사용자 동의 화면 소개

사용자 동의 화면이란#

새로운 소셜 앱에 Google 계정을 사용하여 가입한다고 상상해보세요. "Google로 로그인" 버튼을 클릭하면 로그인 과정을 완료하기 위해 Google로 리디렉션됩니다. Google에 성공적으로 인증된 후, 이 앱에 Google 계정 프로필에 대한 액세스를 허용하라는 페이지로 리디렉션됩니다. 다음과 같은 페이지입니다:

이 페이지는 우리가 동의 페이지 또는 동의 화면이라고 부르는 것입니다. 이는 애플리케이션 또는 웹사이트가 온보딩 과정에서 표시하는 사용자 인터페이스 요소입니다. 주된 목적은 사용자에게 개인 데이터의 수집, 처리 및 사용에 대해 알리고 이러한 활동에 대한 명시적인 동의를 요청하는 것입니다.

동의 페이지에서는 일반적으로 수집될 데이터의 유형, 사용 방법 및 제3자와의 공유 여부에 대한 정보가 사용자에게 제공됩니다. 이 정보는 투명성을 위해 중요하며, 사용자가 개인 정보와 데이터 보안에 대해 정보에 입각한 결정을 내릴 수 있도록 합니다.

동의 페이지는 특히 유럽 연합의 일반 데이터 보호 규정(GDPR)이나 미국 캘리포니아 소비자 개인정보 보호법(CCPA)과 같은 개인정보 보호 규정의 맥락에서 중요합니다. 이 규정들은 조직이 사용자 개인정보를 처리하기 전에 명확하고 확실한 동의를 받아야 한다고 요구하기 때문입니다.

동의 화면이 필요한 경우는 언제일까요?#

이 질문에 답하기 전에 사용자 인증에 대한 기본 개념을 이해할 필요가 있습니다.

아이덴티티 제공자(IdP)와 서비스 제공자(SP)#

위에서 언급했듯이, 동의 화면의 주된 목적은 사용자에게 개인 데이터의 수집, 처리 및 사용에 대해 알리고 이러한 활동에 대한 명시적인 동의를 요청하는 것입니다. 따라서, 우리가 다른 당사자, 예를 들어, Google이 소유한 개인 데이터를 수집, 처리 또는 사용할 때 동의 화면이 필요합니다.

사용자 인증의 맥락에서 사용자의 데이터를 소유한 당사자를 **아이덴티티 제공자(IdP)**라고 부릅니다. 사용자의 데이터에 대한 액세스를 요청하는 애플리케이션은 **서비스 제공자(SP)**라고 부릅니다. 위의 예에서 Google은 IdP이며, 소셜 앱은 SP입니다.

IdP는 사용자를 인증하고 사용자의 프로필 정보를 SP에 제공합니다. SP는 서비스 제공을 위해 사용자의 프로필 정보가 필요한 당사자입니다.

단일 로그인(SSO)#

위의 예에서 소셜 앱은 Google을 IdP로 사용하고 있습니다. 이는 업계에서 일반적인 시나리오입니다. 많은 애플리케이션이 Google, Facebook 또는 기타 타사 서비스를 IdP로 사용합니다. 이를 **단일 로그인(SSO)**이라고 합니다. SSO는 여러 관련 있으나 독립적인 소프트웨어 시스템의 접근 제어 속성입니다. 이 속성을 통해 사용자는 여러 관련 애플리케이션에 단일 ID와 비밀번호로 로그인할 수 있습니다. 자세한 내용은 CIAM 101: 인증, 아이덴티티, SSO를 참조하세요.

1차 및 3차 IdP#

1차 IdP는 SP와 동일한 조직에서 소유한 IdP입니다. SP는 IdP와 동일한 도메인 이름을 사용할 수도 있습니다. 따라서 SP는 동일한 조직이 소유한 사용자 데이터에 대한 액세스를 요청합니다. 예를 들어, Google Workspace를 사용하는 경우, Google은 1차 IdP가 됩니다.

반면에, 3차 IdP는 SP와 다른 조직이 소유한 IdP입니다. SP는 자기가 소유하지 않은 사용자 데이터에 대한 액세스를 요청합니다. 예를 들어, Google을 IdP로 사용하고, 위의 예와 같은 소셜 앱에 로그인하는 경우, Google은 소셜 앱에 대한 3차 IdP입니다.

사용자의 동의#

사용자가 애플리케이션에 로그인할 때마다 수집되는 데이터와 그 사용 방법에 대해 사용자가 알고 있는 것이 중요합니다.

1차 IdP의 경우, 이러한 정보는 일반적으로 조직의 개인정보 보호정책 및 서비스 약관에 포함되어 있습니다. 사용자는 서비스를 가입하기 전에 개인정보 보호정책 및 서비스 약관에 동의해야 합니다. 따라서, 사용자는 이미 수집되는 데이터와 사용 방법에 대해 알고 있습니다. 이 경우, 사용자의 동의는 암묵적입니다.

그러나, IdP는 소유한 데이터에 대한 엄격한 통제를 유지하는 것이 중요합니다. IdP는 사용자 데이터에 대해 사용자의 명시적 동의 없이 제3자 SP에 어떤 액세스도 허용해서는 안 됩니다. 제3자 SP의 모든 데이터 액세스는 데이터 공유 활동으로 간주됩니다. 사용자는 데이터 공유 활동에 대해 통보를 받아야 하며, 명시적으로 동의해야 합니다.

따라서, 3차 IdP의 경우, 항상 사용자의 동의가 필요합니다. 그렇기 때문에 Google, Facebook 및 Microsoft와 같은 주요 IdP는 SP가 사용자에게 동의 화면을 표시하도록 요구합니다.

예를 들어, Google의 경우, Google OAuth 클라이언트를 생성하려고 할 때, 상세한 동의 화면 구성을 제공하라는 요청을 받게 됩니다.

이것은 사용자가 데이터 공유 활동을 알고 명시적으로 동의했음을 보장합니다.

동의 화면에 포함되어야 할 정보#

동의 화면은 사용자가 정보에 입각한 결정을 내릴 수 있도록 충분한 정보를 제공하는 것이 중요합니다. 포함되어야 할, 하지만 이에 국한되지 않는 정보는 다음과 같습니다:

• 사용자의 데이터에 대한 액세스를 요청하는 당사자(SP)는 누구인가요?
• 현재 사용자의 정체성은 무엇인가요?
• 수집되는 사용자 데이터는 무엇인가요?
• 사용자 데이터는 어떻게 사용될 것인가요?
• 사용될 추가 IdP 제공 서비스 또는 API는 무엇인가요?
• SP에게 부여될 추가 권한은 무엇인가요?
• SP의 개인정보 보호 정책은 무엇인가요?

위의 모든 정보는 동의 화면에 정확하고 명확하게 포함되어야 합니다. 사용자는 어떤 모호함 없이 정보를 이해할 수 있어야 합니다. 특히 수집되는 사용자 데이터와 사용 방법에 대한 부분이 중요합니다.

IdP는 사용자가 동의한 목적에만 사용자 데이터를 사용하는 것을 보장할 책임이 있습니다. 사용자의 명시적 동의 없이 SP가 사용자 데이터를 다른 목적으로 사용하는 것을 허용해서는 안 됩니다.

결론#

요약하자면, 동의 페이지는 사용자의 데이터 처리에 대한 명시적 허가를 얻고, 투명성을 제공하며, 개인정보 보호법을 준수하는 메커니즘으로 작용합니다. 이는 현재 모든 주요 IdP에 의해 제3자 SP에 대해 요구되며, 사용자 개인정보 보호 및 데이터 보안 보호에서 중요한 역할을 합니다. 특히, 3차 IdP 서비스를 제공하는 경우에는 더욱 중요합니다.