개인정보보호위원회
심의ㆍ의결
제2023-013-157호 (사건번호 : 2023조일0061)
개인정보보호 법규 위반행위에 대한 시정조치 및 개선권고에 관한 건
의결일: 2023년 7월 26일
요지
안건번호 : 제2023-013-157호 (사건번호 : 2023조일0061)
안건명 : 개인정보보호 법규 위반행위에 대한 시정조치 및 개선권고에 관한 건
신청인 : 대표이사
의결연월일 : 2023. 7. 26.
안건명 : 개인정보보호 법규 위반행위에 대한 시정조치 및 개선권고에 관한 건
신청인 : 대표이사
의결연월일 : 2023. 7. 26.
주문
1. 피심인에 대하여 다음과 같이 과태료를 부과한다.
가. 과 태 료 : 3,600,000원
나. 납부기한 : 고지서에 명시된 납부기한 이내
다. 납부장소 : 한국은행 국고수납 대리점
2. 피심인에 대하여 별지와 같이 개선할 것을 권고한다.
가. 과 태 료 : 3,600,000원
나. 납부기한 : 고지서에 명시된 납부기한 이내
다. 납부장소 : 한국은행 국고수납 대리점
2. 피심인에 대하여 별지와 같이 개선할 것을 권고한다.
이유
Ⅰ. 조사 개요
1. 조사 배경
개인정보 보호위원회(이하 '위원회’)는 ChatGPT 서비스를 제공하는 피심인이 2023년 3월 20일 전 세계 일부 ChatGPT 서비스 이용자의 개인(결제)정보 유출을 공지하고 국내외 언론 등에 해당 사실이 보도됨에 따라 사실관계 확인 및 조사에 착수하였다.
2. 피심인 현황
피심인은 2022년 11월부터 한국 이용자에게 ChatGPT 서비스를 제공하면서 성명, 이메일 주소 등의 개인정보를 수집하고 있으며, 2023년 2월부터는 유료서비스인 ChatGPT Plus 서비스를 제공하면서 결제 정보를 수집하고 있다.
따라서 피심인은 영리를 목적으로 정보통신망을 통해 ChatGPT 등 서비스를 제공하고 있는 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제2조 제1항 제3호에 따른 정보통신서비스 제공자이며, 「개인정보 보호법」(이하 '보호법’)에 따른 개인정보처리자로서 일반현황 및 최근 3년간 매출액(각주:최근 3년간 매출은 매출임) 은 다음과 같다.
<img src="/LSW/flDownload.do?flSeq=135154679" alt="1번째 이미지"></img>
<img src="/LSW/flDownload.do?flSeq=135154691" alt="2번째 이미지"></img>
Ⅱ. 사실조사 결과
위원회는 피심인의 1.개인(결제)정보 유출 관련 사실관계 및 동 사건을 계기로 2.보호법상 의무 준수 전반과 3.개인정보 관점에서 데이터 학습 방법 등을 확인하기 위해 2023년 3월 29일, 4월 26일, 5월 24일 자료제출을 요구하였고, 피심인은 2023년 4월 11일, 5월 10일, 6월 7일, 7월 5일 총 4차에 걸쳐 자료를 제출하였으며, 각각의 주요 내용은 다음과 같다.
1. 개인정보 유출 관련 사실관계
가. 개인정보 유출 경위
2023년 3월 20일 17시부터 2023년 3월 21일 2시 사이에 피심인이 제공하는 ChatGPT Plus에 접속한 이용자 1.2%의 성명, 이메일 주소, 결제 주소, 신용카드 번호 4자리 및 만료일이 다른 이용자에게 노출되었으며, 이중 한국 이용자는 최대 명(한국 IP 기준)으로 확인되었다.
<img src="/LSW/flDownload.do?flSeq=135154693" alt="3번째 이미지"></img>
피심인은 2023년 3월 20일 23시 50분 이용자 신고를 통해 ChatGPT 다른 사람의 히스토리가 열람된 이슈를 인지하여 2023년 3월 21일 2시에 ChatGPT 서비스를 일시적으로 중단하였고, 관련 오류는 2023년 3월 21일 4시 39분에 해결되었다.
나. 개인정보 유출 원인
피심인이 ChatGPT Plus 서비스의 속도 증가를 위해 사용한 캐시(각주:Redis(Remote Dictionary Server) : ’09년 개발된 오픈 소스 기반의 비관계형 데이터베이스 관리 시스템으로 ’15년 부터 Redis Labs가 지원하고 있음) 에는 이용자 정보를 불러오는 과정에서 요청이 취소되는 경우, 다음 이용자 정보 요청에 대한 응답으로 '요청이 취소된 이용자의 정보를 불러오는 오류’가 존재하였고, 피심인이 도입한 서버의 변경사항으로 인해 요청 취소가 급증하면서 개인정보 노출 등 문제가 발생하였다.
<img src="/LSW/flDownload.do?flSeq=135154695" alt="4번째 이미지"></img>
다. 피심인의 조치사항
피심인은 2023년 3월 24일 한국 이용자를 포함하여 개인정보가 유출된 모든 이용자에게 이메일로 유출 사실을 통지하였고, 기존 오류 수정사항 등을 포함한 전면적인 테스트, 캐시의 응답 데이터가 요청 이용자의 것인지 확인하도록 코드 수정, 로그기록 방법 개선, 과부하 방지를 위한 DB 개선 등의 조치를 하였으며, privacy-response@ .com을 통한 이용자의 요청과 질문에 적극 대응하였다고 소명하였다.
<img src="/LSW/flDownload.do?flSeq=135154697" alt="5번째 이미지"></img>
다만, 피심인은 유출을 인지하고 24시간 내 해당 사실을 보호위원회 또는 한국인터넷진흥원에 신고한 사실은 없다.
2. 보호법상 의무 준수 관련
가. 개인정보 처리방침
ChatGPT 개인정보 처리방침은 영문으로만 공개되어 있고, 내용에 있어서도 파기 절차 및 방법에 대한 사항이 미흡하게 작성되어 있으며, 개인정보의 제공과 개인정보 처리 업무의 위탁을 구분 없이 '개인정보의 공개’ 항목에 함께 기재하고, 제공(국외이전)받는 자, 수탁자, 국내대리인 및 개인정보 보호책임자를 명확하게 공개하지 않고 있다.
<img src="/LSW/flDownload.do?flSeq=135154699" alt="6번째 이미지"></img>
<img src="/LSW/flDownload.do?flSeq=135154701" alt="7번째 이미지"></img>
나. 가입 절차
ChatGPT는 이메일 또는 소셜(구글ㆍMS) 계정으로 가입할 수 있고, 성명, 생년월일, 이메일, 전화번호 등 개인정보를 이용자로부터 입력을 받아 수집하며, 이용자가 ChatGPT Plus(월 20$) 이용 시 결제정보(카드번호, 유효기간, CVC, 명의자, 청구주소 등)를 입력받아 수집하고 있다.
피심인은 ChatGPT 가입 시 이용약관 및 개인정보 처리방침만 게재하고 있고, 2023년 4월 6일 연령 확인 절차를 도입하여 13세 미만은 ChatGPT 가입이 불가하나, 13세에 대해서는 가입 시 법정대리인의 동의를 받는 절차가 없으며, 법정대리인이 동의하였는지를 확인하는 절차 또한 없다.
참고로 피심인의 이용약관에는 ChatGPT를 사용하려면 13세 이상이어야 하고, 18세 미만의 경우 법정대리인의 동의를 받아야 한다고 기재하고 있다.
<img src="/LSW/flDownload.do?flSeq=135154703" alt="8번째 이미지"></img>
3. 데이터 학습 관련 피심인 제출자료
피심인은 학습 데이터 수집과 관련하여 인터넷에 공개된 콘텐츠(각주:피심인은 로봇배제표준을 준수하고 있어 웹사이트 운영자는 이를 통해 피심인에 의한 학습데이터 수집을 거부할 수 있음) , 제3자로부터 라이선스를 받은 콘텐츠, 인간 트레이너 및 이용자가 제작한 콘텐츠를 포함한 광범위한 텍스트 말뭉치를 ChatGPT 학습에 활용하고, 인터넷에 공개된 정보는 혐오 발언, 성인 콘텐츠, 개인정보를 주로 집적하는 사이트 및 스팸 등을 제거한다.
피심인은 이용자가 제작한 콘텐츠는 이용자가 및 을 의미하고, 라이선스를 받은 콘텐츠는, 이 있으며, 계약을 체결하여 콘텐츠를 확보한다.
피심인은 데이터의 사용과 관련하여 모델이 언어를 배우고 언어에 대한 이해 및 대응 방법을 학습하기 위한 목적으로 학습데이터를 사용하는데, 개인정보와 관련하여 이름, 주소 등이 언어ㆍ문장 안에서 어떻게 사용되는지 학습하거나, 유명인사 및 공인에 대한 답변을 위해 학습데이터 내 개인정보가 처리된다.
한국어 학습과 관련하여서는
학습데이터 수집을 위해 크롤링한 한국 웹사이트 리스트 요구에 대해서는
보관하고 있지 않아 제출이 어렵다고 답변하였다.
피심인은 학습데이터에서 개인정보를 제거하고 개인정보를 요구하는 요청을 거절하도록 모델을 훈련시키고 있으며, 개인정보를 포함한 응답 생성 가능성을 최소화하며, 정보주체의 정보 삭제 요청에 대응하고 있다.
또한, 를 통한
및 통해 편향 또는 차별 등을 파악 및 수정하고 있다.
Ⅲ. 피심인의 행위에 대한 위법성 판단
1. 보호법 적용 대상 여부
피심인은 ChatGPT 서비스가 지원되는 국가 및 지역에 South Korea를 명시(각주:https://platform. .com/docs/supported-countries) 하였고, ChatGPT-4 기술보고서에 한국어 정확도를 77%로 기재하였으며, 실제 한국 이용자 수가 명(각주:’23.4월 기준, 유료 서비스인 ChatGPT Plus 한국 이용자 수는 명으로 추산) 인 점 등을 고려했을 때, 피심인이 한국 이용자를 대상으로 ChatGPT 서비스를 제공하고 있는 것으로 보아, 보호법 적용 대상으로 판단한다.
<img src="/LSW/flDownload.do?flSeq=135154705" alt="9번째 이미지"></img>
2. 개인정보 유출 관련
가. 안전조치의무 위반에 대한 검토
피심인은 ChatGPT 서비스 속도 증가를 위해 사용한 다른 사업자의 소프트웨어인 Redis 캐시는 전 세계 다수 기업이 사용하고 있으며, 알려지지 않은 문제점(버그)이 존재하였다.
피심인은 수정된 소스 코드를 운영 시스템에 배포하기 전, 코드의 정확성을 검증하는 등 시큐어 코딩을 이행하였고, 실제 운영 환경과 거의 동일한 환경(staging environment)에서 테스트까지 수행한 내용의 자료를 제출한 바 있다.
개인정보의 기술적ㆍ관리적 보호조치 기준 제7조 제2호는 “… 사용 중인 응용 프로그램이나 운영체제 소프트웨어의 제작업체에서 보안 업데이트 공지가 있는 경우, 즉시 이에 따른 업데이트를 실시”하도록 규정한바, 타사 소프트웨어의 알려지지 않은 오류로 인한 책임을 이를 사용하는 사업자에게 묻는 것은 어려운 것으로 판단된다.(각주:피심인은 잘못된 정보 응답ㆍ노출에 대비하여 오류처리 코드를 작성하지 않았으나, 통상적인 개발과정에서 처리자들이 이러한 오류처리 코드를 작성한다고 볼 수 없음(기술전문가 검토, 6.26.)) 특히, 단시간인 2023년 3월 20일 17시부터 3월 21일 2시까지 9시간 동안 세계적으로 일부 이용자의 개인정보가 일시적으로 노출된 것으로, 불법적인 접근을 통한 개인정보 유출 가능성은 높지 않은 것으로 보인다.
따라서, 이 사건 개인정보 유출과 관련하여 피심인이 사회통념상 합리적으로 기대 가능한 보호조치를 하지 않았다고 보기는 어려워 보호법 제29조의 안전조치의무를 위반하였다고 판단할 수 없다.
다만, 보호법 제3조 제4항에서 “개인정보처리자는 개인정보의 처리 방법 및 종류 등에 따라 정보주체의 권리가 침해받을 가능성과 그 위험 정도를 고려하여 개인정보를 안전하게 관리하여야 한다.”고 규정하고 있는바, ChatGPT 서비스의 규모, 파급력 등을 고려하면 개인정보처리시스템을 자체적으로 점검하고 개인정보를 안전하게 관리하여 유사한 상황이 재발되지 않도록 개인정보 처리실태를 개선할 필요는 있다.
나. 개인정보 유출등의 통지ㆍ신고에 대한 검토
피심인은 ’23. 3. 20. 23시 50분 이용자 신고를 통해 다른 사람의 ChatGPT 히스토리가 열람되는 등의 문제를 인지하였고, 이후 해당 문제에 대한 조사를 개시하였으며, 개인정보가 유출된 이용자를 확인하여 2023년 3월 24일 한국 이용자를 포함하여 개인정보가 유출된 모든 이용자에게 이메일로 유출 사실을 통지하였다.
다만, 위원회가 2023년 3월 29일 유출과 관련된 자료제출을 요구하고, 2023년 4월 11일 그에 대한 답변을 한 것 외에 위원회 또는 한국인터넷진흥원에 개인정보 유출 사실을 신고하지 않았다.
피심인은 한국 사업장이 없는 미국 회사인 관계로, 사고 당시 유출된 한국 이용자 수를 별도로 확인하지 않았고, 이용자 보호를 위해 이슈를 조사ㆍ시정하는 것에 우선적으로 노력하여 한국에서 법률 자문을 구하는 것이 지연되었고, 이로 인해 유출 신고가 지연되었다고 소명하였다.
그러나, 한국에 사업장이 없는 해외사업자라고 하더라도 국내에 서비스를 제공하는 경우 보호법을 알고 준수하여야 할 의무가 있는 점을 고려하면, 피심인은 정당한 사유 없이 유출 신고를 지연한 것이므로 보호법 제39조의4 제1항 위반에 해당한다.
<img src="/LSW/flDownload.do?flSeq=135154681" alt="10번째 이미지"></img>
3. 보호법상 의무 준수 관련 검토
위원회는 ChatGPT의 서비스의 가입과정 및 공개된 개인정보 처리방침 등을 검토하였고, 그 결과, 서비스 가입 시 이용약관 및 개인정보 처리방침만 게재, 법정대리인 동의절차 미흡, 개인정보 처리방침 국문본 미공개 및 내용이 미흡 등의 사항을 확인하였다.
다만, 해당 사항은 개인정보 유출과 관련이 있다고 보기 어렵고, 최근 글로벌 서비스를 제공하기 시작한 사업자로 피심인 측이 개정 보호법 시행일인 2023년 9월 15일까지 보호법 준수 의사를 공식적으로 제출한바, 시정명령의 실익이 없어 현시점에서 개선을 권고(각주:행정조사기본법 제4조 제1항 및 제4항에 따라 현시점에서 위법성 입증 및 처분을 위한 조사를 실시하지 않음) 하고, 조치 결과를 지속 모니터링하여 이행 여부를 점검ㆍ확인하는 것이 바람직하다고 판단하였다.
4. 데이터 학습 방법 관련 검토
피심인이 데이터 학습 방법과 관련하여 제출한 자료는 일반적 수준의 언급에 그치고 정확히 어느 한국 웹사이트에서 어떤 방법으로 학습 및 강화 학습 등을 하는지에 대한 세부적인 설명은 부족하였다.
특히, 피심인이 제공하는 ChatGPT를 포함한 초거대 생성형 인공지능 서비스는 최근 가시화된 서비스로 법 적용 기준 등이 아직 불명확한 상황이므로 즉각적인 조사ㆍ처분 또한 어려움이 있다.
따라서 위원회는 개인정보 침해위험 수준에 대한 분석 등을 위해 피심인이 제공하는 ChatGPT 서비스에 대한 추가적인 실태점검을 실시할 필요가 있다고 보았고, 이를 위한 피심인의 적극적인 협력이 필요하다.
Ⅳ. 피심인의 주장 및 검토의견
피심인은 위반행위를 인정하며, 과태료 감경 등 선처를 요청하였다.
Ⅴ. 처분 및 결정
1. 과태료 부과
피심인의 보호법 제39조의4(개인정보 유출 등의 통지ㆍ신고에 대한 특례) 제1항 위반에 대한 과태료는 같은 법 제75조(과태료) 제2항 제12의3호 및 같은 법 시행령 제63조(과태료의 부과기준)의〔별표2〕「과태료의 부과기준」에 따라 다음과 같이 부과한다.
① (기준금액 산정) 피심인의 보호법 제39조의4(개인정보 유출 등의 통지ㆍ신고에 대한 특례) 제1항에 대한 과태료는 최근 3년간 같은 위반행위로 과태료 처분을 받은 사실이 없으므로, 1회 위반에 해당하는 과태료 600만 원을 적용한다.
<img src="/LSW/flDownload.do?flSeq=135154683" alt="11번째 이미지"></img>
② (과태료의 가중) 해당 사항 없음
③ (과태료의 감경) 피심인의 보호법 제39조의4(개인정보 유출 등의 통지ㆍ신고에 대한 특례) 제1항 위반행위에 대해 「개인정보 보호법 위반에 대한 과태료 부과기준」(각주:’23. 3. 8. 개인정보보호위원회 의결) 제7조 및 [별표1] 과태료의 감경기준에 따라, ▲'조사에 적극 협력한 경우’에 해당하여 기준금액의 40%를 감경한다.
<img src="/LSW/flDownload.do?flSeq=135154685" alt="12번째 이미지"></img>
④ (최종 과태료) 보호법 제39조의4(개인정보 유출 등의 통지ㆍ신고에 대한 특례) 제1항 위반행위에 대해 기준금액에서 감경을 거쳐 총 360만 원의 과태료를 부과한다.
<img src="/LSW/flDownload.do?flSeq=135154687" alt="13번째 이미지"></img>
☞ 피심인이 과태료 고지서를 송달받은 날부터 14일 이내에 과태료를 자진납부하는 경우, 100분의 20을 감경함 (질서위반행위규제법 제18조 및 같은 법 시행령 제5조 준용)
2. 개선 권고
피심인에 대하여 개인정보 유출 재발 방지, 보호법 준수, 개인 프라이버시 관련 정보주체의 권리가 충분히 보장되도록 보호법 제61조 제2항에 따라 아래와 같이 개인정보 처리실태의 개선을 권고한다.
<img src="/LSW/flDownload.do?flSeq=135154689" alt="14번째 이미지"></img>
Ⅵ. 결론
피심인의 보호법 제39조의4 제1항 위반행위에 대하여 같은 법 제75조(과태료) 제2항 제12의3호에 의한 과태료 부과를 주문과 같이 의결한다.
또한, 피심인에 대하여 같은 법 제61조(의견제시 및 개선권고) 제2항에 따라 개선권고를 주문과 같이 의결한다.
피심인은 이 과태료 부과처분에 불복이 있는 경우, 「질서위반행위규제법」 제20조의 규정에 따라 그 처분을 받은 날부터 60일 이내에 개인정보보호위원회에 서면으로 이의를 제기할 수 있다.
과태료 부과처분에 대한 피심인의 이의제기가 있는 경우, 개인정보보호위원회의 과태료 부과처분은 「질서위반행위규제법」 제20조제2항의 규정에 따라 그 효력을 상실하고 관할법원(피심인 주소지의 지방법원 또는 그 지원)이 과태료 재판 절차에 따라 결정한다. 이 경우 피심인은 관할법원의 과태료 재판이 확정된 이후 재판 결과에 따라 과태료의 납입 의무를 부담한다.
1. 조사 배경
개인정보 보호위원회(이하 '위원회’)는 ChatGPT 서비스를 제공하는 피심인이 2023년 3월 20일 전 세계 일부 ChatGPT 서비스 이용자의 개인(결제)정보 유출을 공지하고 국내외 언론 등에 해당 사실이 보도됨에 따라 사실관계 확인 및 조사에 착수하였다.
2. 피심인 현황
피심인은 2022년 11월부터 한국 이용자에게 ChatGPT 서비스를 제공하면서 성명, 이메일 주소 등의 개인정보를 수집하고 있으며, 2023년 2월부터는 유료서비스인 ChatGPT Plus 서비스를 제공하면서 결제 정보를 수집하고 있다.
따라서 피심인은 영리를 목적으로 정보통신망을 통해 ChatGPT 등 서비스를 제공하고 있는 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제2조 제1항 제3호에 따른 정보통신서비스 제공자이며, 「개인정보 보호법」(이하 '보호법’)에 따른 개인정보처리자로서 일반현황 및 최근 3년간 매출액(각주:최근 3년간 매출은 매출임) 은 다음과 같다.
<img src="/LSW/flDownload.do?flSeq=135154679" alt="1번째 이미지"></img>
<img src="/LSW/flDownload.do?flSeq=135154691" alt="2번째 이미지"></img>
Ⅱ. 사실조사 결과
위원회는 피심인의 1.개인(결제)정보 유출 관련 사실관계 및 동 사건을 계기로 2.보호법상 의무 준수 전반과 3.개인정보 관점에서 데이터 학습 방법 등을 확인하기 위해 2023년 3월 29일, 4월 26일, 5월 24일 자료제출을 요구하였고, 피심인은 2023년 4월 11일, 5월 10일, 6월 7일, 7월 5일 총 4차에 걸쳐 자료를 제출하였으며, 각각의 주요 내용은 다음과 같다.
1. 개인정보 유출 관련 사실관계
가. 개인정보 유출 경위
2023년 3월 20일 17시부터 2023년 3월 21일 2시 사이에 피심인이 제공하는 ChatGPT Plus에 접속한 이용자 1.2%의 성명, 이메일 주소, 결제 주소, 신용카드 번호 4자리 및 만료일이 다른 이용자에게 노출되었으며, 이중 한국 이용자는 최대 명(한국 IP 기준)으로 확인되었다.
<img src="/LSW/flDownload.do?flSeq=135154693" alt="3번째 이미지"></img>
피심인은 2023년 3월 20일 23시 50분 이용자 신고를 통해 ChatGPT 다른 사람의 히스토리가 열람된 이슈를 인지하여 2023년 3월 21일 2시에 ChatGPT 서비스를 일시적으로 중단하였고, 관련 오류는 2023년 3월 21일 4시 39분에 해결되었다.
나. 개인정보 유출 원인
피심인이 ChatGPT Plus 서비스의 속도 증가를 위해 사용한 캐시(각주:Redis(Remote Dictionary Server) : ’09년 개발된 오픈 소스 기반의 비관계형 데이터베이스 관리 시스템으로 ’15년 부터 Redis Labs가 지원하고 있음) 에는 이용자 정보를 불러오는 과정에서 요청이 취소되는 경우, 다음 이용자 정보 요청에 대한 응답으로 '요청이 취소된 이용자의 정보를 불러오는 오류’가 존재하였고, 피심인이 도입한 서버의 변경사항으로 인해 요청 취소가 급증하면서 개인정보 노출 등 문제가 발생하였다.
<img src="/LSW/flDownload.do?flSeq=135154695" alt="4번째 이미지"></img>
다. 피심인의 조치사항
피심인은 2023년 3월 24일 한국 이용자를 포함하여 개인정보가 유출된 모든 이용자에게 이메일로 유출 사실을 통지하였고, 기존 오류 수정사항 등을 포함한 전면적인 테스트, 캐시의 응답 데이터가 요청 이용자의 것인지 확인하도록 코드 수정, 로그기록 방법 개선, 과부하 방지를 위한 DB 개선 등의 조치를 하였으며, privacy-response@ .com을 통한 이용자의 요청과 질문에 적극 대응하였다고 소명하였다.
<img src="/LSW/flDownload.do?flSeq=135154697" alt="5번째 이미지"></img>
다만, 피심인은 유출을 인지하고 24시간 내 해당 사실을 보호위원회 또는 한국인터넷진흥원에 신고한 사실은 없다.
2. 보호법상 의무 준수 관련
가. 개인정보 처리방침
ChatGPT 개인정보 처리방침은 영문으로만 공개되어 있고, 내용에 있어서도 파기 절차 및 방법에 대한 사항이 미흡하게 작성되어 있으며, 개인정보의 제공과 개인정보 처리 업무의 위탁을 구분 없이 '개인정보의 공개’ 항목에 함께 기재하고, 제공(국외이전)받는 자, 수탁자, 국내대리인 및 개인정보 보호책임자를 명확하게 공개하지 않고 있다.
<img src="/LSW/flDownload.do?flSeq=135154699" alt="6번째 이미지"></img>
<img src="/LSW/flDownload.do?flSeq=135154701" alt="7번째 이미지"></img>
나. 가입 절차
ChatGPT는 이메일 또는 소셜(구글ㆍMS) 계정으로 가입할 수 있고, 성명, 생년월일, 이메일, 전화번호 등 개인정보를 이용자로부터 입력을 받아 수집하며, 이용자가 ChatGPT Plus(월 20$) 이용 시 결제정보(카드번호, 유효기간, CVC, 명의자, 청구주소 등)를 입력받아 수집하고 있다.
피심인은 ChatGPT 가입 시 이용약관 및 개인정보 처리방침만 게재하고 있고, 2023년 4월 6일 연령 확인 절차를 도입하여 13세 미만은 ChatGPT 가입이 불가하나, 13세에 대해서는 가입 시 법정대리인의 동의를 받는 절차가 없으며, 법정대리인이 동의하였는지를 확인하는 절차 또한 없다.
참고로 피심인의 이용약관에는 ChatGPT를 사용하려면 13세 이상이어야 하고, 18세 미만의 경우 법정대리인의 동의를 받아야 한다고 기재하고 있다.
<img src="/LSW/flDownload.do?flSeq=135154703" alt="8번째 이미지"></img>
3. 데이터 학습 관련 피심인 제출자료
피심인은 학습 데이터 수집과 관련하여 인터넷에 공개된 콘텐츠(각주:피심인은 로봇배제표준을 준수하고 있어 웹사이트 운영자는 이를 통해 피심인에 의한 학습데이터 수집을 거부할 수 있음) , 제3자로부터 라이선스를 받은 콘텐츠, 인간 트레이너 및 이용자가 제작한 콘텐츠를 포함한 광범위한 텍스트 말뭉치를 ChatGPT 학습에 활용하고, 인터넷에 공개된 정보는 혐오 발언, 성인 콘텐츠, 개인정보를 주로 집적하는 사이트 및 스팸 등을 제거한다.
피심인은 이용자가 제작한 콘텐츠는 이용자가 및 을 의미하고, 라이선스를 받은 콘텐츠는, 이 있으며, 계약을 체결하여 콘텐츠를 확보한다.
피심인은 데이터의 사용과 관련하여 모델이 언어를 배우고 언어에 대한 이해 및 대응 방법을 학습하기 위한 목적으로 학습데이터를 사용하는데, 개인정보와 관련하여 이름, 주소 등이 언어ㆍ문장 안에서 어떻게 사용되는지 학습하거나, 유명인사 및 공인에 대한 답변을 위해 학습데이터 내 개인정보가 처리된다.
한국어 학습과 관련하여서는
학습데이터 수집을 위해 크롤링한 한국 웹사이트 리스트 요구에 대해서는
보관하고 있지 않아 제출이 어렵다고 답변하였다.
피심인은 학습데이터에서 개인정보를 제거하고 개인정보를 요구하는 요청을 거절하도록 모델을 훈련시키고 있으며, 개인정보를 포함한 응답 생성 가능성을 최소화하며, 정보주체의 정보 삭제 요청에 대응하고 있다.
또한, 를 통한
및 통해 편향 또는 차별 등을 파악 및 수정하고 있다.
Ⅲ. 피심인의 행위에 대한 위법성 판단
1. 보호법 적용 대상 여부
피심인은 ChatGPT 서비스가 지원되는 국가 및 지역에 South Korea를 명시(각주:https://platform. .com/docs/supported-countries) 하였고, ChatGPT-4 기술보고서에 한국어 정확도를 77%로 기재하였으며, 실제 한국 이용자 수가 명(각주:’23.4월 기준, 유료 서비스인 ChatGPT Plus 한국 이용자 수는 명으로 추산) 인 점 등을 고려했을 때, 피심인이 한국 이용자를 대상으로 ChatGPT 서비스를 제공하고 있는 것으로 보아, 보호법 적용 대상으로 판단한다.
<img src="/LSW/flDownload.do?flSeq=135154705" alt="9번째 이미지"></img>
2. 개인정보 유출 관련
가. 안전조치의무 위반에 대한 검토
피심인은 ChatGPT 서비스 속도 증가를 위해 사용한 다른 사업자의 소프트웨어인 Redis 캐시는 전 세계 다수 기업이 사용하고 있으며, 알려지지 않은 문제점(버그)이 존재하였다.
피심인은 수정된 소스 코드를 운영 시스템에 배포하기 전, 코드의 정확성을 검증하는 등 시큐어 코딩을 이행하였고, 실제 운영 환경과 거의 동일한 환경(staging environment)에서 테스트까지 수행한 내용의 자료를 제출한 바 있다.
개인정보의 기술적ㆍ관리적 보호조치 기준 제7조 제2호는 “… 사용 중인 응용 프로그램이나 운영체제 소프트웨어의 제작업체에서 보안 업데이트 공지가 있는 경우, 즉시 이에 따른 업데이트를 실시”하도록 규정한바, 타사 소프트웨어의 알려지지 않은 오류로 인한 책임을 이를 사용하는 사업자에게 묻는 것은 어려운 것으로 판단된다.(각주:피심인은 잘못된 정보 응답ㆍ노출에 대비하여 오류처리 코드를 작성하지 않았으나, 통상적인 개발과정에서 처리자들이 이러한 오류처리 코드를 작성한다고 볼 수 없음(기술전문가 검토, 6.26.)) 특히, 단시간인 2023년 3월 20일 17시부터 3월 21일 2시까지 9시간 동안 세계적으로 일부 이용자의 개인정보가 일시적으로 노출된 것으로, 불법적인 접근을 통한 개인정보 유출 가능성은 높지 않은 것으로 보인다.
따라서, 이 사건 개인정보 유출과 관련하여 피심인이 사회통념상 합리적으로 기대 가능한 보호조치를 하지 않았다고 보기는 어려워 보호법 제29조의 안전조치의무를 위반하였다고 판단할 수 없다.
다만, 보호법 제3조 제4항에서 “개인정보처리자는 개인정보의 처리 방법 및 종류 등에 따라 정보주체의 권리가 침해받을 가능성과 그 위험 정도를 고려하여 개인정보를 안전하게 관리하여야 한다.”고 규정하고 있는바, ChatGPT 서비스의 규모, 파급력 등을 고려하면 개인정보처리시스템을 자체적으로 점검하고 개인정보를 안전하게 관리하여 유사한 상황이 재발되지 않도록 개인정보 처리실태를 개선할 필요는 있다.
나. 개인정보 유출등의 통지ㆍ신고에 대한 검토
피심인은 ’23. 3. 20. 23시 50분 이용자 신고를 통해 다른 사람의 ChatGPT 히스토리가 열람되는 등의 문제를 인지하였고, 이후 해당 문제에 대한 조사를 개시하였으며, 개인정보가 유출된 이용자를 확인하여 2023년 3월 24일 한국 이용자를 포함하여 개인정보가 유출된 모든 이용자에게 이메일로 유출 사실을 통지하였다.
다만, 위원회가 2023년 3월 29일 유출과 관련된 자료제출을 요구하고, 2023년 4월 11일 그에 대한 답변을 한 것 외에 위원회 또는 한국인터넷진흥원에 개인정보 유출 사실을 신고하지 않았다.
피심인은 한국 사업장이 없는 미국 회사인 관계로, 사고 당시 유출된 한국 이용자 수를 별도로 확인하지 않았고, 이용자 보호를 위해 이슈를 조사ㆍ시정하는 것에 우선적으로 노력하여 한국에서 법률 자문을 구하는 것이 지연되었고, 이로 인해 유출 신고가 지연되었다고 소명하였다.
그러나, 한국에 사업장이 없는 해외사업자라고 하더라도 국내에 서비스를 제공하는 경우 보호법을 알고 준수하여야 할 의무가 있는 점을 고려하면, 피심인은 정당한 사유 없이 유출 신고를 지연한 것이므로 보호법 제39조의4 제1항 위반에 해당한다.
<img src="/LSW/flDownload.do?flSeq=135154681" alt="10번째 이미지"></img>
3. 보호법상 의무 준수 관련 검토
위원회는 ChatGPT의 서비스의 가입과정 및 공개된 개인정보 처리방침 등을 검토하였고, 그 결과, 서비스 가입 시 이용약관 및 개인정보 처리방침만 게재, 법정대리인 동의절차 미흡, 개인정보 처리방침 국문본 미공개 및 내용이 미흡 등의 사항을 확인하였다.
다만, 해당 사항은 개인정보 유출과 관련이 있다고 보기 어렵고, 최근 글로벌 서비스를 제공하기 시작한 사업자로 피심인 측이 개정 보호법 시행일인 2023년 9월 15일까지 보호법 준수 의사를 공식적으로 제출한바, 시정명령의 실익이 없어 현시점에서 개선을 권고(각주:행정조사기본법 제4조 제1항 및 제4항에 따라 현시점에서 위법성 입증 및 처분을 위한 조사를 실시하지 않음) 하고, 조치 결과를 지속 모니터링하여 이행 여부를 점검ㆍ확인하는 것이 바람직하다고 판단하였다.
4. 데이터 학습 방법 관련 검토
피심인이 데이터 학습 방법과 관련하여 제출한 자료는 일반적 수준의 언급에 그치고 정확히 어느 한국 웹사이트에서 어떤 방법으로 학습 및 강화 학습 등을 하는지에 대한 세부적인 설명은 부족하였다.
특히, 피심인이 제공하는 ChatGPT를 포함한 초거대 생성형 인공지능 서비스는 최근 가시화된 서비스로 법 적용 기준 등이 아직 불명확한 상황이므로 즉각적인 조사ㆍ처분 또한 어려움이 있다.
따라서 위원회는 개인정보 침해위험 수준에 대한 분석 등을 위해 피심인이 제공하는 ChatGPT 서비스에 대한 추가적인 실태점검을 실시할 필요가 있다고 보았고, 이를 위한 피심인의 적극적인 협력이 필요하다.
Ⅳ. 피심인의 주장 및 검토의견
피심인은 위반행위를 인정하며, 과태료 감경 등 선처를 요청하였다.
Ⅴ. 처분 및 결정
1. 과태료 부과
피심인의 보호법 제39조의4(개인정보 유출 등의 통지ㆍ신고에 대한 특례) 제1항 위반에 대한 과태료는 같은 법 제75조(과태료) 제2항 제12의3호 및 같은 법 시행령 제63조(과태료의 부과기준)의〔별표2〕「과태료의 부과기준」에 따라 다음과 같이 부과한다.
① (기준금액 산정) 피심인의 보호법 제39조의4(개인정보 유출 등의 통지ㆍ신고에 대한 특례) 제1항에 대한 과태료는 최근 3년간 같은 위반행위로 과태료 처분을 받은 사실이 없으므로, 1회 위반에 해당하는 과태료 600만 원을 적용한다.
<img src="/LSW/flDownload.do?flSeq=135154683" alt="11번째 이미지"></img>
② (과태료의 가중) 해당 사항 없음
③ (과태료의 감경) 피심인의 보호법 제39조의4(개인정보 유출 등의 통지ㆍ신고에 대한 특례) 제1항 위반행위에 대해 「개인정보 보호법 위반에 대한 과태료 부과기준」(각주:’23. 3. 8. 개인정보보호위원회 의결) 제7조 및 [별표1] 과태료의 감경기준에 따라, ▲'조사에 적극 협력한 경우’에 해당하여 기준금액의 40%를 감경한다.
<img src="/LSW/flDownload.do?flSeq=135154685" alt="12번째 이미지"></img>
④ (최종 과태료) 보호법 제39조의4(개인정보 유출 등의 통지ㆍ신고에 대한 특례) 제1항 위반행위에 대해 기준금액에서 감경을 거쳐 총 360만 원의 과태료를 부과한다.
<img src="/LSW/flDownload.do?flSeq=135154687" alt="13번째 이미지"></img>
☞ 피심인이 과태료 고지서를 송달받은 날부터 14일 이내에 과태료를 자진납부하는 경우, 100분의 20을 감경함 (질서위반행위규제법 제18조 및 같은 법 시행령 제5조 준용)
2. 개선 권고
피심인에 대하여 개인정보 유출 재발 방지, 보호법 준수, 개인 프라이버시 관련 정보주체의 권리가 충분히 보장되도록 보호법 제61조 제2항에 따라 아래와 같이 개인정보 처리실태의 개선을 권고한다.
<img src="/LSW/flDownload.do?flSeq=135154689" alt="14번째 이미지"></img>
Ⅵ. 결론
피심인의 보호법 제39조의4 제1항 위반행위에 대하여 같은 법 제75조(과태료) 제2항 제12의3호에 의한 과태료 부과를 주문과 같이 의결한다.
또한, 피심인에 대하여 같은 법 제61조(의견제시 및 개선권고) 제2항에 따라 개선권고를 주문과 같이 의결한다.
피심인은 이 과태료 부과처분에 불복이 있는 경우, 「질서위반행위규제법」 제20조의 규정에 따라 그 처분을 받은 날부터 60일 이내에 개인정보보호위원회에 서면으로 이의를 제기할 수 있다.
과태료 부과처분에 대한 피심인의 이의제기가 있는 경우, 개인정보보호위원회의 과태료 부과처분은 「질서위반행위규제법」 제20조제2항의 규정에 따라 그 효력을 상실하고 관할법원(피심인 주소지의 지방법원 또는 그 지원)이 과태료 재판 절차에 따라 결정한다. 이 경우 피심인은 관할법원의 과태료 재판이 확정된 이후 재판 결과에 따라 과태료의 납입 의무를 부담한다.
출처: 국가법령정보센터 개인정보보호위원회 결정문. 신청인·피심인 등 당사자 칸은 따로 싣지 않습니다(본문의 이름은 원천이 가린 그대로입니다).