키즈 앱 개인정보처리방침 작성법

아동 개인정보 문제의 대부분은 제3자 코드에서 생깁니다. 방침을 쓰기 전에 다음을 확인하세요.

• 빌드의 모든 SDK가 아동 이용자로부터 수집하는 내용과 함께 나열되어 있다.
• 가족 정책이나 키즈 카테고리가 금지하는 광고 ID나 기타 기기 식별자를 전송하는 SDK가 없다.
• 광고가 있다면 맥락 광고이며 허용된 SDK로만 제공되고, 아동에 대해서는 개인화가 꺼져 있다.
• 분석은 아동에 대해 꺼져 있거나 플랫폼 예외를 충족하는 도구로 제한되어 있다.
• 크래시 보고가 수집이 허용되지 않은 식별자를 보내지 않는다.
• 위치는 꺼져 있거나 규칙이 허용하는 범위로 제한되어 있다.
• 채팅과 공유 기능에 부모 통제와 안전 알림이 있다.
• 보유 기간이 문서로 정해져 있고 코드로 시행되고 있다.
• 아동의 데이터를 받는 제3자가 목적과 함께 방침에 명시되어 있다.

광고 개인정보 고지 가이드에서 광고 네트워크를 설명하는 방법을, 게임 개인정보처리방침 가이드에서 많은 키즈 앱이 게임과 공유하는 채팅, 멀티플레이, 인앱 결제를 다룹니다.

모든 것이 이 질문에서 시작하며, 답은 여러분의 의도만으로 정해지지 않습니다. COPPA 규칙에 따라 FTC는 서비스가 13세 미만 아동을 대상으로 하는지 판단할 때 주제, 시각적 콘텐츠, 애니메이션 캐릭터나 아동 지향적인 활동과 보상의 사용, 음악, 모델의 연령, 아동 유명인, 언어, 광고를 살펴보며, 마케팅 계획이나 이용자 리뷰처럼 실제 이용자층과 의도한 이용자층에 관한 증거도 함께 봅니다.

규칙은 혼합 이용자층 서비스도 인정합니다. 아동을 포함하는 일반 이용자 대상 앱은 13세 미만으로 확인되지 않은 이용자에 대해서는 아동 대상으로 취급되지 않으며, 그래서 많은 앱이 중립적인 연령 확인 화면을 사용합니다. 이와 별도로, 아동으로부터 개인정보를 수집한다는 사실을 실제로 알고 있다면 그 아동의 데이터에는 COPPA가 적용됩니다.

스토어도 같은 질문을 합니다. Google Play는 Play Console에서 타깃층을 신고하도록 요구하며, 이미지와 용어가 아동을 시사하는지 검토할 수 있습니다. Apple은 앱 메타데이터에서 ‘For Kids’, ‘For Children’ 같은 용어를 키즈 카테고리용으로 제한합니다.

여기서는 스스로에게 정직하세요. 청소년 등급의 밝은 만화풍 게임도 규제 당국에는 아동 대상으로 보일 수 있습니다. COPPA 개인정보처리방침 가이드에 적용 범위 규칙이 요약되어 있습니다.

COPPA는 개인정보처리방침을 온라인 고지(online notice)라고 부르며, 규칙은 그 고지에 무엇이 들어가야 하는지 나열합니다. 16 CFR 312.4(d)에 따르면 완전한 고지에는 다음이 포함됩니다.

• 아동의 개인정보를 수집하거나 보유하는 모든 운영자의 이름, 주소, 전화번호, 이메일 주소, 또는 지정된 연락처 하나와 모든 운영자의 이름
• 아동이 개인정보를 공개할 수 있는지를 포함해 아동으로부터 수집하는 정보
• 그 이용 방식, 그리고 정보를 받는 제3자의 신원과 구체적인 범주를 포함한 공개 관행과 그 목적
• 데이터 보유 정책
• 해당하는 경우, 지속 식별자를 수집하는 내부 운영 목적과 그것이 다른 목적으로 쓰이지 않도록 막는 방법
• 규칙의 예외에 따라 아동의 목소리가 담긴 오디오 파일을 수집하는 경우, 그 이용 방식과 요청에 응답한 직후 삭제한다는 사실
• 부모가 자녀의 정보를 검토하거나 삭제하게 할 수 있고 추가 수집을 거부할 수 있다는 사실과 그 방법

규칙은 또 홈 화면이나 랜딩 화면, 그리고 아동의 정보를 수집하는 각 영역에 이 고지로 가는 눈에 띄고 명확하게 표시된 링크를 요구하며, 수집 전에 부모에게 별도의 직접 고지를 하도록 요구합니다. 아동을 전혀 언급하지 않는 일반 개인정보처리방침은 이 기준을 충족하지 못합니다.

FTC는 개정된 COPPA 규칙을 2025년 4월 22일 연방 관보(Federal Register)에 게재했습니다. 규칙은 2025년 6월 23일 시행되었고, 규제 대상 사업자는 대부분의 조항을 2026년 4월 22일까지 준수해야 했습니다. 앱을 그 전에 작성했다면 지금 검토하세요.

방침과 앱에 영향을 주는 변경 사항은 다음과 같습니다.

• 제3자 공개에 대한 별도 동의. 공개가 서비스에 필수적인 경우가 아니라면, 부모가 제3자 공개에 동의하지 않고도 수집과 이용에 동의할 수 있어야 합니다. 타깃 광고 같은 목적의 공개에는 별도의 검증 가능한 부모 동의가 필요합니다.
• 서면 데이터 보유 정책. 아동의 데이터는 합리적으로 필요한 기간 동안만 보관해야 하고 무기한 보관해서는 안 되며, 서면 보유 정책을 온라인 고지에 포함해야 합니다.
• 서면 보안 프로그램. 운영자는 규모와 데이터의 민감도에 맞는 서면 정보 보안 프로그램을 수립하고 유지해야 합니다.
• 확대된 개인정보 정의. 이제 정의에 생체 식별자와 정부 발급 식별자가 포함됩니다.
• 제3자 명시. 온라인 고지에 아동의 데이터를 받는 제3자의 신원과 구체적인 범주를 밝혀야 합니다.

이 각각에는 새 문장만이 아니라 운영상의 작업이 필요합니다. 방침은 실제로 구축한 것을 설명해야 합니다.

아동이 Google Play 타깃층의 일부라도 된다면, 일반 사용자 데이터 정책 위에 가족 정책이 추가로 적용됩니다. Google 정책의 핵심은 다음과 같습니다.

• 타깃층 및 콘텐츠 섹션, 데이터 보안 섹션, 콘텐츠 등급 설문지를 정확하게 작성하고 최신 상태로 유지해야 합니다.
• 아동만을 대상으로 하는 앱은 Android 광고 ID, SIM 일련번호, 빌드 일련번호, BSSID, MAC, SSID, IMEI, IMSI를 전송해서는 안 되며, 혼합 이용자층 앱은 아동이나 연령을 알 수 없는 이용자로부터 이를 전송해서는 안 됩니다.
• 아동만을 대상으로 하는 앱은 위치 권한을 요청할 수 없으며, 정확한 위치를 수집, 이용, 전송할 수 없습니다.
• 아동에게 표시되는 광고는 가족 자체 인증 광고 SDK(Families Self-Certified Ads SDKs)에서만 제공되어야 하며, 혼합 이용자층 앱에는 중립적인 연령 확인 화면 같은 연령 선별이 필요합니다.
• 아동이 자유 형식 콘텐츠를 공유할 수 있게 하는 앱과 기능에는 앱 내 온라인 안전 알림과 성인용 관리 기능이 필요합니다.
• 앱이 사용하는 API와 SDK를 포함해 앱은 COPPA, GDPR 및 기타 적용 법률을 준수해야 하며, 개인정보처리방침은 데이터 처리 방식을 정확하게 반영해야 합니다.

개인정보처리방침은 이 설정과 일치해야 합니다. 아동 이용자에게 어떤 SDK가 실행되는지, 광고가 개인화되지 않는다는 사실, 위치를 어떻게 다루는지 밝히세요. 일반적인 Play Console 요건은 Google Play 개인정보처리방침 생성기 페이지에서 다룹니다.

Apple의 앱 심사 가이드라인은 아동용 앱을 엄격하게 다룹니다. 가이드라인 1.3은 키즈 카테고리 앱이 개인 식별 정보나 기기 정보를 제3자에게 보낼 수 없으며, 제3자 분석이나 제3자 광고를 포함해서는 안 된다고 말합니다. 제한적인 예외가 있습니다. IDFA나 아동, 그들의 위치, 기기에 관한 식별 가능한 정보를 수집하거나 전송하지 않는 분석, 그리고 광고 소재에 대한 사람의 검토를 포함하는 키즈 카테고리 관행을 공개적으로 문서화한 서비스의 맥락 광고입니다.

키즈 카테고리 앱은 앱 밖으로 나가는 링크, 구매 기회, 그 밖에 주의를 분산시키는 요소를 부모 확인 장치(parental gate) 뒤에 두어야 합니다. Apple은 이용자가 앱이 이 규칙을 따를 것이라고 기대하게 된 이상, 카테고리 선택을 해제하더라도 이후 업데이트에서도 계속 규칙을 충족해야 한다고 설명합니다.

가이드라인 5.1.4는 키즈 카테고리의 앱이나 미성년자로부터 개인정보를 수집하는 앱은 개인정보처리방침을 포함하고 아동 개인정보 보호법을 준수해야 한다고 덧붙입니다. 앱은 그 법을 준수하기 위해서만 생년월일과 부모 연락처를 요청할 수 있습니다. Apple은 또 부모 확인 장치가 개인정보 보호법상 부모 동의와 일반적으로 같은 것이 아니라고 명시합니다.

Apple App Store 개인정보처리방침 생성기 페이지에서 방침이 앱 개인정보 보호 라벨과 어떻게 맞물리는지 설명합니다.

유럽이나 영국의 아동이 앱을 이용한다면 두 가지 체계가 더 적용됩니다.

GDPR 제8조. 정보사회서비스를 아동에게 직접 제공하면서 동의에 근거한다면, 처리는 아동이 16세 이상이거나 부모가 동의하거나 동의를 승인한 경우에만 적법합니다. 회원국은 연령을 낮출 수 있지만 13세 미만으로는 낮출 수 없으므로, 기준은 EU 안에서도 나라마다 다릅니다. 이용 가능한 기술을 고려해 부모 동의를 확인하기 위한 합리적인 노력을 해야 합니다. 영국에서 이 규칙의 연령은 13세입니다.

영국 연령 적합 설계 코드(Age appropriate design code). ICO의 아동 코드(Children's code)는 영국에서 18세 미만 아동이 이용할 가능성이 있는 앱, 게임, 커넥티드 장난감, 웹사이트에 대해 15가지 기준을 정한 법정 실무 규범입니다. 아동의 최선의 이익, 데이터 보호 영향 평가, 아동의 연령에 맞는 투명성, 기본적으로 높은 개인정보 보호 설정, 데이터 최소화, 제한된 데이터 공유, 기본적으로 꺼진 위치 정보, 연령에 맞는 부모 통제 처리, 기본적으로 꺼진 프로파일링, 넛지 기법 금지 등이 포함됩니다.

개인정보처리방침에서 핵심이 되는 기준은 투명성입니다. 정보는 간결하고 눈에 띄며, 아동의 연령에 맞는 명확한 언어로 제공되어야 합니다. 일반적인 요건은 UK GDPR 개인정보처리방침 가이드와 GDPR 개인정보처리방침 가이드에서 다룹니다.

키즈 앱에는 두 독자층이 있으며, 문서 하나로 둘 다 만족시키기는 어렵습니다. 실무적인 구조는 여러 층을 사용합니다.

1. 부모와 규제 당국을 위해 작성한 전체 개인정보처리방침: 운영자, 데이터, 목적, 제3자, 보유, 보안, 부모의 권리 등 COPPA와 GDPR의 모든 요소를 다룹니다.
2. 상단이나 별도 화면에 쉬운 단어와 짧은 문장으로 쓴 짧고 아이 친화적인 요약
3. 마이크나 카메라 권한 요청 전처럼 무언가가 일어나는 순간 앱 안에서 보여주는 적시 설명

아이 친화적인 문장은 이렇게 쓸 수 있습니다. “네가 그린 그림은 태블릿에 저장돼. 어른이 괜찮다고 하기 전에는 누구에게도 보내지 않아.” 이 문장은 사실일 때만 효과가 있으므로, 데이터 흐름을 확인한 뒤에 쓰세요.

부모에게는 그들이 가진 통제 수단을 구체적으로 알려 주세요. 데이터를 검토하는 방법, 삭제하는 방법, 동의를 철회하는 방법, 연락하는 방법입니다. 중요한 사실을 긴 문단 속에 숨기는 법률 용어는 피하세요. 앱에 성인 이용자나 청소년 버전도 있다면, 각 독자층이 자신에게 해당하는 내용만 읽도록 방침을 나누는 것을 고려하세요.

아동 데이터는 일반 템플릿이 가장 실패하기 쉽고, 실수의 대가가 가장 큰 영역입니다. FTC는 민사 벌금으로 COPPA를 집행하고, 플랫폼 정책 위반은 앱 삭제로 이어질 수 있으며, 유럽 규제 당국은 아동 데이터를 특별한 보호가 필요한 것으로 봅니다.

개인정보처리방침은 전체 업무의 일부일 뿐이기도 합니다. COPPA는 부모에 대한 직접 고지, 수집 전 검증 가능한 부모 동의, 대부분의 제3자 공개에 대한 별도 동의, 서면 보유 정책, 서면 보안 프로그램을 요구합니다. 방침은 이러한 절차를 설명할 뿐, 만들어 주지는 않습니다.

Legal Policy Generator는 GDPR, 영국 및 기타 지역 모듈과 함께 $5인 고급 지역 모듈 중 하나로 COPPA 모듈을 제공합니다. 앱 개인정보처리방침 생성기에서 아동과 서비스 지역에 관한 질문에 답하면 버전이 관리되는 라이브러리에서 조항이 결정론적으로 선택되며, 결제 전에 무료 미리보기로 결과를 볼 수 있습니다. 변호사에게 가져갈 구조화되고 읽기 쉬운 초안이 생기므로 검토가 빨라질 수 있습니다.

하지만 결과물은 초안으로 다루세요. 생성된 텍스트는 답변을 반영할 뿐이며 법률 자문이 아닙니다. 아동을 대상으로 하는 앱이라면 출시 전에 자격을 갖춘 변호사에게 방침, 동의 절차, SDK 설정의 검토를 요청하세요.