개인정보보호위원회(이하 개인정보위)가 이용자 동의 없이 개인정보를 수집하고 해외로 빼돌린 글로벌 IT 기업 틱톡과 애플에 대해 역대급 제재를 가했다. 개인정보위는 7월 22일 전체회의를 열고 틱톡과 애플의 두 계열사에 대해 총 105억 5,800만 원의 과징금을 부과하고, 위반 행위를 시정하고 결과를 공표하라고 명령했다.
이번 조치는 해외 사업자라도 국내 이용자의 개인정보를 투명하게 처리하고 자기결정권을 보장해야 한다는 원칙을 재확인한 사례로 평가된다. 특히 개인정보위는 동의가 형식적으로 이뤄지거나 사실상 강제된 경우에는 적법한 동의로 인정할 수 없다는 점을 분명히 했다.
가장 무거운 제재를 받은 기업은 틱톡이다. 개인정보위는 틱톡과 틱톡 라이트가 개인정보 보호법을 위반했다는 언론 보도를 계기로 조사에 착수했고, 적법한 근거 없이 다른 웹사이트나 앱에서 이용자의 활동 정보를 수집하고 해외로 이전한 사실을 확인했다.
틱톡은 광고 성과 분석 등을 위해 ‘틱톡 픽셀’ 등 행태정보 수집 도구를 다른 웹·앱 사업자들에게 배포했다. 이 도구가 설치된 타사 사이트에 방문한 이용자의 클릭, 구매, 검색 등의 활동 기록이 자동으로 틱톡에 전송된 것이다. 국내 7만 1천여 개 기업이 이 도구를 사용 중이며, 지난해 12월 기준 약 945만 명의 국내 활성 이용자로부터 정보를 수집한 것으로 드러났다.
문제는 틱톡이 이 정보를 이용자의 기기 식별자와 함께 수집해 틱톡 회원 계정과 연결하고, 이를 바탕으로 이용자의 관심사를 분석해 맞춤형 광고에 활용했다는 점이다. 그러나 틱톡은 가입 과정에서 이용자가 명확히 인지할 수 있도록 고지하지 않았고, 필수 동의 항목에 포함시켜 사실상 동의를 강제했다. 이는 이용자의 실질적인 동의권을 침해한 행위로, 개인정보위는 법적 근거 없는 수집·이용과 국외 이전이 각각 개인정보 보호법 제15조와 제28조의8을 위반했다고 판단했다.
이에 따라 개인정보위는 틱톡에 과징금 103억 600만 원과 함께 시정명령 및 공표명령을 부과했다. 또한 틱톡 라이트의 포인트 현금 인출 서비스 과정에서 이용자 정보를 계열사로 이전하면서 법정 고지 사항을 제대로 알리지 않은 사실도 추가로 확인됐다.
애플의 경우 시리 음성 데이터 무단 수집 문제가 도마 위에 올랐다. 미국에서 관련 소송 결과가 보도되면서 개인정보위가 조사에 나섰고, 2019년 8월까지 이용자가 시리를 사용할 때 음성 녹음과 이를 텍스트로 변환한 전사문을 동의 없이 수집·이용한 사실을 적발했다.
애플은 2019년 10월부터 음성 녹음을 서비스 개선에 활용하는 데는 별도 동의를 받기 시작했지만, 전사문에 대해서는 여전히 적법한 근거 없이 계속 이용해 온 것으로 확인됐다. 또한 이용자의 개인정보를 미국 본사 등 계열사로 해외 이전하면서 개인정보 처리방침에 이전 항목과 이용 목적, 보유 기간 등을 충분히 기재하지 않은 점도 위반 사항으로 지적됐다.
다만 애플은 조사 과정에서 전사문 수집·이용에 대해 이용자에게 선택권을 부여하고, 전사문 내 개인정보를 걸러내는 보호 조치를 강화하는 등 자체 시정에 나섰다. 개인정보위는 이러한 점을 감안해 애플의 아일랜드 계열사(ADI)에 구 정보통신망법 위반으로 과징금 2억 5,200만 원을 부과하고, 싱가포르 계열사(ASPL)에는 국외 이전 현황 점검 등을 내용으로 하는 시정조치 명령을 내렸다.
이번 처분은 글로벌 기업이라도 국내법을 준수해야 한다는 원칙을 재확인한 점에서 의미가 크다. 개인정보위는 “해외 사업자 또한 대한민국 정보주체의 개인정보 처리 투명성을 확보하고 자기결정권을 보장하기 위한 조치를 충분히 이행해야 한다”고 강조했다.
특히 개인정보위는 ‘정보주체의 동의’가 유효하려면 이용자가 내용을 명확히 인지한 상태에서 자유로운 의사에 따라 이뤄져야 하며, 동의가 사실상 강제된 경우 적법한 동의로 인정받을 수 없다는 점을 분명히 했다. 아울러 ‘국외 이전’은 단순한 물리적 이동뿐 아니라 계열사 간 이전이나 동일 국가 내 이전이라도 국내법의 보호 범위를 벗어나는 경우 관련 규정을 반드시 준수해야 한다고 강조했다.
개인정보위는 앞으로도 해외 사업자의 개인정보 처리 실태를 지속적으로 점검하고, 위법 행위에 대해 국내외 기업 간 차별 없이 엄정하게 대응해 나갈 방침이다. 이를 통해 우리 국민의 개인정보가 국경을 넘어 복잡한 환경 속에서도 안전하고 투명하게 보호받을 수 있도록 노력하겠다고 밝혔다.
