제2021-013-102호 (사건번호 : 2021조일034)

안건번호 : 제2021-013-102호 (사건번호 : 2021조일034)
안건명 : 개인정보보호 법규 위반행위에 대한 시정조치 등에 관한 건
의결연월일 : 2021. 8. 25.

1. 피심인에 대하여 다음과 같이 개선하도록 권고한다.
가. 결제정보, 직장ㆍ학력, 연락처 등 추가정보 입력 시 법정 고지사항을 이용자가 명확히 알 수 있도록 하여야 한다.
나. 개인정보를 국외 이전받는 자의 이용목적에 맞게 이전되는 개인정보 항목을 구체적으로 명시하도록 하여야 한다.
다. 위 가ㆍ나의 개선조치 결과는 개선권고를 받는 날로부터 90일 이내에 개인정보보호위원회에 제출하여야 한다.

Ⅰ. 조사 개요

1. 조사배경

개인정보보호위원회(이하 '위원회’라 한다)는 해외사업자의 개인정보수집 동의방식에 문제가 있다는 국회 지적에 따라 동의방식 전반에 대해 조사하였다.

위원회는 구체적인 사실관계를 파악하고자「개인정보 보호법」(이하 '보호법’) 제63조제1항에 따른 관계 물품ㆍ서류 등을 제출하도록 요구('21.3.31.)하였고, 피심인이 제출한 자료(’21.4.16.)를 분석한 결과, 아래와 같은 사실을 확인하였다.

2. 피심인의 지위 및 현황

피심인은 정보통신망을 통해 영리를 목적으로 대한민국 이용자에게
등 서비스를 제공하는 정보통신서비스 제공자이며, 개인정보처리자로서 매출액 및 이용자 수는 다음과 같다.

< 연도별 매출액(단위 : 백만$)>
<img src="/LSW/flDownload.do?flSeq=126223689" alt="1번째 이미지"></img>
※ 에 국한된 재무정보는 산출하고 있지 않아 의 최상위 모회사인 의 2020년 美증권거래위원회에 제출한 연간보고서를 근거로 작성

<대한민국 이용자 계정 수>
<img src="/LSW/flDownload.do?flSeq=126223691" alt="2번째 이미지"></img>
※ 이용자는 1개 휴대폰으로 계정 여러 개를 만들 수 있어 정확한 이용자 수 파악이 불가능하다고 하며, 이용자 계정 수를 제출

Ⅱ. 사실조사 결과 및 위법성 판단

1. 결제정보 등 개인정보 추가 수집 시 법정 고지사항 불명확

가. 기초 사실

계정에서 결제정보1」, 직장ㆍ학력2」, 연락처3」를 추가로 수집하고 있으나, 관리화면에서 법정 고지사항 전체를 명확히 찾기 어렵다.

* 1」카드번호, 소유자 이름 등, 2」직업ㆍ경력ㆍ학력, 3」이메일, 전화번호, 주소 등

회원가입 시 개인정보 처리방침에 법정사항을 고지하고 동의받고 있으나, 추가 수집 화면에서는 법정 고지사항을 바로 확인할 수 없으며,

“결제 수단 추가 화면”에서 카드 세부 정보 입력 후 “계속 진행하면
Payments 개인정보 처리방침에 수집항목, 이용목적만 적시되어 있고,

* 로그인 후 ' 계정 관리’ → '결제 및 구독’ → '결제수단 관리’ → '결제 수단 추가’
→ '신용카드 및 체크카드 추가’ 화면을 통해 카드번호를 수집하면서
Payment 개인정보처리방침을 링크

보유ㆍ이용기간은 의 개인정보 처리방침(’정보유지 항목')에 명시되어 있다.

* ①직접 만든 콘텐츠는 언제든 삭제 가능, ②광고데이터는 일정기간 후 자동 삭제, ③ 서비스 사용빈도 정보는 계정 삭제 시까지 보관, ④보안, 사기 및 남용방지, 금융기록 보관 등 합법적 비즈니스 또는 법적 목적을 위해 필요한 경우 더 오랜기간 보관됨

< 결제수단 추가 및 Payment 개인정보 처리방침 내용>
<img src="/LSW/flDownload.do?flSeq=126223693" alt="3번째 이미지"></img>
또한, “직장ㆍ학력 추가”, “사용자 관리”, “새 주소 추가” 화면에서 관련 개인정보를 추가로 수집하면서, 해당 화면에서 법정 고지사항과 동의 내용을 찾을 수 없으나,

’한국 거주자를 위한 개인정보 관련 추가정보'에서 “귀하가 프로필을 작성하는 경우, 귀하가 제공하기로 선택하는 바에 따라, 추가적인 개인정보를 수집할 수 있습니다.”라고 안내하면서

개인정보 수집ㆍ이용 목적을 “귀하가 원할 때 필요한 작업을 할 수 있는 간편한 제품 환경을 만들고 생활에 필요한 서비스로 쉽게 이동할 수 있도록 하고자 합니다.”라고 명시하고 있으며,

프로필과 관련한 상세내용을 확인하고 공개범위 설정이 가능한 페이지를 제공하고 있는 것으로 확인된다.

* 계정 관리 → “내 프로필” 화면 → “자세히 알아보기”를 클릭하는 경우 상세내용 확인 및 공개범위 설정 가능
<img src="/LSW/flDownload.do?flSeq=126223695" alt="4번째 이미지"></img>
<img src="/LSW/flDownload.do?flSeq=126223697" alt="5번째 이미지"></img>
나. 관련 법령의 규정 및 법리

보호법 제39조의3제1항은 정보통신서비스 제공자는 이용자의 개인정보를 이용하려고 수집하는 경우 ①수집ㆍ이용 목적과 ②수집 항목, ③보유ㆍ이용기간을 이용자에게 알리고 동의를 받도록 규정하고 있다.

다. 위법성 판단

결제 수단 추가, 학력ㆍ연락처 등 추가수집 화면에서 법정 고지사항을 찾기 어려우나, 개인정보 처리방침 또는 한국인 거주자를 위한 추가정보 등에서 법정 고지사항을 명시하고 있어 보호법 위반으로 보이지 않는다.

다만, 개인정보 보호 강화를 위해 직장ㆍ학력, 연락처 및 카드번호 등 추가정보 입력 시 해당정보 입력 화면에서 법정 고지사항을 확인할 수 있도록 개인정보 처리실태를 개선할 필요가 있다고 판단하였다.

2. 개인정보의 국외 이전 관련 법정 고지사항 공개 미흡

가. 기초 사실

은 국외 이전과 관련하여 개인정보 처리방침에 거주 국가 밖의 서버에서 개인정보가 처리될 수 있다고 공개하고 있으며,

* 처리방침/데이터 이전 : 은 전 세계에 서버를 두고 있기 때문에 사용자 정보가 거주 국가 밖에 있는 서버에서 처리될 수 있습니다.

처리방침과 연결된 화면을 통해 전세계 데이터센터 소재 국가를 공개하고, 「한국 거주자를 위한 개인정보 관련 추가 정보」를 통해 개인정보 처리 위탁회사, 업무내용 및 소재 국가, 항목을 공개하고 있는 것으로 확인된다.

* (항목) 이름, 구매기록 등 이용자 정보, (이전 국가) 말레이시아, 인도, 일본, 필리핀, (이전 일시) 서비스 제공 시, (이전 방법) 원격으로 해외에서 이용자 정보에 접근 (이전받는 자)
(이용목적) 고객지원, 자금 세탁 방지 모니터링, (보유ㆍ이용 기간) 서비스 제공 기간 동안
<img src="/LSW/flDownload.do?flSeq=126223699" alt="6번째 이미지"></img>
<img src="/LSW/flDownload.do?flSeq=126223701" alt="7번째 이미지"></img>
나. 관련 법령의 규정 및 법리

보호법 제39조의12제2항은 본문에서 개인정보 국외 이전 시 이용자의 동의를 받도록 하면서, 같은 조 제3항은 제2항 본문에 따른 동의를 받으려면 미리 각호에 따른 이전되는 개인정보, 이전국가ㆍ일시ㆍ방법, 이전받는 자, 이용목적 및 보유ㆍ이용기간 등 4가지 사항 모두를 이용자에게 고지하도록 하고 있다.

같은 조 제2항의 단서로서 개인정보 항목 등 제3항 각호의 4가지 사항 모두를 처리방침에 공개하는 경우 동의 절차를 면제하고 있다.

다. 위법성 판단

피심인은 국외 이전 관련 데이터센터 위치, 수탁사 및 업무 내용, 소재 국가, 일부 항목을 공개하고 있어 위반으로 보이지 않는다.

다만, 개인정보를 이전받는 자의 이용목적에 따라 이전되는 개인정보 항목이 다를 수 있어 이를 구체적으로 명시하도록 처리실태를 개선할 필요가 있다고 판단하였다.

Ⅲ. 결론

보호법 제61조제2항에 따라 개인정보 보호 강화를 위해 개인정보 처리 실태를 개선하도록 주문과 같이 의결한다.