온라인 심리테스트 개인정보: 로그인·얼굴·성향정보 어디까지 수집될까

여행 취향을 고르는 테스트인데 결과를 보려면 전화번호와 얼굴사진까지 요구한다면, 입력을 마치기 전에 정보가 어디에 쓰이는지 살펴볼 필요가 있습니다. 온라인 심리테스트의 개인정보 범위는 화면에 직접 적은 답변과 일치하지 않을 수 있습니다. 로그인으로 받은 계정 정보, 접속 기록, 업로드한 사진이 함께 저장되는지는 서비스마다 다릅니다.

입력한 정보가 흘러가는 길은 크게 네 갈래입니다.

• 테스트 운영업체의 서버에 저장되는 경우
• 동의를 받아 광고회사 등 다른 회사에 제공되는 경우
• 서버 보관·문자 발송을 맡은 업체에 처리가 위탁되는 경우
• 해외 서버나 국외 업체로 이전되는 경우

어느 길로 가는지는 개인정보 처리방침과 동의 화면에 적혀 있어야 합니다. 그래서 결과 버튼을 누르기 전 몇 분이 가장 확실한 확인 시점입니다.

무료라는 이유만으로 불법 수집을 의심할 필요는 없습니다. 반대로 유명한 SNS의 로그인 버튼을 썼다는 이유만으로 테스트 운영자의 저장·광고 이용까지 그 SNS가 보증한다고 볼 수도 없습니다. 확인할 대상은 테스트를 운영하는 업체와 실제 권한·동의 화면입니다.

결과 확인 전에 운영자와 수집 목적부터 찾으세요

개인정보 보호법 제15조는 동의 외에도 계약 이행 등 수집·이용의 근거를 정합니다. 따라서 모든 처리가 반드시 동의 하나로만 이루어지는 것은 아닙니다. 다만 동의를 근거로 수집한다면 수집항목, 이용목적, 보유기간과 동의 거부에 관한 설명을 확인할 수 있어야 합니다.

확인할 곳	확인할 내용	설명이 부족할 때 물을 질문
개인정보 처리방침	운영자와 문의 창구	내 답변과 사진을 관리하는 회사는 어디인가요?
로그인·입력 화면	실제 제공하거나 입력하는 항목	결과를 보는 데 전화번호까지 필요한 이유가 있나요?
이용목적 안내	결과 제공, 광고, 통계, 모델 개선	테스트 답변을 광고나 AI 학습에도 쓰나요?
보유기간 안내	정보별 저장기간과 파기 조건	사진 원본과 결과를 각각 언제 지우나요?
외부 업체 안내	제공받는 자, 수탁자, 국외 이전	누가 어느 목적으로 정보를 처리하나요?

화면을 확인해도 운영 주체나 삭제 요청 창구를 찾을 수 없다면 입력을 멈추는 편이 낫습니다. 문제가 생긴 뒤 상대방을 찾는 것보다 처음에 확인하는 것이 수월합니다.

이름을 쓰지 않았어도 완전히 익명인 것은 아닙니다

직접 입력하는 정보에는 별명·나이·지역뿐 아니라 직업, 소득, 연애 상태, 건강에 관한 답변이 들어갈 수 있습니다. 사진이나 목소리를 올리는 테스트라면 원본 파일과 분석 결과의 저장 여부도 따로 보아야 합니다.

직접 입력하지 않은 접속시각, IP 주소, 브라우저·기기 정보, 쿠키나 계정 식별값도 서비스 구성에 따라 처리될 수 있습니다. 여기서 중요한 것은 이런 항목이 모두 항상 수집된다는 뜻이 아니라, 내가 입력한 칸만 보고 전체 수집범위를 판단해서는 안 된다는 것입니다. 계정이나 다른 정보와 결합해 개인을 알아볼 수 있는지도 살펴야 합니다.

예를 들어 이름 없이 답변했더라도 같은 기록에 가입 이메일이 연결되어 있다면, 운영자 입장에서는 누구의 결과인지 알아볼 수 있습니다. 이 예시는 특정 업체의 실제 수집 방식을 확인한 사례가 아니라 익명성 판단을 설명하기 위한 가정입니다.

선택 동의를 거절하면 결과도 볼 수 없다고 할 때

개인정보 보호법 제16조는 목적에 필요한 최소한의 수집을 원칙으로 합니다. 여행 취향을 분류하는 데 정확한 주소나 주소록 전체가 왜 필요한지 설명이 없다면, 필수 항목으로 묶인 이유를 확인해 보세요. 결과 제공과 광고문자 발송은 목적이 같지 않습니다.

동의 화면에서는 ‘전체 동의’만 누르지 말고 개별 항목을 펼쳐 보는 것이 좋습니다. 필수·선택 표시, 거부했을 때 이용할 수 없는 기능, 광고 수신 여부를 나눠 확인합니다. 필요 이상의 정보 제공을 거부했다는 이유로 서비스를 거절하는 문제와, 해당 기능을 수행하는 데 실제로 필요한 정보가 없는 문제는 구분해야 합니다.

개인정보 보호법 제22조는 동의 사항을 구분해 알리고 각각 동의를 받게 합니다. 선택 항목에 동의하지 않았다는 이유로 재화나 서비스 제공을 거부하지도 못하게 합니다. 예를 들어 마케팅 문자 수신이나 맞춤형 광고 활용을 거절했더니 테스트 결과 자체를 보여주지 않는다면, 그 항목이 왜 필수인지 운영자에게 설명을 요구할 수 있습니다.

간편로그인 해제와 업체 데이터 삭제는 별개입니다

SNS 간편로그인이 친구 목록이나 게시물 전체를 자동으로 넘기는 것은 아닙니다. 어떤 정보와 기능에 접근할 수 있는지는 해당 서비스가 요청하고 실제 허용된 권한에 따라 달라집니다. 버튼에 적힌 브랜드명보다 이어지는 권한 화면을 확인하세요.

테스트 이용을 마친 뒤에는 계정의 연결된 앱 목록에서 더 이상 쓰지 않는 연결을 해제할 수 있습니다. 하지만 연결 해제만으로 업체가 이미 받아 저장한 답변·사진까지 삭제됐다고 단정해서는 안 됩니다. 테스트 사이트의 회원탈퇴, 개인정보 삭제 요청, 광고 수신동의 철회가 각각 필요한지 확인해야 합니다.

가령 연결된 앱 목록에서는 테스트가 사라졌는데 예전에 받은 결과 링크가 계속 열린다면, 그 결과의 공개 중단과 저장정보 삭제를 운영자에게 별도로 요청할 수 있습니다. 공유 링크가 열린다는 사실과 계정 접근권한이 남아 있다는 사실도 같은 문제는 아닙니다.

얼굴사진·건강 답변은 어떤 목적으로 처리하는지 보세요

얼굴사진을 올렸다는 사실만으로 모든 처리가 법률상 민감정보 처리에 해당하는 것은 아닙니다. 다만 개인을 고유하게 식별하기 위해 신체적 특징 등을 기술적으로 처리해 만든 정보는 개인정보 보호법 시행령 제18조의 기준을 확인해야 합니다. 건강·정치적 견해·성생활 등은 법 제23조가 보호하는 민감정보에 해당할 수 있습니다.

단순히 ‘밝은 성격’ 같은 결과를 붙이는 서비스인지, 건강에 관한 답변을 계정과 연결해 보관하는 서비스인지에 따라 살펴볼 내용이 달라집니다. 민감정보를 동의에 근거해 처리한다면 다른 개인정보 처리와 구분된 동의가 필요합니다. 법령이 처리를 요구하거나 허용하는 경우 등 예외도 있으므로 사진 한 장만 보고 적법·위법을 단정하지는 마세요.

사진을 올리기 전에는 원본 저장 여부, 분석 후 파기 시점, 모델 개선에 사용하는지, 결과 이미지에 얼굴이 공개되는지를 확인합니다. 친구나 자녀의 사진을 대신 올릴 때는 본인이 계정 주인이라는 이유만으로 사진 속 사람의 권리 문제까지 해결된다고 생각하지 않는 것이 좋습니다.

광고회사 제공·서버 위탁·국외 이전을 나눠 보세요

결과를 보여주려고 받은 정보를 나중에 다른 목적으로 쓰는 것도 따로 따져야 합니다. 제18조는 동의받은 목적 등 허용된 범위를 넘어 개인정보를 이용하거나 제3자에게 제공하는 것을 원칙적으로 금지합니다. 결과 확인에만 동의했는데 얼마 뒤 낯선 광고 문자가 온다면 이 조항을 근거로 수집 경위를 물어볼 수 있습니다.

업체가 다른 광고회사에 정보를 넘기고 그 회사가 자기 목적으로 활용한다면 개인정보 보호법 제17조의 제3자 제공 기준을 검토합니다. 동의를 받는 경우 제공받는 자, 목적, 항목, 보유기간과 거부에 관한 안내가 있어야 합니다. ‘제휴사’라는 말만 보인다면 구체적인 상대방을 확인하세요.

서버 보관이나 메일 발송을 다른 업체가 맡는 경우는 제26조의 처리위탁일 수 있습니다. 외부 업체를 쓴다는 이유만으로 모두 정보 판매라고 볼 수는 없지만, 위탁업무와 수탁자 공개, 목적 외 이용 제한과 관리 책임을 확인해야 합니다. 분석도구 역시 이름만 보고 위탁인지 독립적인 제공인지 판단하기보다 실제 계약과 이용목적을 보아야 합니다.

해외 서버에 보관하거나 국외 업체가 조회하는 구조라면 제28조의8의 국외 이전 요건도 별도로 살펴야 합니다. 별도 동의 외의 법정 근거가 인정되는 경우도 있으므로 ‘해외 서버면 무조건 불법’ 또는 ‘처리방침에 쓰면 전부 가능’이라는 설명은 둘 다 피해야 합니다.

결과를 공유하기 전에는 미리보기를 확인하세요

공유 이미지에 이름·프로필 사진·지역·답변 내용이 함께 들어가는지 확인합니다. 결과 이미지에서는 이름을 가렸더라도 링크를 열면 원래 결과 페이지가 보일 수 있습니다. 링크를 아는 사람이 열람할 수 있는지, 계정 로그인 없이도 보이는지 등 공개범위를 확인하고 필요한 경우 결과 페이지 자체를 비공개로 바꾸세요.

다른 사람이 캡처한 이미지와 원본 결과 페이지는 삭제 경로가 다를 수 있습니다. 개인정보가 노출된 상황이라면 원본 주소, 공개된 화면, 확인한 시각을 개인적으로 보관하되, 삭제를 요청하려고 공개 게시판에 같은 사진이나 답변을 다시 올리는 것은 피하는 편이 좋습니다.

이미 참여했다면 이렇게 요청할 수 있습니다

우선 동의 화면, 처리방침, 사용한 계정과 테스트 참여일을 확인합니다. 이어 법 제35조에 따른 열람, 제36조의 정정·삭제, 제37조의 처리정지·동의 철회를 필요에 맞게 요청할 수 있습니다. 다음은 요청 취지를 정리하는 예시이지 정해진 법정 서식은 아닙니다.

[참여일]에 [테스트명]을 이용했습니다. 제 계정과 연결해 보유 중인 개인정보의 항목, 처리 목적과 제3자 제공 현황의 열람을 요청합니다. 더 이상 이용하지 않는 테스트 답변·업로드 사진은 삭제하고, 공개된 결과 링크의 공개도 중단해 주세요. 광고 목적 처리에 대한 동의를 철회합니다. 법령에 따라 보관해야 하는 정보가 있다면 해당 항목, 보관 근거와 기간을 구분하여 답변해 주세요.

보유기간이 끝났거나 처리 목적을 달성해 더 필요 없게 된 정보는 제21조에 따라 지체 없이 파기해야 합니다. 다른 법령에 따라 보존해야 하는 경우는 예외입니다. 처리방침에 적힌 보유기간이 지났는데도 예전 결과가 그대로 남아 있다면 파기 여부를 함께 물어보세요.

가입 계정 확인에 필요한 범위를 넘어 신분증 원본이나 새로운 얼굴사진부터 보내지는 마세요. 본인 확인이 필요하다는 답변을 받으면 요구 항목과 이유, 제출 방법을 먼저 확인합니다. 삭제 요구에는 다른 법령에 따른 제한이 있을 수 있으므로, 업체의 거절 자체만으로 위법이라고 판단하지 말고 구체적인 사유를 받아 두는 것이 좋습니다.

답변이 없거나 설명과 다른 제공·노출 정황이 있다면 요청 기록과 업체 답변을 모아 개인정보포털의 권리행사·침해신고·분쟁조정 안내를 확인하세요. 단순히 테스트에 참여했다는 사실만으로 유출이 확정되는 것은 아닙니다. 무엇을 입력했고, 어떤 권한을 허용했으며, 지금 무엇이 공개되어 있는지를 나누어 정리하는 것이 대응의 출발점입니다.