정부 1억들여 웹사이트에 개인정보 '신호등'...업계는 "실효성 없다"

한국인터넷진흥원(KISA)이 입찰 제안요청서에 첨부한 '개인정보 보호 수준 알리미(신호등 표시제)' 예시 그림. /사진=KISA

정부가 국내 웹사이트의 개인정보 보호 수준을 '신호등'처럼 빨강·노랑·초록색 알림으로 시각화해 보여주는 서비스를 추진하고 나섰다. 그러자 국내 인터넷 업계에서 우려의 목소리가 쏟아진다.

복잡한 개인정보 처리 방침이나 웹사이트별 보안 수준을 일반인도 한 눈에 알기쉽게 제공하겠다는 취지이지만, 정부가 나서 특정 민간 웹사이트를 '위험한 웹페이지'로 '낙인' 찍을 가능성이 있는 등 개인정보 보호 강화에 근본적인 해결책이 되지 못한다는 지적이다.


28일 인터넷 업계에 따르면 한국인터넷진흥원(KISA)은 최근 '개인정보보호 수준 알리미 프로토타입 개발'에 대한 제한경쟁입찰을 공고했다. 오는 5월3일까지 입찰자를 모집하고 제안서 평가를 시작한다. 프로토타입(시제품) 개발에만 예산 9500만원이 들어간다.
일명 '신호등 표시제'…어떻게 '빨간불·파란불' 띄우나이 사업은 개인정보보호위원회가 올해 초 공개한 연간 업무 계획에서 '개인정보 보호 신호등 표시제'라는 이름으로 발표한 사업이다. 개인정보 보호 수준을 판단하기 위한 항목을 나누고 항목별로 초록불(양호), 노란불(주의), 빨간불(위험) 등의 아이콘을 띄우도록 기획됐다.

개인정보위는 연말까지 시제품 개발을 완료하고 이를 연내 시범 적용할 계획이다. 내년에는 기계학습 등 인공지능(AI) 알고리즘을 추가 적용한 본제품을 개발할 계획이다.

입찰 공고에 따르면 알리미 시제품은 구글의 크롬과 마이크로소프트(MS)의 MS엣지 등 이용률이 높은 두 종류의 웹브라우저의 확장 애플리케이션 방식으로 개발된다.


이용자가 이를 브라우저에 설치하면, 방문한 모든 국내 웹사이트의 △암호화(https) 적용 여부 △피싱사이트 여부 △개인정보보호 인증 획득 여부 △민감정보 수집 여부 △사이트가 수집하는 개인정보 종류 △주민등록번호 수집 여부 △개인정보 처리방침 공개 여부 △필수 고지 개인정보 처리 방침 항목 누락 여부 △쿠키(방문한 웹사이트에서 생성되는 사용자 정보) 수집 여부와 개수 등 세부 항목에 대해 신호등 알림을 띄우는 방식이다.

사이트별로 개인정보 처리 방침을 정리한 문안(텍스트)과 암호화 여부, 쿠키 정보 등에 대한 로그(기록)를 웹크롤링(웹 콘텐츠 자동 수집) 방식으로 수집하는 것으로 전해졌다. 수집한 정보를 데이터베이스(DB)로 만들고 이를 개인정보보호 당국이 정한 기준 DB와 비교해 '빨강·노랑·초록'으로 라벨링하는 방식이다.

이용자가 URL 주소에 방문할 때마다 크롤링이 이뤄지는 방식이 논의 중인데 이 경우 개인정보 처리 방침이나 보호 수준이 변경되면 바로 새로운 알림이 적용될 수 있다는 설명이다.

한국인터넷진흥원(KISA)이 입찰 제안요청서에 첨부한 '개인정보 보호 수준 알리미(신호등 표시제)' 시스템 개요도./사진=KISA

업계 "오히려 정부가 인터넷 이용행태 감시 우려도"이에대해 인터넷 업계에서는 민간 웹사이트에 대해 낙인효과나 과도한 불안감을 초래하는 것은 물론 정부에의한 감시 우려가 제기되는 등 부정적 반응이 적지않다.

당장 브라우저 확장 애플리케이션으로 개발되는 만큼 이용자들이 적극적으로 설치하지 않으면 아무리 예산을 들여도 무용지물이라는 지적이 나온다. 실제 최근 사용자들은 웹서핑시 속도저하 등 부담을 주는 브라우저 익스탠션 프로그램을 최소화하려하는데 그런 추세에도 반한다는 것. 게다가 외국계 웹사이트나 브라우저를 사용하지 않고 모바일 앱으로만 제공될 경우 자칫 역차별만 부를 수 있다는 비판도 있다.

인터넷업계 한 관계자는 "이용자에게 별다른 대안 없이 단편적인 정보만 제공해 인터넷 이용시 불안감만 높이는 제도가 될 것"이라며 "대표적인 탁상행정"이라고 말했다.

일반 국민의 인터넷 이용 행태가 감시 당할 여지도 있다는 지적도 있다. 익명을 요구한 한 국내 인터넷 업체의 정보보호담당자는 "알리미가 웹 방문 로그가 생길 때마다 매번 크롤링을 할 텐데 '빅브라더' 같은 존재가 누군가의 인터넷 방문 기록을 실시간으로 파악할 수 있다는 얘기가 된다"며 "당국이 이를 어떻게 보완할지 몰라도 위험한 발상"이라고 지적했다.

민간 웹사이트마다 개인정보 취급여부나 범위, 수준이 제각각 인데 이를 천편일률적으로 판단해 자칫 낙인을 찍을 수 있다는 지적도 있다. IT 전문작가 최필식씨(필명 '칫솔')는 "웹사이트마다 개인정보를 취급하지 않는 곳도 적지 않고 이 때문에 굳이 HTTPS를 적용하지 않는 웹사이트도 많다"며 "일률적 잣대로 웹사이트 위험도를 알리는 '신호등 표시제'가 오히려 단편적인 정보로 다양한 웹사이트에 잘못된 '낙인'을 찍을 수 있다"고 말했다.

이에대해 개인정보위 관계자는 "브라우저 확장 방식에 대한 고민은 당국에서도 했는데 오히려 이 방식이 실제 이용자 트래픽을 일일이 모니터링할 우려가 적다고 판단한 것"이라며 "활동 로그를 수집하려는 것은 아니다"라고 말했다.