One Year After the PDPL: a Glimpse into the E-Commerce World in Saudi Arabia

1. 문제 정의 (Problem)

• 배경: 전 세계적으로 GDPR, CCPA, PIPL 등 개인정보 보호 법규가 강화되고 있으며, 사우디 아라비아도 2024 년에 PDPL 을 전면 시행했습니다.
• 문제점: PDPL 시행 이후, 실제 전자상거래 사이트들이 법규를 얼마나 준수하고 있는지에 대한 심층적인 실증 분석이 부족합니다. 기존 연구들은 프라이버시 정책의 존재 여부나 고수준 속성 분석에 그쳤으며, PDPL 의 세부 요구사항 (데이터 파기, 사본 요청, 불만 제기 등) 에 대한 미세한 분석이나 LLM 을 활용한 자동화 도구의 가능성은 탐구되지 않았습니다.
• 목표: 사우디 전자상거래 사이트의 PDPL 준수 실태를 파악하고, LLM 기반 자동 분석의 효용성과 한계를 규명하여 정책 입안자와 규제 기관에 제언을 제공하는 것.

2. 연구 방법론 (Methodology)

연구는 100 개 사우디 전자상거래 웹사이트를 대상으로 수행되었으며, 정량적 및 정성적 분석을 결합했습니다.

• 데이터 수집:
  • Google 검색을 통해 아랍어 및 영어 키워드로 100 개 사이트를 선정 (상위, 중위, 하위 순위 포함).
  • Wappalyzer 확장 프로그램을 사용하여 사이트가 로컬 (Zid, Salla) 또는 비로컬 호스팅 플랫폼을 사용하는지 확인.
• 분석 대상 (4 가지 핵심 항목):
  1. 데이터 보유 기간 (Retention): 보유 기간 또는 기준 명시 여부.
  2. 데이터 파기 요청 권리 (Destruction): 파기 요청 권리 및 방법, 응답 기간 명시 여부.
  3. 개인정보 사본 요청 권리 (Copy): 가독성 있고 명확한 형식의 사본 요청 권리 명시 여부.
  4. 불만 제기 메커니즘 (Complaint): 불만 제기 채널, 담당 부서, 응답 기간, 상급 기관 명시 여부.
• 분석 프로세스:
  1. 수동 분석 (Human Analysis): 두 명의 연구자가 템플릿 분석 (Template Analysis) 기법을 사용하여 프라이버시 정책의 존재 여부 및 4 가지 항목의 세부 내용을 코딩.
  2. 자동화 분석 (LLM Analysis): OpenAI 의 GPT-5 모델을 기반으로 한 LLM 에이전트를 개발하여 동일한 질문을 정책에 대해 수행.
  3. 비교 분석: 인간 분석가와 LLM 의 답변 일치도 및 오차 원인 (오류, 해석 차이 등) 을 심층 분석.

3. 주요 기여 (Key Contributions)

1. PDPL 준수에 대한 최초의 심층 실증 분석: 사우디 웹사이트 100 개를 대상으로 PDPL 의 세부 요구사항을 정밀하게 분석했습니다.
2. 미세한 수준 (Fine-grained) 의 평가: 정책의 존재 여부뿐만 아니라, 법적 요구사항인 구체적인 세부 사항 (예: 응답 기한, 파기 방법 등) 이 누락된 경우를 식별했습니다.
3. 순위 및 호스팅 플랫폼과 준수율의 상관관계 규명: 검색 결과 상위에 노출된 사이트와 로컬 호스팅 플랫폼을 사용하는 사이트가 오히려 준수율이 낮다는 놀라운 사실을 발견했습니다.
4. LLM 기반 자동 분석의 평가 및 가이드라인 제시: LLM 이 인간 분석가보다 특정 조건 (긴 텍스트, 복잡한 구조) 에서 더 정확할 수 있음을 보였으며, LLM 기반 분석을 개선하기 위한 기술적 고려사항 (HTML 내외부 콘텐츠 정렬, 텍스트 경계 명시 등) 을 제안했습니다.

4. 주요 결과 (Key Results)

A. 전반적인 준수율

• 전체 준수율: 분석된 100 개 사이트 중 **31% 만이 4 가지 항목을 모두 명시하여 완전 준수 (Fully Compliant)**로 분류되었습니다.
• 비준수 현황:
  • 9%: 프라이버시 정책 자체가 없음.
  • 29%: 일부 항목만 명시 (부분 준수).
  • 40%: 정책은 있으나 4 가지 항목 중 하나도 명시하지 않음 (비준수).
• 세부 사항 누락: 항목이 명시되더라도 세부 사항이 부족한 경우가 많았습니다. 예를 들어, 파기나 사본 요청 권리가 명시된 정책 중 80% 이상이 요청에 대한 응답 기한을 명시하지 않았습니다.

B. 순위 및 호스팅 플랫폼과의 관계

• 검색 순위: 상위 순위 (Google 검색 결과 상단) 사이트의 **비준수율이 60%**로 가장 높았습니다. (중위 22%, 하위 38%)
• 호스팅 플랫폼:
  • 로컬 플랫폼 (Zid, Salla 등): 비준수율이 **70%**로 가장 높았으며, **완전 준수 사이트는 0%**였습니다.
  • 비로컬/자체 호스팅: 비준수율이 각각 21%, 34% 로 상대적으로 낮았습니다.
• 원인: 로컬 플랫폼 사용 사이트는 주로 중소기업 (SME) 이나 프리랜서 (생산적 가족) 로 구성되어 있으며, 플랫폼이 책임져야 한다는 오해 (책임 소재 불명확) 와 낮은 인식이 비준수의 주된 원인으로 추정됩니다.

C. 인간 vs LLM 분석 비교

• 일치율: 4 가지 질문 중 3 가지에서 인간과 LLM 의 일치율이 80% 이상이었습니다.
  • 보유 기간 (Retention): 96%
  • 파기 (Destruction): 92%
  • 불만 제기 (Complaint): 81%
  • 사본 요청 (Copy): 58% (가장 낮음, LLM 이 '가독성 있는 형식'이라는 문구를 문자 그대로 해석하여 인간보다 엄격하게 판단한 경우多)
• 차이 원인:
  • LLM 이 더 엄격한 경우: LLM 이 법적 용어를 문자 그대로 해석하여 간접적인 표현을 인정하지 않음.
  • LLM 이 더 관대한 경우: 다른 법규 (GDPR 등) 의 맥락이나 정책의 문맥을 잘못 해석하여 존재하지 않는 권리를 인정하는 경우.
  • 기술적 오류: HTML 코드 내부의 텍스트와 브라우저에 표시된 텍스트 불일치, 팝업/동적 렌더링으로 인한 텍스트 추출 실패 등.

5. 의의 및 제언 (Significance & Recommendations)

• 규제 및 정책: PDPL 의 시행 초기 단계임을 고려할 때, 단순한 인식 제고를 넘어 **지속적인 지원과 강력한 집행 (모니터링, 제재)**이 필요합니다. 특히 중소기업과 로컬 플랫폼 사용자를 위한 맞춤형 교육과 가이드라인이 시급합니다.
• 책임 소재 명확화: 로컬 전자상거래 플랫폼 (Salla, Zid 등) 은 데이터 처리자 (Processor) 일 뿐이며, 최종 책임은 웹사이트 소유자 (Controller) 에게 있음을 명확히 하고, 플랫폼이 준수 정책을 강제하거나 지원하는 역할을 해야 합니다.
• LLM 활용의 가능성: LLM 은 긴 정책 문서나 복잡한 구조에서 인간보다 빠르게 핵심 정보를 추출할 수 있는 잠재력이 있습니다. 하지만 문맥 (Context) 에 따른 오해를 방지하기 위해 프롬프트 엔지니어링과 HTML 텍스트 추출 기술의 정교화가 필요합니다.
• 웹사이트 개발자: 프라이버시 정책의 HTML 내외부 콘텐츠 정렬, 텍스트 경계 명확화, 그리고 지역별 법규 (PDPL vs GDPR) 에 맞는 용어 사용을 권장합니다.

결론적으로, 사우디 아라비아의 전자상거래 환경은 PDPL 시행 1 년 차에도 불구하고 상당한 비준수 상태에 있으며, 특히 상위 검색 순위 사이트와 로컬 플랫폼 기반 사이트에서 심각한 문제가 발견되었습니다. LLM 기반 자동 분석은 규제 모니터링을 위한 유망한 도구이나, 법적 맥락과 기술적 한계를 고려한 정교한 접근이 필요합니다.