제2023-013-156호 (사건번호 : 2021조일0028)

안건번호 : 제2023-013-156호 (사건번호 : 2021조일0028)
안건명 : 개인정보보호 법규 위반행위에 대한 고발조치에 관한 건
의결연월일 : 2023. 7. 26.

피심인에 대한 고발을 유예한다. 다만, 사무처는 3개월 내 피심인이 자진 시정하지 않는 경우, 다시 고발 안건을 상정하기로 한다.

1. 피심인의 행위 사실

가. 피심인은 ' 로그인’과 '소셜 플러그인’을 배포하여,
이용자의 타사 행태정보를 수집하여 맞춤형 광고에 활용하고 있음

피심인은 이용자가 ①사업자의 서비스에 간편하게 가입ㆍ로그인할 수 있도록 하는 한편, 사업자가 ②별도의 가입화면 없이 이용자의 개인정보 수집 및 회원가입을 받을 수 있는 ' 로그인’을 배포하고 있으며, 이용자가 '좋아요’ 버튼을 누른 ③페이지와 콘텐츠를 다른 사람과 공유하고 댓글을 남길 수 있도록 하면서, 사업자가 ④게시글과 콘텐츠를 홍보할 수 있는 기능인 '소셜 플러그인’을 배포하고 있다.
피심인은 사업자의 웹사이트 및 앱에 설치된 ' 로그인’ 및 '소셜 플러그인’(이하 ' 로그인 등’)을 통해, 위 ①∼④를 위한 기능과 전혀 무관하게 해당 웹사이트 및 앱을 방문ㆍ사용한 사람의 ( 계정 보유 여부와 관계없이) 기기에 피심인이 설치한 식별자(각주:모바일 앱의 경우에는 기기에 부여된 광고 식별자 등을 타사 행태정보와 함께 전송) 를 타사 행태정보와 함께 피심인의 서버에 전송하고, 에 가입한 이용자인 경우, 이용자 식별자를 ( 로그인 등을 사용하지 않더라도) 타사 행태정보와 함께 피심인의 서버로 전송ㆍ수집하여 맞춤형 광고에 활용하고 있다.
<img src="/LSW/flDownload.do?flSeq=147387275" alt="1번째 이미지"></img>
나. 이용자는 피심인의 타사 행태정보 수집ㆍ이용에 동의하지 않았으며, 이러한 타사 행태정보의 전송을 차단하기도 어려움

개인정보 보호위원회는 피심인이 및 이용자의 타사 행태정보를 수집ㆍ이용하면서 동의를 받지 않아 2022년 9월 14일 피심인에 대하여 시정명령, 과징금 308억 6백만 원을 부과하고, 피심인의 법 위반행위 내용 및 결과를 홈페이지에 공표하였다.

또한, 타사 행태정보는 피심인이 배포한 로그인 등이 설치된 웹사이트 및 앱을 방문ㆍ사용하면 자동으로 전송되는데, 통상의 이용자는 로그인 등을 사용하지 않더라도 이러한 정보가 피심인에게 전송된다고 예측하기 어렵고, 알고 있더라도 웹사이트에 접속하거나 앱을 설치하기 전에는 해당 웹사이트 및 앱에 이러한 도구의 설치 여부를 알 수 없으므로, 해당 정보의 전송을 사전에 차단할 수 없다.

다. 웹사이트 및 앱 사업자(개발자) 또한 로그인 등을 통해 타사 행태정보가 전송되고 맞춤형 광고에 활용되는 것을 알 수 없음

피심인의 개발자 문서는 로그인 등을 설치하는 경우 타사 행태정보가 전송되도록 설정된 ' 로그인 SDK’를 필수로 설치하도록 안내하고 있는바, 웹사이트 및 앱 사업자가 피심인이 배포하는 개발자 문서(페이지)에 따라
로그인 등을 설치하는 경우, 타사 행태정보가 전송된다.(각주:로그인만 설치되는 “로그인 플로 직접 빌드” 문서는 JavaScript SDK를 사용할 수 없는 경우 등 예외적인 경우에만 사용하는 것으로 안내함) 피심인은 개발자 문서에 타사 행태정보의 전송을 “자동 앱 이벤트 로깅”이라고 표기하고 있으며, 개발자 문서 중 Android용 로그인 안내 페이지에 “ 로그인 SDK를 사용할 때 자동 이벤트 로깅을 비활성화하지 않으면 앱의 이벤트가 분석을 위해 자동으로 로깅되고 수집”된다고 명시하고 있으므로, 해당 문서를 통해 자동 앱 이벤트 로깅(각주:“자동 앱 이벤트 로깅”을 구체적으로 알아보기 위해 해당 링크를 누르더라도 “클릭하신 링크가 잘못되었거나 페이지가 삭제되었습니다.”라는 문구가 확인됨) 이 구체적으로 무엇인지 알 수 없고, ' 분석’을 위해 수집된다고 기재하였을 뿐, 맞춤형 광고 등에 대한 언급은 없으므로, 사업자는 이용자의 타사 행태정보가 피심인에게 전송되는 사실을 전혀 알 수 없다.
<img src="/LSW/flDownload.do?flSeq=147387277" alt="2번째 이미지"></img>
<img src="/LSW/flDownload.do?flSeq=147387279" alt="3번째 이미지"></img>
심지어 개발자 문서의 ' 로그인’ 관련 iOS 앱과 웹 및 모바일 웹용 안내 페이지에서는 해당 내용을 확인할 수 없으며, 사업자가 '앱 이벤트’ 관련 페이지에 접속해야지만 “자동 이벤트 로깅”을 비활성화하는 방법을 확인할 수 있다.

피심인은 '소셜 플러그인’과 관련하여 2020년 6월부터 개발자 문서에 “웹페이지를 방문하는 사용자가 좋아요 버튼을 클릭하면” 앱 이벤트가 전송(각주:'소셜 플러그인’ 관련 개발자 문서에는 타사 행태정보의 전송을 앱 이벤트가 트리거 되는 것이라고 표기하고 있음) 된다고 기재하고 있으나, 이용자가 좋아요 버튼을 클릭하지 않아도 타사 행태정보가 피심인에게 전송되었다.
<img src="/LSW/flDownload.do?flSeq=147387281" alt="4번째 이미지"></img>
실제 개인정보 보호위원회는 사업자가 ' 로그인’을 통해 자신의 웹사이트 및 앱을 방문ㆍ사용한 사람의 정보가 피심인의 서버로 전송된다는 사실을 인지하지 못하고 있었음을 확인하였다.

개인정보 보호위원회의 자료제출 요구에 대해 2021년 3월 19일 A사와 2022년 4월 18일 B사는 해당 정보가 피심인에게 전송된다는 사실을 인지할 수 없었고, 문제점을 인지한 직후, 전송되지 않도록 조치(비활성화)하였다고 답변하였다.

참고로 한국에서 2022년 1월 27일부터 2월 24일까지 ' 로그인’이 사용된 앱은 총 개이며, 이 중 개는 타사 행태정보를 피심인에게 전송하였다.

라. 피심인은 조사과정에서도 정확한 사실관계 대신, ' 로그인’을 통해 행태정보가 전송되지 않는 것처럼 답변함

피심인은 ' 로그인’은 행태정보 수집 도구인 비즈니스 도구와 본질적으로 다르고, 비즈니스 도구 약관이 아닌 플랫폼 정책에 의해 규율된다고 2021년 5월 9일 답변하였으나, 피심인의 개발자 문서와 데이터 정책에는 ' 로그인’을 비즈니스 도구의 하나로 안내하고 있는 것이 확인된다.
<img src="/LSW/flDownload.do?flSeq=147387283" alt="5번째 이미지"></img>
피심인은 비즈니스 도구를 사용하기로 하는 광고주의 선택은 철저하게 옵트인 방식으로 이루어진다면서, 비즈니스 도구 없이 ' 로그인’을 설치한 경우, 타사 행태정보는 피심인에게 전송되지 않는다고 2021년 5월 9일 및 2021년 11월 23일 답변하였으나, 피심인의 개발자 문서에서는 비즈니스 도구 없이 '
로그인’을 설치하는 경우에 대해 언급한 내용을 명확하게 찾아볼 수 없으며, 오히려, 개발자 블로그를 통해 iOS 및 Android 앱에서 ' 로그인’을 구현할 때, 타사 행태정보가 전송되는 SDK를 사용하도록 요구한 것이 확인된다.

피심인은 개발자 문서와 모순된 답변( 로그인 기능만을 설치한 경우 타사 행태정보를 전송하지 않음)을 위원회가 계속 지적하자 ' 로그인’을 설치하는 경우, 타사 행태정보를 전송하는 SDK가 함께 설치된다고 2022년 2월 24일 답변하고, ' 로그인’ 구현 시 타사 행태정보를 전송하는 SDK를 사용하도록 안내한 것을 2022년 4월 18일 인정하였다.

피심인은 조사과정에서 SDK를 사용하지 않고 ' 로그인’을 설치하는 방법을 개발자 문서에 반영한다고 하였으나, 현재까지 관련하여 변경된 사항은 확인되지 않는다.

참고로, 피심인이 배포하는 소셜 플러그인의 경우, 유럽 지역에서는 이용자가 (1) 계정에 로그인한 경우, (2)'앱과 웹사이트 쿠키’ 제어에 동의한 경우를 모두 충족하지 않으면, '좋아요’와 '댓글’ 등 소셜 플러그인이 지원되지 않고, 화면에도 보이지 않는 것이 확인된다.

2. 관련 법령 및 규정 등

「개인정보 보호법」(이하 '보호법’) 제59조 제1호는 개인정보를 처리하거나 처리하였던 자는 거짓이나 그 밖의 부정한 수단이나 방법으로 개인정보를 취득하거나 처리에 관한 동의를 받는 행위를 하여서는 안 된다고 규정하고 있다.

대법원(각주:대법원 2017.4.7. 선고 2016도13263 판결) 은 '거짓이나 그 밖의 부정한 수단이나 방법’이란 개인정보를 취득하거나 또는 그 처리에 관한 동의를 받기 위하여 사용하는 위계 기타 사회통념상 부정한 방법이라고 인정되는 것으로서 개인정보 취득 또는 그 처리에 동의할지에 관한 정보주체의 의사결정에 영향을 미칠 수 있는 적극적 또는 소극적 행위를 뜻한다. 그리고 거짓이나 그 밖의 부정한 수단이나 방법으로 개인정보를 취득하거나 그 처리에 관한 동의를 받았는지를 판단할 때에는 개인정보처리자가 그에 관한 동의를 받는 행위 자체만을 분리하여 개별적으로 판단하여서는 안 되고, 개인정보처리자가 개인정보를 취득하거나 처리에 관한 동의를 받게 된 전 과정을 살펴보아 거기에서 드러난 개인정보 수집 등의 동기와 목적, 수집 목적과 수집 대상인 개인정보의 관련성, 수집 등을 위하여 사용한 구체적인 방법, 개인정보 보호법 등 관련 법령을 준수하였는지 및 취득한 개인정보의 내용과 규모, 특히 민감정보ㆍ고유식별정보 등의 포함 여부 등을 종합적으로 고려하여 사회통념에 따라 판단하여야 한다고 판시하였다.

3. 위법성 판단

가. 피심인의 타사 행태정보 수집 동기와 목적

피심인은 맞춤형 광고를 통한 수익 확대에 활용하기 위해 이용자의 온라인 활동 기록인 타사 행태정보를 수집할 목적을 포함하여 로그인 등을 배포하나, 이러한 목적을 기재하지 않았다.

이용자는 (1)간편 로그인 및 (2)'좋아요’ 버튼을 누른 페이지와 콘텐츠를 공유하기 위해 해당 기능을 사용하고, 사업자는 (1)별도 가입화면 없이 웹ㆍ앱에서 회원가입을 받고 개인정보 수집 및 (2)게시글과 콘텐츠를 홍보하기 위해 해당 기능을 사용하므로, 이용자와 사업자는 이를 통해 타사 행태정보가 피심인에 수집되거나 웹사이트 및 앱을 방문ㆍ사용한 자의 정보가 전송된다는 사실 자체를 알 수 없다.

나. 이용자 및 사업자에게 인지되는 수집 목적과 로그인 등의 관련성

이용자는 간편 로그인 및 콘텐츠 공유, 사업자는 회원가입, 개인정보 수집 기능 제공 및 콘텐츠 홍보를 목적으로 로그인 등을 사용하는데, 피심인이 2021년 5월 9일 답변한 바와 같이, 로그인 등은 타사 행태정보 도구인 비즈니스 도구와 본질적으로 다르고, 이용자의 지시(행위)에 따라 해당 기능에 맞는 정보의 이전이 발생해야 하므로, 해당 기능 사용과 무관하게 웹사이트 및 앱을 방문ㆍ사용하는 것만으로도 타사 행태정보를 피심인에게 전송하는 것은 아무런 관련이 없다.

참고로 개인정보 보호위원회는 피심인이 이용자가 타사 행태정보를 제공하지 않는다는 이유로 및 서비스의 제공을 거부한 행위에 대하여 2023년 2월 8일 심의ㆍ의결(각주:피심인에 대하여 시정명령, 과태료 660만 원을 부과하고, 피심인의 법 위반행위 내용 및 결과를 홈페이지에 공표) 을 하면서 로그인 등은 사업자 측면에서도 타사 행태정보와 관련이 없다고 이미 판단한 바 있다.

다. 피심인의 타사 행태정보의 수집 방법

사업자에게 배포한 로그인 및 소셜 플러그인 관련 코드에 '앱 이벤트 로그’ 수집을 기본 '활성화’하였고, 수집하는 정보가 구체적으로 무엇인지, '앱 이벤트 로그’를 수집해서 피심인이 어떻게 처리하는지 등에 대해 사업자는 알 수 없도록 하였는바, 사업자 모르게 웹ㆍ앱을 방문ㆍ사용한 사람의 정보를 전송하여, 피심인 서비스 이용자의 타사 행태정보를 수집한 것은 기망행위에 해당한다.

실제 개인정보 보호위원회의 자료제출 요구에 대해 A사는 2020년 3월 화상회의 '줌’ 서비스에서 에 회원정보가 전송된 것이 논란이 되어 ' 로그인 SDK’를 통해 에 이용자 정보가 전송되는 것을 확인하였고, '
로그인 SDK’가 탑재된 A사 앱에 대해 자체적으로 조사를 진행하였는데 해외 이용자들의 편의를 위해 제공한 ' 로그인’이 그 사용 여부와 무관하게 이용자 정보가 피심인에게 전송되도록 기본 설정값이 활성화된 것을 확인하여 데이터가 전송되지 않도록 수정하였다고 답변하였으며, B사 또한 광고 식별자를 활용해 광고할 의도가 없는 상태에서 별도 페이지에서 제공하는 기본 설정이 'On’인 것을 인지하지 못했고, 관련된 정보를 앱 관리자 활동 로그 이력 등에서도 확인 불가능했다고 소명하면서, 발견 즉시 해당 기능을 전부 비활성화하였다고 답변하였다.

라. 기타 고려 사항

앞서 언급한 바와 같이 개인정보 보호위원회는 피심인의 타사 행태정보 수집ㆍ이용 관련 보호법 위반행위에 대해서는 두 차례에 걸쳐 행정처분을 하였으며, 피심인이 제출한 자료에 따르면 2022년 1월 27일부터 2022년 2월 24일까지 한국에서만 총 개의 앱을 방문ㆍ사용한 한국 이용자 모두의 '앱 설치’, '앱 실행’ 및 '앱 내 구매’ 여부에 대한 이벤트와 ' SDK 충돌 보고서’, '
SDK ANR 보고서’(각주:SDK로 인해 앱에 앱이 충돌한 경우 충돌 보고서가 생성되고, ANR(앱이 응답하지 않음)이 발생한 경우 ANR 보고서가 생성되며, 해당 보고서는 앱이 다시 시작되었을 때 으로 전송) 등의 정보가 피심인에게 전송된바, 그 규모 및 내용을 살펴보더라도 개인정보 침해가 상당하다고 볼 수 있다.
특히, 구글, 네이버, 카카오 등 다른 소셜 로그인은 이러한 행위를 하지 않는바, 사회통념에 비추어 보았을 때도 피심인의 이러한 행위는 '거짓이나 그 밖의 부정한 수단이나 방법’으로 개인정보를 취득한 행위에 해당한다.

4. 피심인 의견에 대한 검토

가. 피심인 의견

피심인은 ' 로그인’을 위해 설치하는 SDK는 앱 이벤트를 자동으로 전송하는 구성요소를 포함하고 있고, 현재 이 옵션은 기본값(Default)으로 활성화되었다고 인정하면서 보호법 제59조 제1호 위반 혐의에 대한 우려를 해소하기 위해 3개월 내에 아래 사항을 조치할 계획임을 위원회에 밝혔다.

1) 한국에 있다고 판단되는 사업자가 ' 로그인’을 위해 SDK를 설치하는 경우, 사업자가 적극적으로 앱 이벤트를 전송하도록 설정하는 경우에만 전송되도록 해당 SDK를 변경

2) 웹사이트와 개발자 채널을 통하여 현재 SDK를 사용하고 있는 한국 개발자들에게 원하는 경우 앱 이벤트의 전송을 비활성화할 수 있는 옵션이 있다는 점과 이로 인해 발생하는 결과에 대한 정보를 안내할 예정

3) '소셜 플러그인’의 경우 2022년 7월 앱 이벤트 API를 중단하여, 더 이상 '소셜 플러그인’ 설치 시 SDK로부터 자동으로 앱 이벤트를 받지 않음

나. 검토 의견

피심인이 고발조치 전 자진 시정하겠다고 밝힌 점은 긍정적이며, 보호법에서 규정한 개인정보보호 목적을 달성할 수 있다고 판단되면, 현시점에서 고발조치보다는 피심인의 자진 시정을 통해 개인정보 침해를 빠르게 해소하는 것이 더욱 효과적일 수 있으나, 피심인이 밝힌 시정방안을 보다 구체화할 필요가 있고, 시정이 제대로 이루어지지 않는 경우에 대한 대비는 필요한 것으로 판단된다.
5. 결론

「개인정보보호 법규 위반에 대한 고발기준」은 행정처분만으로는 보호법에서 규정한 개인정보보호 목적을 달성하지 못하거나 개인정보 침해 정도가 매우 중대하다고 인정되는 경우 고발함을 원칙으로 하고 있다.

피심인의 위반행위는 보호법 제59조에 해당하므로, 고의성, 피해규모 및 과거 법 위반 이력 등을 고려할 경우, 피심인은 고발대상에 해당한다.

반면, 위원회는 피심인의 법 준수 기대가능성, 추가피해의 방지, 위반행위의 결과제거를 위한 노력, 향후 동종 위반행위의 발생을 방지하기 위한 노력 등을 종합적으로 고려하여 고발 여부를 달리 결정할 수 있다.

피심인은 위원회의 고발조치 사전통지에 대해 한국에서는 3개월 내 해당 행위를 자진 시정하겠다고 의견을 제출한바, 자진 시정이 되는 경우, 개인정보 침해 상황에 대한 빠른 해소 및 보호법에서 정한 개인정보보호 목적 달성이 가능한 점 등을 고려하면, 이를 통해 얻을 수 있는 실익이 상당한 것으로 판단된다.

따라서, 현시점에서 피심인을 고발하지 않고, 사무처와 협의하여 위반행위를 자진 시정할 수 있도록 기회를 부여하기 위해 주문과 같이 결정한다.
<img src="/LSW/flDownload.do?flSeq=147387285" alt="6번째 이미지"></img>
개인정보 보호위원회는 위와 같이 결정하였다.