국내 모바일 앱 이용자 정보 수집 현황 및 법적 쟁점 - ADID를 중심으로 -

Abstract

본 연구는 국내 모바일 앱을 통한 이용자 정보 수집 및 트래킹 현황을 실증적으로 조사하였다. 조사 결과, 분석 대상 유·무료 앱 886개 중 92.6%인 820개 앱이 광고 식별자(ADID) 정보를 서버로 전송하고 있음을 확인하였다. 이는 국내 모바일 앱 생태계에서 광고 식별자를 통한 광범위한 이용자 트래킹이 이루어지고 있을 가능성을 시사한다. 또한, 본 연구는 모바일 앱을 통해 수집되는 이용자 정보가 소수의 사업자로 집중되고 있음을 발견하였다. 나아가 샘플링 조사 결과 이용자에 관한 정보들이 광고 식별자 정보와 함께 수집되고 있음을 확인하였다. 본 연구는 위와 같은 실증 조사를 기반으로 하여 국내에서 광고 식별자에 의한 프라이버시 침해 위협이 실질적으로 발생할 가능성이 있는지, 만약 있다면 어떤 위험이 존재하는지 살펴보았다. 하지만 잠재적 프라이버시 위협 가능성에도 불구하고, 국내에서는 광고 식별자 정보 수집과 이용자 트래킹에 관한 명확한 법적 규율이 존재하지 않는 상황이다. 특히 현행 개인정보 보호법의 적용 여부가 불명확하고, 가명정보 등과 관련된 법 해석 상 여러 난점이 존재하기도 한다. 본 연구의 주요 발견 사항은 앞으로 광고 식별자에 관한 적절한 규율 방안을 모색하기 위한 논의의 토대로서, 향후 적절한 대응 방안에 관한 구체적 논의를 촉발하는데 기여할 수 있을 것으로 기대된다.

We empirically examined the status of user information collection and user tracking across the mobile apps widely used in Korea. According to our investigation, 820 apps, or 92.6% of 886 apps analyzed, are transmitting advertising identifiers (ADID) to several server domains. This finding suggests the possibility of extensive user tracking through advertising identifiers in the mobile app ecosystem. In addition, we found that user information collected through mobile apps is concentrated on a small number of overseas operators. Furthermore, the sampling survey confirmed that information about users is being collected along with advertising identifiers. Based on the results of such empirical investigation, this study considered whether such practice of collecting advertising identifiers is likely to impose substantial privacy threat and if any, what risks exist. Despite potential privacy threats, however, there is no clear legal regulatory regime in Korea concerning the collection of advertising identifier information and user tracking. In particular, it is unclear whether the current Personal Information Protection Act could be applied to this matter, and there are several difficulties in interpreting laws related to pseudonymized information. The findings of this study are expected to serve as the basis for further discussions to explore appropriate regulation on advertising identifiers and will contribute to triggering discussions on this subject.