개인정보보호위원회(이하 개인정보위)가 글로벌 플랫폼 기업인 틱톡과 애플에 대해 역대급 과징금을 부과했다. 두 기업 모두 이용자 동의 없이 개인정보를 수집하거나 해외로 빼돌린 혐의가 인정됐기 때문이다.
개인정보위는 7월 22일 전체회의를 열고 틱톡과 애플의 두 계열사에 대해 과징금 총 105억 5,800만 원을 부과하고 시정 및 공표 명령을 의결했다. 틱톡에는 약 103억 원, 애플에는 약 2억 5,200만 원의 과징금이 각각 부과됐다.
틱톡의 위반 사항은 특히 광범위했다. 틱톡은 자사 서비스를 개선하고 맞춤형 광고를 제공하기 위해 '틱톡 픽셀'이라는 도구를 다른 웹사이트나 앱에 설치하도록 배포했다. 이 도구가 설치된 사이트를 이용자가 방문하면 클릭, 구매, 검색 등 활동 기록이 고스란히 틱톡으로 전송됐다.
문제는 이 과정에서 이용자 동의를 제대로 받지 않았다는 점이다. 국내 7만 1천여 개 기업이 틱톡의 수집 도구를 사용 중이며, 이를 통해 지난해 12월 기준 약 945만 명의 국내 이용자 정보가 수집됐다. 틱톡은 이 정보를 이용자 기기 식별자와 결합해 회원 계정에 연결한 뒤, 관심사와 특성을 분석해 광고에 활용했다.
개인정보위는 틱톡이 가입 단계에서 이용자가 명확히 인지할 수 있도록 고지하지 않았고, 필수 동의 항목에 맞춤형 광고 동의를 끼워 넣어 사실상 동의를 강제했다고 판단했다. 이는 개인정보 자기결정권을 심각하게 침해한 행위로, 개인정보 보호법 제15조(수집·이용)와 제28조의8(국외 이전)을 위반한 것이다.
또한 틱톡 라이트의 포인트 현금 인출 서비스 과정에서 이용자 정보를 해외 계열사로 이전하면서도, 이전 항목이나 이용 목적 등 법정 사항을 공개하지 않은 사실도 추가로 확인됐다.
애플의 경우는 음성 비서 서비스 '시리(Siri)'와 관련된 위반이었다. 조사 결과 애플은 2019년 8월까지 이용자가 시리를 사용할 때 나오는 음성 녹음과 이를 텍스트로 변환한 전사문을 동의 없이 수집해 음성 인식 기능 개선 등에 활용했다.
이후 2019년 10월부터는 음성 녹음에 대해 별도 동의를 받기 시작했지만, 전사문은 여전히 동의 없이 서비스 개선에 사용한 것으로 드러났다. 아울러 이용자 개인정보를 미국 본사 등 해외 계열사로 이전하면서도 처리방침에 관련 사항을 충분히 기재하지 않았다.
다만 애플은 조사 과정에서 전사문 수집에 선택권을 부여하고, 개인정보 필터링 조치를 강화하는 등 자발적으로 문제를 시정한 점이 참작됐다.
이번 처분은 글로벌 기업이라도 한국 이용자의 개인정보를 다룰 때는 반드시 법적 근거를 갖춰야 한다는 원칙을 재확인한 사례다. 특히 개인정보위는 '정보주체의 동의'는 내용을 명확히 인지하고 자유로운 의사에 따라 이뤄져야 유효하며, 사실상 강제된 동의는 적법한 동의로 인정받을 수 없다고 강조했다.
또한 개인정보의 '국외 이전'은 단순한 물리적 이동뿐 아니라, 국내 법적 보호가 미치지 않는 범위로의 이전을 의미한다. 따라서 같은 기업의 계열사 간 이전이라도 해외로 정보가 제공·보관된다면 국외 이전 요건을 반드시 준수해야 한다는 점도 분명히 했다.
개인정보위는 앞으로도 해외 사업자의 개인정보 처리 실태를 지속적으로 점검하고, 위법 행위에 대해서는 국내외 기업을 차별 없이 엄정 대응하겠다는 방침이다. 이를 통해 우리 국민의 개인정보가 국경을 넘나드는 복잡한 환경에서도 안전하고 투명하게 보호받을 수 있도록 노력할 예정이다.
