맞춤 광고 정보 수집을 '필수 동의'로?…개보위, 中 틱톡에 과징금 103억 '철퇴'(종합)

7만1000개 웹·앱에서 이용자 활동 기록 수집해 광고 활용

개보위 "매우 중대한 위반 행위"

해당 이미지는 AI로 제작됨.

틱톡이 국내 이용자 945만명의 타사 웹사이트·애플리케이션 활동 기록을 수집해 맞춤형 광고에 활용하고도, 이를 별도 선택 사항이 아닌 필수 개인정보 동의 항목에 포함한 것으로 드러났다. 이에 개인정보보호위원회는 이용자가 수집 사실을 충분히 인식하고 자유롭게 선택할 수 없었다고 판단해 103억600만원의 과징금을 부과했다.

개보위는 23일 정부 서울청사에서 브리핑을 열고 전날 제14회 전체회의에서 개인정보보호법과 옛 정보통신망법을 위반한 틱톡과 애플 계열사 2곳에 과징금 총 105억5800만원과 시정·공표 명령을 의결했다고 밝혔다.

틱톡은 다른 사업자의 웹·앱에 '틱톡 픽셀', 이벤트 소프트웨어 개발도구(SDK) 등 행태정보 수집 도구를 제공했다. 해당 도구가 설치된 페이지를 틱톡 회원이 방문하면 클릭과 구매, 장바구니 담기, 검색, 콘텐츠 열람 등의 기록이 틱톡에 전달됐다.

국내에서 틱톡의 수집 도구를 사용하는 기업은 약 7만1000곳이다. 틱톡은 이를 통해 지난해 12월 기준 국내 월간 활성 이용자 945만명의 타사 행태정보를 수집한 것으로 조사됐다.

수집된 정보는 기기 광고 식별자와 브라우저 쿠키, 틱톡 회원 계정에 연결됐다. 틱톡은 이를 분석해 이용자의 특성과 관심사를 추론한 뒤 맞춤형 광고에 활용했다. 이용자가 어느 사이트에서 어떤 상품을 검색하거나 구매했는지에 관한 정보가 틱톡 데이터에 쌓인 셈이다.

필수 동의 안에 숨은 맞춤형 광고 정보

쟁점은 이용자가 이 같은 정보 수집에 '실질적으로 동의했다고 볼 수 있나'였다.

틱톡은 회원 가입 과정에서 '개인정보 수집 및 이용 동의'를 필수항목으로 제시했다. 그러나 타사 행태정보 수집과 맞춤형 광고 활용 여부는 세부 정보를 별도로 열어봐야 확인할 수 있었다. 통상 맞춤형 광고나 타사 행태정보 수집은 별도의 선택 동의로 구분해 이용자가 제공 여부를 판단하도록 하는 것을 감안하면 이질적인 행태다.

이재형 개보위 조사조정국장은 23일 정부 서울청사에서 기자들과 만나 "틱톡 서비스 가입을 위해 반드시 눌러야 하는 필수 동의 항목에 이를 포함한 만큼, 일반 이용자가 수집 내용을 명확히 알고 동의했다고 보기 어렵다고 판단했다"고 설명했다.

필수 동의 항목의 세부 정보에 내용을 넣었다는 형식만으로는 유효한 동의로 볼 수 없으며, 이용자가 무엇을 제공하는지 분명히 알고 자유롭게 선택할 수 있어야 한다는 것이다.

이 국장은 "틱톡이 이용자의 개인정보 수집에 대한 동의를 받는 주체가 돼야 한다"고 덧붙였다. 틱톡의 행태정보 수집 도구가 설치된 각 웹·앱의 사업자는 사이트 방문자의 개인정보를 온전히 수집하기 어렵다. 반면 틱톡은 해당 사이트들에서 수집된 쿠키와 기기 식별자를 자사 회원 계정과 결합해 개인을 구분할 수 있었다는 것이 차이점이다.

틱톡 라이트에서 포인트를 현금으로 인출하는 과정의 위법 행위도 적발됐다. 틱톡은 개인정보를 해외 계열사에 이전하면서 이전 항목과 이용 목적, 보유·이용 기간 등 법정 사항을 이용자에게 제대로 알리지 않았다.

개보위는 틱톡의 행위를 '매우 중대한 위반'으로 봤다. 단순히 데이터를 확보하는 데 그치지 않고 실제 맞춤형 광고에 활용해 수익을 냈다는 점을 고려했다.

지난 5월 개정된 개인정보보호법 시행령은 매우 중대한 위반 행위의 경우 과징금 감경을 배제하거나 축소할 수 있도록 했다. 개보위는 이를 반영해 틱톡의 과징금 감경 폭을 제한한 것으로 파악된다.

과징금 산정에는 틱톡의 전체 국내 매출이 아닌 국내 이용자를 대상으로 한 온라인 광고 관련 매출이 사용됐다. 라이브 스트리밍과 선물하기 등 광고와 관계없는 매출은 제외됐다.

송경희 개인정보보호위원회 위원장이 22일 정부서울청사에서 개최된 제14회 전체회의에서 의사봉을 두드리고 있다. ⓒ개인정보보호위원회

'무료 서비스' 시리는 정액 과징금

애플은 음성비서 '시리' 이용자의 음성 녹음과 이를 문자로 바꾼 전사문을 별도 동의 없이 수집·이용해 제재 받았다.

애플은 2019년 8월까지 음성 녹음과 전사문을 음성 인식 기능과 검색 결과 개선 등에 활용하면서 별도 동의를 받지 않았다. 2019년 10월부터 음성 녹음에는 동의를 받았지만, 전사문은 적법한 근거 없이 계속 이용했다. 미국 애플 본사 등으로 개인정보를 이전하면서 관련 항목과 목적, 보유 기간도 처리 방침에 충분히 적지 않았다.

개보위는 애플 계열사 ADI에 과징금 2억5200만원을 부과하고 ASPL에는 국외 이전 현황 점검 등을 명령했다.

다만 틱톡보다 과징금이 크게 낮은 것은 시리가 무료 서비스여서 위반 행위와 연결된 매출이 사실상 없었기 때문이다. 2019년 당시 적용된 옛 정보통신망법에 따라 4억원 한도 내에서 정액 과징금이 산정됐다. 애플이 조사 과정에서 이용자 선택권을 마련하고 기존 자료 삭제와 개인정보 필터링, 처리방침 개정을 마친 점은 감경에 반영됐다.

틱톡에는 앞으로 적법한 근거를 마련해 행태정보를 처리하라는 시정명령이 내려졌다. 기존에 수집한 개인정보를 일괄 삭제하라는 명령은 포함되지 않았다. 다만 틱톡은 동의를 새로 받거나 기존 자료를 삭제하는 등 적법한 처리 근거를 갖춰야 하며, 개보위는 시정명령 이행 여부를 주기적으로 확인할 예정이다.

개보위는 해외 사업자라도 국내 이용자의 개인정보를 처리한다면 국내 기업과 같은 기준을 지켜야 한다고 강조했다.