IP 주소는 GDPR상 개인정보인가?
GDPR에서 IP 주소는 개인정보가 될 수 있습니다. 이 규정은 개인정보를 식별되었거나 식별 가능한 사람과 관련된 모든 정보로 정의하며, IP 주소는 다른 정보와 결합될 때 누군가를 식별 가능하게 만드는 경우가 많기 때문입니다. 이 글은 개발자를 위한 일반적인 배경 설명이며 법률 자문이 아닙니다. 의무는 상황에 따라 달라지므로 실제 결정에는 개인정보 보호 전문가의 도움을 받으세요.
규정이 실제로 말하는 내용
GDPR 제4조는 개인정보를 폭넓게 정의합니다. 사람을 식별할 수 있는 정보의 예로 온라인 식별자를 들고 있으며, 전문(recital)에서는 기기가 남기는 IP 주소와 쿠키 식별자 같은 식별자를 언급합니다. 핵심 기준은 식별 가능성입니다. 데이터를 보유한 조직이나 다른 누군가가 합리적으로 사용할 가능성이 있는 수단으로 직접 또는 간접적으로 그 사람을 식별할 수 있는지 여부입니다.
유럽연합 사법재판소는 동적 IP 주소에 관한 Breyer 사건(2016)에서 이 문제를 다루었습니다. 대략적으로, 재판소는 웹사이트 운영자가 방문자를 식별할 수 있는 추가 정보(예: 인터넷 제공업체의 가입자 기록)를 얻을 법적 수단을 가진 경우, 동적 IP 주소가 운영자 입장에서 개인정보가 될 수 있다고 판단했습니다. 실무적인 교훈은 모든 주소와 모든 보유자에게 일률적으로 적용되는 예/아니요 답이 없다는 것입니다. 맥락과 해당 주소에 연결할 수 있는 다른 정보에 달려 있습니다.
개발자에게 맥락이 중요한 이유
방화벽 로그에 놓인 IP 주소 하나와, 사용자 ID, 이메일 주소, 세션 토큰, 타임스탬프와 함께 저장된 같은 주소는 전혀 다릅니다. 후자는 특정 계정에 연결되어 있으므로 개인정보에 해당함이 훨씬 분명합니다. 후자에 속한다면 그 주소가 규정의 적용 대상이라고 가정하고 계획을 세우세요.
혼동하기 쉬운 두 가지, 즉 주소 자체와 거기서 파생된 사실을 구분하는 것도 도움이 됩니다. 주소를 조회하면 출력은 보통 사람이 아니라 네트워크를 설명합니다. 국가, 도시 수준의 지역, 블록을 운영하는 ASN과 조직, 그리고 해당 주소가 알려진 VPN이나 데이터센터에 속하는지 여부 같은 플래그입니다. ipto의 IP 조회는 country, city, asn, org 같은 필드와 함께 is_vpn, is_tor, is_abuser, is_datacenter, bogon 플래그를 반환합니다. 이 값들은 네트워크를 설명하며, 도시 수준의 지오로케이션은 도시 정확도가 제한적인 이유에서 설명하듯 근사치입니다. 그러나 조회의 입력값이 저장해 둔 방문자의 주소라면 여전히 보유자 입장에서 개인정보일 수 있으며, 사용자 프로필에 연결된 보강 레코드도 그럴 가능성이 높습니다.
기록과 보관에 대한 일반적인 고려사항
규정은 IP 주소를 보관할 일수를 정해 두지 않았습니다. 대신 일반 원칙이 적용됩니다. 처리에는 적법한 근거가 필요하고, 명시한 목적에 필요한 것만 수집해야 하며(데이터 최소화), 그 목적에 필요한 기간보다 오래 보관해서는 안 됩니다(보관 기간 제한). 보안 로깅과 사기 방지는 흔히 언급되는 목적이며, 보관 기간은 습관으로 정하지 말고 그 목적으로 정당화하고 문서화해야 합니다.
- 먼저 목적을 정하세요. 악용 방지, 속도 제한, 디버깅, 분석은 근거도 다르고 적절한 보관 기간도 다릅니다.
- 전체 정밀도가 필요 없다면 잘라내거나 해시하세요. IPv4의 마지막 옥텟이나 IPv6 주소의 하위 비트를 버리면 식별 가능성이 줄어듭니다. 규제 당국과 법원은 절단과 해시를 위험 감소 조치로 보아 왔지만, 작은 주소 공간의 해시는 되돌릴 수 있는 경우가 많아 자동으로 익명화가 되지는 않습니다.
- 자동 삭제를 설정하세요. 누군가 정리해 주기를 기대하지 말고 원본 로그가 일정에 따라 만료되도록 하세요.
- 투명하게 공개하세요. 개인정보 처리방침에 주소를 처리한다는 사실, 이유, 보관 기간을 밝혀야 합니다. 주소를 보내는 제3자 처리자는 적절한 계약으로 다루어져야 합니다.
- 전송에 유의하세요. 방문자 주소를 외부 API로 보내는 것은 다른 당사자에게 제공하는 것이므로 데이터가 어디로 가는지 고려하세요. 방문자 데이터 없이 직접 네트워크를 조회하면 이 문제를 피할 수 있습니다.
개인정보 없이 네트워크 조회 사용하기
네트워크에 관한 유용한 질문 중 상당수는 특정 사람과 연결하지 않고도 답할 수 있습니다. ASN 조회는 AS 번호를 받아 등록된 소유자, 조직, 국가, 범위 수를 반환하며 방문자 주소가 전혀 관여하지 않습니다. 주소의 경우 RDAP를 통한 IP whois는 블록 보유자에 대한 레지스트리 정보, 즉 할당을 보유한 주체에 관한 조직 데이터를 반환하고, bogon 검사기는 주소가 사설 또는 예약 주소여서 공개 방문자가 가질 수 없는 주소인지 알려 줍니다.
유럽 밖의 법체계를 비교하려는 경우 국가별 IP 주소 개인정보 보호법 글이 일반적인 방향을 제시합니다. ipto의 무료 플랜은 가입 없이 하루 1,000건의 요청을 허용하며, API 문서에 필드가 나열되어 있으므로 실제로 필요한 것만 저장하도록 선택할 수 있습니다.