앱의 위법·부당한 개인정보 수집·이용 판정 방법

「앱의 위법·부당한 개인정보 수집·이용 판정 방법」 발행에 관한 통지

공업정보화부 비〔2019〕191호

각 성·자치구·직할시 및 신장생산건설병단의 인터넷정보판공실, 전신관리국, 공안청(국), 시장감독관리국(청·위원회) 앞:

「앱의 위법·부당한 개인정보 수집·이용에 관한 특별 거버넌스 전개 공고」에 따라, 앱의 위법·부당한 개인정보 수집·이용 판정에 참고를 제공하고, 「사이버보안법」 같은 법률·법규를 시행하기 위하여, 중국 국가인터넷정보판공실(CAC), 공업정보화부(MIIT), 공안부(MPS), 국가시장감독관리총국(SAMR)이 공동으로 「앱의 위법·부당한 개인정보 수집·이용 판정 방법」을 제정하였습니다. 이제 이를 규제·집행 업무와 연계한 참고를 위해 귀 기관에 발행합니다.

앱의 위법·부당한 개인정보 수집·이용 판정 방법

「앱의 위법·부당한 개인정보 수집·이용에 관한 특별 거버넌스 전개 공고」에 따라, 감독·관리 부문이 앱의 위법·부당한 개인정보 수집·이용을 판정하는 데 참고를 제공하고, 앱 운영자에게 자체 점검·자체 시정·공중 감독을 위한 지침을 제공하며, 「사이버보안법」 같은 법률·법규를 시행하기 위하여, 본 방법을 제정한다.

1. 다음 행위는 “수집·이용 규칙 미공개”로 인정될 수 있다:

1. 앱에 개인정보 처리방침이 없거나, 처리방침이 개인정보 수집·이용 규칙을 포함하지 않는다.
2. 앱을 처음 실행할 때 팝업 창 같은 뚜렷한 수단으로 이용자에게 처리방침이나 그 밖의 수집·이용 규칙을 읽도록 안내하지 않는다.
3. 처리방침이나 그 밖의 수집·이용 규칙에 접근하기 어렵다. 예를 들어 앱의 메인 인터페이스에 진입한 후 접근하는 데 네 번 넘는 클릭이나 유사한 조작이 필요하다.
4. 처리방침이나 그 밖의 수집·이용 규칙이 읽기 어렵다. 예를 들어 글자가 작거나 빽빽하고, 색이 흐리며, 흐릿하거나, 간체자 버전이 없다.

2. 다음 행위는 “개인정보 수집·이용의 목적·방법·범위 미명시”로 인정될 수 있다:

1. 앱(위탁한 제3자 또는 임베드된 제3자 코드·플러그인 포함)의 개인정보 수집·이용의 목적·방법·범위를 나열하지 않는다.
2. 개인정보 수집·이용의 목적·방법·범위가 변경될 때, 이용자에게 적절한 방식으로 통지하지 않는다. 적절한 방식에는 처리방침이나 그 밖의 수집·이용 규칙의 갱신과 이용자에게 읽도록 안내하는 것이 포함된다.
3. 이용자의 신분증, 은행 계좌, 또는 이동 이력 같은 개인정보나 민감 개인정보를 수집할 권한을 신청할 때, 목적을 명확히 밝히지 않거나 이해하기 어렵다.
4. 수집·이용 규칙의 내용이 난해하고, 장황하며, 지나치게 복잡하여, 예를 들어 다량의 전문 용어를 사용함으로써 이용자가 이해하기 어렵다.

3. 다음 행위는 “이용자 동의 없는 개인정보 수집·이용”으로 인정될 수 있다:

1. 이용자의 동의를 얻기 전에 개인정보 수집을 개시하거나 개인정보 수집 권한을 부여한다.
2. 이용자가 명시적으로 반대를 표시한 후에도 개인정보 수집을 계속하거나 개인정보 수집 권한을 유지하거나, 이용자의 동의를 빈번히 구하거나, 이용자의 정상적 이용을 방해한다.
3. 이용자가 수권한 범위를 넘어 개인정보를 수집하거나 수집하게 한다.
4. 기본 선택이나 비명시적 방법을 사용하여 처리방침이나 그 밖의 수집·이용 규칙에 대한 이용자의 동의를 구한다.
5. 이용자의 동의 없이 개인정보 수집 권한 상태를 변경한다. 예를 들어 앱 업데이트 중 이용자의 권한 설정을 자동으로 기본값으로 되돌린다.
6. 비(非)타깃 알림 옵션을 제공하지 않고 이용자의 개인정보와 알고리즘을 이용하여 타깃 푸시 알림을 한다.
7. 사기나 기만 수단을 통하여 — 예를 들어 개인정보 수집·이용의 진짜 목적을 고의로 오도하거나 은폐하여 — 이용자가 개인정보 수집에 동의하거나 수집 권한을 부여하도록 오도한다.
8. 이용자에게 개인정보 수집 동의를 철회할 방법을 제공하지 않는다.
9. 선언한 개인정보 수집·이용 규칙을 위반한다.

4. 다음 행위는 “제공하는 서비스와 무관한 개인정보를 수집하여 필요성 원칙을 위반하는 것”으로 인정될 수 있다:

1. 기존 업무 기능과 무관한 유형의 개인정보를 수집하거나 개인정보 수집 권한을 부여한다.
2. 이용자가 비필수 개인정보 수집이나 비필수 권한 부여에 동의하기를 거부한다는 이유로 업무 기능 제공을 거부한다.
3. 앱의 새로운 업무 기능을 위해 이용자가 원래 동의한 범위를 넘어 개인정보를 수집한다. 새 업무 기능이 원래 것을 대체하고 이용자가 동의를 거부하는 경우에는 적용하지 않는다.
4. 업무 기능을 위해 개인정보를 과도하게 수집한다.
5. 서비스 품질 향상, 사용자 경험 개선, 타깃 푸시 알림, 또는 신제품 개발 같은 이유로 이용자에게 개인정보 수집에 동의하도록 강요한다.
6. 이용자에게 개인정보를 수집할 여러 권한을 한 번에 열도록 동의할 것을 요구하고, 동의 없이는 앱을 이용할 수 없게 한다.

5. 다음 행위는 “동의 없이 개인정보를 타인에게 제공하는 것”으로 인정될 수 있다:

1. 이용자의 동의 없이 익명화하지 않고 앱 클라이언트가 제3자에게 직접 개인정보를 제공한다. 클라이언트에 임베드된 제3자 코드·플러그인을 통한 경우를 포함한다.
2. 데이터가 앱의 백엔드 서버로 전송된 후, 이용자의 동의 없이 익명화하지 않고 수집한 개인정보를 제3자에게 제공한다.
3. 제3자 애플리케이션을 앱에 통합하고 이용자의 동의 없이 제3자 애플리케이션에 개인정보를 제공한다.

6. 다음 행위는 “법이 요구하는 개인정보 삭제·정정 옵션 미제공” 또는 “불만·신고 방법 미공개”로 인정될 수 있다:

1. 개인정보를 정정·삭제하거나 이용자 계정을 말소하는 효과적 기능을 제공하지 않는다.
2. 개인정보를 정정·삭제하거나 이용자 계정을 말소하는 데 불필요하거나 불합리한 조건을 설정한다.
3. 개인정보를 정정·삭제하거나 이용자 계정을 말소하는 기능이 제공되더라도, 수작업 처리가 필요한 이용자 조작에 신속히 응답하지 않고, 약속한 기한 내에 확인·처리를 완료하지 않는다(약속한 기한은 15 영업일을 초과할 수 없고, 약속한 기한이 없으면 15 영업일로 제한한다).
4. 개인정보 정정·삭제 또는 계정 말소가 완료되었으나 앱 백엔드가 이를 완료하지 않았다.
5. 개인정보 보안 불만·신고 채널을 수립·공개하지 않거나 약속한 기한 내에 불만·신고를 접수·처리하지 않는다(약속한 기한은 15 영업일을 초과할 수 없고, 약속한 기한이 없으면 15 영업일로 제한한다).

21YunBox의 강점

원문서는 중국어로 작성되었습니다. 저희는 편의를 위해 이 영어 번역을 제공했습니다. 다만, 이 번역은 법에 대한 신속한 이해를 위한 것이며 귀하 자신의 판단과 책임 하에 이용하셔야 함에 유의하십시오.

저희 팀의 추가 지원이 필요하시면, 주저 말고 연락해(영어) 주십시오. 저희 전문가가 중국에서 귀사 앱의 유통을 원활히 하는 복잡함을 헤쳐 나가도록 안내하겠습니다!