다면 먼저 해야 할 일에서 이어서 볼 수 있습니다.

AI 시대에 새로 생긴 권리

생성형 AI 챗봇에 고민을 털어놓고, 업무 문서를 요약시키고, 이미지 생성기에 얼굴 사진을 올리는 일이 흔해졌습니다. 이렇게 제공한 데이터는 모델 학습에 쓰일 수 있습니다. 얼굴 사진과 짧은 음성만으로 딥페이크를 만들 수도 있으니, AI 서비스의 데이터 활용 설정에서 학습 이용을 거부할 수 있다면 꺼 두는 편이 안전합니다.

법도 따라 바뀌고 있습니다. 개인정보 보호법 제37조의2는 완전히 자동화된 시스템이 내 권리나 의무에 중대한 영향을 미치는 결정을 내린 경우, 그 결정을 거부하거나 설명을 요구할 수 있는 권리를 정하고 있습니다. AI 신용평가로 대출이 자동 거절됐다면 판단의 주요 기준과 이유에 대한 설명을 요구할 수 있는 셈입니다. 다만 적용 범위와 예외가 있으므로 구체적인 요건은 조문과 감독기관 안내를 확인해야 합니다.

앱을 지우거나 쓰지 말자는 이야기가 아닙니다. 편리함을 얻는 대가로 무엇을 내주고 있는지 알고 고르자는 것입니다. 10분만 들여 설치된 앱의 권한 목록을 처음부터 끝까지 훑어보는 것으로 시작할 수 있습니다. 위치 정보가 쌓이는 앱의 보유기간과 삭제 요구 기준은 위치 기반 앱 동선 기록: 동의·보유기간·삭제 요구 기준에서 더 자세히 볼 수 있습니다.