개인정보보호위원회(개인정보위)가 적법한 절차 없이 이용자의 개인정보를 수집하고 해외로 옮긴 글로벌 IT 기업 틱톡과 애플에 대해 무거운 제재를 내렸습니다.
개인정보위는 7월 22일 전체회의를 열고 틱톡과 애플의 두 계열사(애플 디스트리뷰션 인터내셔널 리미티드, 애플 서비시즈 피티이 리미티드)가 개인정보보호법을 위반한 사실을 확인하고 총 105억 5,800만 원의 과징금을 부과하기로 의결했습니다.
우선 틱톡에는 과징금 103억 600만 원과 함께 시정명령, 공표명령이 내려졌습니다. 조사 결과 틱톡은 다른 웹사이트나 앱 사업자들에게 행태정보 수집 도구(틱톡 픽셀, 이벤트 SDK, 이벤스 API 등)를 배포해 왔습니다. 이 도구가 설치된 타사의 페이지를 방문한 이용자의 클릭, 구매, 검색 등의 활동 기록을 수집한 것입니다.
국내 7만 1천여 개 기업이 틱톡의 행태정보 수집 도구를 사용하고 있는 것으로 파악됐으며, 틱톡은 지난해 12월 기준 약 945만 명의 국내 활성 이용자로부터 타사 행태정보를 수집했습니다. 여기에 기기 식별자(안드로이드 GAID, iOS IDFA 등)도 함께 수집해 틱톡 회원 계정과 연결하고, 이용자의 특성과 관심사를 분석해 맞춤형 광고에 사용했습니다.
문제는 틱톡이 이런 정보를 수집할 때 이용자가 명확히 인지할 수 있도록 고지하지 않았고, 서비스 이용에 꼭 필요한 개인정보와 함께 필수 동의 형태로 받아 사실상 동의를 강제했다는 점입니다. 이는 개인정보보호법 제15조(수집·이용)와 제28조의8(국외 이전)을 위반한 것입니다. 또 틱톡 라이트의 포인트 현금 인출 서비스 과정에서 이용자 정보를 계열사로 옮기면서 법정 사항을 공개하거나 알리지 않은 사실도 확인됐습니다.
애플의 경우 과징금 2억 5,200만 원이 부과됐습니다. 개인정보위는 미국에서 애플 이용자의 시리 음성 데이터 무단 수집과 관련한 소송 결과가 보도되면서 조사에 착수했습니다. 조사 결과 애플은 2019년 8월까지 이용자가 음성 비서 서비스 시리를 이용할 때 음성 녹음과 전사문(음성을 텍스트로 변환한 데이터)을 수집하고, 음성 인식 기능 개선 등에 사용하면서 별도 동의를 받지 않았습니다.
이후 2019년 10월부터는 음성 녹음을 서비스 개선에 활용하는 데 동의를 받았지만, 전사문에 대해서는 여전히 아무런 법적 근거 없이 사용해 온 것으로 드러났습니다. 또한 이용자의 개인정보를 미국의 애플 본사 등 계열사로 국외 이전하면서 이전 항목, 이용 목적, 보유 기간 등을 개인정보 처리방침에 충분히 기재하지 않았습니다.
다만 애플은 조사 과정에서 전사문 수집·이용에 대해 이용자에게 선택권을 부여하고, 전사문 내 개인정보를 필터링하는 등 보호 조치를 강화하고 개인정보 처리방침을 개정하는 등 위법 사실을 스스로 시정했습니다. 이에 따라 개인정보위는 애플 계열사인 ADI(애플 디스트리뷰션 인터내셔널 리미티드)에 구 정보통신망법 위반으로 과징금 2억 5,200만 원을 부과하고, 다른 계열사인 ASPL(애플 서비시즈 피티이 리미티드)에는 국외 이전 현황 점검 등을 내용으로 하는 시정조치 명령을 내렸습니다.
이번 처분은 해외 사업자도 대한민국 정보주체의 개인정보 처리 투명성을 확보하고 자기결정권을 보장해야 한다는 점을 분명히 한 데 의의가 있습니다. 특히 정보주체의 동의는 자신의 개인정보 수집·이용 내용을 명확히 인지한 상태에서 자유로운 의사에 따라 이뤄져야 유효하며, 사실상 동의를 강제한 경우 적법한 동의로 인정받을 수 없다는 점을 다시 한번 강조했습니다.
또한 개인정보의 '국외 이전'은 단순히 물리적 데이터 이동뿐 아니라 보호법의 법적 관할이 미치지 않는 범위로의 이전을 의미합니다. 계열사 간 이전이거나 같은 국가 내 이전이라도 국외로 제공·처리위탁·보관이 이뤄지면 국외 이전 요건 등 관련 규정을 지켜야 합니다.
개인정보위는 앞으로도 해외 사업자의 개인정보 처리 실태를 지속적으로 점검하고, 위법 행위에 대해 국내외 기업 간 차별 없이 엄정하게 대응할 방침입니다. 우리 국민의 개인정보가 국경을 넘어 복잡한 환경 속에서도 안전하고 투명하게 보호받을 수 있도록 노력하겠다고 밝혔습니다.
