로봇청소기 카메라 영상, 서버에 남을까? 사진·지도·해킹은 답이 다릅니다

카메라가 달린 로봇청소기를 쓰다 보면 한 번쯤 걱정이 듭니다. 거실과 침실을 돌아다니며 찍은 영상이 제조사 서버에 쌓이고 있는 건 아닐까요.

개인정보보호위원회가 9월 14일 발표한 점검 결과로는, 앱으로 보는 실시간 카메라 영상과 “방 청소해” 같은 음성 명령의 원본은 사업자 서버에 보관되지 않았습니다. 점검 대상은 로보락·삼성전자·LG전자·에코백스·샤오미가 판매하는 2025년 3월 기준 최신 모델입니다.

다만 모든 정보의 답이 같지는 않습니다. 청소 중 찍힌 장애물 사진은 서버에 잠시 남을 수 있고, 집 구조를 담은 지도는 일부 제품이 서버에도 보관합니다. 외부 해킹에 뚫리는지는 이번 점검이 아니라 지난해 다른 기관의 보안 조사가 다룬 질문입니다.

영상·음성·사진·지도, 어디에 남나

개인정보위는 이 정보들이 청소기와 앱, 서버 사이에서 수집·전송·저장되는 과정을 따라가 봤습니다. 정보 종류별로 결과를 나누면 다음과 같습니다.

정보	남는 곳	함께 볼 조건
앱으로 보는 실시간 영상	청소기에서 앱으로 암호화 전송, 사업자 서버에는 보관하지 않음	실시간으로 볼 때의 결과
음성 명령	원본은 서버에 보관하지 않음. 청소기 안에서 처리하거나, 서버에서 문자로 바꾼 뒤 원본 즉시 삭제	바뀐 문자는 이용자가 삭제할 수 있음
장애물 사진	청소기나 서버에 임시 저장 후 삭제	삭제 시점이 브랜드마다 다름(다음 청소 때까지, 이용자가 볼 때까지, 24시간 등)
지도정보(집 구조)	청소기에 보관, 스마트폰에는 보관하지 않음	일부 제품은 서버에도 보관

표에서 ‘서버에 남지 않는다’가 그대로 들어맞는 것은 위의 두 줄, 실시간 영상과 음성 원본뿐입니다. 장애물 사진은 짧게라도 서버에 머물 수 있고, 지도는 제품에 따라 서버에 남습니다. 개인정보위도 브랜드마다 세부 사항이 다를 수 있다고 덧붙였습니다.

녹화 기능이 있는 제품은 한 가지를 더 봐야 합니다. 발표의 영상 항목은 앱에서 실시간으로 볼 때를 설명한 것이고, 녹화 영상은 따로 다뤄질 수 있습니다.

예를 들어 삼성전자는 로봇청소기 자주 묻는 질문에서 스트리밍 영상은 클라우드에 저장하지 않지만 녹화 영상은 24시간 동안 클라우드에 보관한 뒤 삭제한다고 안내합니다. 쓰는 제품에 녹화나 사진 촬영 기능이 있다면 제조사 안내에서 보관 기간을 찾아보세요.

‘전반적으로 안전’ 속 미흡 사항 다섯 가지

침해 위험은 나오지 않았지만, 개인정보 보호법이 요구하는 의무를 제대로 지키지 않은 사례는 나왔습니다. 대부분은 점검 중에 고쳤거나 고치는 중이고, 아직 끝나지 않은 사항은 9월 9일 개인정보위 전체회의에서 시정권고로 의결됐습니다. 어느 브랜드의 사례인지는 발표에 나오지 않습니다.

동의 구분: 계약 이행 등을 위해 동의 없이 처리하는 정보와 동의를 받아 처리하는 정보를 섞어서 안내했습니다.
선택권: 이용자가 따로 고르지 않았는데 서비스 개선 같은 목적으로 개인정보를 수집·이용했습니다.
국외 이전·보유기간: 해외 데이터센터를 쓰면서 국외 이전 사항을 처리방침에서 빠뜨리거나, 보유기간을 “목적 달성 시까지”처럼 뭉뚱그려 적었습니다.
국내대리인: 해외 사업자가 국내대리인을 지정하지 않았거나, 국내에 세운 법인이 아닌 곳을 지정했습니다.
안전조치: 직원의 접근권한과 접속기록 관리가 부족했습니다. 일부 사업자는 청소기 접근통제와 개인정보 전송 암호화도 미흡했습니다.

5번에는 단서가 붙어 있습니다. 접근통제와 암호화 문제는 최신 모델에서는 고쳐졌지만 그 외 모델은 아직 조치 중입니다. 몇 해 전에 산 제품이라면 ‘최신 모델이 안전했다’는 결론을 그대로 가져오기 어렵습니다.

내 청소기 앱에서 볼 것

미흡 사항 가운데 1~4번은 이용자가 앱과 개인정보 처리방침에서 직접 살펴볼 수 있는 부분입니다. 메뉴 이름은 앱마다 달라서, 설정 안의 개인정보나 약관·정책 항목부터 찾으면 됩니다.

선택 동의 항목: 서비스 개선·마케팅처럼 선택으로 표시된 동의는 하지 않아도 됩니다. 개인정보 보호법 제22조 제5항은 선택 동의를 하지 않았다는 이유로 재화나 서비스 제공을 거부하지 못하게 합니다. 이미 동의했다면 앱에서 그 항목을 끌 수 있는지 살펴보세요.
국외 이전과 국내대리인: 해외 브랜드라면 처리방침에서 개인정보가 어느 나라로 옮겨지는지, 얼마 동안 보관하는지, 국내대리인의 이름·주소·연락처가 적혀 있는지 보세요. 이번 점검에서 빠져 있던 항목이라 보완을 마쳤다면 처리방침에 나와 있어야 합니다.
비밀번호와 업데이트: 앱 계정에 다른 곳과 겹치지 않는 비밀번호를 쓰고, 앱과 청소기의 보안 업데이트를 미루지 마세요. 아래 보안 조사를 한 기관들이 소비자에게 당부한 기본 수칙입니다.

해킹 걱정은 다른 조사를 봐야 합니다

이번 발표는 사업자가 정보를 어떻게 모으고 보관하는지를 본 점검입니다. 누군가 앱 인증을 뚫고 집 안 사진을 보거나 카메라를 켤 수 있는지는 별개의 질문입니다. 이 부분은 한국인터넷진흥원(KISA)과 한국소비자원이 2025년 9월 2일 발표한 로봇청소기 6개 제품 보안 조사가 다뤘습니다.

모바일앱 보안, 정책 관리, 기기 보안으로 나눠 40개 항목을 점검한 결과, 나르왈·드리미·에코백스 3개 제품은 사용자 인증 절차가 미비했습니다. 이 때문에 집 안을 찍은 사진이 외부로 노출되거나 카메라가 강제로 켜질 수 있는 취약점이 나왔습니다.

드리미 제품에서는 이름·연락처가 새어 나갈 우려가 있는 취약점도 발견돼 즉시 개선됐고, 드리미·에코백스는 하드웨어 보안 수준도 상대적으로 낮았습니다. 반대로 삼성전자·LG전자 제품은 접근 권한 설정, 불법 조작 방지, 안전한 비밀번호 정책, 업데이트 정책이 비교적 잘 갖춰져 종합 평가에서 상대적으로 우수했습니다.

6개 사업자는 모두 품질개선 계획을 회신했고, KISA 원장은 그해 국정감사에서 확인된 취약점의 시정조치가 모두 끝났다고 답했습니다(바이라인네트워크 보도).

두 조사를 겹쳐 보면 에코백스는 양쪽에 모두 들어갔지만, 나르왈과 드리미는 이번 개인정보위 점검의 5개 브랜드에 없습니다. 두 브랜드 제품을 쓴다면 이번 ‘전반적으로 안전’ 결론은 그 제품을 점검한 결과가 아닙니다.

살 때 IoT 보안인증을 참고하려면

KISA는 IoT 제품과 연동되는 모바일 앱을 함께 시험해 IoT 보안인증을 내줍니다. 등급은 Lite·Basic·Standard 세 가지이고, 인증받은 제품은 정보보호산업진흥포털의 IoT 보안인증 현황에서 찾아볼 수 있습니다.

다만 정보통신망법 제48조의6에 근거한 자율 인증이라 인증 없이도 제품을 팔 수 있습니다. 인증이 없다고 곧 취약하다는 뜻은 아니고, 인증 표시가 있다면 어느 등급인지까지 보는 편이 정확합니다. 청소 성능 쪽 사양도 비교하고 있다면 로봇청소기 문턱 높이 수치를 읽는 법을 함께 보세요.

팔거나 버리기 전에

지도정보는 청소기 본체에 남고, 일부 제품은 서버에도 남습니다. 중고로 넘기거나 처분할 때는 앱에서 기기 연결을 해제하고 본체도 초기화하세요. 서버에 저장된 지도까지 지우는 방법은 제품마다 달라서 제조사 고객센터에 묻는 편이 확실합니다.

개인정보 침해가 의심되면 국번 없이 118(개인정보침해신고센터)로 상담할 수 있습니다.

이 블로그 검색