개인정보보호위원회가 적법한 근거 없이 국내 이용자의 개인정보를 수집·이용하고 국외로 이전한 틱톡과 애플에 대해 과징금 총 105억원을 부과했다.
개인정보위는 22일 제14회 전체회의를 열고 개인정보보호법을 위반한 틱톡에 과징금 103억600만원을 부과하고 시정 명령과 공표 명령을 내렸다. 또한 구 정보통신망법을 위반한 애플의 계열사 2곳에는 2억5200만원의 과징금을 부과하고 시정 명령을 결정했다.
조사 결과, 틱톡은 이용자가 다른 회사의 웹사이트나 앱에서 남긴 활동 기록을 수집하면서도 가입 과정에서 이러한 사실을 명확히 알리지 않은 것으로 확인됐다.
틱톡은 광고·콘텐츠 성과 분석 등을 위해 지난해 12월 기준 국내 7만1000여개 기업의 웹·앱에 행태정보 수집 도구를 제공하고 있다. 이 도구를 통해 국내 이용자 945만명으로부터 클릭·검색·구매 등 기록을 수집하고, 자사 회원 계정과 연결해 맞춤형 광고에 활용한다.
그러나 틱톡은 광고를 위한 타사 행태정보 수집·이용 동의를 서비스 제공에 필요한 다른 개인정보 처리 동의와 함께 필수 동의로 받았다. 해당 정보 수집에 동의하지 않으면 서비스를 이용하기 어려운 구조로 만들어 실질적인 선택권을 보장하지 않았다는 것이 개인정보위의 판단이다.
또한 틱톡의 앱테크형 플랫폼인 틱톡라이트도 포인트 현금 인출 서비스를 제공하는 과정에서 이용자의 개인정보를 계열사에 넘겼지만, 이전하는 개인정보 항목과 이전받는 자의 이용 목적, 보유·이용 기간 등을 공개하거나 이용자에게 알리지 않은 것으로 조사됐다.
개인정보위는 틱톡의 법적 근거 없는 타사 행태정보 수집·이용과 국외 이전이 각각 보호법 제15조(개인정보의 수집·이용) 제1항 및 제28조의8(개인정보의 국외 이전) 제1항 위반에 해당한다고 설명했다.
애플에 대한 조사는 미국에서 음성 비서 서비스 '시리'가 이용자의 음성 데이터를 무단으로 수집·이용했다는 소송 결과가 보도된 것을 계기로 시작됐다. 당시 이용자가 음성으로 시리를 호출하지 않았는데도 시리가 활성화돼 대화 내용을 수집했으며, 일부 정보가 맞춤형 광고 등에 활용될 수 있도록 기업에 공유됐다는 주장이 제기됐다.
개인정보위에 따르면 애플은 2019년 8월까지 이용자가 시리를 사용하면 음성 녹음과 이를 문자로 변환한 전사문을 수집했다. 해당 정보를 음성 인식 기능과 검색 결과 개선 등에 활용하면서도 이용자에게 별도 동의를 받지 않았다.
2019년 10월부터는 음성 녹음을 서비스 개선에 이용하는데 별도 동의를 받았으나, 전사문은 여전히 적법한 처리 근거 없이 서비스 개선에 활용한 것으로 확인됐다.
개인정보 국외 이전 과정에서도 문제가 드러났다. 애플은 이용자의 개인정보를 미국 등 해외 계열사에 이전하면서도 개인정보 항목과 이전받는 자의 이용 목적, 보유·이용 기간 등을 개인정보 처리 방침에 충분히 기재하지 않았다.
다만 애플은 조사 과정에서 전사문 수집·이용 여부를 이용자가 선택할 수 있도록 절차를 개선하고, 전사문에 포함된 개인 정보를 걸러내는 기능을 도입했다. 개인 정보 처리 방침도 개정하는 등 확인된 위법 사항을 시정했다.
이에 따라 개인정보위는 애플 계열사인 ADI에 정보통신망법 위반으로 과징금 2억5200만원을 부과했다. 아울러 또 다른 계열사인 ASPL에는 개인 정보 국외 이전 현황을 점검하는 등의 시정 명령을 내려 개인 정보 보호 조치를 강화하도록 했다.
개인정보위는 "앞으로도 해외 사업자의 개인 정보 처리 실태를 지속적으로 점검하고 위법 행위에 대해서는 국내외 기업 간 차별 없이 엄정하게 대응함으로써, 우리 국민의 개인 정보가 국경을 넘어 복잡한 환경 속에서도 안전하고 투명하게 보호받을 수 있도록 노력할 예정"이라고 밝혔다.