개인정보위, 적법 근거 없이 개인정보수집·이용한 틱톡·애플 제재
- 적법 근거 없는 타사 행태정보 수집·이용 등 개인정보 보호법을 위반한 틱톡에 과징금 약 103억 원 등 부과
- 애플 이용자의 Siri 이용 음성 및 전사문의 동의 없는 수집·이용에 대해 애플에 과징금 약 2.5억 원 등 부과
개인정보보호위원회(위원장 송경희, 이하 '개인정보위')는 7월 22일(수) 제14회 전체회의를 열고, ｢개인정보 보호법｣(이하 '보호법') 및 구 ｢정보통신망 이용 촉진 및 정보보호에 관한 법률｣(이하 '정보통신망법')을 위반한 Tiktok Pte. Ltd.(이하 '틱톡') 및 Apple의 2개 계열사*에 대해 과징금 총 105억 5,800만 원을 부과하고, 시정 및 공표 명령을 의결했다.
* Apple Distribution International Limited(ADI), Apple Services Pte. Ltd.(ASPL)
이들 사업자는 모두 적법 근거를 갖추지 않고 개인정보를 수집·이용 및 국외 이전하였으며, 사업자별 구체적인 위반 내용과 처분 결과는 다음과 같다.
< 틱톡: 과징금 103억 600만 원 및 시정·공표 명령 >
개인정보위는 틱톡 및 틱톡 라이트가 보호법을 위반하고 있다는 언론보도를 계기로 조사에 착수하여, 적법 근거 없는 타사 행태정보 수집·이용 및 국외이전 등 보호법 위반 사실을 확인했다.
틱톡은 광고 및 콘텐츠 성과 분석 등의 서비스를 제공하면서 다른 웹·앱 사업자들에게 행태정보 수집 도구(TikTok Pixel, Events SDK, Events API 등)를 배포하고 있으며, 해당 도구가 설치된 타사의 웹·앱 페이지에 방문한 이용자의 활동 기록*(이하, '타사 행태정보')을 수집한다.
* 클릭, 구매, 장바구니에 담기, 문의, 다운로드, 검색, 컨텐츠 보기 등
국내 7만 1천여 개 기업에서 틱톡의 행태정보 수집 도구를 이용하고 있는 것으로 확인되며, 틱톡은 해당 도구를 통해 945만 명의 국내 활성 이용자로부터 타사 행태정보를 수집('25.12. 기준)하고 있다.
틱톡은 이용자의 타사 행태정보 및 이용자 기기 식별자* 등을 함께 수집하고, 틱톡 회원 계정과 연결하며, 이를 분석하여 이용자의 특성·관심사 등을 추론한 뒤 맞춤형 광고에 활용하고 있다.
* 모바일 기기별 광고 식별자(Android : GAID / iOS : IDFA) 및 틱톡이 부여한 인터넷 브라우저 식별자(쿠키 : ttp)
그럼에도 틱톡은 가입 시에 이용자가 명확히 인지할 수 있도록 고지하지 않았고, 서비스 제공을 위해 꼭 필요한 다른 개인정보와 함께 필수 동의 형태로 동의를 받음으로써 틱톡 서비스를 이용하고자 하는 정보주체에게 맞춤형 광고를 위한 타사 행태정보 수집 등을 사실상 강제하는 등 실질적인 동의권을 행사할 수 없도록 했다.
아울러, 틱톡 라이트의 포인트 현금 인출 서비스 제공 과정에서 이용자의 개인정보를 계열사에 이전하면서도, 이전하는 개인정보의 항목, 이전받는 자의 개인정보 이용 목적 및 보유·이용 기간 등 법정 사항을 공개하거나 알리지 않은 사실도 함께 확인했다.
개인정보위는 틱톡의 법적 근거 없는 타사 행태정보 수집·이용과 국외 이전이 각각 보호법 제15조(개인정보의 수집·이용)제1항 및 제28조의8(개인정보의 국외 이전)제1항 위반에 해당한다고 보아, 과징금 103억 600만 원과 함께 시정명령 및 공표명령을 부과하기로 결정했다.
< 애플: 과징금 2억 5,200만 원 및 시정명령 >
개인정보위는 미국에서 애플 이용자의 Siri 음성 데이터 무단 수집·이용과 관련한 소송 결과가 보도됨에 따라 조사에 착수하여, 적법 근거 없는 개인정보 수집·이용 및 국외 이전 등 법 위반 사실을 확인했다.
조사 결과, 애플은 2019년 8월까지 이용자가 음성 비서 서비스인 'Siri'를 이용하는 경우 음성 녹음 및 전사문*을 수집하였고, 음성 인식 기능, 검색 결과 개선 등에 이용하면서 이용자로부터 별도의 동의를 받지 않았던 것으로 드러났다. 이어, 2019년 10월부터는 음성 녹음을 서비스 개선에 이용하는데 별도의 동의를 받았으나, 전사문에 대해서는 여전히 별도의 적법 근거를 마련하지 않고 서비스 개선에 이용해 온 사실을 확인했다.
* 전사문은 수집된 음성 녹음을 텍스트로 변환한 데이터를 말함
더불어, 이용자의 개인정보를 미국의 Apple Inc. 등 계열사에 국외 이전 하면서도 이전하는 개인정보의 항목, 이전받는 자의 개인정보 이용 목적 및 보유·이용 기간 등을 개인정보 처리방침에 충분히 기재하지 않은 사실도 확인했다.
다만, 애플은 조사 과정에서 전사문 수집·이용에 대하여는 정보주체에게 선택권을 부여하고 전사문 내 개인정보를 필터링하는 등 개인정보 보호 조치를 강화하고 개인정보 처리방침을 개정하는 등 위법 사실을 시정했다.
이에 따라 개인정보위는 애플 계열사인 ADI에 구 정보통신망법 위반으로 과징금 2억 5,200만 원을 부과하고, 또 다른 계열사인 ASPL에 국외이전 위반 등에 대하여 국외이전 현황 점검 등을 내용으로 하는 시정조치 명령을 통해 개인정보 보호 수준을 강화하도록 했다.
< 이번 조사·처분의 의의 >
이번 처분은 글로벌 환경의 계열회사 등 다수 기업이 관련되는 복잡한 개인정보 처리 환경에서 해외 사업자 또한 대한민국 정보주체의 개인정보 처리 투명성 확보 및 개인정보 자기결정권 보장을 위한 조치를 충분히 이행하여야 함을 경고했다는 데 의의가 있다.
특히, 개인정보의 적법 처리 근거 중 하나인 '정보주체의 동의'는 정보주체가 자신의 개인정보 수집·이용과 관련한 내용을 명확히 인지한 상태에서 자유로운 의사에 따라 이루어진 경우에만 유효하며, 개인정보 자기결정권이 사실상 형해화된 경우 적법한 동의로 인정받을 수 없음을 다시 한번 강조했다.
아울러, 개인정보의 '국외 이전'은 단순히 개인정보의 국경간 물리적 이동을 의미하는 것이 아니라, 보호법의 법적 관할이 미치지 않아 보호수준이 담보되지 않는 범위로의 이전을 의미한다. 따라서 계열사 내 이전이거나 동일 국가 내에서의 이전이라 하더라도 국외로 제공·처리위탁·보관 등이 이루어지는 경우 국외 이전 요건 등 관련 규정을 준수하여야 한다는 사실을 명확히 했다.
개인정보위는 앞으로도 해외 사업자의 개인정보 처리 실태를 지속적으로 점검하고 위법 행위에 대해서는 국내외 기업 간 차별 없이 엄정하게 대응함으로써, 우리 국민의 개인정보가 국경을 넘어 복잡한 환경 속에서도 안전하고 투명하게 보호받을 수 있도록 노력할 예정이다.
