단말기 정보수집, 어디까지 허용되나?

국제모바일단말기인증번호(IMEI)나 USIM 시리얼번호(ICCID) 같은 단말기 정보는 개인정보에 해당될까? 페이스북의 위치 정보 서비스(플레이스)는 현행 법에 저촉되지 않을까?

인터넷 서비스가 전 세계적인 규모로 확대되고 스마트폰이 생활 깊숙이 파고들면서 불법 여부를 판단하기 힘든 상황이 늘고 있다. 현행 통신비밀보호법이나 정보통신망법만으로는 제대로 규정하기 힘든 사례들이 속출하고 있는 것이다.

특히 서울중앙지검 첨단범죄수사2부가 지난 30일 사용자 휴대폰 정보 불법 수집 혐의로 증권경제 전문방송 토마토TV를 압수수색하면서 이 같은 논란은 더욱 커지고 있다.

이에 따라 방송통신위원회는 단말 정보를 수집하는 스마트폰 앱이나 쇼셜네트워크서비스(SNS)의 위치정보 공유 기능 등에 대한 가이드라인을 만들기로 했다. 9월 중 전담반(TFT)을 구성한 뒤 ▲수집되는 정보를 관련 법상의 개인정보로 볼 수 있는 지 ▲수집시 지켜야 할 것은 뭔 지 등을 규명한다는 계획이다.

◆토마토TV 수집 정보로는 휴대폰 복제 불가능

토마토TV를 운영하는 (주)이토마토는 안드로이드용으로 개발한 증권관련 실시간 정보제공 앱인 '증권통'을 서비스하면서 IMEI와 USIM 시리얼번호를 수집했다.

IMEI는 3G 방식에서 단말기가 어느 제조사의 어느 모델인지를 알아볼 수 있는 고유 번호이며, USIM 시리얼 번호는 칩 외부에 표시돼 있는 정보다. 이는 USIM에 내장돼 통신사가 가입자 개인을 식별하는 데 사용하는 IMSI(국제 모바일 가입자 인증번호)와는 다르다.

이토마토 측은 "이런 정보를 가져간 것은 회원 가입이나 로그인 절차를 생략해 간편하게 정보를 제공하기 위한 것"이라면서 "휴대폰 번호와 주민번호 등 더 많은 개인정보를 받지 않고 사용자 식별을 위해서는 불가피했다"고 말했다.

통신업체 전문가는 "IMEI와 USIM 시리얼번호만으로는 휴대폰 복제가 불가능하다"면서 "현재 기술로는 IMSI 같은 USIM 내부의 정보들을 알아야 복제할 수 있다"고 말했다.

단말기의 IMEI나 IMSI, USIM 시리얼 넘버 등을 수집하는 스마트폰 앱은 '증권통'외에도 네이트온, 멜론, 전국버스정보 등 다수가 있는 것으로 전해졌다.

◆개인식별은 가능...방통위, 단말정보 수집 가이드라인 만들 것

휴대폰 복제는 불가능하지만 이토마토가 수집해 간 IMEI와 USIM시리얼 넘버를 조합하면 개인식별은 할 수 있다. 그 자체로는 식별이 불가능하지만, 이를 합치면 사용자가 누군 지 알 수 있는 것이다.

방통위 오상진 개인정보보호윤리과장은 "IMEI와 USIM시리얼 넘버 자체를 개인정보로 보기는 어렵지만, 둘을 조합하면 식별이 가능하다면 수집시 사전동의를 받는 게 맞다"면서 "이토마토가 수집할때 어떤 방식으로 사전동의를 받았는 지에 대한 부분은 살펴볼 필요가 있다"고 말했다.

이와 관련, 방통위는 수개월동안 전담반을 만들어 '온라인 행태정보의 보호 및 이용에 관한 가이드라인안'을 만들었다.

행태정보란 웹 페이지 방문이나 검색, 열람, 구매기록 등에 관한 정보를 말하는데, 방통위는 이를 ▲ 그 자체로 개인 식별이 가능하거나 해당 사업자가 가진 정보와 결합해 개인식별이 가능한 경우(식별형 행태정보)와 ▲아예 식별이 불가능한 정보(비식별형 행태정보)로 나눴다.

그 뒤 식별형 행태정보의 경우 수집시 사전동의(옵트인)를 받도록 했으며, 비식별형의 경우 사후적으로 거부할 수 있게(옵트아웃)했다.

비슷한 기준을 적용한다면 '증권통' 등 단말정보 수집 앱들도 식별형 정보로 분류돼 수집시 사전동의를 받아야 할 가능성이 크다.

그럴 경우 동의 내용이 논란이 될 전망이다.

현재 '증권'통은 안드로이드 마켓에서 내려받아 설치할 때 사용자에게 '전화상태읽기', '전화ID읽기'를 한다고 고지하는데, 'IMEI'와 'USIM시리얼넘버'를 수집한다고 명시해 고지해야 할 수도 있기 때문이다. 우리나라의 정보통신망법은 OECD 개인정보보호 6원칙에 따라 명시적이고 구체적인 동의를 의무화하고 있기 때문이다.

오상진 과장은 "이토마토가 수집해 간 정보 자체 보다는 사용자 동의절차 및 내용이 적합한 가가 이슈화될 수 있지만, 단말 정보 부분은 가이드라인이 아직 없다"면서 "(비슷한 기업이 발견되면) 법 위반으로 처벌하기 보다는 계도 중이며, 9월 중 전담반을 만들어 단말 정보와 쇼셜네트워크서비스의 개인식별 정보 수집 및 공유 문제를 다룰 것"이라고 밝혔다.

김현아 기자의 다른 기사 보기