개인정보보호위원회
심의ㆍ의결
제2023-002-003호 (사건번호 : 2021조일0028)
개인정보보호 법규 위반행위에 대한 시정조치 등에 관한 건
의결일: 2023년 2월 8일
요지
안건번호 : 제2023-002-003호 (사건번호 : 2021조일0028)
안건명 : 개인정보보호 법규 위반행위에 대한 시정조치 등에 관한 건
신청인 : Meta Platforms, Inc.1601 Willow Road, Menlo Park, California 94025대표이사 Mark Zuckerberg
의결연월일 : 2023. 2. 8.
안건명 : 개인정보보호 법규 위반행위에 대한 시정조치 등에 관한 건
신청인 : Meta Platforms, Inc.1601 Willow Road, Menlo Park, California 94025대표이사 Mark Zuckerberg
의결연월일 : 2023. 2. 8.
주문
1. 피심인에 대하여 다음과 같이 시정조치를 명한다.
가. 피심인은 이용자가 이용자의 타사 행태정보에 대한 제공을 거부하더라도 페이스북 및 인스타그램 서비스를 가입하고 이용할 수 있도록 하여야 한다.
나. 위 가의 시정명령에 따른 시정조치를 이행하고, 시정조치 명령 처분통지를 받은 날로부터 90일 이내에 이행결과를 개인정보보호위원회에 제출하여야 한다.
2. 피심인에 대하여 다음과 같이 과태료를 부과한다.
가. 과 태 료 : 6,600,000원
나. 납부기한 : 고지서에 명시된 납부기한 이내
다. 납부장소 : 한국은행 국고수납 대리점
3. 피심인의 법 위반행위 내용 및 결과를 개인정보보호위원회 홈페이지에 공표한다.
가. 피심인은 이용자가 이용자의 타사 행태정보에 대한 제공을 거부하더라도 페이스북 및 인스타그램 서비스를 가입하고 이용할 수 있도록 하여야 한다.
나. 위 가의 시정명령에 따른 시정조치를 이행하고, 시정조치 명령 처분통지를 받은 날로부터 90일 이내에 이행결과를 개인정보보호위원회에 제출하여야 한다.
2. 피심인에 대하여 다음과 같이 과태료를 부과한다.
가. 과 태 료 : 6,600,000원
나. 납부기한 : 고지서에 명시된 납부기한 이내
다. 납부장소 : 한국은행 국고수납 대리점
3. 피심인의 법 위반행위 내용 및 결과를 개인정보보호위원회 홈페이지에 공표한다.
이유
Ⅰ. 조사 개요
1. 조사 배경
개인정보보호위원회(이하 '위원회’)는 온라인 맞춤형 광고 플랫폼(각주:행태정보 수집 도구를 제작ㆍ배포하여 자사 또는 타사의 웹ㆍ앱을 사용한 행태정보를 수집하고 맞춤형 광고를 전송하는 자) 이 이용자(서비스 가입자)가 타사 웹사이트 및 앱을 방문ㆍ사용한 행태정보(각주:웹ㆍ앱 방문ㆍ사용 이력, 구매ㆍ검색 이력 등 이용자의 관심, 흥미, 기호 및 성향 등을 파악하고 분석할 수 있는 온라인상의 활동정보) (이하 '타사 행태정보’)를 수집하여 맞춤형 광고 등에 활용한 실태를 조사하였고, Meta Platforms, Inc.(이하 '피심인’)가 페이스북 및 인스타그램 서비스 이용자의 동의 없이 타사 행태정보를 수집ㆍ이용한 행위에 대해 2022년 제14회 및 제15회 위원회에서 행정처분을 심의ㆍ의결하였다.
피심인의 페이스북 및 인스타그램 서비스 제공 거부와 관련한 사실관계는 2022년 제14회 및 제15회 위원회에서 심의ㆍ의결한 동의 위반 관련 조사 과정에서 확인된 사항으로, 피심인이 조사 과정에서 기존 이용자에게 별도의 동의화면을 통해 타사 행태정보 수집 및 맞춤형 광고 등에 대한 동의를 강제하는 행위가 크게 논란(각주:페이스북, 인스타그램 '맞춤형광고’도 필수동의 요구, 동의 안하면 7.26. 이후 이용불가 보도(경향, 미디어 오늘 등), 이후 서비스 중단 철회(중앙, 동아, 한겨레 등)) 이 되어, 제14회 및 제15회 위원회 심의ㆍ의결의 대상이었던 제39조의3 제1항 위반 여부와 별개로 타사 행태정보가 페이스북 및 인스타그램 서비스 제공을 위해 필요한 최소한의 개인정보인지 및 이용자가 자신의 타사 행태정보를 제공하지 않고 해당 서비스를 이용할 수 없도록 한 행위의 위법성을 판단하였다.
2. 피심인 현황
Meta Platforms, Inc.(이하 '피심인’)은 영리를 목적으로 정보통신망을 통해 페이스북 및 인스타그램 등 서비스를 제공하고 있는 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」(이하 '정보통신망법’) 제2조 제1항 제3호에 따른 정보통신서비스 제공자이며, 「개인정보 보호법」(이하 '보호법’)에 따른 개인정보처리자로서 일반현황과 매출액은 다음과 같다.
<피심인 일반현황>
<img src="/LSW/flDownload.do?flSeq=135158115" alt="1번째 이미지"></img>
<피심인 매출액 현황>
(단위 : 백만$)
<img src="/LSW/flDownload.do?flSeq=135158137" alt="2번째 이미지"></img>
피심인은 2018년 7월 14일부터 페이스북 및 인스타그램 서비스를 대한민국에서 제공하였고, 2021년 9월 기준으로 페이스북 및 인스타그램 서비스의 월간 활성 한국 이용자 계정 수는 각각 개와 개(각주:2021년 9월 30일 기준 관련 제품의 월간 활성 한국 이용자 수를 제출) 이다.
2019년부터 2021년까지 연도별 페이스북 및 인스타그램 서비스의 전체 월간 활성 이용자 중 한국 이용자 비율은 아래와 같다.
<피심인 서비스 한국 이용자 비율>
<img src="/LSW/flDownload.do?flSeq=135158159" alt="3번째 이미지"></img>
Ⅱ. 사실조사 결과
1. 페이스북 및 인스타그램 서비스 가입과정
피심인은 2018년 7월 14일부터 한국 이용자에게 페이스북 및 인스타그램 서비스를 제공하면서, 이용자가 페이스북 계정을 생성하는 과정에서 필수적으로 선택을 하여야 하는 “Facebook 데이터 정책에 동의합니다.” 체크박스 위의 스크롤 화면을 통해 “데이터 정책” 전문을 보여주고 있다.
<img src="/LSW/flDownload.do?flSeq=135158181" alt="4번째 이미지"></img>
또한 피심인은 이용자가 인스타그램 계정을 생성하는 과정에서는 “이용 약관에 동의” 화면에서 “데이터 정책(필수)”을 선택하도록 하면서 “더 알아보기”를 누르는 경우 “Instagram 데이터 정책” 전문을 보여주고 있다.
<img src="/LSW/flDownload.do?flSeq=135158203" alt="5번째 이미지"></img>
피심인은 페이스북 및 인스타그램 데이터 정책 내 “파트너가 제공하는 정보”에서 “광고주, 앱 개발자 및 퍼블리셔”(사업자)는 피심인의 비즈니스 도구(Facebook 로그인, 픽셀, SDK)를 통해 피심인으로 정보를 제공할 수 있다고 표기하고 있다.
<img src="/LSW/flDownload.do?flSeq=135158225" alt="6번째 이미지"></img>
2. Facebook 외부 활동 도구
피심인은 2019년 8월 이용자의 페이스북 및 인스타그램 계정정보와 타사 행태정보의 결합을 해제하고 향후에도 결합되지 않도록 설정할 수 있는 “Facebook 외부 활동(타사 행태정보 수집 설정)” 도구를 출시하였으며, “Facebook 외부 활동” 도구는 이용자가 페이스북 계정을 생성한 후 로그인하여 “계정”→“설정 및 개인정보”→“설정”→“내 Facebook 정보”→“Facebook 외부 활동” 경로를 통해 접속하는 경우 확인할 수 있다.
<img src="/LSW/flDownload.do?flSeq=135158247" alt="7번째 이미지"></img>
<img src="/LSW/flDownload.do?flSeq=135158269" alt="8번째 이미지"></img>
이용자는 “Facebook 외부 활동” 도구 화면에서 “? 옵션 더 보기”를 눌러 “향후 활동 관리”에 접속하여 다른 사업자의 웹사이트 및 앱을 방문ㆍ사용한 타사 행태정보가 계정에 연결되지 않도록 설정할 수 있다.
<img src="/LSW/flDownload.do?flSeq=135158291" alt="9번째 이미지"></img>
피심인은 이와 별도로 이용자가 타사 행태정보를 사용한 맞춤형 광고의 게재 여부를 선택할 수 있도록 “파트너가 제공한 회원님의 활동 데이터(맞춤형 광고 수신 설정)” 도구를 제공하고 있다.
<img src="/LSW/flDownload.do?flSeq=135158117" alt="10번째 이미지"></img>
이용자가 페이스북 및 인스타그램에 가입하는 경우 “Facebook 외부 활동(행태정보 수집 여부 선택)” 및 “파트너가 제공하는 회원님의 활동 데이터(맞춤형 광고 수신 여부 선택)” 도구의 기본 설정값은 “허용”이다.
피심인은 이용자가 이를 “허용 안 함”으로 설정하고 페이스북 및 인스타그램에 가입, 이를 이용 할 수 있는 방법을 제공하지 않고 있으며, 2021년 9월 30일 기준 “Facebook 외부 활동” 도구의 설정값 현황은 아래와 같다.
<img src="/LSW/flDownload.do?flSeq=135158119" alt="11번째 이미지"></img>
인스타그램 이용자가 피심인이 이용자의 타사 행태정보를 수집하는 것을 거부하기 위해서는 페이스북 계정을 생성한 후 인스타그램 계정을 페이스북 계정에 연동하여 “Facebook 외부 활동” 도구의 설정값을 변경하여야 한다.
<img src="/LSW/flDownload.do?flSeq=135158121" alt="12번째 이미지"></img>
피심인은 “Facebook 외부 활동” 도구의 최초 설정값은 해당 도구가 출시된 이래로 동일하게, 이용자의 계정과 타사 행태정보의 저장을 허용하는 것이라고 답변하였다.
<img src="/LSW/flDownload.do?flSeq=135158123" alt="13번째 이미지"></img>
3. 쿠키 및 모바일 광고 식별자에 대한 설정 기능
피심인은 2021년 7월 6일부터 유럽 이용자가 페이스북, 메신저 또는 인스타그램에 로그인하는 경우, 타사 행태정보를 수집하기 위한 쿠키 등이 허용되지 않도록 설정할 수 있는 쿠키 동의화면을 제공하고 있으나, 한국 이용자에게는 이를 제공하고 있지 않다.
<img src="/LSW/flDownload.do?flSeq=135158125" alt="14번째 이미지"></img>
피심인은 유럽 이용자가 쿠키 동의를 하지 않은 경우, 'Facebook 픽셀’ 등을 통해 수집되거나, 쿠키 식별자 등을 통해 수집된 타사 행태정보는 이용자의 계정정보와 결합하지 않고 삭제한다고 안내하고 있다.
<img src="/LSW/flDownload.do?flSeq=135158075" alt="15번째 이미지"></img>
<img src="/LSW/flDownload.do?flSeq=135158097" alt="16번째 이미지"></img>
<img src="/LSW/flDownload.do?flSeq=135158127" alt="17번째 이미지"></img>
피심인은 이용자가 기기에서 모바일 광고 식별자가 전송되지 않도록 설정한 경우(각주:iOS 14.5 전 버전에서 이용자가 “설정 → 개인 정보 보호 → 광고 → 광고 추적 제한” 기능을 켜는 경우 모바일 광고 식별자인 IDFA 값이 기기에 부여되지 않음) 에도 메타데이터(IP주소, 기기정보 등)를 통해 타사 행태정보를 이용자의 계정정보에 결합하여 맞춤형 광고에 활용하였다.
<img src="/LSW/flDownload.do?flSeq=135158129" alt="18번째 이미지"></img>
피심인은 2020년 9월 28일 출시한 Facebook SDK 8 버전 및 2021년 4월 26일 출시된 iOS 14.5 버전 이상에서는 이용자가 광고 추적에 동의하지 않으면 타사 행태정보를 이용자의 계정정보와 결합하지 않도록 수정하였다고 답변하였다.
<img src="/LSW/flDownload.do?flSeq=135158131" alt="19번째 이미지"></img>
4. 행태정보 수집 도구를 통해 식별자 및 이용자의 타사 행태정보를 수집하는 목적
피심인은 측정 및 분석 서비스, 광고 타게팅, 광고 게재 개선, 기능 및 콘텐츠 맞춤화, Facebook 제품 개선 및 보호 등의 목적으로 타사 행태정보를 수집ㆍ이용하고 있다고 답변하였다.
<img src="/LSW/flDownload.do?flSeq=135158133" alt="20번째 이미지"></img>
피심인은 이용자의 타사 행태정보를 수집ㆍ분석하여 이용자가 관심을 가질 만하다고 판단하는 광고를 추정하여 피심인의 서비스에 게재하고 있다.
<img src="/LSW/flDownload.do?flSeq=135158135" alt="21번째 이미지"></img>
<img src="/LSW/flDownload.do?flSeq=135158139" alt="22번째 이미지"></img>
피심인은 이용자(소스 타겟)의 타사 행태정보를 바탕으로 광고주가 해당 이용자와 유사한 이용자(유사 타겟)를 추정하여 타게팅할 수 있는 기능을 제공하고 있다.
<img src="/LSW/flDownload.do?flSeq=135158141" alt="23번째 이미지"></img>
5. 페이스북 및 인스타그램 서비스 동의 방식 변경
피심인은 2022년 7월 26일 페이스북 및 인스타그램의 개인정보 처리방침을 변경ㆍ적용하였고, 기존 페이스북 이용자 중 한국 이용자에게는 “Facebook 앱을 계속 사용하려면 업데이트를 검토하고 동의하세요”라는 화면을 보여주고 “개인정보의 수집 및 이용[필수]” 등 6개 사항을 필수로 선택하게 하였다.(각주:인스타그램의 경우에도 “Instagram 앱을 계속 사용하려면 업데이트를 검토하고 동의하세요” 화면을 보여주고 동일한 사항에 선택하도록 함) <img src="/LSW/flDownload.do?flSeq=135158143" alt="24번째 이미지"></img>
“개인정보의 수집 및 이용[필수]”에는 “맞춤형 광고 표시를 위한 개인정보 수집 및 이용에 동의합니다.”라는 내용이 포함되어 있고, “개인정보의 수집 및 이용[필수]”의 더 알아보기를 누르는 경우, 법정 고지사항을 보여주는 화면이 나타나며, 법적 고지사항 항목별로 개인정보 처리방침을 누르는 경우 피심인 개인정보 처리방침의 해당 부분을 보여주고 있다.
<img src="/LSW/flDownload.do?flSeq=135158103" alt="25번째 이미지"></img>
<img src="/LSW/flDownload.do?flSeq=135158105" alt="26번째 이미지"></img>
<img src="/LSW/flDownload.do?flSeq=135158145" alt="27번째 이미지"></img>
<img src="/LSW/flDownload.do?flSeq=135158107" alt="28번째 이미지"></img>
<img src="/LSW/flDownload.do?flSeq=135158147" alt="29번째 이미지"></img>
변경된 개인정보 처리방침에서 피심인이 수집하는 정보 중 파트너, 벤더 및 제3자로부터 제공받은 정보에는 타사 행태정보(Facebook 외부 활동)가 포함되어 있다.
<img src="/LSW/flDownload.do?flSeq=135158149" alt="30번째 이미지"></img>
피심인은 이번 처리방침 변경이 기존 내용을 쉽게 이해할 수 있도록 표현 및 구조를 변경하여 투명성을 높인 것뿐이며, 이용자 개인정보에 대한 새로운 권리가 부여되거나 피심인이 개인정보를 처리하는 방식이 변경된 것은 아니라고 밝히고 있다.
<img src="/LSW/flDownload.do?flSeq=135158151" alt="31번째 이미지"></img>
피심인은 2022년 7월 26일 이후에도 이용자가 페이스북 및 인스타그램에 가입하는 경우 “Facebook 외부 활동(행태정보 수집 여부 선택)” 및 “파트너가 제공하는 회원님의 활동 데이터(맞춤형 광고 수신 여부 선택)” 도구의 기본값을 “허용”으로 설정해 놓고 있으며, 이용자가 이를 “허용 안 함”으로 설정하고 페이스북 및 인스타그램에 가입하여 서비스를 이용할 수 있는 방법을 제공하고 있지 않다.
6. 'Facebook 로그인’ 기능을 통한 타사 행태정보 수집
피심인은 'Facebook 로그인’은 행태정보 수집 도구인 비즈니스 도구와 본질적으로 다르며, 이러한 정보 이전은 비즈니스 도구 약관이 아닌 플랫폼 정책에 의해 규율된다고 답변하였다.
<img src="/LSW/flDownload.do?flSeq=135158153" alt="32번째 이미지"></img>
또한, 사업자가 Facebook 로그인 기능만을 설치한 경우, 이용자가 해당 사업자의 웹사이트 및 앱에 Facebook 로그인으로 가입하거나 로그인하지 않는 이상, 광고 식별자 및 타사 행태정보는 피심인에게 전송되지 않는다고 답변하였다.(각주:피심인은 사업자가 비즈니스 도구 없이 Facebook 로그인을 설치할 수 있다고 하면서 관련한 개발자 페이지(“로그인 플로 직접 빌드”)의 접속 링크(https://developers.facebook.com/docs/facebook-login/guides/advanced/manual-flow)를 제출함) <img src="/LSW/flDownload.do?flSeq=135158155" alt="33번째 이미지"></img>
피심인은 Facebook 로그인 SDK는 Facebook SDK의 구성요소(각주:(필수) Facebook ①Core SDK
(선택) Facebook ②로그인 SDK, ③공유 SDK, ④메신저 SDK, ⑤앱링크 SDK) 중 하나이며, Facebook 로그인 SDK를 설치할 목적으로 Facebook SDK를 설치하는 경우 행태정보 수집 기능을 가진 Facebook Core SDK가 함께 설치된다고 답변하였다.
<img src="/LSW/flDownload.do?flSeq=135158157" alt="34번째 이미지"></img>
그러나, 피심인은 개발자 페이지와 데이터 정책에서 Facebook 로그인을 비즈니스 도구의 하나로 안내하고 있다.
<img src="/LSW/flDownload.do?flSeq=135158161" alt="35번째 이미지"></img>
<img src="/LSW/flDownload.do?flSeq=135158163" alt="36번째 이미지"></img>
피심인이 비즈니스 도구 없이 Facebook 로그인을 설치할 수 있다면서 제출한 “로그인 플로 직접 빌드”는 개발자 문서의 “Facebook Login → Guides → 고급” 경로에서 확인할 수 있다.(각주:“Facebook Login” 화면에 접속하면 “고급” 및 “로그인 플로 직접 빌드” 화면은 “Guides”를 누르는 경우 나타나며, 로그인을 설치하는 방법은 각 기기별(iOS, Android, 웹, 기기용)로 안내하고 있음) <img src="/LSW/flDownload.do?flSeq=135158165" alt="37번째 이미지"></img>
피심인은 개발자 문서의 “로그인 플로 직접 빌드” 관련 안내사항에서 “SDK를 사용하지 않는 앱이 있는 경우”에 사용하는 것으로 안내하고 있으며, “로그인 플로 직접 빌드” 페이지에서는 모바일 앱은 iOS 및 Android용 Facebook SDK를 사용하고 해당 플랫폼에 대한 별도의 가이드를 따르라고 안내하고 있다.
<img src="/LSW/flDownload.do?flSeq=135158167" alt="38번째 이미지"></img>
<img src="/LSW/flDownload.do?flSeq=135158169" alt="39번째 이미지"></img>
피심인은 2021년 9월부터 개발자가 앱에서도 “로그인 플로를 직접 빌드” 할 수 있으며, 개발자 문서에 모바일 앱 적용 내용을 반영하기 위해 개발자 문서를 업데이트하고 있다고 답변하였다.(각주:위원회 의결일(23.2.8.) 현재까지 피심인 답변과는 달리 개발자 문서에는 해당 내용이 업데이트되지 않음) <img src="/LSW/flDownload.do?flSeq=135158171" alt="40번째 이미지"></img>
피심인이 제출한 개발자 블로그에는 위 “로그인 플로 직접 빌드”의 안내사항과 마찬가지로 2021년 9월 17일 이전에는 Facebook 로그인을 구현하는 iOS 및 Android 앱을 사용하는 개발자에게 공식 SDK를 사용하도록 요구했다는 내용이 확인된다.(각주:개발자 블로그 : https://developers.facebook.com/blog/post/2021/09/16/enhancing-our-developer-policies-strengthen-platform-integrity) <img src="/LSW/flDownload.do?flSeq=135158173" alt="41번째 이미지"></img>
사업자의 웹사이트 및 앱에 설치된 Facebook 로그인은 이용자의 Facebook 계정 보유 여부 또는 로그인 여부와 관계없이 이용자의 광고 식별자 및 타사 행태정보를 피심인에게 전송한다.
<img src="/LSW/flDownload.do?flSeq=135158175" alt="42번째 이미지"></img>
<img src="/LSW/flDownload.do?flSeq=135158177" alt="43번째 이미지"></img>
피심인은 사업자가 Facebook 로그인 기능을 설치하는 과정에서 자동 이벤트 로깅을 비활성화하면 해당 웹사이트 및 앱에서는 이용자의 타사 행태정보를 수집하지 않는다고 답변하였다.
피심인은 개발자 페이지의 “Android용 Facebook 로그인 → 빠른 시작” 메뉴에서 “Facebook SDK를 사용할 때 자동 이벤트 로깅을 비활성화하지 않으면 앱의 이벤트가 Facebook 분석을 위해 자동으로 로깅 되고 수집됩니다.”라고 자동 이벤트 로깅에 대한 내용을 안내(각주:해당 사항은 iOS, 웹 및 기기용에 대한 개발자 페이지에서는 확인되지 않음) 하고 있으나, Facebook 로그인 기능을 통해 이용자의 타사 행태정보를 수집하여 광고에 활용한다는 내용은 개발자 페이지에서 안내하고 있지 않다.
<img src="/LSW/flDownload.do?flSeq=135158179" alt="44번째 이미지"></img>
7. 광고주에게 제공하는 타게팅 서비스
피심인은 페이스북의 “광고 관리자”에서 “타겟” 선택화면을 통해 이용자의 “위치”, “연령”, “성별”, “언어”, “상세 타게팅”, “행동”, “연결 관계”(각주:이용자가 사용하는 페이지, 앱 또는 이벤트와의 연결 관계를 기반으로 광고 게재) 등을 기반으로 타겟(이용자의 범위)을 설정하여 광고를 게재할 수 있는 기능을 광고주에게 제공하고 있다.
<img src="/LSW/flDownload.do?flSeq=135158183" alt="45번째 이미지"></img>
광고주는 “상세 타게팅”을 통해 학력, 재무, 결혼/연애 상태 등 “인구 통계학적 특성”, 쇼핑 및 패션, 스포츠 및 야외활동 등 “관심사”(각주:피심인이 ’21.5.2. 제출한 자료에 따르면 관심사의 수는 ’21.3.3. 기준 개로 확인됨) 또는 구매 행동, 특정 모바일 기기 사용자 등 “행동”을 기반으로 광고를 게재할 타겟을 설정할 수 있다.
<img src="/LSW/flDownload.do?flSeq=135158185" alt="46번째 이미지"></img>
<img src="/LSW/flDownload.do?flSeq=135158187" alt="47번째 이미지"></img>
피심인은 광고주로부터 직접 제공받거나 Facebook 픽셀 및 SDK 등을 통해 전송받은 식별자(각주:피심인은 Facebook 픽셀 및 SDK를 통해 광고주의 웹사이트, 앱을 사용한 이용자를 식별하고, 광고주가 이를 타겟으로 광고를 게재할 수 있는 기능을 제공함) 에 해당하는 페이스북 및 인스타그램 등 이용자에게 광고를 게재할 수 있는 “맞춤 타겟” 기능을 광고주에게 제공하고 있으며, “맞춤 타겟”에 해당하는 이용자와 유사한 이용자를 추정하여 광고를 게재할 수 있는 “유사 타겟” 기능을 광고주에게 제공하고 있다.
<img src="/LSW/flDownload.do?flSeq=135158189" alt="48번째 이미지"></img>
<img src="/LSW/flDownload.do?flSeq=135158191" alt="49번째 이미지"></img>
<img src="/LSW/flDownload.do?flSeq=135158193" alt="50번째 이미지"></img>
피심인은 페이스북 “광고 관리자” 페이지의 “노출 위치” 설정을 통해 광고주가 광고를 게재할 위치와 관련하여 “어드밴티지+노출위치(추천)” 또는 “수동 노출 위치” 중 하나를 선택할 수 있도록 하고 있고, “수동 노출 위치” 설정에서 광고를 게재할 위치를 “Facebook”, “Instagram”, “Audience Network”, “Messenger”를 선택할 수 있고, 각 서비스의 세부적인 위치까지 선택할 수 있도록 한바, 광고주의 광고는 페이스북 및 인스타그램뿐만 아니라 피심인이 제공하는 다른 서비스에서도 게재될 수 있는 것이 확인된다.
<img src="/LSW/flDownload.do?flSeq=135158195" alt="51번째 이미지"></img>
Ⅲ. 피심인의 행위에 대한 위법성 판단
1. 관련 법령의 규정 및 법리
가. 보호법상 '필요한 최소한의 개인정보’
보호법 제3조 제1항은 “개인정보처리자는 개인정보의 처리 목적을 명확하게 하여야 하고 그 목적에 필요한 범위에서 최소한의 개인정보만을 적법하고 정당하게 수집하여야 한다.”라고, 제6항은 “개인정보처리자는 정보주체의 사생활 침해를 최소화하는 방법으로 개인정보를 처리하여야 한다.”라고, 제7항은 “개인정보처리자는 개인정보를 익명 또는 가명으로 처리하여도 개인정보 수집목적을 달성할 수 있는 경우 익명처리가 가능한 경우에는 익명에 의하여, 익명처리로 목적을 달성할 수 없는 경우에는 가명에 의하여 처리될 수 있도록 하여야 한다.”라고 규정하고 있다.
보호법 제39조의3 제3항은 “정보통신서비스 제공자는 이용자가 필요한 최소한의 개인정보 이외의 개인정보를 제공하지 아니한다는 이유로 그 서비스의 제공을 거부해서는 아니 된다. 이 경우 필요한 최소한의 개인정보는 해당 서비스의 본질적 기능을 수행하기 위하여 반드시 필요한 정보를 말한다.”라고 규정한바, 이는 보호법 제16조 제3항이 “개인정보처리자는 정보주체가 필요한 최소한의 정보 외의 개인정보 수집에 동의하지 아니한다는 이유로 정보주체에게 재화 또는 서비스의 제공을 거부하여서는 아니 된다”고 규정한 것과 함께, 보호법 제3조의 개인정보 보호 원칙을 구체화하고 있으며,(각주:대법원 2017. 4. 7. 선고 2016도13263판결은 “(중략) 즉 개인정보처리자는 개인정보를 수집하는 경우에 그 목적에 필요한 최소한의 개인정보를 수집하여야 하고, 정보주체가 필요한 최소한의 정보 외의 개인정보 수집에 동의하지 아니한다는 이유로 정보주체에게 재화 또는 서비스의 제공을 거부하여서는 아니 된다(제16조 제1항, 제2항). (중략) 이는 개인정보처리자가 정당한 목적으로 개인정보를 수집하는 경우라 하더라도 그 목적에 필요한 최소한의 개인정보 수집에 그쳐야 하고 이에 동의하지 아니한다는 이유로 정보주체에게 재화 또는 서비스의 제공을 거부하여서는 안 된다는 개인정보 보호 원칙(개인정보 보호법 제3조 제1항)과 개인정보 보호법 규정에 위반되는 것이다.”라고 판시하여, 법 제3조 제1항과 '필요한 최소한의 정보 외의 개인정보 수집에 동의하지 아니한다는 이유로 정보주체에게 재화 또는 서비스의 제공을 거부하여서는 아니 된다’는 구체적 규범이 같은 법원리의 것임을 밝힌 바 있음) 보호법 제39조의3 제3항은 '필요한 최소한의 개인정보’에 대하여 '해당 서비스의 본질적 기능을 수행하기 위하여 반드시 필요한 정보’로 더욱 구체화하고 있다.
따라서 보호법 제39조의3 제3항의 '필요한 최소한의 개인정보’는 보호법 제3조의 규정과 보호법 제39조의3 제3항의 '해당 서비스의 본질적 기능을 위하여 반드시 필요한 정보’를 함께 고려하여 판단하여야 한다.
1) 보호법 제3조 제1항, 제6항 및 제7항에 따른 고려
먼저 보호법 제3조 제1항은 '그 목적에 필요한 범위에서 최소한의 개인정보만을 수집’하도록 규정하여 필요성과 최소성을 나누어 규율(각주:보호법 제3조 제2항이 '처리 목적에 필요한 범위에서 적합하게 개인정보를 처리’하도록 규정하여 필요성과 적합성을 나누어 규율하고 같은 조 제3항이 '처리 목적에 필요한 범위에서 개인정보의 정확성 등이 보장’되도록 규정하여 필요성과 정확성 등을 나누어 규율한바, 제1항의 필요성과 최소성 역시 서로 구별되는 개념임을 알 수 있음) 하고 있는바, 필요성은 '그 목적에 필요한 범위에서’라는 문언상 그 목적 달성을 위하여 실제 필요한 범위를 초과하지 않는지를 기준으로 판단할 수 있고, 최소성은 '필요한 범위에서 최소한’이라는 문언상 필요성을 전제한 상태에서 최소한도를 의미하므로, 목적 달성을 위해 단순히 필요한 범위를 넘어 반드시 필요한 정보인지를 기준으로 판단하여야 한다.
또한, 보호법 제3조 제1항은 필요한 최소한의 개인정보를 '적법하고 정당하게’ 수집할 것도 요구하고 있는바, 개인정보의 수집에서 정보주체와 개인정보처리자의 이익의 균형이 요구(각주:컨트롤러는 해당 정보주체에게 부당하게 해롭고 예상하지 못하거나 오도하는 방식으로 개인정보를 처리하지 말고, 처음부터 개인정보를 어떻게 이용할지 정보주체에게 분명하고 정직해야 한다. 이 법이 요구하는 개인정보의 정당한 수집은 실제로는 공정한 수집이라고 보는 것이 타당할 것이다. 이 법의 정당한 수집은 GDPR의 공정한 수집에 상응하는 것으로 이해하는 것이 개인정보 처리에 관한 규범의 국제적 수렴 내지 통일이라는 점에서도 타당할 것이다. 개인정보의 공정한 수집이 요구되면, 개인정보의 수집에서 정보주체와 개인정보처리자의 이익의 균형이 요구된다.(박노형 저 개인정보보호법 121p)) 되며, 정보주체가 예상할 수 있는 방식으로 개인정보가 처리되어야 한다.
보호법 제3조 제1항과 함께 제3조 제6항 및 제7항 또한 OECD 프라이버시 8원칙의 수집 제한의 원칙 및 GDPR의 데이터 최소화(각주:GDPR 제5조 제1항 (c)호에서는 이를 '목적과 관련하여 적당한(adequate)이라는 문구로 표현하고 있으며, ICO는 “adequate”에 대하여 명시된 목적을 적절하게 수행하기에 충분하다(sufficient to properly fulfil your stated purpose)는 의미로 설명함) 에 대한 원칙으로 설명(각주:EU 역시 가명화 및 익명화를 데이터 최소화의 요소로 설명하고 있음(EDPB, Guidelines 4/2019 on Article 25 - Data Protection by Design and by Default (Version for public consultation) p.21)) 하고 있는바, 수집하는 개인정보의 종류 및 성격, 수집목적, 이용형태, 정보처리방식 등이 인격권 또는 사생활의 자유에 미치는 영향이나 침해의 정도(각주:헌법재판소는 “개인정보의 종류 및 성격, 수집목적, 이용형태, 정보처리방식 등에 따라 개인정보자기결정권의 제한이 인격권 또는 사생활의 자유에 미치는 영향이나 침해의 정도는 달라지므로 개인정보자기결정권의 제한이 정당한지 여부를 판단함에 있어서는 위와 같은 요소들과 추구하는 공익의 중요성을 헤아려야 하는바, 피청구인들이 졸업증명서 발급업무에 관한 민원인의 편의 도모, 행정효율성의 제고를 위하여 개인의 존엄과 인격권에 심대한 영향을 미칠 수 있는 민감한 정보라고 보기 어려운 성명, 생년월일, 졸업일자 정보만을 NEIS에 보유하고 있는 것은 목적의 달성에 필요한 최소한의 정보만을 보유하는 것이라 할 수 있다”고 판시(헌재 2005. 7. 21. 2003헌마282 등)) 를 고려하고, 필요성에 더하여 최소성까지 판단 시에는 같은 목적을 달성하기 위하여 달리 덜 침해적인 수단이 없을 경우인지까지 판단하여야 한다.(각주:헌재 2012. 2. 23. 선고 2009헌마318결정에 따르면 사상이나 지식에 관한 정치적, 시민적 표현행위인 경우 및 인격발현과 개성신장에 미치는 효과가 중대한 경우, 비례의 원칙 심사에 있어서 '피해의 최소성’원칙은 같은 목적을 달성하기 위하여 달리 덜 제약적인 수단이 없을 것인지 혹은 입법목적을 달성하기 위하여 필요한 최소한의 제한인지를 심사하여야 함) <img src="/LSW/flDownload.do?flSeq=135158197" alt="52번째 이미지"></img>
2) 보호법 제39조의3 제3항에 따른 고려
보호법 제39조의3 제3항은 '필요한 최소한의 개인정보’를 '해당 서비스의 본질적 기능을 수행하기 위하여 반드시 필요한 정보’로 규정하여 보호법 제3조 제1항에 따른 “그 목적에 필요한 범위에서 최소한의 개인정보”를 구체화하고 있다.
보호법 해설서 또한 '필요한 최소한의 개인정보’란 '해당 서비스’의 본질적 기능을 수행하기 위하여 반드시 필요한 정보를 말한다고 설명하고 있으며, '해당 서비스’란 사업자가 정보통신망을 통해 이용 약관, 개인정보 처리방침, 서비스 안내ㆍ설명자료 등에 따라 이용자에게 제공하는 개별 서비스를 말하고, 이와 같은 개별 서비스는 통상적인 이용자가 합리적으로 예상할 수 있어야 하며, '본질적 기능’이란 사업자가 해당 서비스를 제공하기 위해 반드시 필요한 기능을 의미한다고 설명하고 있다.
또한, “정보통신서비스 제공자가 해당 서비스 제공에 반드시 필요한 개인정보에 대해서는 이용자로부터 수집 동의를 받아야 하고(필수동의 항목), 해당 서비스의 추가적 기능 또는 사업자의 필요에 의해 이용자에게 개인정보 수집 동의를 요청할 수 있다(선택동의 항목).”라고 설명하고 있고, 정보주체의 자발적 동의를 받으면 필요 최소한의 정보 이외의 것도 수집ㆍ이용할 수 있으나, 이를 위해 필요한 최소한의 정보라고 하여 정보주체의 동의를 의무화하거나 강요해서는 안 된다고 설명하고 있다.
대법원은 정보주체가 합리적으로 예상할 수 있는 서비스에 필요한 개인정보를 수집하여야만 필요한 최소한의 개인정보 수집 원칙을 준수한 것으로 판단하는 취지로 판시하고 있는바, 보호법 제39조의3 제3항 판단 시 해당 서비스는 통상적인 이용자가 합리적으로 예상할 수 있어야 한다는 해설서의 내용과 같은 판단이다.
<img src="/LSW/flDownload.do?flSeq=135158199" alt="53번째 이미지"></img>
3) 소결
’필요한 최소한의 개인정보’는 해당 서비스의 본질적 기능을 수행하기 위하여 반드시 필요한 정보로서, 해당 서비스는 이용 약관, 개인정보 처리방침 등에 따라 통상적인 이용자가 합리적으로 예상할 수 있어야 하고, 그 개인정보의 처리가 목적 달성을 위하여 실제 필요한 범위를 초과하여서는 안 되며, 단순히 필요한 것을 넘어 반드시 필요한 처리여야 한다.
나아가 그 개인정보의 처리가 이용자의 인격권 또는 사생활의 자유에 미치는 영향이나 침해의 정도가 과도하여서는 안 되고, 목적 달성을 위하여 대체 가능한 덜 침해적인 다른 수단이 없어야 할 것이다.
나. 관련 가이드라인
“온라인 개인정보 처리 가이드라인”은 이용자의 개인정보를 수집하는 경우 '필요 최소한의 개인정보 수집’을 하도록 하면서 보호법 해설서와 동일하게 '해당 서비스’와 '본질적 기능’의 의미를 안내하고 있다.
<img src="/LSW/flDownload.do?flSeq=135158201" alt="54번째 이미지"></img>
또한, 서비스 제공 계약 이행과는 무관한 목적으로 이용하기 위해 '서비스 이용내역 정보’, '자동수집장치에 의해 수집하는 개인정보’를 수집하는 경우, 선택동의 항목으로 분류하여 별도의 동의를 받아야 한다고 명시하고 있으며, 그 예시로 쿠키를 통해 수집하는 행태정보를 개인정보와 결합ㆍ분석하여 개인별 맞춤형 광고에 활용하는 경우를 안내하고 있다.
<img src="/LSW/flDownload.do?flSeq=135158205" alt="55번째 이미지"></img>
“온라인 맞춤형 광고 개인정보보호 가이드라인”은 광고 사업자가 행태정보와 개인정보를 결합할 경우에는 해당 이용자로부터 사전에 동의를 받아야 한다고 안내하고 있다.
<img src="/LSW/flDownload.do?flSeq=135158207" alt="56번째 이미지"></img>
2. 기초 사실 및 판단
가. 맞춤형 광고 생태계
포털, SNS 등의 서비스를 제공하는 플랫폼은 이용자에게 서비스를 무료로 제공하는 대신 이용자의 행태정보 등 개인정보를 수집, 사업자가 의뢰한 광고를 이용자에게 보여주고 사업자로부터 비용을 지불받는 양면 시장의 성격을 갖고 있으며, 이러한 시장의 특성을 고려할 때, 플랫폼, 사업자, 이용자에 대해 나누어 살펴볼 필요가 있다.
<img src="/LSW/flDownload.do?flSeq=135158209" alt="57번째 이미지"></img>
플랫폼은 이러한 서비스 구조를 설계하고 수익을 극대화하기 위해 플랫폼을 이용하는 다수 이용자의 다양한 개인정보를 필요로 한다.
플랫폼은 사업자가 의뢰한 광고의 효율을 높이기 위해 이용자의 성별, 연령, 주소 등 기본적인 정보 외에도 위치정보를 포함하여 플랫폼 내에서 활동한 기록(수ㆍ발신 메일 또는 메시지, 작성한 댓글, 열람 또는 작성한 콘텐츠 등)을 수집하고, 이를 넘어 방문한 웹사이트, 설치ㆍ실행한 앱 및 열람한 페이지(조회ㆍ구매한 상품) 등의 타사 행태정보도 수집(각주:플랫폼은 사업자가 사용할 수 있는 다양한 도구에 이용자의 행태정보를 수집하는 기능을 포함하여 배포하고 있음) 하고 있다.
사업자는 웹사이트 및 앱 이용자가 쉽게 서비스에 가입ㆍ이용할 수 있도록 하고, 통계를 분석하여 서비스를 개선하며, 광고의 효과를 측정하여 수익을 높이기 위해 플랫폼이 배포하는 도구를 사용한다.
또한, 사업자는 광고주로서 자신이 제공하는 서비스 또는 상품을 홍보ㆍ판매하기 위해 플랫폼에 광고를 의뢰하고 있다.
이용자는 일상생활을 지인과 공유하고 기록하기 위해 SNS 서비스를 이용하고, 검색ㆍ지도ㆍ메일ㆍ동영상 시청 등을 위해 포털 서비스를 이용하며, 기타 필요에 따라 온라인 게임, 쇼핑, 교육 등 사업자가 제공하는 다양한 서비스를 이용한다.
즉, 플랫폼은 이용자가 SNS 및 포털 서비스 가입 시 입력ㆍ제공한 개인정보와 해당 서비스를 이용한 행태정보 및 사업자에게 배포한 행태정보 수집 도구로부터 수집되는 행태정보를 결합ㆍ분석하여 이용자의 관심사 등을 도출, 광고주가 의뢰한 광고를 이용자 맞춤형으로 게재하고 수익을 창출한다.
<img src="/LSW/flDownload.do?flSeq=135158211" alt="58번째 이미지"></img>
<img src="/LSW/flDownload.do?flSeq=135158213" alt="59번째 이미지"></img>
이러한 맞춤형 광고 생태계는 온라인 쇼핑 등 일반 서비스와 달리 참여자가 많고, 플랫폼의 수익구조가 복잡하며, 이용자는 자신의 어떤 개인정보가 수집ㆍ이용되는지 알기 어려운 특징이 존재한다.
나. 타사 행태정보의 특수성
타사 행태정보는 이용자가 피심인의 행태정보 수집 도구가 설치된 사업자의 웹ㆍ앱 서비스를 이용하는 과정에서 자동으로 피심인에게 수집되고, 행태정보 수집 도구는 사업자의 웹사이트 및 앱의 소스코드에 포함되어 있어, 통상의 이용자라면 수집 도구의 설치 여부를 확인하기 어려우며, 이용자는 이러한 행태정보가 피심인에게 자동 수집되는 것을 인지하기 어려울 뿐 아니라, 플랫폼을 통해 제공받고자 하는 서비스(SNS 등)에 타사 행태정보가 꼭 필요한 요소라고 예측하기도 어렵다.
또한 타사 행태정보가 축적되는 경우, 이용자에 대한 빅데이터가 형성되어 사상ㆍ신념, 정치적 견해, 건강, 신체적ㆍ생리적ㆍ행동적 특징, 기타 이용자의 사생활을 현저히 침해할 우려가 있는 민감정보가 생성될 가능성도 높아지는바, 이는 개인정보를 보호하고자 하는 보호법 취지를 훼손하는 결과로 이어질 수 있다.(각주:타사 행태정보 수집 자체로 보호법 상 민감정보의 처리로 보기는 어려우나, 이를 수집ㆍ이용함으로써 실질적으로 민감정보를 수집하는 것이 될 수 있어 보호법이 규제하고자 하는 바를 교묘히 빠져나가는 결과가 발생할 수 있음) 다. 맞춤형 광고가 플랫폼 서비스의 '본질적 기능’에 해당하는지 여부
보호법 제39조의3 제3항의 '해당 서비스’란 정보통신서비스 제공자가 이용자에게 제공하는 개별 서비스로서 통상적인 이용자가 합리적으로 예상할 수 있는 것을 말하고, '본질적 기능’이란 해당 서비스를 제공하기 위해 반드시 필요한 기능을 의미한다.
여기서 '본질’은 '사물이나 현상을 성립시키는 근본적인 성질’을 의미하므로, '본질적 기능’을 판단할 때는 필요성 이전에 근본적인지를 고려하여야 하고, '해당 서비스’는 통상적인 이용자가 합리적으로 예상할 수 있는 것을 말하므로 '본질적 기능’ 역시 통상적인 이용자가 합리적으로 예상할 수 있어야 한다.
플랫폼은 이용 약관을 통해 명시한 바와 같이 이용자에게 무료로 서비스를 제공하는 대신 이용자의 개인정보를 사용하고, 사업자(광고주)로부터 그들의 광고를 이용자에게 보여주는 대가로서 비용을 받고 있으므로, 영리를 목적으로 정보통신서비스를 제공한다는 측면에서는 수익 창출을 위한 비즈니스 모델로서 맞춤형 광고가 서비스의 본질로 비춰질 수 있다.(각주:광고주(사업자)는 자신의 광고를 플랫폼 이용자 등에게 게재하기 위해 플랫폼의 광고 게재 서비스를 이용하면서 비용을 지불) 그러나 플랫폼은 맞춤형 광고 없이도 개별 서비스를 제공할 수 있고, 개별 서비스 제공의 '수단’으로 맞춤형 광고를 '선택’한 것이다.
그리고, 이용자는 플랫폼이 설계한 비즈니스 모델 내에서 검색, 콘텐츠(뉴스, 금융ㆍ부동산, 생활ㆍ문화, 스포츠ㆍ오락), 커뮤니케이션(이메일, 메신저), 커뮤니티(홈페이지, 카페, 블로그), 전자상거래(온라인 쇼핑) 등 개별 서비스의 사용을 주된 목적으로 하고, 그 과정에서 부수적으로 '광고’를 접하게 된다.
따라서 이용자는 개별 서비스를 사용하는 과정에서 보이는 '광고’가 관념적으로 그 수익구조라는 점은 알 수 있을지 모르나, 해당 '광고’가 이용자가 다른 웹사이트 및 앱을 방문ㆍ사용한 온라인 활동 기록인 타사 행태정보 등 개인정보를 사용하여 맞춤형으로 게재된다는 점을 합리적으로 예상할 수 있다고 보기는 어렵다.
이에 광범위한 행태정보 등 개인정보의 수집 및 개인 식별에 기반한 맞춤형 광고가 '본질적 기능’에 해당한다고 볼 수 없다.
라. 타사 행태정보의 '필요한 최소한의 개인정보’ 해당 여부
보호법 제39조의 제3항의 '필요한 최소한의 개인정보’는 이용자에게 제공하는 개별 서비스의 '본질적 기능’을 수행하기 위해 반드시 필요한 정보를 의미한다.
따라서, 타사 행태정보가 '필요한 최소한의 개인정보’에 해당하려면, 플랫폼이 타사 행태정보 수집을 통해 제공하고자 하는 개별 서비스(개인정보를 활용한 맞춤형 광고)와 그 수집을 통상의 이용자가 충분히 예상할 수 있어야 하고, 타사 행태정보가 없으면 목적 달성이 가능하지 않은 정도로 반드시 필요한 정보인 동시에 타사 행태정보 수집으로 인해 얻는 플랫폼의 이익이 이용자의 권리보다 우선하는 경우여야 하며, 이용자의 인격권 또는 사생활의 자유에 미치는 영향이나 침해의 정도가 과도하여서는 안 되고, 가명화 또는 익명화하여 처리하여도 목적을 달성할 수 있는 경우에는 그와 같이 처리하여야 한다.
한편, 타사 행태정보의 수집 과정은 이용자를 식별한 상태에서 모든 기기를 추적, 온라인 활동을 모니터링(감시)하여 인터넷 활동의 익명성을 상실시키고, 타사 행태정보를 분석하면 이용자의 사상ㆍ신념, 정치적 견해, 건강, 신체적ㆍ생리적ㆍ행동적 특징 및 민감정보를 생성하고 식별할 가능성이 높아 「헌법」에 따라 보장되는 사생활의 비밀과 자유를 심각히 침해받을 수 있다.
그러므로, 단순히 플랫폼의 수익 창출을 위한 비즈니스 모델을 넘어 해당 정보가 없으면 이용자에게 개별 서비스의 제공이 불가능한 등 불가피한 사정이 있는 경우에만 이를 '필요한 최소한의 개인정보’로서 수집ㆍ이용할 수 있으며, 이때 이용자는 이용하고자 하는 개별 서비스에서 타사 행태정보가 수집ㆍ이용된다는 사실을 알 수 있어야 한다.
3. 위법성 판단
가. 피심인이 제공하는 서비스에서 맞춤형 광고가 본질적 기능인지 여부
피심인의 페이스북 및 인스타그램 서비스 약관에는 “별도의 약관이 적용된다고 명시되어 있지 않은 한, Facebook, Messenger, Instagram 및 기타 Meta가 제공하는 제품, 기능, 앱, 서비스, 기술, 소프트웨어 이용에 적용”된다고 명시하고 있다.(각주:피심인이 제공하는 서비스 목록 : https://www.facebook.com/help/1561485474074139/?helpref=uf_share) <img src="/LSW/flDownload.do?flSeq=135158215" alt="60번째 이미지"></img>
따라서, 피심인이 제공하는 '개별 서비스’는 소셜네트워크 서비스인 페이스북 및 인스타그램이고, 통상의 이용자는 친구의 최신 소식을 알고, 소통ㆍ대화하는 등 일상생활을 지인과 공유하고 기록하기 위해 이를 이용하고 있다.
<img src="/LSW/flDownload.do?flSeq=135158217" alt="61번째 이미지"></img>
<img src="/LSW/flDownload.do?flSeq=135158219" alt="62번째 이미지"></img>
피심인은 서비스 약관에 이용자에게 제품 및 서비스의 사용료를 청구하지 않는 대신 사업체와 단체들이 광고비용을 지불하고, 피심인이 해당 광고를 보여주는 데 이용자의 개인정보를 사용하며, 이용자가 제품을 사용함으로써 관심사와 관련 있다고 생각하는 광고를 보여주는 것에 '동의’하는 것이라고 명시하고 있다.
<img src="/LSW/flDownload.do?flSeq=135158221" alt="63번째 이미지"></img>
또한, 피심인은 제공하는 서비스 내용과 관련하여 이용자에게 광고, 제안 및 기타 콘텐츠 등을 맞춤화하고 보여주기 위해 이용자가 제품 내부와 외부에서 공유하고 활동하는 사항 등을 활용하고, 제3자의 정보를 이용한다고 명시하고 있다.
<img src="/LSW/flDownload.do?flSeq=135158223" alt="64번째 이미지"></img>
피심임은 개인정보 처리방침에 보유한 정보(회원님의 관심사, 행동 및 관계에 관한 정보를 포함)를 이용하여 광고, 쿠폰 및 회원님에게 표시되는 기타 홍보 콘텐츠를 선택하고 맞춤화한다고 공개하고 있다.
<img src="/LSW/flDownload.do?flSeq=135158227" alt="65번째 이미지"></img>
그러나, 피심인이 기재한 바와 같이 사업자의 '광고’를 페이스북 및 인스타그램 서비스에서 이용자에게 보여주는 행위는 개별 서비스 제공의 '수단’에 불과하고, 이용자는 맞춤형 광고를 보기 위한 목적으로 페이스북 및 인스타그램 서비스를 이용하는 것이 아닌(각주:EDPB 결정에 인용된 유럽의 한 여론조사 결과는 이용자의 약 2%만이 페이스북 및 인스타그램에서 맞춤형 광고(Personalized advertisement)를 제공한다는 것을 인식함) , 친구의 최신 소식을 알고, 소통ㆍ대화하는 등 일상생활을 지인과 공유하고 기록하기 위해 이를 이용하고 있으므로, 피심인이 보여주는 광고를 SNS의 본질적 기능으로서의 '콘텐츠’ 중 하나라고 예상하기는 어려우며, 해당 광고에 타사 행태정보 등 개인정보가 활용된다는 사실 또한 예상하기 어렵다.
또한, 피심인의 서비스 약관 및 개인정보 처리방침에 기재된 방대한 내용을 이용자가 읽고 명확히 이해한 상태에서 동의하고 페이스북 및 인스타그램 서비스를 이용할 것을 기대할 수 없으며, 본질적 기능으로 받아들일 것을 단정할 수 없다.(각주:약관은 이용자에게 일방적으로 부과되고, 광고주가 아닌 이용자에게 맞춤형 광고에 대한 구속력 있는 계약상 의무가 없음) 2022년 9월 14일 피심인에 대한 보호법 제39조의3 제1항 관련 행정처분에서도 피심인이 이용자의 타사 행태정보를 수집ㆍ이용하면서 이용자가 쉽고 명확하게 인지할 수 있도록 알리고 동의를 받지 않았음을 확인한바, 서비스 약관 및 개인정보 처리방침 등에 '맞춤형 광고’ 관련 내용을 기재한 사실만으로는 이용자 관점에서 '맞춤형 광고’를 페이스북 및 인스타그램 서비스의 본질적 기능으로 인식했다고 볼 수 없고, 나아가 이를 위한 타사 행태정보 수집을 예상했을 것으로 볼 수 없다.
한편, '광고’가 피심인이 제공하는 페이스북 및 인스타그램 서비스를 제공ㆍ유지하기 위한 요소(각주:피심인 매출액의 약 가 광고 매출액이고, 이용자 또한 페이스북 및 인스타그램 서비스 이용 과정에서 피심인이 게재하는 사업자의 '광고’에 노출되어 이를 인지할 수 있음) 중 하나이고 해당 서비스의 '콘텐츠’로 보는 경우, 보호법 제39조의3 제3항의 '해당 서비스’의 범위를 넓게 해석하여 '맞춤형 광고’를 '본질적 기능’으로 볼 수 있다고 주장할 여지가 있다고 하더라도 이용자의 타사 행태정보가 필요한 최소한의 개인정보인지는 피심인이 수집ㆍ이용하고 있는 개인정보의 종류와 규모, 수집한 행태정보를 활용할 수 있는 다양한 방법, 타사 행태정보의 사생활 침해 가능성 등을 종합적으로 고려하여야 한다.
나. 피심인 서비스에서 타사 행태정보가 필요한 최소한의 개인정보인지 여부
1) 피심인이 페이스북 및 인스타그램 서비스 내에서 수집ㆍ이용하는 개인정보
피심인은 페이스북 및 인스타그램 서비스를 제공하면서 이용자에게 가입 시 필수적으로 실명, 이메일 주소, 휴대전화번호, 생년월일, 성별을 입력할 것을 요구하고, 가입 후 프로필 사진, 직장, 학력, 거주지, 출신지, 가족, 결혼/연애 상태, 취미 등의 정보를 추가 입력받으며, 서비스 제공 과정에서 이용자 친구, 팔로워, 그룹, Facebook 페이지, 사용하는 기기, 위치, IP주소 등의 정보를 수집하고, 작성하거나 보고 있는 콘텐츠, 활동 시간, 빈도 및 기간, 콘텐츠에 포함된 날짜 및 위치정보 등을 수집하며, 이러한 정보 등을 통해 이용자의 관심사 정보(각주:피심인은 광고주가 타게팅을 할 수 있는 이용자의 광고 관심사는 ’21.3.3. 기준 개이고(’22.5.2.자 제출자료 첨부A), 타사 행태정보가 아닌 피심인의 플랫폼 내에서의 활동(이용자들이 좋아요를 누른 페이지 및 클릭한 광고 등)을 기반으로 생성된다고 답변(’22.3.16.자 답변, p.9)) 등을 추론ㆍ수집하여 매우 정밀한 광고 타겟을 설정할 수 있는 기능 및 맞춤형 광고를 제공하는 것이 확인된다.
<img src="/LSW/flDownload.do?flSeq=135158229" alt="66번째 이미지"></img>(각주:피심인은 민감정보 수집ㆍ이용 관련 조사과정에서 종교관/정치관을 입력하는 필드를 삭제하고, 기수집된 정보를 모두 파기(’21.8.)) <img src="/LSW/flDownload.do?flSeq=135158231" alt="67번째 이미지"></img>
<img src="/LSW/flDownload.do?flSeq=135158233" alt="68번째 이미지"></img>
<img src="/LSW/flDownload.do?flSeq=135158073" alt="69번째 이미지"></img>
<img src="/LSW/flDownload.do?flSeq=135158109" alt="70번째 이미지"></img>
<img src="/LSW/flDownload.do?flSeq=135158111" alt="71번째 이미지"></img>
<img src="/LSW/flDownload.do?flSeq=135158235" alt="72번째 이미지"></img>
<img src="/LSW/flDownload.do?flSeq=135158113" alt="73번째 이미지"></img>
<img src="/LSW/flDownload.do?flSeq=135158077" alt="74번째 이미지"></img>
<img src="/LSW/flDownload.do?flSeq=135158079" alt="75번째 이미지"></img>
<img src="/LSW/flDownload.do?flSeq=135158081" alt="76번째 이미지"></img>
<img src="/LSW/flDownload.do?flSeq=135158083" alt="77번째 이미지"></img>
<img src="/LSW/flDownload.do?flSeq=135158085" alt="78번째 이미지"></img>
<img src="/LSW/flDownload.do?flSeq=135158087" alt="79번째 이미지"></img>
<img src="/LSW/flDownload.do?flSeq=135158089" alt="80번째 이미지"></img>
<img src="/LSW/flDownload.do?flSeq=135158091" alt="81번째 이미지"></img>
<img src="/LSW/flDownload.do?flSeq=135158093" alt="82번째 이미지"></img>
<img src="/LSW/flDownload.do?flSeq=135158095" alt="83번째 이미지"></img>
<img src="/LSW/flDownload.do?flSeq=135158099" alt="84번째 이미지"></img>
<img src="/LSW/flDownload.do?flSeq=135158237" alt="85번째 이미지"></img>
즉, 피심인은 페이스북 및 인스타그램 내에서 이용자로부터 이미 수많은 개인정보를 수집ㆍ생성하여 맞춤형 광고에 활용하고 있는바, 이용자가 다른 사업자의 웹사이트 및 앱을 방문ㆍ사용한 온라인 활동 기록인 이용자의 타사 행태정보까지 매우 광범위하게 수집ㆍ이용하는 것은 필요한 최소한의 수준을 크게 넘어서는 것이다.
2) 피심인이 행태정보 수집 도구를 통해 수집하는 이용자의 타사 행태정보
가) 행태정보 수집 도구의 기능 및 타사 행태정보를 수집하는 목적
피심인은 이용자가 페이스북 아이디 및 비밀번호를 이용하여 사업자의 서비스에 로그인할 수 있는 “Facebook 로그인”, 사업자(광고주 포함)들의 광고를 측정, 타게팅, 최적화할 수 있도록 “Facebook 픽셀” 및 “Facebook SDK”, 이용자가 페이지와 콘텐츠를 공유하고 댓글을 남길 수 있는 “소셜 플러그인”을 제작하여 사업자에게 배포하고 있으며, 이를 통해 페이스북 및 인스타그램 서비스 이용자의 타사 행태정보를 수집하여 측정 및 분석 서비스, 광고 타게팅, 광고 게재 개선, 기능 및 콘텐츠 맞춤화, Facebook 제품 개선 및 보호 등 목적으로 사용한다고 밝히고 있다.(각주:피심인은 행태정보 수집 도구의 설치 여부, 설정 및 수집되는 데이터의 카테고리는 사업자가 결정한다고 주장하나, 2022년 제14회 및 제15회 위원회 심의ㆍ의결에서 피심인이 행태정보 수집 도구를 통해 필수로 수집하는 항목(접속한 웹ㆍ앱)은 정해져 있고, 이는 사업자가 임의로 변경할 수 없는 점을 확인함) <img src="/LSW/flDownload.do?flSeq=135158239" alt="86번째 이미지"></img>
<img src="/LSW/flDownload.do?flSeq=135158241" alt="87번째 이미지"></img>
나) 비즈니스 도구를 통한 타사 행태정보 수집의 필요성
먼저, 피심인이 이러한 도구를 제작ㆍ배포하여 사업자에게 측정 및 분석 서비스를 제공하고 광고 타게팅 및 광고 게재 등을 하는 것은 피심인과 사업자 간의 Facebook 비즈니스 도구 약관 등 계약관계에 따른 것이므로, 이용자가 일상생활을 지인과 공유하고 기록하는 소셜 네트워크 서비스를 이용하는 측면에서는 직접적인 관련이 있다고 보기 어렵고, 피심인과 이용자 간에 적용되는 페이스북 및 인스타그램 서비스 약관에는 이러한 Facebook 비즈니스 도구 약관 등에 대한 내용을 포함하고 있지도 않으므로, 이용자 관점에서는 피심인에게 자신의 타사 행태정보가 제공되는 것이 예상되지 않는바, 타사 행태정보가 필요하다고 볼 수 없다.
그리고, 사업자에게 측정 및 분석 서비스를 제공하고 광고 타게팅 및 광고 게재 등을 위해 사업자의 서비스를 방문ㆍ사용한 사람들의 행태정보가 필요하더라도, 측정 및 분석 서비스는 사업자의 광고를 본 사람이 얼마나 되는지, 실제 그 광고를 보고 상품을 구매하거나 앱을 설치하는 등의 행위가 얼마나 일어났는지 등 광고의 효과성을 측정하고 웹사이트 및 앱을 방문ㆍ사용한 사람들에 관한 통계 등 사업자 서비스를 이용하는 사람들과 관련된 분석 및 인사이트를 생성하는 것이므로, 페이스북 및 인스타그램 서비스 이용자를 식별하지 않고도 광고를 클릭한 기기, 사업자의 웹사이트 및 앱을 방문ㆍ사용한 기기를 식별할 수 있는 값을 통해 이를 수행할 수 있다.
광고 타게팅은 사업자의 웹사이트 및 앱을 방문ㆍ사용한 사람에게 페이스북 및 인스타그램 서비스에서 사업자의 광고를 보여주는 것이므로, 이 또한 이용자를 식별하지 않고, 웹사이트 및 앱을 방문ㆍ사용한 기기를 식별하여 해당 기기가 피심인이 제공하는 서비스에 접속하였을 때 광고를 보여주는 형태로도 가능(각주:사업자로부터 광고를 게재할 기기 식별자를 받아 로그인한 이용자에게 광고를 게재하는 서비스의 구조상 이용자가 식별되는 것이 필연적인 것처럼 보일 수 있으나, 계정과 결합하지 않고 기기 식별자를 식별하여 광고 게재가 가능함) 하며, 피심인은 광고 게재 모델의 효과를 향상하고 광고와 사람들의 관련성을 판단하기 위해 머신러닝을 활용하는바, 이 경우에도 광고를 클릭한 기기 외 이용자가 누구인지까지 식별할 필요성이 있다고 보기 어렵다.
<img src="/LSW/flDownload.do?flSeq=135158243" alt="88번째 이미지"></img>
또한, 피심인이 페이스북 및 인스타그램 서비스의 기능 및 콘텐츠를 맞춤화하기 위해 타사 행태정보를 수집ㆍ이용하는 것과 관련해서도 대다수 광고 플랫폼은 회원으로 가입하는 서비스를 제공하지 않는 등 특정 개인을 식별할 수 있는 정보를 수집하지 않고, 피심인과 유사한 광고 플랫폼도 가입한 이용자를 식별하지 않고도 픽셀 및 SDK를 통한 측정, 분석, 광고 게재 등의 기능을 제공하고 이용자에게 맞춤형 광고를 게재(각주:(사례1) 온라인 행태정보가 아닌 자사 서비스의 행태정보만 활용하고, 관심사 카테고리 및 그에 해당하는 행동을 미리 정의한 후, 이용자(또는 기기)가 서비스 내에서 관심사에 해당하는 행동을 하는 경우, 관련 광고를 보여주는 방식
(사례2)브라우저 쿠키와 모바일 광고 식별자를 토대로 수집된 서비스 행태정보(이용기록)를 기반으로 “성별, 나이, 지역, 관심사, 업종, 서비스”를 모델링 기법을 통해 추정하고, 추정 정보를 그룹으로 '범주화'하여 맞춤형 광고에 이용) 하는 것이 확인되는바, 이를 위한 목적으로도 이용자의 타사 행태정보가 필수적이라고 볼 수 없다.
<img src="/LSW/flDownload.do?flSeq=135158101" alt="89번째 이미지"></img>
<img src="/LSW/flDownload.do?flSeq=135158245" alt="90번째 이미지"></img>
특히, 피심인 스스로도 플랫폼은 회원가입을 통한 이용자 식별 등 로그인 기능이 없는 경우에도 행태정보를 모바일 광고 식별자 또는 플랫폼이 직접 개발한 ID와 연계하여 맞춤형 광고에 활용할 수 있다고 답변하는 등 타사 행태정보가 맞춤형 광고 등에 필수적인 정보가 아님을 인정하고 있다.
<img src="/LSW/flDownload.do?flSeq=135158249" alt="91번째 이미지"></img>
Facebook 제품 개선 및 보호 목적을 위해 타사 행태정보를 수집ㆍ이용하는 것과 관련하여서도 피심인은 페이스북 및 인스타그램 서비스 이용자의 경험 개선, 연구 개발 목적, 안전성 및 보안을 촉진, 진실성 유지 및 개선을 위해 행태정보를 사용한다고 추상적으로 답변하고 있고, 피심인의 데이터 정책에는 Facebook 제품 개선 목적과 관련하여 설문조사 및 리서치, 새로운 제품과 기능을 테스트라고 기재하고 있으며, 보호 목적과 관련하여 계정 및 활동 확인, 유해 행위 방지, 스팸 및 기타 부정적인 경험 감지 및 방지, 제품의 무결성 유지, Meta 제품 안팎의 안전 및 보안 강화라고 기재하고 있는바, 이러한 피심인의 답변 및 데이터 정책에 기재된 내용만으로는 이용자의 타사 행태정보와 피심인의 제품 개선 및 보호 목적의 관련성을 전혀 알 수 없다.
<img src="/LSW/flDownload.do?flSeq=135158251" alt="92번째 이미지"></img>
피심인이 답변한 제품 개선 및 보호 목적과 관련하여 피심인의 쿠키 정책을 살펴보았을 때, 피심인은 쿠키를 “보안, 웹사이트 및 제품 무결성”, “웹사이트 기능과 서비스”, “성능”, “분석 및 조사” 등에 사용한다고 기재하고 있고, “보안, 웹사이트 및 제품 무결성” 부분에는 해킹으로부터 이용자의 계정을 보호하거나 페이스북 계정을 허위로 대량 생성하는 행위, 미성년자 가입 등을 방지하기 위해 쿠키를 사용하는 것을 기재하고 있으며, “웹사이트 기능과 서비스”, “성능”, “분석 및 조사” 부분에는 피심인이 제공하는 페이스북 및 인스타그램 등 서비스 자체의 기능, 설정, 성능 최적화, 이용하는 방식 파악 등과 관련하여 쿠키를 사용하는 내용을 기재하고 있는바, 이는 페이스북 및 인스타그램 서비스 내의 보호조치나 기능 개선 등과 관련된 사항으로 사업자의 서비스를 방문ㆍ사용한 행태정보와 관련이 있다고 보기 어려우므로 피심인의 제품 개선 및 보호 목적에도 이용자의 타사 행태정보가 반드시 필요한 정보라고 볼 수 없다.
<img src="/LSW/flDownload.do?flSeq=135158253" alt="93번째 이미지"></img>
다) Facebook 로그인 및 소셜 플러그인과 타사 행태정보의 관련성
피심인은 이용자가 페이스북 아이디 및 비밀번호를 이용하여 사업자의 서비스에 간편하게 가입ㆍ로그인할 수 있도록 하는 한편, 사업자가 별도의 서비스 가입화면 없이 이용자의 개인정보 수집 및 회원가입을 받을 수 있도록 Facebook 로그인 기능을 제공하고 있으며, 이용자가 페이스북에 '좋아요’ 버튼을 누른 페이지와 콘텐츠를 공유하고 댓글을 남길 수 있도록 하고, 사업자가 자사 게시글과 콘텐츠 홍보를 할 수 있도록 소셜 플러그인 기능을 제공하고 있다.
피심인은 사업자가 Facebook 로그인 또는 소셜 플러그인을 웹사이트 및 앱에 설치하면서 행태정보가 피심인에게 전송되는 것을 비활성화하지 않으면, 해당 웹사이트 및 앱을 방문ㆍ사용하는 사람들이 Facebook 로그인 및 소셜 플러그인을 사용하는지와 무관하게 행태정보를 전송받아 페이스북 및 인스타그램 서비스 이용자의 타사 행태정보로 수집ㆍ이용하고 있다.
<img src="/LSW/flDownload.do?flSeq=135158255" alt="94번째 이미지"></img>
Facebook 로그인 및 소셜 플러그인은 이용자가 사업자 서비스에 로그인하거나 게시글을 공유하는 등 직접적인 행위를 하는 경우 동작하는 것이므로, 해당 행위를 하지 않은 사람들의 정보는 Facebook 로그인 및 소셜 플러그인 기능과 어떠한 관련성도 찾아볼 수 없으므로 수집ㆍ이용될 필요성이 없다.
피심인 또한 Facebook 로그인이 비즈니스 도구나 고객 리스트 맞춤 타겟 기능과는 본질적으로 다르다고 답변(각주:피심인은 답변과 달리 Facebook 로그인을 비즈니스 도구의 하나로 안내함(개인정보보호위원회 제2022-014-105호, p13)) 하였으며, 사업자가 비즈니스 도구 없이 Facebook 로그인만을 설치하는 경우 행태정보를 전송받지 않는다고 답변한 바 있다.
<img src="/LSW/flDownload.do?flSeq=135158257" alt="95번째 이미지"></img>
<img src="/LSW/flDownload.do?flSeq=135158259" alt="96번째 이미지"></img>
따라서 이용자의 타사 행태정보는 피심인이 제공하는 Facebook 로그인 및 소셜 플러그인 기능 제공을 위해 필요한 정보라고 볼 수 없다.
3) 타사 행태정보가 수집되지 않도록 하는 기능
피심인은 이용자에게 페이스북 및 인스타그램 서비스 가입 시점에는 타사 행태정보가 수집되지 않도록 설정할 수 있는 기능을 제공하고 있지 않다.
다만, 가입 후 타사 행태정보가 수집되지 않도록 설정을 변경할 수 있는 기능을 제공하며, 유럽 지역에서 페이스북 및 인스타그램 접속 시 타사 행태정보를 결합하기 위한 쿠키 등이 허용되지 않도록 하는 쿠키 동의화면을 제공하는바, 이는 타사 행태정보가 서비스 제공에 반드시 필요한 정보가 아님을 방증하는 것이다.
<img src="/LSW/flDownload.do?flSeq=135158261" alt="97번째 이미지"></img>
<img src="/LSW/flDownload.do?flSeq=135158263" alt="98번째 이미지"></img>
또한, Edge, Safari 등 다수의 브라우저와 iOS 모바일 단말기는 제3자 쿠키 및 모바일 광고 식별자를 기본 차단하고 있다.
<img src="/LSW/flDownload.do?flSeq=135158265" alt="99번째 이미지"></img>
그렇지 않은 Chrome 브라우저(각주:구글의 Chrome 브라우저 또한 ’24년까지 제3자 쿠키를 차단할 계획을 밝힌바, 메타의 주장대로라면 페이스북 및 인스타그램은 ’24년 이후 서비스가 불가능함) 및 안드로이드 모바일 단말기에서도 이용자가 직접 이를 차단(각주:Chrome → 설정 → 개인 정보 보호 및 보안 → 쿠키 및 기타 사이트 데이터 → “타사 쿠키 차단” 클릭) 하여 온라인상 추적을 거부할 수 있으며, 이 경우에도 피심인의 페이스북 및 인스타그램 서비스는 정상적인 이용이 가능하다.
<img src="/LSW/flDownload.do?flSeq=135158267" alt="100번째 이미지"></img>
4) 이용자 사생활의 비밀과 자유에 대한 침해 가능성
앞서 살펴보았듯이 이용자는 일상생활을 지인과 공유하고 기록하기 위해 피심인이 제공하는 페이스북 및 인스타그램 서비스를 이용할 뿐, 그 이용 목적에 맞춤형 광고를 보는 것이 포함되어 있다고 볼 수 없다.
행태정보 수집 도구는 사업자의 웹사이트 및 앱의 소스코드에 포함되어 있으며, 이용자의 타사 행태정보는 이용자가 사업자의 웹사이트 및 앱을 방문ㆍ사용할 때, 자동으로 전송ㆍ수집되므로, 통상의 이용자는 행태정보 수집 도구의 설치 여부 및 타사 행태정보의 수집 자체를 알 수 없어 맞춤형 광고가 자신이 다른 웹사이트 및 앱을 방문ㆍ사용한 기록 등을 바탕으로 게재된다는 것을 알기 어렵다.
또한, 피심인이 타사 행태정보를 수집하는 과정은 이용자의 '실명’을 기반으로 이용자를 식별한 상태에서 이용자가 사용하는 모든 기기를 추적, 이용자가 방문ㆍ사용하는 웹사이트 및 앱에서의 활동 등 온라인 활동을 모니터링(감시)하여 인터넷 활동의 익명성을 상실시키고 있으며, 타사 행태정보를 분석하면 이용자의 사상ㆍ신념, 정치적 견해, 건강, 신체적ㆍ생리적ㆍ행동적 특징 및 민감정보를 생성하고 식별할 가능성이 높아 「헌법」에 따라 보장되는 사생활의 비밀과 자유를 심각히 침해받을 수 있으므로, 이용자의 인격권 또는 사생활의 자유에 미치는 영향이나 침해가 과도하다고 볼 수 있다.
<img src="/LSW/flDownload.do?flSeq=135158271" alt="101번째 이미지"></img>
5) 소결
피심인 주장하는 바와 같이 사업자의 서비스를 방문ㆍ사용한 사람들의 행태정보를 수집ㆍ이용하는 것이 피심인이 게재하는 광고의 성과가 효과적일 수는 있다.(각주:사업자의 서비스를 방문ㆍ사용한 사람들의 행태정보를 수집하여 페이스북 및 인스타그램 서비스 이용자를 식별하면 식별하지 않는 경우와는 달리 이용자의 여러 기기에서의 타사 행태정보(온라인 활동 기록)를 수집ㆍ이용할 수 있음) 그러나, 피심인은 이용자가 피심인의 서비스에 가입 및 이용하는 과정에서 프로필 정보 등 개인정보를 입력받고 기기정보 및 서비스 이용기록 등을 수집하며 이용자의 관심사 정보까지 추론ㆍ수집하여 사업자가 이를 타겟으로 하여 매우 정밀한 광고 타겟을 설정할 수 있는 기능을 제공하고 있다.
또한 피심인은 사업자의 서비스를 방문ㆍ사용한 사람들의 행태정보를 수집하여 페이스북 및 인스타그램 서비스 이용자를 식별하지 않더라도 맞춤형 광고를 게재할 수 있으며, 사업자에게 측정 및 분석 서비스를 제공하고 광고 타게팅 및 광고 게재 등의 목적을 충분히 달성할 수 있는바, 피심인이 이용자의 타사 행태정보를 광범위하게 수집하는 것은 수익을 극대화하기 위한 수단일 뿐이므로 이는 필요한 최소한의 개인정보의 범위를 훨씬 넘어서는 것이다.
다. 결론
이용자는 '맞춤형 광고’를 페이스북 및 인스타그램 서비스의 본질적 기능으로 인식했다고 볼 수 없고, 나아가 이를 위한 타사 행태정보 수집을 예상했을 것으로 볼 수 없다.
한편, '광고’가 피심인이 제공하는 페이스북 및 인스타그램 서비스를 제공ㆍ유지하기 위한 요소(각주:피심인 매출액의 약 %가 광고 매출액이고, 이용자 또한 페이스북 및 인스타그램 서비스 이용 과정에서 피심인이 게재하는 사업자의 '광고’에 노출되어 이를 인지할 수 있음) 중 하나이고 해당 서비스의 '콘텐츠’로 보는 경우, 보호법 제39조의3 제3항의 '해당 서비스’의 범위를 넓게 해석하여 '맞춤형 광고’를 '본질적 기능’으로 볼 수 있다고 주장할 여지가 있다고 하더라도 이용자의 타사 행태정보가 필요한 최소한의 개인정보인지는 피심인이 수집ㆍ이용하고 있는 개인정보의 종류와 규모, 수집한 행태정보를 활용할 수 있는 다양한 방법, 타사 행태정보의 사생활 침해 가능성 등을 종합적으로 고려하여야 한다.
피심인이 제공하는 페이스북 및 인스타그램 서비스에서 이용자의 타사 행태정보는 반드시 필요한 정보가 아니므로 이용자는 서비스 가입 및 피심인이 타사 행태정보를 수집하기 전에 이에 대한 제공을 거부할 수 있는 등 선택권을 부여받아야 한다.
그러나, 페이스북 및 인스타그램 서비스는 가입과 동시에 제공되고, 특히 피심인은 이용자가 서비스 가입 후 로그인과 동시에 타사 행태정보를 수집하기 위한 쿠키를 생성(웹)하고, 이용자 식별 정보를 수집(앱)하나, 서비스 가입 과정 및 로그인 전에 이용자가 피심인에게 타사 행태정보 제공에 대한 거부 의사를 밝히고 서비스에 가입할 수 있는 방법(각주:서비스 제공에는 회원가입도 포함되며, 유료서비스뿐만 아니라, 무료의 경우도 마찬가지임이 명시됨(보호법 해설서 p103)) 은 전혀 존재하지 않는다.
인스타그램의 경우에는 이용자가 서비스에 가입한 후에도 “Facebook 외부 활동”과 같은 기능이 직접 제공되지 않으며, 이용자가 페이스북에 가입 및 계정 연동 후 “Facebook 외부 활동” 기능을 통해서만 타사 행태정보의 제공을 거부할 수 있고, 페이스북 및 인스타그램 이용자가 페이스북 서비스에 접속하여 “Facebook 외부 활동” 기능을 찾아 들어가는 것 또한, 여러 단계를 거쳐야 하는 등 사실상 이용자에게 타사 행태정보의 제공을 강제하고 있다.
<img src="/LSW/flDownload.do?flSeq=135158273" alt="102번째 이미지"></img>
<img src="/LSW/flDownload.do?flSeq=135158275" alt="103번째 이미지"></img>
<img src="/LSW/flDownload.do?flSeq=135158277" alt="104번째 이미지"></img>
실제로 피심인이 2019년 8월 “Facebook 외부 활동” 기능을 도입한 이후 이를 “허용 안 함”으로 변경한 이용자는 2021년 9월 30일 기준 페이스북 %, 인스타그램은 %에 불과한 것으로 확인된다.
<img src="/LSW/flDownload.do?flSeq=135158279" alt="105번째 이미지"></img>
결론적으로 피심인은 이용자에게 페이스북 및 인스타그램 서비스를 제공하면서 필요한 최소한의 개인정보가 아닌 타사 행태정보에 대한 제공을 거부하고 페이스북 및 인스타그램 서비스를 이용할 수 있는 수단을 제공하지 않았다.
이에 이용자는 사실상 타사 행태정보를 제공하지 아니한다는 이유로 페이스북 및 인스타그램 서비스 이용을 거부당하고 있다.
따라서 피심인은 이용자가 필요한 최소한의 개인정보 이외의 개인정보를 제공하지 않는다는 이유로 서비스의 제공을 거부해서는 안 된다고 규정한 보호법 제39조의3 제3항을 위반한 것이다.
Ⅳ. 피심인 주장에 대한 검토
1. 타사 행태정보는 본질적 기능을 수행하기 위해 반드시 필요한 정보에 해당한다는 주장에 대하여
가. 이용자 관점에서의 SNS 이용 목적 등을 볼 때, 타사 행태정보를 이용한 '맞춤형 광고’를 본질적 기능으로 보기 어려움
피심인은 서비스 약관 등을 통해 맞춤형 광고에 대해 안내하고 있고, 맞춤형 광고가 서비스를 무료로 제공할 수 있는 재원을 마련함에 있어 본질적 기능에 해당한다고 주장하고 있다.
그러나, 이용자는 일상생활을 지인과 공유하고 기록하기 위해 SNS를 이용(각주:이용자는 친구의 최신 소식을 알기 위해 페이스북(53.6%) 및 인스타그램(59.7%)을 이용(’21 소셜미디어 이용자 조사, 한국언론진흥재단)) 하고 있을 뿐, 피심인이 제공하는 맞춤형 광고를 보기 위해 페이스북 및 인스타그램을 이용하는 것으로 볼 수 없다.
피심인이 해당 서비스를 이용함으로써 맞춤형 광고에 개인정보를 활용하는 것에 '동의’하는 것이라고 서비스 약관에 명시하고, 개인정보 처리방침 등을 통해 맞춤형 광고 관련 내용을 안내한 사실은 있으나, 서비스 약관 및 개인정보 처리방침(각주:개인정보처리방침 전문(14,600여개 글자, 694줄)을 게시한 화면은 한 화면에 다섯 줄 밖에 보이지 않는 네모박스에 불과함) 에 기재된 방대한 내용을 이용자가 읽고 명확히 이해한 상태에서 동의할 것을 기대할 수 없다.
또한 보호법은 개인정보를 수집ㆍ이용하려면 이용자에게 법정 고지사항을 알리고 명시적인 동의를 받도록 하고 있는바, 피심인이 서비스 약관과 개인정보 처리방침에 해당 내용을 기재한 것만으로 이용자가 자신의 개인정보를 맞춤형 광고에 사용하도록 동의했다고 볼 수 없으며, 지난 2022년 제14회 및 제15회 위원회 심의ㆍ의결에서도 피심인이 이용자의 타사 행태정보를 수집ㆍ이용하면서 이용자가 쉽고 명확하게 인지할 수 있도록 알리고 동의를 받지 않았음을 확인한 바 있다.
따라서 서비스 약관 등에 기재한 사실만으로는 이용자 관점에서 맞춤형 광고를 피심인이 이용자에게 제공하는 서비스의 본질적 기능으로 인식했다고 볼 수 없고, 나아가 이를 위한 타사 행태정보의 수집ㆍ이용 또한 기대할 수 없다.
대법원도 정보주체가 합리적으로 예상할 수 있는 서비스에 필요한 개인정보를 수집하여야만 필요한 최소한의 개인정보 수집 원칙(각주:보호법 제3조(개인정보 보호 원칙) ① 개인정보처리자는 개인정보의 처리 목적을 명확하게 하여야 하고 그 목적에 필요한 범위에서 최소한의 개인정보만을 적법하고 정당하게 수집하여야 한다.) (보호법 제3조 제1항) 및 관련 법률 등을 준수한 것으로 판단한다는 취지로 판시한 바 있다.
나. 피심인이 수집하고 있는 개인정보의 종류와 규모, 맞춤형 광고를 위해 행태정보를 활용할 수 있는 다양한 방법, 타사 행태정보의 사생활 침해 가능성 등을 고려할 때, '맞춤형 광고’를 위해 이용자의 타사 행태정보가 반드시 필요하다고 볼 수 없음
피심인은 이용자에게 관련성 있는 광고를 전달하고 맞춤화된 서비스 제공을 위해서는 제3자 데이터(타사 행태정보)가 필수적이라고 주장하고 있다.
그러나, 피심인은 페이스북 및 인스타그램 서비스 가입 시 또는 서비스 제공과정에서 이용자로부터 수많은 개인정보를 수집하고, 이를 활용하여 이용자의 관심사 등을 추론하여ㆍ생성하여 맞춤형 광고에 활용하는바, 다른 웹사이트 및 앱을 방문ㆍ사용한 정보까지 수집하는 것이 반드시 필요하다고 볼 수 없다.
피심인은 맞춤형 광고를 함에 있어 제3자 데이터는 광고의 타게팅, 측정 및 기여, 분석 및 미세한 조정 등을 자사 정보보다 훨씬 높은 수준으로 가능하게 하므로 필요한 최소한의 개인정보라고 주장하고 있으나, 광고의 타게팅, 측정 및 기여, 분석 및 미세한 조정 등에도 광고를 클릭한 값을 추적하거나, 이용자를 식별하지 않는 기기 식별자, 모바일 광고 식별자 등을 사용하여 특정 개인을 식별하지 않고도 충분한 수행이 가능하고, 실제, 피심인과 유사한 광고 플랫폼들도 서비스 가입 이용자를 식별하지 않고도 사업자들에게 측정, 분석, 광고 게재 등의 기능을 제공하고 있는 것이 확인된다.
피심인 또한 수집한 행태정보를 이용자 계정 결합 없이도 맞춤형 광고에 활용할 수 있다고 인정하고 있으며, 이용자가 “Facebook 외부 활동” 기능 등을 통해 타사 행태정보 제공을 거부해도 문제없이 서비스 이용이 가능한바, 이용자의 타사 행태정보까지 수집하는 것이 반드시 필요하다고 볼 수 없다.
<img src="/LSW/flDownload.do?flSeq=135158281" alt="106번째 이미지"></img>
또한, 피심인은 위원회의 사전통지에 대한 의견을 통해 타사 행태정보를 제공하지 않도록 선택한 이용자도 다른 이용자의 타사 행태정보를 사용하여 훈련된 머신러닝 시스템을 통하여 맞춤형 광고를 보게 된다고 답변한바, 이에 따르더라도 특정 이용자에게 맞춤형 광고를 제공하는데 해당 이용자의 타사 행태정보가 반드시 필요하다고 보이지 않는다.
<img src="/LSW/flDownload.do?flSeq=135158283" alt="107번째 이미지"></img>
특히, 피심인은 페이스북 및 인스타그램 서비스를 실명을 기반으로 제공하고 있는바, 이러한 실명 기반의 타사 행태정보 수집은 이용자가 예상하기 어렵고 사생활의 비밀과 자유를 심각하게 침해할 수 있으므로, 광고 수익을 극대화하기 위한 필요성만으로 이를 수집하는 것은 적법하지 않다.
다. '필요한 최소한의 개인정보’는 단순히 사업자 측면에서 그 정보의 필요성만을 판단하는 것이 아니라, 이용자의 개인정보 보호 측면에서 정보의 필요성, 최소성 등을 함께 판단하여야 함
피심인은 구체적인 근거 없이 해설서 또는 위원회 선결례가 서비스 제공에 '필요하지 않은 정보’를 수집하는 경우 제39조의3 제3항이 적용되는 것이며, 피심인이 수집하는 타사 행태정보는 맞춤형 광고 등에 '필요’하므로 필요한 최소한의 수집이라고 막연하게 주장하고 있다.
그러나, 보호법 제39조의3 제3항은 단순히 사업자 측면에서 그 정보의 필요성만을 판단하는 것이 아니라, 이용자의 개인정보 보호 측면에서 정보의 필요성, 최소성 등을 함께 판단하여야 한다.
<img src="/LSW/flDownload.do?flSeq=135158285" alt="108번째 이미지"></img>
실제 보호법의 해설서 및 선결례 또한, 필요한 최소한의 개인정보에 대한 판단시 제공하는 서비스와 수집하는 정보의 관련성 및 이용자의 예상 가능성 등을 고려하고 있다.
해설서의 경우 정보주체가 예상할 수 있는 서비스에 필요한 개인정보를 수집하여야 한다는 취지의 대법원 판례(각주:대법원 2017. 4. 7. 선고 2016도13263판결 : 경품행사에 응모한 고객들은 '개인정보 수집 및 제3자 제공 동의’ 등 사항이 보험회사에 제공하는 것이 아닌 경품행사 진행을 위하여 필요한 것으로 받아들일 가능성이 크므로 경품행사에 응모한 고객에게 경품추첨 사실을 알리는 데 필요한 개인정보 외에 '응모자의 성별, 자녀 수, 동거 여부’ 등 사생활의 비밀에 관한 정보, 주민등록번호 등 고유식별정보를 요구하는 것은 최소정보의 범위를 벗어난 것임) 를 예시로 제시하고 있고, 취업 희망자의 가족관계, 결혼유무, 본적 등에 관한 정보는 취업을 희망하는 정보주체에게는 과도하다는 점을 분명히 하고 있다.
<img src="/LSW/flDownload.do?flSeq=135158287" alt="109번째 이미지"></img>
선결례 또한 가상자산 거래소 사업자가 이용자 본인확인을 위해 '신분증을 들고 있는 사진’을 제출하지 않으면 휴면계정 해제를 거부한 사안에 대해, 사업자는 본인확인이 가상자산 거래소 서비스의 본질적 기능에 해당하며 신분증 사진정보는 당사자 동일성 여부를 확인하기 위한 '필요한 최소한의 개인정보’라고 주장하였으나, 위원회는 보호법 제39조의3 제3항 및 개인정보 보호 원칙 등에 따른 '최소 수집의 원칙’을 준수하기 위해서는 개인정보의 성격과 양이 그 처리 목적과 비례하여 적절한 범위에서 최소한으로 수집되어야 하는데, 서비스 가입 및 이용 과정, 휴면계정 해제 절차, 이용자의 예상 가능성 등을 검토하였을 때, 신분증 사진정보는 과도하다고 판단하여 그 주장을 불수용한 바 있다.(각주:위원회 의결 2021-011-097, 2021.7.14.) 2. 위원회 결정에 따른 잠재적 경제적, 정치적, 사회적 영향을 고려할 필요가 있다는 주장에 대하여
피심인은 이용자에게 타사 행태정보 수집에 대한 선택권을 부여하게 되면 실질적으로 타사 행태정보를 수집하지 못하게 될 것이라고 주장하나, 위원회는 행태정보 수집 도구를 통해 다른 웹ㆍ앱의 행태정보를 수집하는 것 자체를 금지하는 것이 아니며, 이용자 식별 기반의 타사 행태정보 수집ㆍ이용 시 해당 이용자에게 선택권(각주:피심인은 이미 이용자 계정에 수집된 행태정보를 결합하지 않도록 하는 “Facebook 외부 활동” 기능을 제공하고 있음) 을 부여하라는 의미이므로, 그 주장은 전제가 잘못되어 있다.
설령 선택권을 부여받은 이용자가 이용자 식별 기반의 타사 행태정보를 제공하지 않더라도, 광고 플랫폼은 쿠키 식별자 또는 모바일 광고 식별자와 함께 수집된 행태정보를 굳이 특정 개인을 식별할 수 있는 정보와 결합하지 않고도 맞춤형 광고 등에 활용할 수 있으므로, 위원회 결정에 따른 잠재적 경제적, 정치적, 사회적 영향이 크다고 보기 어렵다.
실제 국내ㆍ외 다수의 광고 플랫폼은 피심인과 유사하게 행태정보 수집 도구를 배포하여 타사 행태정보를 수집하고, 사업자가 의뢰한 광고의 성과를 측정하고 있으며, 맞춤형 광고에도 활용하고 있지만, 특정 개인을 식별한 상태로 활용하고 있지는 않다.(각주:국내 광고 플랫폼은 피심인과 동일하게 소셜 로그인 기능을 제공하고 있지만 이를 통해 타사 행태정보를 수집하지 않음) 또한, 유럽에서는 이용자 식별 여부와 무관하게 쿠키를 설치하는 행위 자체를 동의받도록 하는 등 국내보다 강력하게 규제하고 있고, 여러 빅테크 기업 또한 온라인 광고 생태계에서의 개인정보 보호를 위해 제3자 쿠키를 사용하지 않는 대체 기술을 마련하기 위해 노력하고 있으며, 피심인도 행태정보 수집 동의를 받는 방법, 이용자의 참여를 유도하는 리드 생성 광고 등 타사 행태정보를 수집하지 않고 맞춤형 광고를 하는 다양한 방식(각주:피심인은 애플 ATT 정책 등으로 매출이 감소하자 이용자가 행태정보 제공에 동의하면 더 적은 수의 광고를 표시하는 방안, 리드 생성 광고, 광고 클릭 시 사업자와 메신저로 연락하거나 서비스를 예약하는 기능, 관심 있는 광고주의 광고를 정기 구독하는 기능, 이용자의 이메일로 할인 코드 전송 등 맞춤형 광고를 하는 다양한 방식을 실험중(Meta 비즈니스 지원 센터 홈페이지/WSJ, ’23.1.27.)) 을 실험하고 있는바, 이러한 측면에서도 위원회 결정에 따른 잠재적 경제적, 정치적, 사회적 영향이 크다고 보기 어렵다.
3. 절차적 쟁점에 대한 피심인의 주장에 대하여
가. 사전통지서에 사실관계가 기재되어 있지 않다는 주장 및 사실관계에 대한 조사를 진행하지 않았다는 주장은 사실과 다름
피심인은 사전통지서에 처분의 전제가 되는 사실관계가 기재되어 있지 않다고 주장하고 있으나, 위원회는 2022년 8월 3일 피심인에게 발급한 사전통지서에 페이스북 및 인스타그램 등의 가입자가 다른 웹사이트 및 앱을 사용한 행태정보는 서비스의 본질적 기능을 수행하기 위하여 반드시 필요한 정보가 아님에도 그 정보를 제공하지 아니한다는 이유로 서비스 제공을 거부한 행위가 있었다고 사실관계를 명시하였다.
<img src="/LSW/flDownload.do?flSeq=135158289" alt="110번째 이미지"></img>
또한, 이번 처분은 2022년 9월 14일 심의ㆍ의결한 동의 위반 관련 조사과정에서 피심인이 동의화면을 변경, 동의를 강제하는 행위가 논란이 됨에 따라 이에 대한 위법성을 별도로 세밀하게 판단하는 것(각주:’22.9.14. 심의ㆍ의결한 동의 위반 관련 사전통지(’22.6.10.)에도 사실관계가 포함되어 있고, 이에 대한 추가 검토 결과 보호법 제39조의3 제3항 위반이 판단되어, 조사결과 보고 후 추가 사전통지함(’22.8.3)) 이며, 위원회는 당시 전체 회의 안건(각주:피심인의 '필수동의 요구’ 관련하여 피심인 의견을 제출받아 처분절차를 진행할 것임을 명시) 및 보도자료 등을 통해 동의방식 변경 시도와 관련한 사항에 대해서는 계속 조사를 이어 나간다고 밝힌 바 있다.
참고로, 피심인은 위원회의 2022년 8월 3일 자료제출 요구(동의절차 변경 및 철회 관련 요구)와 관련하여, 위반 혐의에 대한 판단을 내린 이후 사실관계 파악을 위한 자료제출 요청을 하는 것이 불합리하며 부당하다고 주장하나, 2022년 8월 3일 자료제출 요구서는 이번 처분의 판단과 관련 없는 현황 자료(각주:① 처리방침의 변경 여부 및 내용, ② 동의절차 철회에 따른 타사 행태정보에 대한 필수 수집 시정 여부, ③ 철회 전 동의한 이용자 수 현황, ④ 신규 가입자에 대한 변경된 동의절차 적용 계획, ⑤ 철회한 동의절차의 개인정보 제공 및 ⑥ 국가 간 이전 관련 사실관계) 에 대한 사항이고, 이번 처분은 피심인이 2022년 5월 26일부터 7월 28일까지 동의 절차를 변경 및 철회한 행위에 대해 피심인을 처분하는 것이 아니며, 타사 행태정보의 필요한 최소한의 개인정보 여부 및 이를 제공하지 않는다고 서비스 제공을 거부한 행위의 위법성을 판단하는 것이다.
나. 이번 처분은 타사 행태정보가 '필요한 최소한의 개인정보’의 해당 여부를 판단하는 것으로 이에 대한 동의를 받지 않았다는 사안과 모순되지 않음
피심인은 위원회가 타사 행태정보 수집에 대하여 동의를 받지 못하였다고 주장한 것과 선택적으로 동의 받았어야 함에도 필수적으로 동의받았다고 주장하는 것은 모순된다고 주장하나, 제39조의3 제1항은 이용자에게 개인정보 수집ㆍ이용에 대해 알리고 동의를 받아야 한다는 규정이고, 보호법 제39조의3 제3항의 문언은 필요한 최소한의 개인정보 이외의 개인정보를 제공하지 아니한다는 이유로 서비스 제공을 거부해서는 안 된다는 것으로, 이용자가 반드시 필요하지 않은 개인정보인 타사 행태정보를 제공하지 않고도 서비스를 이용할 수 있어야 한다는 것인바, 이는 타사 행태정보 수집ㆍ이용에 대해 알리고 동의받도록 한 2022년 9월 14일 처분과 모순된다고 볼 수 없다.
참고로, 피심인은 현재 페이스북 및 인스타그램 신규 가입자에 대해 2022년 7월 26일 철회한 동의 절차를 도입하여 맞춤형 광고를 위한 개인정보 수집 및 이용(타사 행태정보 수집ㆍ이용 포함)에 대해 '필수’ 동의를 받고 있으며, 이에 대해 거부할 수 없다.
<img src="/LSW/flDownload.do?flSeq=135158293" alt="111번째 이미지"></img>
3. 보호법 제39조의3 제3항을 준수할 의무는 사업자에게 있다는 주장에 대하여
해당 주장은 2022년 9월 14일 위원회에서 불수용하는 것으로 이미 판단하였다.
Ⅴ. 처분 및 결정
1. 시정조치 명령
피심인의 보호법 제39조의3 제3항 위반에 대하여 같은 법 제64조제1항에 따라 개인정보 보호 및 침해 방지를 위하여 아래와 같이 시정조치를 명한다.
가. 이용자가 이용자의 타사 행태정보에 대한 제공을 거부하더라도 페이스북 및 인스타그램 서비스를 가입하고 이용할 수 있도록 하여야 한다.
나. 위 가의 시정명령에 따른 시정조치를 이행하고, 시정조치 명령 처분통지를 받은 날로부터 90일 이내에 이행결과를 위원회에 제출하여야 한다.
2. 과태료 부과
피심인의 보호법 제39조의3(개인정보 수집ㆍ이용 동의 등에 대한 특례) 제3항 위반에 대한 과태료는 같은 법 제75조(과태료) 제2항 제12의2호 및 같은 법 시행령 제63조(과태료의 부과기준)의〔별표2〕「과태료의 부과기준」에 따라 다음과 같이 부과한다.
① (기준금액 산정) 피심인의 보호법 제39조의3(개인정보 수집ㆍ이용 동의 등에 대한 특례) 제3항에 대한 과태료는 최근 3년간 같은 위반행위로 과태료 처분을 받은 사실이 없으므로, 1회 위반에 해당하는 과태료 600만 원을 적용한다.
<img src="/LSW/flDownload.do?flSeq=135158295" alt="112번째 이미지"></img>
② (과태료의 가중) 피심인의 보호법 제39조의3(개인정보 수집ㆍ이용 동의 등에 대한 특례) 제3항 위반행위에 대해 「개인정보 보호법 위반에 대한 과태료 부과기준」(2021. 1. 27. 개인정보보호위원회 의결, 이하 '과태료 부과지침’) 제8조(과태료의 가중)에 따라, ▲위반 기간이 3개월 이상인 경우로 기준금액의 10%를 가중한다.
<img src="/LSW/flDownload.do?flSeq=135158297" alt="113번째 이미지"></img>
※ 과태료 부과지침 제8조(과태료의 가중)에 따라 과태료의 가중은 기준금액의 50%를 초과할 수 없음
③ (과태료의 감경) 해당 사항 없음
④ (최종 과태료) 보호법 제39조의3(개인정보 수집ㆍ이용 동의 등에 대한 특례) 제3항을 위반한 행위에 대해 기준금액에서 필수적ㆍ추가적 가중ㆍ감경을 적용하여 총 660만 원의 과태료를 부과한다.
<img src="/LSW/flDownload.do?flSeq=135158299" alt="114번째 이미지"></img>
※ 피심인이 과태료 고지서를 송달받은 날부터 14일 이내에 과태료를 자진납부 하는 경우, 100분의 20을 감경함 (질서위반행위규제법 제18조 및 같은 법 시행령 제5조 준용)
3. 처분 결과의 공표
피심인이 이용자가 자신의 타사 행태정보에 대한 제공을 거부하고서도 페이스북 및 인스타그램 서비스를 가입ㆍ이용할 수 없도록 한 행위는 ①6개월 이상 지속하여 ②10만 명 이상 수집ㆍ이용하였고, 피심인은 최근 3년 내 시정조치 명령 등을 ③2회 이상 받았으므로(각주:舊정보통신망법 제22조 제1항, 제26조 제1항 및 제2항, 보호법 제24조의2 제1항 위반으로 과징금 및 과태료 부과(’21.8.25.), 보호법 제39조의3 제1항 위반으로 과징금 부과(’22.9.14.)) 「개인정보 보호위원회 처분결과 공표기준」제2조 제5호 내지 제7호에 해당(각주:개인정보 보호위원회 처분결과 공표기준 제2조는 제1호부터 제8호 중 어느 하나에 해당하는 경우 처분결과를 공표할 수 있다고 규정하고 있으며, 피심인의 경우 제5호, 제6호, 제7호에 해당함) 하여 보호법 제66조 제1항에 따라 시정조치 명령을 받은 사실에 대해 개인정보보호위원회 홈페이지에 공표하기로 한다.
<img src="/LSW/flDownload.do?flSeq=135158301" alt="115번째 이미지"></img>
Ⅵ. 결론
피심인의 보호법 제39조의3 제3항 위반행위에 대하여 같은 법 제64조(시정조치 등) 제1항, 제66조(결과의 공표) 제1항, 제75조(과태료) 제2항 제12의2호 각각에 의한 시정조치 명령, 결과 공표, 과태료 부과를 주문과 같이 의결한다.
피심인은 이 시정조치 명령에 불복이 있는 경우, 「행정심판법」 제27조 및 「행정소송법」 제20조의 규정에 따라 처분을 받은 날부터 90일 이내에 중앙행정심판위원회에 행정심판을 청구하거나 관할법원에 행정소송을 제기할 수 있다.
피심인은 이 과태료 부과처분에 불복이 있는 경우, 「질서위반행위규제법」 제20조의 규정에 따라 그 처분을 받은 날부터 60일 이내에 개인정보보호위원회에 서면으로 이의를 제기할 수 있다.
과태료 부과처분에 대한 피심인의 이의제기가 있는 경우, 개인정보보호위원회의 과태료 부과처분은 「질서위반행위규제법」 제20조제2항의 규정에 따라 그 효력을 상실하고 관할법원(피심인 주소지의 지방법원 또는 그 지원)이 과태료 재판 절차에 따라 결정한다. 이 경우 피심인은 관할법원의 과태료 재판이 확정된 이후 재판 결과에 따라 과태료의 납입 의무를 부담한다.
1. 조사 배경
개인정보보호위원회(이하 '위원회’)는 온라인 맞춤형 광고 플랫폼(각주:행태정보 수집 도구를 제작ㆍ배포하여 자사 또는 타사의 웹ㆍ앱을 사용한 행태정보를 수집하고 맞춤형 광고를 전송하는 자) 이 이용자(서비스 가입자)가 타사 웹사이트 및 앱을 방문ㆍ사용한 행태정보(각주:웹ㆍ앱 방문ㆍ사용 이력, 구매ㆍ검색 이력 등 이용자의 관심, 흥미, 기호 및 성향 등을 파악하고 분석할 수 있는 온라인상의 활동정보) (이하 '타사 행태정보’)를 수집하여 맞춤형 광고 등에 활용한 실태를 조사하였고, Meta Platforms, Inc.(이하 '피심인’)가 페이스북 및 인스타그램 서비스 이용자의 동의 없이 타사 행태정보를 수집ㆍ이용한 행위에 대해 2022년 제14회 및 제15회 위원회에서 행정처분을 심의ㆍ의결하였다.
피심인의 페이스북 및 인스타그램 서비스 제공 거부와 관련한 사실관계는 2022년 제14회 및 제15회 위원회에서 심의ㆍ의결한 동의 위반 관련 조사 과정에서 확인된 사항으로, 피심인이 조사 과정에서 기존 이용자에게 별도의 동의화면을 통해 타사 행태정보 수집 및 맞춤형 광고 등에 대한 동의를 강제하는 행위가 크게 논란(각주:페이스북, 인스타그램 '맞춤형광고’도 필수동의 요구, 동의 안하면 7.26. 이후 이용불가 보도(경향, 미디어 오늘 등), 이후 서비스 중단 철회(중앙, 동아, 한겨레 등)) 이 되어, 제14회 및 제15회 위원회 심의ㆍ의결의 대상이었던 제39조의3 제1항 위반 여부와 별개로 타사 행태정보가 페이스북 및 인스타그램 서비스 제공을 위해 필요한 최소한의 개인정보인지 및 이용자가 자신의 타사 행태정보를 제공하지 않고 해당 서비스를 이용할 수 없도록 한 행위의 위법성을 판단하였다.
2. 피심인 현황
Meta Platforms, Inc.(이하 '피심인’)은 영리를 목적으로 정보통신망을 통해 페이스북 및 인스타그램 등 서비스를 제공하고 있는 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」(이하 '정보통신망법’) 제2조 제1항 제3호에 따른 정보통신서비스 제공자이며, 「개인정보 보호법」(이하 '보호법’)에 따른 개인정보처리자로서 일반현황과 매출액은 다음과 같다.
<피심인 일반현황>
<img src="/LSW/flDownload.do?flSeq=135158115" alt="1번째 이미지"></img>
<피심인 매출액 현황>
(단위 : 백만$)
<img src="/LSW/flDownload.do?flSeq=135158137" alt="2번째 이미지"></img>
피심인은 2018년 7월 14일부터 페이스북 및 인스타그램 서비스를 대한민국에서 제공하였고, 2021년 9월 기준으로 페이스북 및 인스타그램 서비스의 월간 활성 한국 이용자 계정 수는 각각 개와 개(각주:2021년 9월 30일 기준 관련 제품의 월간 활성 한국 이용자 수를 제출) 이다.
2019년부터 2021년까지 연도별 페이스북 및 인스타그램 서비스의 전체 월간 활성 이용자 중 한국 이용자 비율은 아래와 같다.
<피심인 서비스 한국 이용자 비율>
<img src="/LSW/flDownload.do?flSeq=135158159" alt="3번째 이미지"></img>
Ⅱ. 사실조사 결과
1. 페이스북 및 인스타그램 서비스 가입과정
피심인은 2018년 7월 14일부터 한국 이용자에게 페이스북 및 인스타그램 서비스를 제공하면서, 이용자가 페이스북 계정을 생성하는 과정에서 필수적으로 선택을 하여야 하는 “Facebook 데이터 정책에 동의합니다.” 체크박스 위의 스크롤 화면을 통해 “데이터 정책” 전문을 보여주고 있다.
<img src="/LSW/flDownload.do?flSeq=135158181" alt="4번째 이미지"></img>
또한 피심인은 이용자가 인스타그램 계정을 생성하는 과정에서는 “이용 약관에 동의” 화면에서 “데이터 정책(필수)”을 선택하도록 하면서 “더 알아보기”를 누르는 경우 “Instagram 데이터 정책” 전문을 보여주고 있다.
<img src="/LSW/flDownload.do?flSeq=135158203" alt="5번째 이미지"></img>
피심인은 페이스북 및 인스타그램 데이터 정책 내 “파트너가 제공하는 정보”에서 “광고주, 앱 개발자 및 퍼블리셔”(사업자)는 피심인의 비즈니스 도구(Facebook 로그인, 픽셀, SDK)를 통해 피심인으로 정보를 제공할 수 있다고 표기하고 있다.
<img src="/LSW/flDownload.do?flSeq=135158225" alt="6번째 이미지"></img>
2. Facebook 외부 활동 도구
피심인은 2019년 8월 이용자의 페이스북 및 인스타그램 계정정보와 타사 행태정보의 결합을 해제하고 향후에도 결합되지 않도록 설정할 수 있는 “Facebook 외부 활동(타사 행태정보 수집 설정)” 도구를 출시하였으며, “Facebook 외부 활동” 도구는 이용자가 페이스북 계정을 생성한 후 로그인하여 “계정”→“설정 및 개인정보”→“설정”→“내 Facebook 정보”→“Facebook 외부 활동” 경로를 통해 접속하는 경우 확인할 수 있다.
<img src="/LSW/flDownload.do?flSeq=135158247" alt="7번째 이미지"></img>
<img src="/LSW/flDownload.do?flSeq=135158269" alt="8번째 이미지"></img>
이용자는 “Facebook 외부 활동” 도구 화면에서 “? 옵션 더 보기”를 눌러 “향후 활동 관리”에 접속하여 다른 사업자의 웹사이트 및 앱을 방문ㆍ사용한 타사 행태정보가 계정에 연결되지 않도록 설정할 수 있다.
<img src="/LSW/flDownload.do?flSeq=135158291" alt="9번째 이미지"></img>
피심인은 이와 별도로 이용자가 타사 행태정보를 사용한 맞춤형 광고의 게재 여부를 선택할 수 있도록 “파트너가 제공한 회원님의 활동 데이터(맞춤형 광고 수신 설정)” 도구를 제공하고 있다.
<img src="/LSW/flDownload.do?flSeq=135158117" alt="10번째 이미지"></img>
이용자가 페이스북 및 인스타그램에 가입하는 경우 “Facebook 외부 활동(행태정보 수집 여부 선택)” 및 “파트너가 제공하는 회원님의 활동 데이터(맞춤형 광고 수신 여부 선택)” 도구의 기본 설정값은 “허용”이다.
피심인은 이용자가 이를 “허용 안 함”으로 설정하고 페이스북 및 인스타그램에 가입, 이를 이용 할 수 있는 방법을 제공하지 않고 있으며, 2021년 9월 30일 기준 “Facebook 외부 활동” 도구의 설정값 현황은 아래와 같다.
<img src="/LSW/flDownload.do?flSeq=135158119" alt="11번째 이미지"></img>
인스타그램 이용자가 피심인이 이용자의 타사 행태정보를 수집하는 것을 거부하기 위해서는 페이스북 계정을 생성한 후 인스타그램 계정을 페이스북 계정에 연동하여 “Facebook 외부 활동” 도구의 설정값을 변경하여야 한다.
<img src="/LSW/flDownload.do?flSeq=135158121" alt="12번째 이미지"></img>
피심인은 “Facebook 외부 활동” 도구의 최초 설정값은 해당 도구가 출시된 이래로 동일하게, 이용자의 계정과 타사 행태정보의 저장을 허용하는 것이라고 답변하였다.
<img src="/LSW/flDownload.do?flSeq=135158123" alt="13번째 이미지"></img>
3. 쿠키 및 모바일 광고 식별자에 대한 설정 기능
피심인은 2021년 7월 6일부터 유럽 이용자가 페이스북, 메신저 또는 인스타그램에 로그인하는 경우, 타사 행태정보를 수집하기 위한 쿠키 등이 허용되지 않도록 설정할 수 있는 쿠키 동의화면을 제공하고 있으나, 한국 이용자에게는 이를 제공하고 있지 않다.
<img src="/LSW/flDownload.do?flSeq=135158125" alt="14번째 이미지"></img>
피심인은 유럽 이용자가 쿠키 동의를 하지 않은 경우, 'Facebook 픽셀’ 등을 통해 수집되거나, 쿠키 식별자 등을 통해 수집된 타사 행태정보는 이용자의 계정정보와 결합하지 않고 삭제한다고 안내하고 있다.
<img src="/LSW/flDownload.do?flSeq=135158075" alt="15번째 이미지"></img>
<img src="/LSW/flDownload.do?flSeq=135158097" alt="16번째 이미지"></img>
<img src="/LSW/flDownload.do?flSeq=135158127" alt="17번째 이미지"></img>
피심인은 이용자가 기기에서 모바일 광고 식별자가 전송되지 않도록 설정한 경우(각주:iOS 14.5 전 버전에서 이용자가 “설정 → 개인 정보 보호 → 광고 → 광고 추적 제한” 기능을 켜는 경우 모바일 광고 식별자인 IDFA 값이 기기에 부여되지 않음) 에도 메타데이터(IP주소, 기기정보 등)를 통해 타사 행태정보를 이용자의 계정정보에 결합하여 맞춤형 광고에 활용하였다.
<img src="/LSW/flDownload.do?flSeq=135158129" alt="18번째 이미지"></img>
피심인은 2020년 9월 28일 출시한 Facebook SDK 8 버전 및 2021년 4월 26일 출시된 iOS 14.5 버전 이상에서는 이용자가 광고 추적에 동의하지 않으면 타사 행태정보를 이용자의 계정정보와 결합하지 않도록 수정하였다고 답변하였다.
<img src="/LSW/flDownload.do?flSeq=135158131" alt="19번째 이미지"></img>
4. 행태정보 수집 도구를 통해 식별자 및 이용자의 타사 행태정보를 수집하는 목적
피심인은 측정 및 분석 서비스, 광고 타게팅, 광고 게재 개선, 기능 및 콘텐츠 맞춤화, Facebook 제품 개선 및 보호 등의 목적으로 타사 행태정보를 수집ㆍ이용하고 있다고 답변하였다.
<img src="/LSW/flDownload.do?flSeq=135158133" alt="20번째 이미지"></img>
피심인은 이용자의 타사 행태정보를 수집ㆍ분석하여 이용자가 관심을 가질 만하다고 판단하는 광고를 추정하여 피심인의 서비스에 게재하고 있다.
<img src="/LSW/flDownload.do?flSeq=135158135" alt="21번째 이미지"></img>
<img src="/LSW/flDownload.do?flSeq=135158139" alt="22번째 이미지"></img>
피심인은 이용자(소스 타겟)의 타사 행태정보를 바탕으로 광고주가 해당 이용자와 유사한 이용자(유사 타겟)를 추정하여 타게팅할 수 있는 기능을 제공하고 있다.
<img src="/LSW/flDownload.do?flSeq=135158141" alt="23번째 이미지"></img>
5. 페이스북 및 인스타그램 서비스 동의 방식 변경
피심인은 2022년 7월 26일 페이스북 및 인스타그램의 개인정보 처리방침을 변경ㆍ적용하였고, 기존 페이스북 이용자 중 한국 이용자에게는 “Facebook 앱을 계속 사용하려면 업데이트를 검토하고 동의하세요”라는 화면을 보여주고 “개인정보의 수집 및 이용[필수]” 등 6개 사항을 필수로 선택하게 하였다.(각주:인스타그램의 경우에도 “Instagram 앱을 계속 사용하려면 업데이트를 검토하고 동의하세요” 화면을 보여주고 동일한 사항에 선택하도록 함) <img src="/LSW/flDownload.do?flSeq=135158143" alt="24번째 이미지"></img>
“개인정보의 수집 및 이용[필수]”에는 “맞춤형 광고 표시를 위한 개인정보 수집 및 이용에 동의합니다.”라는 내용이 포함되어 있고, “개인정보의 수집 및 이용[필수]”의 더 알아보기를 누르는 경우, 법정 고지사항을 보여주는 화면이 나타나며, 법적 고지사항 항목별로 개인정보 처리방침을 누르는 경우 피심인 개인정보 처리방침의 해당 부분을 보여주고 있다.
<img src="/LSW/flDownload.do?flSeq=135158103" alt="25번째 이미지"></img>
<img src="/LSW/flDownload.do?flSeq=135158105" alt="26번째 이미지"></img>
<img src="/LSW/flDownload.do?flSeq=135158145" alt="27번째 이미지"></img>
<img src="/LSW/flDownload.do?flSeq=135158107" alt="28번째 이미지"></img>
<img src="/LSW/flDownload.do?flSeq=135158147" alt="29번째 이미지"></img>
변경된 개인정보 처리방침에서 피심인이 수집하는 정보 중 파트너, 벤더 및 제3자로부터 제공받은 정보에는 타사 행태정보(Facebook 외부 활동)가 포함되어 있다.
<img src="/LSW/flDownload.do?flSeq=135158149" alt="30번째 이미지"></img>
피심인은 이번 처리방침 변경이 기존 내용을 쉽게 이해할 수 있도록 표현 및 구조를 변경하여 투명성을 높인 것뿐이며, 이용자 개인정보에 대한 새로운 권리가 부여되거나 피심인이 개인정보를 처리하는 방식이 변경된 것은 아니라고 밝히고 있다.
<img src="/LSW/flDownload.do?flSeq=135158151" alt="31번째 이미지"></img>
피심인은 2022년 7월 26일 이후에도 이용자가 페이스북 및 인스타그램에 가입하는 경우 “Facebook 외부 활동(행태정보 수집 여부 선택)” 및 “파트너가 제공하는 회원님의 활동 데이터(맞춤형 광고 수신 여부 선택)” 도구의 기본값을 “허용”으로 설정해 놓고 있으며, 이용자가 이를 “허용 안 함”으로 설정하고 페이스북 및 인스타그램에 가입하여 서비스를 이용할 수 있는 방법을 제공하고 있지 않다.
6. 'Facebook 로그인’ 기능을 통한 타사 행태정보 수집
피심인은 'Facebook 로그인’은 행태정보 수집 도구인 비즈니스 도구와 본질적으로 다르며, 이러한 정보 이전은 비즈니스 도구 약관이 아닌 플랫폼 정책에 의해 규율된다고 답변하였다.
<img src="/LSW/flDownload.do?flSeq=135158153" alt="32번째 이미지"></img>
또한, 사업자가 Facebook 로그인 기능만을 설치한 경우, 이용자가 해당 사업자의 웹사이트 및 앱에 Facebook 로그인으로 가입하거나 로그인하지 않는 이상, 광고 식별자 및 타사 행태정보는 피심인에게 전송되지 않는다고 답변하였다.(각주:피심인은 사업자가 비즈니스 도구 없이 Facebook 로그인을 설치할 수 있다고 하면서 관련한 개발자 페이지(“로그인 플로 직접 빌드”)의 접속 링크(https://developers.facebook.com/docs/facebook-login/guides/advanced/manual-flow)를 제출함) <img src="/LSW/flDownload.do?flSeq=135158155" alt="33번째 이미지"></img>
피심인은 Facebook 로그인 SDK는 Facebook SDK의 구성요소(각주:(필수) Facebook ①Core SDK
(선택) Facebook ②로그인 SDK, ③공유 SDK, ④메신저 SDK, ⑤앱링크 SDK) 중 하나이며, Facebook 로그인 SDK를 설치할 목적으로 Facebook SDK를 설치하는 경우 행태정보 수집 기능을 가진 Facebook Core SDK가 함께 설치된다고 답변하였다.
<img src="/LSW/flDownload.do?flSeq=135158157" alt="34번째 이미지"></img>
그러나, 피심인은 개발자 페이지와 데이터 정책에서 Facebook 로그인을 비즈니스 도구의 하나로 안내하고 있다.
<img src="/LSW/flDownload.do?flSeq=135158161" alt="35번째 이미지"></img>
<img src="/LSW/flDownload.do?flSeq=135158163" alt="36번째 이미지"></img>
피심인이 비즈니스 도구 없이 Facebook 로그인을 설치할 수 있다면서 제출한 “로그인 플로 직접 빌드”는 개발자 문서의 “Facebook Login → Guides → 고급” 경로에서 확인할 수 있다.(각주:“Facebook Login” 화면에 접속하면 “고급” 및 “로그인 플로 직접 빌드” 화면은 “Guides”를 누르는 경우 나타나며, 로그인을 설치하는 방법은 각 기기별(iOS, Android, 웹, 기기용)로 안내하고 있음) <img src="/LSW/flDownload.do?flSeq=135158165" alt="37번째 이미지"></img>
피심인은 개발자 문서의 “로그인 플로 직접 빌드” 관련 안내사항에서 “SDK를 사용하지 않는 앱이 있는 경우”에 사용하는 것으로 안내하고 있으며, “로그인 플로 직접 빌드” 페이지에서는 모바일 앱은 iOS 및 Android용 Facebook SDK를 사용하고 해당 플랫폼에 대한 별도의 가이드를 따르라고 안내하고 있다.
<img src="/LSW/flDownload.do?flSeq=135158167" alt="38번째 이미지"></img>
<img src="/LSW/flDownload.do?flSeq=135158169" alt="39번째 이미지"></img>
피심인은 2021년 9월부터 개발자가 앱에서도 “로그인 플로를 직접 빌드” 할 수 있으며, 개발자 문서에 모바일 앱 적용 내용을 반영하기 위해 개발자 문서를 업데이트하고 있다고 답변하였다.(각주:위원회 의결일(23.2.8.) 현재까지 피심인 답변과는 달리 개발자 문서에는 해당 내용이 업데이트되지 않음) <img src="/LSW/flDownload.do?flSeq=135158171" alt="40번째 이미지"></img>
피심인이 제출한 개발자 블로그에는 위 “로그인 플로 직접 빌드”의 안내사항과 마찬가지로 2021년 9월 17일 이전에는 Facebook 로그인을 구현하는 iOS 및 Android 앱을 사용하는 개발자에게 공식 SDK를 사용하도록 요구했다는 내용이 확인된다.(각주:개발자 블로그 : https://developers.facebook.com/blog/post/2021/09/16/enhancing-our-developer-policies-strengthen-platform-integrity) <img src="/LSW/flDownload.do?flSeq=135158173" alt="41번째 이미지"></img>
사업자의 웹사이트 및 앱에 설치된 Facebook 로그인은 이용자의 Facebook 계정 보유 여부 또는 로그인 여부와 관계없이 이용자의 광고 식별자 및 타사 행태정보를 피심인에게 전송한다.
<img src="/LSW/flDownload.do?flSeq=135158175" alt="42번째 이미지"></img>
<img src="/LSW/flDownload.do?flSeq=135158177" alt="43번째 이미지"></img>
피심인은 사업자가 Facebook 로그인 기능을 설치하는 과정에서 자동 이벤트 로깅을 비활성화하면 해당 웹사이트 및 앱에서는 이용자의 타사 행태정보를 수집하지 않는다고 답변하였다.
피심인은 개발자 페이지의 “Android용 Facebook 로그인 → 빠른 시작” 메뉴에서 “Facebook SDK를 사용할 때 자동 이벤트 로깅을 비활성화하지 않으면 앱의 이벤트가 Facebook 분석을 위해 자동으로 로깅 되고 수집됩니다.”라고 자동 이벤트 로깅에 대한 내용을 안내(각주:해당 사항은 iOS, 웹 및 기기용에 대한 개발자 페이지에서는 확인되지 않음) 하고 있으나, Facebook 로그인 기능을 통해 이용자의 타사 행태정보를 수집하여 광고에 활용한다는 내용은 개발자 페이지에서 안내하고 있지 않다.
<img src="/LSW/flDownload.do?flSeq=135158179" alt="44번째 이미지"></img>
7. 광고주에게 제공하는 타게팅 서비스
피심인은 페이스북의 “광고 관리자”에서 “타겟” 선택화면을 통해 이용자의 “위치”, “연령”, “성별”, “언어”, “상세 타게팅”, “행동”, “연결 관계”(각주:이용자가 사용하는 페이지, 앱 또는 이벤트와의 연결 관계를 기반으로 광고 게재) 등을 기반으로 타겟(이용자의 범위)을 설정하여 광고를 게재할 수 있는 기능을 광고주에게 제공하고 있다.
<img src="/LSW/flDownload.do?flSeq=135158183" alt="45번째 이미지"></img>
광고주는 “상세 타게팅”을 통해 학력, 재무, 결혼/연애 상태 등 “인구 통계학적 특성”, 쇼핑 및 패션, 스포츠 및 야외활동 등 “관심사”(각주:피심인이 ’21.5.2. 제출한 자료에 따르면 관심사의 수는 ’21.3.3. 기준 개로 확인됨) 또는 구매 행동, 특정 모바일 기기 사용자 등 “행동”을 기반으로 광고를 게재할 타겟을 설정할 수 있다.
<img src="/LSW/flDownload.do?flSeq=135158185" alt="46번째 이미지"></img>
<img src="/LSW/flDownload.do?flSeq=135158187" alt="47번째 이미지"></img>
피심인은 광고주로부터 직접 제공받거나 Facebook 픽셀 및 SDK 등을 통해 전송받은 식별자(각주:피심인은 Facebook 픽셀 및 SDK를 통해 광고주의 웹사이트, 앱을 사용한 이용자를 식별하고, 광고주가 이를 타겟으로 광고를 게재할 수 있는 기능을 제공함) 에 해당하는 페이스북 및 인스타그램 등 이용자에게 광고를 게재할 수 있는 “맞춤 타겟” 기능을 광고주에게 제공하고 있으며, “맞춤 타겟”에 해당하는 이용자와 유사한 이용자를 추정하여 광고를 게재할 수 있는 “유사 타겟” 기능을 광고주에게 제공하고 있다.
<img src="/LSW/flDownload.do?flSeq=135158189" alt="48번째 이미지"></img>
<img src="/LSW/flDownload.do?flSeq=135158191" alt="49번째 이미지"></img>
<img src="/LSW/flDownload.do?flSeq=135158193" alt="50번째 이미지"></img>
피심인은 페이스북 “광고 관리자” 페이지의 “노출 위치” 설정을 통해 광고주가 광고를 게재할 위치와 관련하여 “어드밴티지+노출위치(추천)” 또는 “수동 노출 위치” 중 하나를 선택할 수 있도록 하고 있고, “수동 노출 위치” 설정에서 광고를 게재할 위치를 “Facebook”, “Instagram”, “Audience Network”, “Messenger”를 선택할 수 있고, 각 서비스의 세부적인 위치까지 선택할 수 있도록 한바, 광고주의 광고는 페이스북 및 인스타그램뿐만 아니라 피심인이 제공하는 다른 서비스에서도 게재될 수 있는 것이 확인된다.
<img src="/LSW/flDownload.do?flSeq=135158195" alt="51번째 이미지"></img>
Ⅲ. 피심인의 행위에 대한 위법성 판단
1. 관련 법령의 규정 및 법리
가. 보호법상 '필요한 최소한의 개인정보’
보호법 제3조 제1항은 “개인정보처리자는 개인정보의 처리 목적을 명확하게 하여야 하고 그 목적에 필요한 범위에서 최소한의 개인정보만을 적법하고 정당하게 수집하여야 한다.”라고, 제6항은 “개인정보처리자는 정보주체의 사생활 침해를 최소화하는 방법으로 개인정보를 처리하여야 한다.”라고, 제7항은 “개인정보처리자는 개인정보를 익명 또는 가명으로 처리하여도 개인정보 수집목적을 달성할 수 있는 경우 익명처리가 가능한 경우에는 익명에 의하여, 익명처리로 목적을 달성할 수 없는 경우에는 가명에 의하여 처리될 수 있도록 하여야 한다.”라고 규정하고 있다.
보호법 제39조의3 제3항은 “정보통신서비스 제공자는 이용자가 필요한 최소한의 개인정보 이외의 개인정보를 제공하지 아니한다는 이유로 그 서비스의 제공을 거부해서는 아니 된다. 이 경우 필요한 최소한의 개인정보는 해당 서비스의 본질적 기능을 수행하기 위하여 반드시 필요한 정보를 말한다.”라고 규정한바, 이는 보호법 제16조 제3항이 “개인정보처리자는 정보주체가 필요한 최소한의 정보 외의 개인정보 수집에 동의하지 아니한다는 이유로 정보주체에게 재화 또는 서비스의 제공을 거부하여서는 아니 된다”고 규정한 것과 함께, 보호법 제3조의 개인정보 보호 원칙을 구체화하고 있으며,(각주:대법원 2017. 4. 7. 선고 2016도13263판결은 “(중략) 즉 개인정보처리자는 개인정보를 수집하는 경우에 그 목적에 필요한 최소한의 개인정보를 수집하여야 하고, 정보주체가 필요한 최소한의 정보 외의 개인정보 수집에 동의하지 아니한다는 이유로 정보주체에게 재화 또는 서비스의 제공을 거부하여서는 아니 된다(제16조 제1항, 제2항). (중략) 이는 개인정보처리자가 정당한 목적으로 개인정보를 수집하는 경우라 하더라도 그 목적에 필요한 최소한의 개인정보 수집에 그쳐야 하고 이에 동의하지 아니한다는 이유로 정보주체에게 재화 또는 서비스의 제공을 거부하여서는 안 된다는 개인정보 보호 원칙(개인정보 보호법 제3조 제1항)과 개인정보 보호법 규정에 위반되는 것이다.”라고 판시하여, 법 제3조 제1항과 '필요한 최소한의 정보 외의 개인정보 수집에 동의하지 아니한다는 이유로 정보주체에게 재화 또는 서비스의 제공을 거부하여서는 아니 된다’는 구체적 규범이 같은 법원리의 것임을 밝힌 바 있음) 보호법 제39조의3 제3항은 '필요한 최소한의 개인정보’에 대하여 '해당 서비스의 본질적 기능을 수행하기 위하여 반드시 필요한 정보’로 더욱 구체화하고 있다.
따라서 보호법 제39조의3 제3항의 '필요한 최소한의 개인정보’는 보호법 제3조의 규정과 보호법 제39조의3 제3항의 '해당 서비스의 본질적 기능을 위하여 반드시 필요한 정보’를 함께 고려하여 판단하여야 한다.
1) 보호법 제3조 제1항, 제6항 및 제7항에 따른 고려
먼저 보호법 제3조 제1항은 '그 목적에 필요한 범위에서 최소한의 개인정보만을 수집’하도록 규정하여 필요성과 최소성을 나누어 규율(각주:보호법 제3조 제2항이 '처리 목적에 필요한 범위에서 적합하게 개인정보를 처리’하도록 규정하여 필요성과 적합성을 나누어 규율하고 같은 조 제3항이 '처리 목적에 필요한 범위에서 개인정보의 정확성 등이 보장’되도록 규정하여 필요성과 정확성 등을 나누어 규율한바, 제1항의 필요성과 최소성 역시 서로 구별되는 개념임을 알 수 있음) 하고 있는바, 필요성은 '그 목적에 필요한 범위에서’라는 문언상 그 목적 달성을 위하여 실제 필요한 범위를 초과하지 않는지를 기준으로 판단할 수 있고, 최소성은 '필요한 범위에서 최소한’이라는 문언상 필요성을 전제한 상태에서 최소한도를 의미하므로, 목적 달성을 위해 단순히 필요한 범위를 넘어 반드시 필요한 정보인지를 기준으로 판단하여야 한다.
또한, 보호법 제3조 제1항은 필요한 최소한의 개인정보를 '적법하고 정당하게’ 수집할 것도 요구하고 있는바, 개인정보의 수집에서 정보주체와 개인정보처리자의 이익의 균형이 요구(각주:컨트롤러는 해당 정보주체에게 부당하게 해롭고 예상하지 못하거나 오도하는 방식으로 개인정보를 처리하지 말고, 처음부터 개인정보를 어떻게 이용할지 정보주체에게 분명하고 정직해야 한다. 이 법이 요구하는 개인정보의 정당한 수집은 실제로는 공정한 수집이라고 보는 것이 타당할 것이다. 이 법의 정당한 수집은 GDPR의 공정한 수집에 상응하는 것으로 이해하는 것이 개인정보 처리에 관한 규범의 국제적 수렴 내지 통일이라는 점에서도 타당할 것이다. 개인정보의 공정한 수집이 요구되면, 개인정보의 수집에서 정보주체와 개인정보처리자의 이익의 균형이 요구된다.(박노형 저 개인정보보호법 121p)) 되며, 정보주체가 예상할 수 있는 방식으로 개인정보가 처리되어야 한다.
보호법 제3조 제1항과 함께 제3조 제6항 및 제7항 또한 OECD 프라이버시 8원칙의 수집 제한의 원칙 및 GDPR의 데이터 최소화(각주:GDPR 제5조 제1항 (c)호에서는 이를 '목적과 관련하여 적당한(adequate)이라는 문구로 표현하고 있으며, ICO는 “adequate”에 대하여 명시된 목적을 적절하게 수행하기에 충분하다(sufficient to properly fulfil your stated purpose)는 의미로 설명함) 에 대한 원칙으로 설명(각주:EU 역시 가명화 및 익명화를 데이터 최소화의 요소로 설명하고 있음(EDPB, Guidelines 4/2019 on Article 25 - Data Protection by Design and by Default (Version for public consultation) p.21)) 하고 있는바, 수집하는 개인정보의 종류 및 성격, 수집목적, 이용형태, 정보처리방식 등이 인격권 또는 사생활의 자유에 미치는 영향이나 침해의 정도(각주:헌법재판소는 “개인정보의 종류 및 성격, 수집목적, 이용형태, 정보처리방식 등에 따라 개인정보자기결정권의 제한이 인격권 또는 사생활의 자유에 미치는 영향이나 침해의 정도는 달라지므로 개인정보자기결정권의 제한이 정당한지 여부를 판단함에 있어서는 위와 같은 요소들과 추구하는 공익의 중요성을 헤아려야 하는바, 피청구인들이 졸업증명서 발급업무에 관한 민원인의 편의 도모, 행정효율성의 제고를 위하여 개인의 존엄과 인격권에 심대한 영향을 미칠 수 있는 민감한 정보라고 보기 어려운 성명, 생년월일, 졸업일자 정보만을 NEIS에 보유하고 있는 것은 목적의 달성에 필요한 최소한의 정보만을 보유하는 것이라 할 수 있다”고 판시(헌재 2005. 7. 21. 2003헌마282 등)) 를 고려하고, 필요성에 더하여 최소성까지 판단 시에는 같은 목적을 달성하기 위하여 달리 덜 침해적인 수단이 없을 경우인지까지 판단하여야 한다.(각주:헌재 2012. 2. 23. 선고 2009헌마318결정에 따르면 사상이나 지식에 관한 정치적, 시민적 표현행위인 경우 및 인격발현과 개성신장에 미치는 효과가 중대한 경우, 비례의 원칙 심사에 있어서 '피해의 최소성’원칙은 같은 목적을 달성하기 위하여 달리 덜 제약적인 수단이 없을 것인지 혹은 입법목적을 달성하기 위하여 필요한 최소한의 제한인지를 심사하여야 함) <img src="/LSW/flDownload.do?flSeq=135158197" alt="52번째 이미지"></img>
2) 보호법 제39조의3 제3항에 따른 고려
보호법 제39조의3 제3항은 '필요한 최소한의 개인정보’를 '해당 서비스의 본질적 기능을 수행하기 위하여 반드시 필요한 정보’로 규정하여 보호법 제3조 제1항에 따른 “그 목적에 필요한 범위에서 최소한의 개인정보”를 구체화하고 있다.
보호법 해설서 또한 '필요한 최소한의 개인정보’란 '해당 서비스’의 본질적 기능을 수행하기 위하여 반드시 필요한 정보를 말한다고 설명하고 있으며, '해당 서비스’란 사업자가 정보통신망을 통해 이용 약관, 개인정보 처리방침, 서비스 안내ㆍ설명자료 등에 따라 이용자에게 제공하는 개별 서비스를 말하고, 이와 같은 개별 서비스는 통상적인 이용자가 합리적으로 예상할 수 있어야 하며, '본질적 기능’이란 사업자가 해당 서비스를 제공하기 위해 반드시 필요한 기능을 의미한다고 설명하고 있다.
또한, “정보통신서비스 제공자가 해당 서비스 제공에 반드시 필요한 개인정보에 대해서는 이용자로부터 수집 동의를 받아야 하고(필수동의 항목), 해당 서비스의 추가적 기능 또는 사업자의 필요에 의해 이용자에게 개인정보 수집 동의를 요청할 수 있다(선택동의 항목).”라고 설명하고 있고, 정보주체의 자발적 동의를 받으면 필요 최소한의 정보 이외의 것도 수집ㆍ이용할 수 있으나, 이를 위해 필요한 최소한의 정보라고 하여 정보주체의 동의를 의무화하거나 강요해서는 안 된다고 설명하고 있다.
대법원은 정보주체가 합리적으로 예상할 수 있는 서비스에 필요한 개인정보를 수집하여야만 필요한 최소한의 개인정보 수집 원칙을 준수한 것으로 판단하는 취지로 판시하고 있는바, 보호법 제39조의3 제3항 판단 시 해당 서비스는 통상적인 이용자가 합리적으로 예상할 수 있어야 한다는 해설서의 내용과 같은 판단이다.
<img src="/LSW/flDownload.do?flSeq=135158199" alt="53번째 이미지"></img>
3) 소결
’필요한 최소한의 개인정보’는 해당 서비스의 본질적 기능을 수행하기 위하여 반드시 필요한 정보로서, 해당 서비스는 이용 약관, 개인정보 처리방침 등에 따라 통상적인 이용자가 합리적으로 예상할 수 있어야 하고, 그 개인정보의 처리가 목적 달성을 위하여 실제 필요한 범위를 초과하여서는 안 되며, 단순히 필요한 것을 넘어 반드시 필요한 처리여야 한다.
나아가 그 개인정보의 처리가 이용자의 인격권 또는 사생활의 자유에 미치는 영향이나 침해의 정도가 과도하여서는 안 되고, 목적 달성을 위하여 대체 가능한 덜 침해적인 다른 수단이 없어야 할 것이다.
나. 관련 가이드라인
“온라인 개인정보 처리 가이드라인”은 이용자의 개인정보를 수집하는 경우 '필요 최소한의 개인정보 수집’을 하도록 하면서 보호법 해설서와 동일하게 '해당 서비스’와 '본질적 기능’의 의미를 안내하고 있다.
<img src="/LSW/flDownload.do?flSeq=135158201" alt="54번째 이미지"></img>
또한, 서비스 제공 계약 이행과는 무관한 목적으로 이용하기 위해 '서비스 이용내역 정보’, '자동수집장치에 의해 수집하는 개인정보’를 수집하는 경우, 선택동의 항목으로 분류하여 별도의 동의를 받아야 한다고 명시하고 있으며, 그 예시로 쿠키를 통해 수집하는 행태정보를 개인정보와 결합ㆍ분석하여 개인별 맞춤형 광고에 활용하는 경우를 안내하고 있다.
<img src="/LSW/flDownload.do?flSeq=135158205" alt="55번째 이미지"></img>
“온라인 맞춤형 광고 개인정보보호 가이드라인”은 광고 사업자가 행태정보와 개인정보를 결합할 경우에는 해당 이용자로부터 사전에 동의를 받아야 한다고 안내하고 있다.
<img src="/LSW/flDownload.do?flSeq=135158207" alt="56번째 이미지"></img>
2. 기초 사실 및 판단
가. 맞춤형 광고 생태계
포털, SNS 등의 서비스를 제공하는 플랫폼은 이용자에게 서비스를 무료로 제공하는 대신 이용자의 행태정보 등 개인정보를 수집, 사업자가 의뢰한 광고를 이용자에게 보여주고 사업자로부터 비용을 지불받는 양면 시장의 성격을 갖고 있으며, 이러한 시장의 특성을 고려할 때, 플랫폼, 사업자, 이용자에 대해 나누어 살펴볼 필요가 있다.
<img src="/LSW/flDownload.do?flSeq=135158209" alt="57번째 이미지"></img>
플랫폼은 이러한 서비스 구조를 설계하고 수익을 극대화하기 위해 플랫폼을 이용하는 다수 이용자의 다양한 개인정보를 필요로 한다.
플랫폼은 사업자가 의뢰한 광고의 효율을 높이기 위해 이용자의 성별, 연령, 주소 등 기본적인 정보 외에도 위치정보를 포함하여 플랫폼 내에서 활동한 기록(수ㆍ발신 메일 또는 메시지, 작성한 댓글, 열람 또는 작성한 콘텐츠 등)을 수집하고, 이를 넘어 방문한 웹사이트, 설치ㆍ실행한 앱 및 열람한 페이지(조회ㆍ구매한 상품) 등의 타사 행태정보도 수집(각주:플랫폼은 사업자가 사용할 수 있는 다양한 도구에 이용자의 행태정보를 수집하는 기능을 포함하여 배포하고 있음) 하고 있다.
사업자는 웹사이트 및 앱 이용자가 쉽게 서비스에 가입ㆍ이용할 수 있도록 하고, 통계를 분석하여 서비스를 개선하며, 광고의 효과를 측정하여 수익을 높이기 위해 플랫폼이 배포하는 도구를 사용한다.
또한, 사업자는 광고주로서 자신이 제공하는 서비스 또는 상품을 홍보ㆍ판매하기 위해 플랫폼에 광고를 의뢰하고 있다.
이용자는 일상생활을 지인과 공유하고 기록하기 위해 SNS 서비스를 이용하고, 검색ㆍ지도ㆍ메일ㆍ동영상 시청 등을 위해 포털 서비스를 이용하며, 기타 필요에 따라 온라인 게임, 쇼핑, 교육 등 사업자가 제공하는 다양한 서비스를 이용한다.
즉, 플랫폼은 이용자가 SNS 및 포털 서비스 가입 시 입력ㆍ제공한 개인정보와 해당 서비스를 이용한 행태정보 및 사업자에게 배포한 행태정보 수집 도구로부터 수집되는 행태정보를 결합ㆍ분석하여 이용자의 관심사 등을 도출, 광고주가 의뢰한 광고를 이용자 맞춤형으로 게재하고 수익을 창출한다.
<img src="/LSW/flDownload.do?flSeq=135158211" alt="58번째 이미지"></img>
<img src="/LSW/flDownload.do?flSeq=135158213" alt="59번째 이미지"></img>
이러한 맞춤형 광고 생태계는 온라인 쇼핑 등 일반 서비스와 달리 참여자가 많고, 플랫폼의 수익구조가 복잡하며, 이용자는 자신의 어떤 개인정보가 수집ㆍ이용되는지 알기 어려운 특징이 존재한다.
나. 타사 행태정보의 특수성
타사 행태정보는 이용자가 피심인의 행태정보 수집 도구가 설치된 사업자의 웹ㆍ앱 서비스를 이용하는 과정에서 자동으로 피심인에게 수집되고, 행태정보 수집 도구는 사업자의 웹사이트 및 앱의 소스코드에 포함되어 있어, 통상의 이용자라면 수집 도구의 설치 여부를 확인하기 어려우며, 이용자는 이러한 행태정보가 피심인에게 자동 수집되는 것을 인지하기 어려울 뿐 아니라, 플랫폼을 통해 제공받고자 하는 서비스(SNS 등)에 타사 행태정보가 꼭 필요한 요소라고 예측하기도 어렵다.
또한 타사 행태정보가 축적되는 경우, 이용자에 대한 빅데이터가 형성되어 사상ㆍ신념, 정치적 견해, 건강, 신체적ㆍ생리적ㆍ행동적 특징, 기타 이용자의 사생활을 현저히 침해할 우려가 있는 민감정보가 생성될 가능성도 높아지는바, 이는 개인정보를 보호하고자 하는 보호법 취지를 훼손하는 결과로 이어질 수 있다.(각주:타사 행태정보 수집 자체로 보호법 상 민감정보의 처리로 보기는 어려우나, 이를 수집ㆍ이용함으로써 실질적으로 민감정보를 수집하는 것이 될 수 있어 보호법이 규제하고자 하는 바를 교묘히 빠져나가는 결과가 발생할 수 있음) 다. 맞춤형 광고가 플랫폼 서비스의 '본질적 기능’에 해당하는지 여부
보호법 제39조의3 제3항의 '해당 서비스’란 정보통신서비스 제공자가 이용자에게 제공하는 개별 서비스로서 통상적인 이용자가 합리적으로 예상할 수 있는 것을 말하고, '본질적 기능’이란 해당 서비스를 제공하기 위해 반드시 필요한 기능을 의미한다.
여기서 '본질’은 '사물이나 현상을 성립시키는 근본적인 성질’을 의미하므로, '본질적 기능’을 판단할 때는 필요성 이전에 근본적인지를 고려하여야 하고, '해당 서비스’는 통상적인 이용자가 합리적으로 예상할 수 있는 것을 말하므로 '본질적 기능’ 역시 통상적인 이용자가 합리적으로 예상할 수 있어야 한다.
플랫폼은 이용 약관을 통해 명시한 바와 같이 이용자에게 무료로 서비스를 제공하는 대신 이용자의 개인정보를 사용하고, 사업자(광고주)로부터 그들의 광고를 이용자에게 보여주는 대가로서 비용을 받고 있으므로, 영리를 목적으로 정보통신서비스를 제공한다는 측면에서는 수익 창출을 위한 비즈니스 모델로서 맞춤형 광고가 서비스의 본질로 비춰질 수 있다.(각주:광고주(사업자)는 자신의 광고를 플랫폼 이용자 등에게 게재하기 위해 플랫폼의 광고 게재 서비스를 이용하면서 비용을 지불) 그러나 플랫폼은 맞춤형 광고 없이도 개별 서비스를 제공할 수 있고, 개별 서비스 제공의 '수단’으로 맞춤형 광고를 '선택’한 것이다.
그리고, 이용자는 플랫폼이 설계한 비즈니스 모델 내에서 검색, 콘텐츠(뉴스, 금융ㆍ부동산, 생활ㆍ문화, 스포츠ㆍ오락), 커뮤니케이션(이메일, 메신저), 커뮤니티(홈페이지, 카페, 블로그), 전자상거래(온라인 쇼핑) 등 개별 서비스의 사용을 주된 목적으로 하고, 그 과정에서 부수적으로 '광고’를 접하게 된다.
따라서 이용자는 개별 서비스를 사용하는 과정에서 보이는 '광고’가 관념적으로 그 수익구조라는 점은 알 수 있을지 모르나, 해당 '광고’가 이용자가 다른 웹사이트 및 앱을 방문ㆍ사용한 온라인 활동 기록인 타사 행태정보 등 개인정보를 사용하여 맞춤형으로 게재된다는 점을 합리적으로 예상할 수 있다고 보기는 어렵다.
이에 광범위한 행태정보 등 개인정보의 수집 및 개인 식별에 기반한 맞춤형 광고가 '본질적 기능’에 해당한다고 볼 수 없다.
라. 타사 행태정보의 '필요한 최소한의 개인정보’ 해당 여부
보호법 제39조의 제3항의 '필요한 최소한의 개인정보’는 이용자에게 제공하는 개별 서비스의 '본질적 기능’을 수행하기 위해 반드시 필요한 정보를 의미한다.
따라서, 타사 행태정보가 '필요한 최소한의 개인정보’에 해당하려면, 플랫폼이 타사 행태정보 수집을 통해 제공하고자 하는 개별 서비스(개인정보를 활용한 맞춤형 광고)와 그 수집을 통상의 이용자가 충분히 예상할 수 있어야 하고, 타사 행태정보가 없으면 목적 달성이 가능하지 않은 정도로 반드시 필요한 정보인 동시에 타사 행태정보 수집으로 인해 얻는 플랫폼의 이익이 이용자의 권리보다 우선하는 경우여야 하며, 이용자의 인격권 또는 사생활의 자유에 미치는 영향이나 침해의 정도가 과도하여서는 안 되고, 가명화 또는 익명화하여 처리하여도 목적을 달성할 수 있는 경우에는 그와 같이 처리하여야 한다.
한편, 타사 행태정보의 수집 과정은 이용자를 식별한 상태에서 모든 기기를 추적, 온라인 활동을 모니터링(감시)하여 인터넷 활동의 익명성을 상실시키고, 타사 행태정보를 분석하면 이용자의 사상ㆍ신념, 정치적 견해, 건강, 신체적ㆍ생리적ㆍ행동적 특징 및 민감정보를 생성하고 식별할 가능성이 높아 「헌법」에 따라 보장되는 사생활의 비밀과 자유를 심각히 침해받을 수 있다.
그러므로, 단순히 플랫폼의 수익 창출을 위한 비즈니스 모델을 넘어 해당 정보가 없으면 이용자에게 개별 서비스의 제공이 불가능한 등 불가피한 사정이 있는 경우에만 이를 '필요한 최소한의 개인정보’로서 수집ㆍ이용할 수 있으며, 이때 이용자는 이용하고자 하는 개별 서비스에서 타사 행태정보가 수집ㆍ이용된다는 사실을 알 수 있어야 한다.
3. 위법성 판단
가. 피심인이 제공하는 서비스에서 맞춤형 광고가 본질적 기능인지 여부
피심인의 페이스북 및 인스타그램 서비스 약관에는 “별도의 약관이 적용된다고 명시되어 있지 않은 한, Facebook, Messenger, Instagram 및 기타 Meta가 제공하는 제품, 기능, 앱, 서비스, 기술, 소프트웨어 이용에 적용”된다고 명시하고 있다.(각주:피심인이 제공하는 서비스 목록 : https://www.facebook.com/help/1561485474074139/?helpref=uf_share) <img src="/LSW/flDownload.do?flSeq=135158215" alt="60번째 이미지"></img>
따라서, 피심인이 제공하는 '개별 서비스’는 소셜네트워크 서비스인 페이스북 및 인스타그램이고, 통상의 이용자는 친구의 최신 소식을 알고, 소통ㆍ대화하는 등 일상생활을 지인과 공유하고 기록하기 위해 이를 이용하고 있다.
<img src="/LSW/flDownload.do?flSeq=135158217" alt="61번째 이미지"></img>
<img src="/LSW/flDownload.do?flSeq=135158219" alt="62번째 이미지"></img>
피심인은 서비스 약관에 이용자에게 제품 및 서비스의 사용료를 청구하지 않는 대신 사업체와 단체들이 광고비용을 지불하고, 피심인이 해당 광고를 보여주는 데 이용자의 개인정보를 사용하며, 이용자가 제품을 사용함으로써 관심사와 관련 있다고 생각하는 광고를 보여주는 것에 '동의’하는 것이라고 명시하고 있다.
<img src="/LSW/flDownload.do?flSeq=135158221" alt="63번째 이미지"></img>
또한, 피심인은 제공하는 서비스 내용과 관련하여 이용자에게 광고, 제안 및 기타 콘텐츠 등을 맞춤화하고 보여주기 위해 이용자가 제품 내부와 외부에서 공유하고 활동하는 사항 등을 활용하고, 제3자의 정보를 이용한다고 명시하고 있다.
<img src="/LSW/flDownload.do?flSeq=135158223" alt="64번째 이미지"></img>
피심임은 개인정보 처리방침에 보유한 정보(회원님의 관심사, 행동 및 관계에 관한 정보를 포함)를 이용하여 광고, 쿠폰 및 회원님에게 표시되는 기타 홍보 콘텐츠를 선택하고 맞춤화한다고 공개하고 있다.
<img src="/LSW/flDownload.do?flSeq=135158227" alt="65번째 이미지"></img>
그러나, 피심인이 기재한 바와 같이 사업자의 '광고’를 페이스북 및 인스타그램 서비스에서 이용자에게 보여주는 행위는 개별 서비스 제공의 '수단’에 불과하고, 이용자는 맞춤형 광고를 보기 위한 목적으로 페이스북 및 인스타그램 서비스를 이용하는 것이 아닌(각주:EDPB 결정에 인용된 유럽의 한 여론조사 결과는 이용자의 약 2%만이 페이스북 및 인스타그램에서 맞춤형 광고(Personalized advertisement)를 제공한다는 것을 인식함) , 친구의 최신 소식을 알고, 소통ㆍ대화하는 등 일상생활을 지인과 공유하고 기록하기 위해 이를 이용하고 있으므로, 피심인이 보여주는 광고를 SNS의 본질적 기능으로서의 '콘텐츠’ 중 하나라고 예상하기는 어려우며, 해당 광고에 타사 행태정보 등 개인정보가 활용된다는 사실 또한 예상하기 어렵다.
또한, 피심인의 서비스 약관 및 개인정보 처리방침에 기재된 방대한 내용을 이용자가 읽고 명확히 이해한 상태에서 동의하고 페이스북 및 인스타그램 서비스를 이용할 것을 기대할 수 없으며, 본질적 기능으로 받아들일 것을 단정할 수 없다.(각주:약관은 이용자에게 일방적으로 부과되고, 광고주가 아닌 이용자에게 맞춤형 광고에 대한 구속력 있는 계약상 의무가 없음) 2022년 9월 14일 피심인에 대한 보호법 제39조의3 제1항 관련 행정처분에서도 피심인이 이용자의 타사 행태정보를 수집ㆍ이용하면서 이용자가 쉽고 명확하게 인지할 수 있도록 알리고 동의를 받지 않았음을 확인한바, 서비스 약관 및 개인정보 처리방침 등에 '맞춤형 광고’ 관련 내용을 기재한 사실만으로는 이용자 관점에서 '맞춤형 광고’를 페이스북 및 인스타그램 서비스의 본질적 기능으로 인식했다고 볼 수 없고, 나아가 이를 위한 타사 행태정보 수집을 예상했을 것으로 볼 수 없다.
한편, '광고’가 피심인이 제공하는 페이스북 및 인스타그램 서비스를 제공ㆍ유지하기 위한 요소(각주:피심인 매출액의 약 가 광고 매출액이고, 이용자 또한 페이스북 및 인스타그램 서비스 이용 과정에서 피심인이 게재하는 사업자의 '광고’에 노출되어 이를 인지할 수 있음) 중 하나이고 해당 서비스의 '콘텐츠’로 보는 경우, 보호법 제39조의3 제3항의 '해당 서비스’의 범위를 넓게 해석하여 '맞춤형 광고’를 '본질적 기능’으로 볼 수 있다고 주장할 여지가 있다고 하더라도 이용자의 타사 행태정보가 필요한 최소한의 개인정보인지는 피심인이 수집ㆍ이용하고 있는 개인정보의 종류와 규모, 수집한 행태정보를 활용할 수 있는 다양한 방법, 타사 행태정보의 사생활 침해 가능성 등을 종합적으로 고려하여야 한다.
나. 피심인 서비스에서 타사 행태정보가 필요한 최소한의 개인정보인지 여부
1) 피심인이 페이스북 및 인스타그램 서비스 내에서 수집ㆍ이용하는 개인정보
피심인은 페이스북 및 인스타그램 서비스를 제공하면서 이용자에게 가입 시 필수적으로 실명, 이메일 주소, 휴대전화번호, 생년월일, 성별을 입력할 것을 요구하고, 가입 후 프로필 사진, 직장, 학력, 거주지, 출신지, 가족, 결혼/연애 상태, 취미 등의 정보를 추가 입력받으며, 서비스 제공 과정에서 이용자 친구, 팔로워, 그룹, Facebook 페이지, 사용하는 기기, 위치, IP주소 등의 정보를 수집하고, 작성하거나 보고 있는 콘텐츠, 활동 시간, 빈도 및 기간, 콘텐츠에 포함된 날짜 및 위치정보 등을 수집하며, 이러한 정보 등을 통해 이용자의 관심사 정보(각주:피심인은 광고주가 타게팅을 할 수 있는 이용자의 광고 관심사는 ’21.3.3. 기준 개이고(’22.5.2.자 제출자료 첨부A), 타사 행태정보가 아닌 피심인의 플랫폼 내에서의 활동(이용자들이 좋아요를 누른 페이지 및 클릭한 광고 등)을 기반으로 생성된다고 답변(’22.3.16.자 답변, p.9)) 등을 추론ㆍ수집하여 매우 정밀한 광고 타겟을 설정할 수 있는 기능 및 맞춤형 광고를 제공하는 것이 확인된다.
<img src="/LSW/flDownload.do?flSeq=135158229" alt="66번째 이미지"></img>(각주:피심인은 민감정보 수집ㆍ이용 관련 조사과정에서 종교관/정치관을 입력하는 필드를 삭제하고, 기수집된 정보를 모두 파기(’21.8.)) <img src="/LSW/flDownload.do?flSeq=135158231" alt="67번째 이미지"></img>
<img src="/LSW/flDownload.do?flSeq=135158233" alt="68번째 이미지"></img>
<img src="/LSW/flDownload.do?flSeq=135158073" alt="69번째 이미지"></img>
<img src="/LSW/flDownload.do?flSeq=135158109" alt="70번째 이미지"></img>
<img src="/LSW/flDownload.do?flSeq=135158111" alt="71번째 이미지"></img>
<img src="/LSW/flDownload.do?flSeq=135158235" alt="72번째 이미지"></img>
<img src="/LSW/flDownload.do?flSeq=135158113" alt="73번째 이미지"></img>
<img src="/LSW/flDownload.do?flSeq=135158077" alt="74번째 이미지"></img>
<img src="/LSW/flDownload.do?flSeq=135158079" alt="75번째 이미지"></img>
<img src="/LSW/flDownload.do?flSeq=135158081" alt="76번째 이미지"></img>
<img src="/LSW/flDownload.do?flSeq=135158083" alt="77번째 이미지"></img>
<img src="/LSW/flDownload.do?flSeq=135158085" alt="78번째 이미지"></img>
<img src="/LSW/flDownload.do?flSeq=135158087" alt="79번째 이미지"></img>
<img src="/LSW/flDownload.do?flSeq=135158089" alt="80번째 이미지"></img>
<img src="/LSW/flDownload.do?flSeq=135158091" alt="81번째 이미지"></img>
<img src="/LSW/flDownload.do?flSeq=135158093" alt="82번째 이미지"></img>
<img src="/LSW/flDownload.do?flSeq=135158095" alt="83번째 이미지"></img>
<img src="/LSW/flDownload.do?flSeq=135158099" alt="84번째 이미지"></img>
<img src="/LSW/flDownload.do?flSeq=135158237" alt="85번째 이미지"></img>
즉, 피심인은 페이스북 및 인스타그램 내에서 이용자로부터 이미 수많은 개인정보를 수집ㆍ생성하여 맞춤형 광고에 활용하고 있는바, 이용자가 다른 사업자의 웹사이트 및 앱을 방문ㆍ사용한 온라인 활동 기록인 이용자의 타사 행태정보까지 매우 광범위하게 수집ㆍ이용하는 것은 필요한 최소한의 수준을 크게 넘어서는 것이다.
2) 피심인이 행태정보 수집 도구를 통해 수집하는 이용자의 타사 행태정보
가) 행태정보 수집 도구의 기능 및 타사 행태정보를 수집하는 목적
피심인은 이용자가 페이스북 아이디 및 비밀번호를 이용하여 사업자의 서비스에 로그인할 수 있는 “Facebook 로그인”, 사업자(광고주 포함)들의 광고를 측정, 타게팅, 최적화할 수 있도록 “Facebook 픽셀” 및 “Facebook SDK”, 이용자가 페이지와 콘텐츠를 공유하고 댓글을 남길 수 있는 “소셜 플러그인”을 제작하여 사업자에게 배포하고 있으며, 이를 통해 페이스북 및 인스타그램 서비스 이용자의 타사 행태정보를 수집하여 측정 및 분석 서비스, 광고 타게팅, 광고 게재 개선, 기능 및 콘텐츠 맞춤화, Facebook 제품 개선 및 보호 등 목적으로 사용한다고 밝히고 있다.(각주:피심인은 행태정보 수집 도구의 설치 여부, 설정 및 수집되는 데이터의 카테고리는 사업자가 결정한다고 주장하나, 2022년 제14회 및 제15회 위원회 심의ㆍ의결에서 피심인이 행태정보 수집 도구를 통해 필수로 수집하는 항목(접속한 웹ㆍ앱)은 정해져 있고, 이는 사업자가 임의로 변경할 수 없는 점을 확인함) <img src="/LSW/flDownload.do?flSeq=135158239" alt="86번째 이미지"></img>
<img src="/LSW/flDownload.do?flSeq=135158241" alt="87번째 이미지"></img>
나) 비즈니스 도구를 통한 타사 행태정보 수집의 필요성
먼저, 피심인이 이러한 도구를 제작ㆍ배포하여 사업자에게 측정 및 분석 서비스를 제공하고 광고 타게팅 및 광고 게재 등을 하는 것은 피심인과 사업자 간의 Facebook 비즈니스 도구 약관 등 계약관계에 따른 것이므로, 이용자가 일상생활을 지인과 공유하고 기록하는 소셜 네트워크 서비스를 이용하는 측면에서는 직접적인 관련이 있다고 보기 어렵고, 피심인과 이용자 간에 적용되는 페이스북 및 인스타그램 서비스 약관에는 이러한 Facebook 비즈니스 도구 약관 등에 대한 내용을 포함하고 있지도 않으므로, 이용자 관점에서는 피심인에게 자신의 타사 행태정보가 제공되는 것이 예상되지 않는바, 타사 행태정보가 필요하다고 볼 수 없다.
그리고, 사업자에게 측정 및 분석 서비스를 제공하고 광고 타게팅 및 광고 게재 등을 위해 사업자의 서비스를 방문ㆍ사용한 사람들의 행태정보가 필요하더라도, 측정 및 분석 서비스는 사업자의 광고를 본 사람이 얼마나 되는지, 실제 그 광고를 보고 상품을 구매하거나 앱을 설치하는 등의 행위가 얼마나 일어났는지 등 광고의 효과성을 측정하고 웹사이트 및 앱을 방문ㆍ사용한 사람들에 관한 통계 등 사업자 서비스를 이용하는 사람들과 관련된 분석 및 인사이트를 생성하는 것이므로, 페이스북 및 인스타그램 서비스 이용자를 식별하지 않고도 광고를 클릭한 기기, 사업자의 웹사이트 및 앱을 방문ㆍ사용한 기기를 식별할 수 있는 값을 통해 이를 수행할 수 있다.
광고 타게팅은 사업자의 웹사이트 및 앱을 방문ㆍ사용한 사람에게 페이스북 및 인스타그램 서비스에서 사업자의 광고를 보여주는 것이므로, 이 또한 이용자를 식별하지 않고, 웹사이트 및 앱을 방문ㆍ사용한 기기를 식별하여 해당 기기가 피심인이 제공하는 서비스에 접속하였을 때 광고를 보여주는 형태로도 가능(각주:사업자로부터 광고를 게재할 기기 식별자를 받아 로그인한 이용자에게 광고를 게재하는 서비스의 구조상 이용자가 식별되는 것이 필연적인 것처럼 보일 수 있으나, 계정과 결합하지 않고 기기 식별자를 식별하여 광고 게재가 가능함) 하며, 피심인은 광고 게재 모델의 효과를 향상하고 광고와 사람들의 관련성을 판단하기 위해 머신러닝을 활용하는바, 이 경우에도 광고를 클릭한 기기 외 이용자가 누구인지까지 식별할 필요성이 있다고 보기 어렵다.
<img src="/LSW/flDownload.do?flSeq=135158243" alt="88번째 이미지"></img>
또한, 피심인이 페이스북 및 인스타그램 서비스의 기능 및 콘텐츠를 맞춤화하기 위해 타사 행태정보를 수집ㆍ이용하는 것과 관련해서도 대다수 광고 플랫폼은 회원으로 가입하는 서비스를 제공하지 않는 등 특정 개인을 식별할 수 있는 정보를 수집하지 않고, 피심인과 유사한 광고 플랫폼도 가입한 이용자를 식별하지 않고도 픽셀 및 SDK를 통한 측정, 분석, 광고 게재 등의 기능을 제공하고 이용자에게 맞춤형 광고를 게재(각주:(사례1) 온라인 행태정보가 아닌 자사 서비스의 행태정보만 활용하고, 관심사 카테고리 및 그에 해당하는 행동을 미리 정의한 후, 이용자(또는 기기)가 서비스 내에서 관심사에 해당하는 행동을 하는 경우, 관련 광고를 보여주는 방식
(사례2)브라우저 쿠키와 모바일 광고 식별자를 토대로 수집된 서비스 행태정보(이용기록)를 기반으로 “성별, 나이, 지역, 관심사, 업종, 서비스”를 모델링 기법을 통해 추정하고, 추정 정보를 그룹으로 '범주화'하여 맞춤형 광고에 이용) 하는 것이 확인되는바, 이를 위한 목적으로도 이용자의 타사 행태정보가 필수적이라고 볼 수 없다.
<img src="/LSW/flDownload.do?flSeq=135158101" alt="89번째 이미지"></img>
<img src="/LSW/flDownload.do?flSeq=135158245" alt="90번째 이미지"></img>
특히, 피심인 스스로도 플랫폼은 회원가입을 통한 이용자 식별 등 로그인 기능이 없는 경우에도 행태정보를 모바일 광고 식별자 또는 플랫폼이 직접 개발한 ID와 연계하여 맞춤형 광고에 활용할 수 있다고 답변하는 등 타사 행태정보가 맞춤형 광고 등에 필수적인 정보가 아님을 인정하고 있다.
<img src="/LSW/flDownload.do?flSeq=135158249" alt="91번째 이미지"></img>
Facebook 제품 개선 및 보호 목적을 위해 타사 행태정보를 수집ㆍ이용하는 것과 관련하여서도 피심인은 페이스북 및 인스타그램 서비스 이용자의 경험 개선, 연구 개발 목적, 안전성 및 보안을 촉진, 진실성 유지 및 개선을 위해 행태정보를 사용한다고 추상적으로 답변하고 있고, 피심인의 데이터 정책에는 Facebook 제품 개선 목적과 관련하여 설문조사 및 리서치, 새로운 제품과 기능을 테스트라고 기재하고 있으며, 보호 목적과 관련하여 계정 및 활동 확인, 유해 행위 방지, 스팸 및 기타 부정적인 경험 감지 및 방지, 제품의 무결성 유지, Meta 제품 안팎의 안전 및 보안 강화라고 기재하고 있는바, 이러한 피심인의 답변 및 데이터 정책에 기재된 내용만으로는 이용자의 타사 행태정보와 피심인의 제품 개선 및 보호 목적의 관련성을 전혀 알 수 없다.
<img src="/LSW/flDownload.do?flSeq=135158251" alt="92번째 이미지"></img>
피심인이 답변한 제품 개선 및 보호 목적과 관련하여 피심인의 쿠키 정책을 살펴보았을 때, 피심인은 쿠키를 “보안, 웹사이트 및 제품 무결성”, “웹사이트 기능과 서비스”, “성능”, “분석 및 조사” 등에 사용한다고 기재하고 있고, “보안, 웹사이트 및 제품 무결성” 부분에는 해킹으로부터 이용자의 계정을 보호하거나 페이스북 계정을 허위로 대량 생성하는 행위, 미성년자 가입 등을 방지하기 위해 쿠키를 사용하는 것을 기재하고 있으며, “웹사이트 기능과 서비스”, “성능”, “분석 및 조사” 부분에는 피심인이 제공하는 페이스북 및 인스타그램 등 서비스 자체의 기능, 설정, 성능 최적화, 이용하는 방식 파악 등과 관련하여 쿠키를 사용하는 내용을 기재하고 있는바, 이는 페이스북 및 인스타그램 서비스 내의 보호조치나 기능 개선 등과 관련된 사항으로 사업자의 서비스를 방문ㆍ사용한 행태정보와 관련이 있다고 보기 어려우므로 피심인의 제품 개선 및 보호 목적에도 이용자의 타사 행태정보가 반드시 필요한 정보라고 볼 수 없다.
<img src="/LSW/flDownload.do?flSeq=135158253" alt="93번째 이미지"></img>
다) Facebook 로그인 및 소셜 플러그인과 타사 행태정보의 관련성
피심인은 이용자가 페이스북 아이디 및 비밀번호를 이용하여 사업자의 서비스에 간편하게 가입ㆍ로그인할 수 있도록 하는 한편, 사업자가 별도의 서비스 가입화면 없이 이용자의 개인정보 수집 및 회원가입을 받을 수 있도록 Facebook 로그인 기능을 제공하고 있으며, 이용자가 페이스북에 '좋아요’ 버튼을 누른 페이지와 콘텐츠를 공유하고 댓글을 남길 수 있도록 하고, 사업자가 자사 게시글과 콘텐츠 홍보를 할 수 있도록 소셜 플러그인 기능을 제공하고 있다.
피심인은 사업자가 Facebook 로그인 또는 소셜 플러그인을 웹사이트 및 앱에 설치하면서 행태정보가 피심인에게 전송되는 것을 비활성화하지 않으면, 해당 웹사이트 및 앱을 방문ㆍ사용하는 사람들이 Facebook 로그인 및 소셜 플러그인을 사용하는지와 무관하게 행태정보를 전송받아 페이스북 및 인스타그램 서비스 이용자의 타사 행태정보로 수집ㆍ이용하고 있다.
<img src="/LSW/flDownload.do?flSeq=135158255" alt="94번째 이미지"></img>
Facebook 로그인 및 소셜 플러그인은 이용자가 사업자 서비스에 로그인하거나 게시글을 공유하는 등 직접적인 행위를 하는 경우 동작하는 것이므로, 해당 행위를 하지 않은 사람들의 정보는 Facebook 로그인 및 소셜 플러그인 기능과 어떠한 관련성도 찾아볼 수 없으므로 수집ㆍ이용될 필요성이 없다.
피심인 또한 Facebook 로그인이 비즈니스 도구나 고객 리스트 맞춤 타겟 기능과는 본질적으로 다르다고 답변(각주:피심인은 답변과 달리 Facebook 로그인을 비즈니스 도구의 하나로 안내함(개인정보보호위원회 제2022-014-105호, p13)) 하였으며, 사업자가 비즈니스 도구 없이 Facebook 로그인만을 설치하는 경우 행태정보를 전송받지 않는다고 답변한 바 있다.
<img src="/LSW/flDownload.do?flSeq=135158257" alt="95번째 이미지"></img>
<img src="/LSW/flDownload.do?flSeq=135158259" alt="96번째 이미지"></img>
따라서 이용자의 타사 행태정보는 피심인이 제공하는 Facebook 로그인 및 소셜 플러그인 기능 제공을 위해 필요한 정보라고 볼 수 없다.
3) 타사 행태정보가 수집되지 않도록 하는 기능
피심인은 이용자에게 페이스북 및 인스타그램 서비스 가입 시점에는 타사 행태정보가 수집되지 않도록 설정할 수 있는 기능을 제공하고 있지 않다.
다만, 가입 후 타사 행태정보가 수집되지 않도록 설정을 변경할 수 있는 기능을 제공하며, 유럽 지역에서 페이스북 및 인스타그램 접속 시 타사 행태정보를 결합하기 위한 쿠키 등이 허용되지 않도록 하는 쿠키 동의화면을 제공하는바, 이는 타사 행태정보가 서비스 제공에 반드시 필요한 정보가 아님을 방증하는 것이다.
<img src="/LSW/flDownload.do?flSeq=135158261" alt="97번째 이미지"></img>
<img src="/LSW/flDownload.do?flSeq=135158263" alt="98번째 이미지"></img>
또한, Edge, Safari 등 다수의 브라우저와 iOS 모바일 단말기는 제3자 쿠키 및 모바일 광고 식별자를 기본 차단하고 있다.
<img src="/LSW/flDownload.do?flSeq=135158265" alt="99번째 이미지"></img>
그렇지 않은 Chrome 브라우저(각주:구글의 Chrome 브라우저 또한 ’24년까지 제3자 쿠키를 차단할 계획을 밝힌바, 메타의 주장대로라면 페이스북 및 인스타그램은 ’24년 이후 서비스가 불가능함) 및 안드로이드 모바일 단말기에서도 이용자가 직접 이를 차단(각주:Chrome → 설정 → 개인 정보 보호 및 보안 → 쿠키 및 기타 사이트 데이터 → “타사 쿠키 차단” 클릭) 하여 온라인상 추적을 거부할 수 있으며, 이 경우에도 피심인의 페이스북 및 인스타그램 서비스는 정상적인 이용이 가능하다.
<img src="/LSW/flDownload.do?flSeq=135158267" alt="100번째 이미지"></img>
4) 이용자 사생활의 비밀과 자유에 대한 침해 가능성
앞서 살펴보았듯이 이용자는 일상생활을 지인과 공유하고 기록하기 위해 피심인이 제공하는 페이스북 및 인스타그램 서비스를 이용할 뿐, 그 이용 목적에 맞춤형 광고를 보는 것이 포함되어 있다고 볼 수 없다.
행태정보 수집 도구는 사업자의 웹사이트 및 앱의 소스코드에 포함되어 있으며, 이용자의 타사 행태정보는 이용자가 사업자의 웹사이트 및 앱을 방문ㆍ사용할 때, 자동으로 전송ㆍ수집되므로, 통상의 이용자는 행태정보 수집 도구의 설치 여부 및 타사 행태정보의 수집 자체를 알 수 없어 맞춤형 광고가 자신이 다른 웹사이트 및 앱을 방문ㆍ사용한 기록 등을 바탕으로 게재된다는 것을 알기 어렵다.
또한, 피심인이 타사 행태정보를 수집하는 과정은 이용자의 '실명’을 기반으로 이용자를 식별한 상태에서 이용자가 사용하는 모든 기기를 추적, 이용자가 방문ㆍ사용하는 웹사이트 및 앱에서의 활동 등 온라인 활동을 모니터링(감시)하여 인터넷 활동의 익명성을 상실시키고 있으며, 타사 행태정보를 분석하면 이용자의 사상ㆍ신념, 정치적 견해, 건강, 신체적ㆍ생리적ㆍ행동적 특징 및 민감정보를 생성하고 식별할 가능성이 높아 「헌법」에 따라 보장되는 사생활의 비밀과 자유를 심각히 침해받을 수 있으므로, 이용자의 인격권 또는 사생활의 자유에 미치는 영향이나 침해가 과도하다고 볼 수 있다.
<img src="/LSW/flDownload.do?flSeq=135158271" alt="101번째 이미지"></img>
5) 소결
피심인 주장하는 바와 같이 사업자의 서비스를 방문ㆍ사용한 사람들의 행태정보를 수집ㆍ이용하는 것이 피심인이 게재하는 광고의 성과가 효과적일 수는 있다.(각주:사업자의 서비스를 방문ㆍ사용한 사람들의 행태정보를 수집하여 페이스북 및 인스타그램 서비스 이용자를 식별하면 식별하지 않는 경우와는 달리 이용자의 여러 기기에서의 타사 행태정보(온라인 활동 기록)를 수집ㆍ이용할 수 있음) 그러나, 피심인은 이용자가 피심인의 서비스에 가입 및 이용하는 과정에서 프로필 정보 등 개인정보를 입력받고 기기정보 및 서비스 이용기록 등을 수집하며 이용자의 관심사 정보까지 추론ㆍ수집하여 사업자가 이를 타겟으로 하여 매우 정밀한 광고 타겟을 설정할 수 있는 기능을 제공하고 있다.
또한 피심인은 사업자의 서비스를 방문ㆍ사용한 사람들의 행태정보를 수집하여 페이스북 및 인스타그램 서비스 이용자를 식별하지 않더라도 맞춤형 광고를 게재할 수 있으며, 사업자에게 측정 및 분석 서비스를 제공하고 광고 타게팅 및 광고 게재 등의 목적을 충분히 달성할 수 있는바, 피심인이 이용자의 타사 행태정보를 광범위하게 수집하는 것은 수익을 극대화하기 위한 수단일 뿐이므로 이는 필요한 최소한의 개인정보의 범위를 훨씬 넘어서는 것이다.
다. 결론
이용자는 '맞춤형 광고’를 페이스북 및 인스타그램 서비스의 본질적 기능으로 인식했다고 볼 수 없고, 나아가 이를 위한 타사 행태정보 수집을 예상했을 것으로 볼 수 없다.
한편, '광고’가 피심인이 제공하는 페이스북 및 인스타그램 서비스를 제공ㆍ유지하기 위한 요소(각주:피심인 매출액의 약 %가 광고 매출액이고, 이용자 또한 페이스북 및 인스타그램 서비스 이용 과정에서 피심인이 게재하는 사업자의 '광고’에 노출되어 이를 인지할 수 있음) 중 하나이고 해당 서비스의 '콘텐츠’로 보는 경우, 보호법 제39조의3 제3항의 '해당 서비스’의 범위를 넓게 해석하여 '맞춤형 광고’를 '본질적 기능’으로 볼 수 있다고 주장할 여지가 있다고 하더라도 이용자의 타사 행태정보가 필요한 최소한의 개인정보인지는 피심인이 수집ㆍ이용하고 있는 개인정보의 종류와 규모, 수집한 행태정보를 활용할 수 있는 다양한 방법, 타사 행태정보의 사생활 침해 가능성 등을 종합적으로 고려하여야 한다.
피심인이 제공하는 페이스북 및 인스타그램 서비스에서 이용자의 타사 행태정보는 반드시 필요한 정보가 아니므로 이용자는 서비스 가입 및 피심인이 타사 행태정보를 수집하기 전에 이에 대한 제공을 거부할 수 있는 등 선택권을 부여받아야 한다.
그러나, 페이스북 및 인스타그램 서비스는 가입과 동시에 제공되고, 특히 피심인은 이용자가 서비스 가입 후 로그인과 동시에 타사 행태정보를 수집하기 위한 쿠키를 생성(웹)하고, 이용자 식별 정보를 수집(앱)하나, 서비스 가입 과정 및 로그인 전에 이용자가 피심인에게 타사 행태정보 제공에 대한 거부 의사를 밝히고 서비스에 가입할 수 있는 방법(각주:서비스 제공에는 회원가입도 포함되며, 유료서비스뿐만 아니라, 무료의 경우도 마찬가지임이 명시됨(보호법 해설서 p103)) 은 전혀 존재하지 않는다.
인스타그램의 경우에는 이용자가 서비스에 가입한 후에도 “Facebook 외부 활동”과 같은 기능이 직접 제공되지 않으며, 이용자가 페이스북에 가입 및 계정 연동 후 “Facebook 외부 활동” 기능을 통해서만 타사 행태정보의 제공을 거부할 수 있고, 페이스북 및 인스타그램 이용자가 페이스북 서비스에 접속하여 “Facebook 외부 활동” 기능을 찾아 들어가는 것 또한, 여러 단계를 거쳐야 하는 등 사실상 이용자에게 타사 행태정보의 제공을 강제하고 있다.
<img src="/LSW/flDownload.do?flSeq=135158273" alt="102번째 이미지"></img>
<img src="/LSW/flDownload.do?flSeq=135158275" alt="103번째 이미지"></img>
<img src="/LSW/flDownload.do?flSeq=135158277" alt="104번째 이미지"></img>
실제로 피심인이 2019년 8월 “Facebook 외부 활동” 기능을 도입한 이후 이를 “허용 안 함”으로 변경한 이용자는 2021년 9월 30일 기준 페이스북 %, 인스타그램은 %에 불과한 것으로 확인된다.
<img src="/LSW/flDownload.do?flSeq=135158279" alt="105번째 이미지"></img>
결론적으로 피심인은 이용자에게 페이스북 및 인스타그램 서비스를 제공하면서 필요한 최소한의 개인정보가 아닌 타사 행태정보에 대한 제공을 거부하고 페이스북 및 인스타그램 서비스를 이용할 수 있는 수단을 제공하지 않았다.
이에 이용자는 사실상 타사 행태정보를 제공하지 아니한다는 이유로 페이스북 및 인스타그램 서비스 이용을 거부당하고 있다.
따라서 피심인은 이용자가 필요한 최소한의 개인정보 이외의 개인정보를 제공하지 않는다는 이유로 서비스의 제공을 거부해서는 안 된다고 규정한 보호법 제39조의3 제3항을 위반한 것이다.
Ⅳ. 피심인 주장에 대한 검토
1. 타사 행태정보는 본질적 기능을 수행하기 위해 반드시 필요한 정보에 해당한다는 주장에 대하여
가. 이용자 관점에서의 SNS 이용 목적 등을 볼 때, 타사 행태정보를 이용한 '맞춤형 광고’를 본질적 기능으로 보기 어려움
피심인은 서비스 약관 등을 통해 맞춤형 광고에 대해 안내하고 있고, 맞춤형 광고가 서비스를 무료로 제공할 수 있는 재원을 마련함에 있어 본질적 기능에 해당한다고 주장하고 있다.
그러나, 이용자는 일상생활을 지인과 공유하고 기록하기 위해 SNS를 이용(각주:이용자는 친구의 최신 소식을 알기 위해 페이스북(53.6%) 및 인스타그램(59.7%)을 이용(’21 소셜미디어 이용자 조사, 한국언론진흥재단)) 하고 있을 뿐, 피심인이 제공하는 맞춤형 광고를 보기 위해 페이스북 및 인스타그램을 이용하는 것으로 볼 수 없다.
피심인이 해당 서비스를 이용함으로써 맞춤형 광고에 개인정보를 활용하는 것에 '동의’하는 것이라고 서비스 약관에 명시하고, 개인정보 처리방침 등을 통해 맞춤형 광고 관련 내용을 안내한 사실은 있으나, 서비스 약관 및 개인정보 처리방침(각주:개인정보처리방침 전문(14,600여개 글자, 694줄)을 게시한 화면은 한 화면에 다섯 줄 밖에 보이지 않는 네모박스에 불과함) 에 기재된 방대한 내용을 이용자가 읽고 명확히 이해한 상태에서 동의할 것을 기대할 수 없다.
또한 보호법은 개인정보를 수집ㆍ이용하려면 이용자에게 법정 고지사항을 알리고 명시적인 동의를 받도록 하고 있는바, 피심인이 서비스 약관과 개인정보 처리방침에 해당 내용을 기재한 것만으로 이용자가 자신의 개인정보를 맞춤형 광고에 사용하도록 동의했다고 볼 수 없으며, 지난 2022년 제14회 및 제15회 위원회 심의ㆍ의결에서도 피심인이 이용자의 타사 행태정보를 수집ㆍ이용하면서 이용자가 쉽고 명확하게 인지할 수 있도록 알리고 동의를 받지 않았음을 확인한 바 있다.
따라서 서비스 약관 등에 기재한 사실만으로는 이용자 관점에서 맞춤형 광고를 피심인이 이용자에게 제공하는 서비스의 본질적 기능으로 인식했다고 볼 수 없고, 나아가 이를 위한 타사 행태정보의 수집ㆍ이용 또한 기대할 수 없다.
대법원도 정보주체가 합리적으로 예상할 수 있는 서비스에 필요한 개인정보를 수집하여야만 필요한 최소한의 개인정보 수집 원칙(각주:보호법 제3조(개인정보 보호 원칙) ① 개인정보처리자는 개인정보의 처리 목적을 명확하게 하여야 하고 그 목적에 필요한 범위에서 최소한의 개인정보만을 적법하고 정당하게 수집하여야 한다.) (보호법 제3조 제1항) 및 관련 법률 등을 준수한 것으로 판단한다는 취지로 판시한 바 있다.
나. 피심인이 수집하고 있는 개인정보의 종류와 규모, 맞춤형 광고를 위해 행태정보를 활용할 수 있는 다양한 방법, 타사 행태정보의 사생활 침해 가능성 등을 고려할 때, '맞춤형 광고’를 위해 이용자의 타사 행태정보가 반드시 필요하다고 볼 수 없음
피심인은 이용자에게 관련성 있는 광고를 전달하고 맞춤화된 서비스 제공을 위해서는 제3자 데이터(타사 행태정보)가 필수적이라고 주장하고 있다.
그러나, 피심인은 페이스북 및 인스타그램 서비스 가입 시 또는 서비스 제공과정에서 이용자로부터 수많은 개인정보를 수집하고, 이를 활용하여 이용자의 관심사 등을 추론하여ㆍ생성하여 맞춤형 광고에 활용하는바, 다른 웹사이트 및 앱을 방문ㆍ사용한 정보까지 수집하는 것이 반드시 필요하다고 볼 수 없다.
피심인은 맞춤형 광고를 함에 있어 제3자 데이터는 광고의 타게팅, 측정 및 기여, 분석 및 미세한 조정 등을 자사 정보보다 훨씬 높은 수준으로 가능하게 하므로 필요한 최소한의 개인정보라고 주장하고 있으나, 광고의 타게팅, 측정 및 기여, 분석 및 미세한 조정 등에도 광고를 클릭한 값을 추적하거나, 이용자를 식별하지 않는 기기 식별자, 모바일 광고 식별자 등을 사용하여 특정 개인을 식별하지 않고도 충분한 수행이 가능하고, 실제, 피심인과 유사한 광고 플랫폼들도 서비스 가입 이용자를 식별하지 않고도 사업자들에게 측정, 분석, 광고 게재 등의 기능을 제공하고 있는 것이 확인된다.
피심인 또한 수집한 행태정보를 이용자 계정 결합 없이도 맞춤형 광고에 활용할 수 있다고 인정하고 있으며, 이용자가 “Facebook 외부 활동” 기능 등을 통해 타사 행태정보 제공을 거부해도 문제없이 서비스 이용이 가능한바, 이용자의 타사 행태정보까지 수집하는 것이 반드시 필요하다고 볼 수 없다.
<img src="/LSW/flDownload.do?flSeq=135158281" alt="106번째 이미지"></img>
또한, 피심인은 위원회의 사전통지에 대한 의견을 통해 타사 행태정보를 제공하지 않도록 선택한 이용자도 다른 이용자의 타사 행태정보를 사용하여 훈련된 머신러닝 시스템을 통하여 맞춤형 광고를 보게 된다고 답변한바, 이에 따르더라도 특정 이용자에게 맞춤형 광고를 제공하는데 해당 이용자의 타사 행태정보가 반드시 필요하다고 보이지 않는다.
<img src="/LSW/flDownload.do?flSeq=135158283" alt="107번째 이미지"></img>
특히, 피심인은 페이스북 및 인스타그램 서비스를 실명을 기반으로 제공하고 있는바, 이러한 실명 기반의 타사 행태정보 수집은 이용자가 예상하기 어렵고 사생활의 비밀과 자유를 심각하게 침해할 수 있으므로, 광고 수익을 극대화하기 위한 필요성만으로 이를 수집하는 것은 적법하지 않다.
다. '필요한 최소한의 개인정보’는 단순히 사업자 측면에서 그 정보의 필요성만을 판단하는 것이 아니라, 이용자의 개인정보 보호 측면에서 정보의 필요성, 최소성 등을 함께 판단하여야 함
피심인은 구체적인 근거 없이 해설서 또는 위원회 선결례가 서비스 제공에 '필요하지 않은 정보’를 수집하는 경우 제39조의3 제3항이 적용되는 것이며, 피심인이 수집하는 타사 행태정보는 맞춤형 광고 등에 '필요’하므로 필요한 최소한의 수집이라고 막연하게 주장하고 있다.
그러나, 보호법 제39조의3 제3항은 단순히 사업자 측면에서 그 정보의 필요성만을 판단하는 것이 아니라, 이용자의 개인정보 보호 측면에서 정보의 필요성, 최소성 등을 함께 판단하여야 한다.
<img src="/LSW/flDownload.do?flSeq=135158285" alt="108번째 이미지"></img>
실제 보호법의 해설서 및 선결례 또한, 필요한 최소한의 개인정보에 대한 판단시 제공하는 서비스와 수집하는 정보의 관련성 및 이용자의 예상 가능성 등을 고려하고 있다.
해설서의 경우 정보주체가 예상할 수 있는 서비스에 필요한 개인정보를 수집하여야 한다는 취지의 대법원 판례(각주:대법원 2017. 4. 7. 선고 2016도13263판결 : 경품행사에 응모한 고객들은 '개인정보 수집 및 제3자 제공 동의’ 등 사항이 보험회사에 제공하는 것이 아닌 경품행사 진행을 위하여 필요한 것으로 받아들일 가능성이 크므로 경품행사에 응모한 고객에게 경품추첨 사실을 알리는 데 필요한 개인정보 외에 '응모자의 성별, 자녀 수, 동거 여부’ 등 사생활의 비밀에 관한 정보, 주민등록번호 등 고유식별정보를 요구하는 것은 최소정보의 범위를 벗어난 것임) 를 예시로 제시하고 있고, 취업 희망자의 가족관계, 결혼유무, 본적 등에 관한 정보는 취업을 희망하는 정보주체에게는 과도하다는 점을 분명히 하고 있다.
<img src="/LSW/flDownload.do?flSeq=135158287" alt="109번째 이미지"></img>
선결례 또한 가상자산 거래소 사업자가 이용자 본인확인을 위해 '신분증을 들고 있는 사진’을 제출하지 않으면 휴면계정 해제를 거부한 사안에 대해, 사업자는 본인확인이 가상자산 거래소 서비스의 본질적 기능에 해당하며 신분증 사진정보는 당사자 동일성 여부를 확인하기 위한 '필요한 최소한의 개인정보’라고 주장하였으나, 위원회는 보호법 제39조의3 제3항 및 개인정보 보호 원칙 등에 따른 '최소 수집의 원칙’을 준수하기 위해서는 개인정보의 성격과 양이 그 처리 목적과 비례하여 적절한 범위에서 최소한으로 수집되어야 하는데, 서비스 가입 및 이용 과정, 휴면계정 해제 절차, 이용자의 예상 가능성 등을 검토하였을 때, 신분증 사진정보는 과도하다고 판단하여 그 주장을 불수용한 바 있다.(각주:위원회 의결 2021-011-097, 2021.7.14.) 2. 위원회 결정에 따른 잠재적 경제적, 정치적, 사회적 영향을 고려할 필요가 있다는 주장에 대하여
피심인은 이용자에게 타사 행태정보 수집에 대한 선택권을 부여하게 되면 실질적으로 타사 행태정보를 수집하지 못하게 될 것이라고 주장하나, 위원회는 행태정보 수집 도구를 통해 다른 웹ㆍ앱의 행태정보를 수집하는 것 자체를 금지하는 것이 아니며, 이용자 식별 기반의 타사 행태정보 수집ㆍ이용 시 해당 이용자에게 선택권(각주:피심인은 이미 이용자 계정에 수집된 행태정보를 결합하지 않도록 하는 “Facebook 외부 활동” 기능을 제공하고 있음) 을 부여하라는 의미이므로, 그 주장은 전제가 잘못되어 있다.
설령 선택권을 부여받은 이용자가 이용자 식별 기반의 타사 행태정보를 제공하지 않더라도, 광고 플랫폼은 쿠키 식별자 또는 모바일 광고 식별자와 함께 수집된 행태정보를 굳이 특정 개인을 식별할 수 있는 정보와 결합하지 않고도 맞춤형 광고 등에 활용할 수 있으므로, 위원회 결정에 따른 잠재적 경제적, 정치적, 사회적 영향이 크다고 보기 어렵다.
실제 국내ㆍ외 다수의 광고 플랫폼은 피심인과 유사하게 행태정보 수집 도구를 배포하여 타사 행태정보를 수집하고, 사업자가 의뢰한 광고의 성과를 측정하고 있으며, 맞춤형 광고에도 활용하고 있지만, 특정 개인을 식별한 상태로 활용하고 있지는 않다.(각주:국내 광고 플랫폼은 피심인과 동일하게 소셜 로그인 기능을 제공하고 있지만 이를 통해 타사 행태정보를 수집하지 않음) 또한, 유럽에서는 이용자 식별 여부와 무관하게 쿠키를 설치하는 행위 자체를 동의받도록 하는 등 국내보다 강력하게 규제하고 있고, 여러 빅테크 기업 또한 온라인 광고 생태계에서의 개인정보 보호를 위해 제3자 쿠키를 사용하지 않는 대체 기술을 마련하기 위해 노력하고 있으며, 피심인도 행태정보 수집 동의를 받는 방법, 이용자의 참여를 유도하는 리드 생성 광고 등 타사 행태정보를 수집하지 않고 맞춤형 광고를 하는 다양한 방식(각주:피심인은 애플 ATT 정책 등으로 매출이 감소하자 이용자가 행태정보 제공에 동의하면 더 적은 수의 광고를 표시하는 방안, 리드 생성 광고, 광고 클릭 시 사업자와 메신저로 연락하거나 서비스를 예약하는 기능, 관심 있는 광고주의 광고를 정기 구독하는 기능, 이용자의 이메일로 할인 코드 전송 등 맞춤형 광고를 하는 다양한 방식을 실험중(Meta 비즈니스 지원 센터 홈페이지/WSJ, ’23.1.27.)) 을 실험하고 있는바, 이러한 측면에서도 위원회 결정에 따른 잠재적 경제적, 정치적, 사회적 영향이 크다고 보기 어렵다.
3. 절차적 쟁점에 대한 피심인의 주장에 대하여
가. 사전통지서에 사실관계가 기재되어 있지 않다는 주장 및 사실관계에 대한 조사를 진행하지 않았다는 주장은 사실과 다름
피심인은 사전통지서에 처분의 전제가 되는 사실관계가 기재되어 있지 않다고 주장하고 있으나, 위원회는 2022년 8월 3일 피심인에게 발급한 사전통지서에 페이스북 및 인스타그램 등의 가입자가 다른 웹사이트 및 앱을 사용한 행태정보는 서비스의 본질적 기능을 수행하기 위하여 반드시 필요한 정보가 아님에도 그 정보를 제공하지 아니한다는 이유로 서비스 제공을 거부한 행위가 있었다고 사실관계를 명시하였다.
<img src="/LSW/flDownload.do?flSeq=135158289" alt="110번째 이미지"></img>
또한, 이번 처분은 2022년 9월 14일 심의ㆍ의결한 동의 위반 관련 조사과정에서 피심인이 동의화면을 변경, 동의를 강제하는 행위가 논란이 됨에 따라 이에 대한 위법성을 별도로 세밀하게 판단하는 것(각주:’22.9.14. 심의ㆍ의결한 동의 위반 관련 사전통지(’22.6.10.)에도 사실관계가 포함되어 있고, 이에 대한 추가 검토 결과 보호법 제39조의3 제3항 위반이 판단되어, 조사결과 보고 후 추가 사전통지함(’22.8.3)) 이며, 위원회는 당시 전체 회의 안건(각주:피심인의 '필수동의 요구’ 관련하여 피심인 의견을 제출받아 처분절차를 진행할 것임을 명시) 및 보도자료 등을 통해 동의방식 변경 시도와 관련한 사항에 대해서는 계속 조사를 이어 나간다고 밝힌 바 있다.
참고로, 피심인은 위원회의 2022년 8월 3일 자료제출 요구(동의절차 변경 및 철회 관련 요구)와 관련하여, 위반 혐의에 대한 판단을 내린 이후 사실관계 파악을 위한 자료제출 요청을 하는 것이 불합리하며 부당하다고 주장하나, 2022년 8월 3일 자료제출 요구서는 이번 처분의 판단과 관련 없는 현황 자료(각주:① 처리방침의 변경 여부 및 내용, ② 동의절차 철회에 따른 타사 행태정보에 대한 필수 수집 시정 여부, ③ 철회 전 동의한 이용자 수 현황, ④ 신규 가입자에 대한 변경된 동의절차 적용 계획, ⑤ 철회한 동의절차의 개인정보 제공 및 ⑥ 국가 간 이전 관련 사실관계) 에 대한 사항이고, 이번 처분은 피심인이 2022년 5월 26일부터 7월 28일까지 동의 절차를 변경 및 철회한 행위에 대해 피심인을 처분하는 것이 아니며, 타사 행태정보의 필요한 최소한의 개인정보 여부 및 이를 제공하지 않는다고 서비스 제공을 거부한 행위의 위법성을 판단하는 것이다.
나. 이번 처분은 타사 행태정보가 '필요한 최소한의 개인정보’의 해당 여부를 판단하는 것으로 이에 대한 동의를 받지 않았다는 사안과 모순되지 않음
피심인은 위원회가 타사 행태정보 수집에 대하여 동의를 받지 못하였다고 주장한 것과 선택적으로 동의 받았어야 함에도 필수적으로 동의받았다고 주장하는 것은 모순된다고 주장하나, 제39조의3 제1항은 이용자에게 개인정보 수집ㆍ이용에 대해 알리고 동의를 받아야 한다는 규정이고, 보호법 제39조의3 제3항의 문언은 필요한 최소한의 개인정보 이외의 개인정보를 제공하지 아니한다는 이유로 서비스 제공을 거부해서는 안 된다는 것으로, 이용자가 반드시 필요하지 않은 개인정보인 타사 행태정보를 제공하지 않고도 서비스를 이용할 수 있어야 한다는 것인바, 이는 타사 행태정보 수집ㆍ이용에 대해 알리고 동의받도록 한 2022년 9월 14일 처분과 모순된다고 볼 수 없다.
참고로, 피심인은 현재 페이스북 및 인스타그램 신규 가입자에 대해 2022년 7월 26일 철회한 동의 절차를 도입하여 맞춤형 광고를 위한 개인정보 수집 및 이용(타사 행태정보 수집ㆍ이용 포함)에 대해 '필수’ 동의를 받고 있으며, 이에 대해 거부할 수 없다.
<img src="/LSW/flDownload.do?flSeq=135158293" alt="111번째 이미지"></img>
3. 보호법 제39조의3 제3항을 준수할 의무는 사업자에게 있다는 주장에 대하여
해당 주장은 2022년 9월 14일 위원회에서 불수용하는 것으로 이미 판단하였다.
Ⅴ. 처분 및 결정
1. 시정조치 명령
피심인의 보호법 제39조의3 제3항 위반에 대하여 같은 법 제64조제1항에 따라 개인정보 보호 및 침해 방지를 위하여 아래와 같이 시정조치를 명한다.
가. 이용자가 이용자의 타사 행태정보에 대한 제공을 거부하더라도 페이스북 및 인스타그램 서비스를 가입하고 이용할 수 있도록 하여야 한다.
나. 위 가의 시정명령에 따른 시정조치를 이행하고, 시정조치 명령 처분통지를 받은 날로부터 90일 이내에 이행결과를 위원회에 제출하여야 한다.
2. 과태료 부과
피심인의 보호법 제39조의3(개인정보 수집ㆍ이용 동의 등에 대한 특례) 제3항 위반에 대한 과태료는 같은 법 제75조(과태료) 제2항 제12의2호 및 같은 법 시행령 제63조(과태료의 부과기준)의〔별표2〕「과태료의 부과기준」에 따라 다음과 같이 부과한다.
① (기준금액 산정) 피심인의 보호법 제39조의3(개인정보 수집ㆍ이용 동의 등에 대한 특례) 제3항에 대한 과태료는 최근 3년간 같은 위반행위로 과태료 처분을 받은 사실이 없으므로, 1회 위반에 해당하는 과태료 600만 원을 적용한다.
<img src="/LSW/flDownload.do?flSeq=135158295" alt="112번째 이미지"></img>
② (과태료의 가중) 피심인의 보호법 제39조의3(개인정보 수집ㆍ이용 동의 등에 대한 특례) 제3항 위반행위에 대해 「개인정보 보호법 위반에 대한 과태료 부과기준」(2021. 1. 27. 개인정보보호위원회 의결, 이하 '과태료 부과지침’) 제8조(과태료의 가중)에 따라, ▲위반 기간이 3개월 이상인 경우로 기준금액의 10%를 가중한다.
<img src="/LSW/flDownload.do?flSeq=135158297" alt="113번째 이미지"></img>
※ 과태료 부과지침 제8조(과태료의 가중)에 따라 과태료의 가중은 기준금액의 50%를 초과할 수 없음
③ (과태료의 감경) 해당 사항 없음
④ (최종 과태료) 보호법 제39조의3(개인정보 수집ㆍ이용 동의 등에 대한 특례) 제3항을 위반한 행위에 대해 기준금액에서 필수적ㆍ추가적 가중ㆍ감경을 적용하여 총 660만 원의 과태료를 부과한다.
<img src="/LSW/flDownload.do?flSeq=135158299" alt="114번째 이미지"></img>
※ 피심인이 과태료 고지서를 송달받은 날부터 14일 이내에 과태료를 자진납부 하는 경우, 100분의 20을 감경함 (질서위반행위규제법 제18조 및 같은 법 시행령 제5조 준용)
3. 처분 결과의 공표
피심인이 이용자가 자신의 타사 행태정보에 대한 제공을 거부하고서도 페이스북 및 인스타그램 서비스를 가입ㆍ이용할 수 없도록 한 행위는 ①6개월 이상 지속하여 ②10만 명 이상 수집ㆍ이용하였고, 피심인은 최근 3년 내 시정조치 명령 등을 ③2회 이상 받았으므로(각주:舊정보통신망법 제22조 제1항, 제26조 제1항 및 제2항, 보호법 제24조의2 제1항 위반으로 과징금 및 과태료 부과(’21.8.25.), 보호법 제39조의3 제1항 위반으로 과징금 부과(’22.9.14.)) 「개인정보 보호위원회 처분결과 공표기준」제2조 제5호 내지 제7호에 해당(각주:개인정보 보호위원회 처분결과 공표기준 제2조는 제1호부터 제8호 중 어느 하나에 해당하는 경우 처분결과를 공표할 수 있다고 규정하고 있으며, 피심인의 경우 제5호, 제6호, 제7호에 해당함) 하여 보호법 제66조 제1항에 따라 시정조치 명령을 받은 사실에 대해 개인정보보호위원회 홈페이지에 공표하기로 한다.
<img src="/LSW/flDownload.do?flSeq=135158301" alt="115번째 이미지"></img>
Ⅵ. 결론
피심인의 보호법 제39조의3 제3항 위반행위에 대하여 같은 법 제64조(시정조치 등) 제1항, 제66조(결과의 공표) 제1항, 제75조(과태료) 제2항 제12의2호 각각에 의한 시정조치 명령, 결과 공표, 과태료 부과를 주문과 같이 의결한다.
피심인은 이 시정조치 명령에 불복이 있는 경우, 「행정심판법」 제27조 및 「행정소송법」 제20조의 규정에 따라 처분을 받은 날부터 90일 이내에 중앙행정심판위원회에 행정심판을 청구하거나 관할법원에 행정소송을 제기할 수 있다.
피심인은 이 과태료 부과처분에 불복이 있는 경우, 「질서위반행위규제법」 제20조의 규정에 따라 그 처분을 받은 날부터 60일 이내에 개인정보보호위원회에 서면으로 이의를 제기할 수 있다.
과태료 부과처분에 대한 피심인의 이의제기가 있는 경우, 개인정보보호위원회의 과태료 부과처분은 「질서위반행위규제법」 제20조제2항의 규정에 따라 그 효력을 상실하고 관할법원(피심인 주소지의 지방법원 또는 그 지원)이 과태료 재판 절차에 따라 결정한다. 이 경우 피심인은 관할법원의 과태료 재판이 확정된 이후 재판 결과에 따라 과태료의 납입 의무를 부담한다.
출처: 국가법령정보센터 개인정보보호위원회 결정문. 신청인·피심인 등 당사자 칸은 따로 싣지 않습니다(본문의 이름은 원천이 가린 그대로입니다).