제2025-003-011호

안건번호 : 제2025-003-011호
안건명 : 소셜로그인 분야 개인정보 보호조치 개선권고에 관한 건
신청인 : Apple Distribution International Limited대표자 Gary Davis
의결연월일 : 2025. 2. 12.

1. 피심인에 대하여 개인정보 보호법
제61조제2항에 따라 다음과 같이 개선을 권고한다.
가. 피심인은 이용사업자가 소셜탈퇴 및 연동해지 알림을 수신하는 기능(Callback API)의 등록률을 높일 방안을 강구해야 한다.
나. 피심인은 토큰폐기 기능과 관련하여 개발자 가인드라인 내 “Revoke tokens”란 용어를 이용사업자가 해당 기능을 명확히 사용할 수 있도록 “Token Revocation(토큰폐기)*”라는 이름으로 안내해야 한다.
* OAuth 2.0 관련 공식 문서(RFC7009) 내 표준 용어
다. 피심인은 가.부터 나.까지의 개선권고에 따른 개선조치를 이행하고, 개선권고 통지를 받은 날로부터 180일 이내에 조치결과를 제출하여야 한다.

Ⅰ. 기초 사실

피심인은 소셜로그인 서비스*를 제공하는 「개인정보 보호법(각주:법률 제19234호, 2023. 3. 14. 일부개정, 2024. 3. 15. 시행) (이하 '보호법’이라 한다)에 따른 개인정보처리자이며, 피심인의 일반현황은 다음과 같다.

* 포털ㆍSNS 계정의 회원정보를 다른 웹ㆍ앱에 연동하여 손쉽게 로그인하는 방식
<img src="/LSW/flDownload.do?flSeq=150223629" alt="1번째 이미지"></img>
Ⅱ. 실태점검 결과

1. 점검 배경

개인정보보호위원회는 전통적 회원가입 절차를 대부분 대체하고 있는 소셜로그인 서비스에 보안 문제* 및 개인정보 파기 절차** 등 점검이 필요하여 피심인의 개인정보 취급ㆍ운영 실태를 점검(’24.4.23.～'24.9.30.)하였으며, 다음과 같은 사실을 확인하였다.

*

**

2. 행위 사실

가. 개인정보 제공현황

피심인은 소셜로그인 서비스(Sign In With Apple, SIWA)를 운영하는 과정에서 이용자의 동의를 받아 이용자의 개인정보를 이용사업자에게 제공하고 있다.
<img src="/LSW/flDownload.do?flSeq=150223631" alt="2번째 이미지"></img>
나. 소셜로그인 서비스 개요

소셜로그인이란 포털ㆍSNS 계정의 회원정보를 다른 웹사이트나 모바일앱에 연동하여 손쉽게 로그인하는 방식으로, 이용자 관점에서 포털ㆍSNS 계정(이하 '소셜계정’이라 한다)의 아이디ㆍ비밀번호를 비롯한 계정정보만 관리하면 되며 소셜계정으로 로그인하는 다른 웹사이트(이하 '웹’이라 한다)ㆍ애플리케이션(이하 '앱’이라 한다) 서비스에서 별도로 비밀번호 등을 기억할 필요가 없다는 편의성이 특징이다.

이용자가 이용사업자를 거치지 않고 소셜로그인사업자의 로그인 창에서 로그인을 하면 소셜로그인사업자는 이용자에게 개인정보 제3자 제공 동의를 받고, 이용자가 동의를 하였다면 이용사업자의 웹ㆍ앱에 접속이 되는 동시에 이용자의 개인정보를 이용사업자에게 제공한다.(이용사업자가 제공받기로 미리 정한 정보 전달)

3. 개인정보의 취급ㆍ운영 관련 사실관계

가. 소셜탈퇴 및 연동해지 알림 기능 관련 이용사업자의 등록률이 저조한 사실

피심인은 소셜탈퇴 및 연동해지 알림 기능을 필수 기능으로 제공하지 않아, 이용사업자들이 해당 기능을 등록한 비율은 %로 저조하였다.

나. 토큰폐기 기능을 명확하게 안내하지 않은 사실

피심인은 이용자가 이용사업자의 웹ㆍ앱에서 탈퇴 시 이용자가 연계한 소셜로그인 연동도 자동 해지할 수 있도록 이용사업자에게 토큰폐기 기능을 제공하고 있으나, 해당 기능을 사용하는 방법 등이 명확*하지 않아 이용사업자에게 쉽게 인지되기 어려운 상황이다.

* OAuth 2.0 관련 공식 문서(RFC7009) 내 표준 용어인 “Token Revocation(토큰폐기)“가 아닌 ”Revoke tokens”로 명명


Ⅲ. 개선방안

1. 관련법 규정

가. 보호법 제21조제1항은 “개인정보처리자는 보유기간의 경과, 개인정보의 처리 목적 달성, 가명정보의 처리 기간 경과 등 그 개인정보가 불필요할게 되었을 때에는 지체없이 그 개인정보를 파기하여야 한다.”라고 규정하고 있다.

2. 개선 방안

가. 소셜탈퇴 및 연동해지 알림 기능 관련 이용사업자의 등록률이 저조한 사실 관련

피심인이 소셜탈퇴 및 연동해지 알림 기능을 필수로 제공하지 않은 행위는 그 자체로는 보호법 위반은 아니나, 해당 기능의 등록률이 저조하여 이용사업자가 소셜탈퇴 혹은 연동해지한 이용자의 개인정보을 파기하지 않고 계속 보관하는 상황이 발생될 가능성이 높아 등록률을 제고할 수 있는 방안이 필요하다.

나. 토큰폐기 기능을 명확하게 안내하지 않은 사실 관련

피심인이 토큰폐기 기능을 명확하게 안내하지 않은 행위는 그 자체로는 보호법 위반은 아니나, 해당 기능을 이용사업자가 사용하지 않을 경우 이용자의 이용사업자 웹ㆍ앱 탈퇴 이후 소셜로그인을 통한 정보전송이 기술적으로 차단되어야 바람직함에도 기 발급된 토큰이 폐기되지 아니하여 정보전송 여지가 남게 되므로 소셜로그인사업자가 해당 기능을 이용사업자에게 OAuth 2.0표준용어를 사용하여 명확하게 고지하도록 개선권고가 필요하다.

Ⅳ. 처분 및 결정

1. 개선권고

피심인에 대하여 보호법 제61조제2항에 따라 다음과 같이 개선을 권고한다.

가. 피심인은 이용사업자가 소셜탈퇴 및 연동해지 알림을 수신하는 기능(Callback API)의 등록률을 높일 방안을 강구해야 한다.

나. 피심인은 토큰폐기 기능과 관련하여 개발자 가인드라인 내 “Revoke tokens”란 용어를 이용사업자가 해당 기능을 명확히 사용할 수 있도록 “Token Revocation(토큰폐기)*”라는 이름으로 안내해야 한다.

* OAuth 2.0 관련 공식 문서(RFC7009) 내 표준 용어

다. 피심인은 가.부터 나.까지의 개선권고에 따른 개선조치를 이행하고, 개선권고 통지를 받은 날로부터 180일 이내에 조치결과를 제출하여야 한다.
이상과 같은 이유로 주문과 같이 의결한다.