Google Play Data Safety 작성 방법 — AdMob을 사용하는 Android 앱의 데이터 보안 신고 완벽 가이드

Android 앱을 Google Play에 출시할 때 반드시 확인해야 하는 항목 중 하나가 **데이터 보안(Data Safety)**입니다.

특히 로그인 기능이 없고 사용자 정보를 별도로 저장하지 않는 앱을 개발했다면 다음과 같은 의문이 생길 수 있습니다.

"개인정보를 수집하지 않는 앱인데 데이터 보안 항목에서 수집한다고 신고해야 할까?"

결론부터 말하면 Google AdMob과 같은 외부 SDK가 사용자 데이터를 수집한다면 개발자가 직접 저장하지 않더라도 신고 대상이 될 수 있습니다.

이번 글에서는 Kotlin 기반 Android 앱에 AdMob 배너 광고와 전면 광고를 적용한 상황을 예시로, Google Play Console의 데이터 보안 양식을 작성하는 방법과 주의사항을 정리하겠습니다.

기준일: 2026년 10월 28일

1. Google Play Data Safety란?

Data Safety는 앱이 어떤 사용자 데이터를 수집하고 공유하는지, 그리고 해당 데이터를 어떻게 보호하는지 Google Play 스토어에서 공개하는 제도입니다.

사용자는 앱을 설치하기 전에 데이터 보안 섹션에서 개인정보 처리와 관련된 정보를 확인할 수 있습니다.

개발자는 Play Console에서 데이터 보안 양식을 작성하고 제출해야 합니다.

중요한 점은 앱 자체의 코드뿐 아니라 앱에 포함된 외부 라이브러리와 SDK의 데이터 처리도 신고 대상이라는 것입니다.

예를 들어 다음과 같은 구성의 앱을 생각해 보겠습니다.

  • Kotlin으로 개발한 Android 앱

  • 별도의 로그인 기능 없음

  • 사용자 이름, 이메일, 전화번호 수집 없음

  • SQLite를 이용한 기기 내부 데이터 저장

  • Google AdMob 배너 광고와 전면 광고 사용

이 앱은 개발자가 직접 사용자 계정을 관리하지 않지만 AdMob SDK를 통해 일부 데이터가 외부 서버로 전송될 수 있습니다.

따라서 단순히 "로그인 기능이 없으므로 데이터를 수집하지 않는다"라고 판단해서는 안 됩니다.

2. 개인정보처리방침과 Data Safety의 차이

두 항목은 서로 관련되어 있지만 목적이 다릅니다.

항목개인정보처리방침Data Safety
제공 위치개발자 웹사이트 및 앱 내부Google Play 스토어
작성 방식문서 형태Play Console 양식
주요 내용데이터 처리 전반수집·공유 데이터와 보안 관행
외부 SDK포함해야 함포함해야 함
유지 관리데이터 처리 변경 시 수정데이터 처리 변경 시 수정

개인정보처리방침을 작성했다고 해서 Data Safety 작성이 면제되는 것은 아닙니다.

반대로 Data Safety를 작성했다고 개인정보처리방침을 생략할 수도 없습니다.

두 항목의 내용이 실제 앱 동작과 일치해야 합니다.

3. AdMob SDK는 어떤 데이터를 수집할까?

Google Mobile Ads SDK의 공식 데이터 공개 문서에서는 기본적으로 다음과 같은 데이터를 수집하고 공유한다고 설명합니다.

데이터설명
IP 주소기기의 대략적인 위치를 추정하는 데 사용될 수 있음
사용자 제품 상호작용앱 실행, 탭, 동영상 조회 등의 상호작용 정보
진단 정보앱 실행 시간, 중단율, 에너지 사용량 등
기기 및 계정 식별자광고 ID, 앱 세트 ID 등

이러한 정보는 광고 제공, 분석, 부정 사용 방지 등의 목적으로 처리될 수 있습니다.

다만 실제 수집 항목은 SDK 버전, 광고 설정, 사용자 동의, 사용 중인 기능에 따라 달라질 수 있습니다.

따라서 Google의 데이터 공개 문서는 신고를 위한 참고 자료이며, 개발자가 자신의 앱 전체에 대해 최종 판단해야 합니다.

공식 문서:

https://developers.google.com/admob/android/privacy/play-data-disclosure

4. 데이터 수집과 데이터 공유의 차이

Data Safety에서 특히 혼동하기 쉬운 항목이 수집(Collection)과 공유(Sharing)입니다.

데이터 수집

Google Play에서 데이터 수집은 일반적으로 사용자 기기에서 외부로 데이터가 전송되는 것을 의미합니다.

데이터가 개발자 서버로 전송되는 경우뿐 아니라 외부 SDK 서버로 전송되는 경우도 포함됩니다.

예를 들어 AdMob SDK가 기기 식별자를 Google 서버로 전송한다면 개발자가 해당 데이터를 직접 조회하지 않더라도 수집 신고 대상이 될 수 있습니다.

데이터 공유

데이터 공유는 앱에서 수집한 사용자 데이터가 제3자에게 전달되는 것을 의미합니다.

다만 Google Play에는 서비스 제공업체를 통한 처리 등 일부 예외 규정이 있습니다.

따라서 외부 SDK를 사용한다는 이유만으로 모든 데이터를 무조건 공유로 신고하는 것도 정확하지 않습니다.

수집과 공유는 서로 다른 질문이므로 데이터 유형별로 판단해야 합니다.

5. Play Console에서 Data Safety 작성하기

Play Console에 로그인한 뒤 대상 앱을 선택합니다.

일반적으로 다음 메뉴에서 접근할 수 있습니다.

Google Play Console → 정책 및 프로그램 → 앱 콘텐츠 → 데이터 보안

Play Console 화면 구성에 따라 메뉴 명칭이나 위치가 달라질 수 있습니다.

데이터 보안 양식은 일반적으로 다음 단계로 구성됩니다.

5-1. 개요 확인

먼저 Google Play의 데이터 보안 요구사항과 작성 안내를 확인합니다.

앱에 포함된 SDK 목록, 개인정보처리방침, 데이터 수집·공유 현황을 미리 정리해 두면 작성하기 편리합니다.

5-2. 데이터 수집 또는 공유 여부

앱이 신고 대상 사용자 데이터를 수집하거나 공유하는지 질문합니다.

AdMob SDK가 기본적으로 데이터를 수집하는 구성이라면 일반적으로 **'예'**를 선택해야 합니다.

단, SDK를 포함했다는 사실만으로 실제 데이터 처리 여부를 확인하지 않고 답변해서는 안 됩니다.

SDK 초기화 여부, 광고 요청, 적용된 제한 기능 등을 함께 확인해야 합니다.

5-3. 데이터 암호화 여부

앱에서 수집하는 사용자 데이터가 전송 중 암호화되는지 질문합니다.

Google Mobile Ads SDK는 공식 문서에서 TLS를 통한 전송 중 암호화를 설명하고 있습니다.

하지만 앱이 별도의 API 서버로 데이터를 전송한다면 해당 통신도 확인해야 합니다.

예를 들어 Retrofit을 이용해 서버와 통신한다면 HTTPS를 사용하는지 점검합니다.

val retrofit = Retrofit.Builder()
    .baseUrl("https://api.example.com/")
    .addConverterFactory(GsonConverterFactory.create())
    .build()

이 코드는 HTTPS 기반 API 주소를 사용하는 예시입니다.

HTTPS를 사용한다는 사실만으로 앱 전체의 모든 데이터 전송이 안전하다고 단정할 수는 없습니다.

외부 SDK와 다른 네트워크 통신도 함께 확인해야 합니다.

5-4. 데이터 삭제 요청 가능 여부

사용자가 데이터 삭제를 요청할 수 있는지 질문합니다.

여기서는 로그인 기능의 존재 여부뿐 아니라 실제로 어떤 데이터를 저장하고 삭제할 수 있는지 확인해야 합니다.

예를 들어 앱의 메모를 SQLite에만 저장하고 외부 서버로 전송하지 않는다면 해당 메모는 일반적으로 Data Safety의 외부 데이터 수집 신고 대상이 아닙니다.

반면 서버에 사용자 데이터를 저장한다면 삭제 요청을 처리할 방법이 있는지 검토해야 합니다.

AdMob 등 외부 SDK에서 처리하는 데이터에 대해서도 제공업체의 데이터 처리 및 사용자 선택권을 확인해야 합니다.

로그인 기능이 없다는 이유만으로 삭제 관련 질문에 자동으로 '아니요'를 선택해서는 안 됩니다.

6. 데이터 유형 선택하기

다음 단계에서는 앱에서 수집하거나 공유하는 데이터 유형을 선택합니다.

AdMob을 사용하는 일반적인 앱에서는 다음 항목을 우선 검토할 수 있습니다.

데이터 유형검토 이유
대략적인 위치IP 주소를 통한 위치 추정
앱 상호작용앱 실행, 탭, 광고 상호작용
진단 정보성능 및 오류 관련 정보
기기 또는 기타 ID광고 ID, 앱 세트 ID 등

이 표는 검토 대상의 예시이지, 모든 AdMob 앱에 동일하게 적용하는 확정 답안은 아닙니다.

Google Play의 데이터 유형 분류 기준에 따라 IP 주소, 진단 정보, 식별자 등이 어떤 항목에 해당하는지 확인해야 합니다.

특히 IP 주소를 수집한다는 사실과 위치 권한을 요청한다는 사실은 서로 다릅니다.

앱이 ACCESS_FINE_LOCATION 권한을 사용하지 않더라도 IP 주소를 통해 대략적인 위치가 추정될 수 있습니다.

7. 데이터 처리 목적 선택하기

데이터 유형을 선택하면 각 데이터가 어떤 목적으로 처리되는지 입력해야 합니다.

Google Play에서 제공하는 목적에는 일반적으로 다음과 같은 항목이 있습니다.

  • 앱 기능

  • 분석

  • 개발자 커뮤니케이션

  • 광고 또는 마케팅

  • 사기 방지, 보안 및 규정 준수

  • 맞춤설정

  • 계정 관리

AdMob SDK의 경우 광고 제공, 분석, 사기 방지 등이 관련될 수 있습니다.

다만 모든 데이터 유형에 동일한 목적을 선택하는 것은 적절하지 않습니다.

예를 들어 앱 자체에서 수집하는 오류 로그와 광고 SDK가 수집하는 광고 식별자는 처리 목적이 다를 수 있습니다.

각 데이터 유형별로 실제 처리 목적을 확인한 후 선택해야 합니다.

8. 필수 수집과 선택적 수집 구분하기

Data Safety에서는 데이터 수집이 필수인지 선택적인지도 확인합니다.

여기서 선택적이라는 의미는 단순히 사용자가 앱을 설치하지 않을 수 있다는 뜻이 아닙니다.

사용자가 앱을 이용하면서 해당 데이터 수집을 선택하지 않을 수 있는지 판단해야 합니다.

예를 들어 광고 개인화를 거부할 수 있더라도 광고 SDK가 부정 사용 방지나 기본 광고 제공을 위해 일부 데이터를 계속 수집할 수 있습니다.

따라서 광고 개인화 동의 여부와 데이터 수집의 필수·선택 여부를 동일하게 취급해서는 안 됩니다.

사용자가 수집을 거부할 수 있는 범위와 거부 후 실제 데이터 전송 여부를 확인해야 합니다.

9. Android 프로젝트에서 SDK 목록 확인하기

Data Safety를 정확하게 작성하려면 앱에 어떤 SDK가 포함되어 있는지 확인해야 합니다.

Android Studio에서 build.gradle.kts 파일을 확인합니다.

예를 들어 다음과 같은 의존성이 있을 수 있습니다.

dependencies {
    implementation(
        "com.google.android.gms:play-services-ads:SDK_VERSION"
    )

    implementation(
        "com.squareup.retrofit2:retrofit:RETROFIT_VERSION"
    )

    implementation(
        "com.github.bumptech.glide:glide:GLIDE_VERSION"
    )
}

위 코드는 의존성 구조를 설명하기 위한 예시입니다. SDK_VERSION 등의 자리에는 실제 버전을 입력해야 합니다.

앱 모듈의 런타임 의존성을 확인하려면 다음 명령어를 사용할 수 있습니다.

./gradlew :app:dependencies \
  --configuration releaseRuntimeClasspath

빌드 변형이 여러 개라면 해당 변형에 맞는 configuration을 지정해야 합니다.

예를 들어 Product Flavor를 사용한다면 실제 배포하는 Flavor의 의존성을 확인하는 것이 중요합니다.

직접 추가한 SDK뿐 아니라 전이 의존성으로 포함된 라이브러리도 점검해야 합니다.

10. SQLite에 저장하는 메모도 신고해야 할까?

앱 내부에서 사용자가 메모를 작성하고 SQLite 데이터베이스에 저장하는 기능을 생각해 보겠습니다.

val values = ContentValues().apply {
    put("name", "sample")
    put("memo", "사용자 메모")
}

database.insert(
    "bird_memos",
    null,
    values
)

이 데이터가 사용자 기기 내부에만 저장되고 외부 서버로 전송되지 않는다면 일반적으로 Google Play Data Safety의 데이터 수집 신고 대상에 해당하지 않습니다.

그러나 다음과 같은 기능이 추가된다면 상황이 달라집니다.

  • 메모를 서버에 백업

  • 사용자 계정과 동기화

  • 분석 도구에 메모 내용 전송

  • 클라우드 저장소로 자동 업로드

이 경우에는 실제로 전송되는 데이터와 처리 목적을 다시 확인해야 합니다.

즉, 로컬 저장과 외부 데이터 수집은 구분해야 합니다.

11. WebView를 사용하는 앱의 주의사항

WebView를 사용하는 앱은 데이터 수집 범위를 더욱 주의해서 확인해야 합니다.

예를 들어 앱에서 자체 운영 웹페이지를 표시하고 JavaScript를 통해 사용자 정보를 서버로 전송한다면 해당 데이터 처리도 신고 대상이 될 수 있습니다.

반면 사용자가 일반 웹사이트를 탐색하는 브라우저 형태의 WebView에서는 적용 기준이 다를 수 있습니다.

Google Play는 앱이 제어하는 WebView에서 발생하는 데이터 수집도 고려하도록 안내하고 있습니다.

따라서 WebView가 단순한 콘텐츠 표시 용도인지, 앱의 기능과 결합되어 데이터를 수집하는지 확인해야 합니다.

12. 개인정보처리방침과 일치시키기

Data Safety 양식에 데이터 수집 항목을 신고했다면 개인정보처리방침에도 관련 내용을 반영해야 합니다.

예를 들어 AdMob을 사용하는 앱이라면 다음 내용을 설명할 수 있습니다.

본 앱은 광고 제공을 위해 Google AdMob을 사용합니다. Google Mobile Ads SDK는 광고 제공, 분석 및 부정 사용 방지 등을 위해 IP 주소, 앱 상호작용 정보, 진단 정보, 기기 식별자 등을 처리할 수 있습니다. 실제 처리되는 데이터는 SDK 설정 및 사용 환경에 따라 달라질 수 있습니다.

위 문구는 설명을 위한 예시이며, 실제 앱의 SDK 구성과 데이터 처리 방식에 맞게 수정해야 합니다.

특히 개인정보처리방침에는 사용자 문의 방법과 관련 외부 서비스의 개인정보처리 안내도 포함하는 것이 좋습니다.

13. 자주 발생하는 실수

실수 1. 로그인 기능이 없으므로 수집 데이터가 없다고 신고

로그인 기능과 외부 SDK의 데이터 수집 여부는 별개입니다.

AdMob SDK가 데이터를 외부로 전송한다면 신고 대상이 될 수 있습니다.

실수 2. 모든 데이터를 공유한다고 선택

Google Play의 공유 정의에는 예외가 있습니다.

외부 서비스에 데이터가 전달되는 구조와 해당 서비스의 역할을 확인해야 합니다.

실수 3. SDK를 업데이트했지만 Data Safety는 수정하지 않음

SDK 업데이트로 데이터 처리 방식이 변경될 수 있습니다.

광고 SDK, 분석 SDK, 로그인 SDK 등을 업데이트했다면 데이터 공개 문서를 다시 확인해야 합니다.

실수 4. 개인정보처리방침과 Data Safety 내용이 다름

두 문서의 데이터 처리 설명이 서로 다르면 사용자에게 혼란을 줄 수 있고 정책상 문제가 될 수 있습니다.

실수 5. 테스트하지 않은 데이터 삭제 기능을 제공한다고 신고

삭제 요청 기능이 실제로 작동하는지 확인해야 합니다.

단순히 개인정보처리방침에 삭제 요청이 가능하다고 작성하는 것만으로 충분하지 않습니다.

14. Data Safety 최종 점검 체크리스트

앱 구성 확인

  • 실제 배포 APK/AAB에 포함된 SDK 확인

  • 광고 SDK 버전 확인

  • 분석 및 오류 수집 SDK 확인

  • API 서버로 전송되는 데이터 확인

  • WebView 데이터 처리 확인

데이터 보안 신고

  • 데이터 수집 여부 확인

  • 데이터 공유 여부 확인

  • 데이터 유형별 처리 목적 확인

  • 필수·선택적 수집 여부 확인

  • 전송 중 암호화 여부 확인

  • 데이터 삭제 요청 가능 여부 확인

정책 및 출시

  • 개인정보처리방침과 신고 내용 일치

  • 외부 SDK 데이터 공개 문서 확인

  • Play Console 미리보기 확인

  • 최종 제출 후 심사 상태 확인

15. 마무리

Google Play Data Safety를 작성할 때 가장 중요한 것은 앱이 실제로 어떤 데이터를 처리하는지 정확하게 파악하는 것입니다.

특히 AdMob을 사용하는 Android 앱에서는 개발자가 직접 사용자 정보를 수집하지 않더라도 외부 SDK가 데이터를 처리할 수 있습니다.

따라서 다음 순서로 점검하는 것이 좋습니다.

  1. 앱과 외부 SDK의 데이터 수집 현황을 확인합니다.

  2. 데이터 수집과 공유를 구분합니다.

  3. 데이터 유형별 처리 목적을 확인합니다.

  4. 개인정보처리방침과 Data Safety 내용을 일치시킵니다.

  5. SDK 업데이트 시 신고 내용을 다시 검토합니다.

여러 Android 앱을 운영한다면 앱별로 SDK 구성과 데이터 처리 현황을 정리해 두는 것을 추천합니다.

앱마다 기능이 다르더라도 공통적으로 사용하는 광고 SDK의 데이터 처리 내용을 체계적으로 관리할 수 있기 때문입니다.

참고 자료

태그: Android, Kotlin, Google Play, Play Console, Data Safety, 데이터 보안, AdMob, 개인정보처리방침, Android 앱 출시, Google Mobile Ads SDK