틱톡과 애플이 적법 근거 없이 개인정보를 수집·이용해 과징금 처분을 받게 됐다.
지난 22일 개인정보보호위원회(위원장 송경희)는 제14회 전체회의에서 아래와 같이 의결했다.
틱톡(Tiktok Pte. Ltd) 및 애플의 2개 계열사(Apple Distribution International Limited(ADI), Apple Services Pte. Ltd.(ASPL))은 ｢개인정보 보호법｣ 및 구 ｢정보통신망 이용 촉진 및 정보보호에 관한 법률｣을 위반으로 과징금 총 105억5800만 원을 부과받고, 시정 및 공표 명령을 받았다.
이들 사업자는 모두 적법 근거를 갖추지 않고 개인정보를 수집·이용 및 국외 이전했다.
■틱톡, 과징금 103억600만 원 및 시정·공표 명령
개인정보위는 틱톡 및 틱톡 라이트가 「보호법」을 위반하고 있다는 언론보도를 계기로 조사에 착수해, 적법 근거 없는 타사 행태정보 수집·이용 및 국외이전 등 「보호법」 위반 사실을 확인했다.
틱톡은 광고 및 콘텐츠 성과 분석 등의 서비스를 제공하면서 다른 웹·앱 사업자들에게 행태정보 수집 도구(TikTok Pixel, Events SDK, Events API 등)를 배포하고 있으며, 해당 도구가 설치된 타사의 웹·앱 페이지에 방문한 이용자의 클릭, 구매, 장바구니에 담기, 문의, 다운로드, 검색, 컨텐츠 보기 등 활동 기록을 수집한다.
국내 7만1000여 개 기업에서 틱톡의 행태정보 수집 도구를 이용하고 있는 것으로 확인되며, 틱톡은 해당 도구를 통해 945만 명의 국내 활성 이용자로부터 타사 행태정보를 수집(25.12. 기준)하고 있다.
틱톡은 이용자의 타사 행태정보 및 이용자 기기 식별자 등을 함께 수집하고, 틱톡 회원 계정과 연결하며, 이를 분석해 이용자의 특성·관심사 등을 추론한 뒤 맞춤형 광고에 활용하고 있다.
그럼에도 틱톡은 가입 시에 이용자가 명확히 인지할 수 있도록 고지하지 않았고, 서비스 제공을 위해 꼭 필요한 다른 개인정보와 함께 필수 동의 형태로 동의를 받음으로써 틱톡 서비스를 이용하고자 하는 정보주체에게 맞춤형 광고를 위한 타사 행태정보 수집 등을 사실상 강제하는 등 실질적인 동의권을 행사할 수 없도록 했다.
아울러, 틱톡 라이트의 포인트 현금 인출 서비스 제공 과정에서 이용자의 개인정보를 계열사에 이전하면서도, 이전하는 개인정보의 항목, 이전받는 자의 개인정보 이용 목적 및 보유·이용 기간 등 법정 사항을 공개하거나 알리지 않은 사실도 함께 확인했다.
개인정보위는 틱톡의 법적 근거 없는 타사 행태정보 수집·이용과 국외 이전이 각각 「보호법」 제15조(개인정보의 수집·이용)제1항 및 제28조의8(개인정보의 국외 이전)제1항 위반에 해당한다고 보아, 과징금 103억600만 원과 함께 시정명령 및 공표명령을 부과하기로 결정했다.
■애플, 과징금 2억5200만 원 및 시정명령
개인정보위는 미국에서 애플 이용자의 시리(Siri) 음성 데이터 무단 수집·이용과 관련한 소송 결과가 보도됨에 따라 조사에 착수하여, 적법 근거 없는 개인정보 수집·이용 및 국외 이전 등 법 위반 사실을 확인했다.
조사 결과, 애플은 2019년 8월까지 이용자가 음성 비서 서비스인 시리를 이용하는 경우 음성 녹음 및 전사문을 수집했고, 음성 인식 기능, 검색 결과 개선 등에 이용하면서 이용자로부터 별도의 동의를 받지 않았던 것으로 드러났다. 이어, 2019년 10월부터는 음성 녹음을 서비스 개선에 이용하는데 별도의 동의를 받았으나, 전사문에 대해서는 여전히 별도의 적법 근거를 마련하지 않고 서비스 개선에 이용해 온 사실을 확인했다.
더불어, 이용자의 개인정보를 미국의 Apple Inc. 등 계열사에 국외 이전 하면서도 이전하는 개인정보의 항목, 이전받는 자의 개인정보 이용 목적 및 보유·이용 기간 등을 개인정보 처리방침에 충분히 기재하지 않은 사실도 확인했다.
다만, 애플은 조사 과정에서 전사문 수집·이용에 대해서는 정보주체에게 선택권을 부여하고 전사문 내 개인정보를 필터링하는 등 개인정보 보호 조치를 강화하고 개인정보 처리방침을 개정하는 등 위법 사실을 시정했다.
이에 따라 개인정보위는 애플 계열사인 ADI에 구 정보통신망법 위반으로 과징금 2억5200만 원을 부과하고, 또 다른 계열사인 ASPL에 국외이전 위반 등에 대해 국외이전 현황 점검 등을 내용으로 하는 시정조치 명령을 통해 개인정보 보호 수준을 강화하도록 했다.
개인정보위 관계자는 "해외 사업자 또한 대한민국 정보주체의 개인정보 처리 투명성 확보 및 개인정보 자기결정권 보장을 위한 조치를 충분히 이행해야 함을 경고했다는 데 의의가 있다"면서 "앞으로도 국민의 개인정보가 국경을 넘어 복잡한 환경 속에서도 안전하고 투명하게 보호받을 수 있도록 노력할 예정"이라고 말했다.
[컨슈머치 = 이용석 기자]