앱이 내 데이터를 어디로 보내는지는 이미 공시돼 있습니다

앱을 새로 깔면 권한 요청 팝업이 차례로 뜹니다. 연락처에 접근하겠다, 사진에 접근하겠다, 위치를 쓰겠다. 손가락은 이미 허용을 누르고 있는데 머릿속에는 질문이 남습니다. 이 앱이 저 정보를 가져가서 어디로 보내는 걸까요.

이 질문을 검색하면 답은 대체로 하나로 모입니다. 권한을 끄라는 것입니다. 틀린 조언은 아니지만 절반만 답한 것이기도 합니다. 권한은 앱이 접근할 수 있는 가능성의 목록이고, 실제로 기기 밖으로 무엇을 내보내는지는 별개의 정보이기 때문입니다.

그리고 그 별개의 정보는 이미 스토어에 공시돼 있습니다. 트래픽을 뜯어보지 않아도 앱 상세 페이지에서 읽을 수 있습니다.

권한 목록과 데이터 공시는 서로 다른 것을 보여줍니다

구글 플레이 콘솔 고객센터 문서는 이 둘의 차이를 직접 설명합니다.

Google은 앱이 매니페스트에서 선언하는 설치 시간 권한을 기준으로 권한 목록에 관한 정보를 수집합니다. 데이터 보안 섹션에는 앱이 어떤 데이터를 수집하고 서드 파티와 공유하는지가 게시됩니다.

같은 문서의 다른 항목은 더 분명합니다. 앱에 권한이 들어 있어도 실제로 데이터를 수집하거나 공유하지 않는다면 수집을 선언할 필요가 없다고 적혀 있습니다. 권한이 켜져 있다는 사실만으로는 정보가 나갔다고 볼 수 없다는 뜻입니다.

여기서 '수집'이라는 낱말의 정의가 중요합니다. 구글은 수집을 "사용자 기기에서 앱의 데이터를 전송하는 것"으로 규정합니다. 애플도 같은 축을 씁니다. 애플 개발자 문서는 수집을 "실시간으로 요청을 처리하는 데 필요한 시간보다 길게 접근할 수 있는 방식으로 데이터를 기기 밖으로 전송하는 것"이라고 정의합니다.

두 회사 모두 기준점을 기기 경계를 넘었는가에 두고 있습니다. 권한 목록은 이 질문에 답하지 않습니다.

두 스토어는 애초에 같은 것을 묻지 않습니다

같은 앱을 안드로이드와 아이폰에서 각각 열어보면 표시가 서로 달라 보입니다. 앱이 두 개인 것이 아니라 분류 체계가 다른 것입니다.

항목	구글 플레이 '데이터 안전'	애플 '앱 개인정보 보호 정보'
기본 구분	수집 / 공유	추적에 사용 / 사용자에게 연결됨 / 연결되지 않음
필수·선택 표시	데이터 유형별로 표시 가능	별도 항목 없음
보안 관행 표시	전송 중 암호화, 삭제 요청 수단	개인정보 처리방침·개인정보 선택 링크
제3자 코드	SDK·라이브러리 수집분을 개발자가 선언	서드 파티 SDK 수집분을 개발자가 선언

구글 문서는 이 차이를 스스로 인정합니다. 데이터 보안 섹션의 분류와 체계가 다른 앱 스토어에서 쓰이는 것과 상당히 다를 수 있으므로, iOS에 제출한 정보를 그대로 재사용할 수 없다고 안내하고 있습니다.

특히 '공유'라는 칸은 구글에만 있습니다. 애플에는 대신 '추적(Tracking)'이라는 축이 있는데, 이는 광고나 광고 측정을 위해 다른 회사의 앱·웹에서 모은 데이터와 결합하거나 데이터 브로커에 넘기는 행위를 가리킵니다. 범위가 겹치기는 해도 같은 칸이 아닙니다.

'수집하지 않음'이 '아무것도 안 나간다'는 뜻은 아닙니다

공시를 처음 열어보면 의외로 깨끗한 앱이 많습니다. 그런데 구글 문서에는 수집·공유로 표시하지 않아도 되는 경우가 따로 나열돼 있습니다.

기기 내 처리: 앱이 접근했더라도 기기 안에서만 처리되고 밖으로 나가지 않았다면 공개 대상이 아닙니다.
종단간 암호화: 발신자와 수신자 외에는 개발자를 포함해 아무도 읽을 수 없는 경우 공개 대상이 아닙니다.
임시 처리: 실시간 요청을 처리할 동안 메모리에만 두고 저장하지 않는 경우입니다. 문서가 든 예시는 날씨 앱입니다. 현재 날씨를 받아오려고 위치를 보내지만 저장하지 않으면 임시 사용으로 봅니다. 다만 그 데이터로 광고 프로필을 만들면 임시가 아니라고 못 박고 있습니다.
서비스 제공업체 전송: 개발자를 대신해 데이터를 처리하는 업체로 보내는 것은 '공유'로 공개하지 않아도 됩니다. 이 밖에 법적 목적, 사용자가 시작한 작업, 완전히 익명처리된 데이터도 공유 표시에서 빠집니다.

애플 문서도 기기에서만 처리되는 데이터는 수집이 아니며, 요청을 처리한 뒤 보관하지 않는 인증 토큰이나 IP 주소도 공개 대상이 아니라고 적고 있습니다.

'선택사항' 표시에도 읽는 요령이 있습니다. 구글은 기기·지역과 관계없이 모든 사용자가 거부하거나 수락할 수 있을 때만 선택으로 선언할 수 있다고 규정합니다. 어떤 사용자에게든 수집이 이뤄진다면 선택사항으로 설명해서는 안 된다는 문장이 그대로 들어 있습니다. 그러니 '선택'이라고 적혀 있으면 그건 꽤 강한 진술입니다.

반대로 넓게 보이는 쪽으로 왜곡되는 경우도 있습니다. 데이터 보안 섹션은 패키지 이름당 하나뿐인 전 세계 공통 양식이라, 지역이나 앱 버전에 따라 관행이 달라도 하나로 합쳐 표시됩니다. 한국에서 쓰지 않는 기능 때문에 라벨이 커 보일 수 있다는 뜻입니다.

여기서 처음 세운 가설이 틀렸습니다

이 글을 준비하면서 잡았던 가설은 "권한을 하나하나 끄는 것보다 공시를 읽는 편이 빠르다"였습니다. 원문을 끝까지 읽고 나서 이 가설을 접었습니다. 구글 문서에 이런 문장이 있기 때문입니다.

Google의 검토 프로세스는 데이터 보안 선언의 정확성과 완전성을 확인하도록 설계되지 않았습니다.

공시는 구글이 검증한 사실이 아니라 개발자가 제출한 진술입니다. 애플도 같은 구조로, 답변을 정확하게 유지할 책임은 개발자에게 있다고 명시합니다.

실제로 어긋난 정도를 조사한 자료가 있습니다. 모질라 재단이 2023년 2월 23일 공개한 「See No Evil」 조사입니다. 구글 플레이의 인기 유료 앱 20개와 무료 앱 20개, 모두 40개의 개인정보 처리방침과 데이터 안전 공시를 나란히 놓고 대조했습니다. 결과는 이렇습니다.

등급	앱 수	비율
Poor (주요 항목이 어긋남)	16개	40%
Needs Improvement (중간)	15개	37.5%
OK (거의 일치)	6개	15%
양식 미작성	3개	7.5%

전체의 약 80%에서 공시와 처리방침 사이에 불일치가 발견됐습니다. 조사팀이 든 사례 중 하나는 당시 틱톡과 트위터의 공시가 개인정보를 제3자와 공유하지 않는다고 표시하고 있었으나, 두 앱의 개인정보 처리방침에는 광고주와 인터넷 서비스 제공자 등에 정보를 제공한다고 적혀 있었다는 것이었습니다.

그래서 읽는 방법이 바뀝니다. 공시 하나를 믿는 것이 아니라, 공시와 그 앱의 개인정보 처리방침을 나란히 놓고 어긋나는 지점을 찾는 것이 실제로 정보를 얻는 방법입니다. 두 문서가 서로 다르다는 사실 자체가 신호입니다.

그럼에도 공시를 읽을 값어치는 남습니다. 권한 목록은 아무것도 약속하지 않지만, 공시는 개발자를 묶어두는 진술이기 때문입니다. 구글은 개발자가 데이터를 허위로 진술한 것이 확인되면 시정을 요구하고, 규정을 준수하지 않는 앱에는 업데이트 차단이나 스토어 삭제 같은 조치가 적용된다고 밝히고 있습니다.

한국에는 공시 위에 법이 한 겹 더 있습니다

스토어 정책은 회사의 약관이지만, 국내에는 같은 문제를 직접 다루는 법 조항이 있습니다. 정보통신망 이용촉진 및 정보보호 등에 관한 법률 제22조의2(접근권한에 대한 동의)입니다. 2016년 3월 22일에 신설됐습니다.

② 정보통신서비스 제공자는 해당 서비스를 제공하기 위하여 반드시 필요하지 아니한 접근권한을 설정하는 데 이용자가 동의하지 아니한다는 이유로 이용자에게 해당 서비스의 제공을 거부하여서는 아니 된다.

제1항은 접근권한을 필수와 비필수로 나눠 알리도록 요구합니다. 필수라면 어떤 정보·기능에 왜 접근하는지를, 필수가 아니라면 거기에 더해 "동의하지 아니할 수 있다는 사실"까지 이용자가 명확하게 인지할 수 있게 알려야 합니다.

제2항을 어기고 서비스 제공을 거부하면 같은 법 제76조 제1항에 따라 3천만 원 이하의 과태료 대상이 됩니다. 제4항은 접근권한 설정이 제대로 이뤄졌는지 실태조사를 실시할 수 있도록 정하고 있습니다. 2025년 10월 1일 개정으로 이 조사 주체는 방송미디어통신위원회로 표기가 바뀌었습니다.

실무 기준도 공개돼 있습니다. 「스마트폰 앱 접근권한 개인정보보호 안내서」가 2017년 3월 24일 게시됐고, 이후 법 개정(2018년 6월 12일, 2020년 2월 4일)과 시행령 개정(2020년 8월 4일) 사항이 반영돼 갱신됐습니다.

정리하면 이렇습니다. 선택 권한을 거부해도 앱의 기본 기능은 돌아가는 것이 원칙입니다. 거부했더니 앱이 아예 열리지 않는다면, 그건 사용자가 뭘 잘못 누른 상황이 아니라 한 번 따져볼 만한 상태입니다.

공시와 실제가 어긋나 보일 때

읽다가 이상한 지점을 발견했을 때 갈 수 있는 곳은 세 군데입니다.

첫째는 한국인터넷진흥원이 운영하는 개인정보침해 신고센터입니다. 인터넷 접수는 privacy.kisa.or.kr에서 하고, 전화는 국번 없이 118입니다. 접수된 사항은 법규 위반 여부를 검토해 행정지도를 실시하고 결과를 신고자에게 통보하는 절차를 거칩니다.

둘째는 개인정보보호위원회입니다. 처분 권한이 여기에 있습니다. 위원회의 제재 사례가 어떻게 남는지, 그리고 그 처분이 개인에게 어떤 의미인지는 개인정보가 유출되면 얼마를 배상받나요에서 따로 다뤘습니다.

셋째는 스토어 자체 신고입니다. 공시가 실제 동작과 다르다는 것은 스토어 정책 위반이므로, 앱 상세 페이지의 신고 경로가 가장 짧습니다. 다만 앞서 본 대로 스토어의 검토 절차는 선언의 정확성을 검증하도록 설계돼 있지 않으니, 접수했다고 바로 확인이 이뤄진다고 기대하기는 어렵습니다.

세 경로의 온도차가 분명합니다. 법적 강제력은 두 번째가 가장 세고, 반응 속도는 세 번째가 빠르며, 문턱이 낮은 것은 첫 번째입니다.

그래서 순서를 이렇게 잡게 됩니다

처음 가설은 반만 맞았습니다. 공시를 읽는 것이 트래픽을 뜯어보는 것보다 빠른 건 사실이지만, 공시가 권한 설정을 대신해주지는 않습니다. 검증되지 않은 진술이기 때문입니다.

순서를 정리하면 이렇게 됩니다. 먼저 스토어 공시를 열어 수집과 공유 칸을 확인하고, 이상해 보이면 같은 페이지에 링크된 개인정보 처리방침과 대조합니다. 그다음 필수가 아닌 접근권한은 거부합니다. 법이 보장하는 쪽은 이 두 번째이고, 첫 번째는 무엇을 거부할지 정하기 위한 자료입니다. 권한 화면을 여는 구체적인 경로는 안드로이드 스마트폰 필수 설정 7가지에 정리해두었습니다.

지금 쓰는 폰에 깔린 앱이 대략 몇 개인지는 세어보신 적 있으실 텐데, 그중 스토어 공시를 한 번이라도 열어본 앱은 몇 개인가요?

함께 읽어보세요