개인정보보호위원회
심의ㆍ의결
제2023-013-154호 (사건번호 : 2021조일0028)
개인정보보호 법규 위반행위에 대한 시정조치 등에 관한 건
의결일: 2023년 7월 26일
요지
안건번호 : 제2023-013-154호 (사건번호 : 2021조일0028)
안건명 : 개인정보보호 법규 위반행위에 대한 시정조치 등에 관한 건
의결연월일 : 2023. 7. 26.
안건명 : 개인정보보호 법규 위반행위에 대한 시정조치 등에 관한 건
의결연월일 : 2023. 7. 26.
주문
피심인에 대하여 다음과 같이 과징금을 부과한다.
가. 과 징 금 :
나. 납부기한 : 고지서에 명시된 납부기한 이내
다. 납부장소 : 한국은행 국고수납 대리점
가. 과 징 금 :
나. 납부기한 : 고지서에 명시된 납부기한 이내
다. 납부장소 : 한국은행 국고수납 대리점
이유
Ⅰ. 조사 개요
1. 조사 배경
에 대한 심의ㆍ의결사항은 2022년 제14회ㆍ제15회 위원회에서 심의ㆍ의결한 이용자의 동의 없이 타사 행태정보가 수집ㆍ이용된 사항과 관련된 것으로, 당초 2018년 7월 14일 이전 해당 서비스를 제공한 피심인을 함께 처분하고자 하였으나, 피심인이 조사절차(각주:피심인은 위원회의 사전 통지(’22.6.28.)에 대해 조사 결과는 ’18.7.14. 이전 실제 서비스 행태를 반영하지 못하고 있고, 위원회가 피심인 회사는 조사하지 않았다고 주장) 와 관련한 문제를 제기함에 따라 별도로 사실관계 조사를 진행하였다.(각주:위원회는 자료제출 요구 등을 통해 확인한 타사 행태정보 수집ㆍ이용 관련 사실관계가 舊정보통신망법 제23조 제3항 위반으로 판단되어 사전통지를 하였으나, 피심인이 한국에서 서비스의 제공을 종료한 2018년 7월 14일로부터 5년이 경과하여 「질서위반행위규제법」 제19조 제1항에 따라 과태료를 부과할 수 없음) <img src="/LSW/flDownload.do?flSeq=150210817" alt="1번째 이미지"></img>
2. 피심인 현황
피심인은 2008년 10월 6일부터 2018년 7월 14일 이전까지 한국 이용자들에게 서비스를 제공하였고 당시, 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」(이하 '舊정보통신망법’)의 개인정보보호 규정을 적용받았던 정보통신서비스 제공자로 피심인의 일반현황과 피심인이 한국 이용자에게 서비스 제공을 종료하기 직전 3개년의 매출액은 다음과 같다.
<img src="/LSW/flDownload.do?flSeq=150210839" alt="2번째 이미지"></img>
<img src="/LSW/flDownload.do?flSeq=150210843" alt="3번째 이미지"></img>
서비스의 한국 이용자 수는 2018년 2분기를 기준 약 명이며, 2015년부터 2017년까지 연도별 서비스를 이용하는 한국 이용자의 비율은 아래와 같다.
<img src="/LSW/flDownload.do?flSeq=150210845" alt="4번째 이미지"></img>
Ⅱ. 사실조사 결과
1. 피심인은 이용자의 타사 행태정보를 수집ㆍ이용함
피심인은 2010년 4월부터 (이하 ' ’)가 배포한
로그인, 픽셀, SDK 및 소셜 플러그인 등의 비즈니스 도구(이하 '행태정보 수집 도구’)를 통해 서비스에 가입한 이용자가 다른 웹사이트 및 앱을 방문ㆍ사용한 온라인 활동 기록인 타사 행태정보를 수집하여 맞춤형 광고 등에 이용(각주:(광고 및 서비스 표시 및 측정.) 은 서비스 내외에서 회원님에게 관련 광고를 표시하고 광고 및 서비스의 효과와 도달 범위를 측정하기 위해 광고와 측정 시스템을 개선할 수 있도록 보유한 정보를 활용
(안전 및 보안 강화.) 은 의심스러운 활동 조사 또는 약관이나 정책 위반 확인 등 계정을 인정하고 활동 내역을 확인하며, 서비스 내외의 안전 및 보안을 강화하기 위해 정보를 활용) 하였다.
피심인은 이용자의 타사 행태정보를 수집하기 위해 이용자 식별 쿠키(' ’ 등)와 모바일 광고 아이디(ADID, IDFA) 등을 사용(각주:피심인의 당시 쿠키 정책(https://ko-kr. .com/help/cookies) 및 아일랜드의 데이터보호위원회(Office of the Data Protection Commissioner)에서 수행하는 공개 감사의 쿠키 섹션 참고) 하였으며, 2018년 2분기 기준 전체 한국 이용자 수인 명 또는 이에 근접한 수의 이용자에 대해 타사 행태정보를 수집하였다.
피심인이 이용자의 타사 행태정보를 수집ㆍ이용하는 절차는 2022년 제14회 및 제15회 위원회에서 심의ㆍ의결한 의 타사 행태정보 수집ㆍ이용 절차와 같다.
<img src="/LSW/flDownload.do?flSeq=150210847" alt="5번째 이미지"></img>
2. 피심인은 계정 생성 시 데이터 정책 전문 외 별도로 법정 고지사항에 대한 동의를 받지 않음(각주:’22년 제14회 및 제15회 위원회에서 심의ㆍ의결시 확인한 서비스 계정 생성과정과 거의 동일
- ( ) 작은 스크롤 화면(5줄)에 데이터 정책 전문(694줄)을 게재함) 피심인은 계정을 생성하는 과정에서 필수적으로 선택을 해야 되는 “ 데이터 정책에 동의합니다.” 체크박스 위의 작은 스크롤 화면을 통해 행태정보 수집 관련 사항(“서비스를 이용하는 웹사이트와 앱의 정보.”)으로 보이는 내용이 포함된 “데이터 정책” 전문을 보여주고 있어, 이용자가 타사 행태정보 수집 사실을 명확히 인지하고 동의하였다고 볼 수 없다.
<img src="/LSW/flDownload.do?flSeq=150210849" alt="6번째 이미지"></img>
피심인은 데이터 정책 내 “서비스를 이용하는 웹사이트와 앱의 정보.”에서 “ 서비스를 이용하는 타사 웹사이트 및 앱을 방문하거나 사용할 때 방문하는 웹사이트 및 앱에 관한 정보, 해당 웹사이트 및 앱에서 회원님이 서비스를 이용한 정보, 앱 또는 웹사이트 개발자나 게시자가 회원님 또는 에 제공하는 정보가 포함”된다고 명시하였다.
<img src="/LSW/flDownload.do?flSeq=150210851" alt="7번째 이미지"></img>
이용자는 ' 측정 및 광고 서비스를 이용하는 타사 웹사이트 및 앱’을 확인하기 어렵고, 개발자나 게시자가 이용자 또는 피심인에게 제공하는 정보가 무엇인지도 알기 어려운바, 작은 스크롤 화면을 내려 데이터 정책 내 타사 행태정보 수집 관련 사항으로 보이는 내용을 읽어 보더라도 서비스를 이용하는 타사 웹사이트 및 앱과 수집되는 정보가 무엇인지 구체적으로 알 수 없다.
참고로 피심인이 서비스를 제공하던 시점인 2018년 7월 14일 이전에는 이용자가 피심인의 타사 행태정보 수집을 사후적으로도 거부할 수 없었다.(각주:이용자의 및 계정정보와 타사 행태정보의 결합을 해제하고 향후에도 결합되지 않도록 설정할 수 있는 “ 외부 활동(타사 행태정보 수집 설정)” 도구는 가 ’19.8.에 출시함) 3. 피심인은 행태정보 수집 주체가 타사 웹사이트 및 앱이라고 주장하나, 당시 피심인의 데이터 정책은 피심인을 수집 주체로 명확하게 명시함
피심인은 이용자의 타사 행태정보를 수집하기 위해 사용하는 ' ’ 등 이용자 식별자를 이용한 것을 인정하면서도 이는 타사 웹사이트 또는 앱이 자신들의 이익과 사업목적을 위해 를 이용하여 이용자들의 타사 행태정보를 수집한 것이라고 주장하였다.
<img src="/LSW/flDownload.do?flSeq=150210853" alt="8번째 이미지"></img>
그러나 피심인은 2016년 9월 29일 시행된 의 데이터 정책의 “ 에서 수집하는 정보의 종류” 부분에 타사 행태정보 관련 내용으로 보이는 “서비스를 이용하는 타사 웹사이트와 앱의 정보.”를 명시하고, 보유한 정보를 피심인의 수집 목적인 이용자에게 관련 광고를 표시하고 광고와 측정 시스템을 개선하는 데 사용한다고 기재하였다.
<img src="/LSW/flDownload.do?flSeq=150210855" alt="9번째 이미지"></img>
<img src="/LSW/flDownload.do?flSeq=150210819" alt="10번째 이미지"></img>
피심인의 쿠키 정책 또한 타사 행태정보 수집에 사용하는 쿠키를 “광고, 인사이트 및 측정”을 위해 사용하고, 계정이 있는 경우를 구분하여 온라인 관심사 기반 광고를 볼 것인지 여부를 피심인이 제공하는 광고 설정(각주:이용자가 서비스에 로그인을 한 경우 광고 설정 기능을 사용할 수 있음) 에서 관리할 수 있다고 명시되어 있었다.
<img src="/LSW/flDownload.do?flSeq=150210821" alt="11번째 이미지"></img>
<img src="/LSW/flDownload.do?flSeq=150210823" alt="12번째 이미지"></img>
Ⅲ. 피심인의 행위에 대한 위법성 판단
1. 기초 사실 및 판단
가. 조사 처분 범위
피심인에 대한 조사 처분의 범위는 타사 행태정보 수집 유형 중 서비스에 가입하여 아이디, 이름, 생년월일, 성별 등 회원의 개인정보를 명확히 알아볼 수 있는 서비스 이용자(회원)의 온라인 활동 기록인 타사 행태정보를 수집ㆍ이용하는 행위이다.
피심인은 맞춤형 광고 등을 위해 회원의 타사 행태정보를 수집ㆍ이용하고 있다.
이용자(회원) 식별자 기반의 행태정보 수집ㆍ이용을 처분 범위로 삼은 것은 익명성을 상실시키고 이용자의 모든 기기를 추적, 온라인 활동을 모니터링(감시)하여 이용자의 사상ㆍ신념, 정치적 견해, 건강, 신체적ㆍ생리적ㆍ행동적 특징 및 민감정보를 생성하고 식별할 가능성이 높기 때문이다.(각주:European Data Protection Board(이하 'EDPB’) 가이드라인 역시 플랫폼 회원(이용자 식별자)의 타사 행태정보 수집ㆍ이용을 규율 범위로 삼고 있으며, 이용자의 행태정보 수집과 관련하여 관심사 및 기타 특성 추론, 인종ㆍ민족ㆍ건강ㆍ성적지향 등과 관련된 차별과 배제의 가능성, 개인의 사고 과정 및 감정ㆍ행동 등에 영향을 미쳐 이용자를 조작할 가능성, 온라인 활동 감시 등의 위험성을 언급(Guidelines 8/2020 on the targeting of social media users version 2.0, ’21.4.13)) 나. 타사 행태정보의 개인정보성
舊정보통신망법에서 개인정보란 생존하는 개인에 관한 정보로서 성명ㆍ주민등록번호 등에 의하여 특정한 개인을 알아볼 수 있는 부호ㆍ문자ㆍ음성ㆍ음향 및 영상 등의 정보를 말하며, 해당 정보만으로는 특정 개인을 알아볼 수 없어도 다른 정보와 쉽게 결합하여 알아볼 수 있는 경우에는 그 정보를 포함한다고 규정하고 있다.
피심인은 가입한 이용자를 식별하기 위한 정보로서 회원번호, 아이디, 휴대전화번호, 이메일 등의 개인정보를 사용하며, 회원 여부를 식별하기 위한 이용자 식별자와 결합하여 행태정보를 수집ㆍ이용하므로 이때의 행태정보는 '다른 정보와 쉽게 결합하여 특정 개인을 알아볼 수 있는’ 이용자의 개인정보에 해당한다.
다. 타사 행태정보 수집ㆍ이용의 주체
피심인은 영리를 목적으로 SNS 등의 온라인 서비스를 운영하면서 이용자의 개인정보를 수집하고 있고, 업무를 목적으로 개인정보파일을 운용하기 위해 이러한 개인정보를 처리하였으며, 특히, 맞춤형 광고, 서비스 제공ㆍ개선ㆍ개발 등을 위해 이용자 식별자를 기반으로 그 이용자의 타사 행태정보를 수집ㆍ이용하였다.
피심인의 수익을 위하여 에 가입한 이용자에게 맞춤형 광고를 보여주는 것 등은 피심인의 업무 목적에 해당하고, 이를 위해 이용자의 다른 개인정보(회원정보)와 타사 행태정보를 결합하여 체계적으로 구성ㆍ운영하는 것은 개인정보파일을 운용하는 것에 해당한다.
피심인이 수집하는 타사 행태정보는, 서비스에 가입한 이용자의 기기에서 피심인이 생성ㆍ저장한 이용자 식별자와 함께 피심인에게 직접 전송ㆍ수집되며 최종적으로 서비스에 가입한 이용자 계정과 결합하여 이용된다.
사업자는 이 과정에서 ①피심인에게 수집되는 행태정보를 보거나 저장할 수 없고, ②사업자 서비스에 가입한 회원의 계정과 결합할 수 없으며, ③특정 개인을 식별할 수도 없다.
사업자는 가 제작ㆍ배포한 행태정보 수집 도구를 설치하여 피심인의 행태정보 수집 과정에 보조적인 역할을 하나, 행태정보 수집 도구에는 피심인이 필수로 수집하는 항목(접속한 웹ㆍ앱)은 정해져 있고, 이는 사업자가 임의로 변경할 수 없다.
따라서, 타사 행태정보 수집ㆍ이용의 목적과 수단, 전체 정보처리 과정의 흐름을 종합해보면 피심인이 그 처리 과정에서 주도적인 관리ㆍ통제권을 행사하는 주체이므로 피심인이 이용자의 동의를 받아야 함이 마땅하다.
가 행태정보 수집 도구를 직접 제작하여 사업자에게 배포하고, 피심인은 이를 통하여 서비스를 이용하는 이용자가 제3자인 사업자의 웹사이트 또는 앱을 사용한 정보를 수집하여 이를 맞춤형 광고 등의 목적에 활용하는 한 피심인이 개인정보 수집ㆍ이용 주체라는 사실을 부인할 수 없다.
라. 타사 행태정보의 특수성
타사 행태정보는 이용자가 .의 행태정보 수집 도구가 설치된 사업자의 웹ㆍ앱 서비스를 사용하는 과정에서 자동 수집되며, 행태정보 수집 도구는 사업자의 웹사이트 및 앱의 소스코드에 포함되어 있어, 통상의 이용자라면 수집 도구의 설치 여부를 확인하기 어렵고, 이용자는 이러한 행태정보가 피심인에 자동 수집되는 것을 인지하기 어려울 뿐 아니라, 서비스에 타사 행태정보가 꼭 필요한 요소라고 예측하기도 어렵다.
또한 타사 행태정보가 축적되는 경우, 이용자에 대한 빅데이터가 형성되어 사상ㆍ신념, 정치적 견해, 건강, 신체적ㆍ생리적ㆍ행동적 특징, 기타 이용자의 사생활을 현저히 침해할 우려가 있는 민감정보가 생성될 가능성도 높아지는바, 이는 개인정보를 보호하고자 하는 법 취지를 훼손하는 결과로 이어질 수 있다.(각주:타사 행태정보 수집 자체로 보호법 상 민감정보의 처리로 보기는 어려우나, 이를 수집ㆍ이용함으로써 실질적으로 민감정보를 수집하는 것이 될 수 있어 법이 규제하고자 하는 바를 교묘히 빠져나가는 결과가 발생할 수 있음) 마. 타사 행태정보 수집ㆍ이용의 적법한 동의 방법
타사 행태정보를 수집ㆍ이용하기 위해서는 수집하는 타사 행태정보의 ’항목(각주:타사 행태정보의 항목은 '타사’와 '행태정보’를 특정함으로써 명확한 기재가 가능할 것인바, 전자의 경우 타사의 범위가 고정되어 있지 않고 수시로 변동될 경우 그 타사를 특정하는 것이 현실적으로 어려울 수 있으므로, 이러한 경우에는 (개인정보를 제공받는 제3자의 특정이 어려운 경우와 유사하게) 타사의 유형을 구체적으로 최대한 누락 없이 알리거나 변동 가능한 목록을 공개하는 등의 방식으로 타사를 특정한 뒤 동의를 받는 방식을 고려할 수 있음 또한 후자의 경우 행태정보 수집도구에 배포 당시부터 설정되어 있는 수집 대상 항목들을 기재하는 방식으로 특정할 수 있을 것임) ', '수집ㆍ이용 목적(각주:예컨대 그 수집ㆍ이용 목적인 이용자의 '관심 분야 분석ㆍ생성’, '맞춤형 광고 게재’ 등을 기재) ’, '보유ㆍ이용 기간’의 '구체적인 내용’을 통상의 이용자가 용이하게 알아볼 수 있도록 그 전부를 쉽고 명확하게 게재하여야 하며, 동의 여부를 표시할 수 있는 부분과 밀접하게 배치하여 이용자가 이를 인지하여 확인할 수 있는 상태에서 동의 여부를 판단, 명확한 인식하에 동의의 표시를 할 수 있도록 실행방법이 마련되어야 한다.
아울러, 피심인이 이용자의 타사 행태정보를 수집하기 위해서는 이용자가 ① 에 가입하고, ② 에 로그인한 후, 최종적으로 ③사업자의 웹ㆍ앱 이용 절차를 거치므로, 가입 및 로그인 시점에 동의를 받을 수 있다.
바. 계약 이행을 위해 타사 행태정보를 동의 없이 사용할 수 있는지 여부
舊정보통신망법은 계약 이행을 위해 개인정보가 필요한 경우라 하더라도 '경제적ㆍ기술적인 사유로 통상적인 동의를 받는 것이 뚜렷하게 곤란한 경우’가 아니면 동의를 받도록 하고 있으며, 앞서 「마. 적법한 동의 방법」에서 보듯이 피심인은 행태정보가 수집되기 이전인 회원가입 시, 동의를 받을 수 있으므로 동의를 받는 것이 뚜렷하게 곤란한 경우에 해당하지 않는다.
사. 타사 행태정보 수집 관련 '정보통신서비스 제공자-이용자’ 관계 해당 여부
피심인은 영리를 목적으로 정보통신망을 통해 서비스를 한국 이용자에게 제공하였던 정보통신망법 제2조 제1항 제3호에 따른 정보통신서비스 제공자이다.
피심인이 수집한 타사 행태정보는 서비스를 제공하면서 정보통신서비스 이용관계(약관 동의 및 개인정보 수집ㆍ이용 동의)를 맺고 계정을 생성한 이용자의 '온라인 활동 기록’으로, 해당 서비스에 가입한 '특정 이용자가 여러 사업자의 웹사이트 및 앱을 방문ㆍ사용한 정보’이다.(각주:특정 사업자가 자신의 정보통신 서비스를 제공하는 과정에서 수집한 '여러 이용자의 개인정보(이름, 성별, 연락처, 서비스 이용기록 등)’와는 전혀 다른 형태의 정보임) 즉, 피심인이 수집ㆍ이용한 이용자의 타사 행태정보는 사업자와 해당 이용자 사이에 이용관계를 맺었는지 여부를 불문하고 피심인과의 이용관계에 따라 수집ㆍ이용된다.
따라서, 피심인이 자신의 정보통신서비스에 계정을 생성한 가입자의 개인정보로서 타사 행태정보를 수집한 것이므로, 이는 정보통신서비스 제공자인 피심인이 이용자의 개인정보를 수집ㆍ이용한 것에 해당한다.
2. 관련 법령의 규정 및 법리
가. 舊정보통신망법상 '이용자’의 동의
舊정보통신망법 제22조 제1항은 정보통신서비스 제공자는 이용자의 개인정보를 이용하려고 수집하는 경우 ①개인정보의 수집ㆍ이용 목적, ②수집하는 개인정보의 항목, ③개인정보의 보유ㆍ이용 기간(이하 '법정 고지사항’)의 모든 사항을 이용자에게 알리고 동의를 받도록 규정하고 있다.
이에 대한 연혁을 살펴보면, 개인정보 수집 및 이용 등에 관한 동의는 이용약관, 개인정보 처리방침과 별개의 것으로 규율하고 있는 것으로 확인된다.
< 개인정보 수집ㆍ이용 동의 조항의 연혁(각주:정보통신망 이용촉진 및 정보보호 등에 관한 법률 일부개정법률안 검토보고서(국회 과학기술정보통신위원회, 2006. 11.)) >
<img src="/LSW/flDownload.do?flSeq=150210825" alt="13번째 이미지"></img>
舊정보통신망법 시행령 제12조 제1항은 “정보통신서비스 제공자 등은 동의를 얻어야 할 사항을 이용자가 명확하게 인지하고 확인할 수 있도록 표시하여야 한다.”라고 규정하고 있으며, 그 구체적인 방법으로 “인터넷 사이트에 동의 내용을 게재하고 이용자가 동의 여부를 표시하도록 하는 방법”을 명시하고 있다.
즉, 舊정보통신망법은 개인정보의 처리에 관한 내용을 이용자가 쉽게 확인하고 알아볼 수 있도록 명확히 표시하여 이용자가 동의 범위 등에 대한 실질적인 선택 및 결정권을 행사할 수 있도록 하고 있다.
나. 관련 판례
대법원(각주:대법원 2016. 6. 28. 선고 2014두2638 판결) 은 정보통신서비스 제공자가 이용자로부터 개인정보 수집ㆍ제공에 관하여 적법한 동의를 받기 위해서는 이용자가 개인정보 제공에 관한 결정권을 충분히 자유롭게 행사할 수 있도록
① 통상의 이용자라면 용이하게 법정 고지사항의 구체적 내용을 알아볼 수 있을 정도로 법정 고지사항 전부를 명확하게 게재하여야 하며,
② 법정 고지사항을 게재하는 부분과 이용자의 동의 여부를 표시할 수 있는 부분을 밀접하게 배치하여 이용자가 법정 고지사항을 인지하여 확인할 수 있는 상태에서 개인정보의 수집ㆍ제공에 대한 동의 여부를 판단할 수 있어야 하고,
③ 그에 따른 동의의 표시는 이용자가 개인정보의 수집ㆍ제공에 동의를 한다는 명확한 인식 하에 행하여질 수 있도록 그 실행방법이 마련되어야 한다고 판시하였다.
특히 위 대법원 판례의 하급심인 1심 및 2심 판결에서는 인식 가능성을 부여하는 것만으로는 명시적ㆍ실질적 동의에 해당하지 않는다고 밝혔다.
<img src="/LSW/flDownload.do?flSeq=150210827" alt="14번째 이미지"></img>
한편, 법정 고지사항을 제대로 알리지 않는 등 동의 받는 방법을 위반한 경우, '동의를 받았으나 방법에 문제가 있었다’고 평가할 것인지, 아니면 '적법한 동의가 없었다’고 평가할 것인지에 대해 舊정보통신망법 제22조 제1항은 “이용자의 동의를 받지 아니하고 개인정보를 수집한 자”로 규율하고 있으며, 대법원 판례는 舊정보통신망법 제22조 제1항 위반에 대한 판단의 근거로 동법 제26조의2 및 시행령 제12조 제1항을 위반한 것을 제시, 방송통신위원회의 “명시적인 동의를 받지 않았다”는 처분 사항에 대해 대법원 역시 “적법한 동의를 받지 않았다”고 판단한바, 동의 받는 방법을 위반한 경우 '적법한 동의가 없었다’고 평가가 가능하다.
다. 관련 가이드라인
2017년 2월에 발간된 “온라인 맞춤형 광고 개인정보보호 가이드라인”은 “광고 사업자가 행태정보와 개인정보를 결합할 경우에는 이용자에게 해당 사실과 사용목적, 결합되는 정보항목, 보유기간 등을 명확히 알리고, 해당 이용자로부터 사전에 동의를 받아야 한다.”라고 안내하고 있다.
3. 위법성 판단
피심인은 영리를 목적으로 인터넷을 통해 정보를 제공하거나 정보의 제공을 매개하는 서비스를 제공하고 있으므로, 정보통신서비스 제공자이며, 해당 서비스에 가입한 이용자의 개인정보를 처리하고 있다.
따라서, 피심인이 피심인 서비스에 가입한 이용자의 개인정보로서 타사 행태정보를 수집ㆍ이용하기 위해서는 그 수집ㆍ이용 주체 피심인이 舊정보통신망법 제22조 제1항에 따라 법정 고지사항을 이용자에게 명확히 알리고 동의를 받아야 한다.
또한, 앞서 살펴본 바와 같이 개인정보 수집ㆍ이용에 관한 동의와 개인정보 처리방침은 별개의 것으로 규율하고 있고, 개인정보 처리방침 전문이 아닌 별도의 개인정보 수집ㆍ이용 동의에 이용자의 타사 행태정보 수집 및 이용에 관한 사항을 포함하여 이용자에게 명확히 인지시키고 동의를 받아야 하나, 계정을 생성하는 과정에서 처리방침 전문을 확인하도록 한 것 외 별도로 법정 고지사항을 제시하고 동의받지 아니하였다.
피심인은 이용자가 계정 생성 시 작은 스크롤 화면에 “데이터 정책”(개인정보 처리방침) 전문을 보여주고 있어, 이용자가 해당 화면의 스크롤을 아래로 내려 타사 행태정보 수집과 관련한 사항으로 보이는 “서비스를 이용하는 웹사이트와 앱의 정보.”의 내용을 쉽게 확인할 수 없는바, 피심인이 이용자에게 타사 행태정보 수집ㆍ이용 사실을 명확히 인지시키고 동의를 받았다고 보기는 어렵다.
설령, 이용자가 작은 스크롤 화면을 내려 피심인의 “데이터 정책” 내 타사 행태정보 수집 관련 사항으로 보이는 내용을 읽어 보더라도, 피심인이 기재하고 있는 ' 측정 및 광고 서비스를 이용하는 타사 웹사이트 및 앱’을 확인하기 어렵고, 개발자나 게시자가 이용자 또는 피심인에게 제공하는 정보가 무엇인지도 알기 어려운바, 서비스를 이용하는 타사 웹사이트 및 앱과 수집되는 정보가 무엇인지 구체적으로 알 수 없다.
<img src="/LSW/flDownload.do?flSeq=150210829" alt="15번째 이미지"></img>
결론적으로 피심인은 이용자의 타사 행태정보를 해당 이용자의 명시적인 동의 없이 수집ㆍ이용하였으므로 舊정보통신망법 제22조 제1항을 위반한 것에 해당한다.
Ⅳ. 피심인 주장에 대한 검토
1. 피심인에 대한 조사의 수행을 누락하였다는 주장에 대하여
피심인은 2022년 사전통지가 회사에 통지되기 전까지, 회사는 어떠한 자료제출도 요구받지 않았고, 확인되지 않은 가정들에 근거하여, 회사에 대한 부당한 판단을 내렸으므로 적법절차의 원칙에 위배되고, 절차적 정당성을 완전히 상실한 것으로서, 정의 관념의 기본적 원칙에 명백히 위반하는 행위라고 주장한다.
또한, 이 사건 사전통지가 에 대한 조사 결과를 바탕으로 작성되었음을 명시적으로 인정하고 있고, 와 관련된 사실관계가 피심인에게 적용되는 이유에 관해서 설명하지 않았으며, 가 제공한 현재 사업에 대한 정보에 의존하여 혐의를 입증하려고 하고 있다고 주장한다.
그러나, 피심인은 2008년 10월 6일부터 2018년 7월 14일까지 한국에서 서비스를 제공하였고, 는 당시 다른 국가에서 서비스를 제공하였던 피심인의 모회사이다.
는 2010년 4월부터 이용자의 타사 행태정보를 수집하였다고 자료를 제출하였고, 피심인이 한국에 서비스를 제공하던 당시 서비스의 가입과정 및 데이터 정책 등은 피심인에게 다시 제출받지 않고도 확인 가능하였던바, 피심인이 이용자의 동의 없이 타사 행태정보를 수집ㆍ이용한 위반행위는 충분히 입증되었다.
이에 위원회는 2022년 에 대한 심의ㆍ의결 당시 피심인의 위반행위에 대해 심의ㆍ의결이 가능함에도, 피심인이 위원회의 사전통지에 대해 문제를 제기하여 피심인에 대한 심의ㆍ의결을 강행하지 않고, 조사내용(타사 행태정보 수집ㆍ이용 관련)이 포함된 자료제출 요구서를 「행정조사기본법」 및 「개인정보 보호위원회의 조사 및 처분에 관한 규정」(이하 '조사ㆍ처분 규정’)에 따라 7일 전 서면으로 통지하고 사실관계를 추가로 확인하였다.(각주:위원회는 피심인에게 ’22.6.28, 10.12. 통지하였으며 피심인은 ’22.7.29, 11.9. 제출함) 특히, 피심인에 대한 자료제출 요구서, 2022년 사전통지서, 2023년 사전통지서에는 위원회가 에 대한 조사과정에서 확인한 피심인의 위반행위와 관련한 사실관계, 피심인으로부터 제출받거나 및 의 과거 데이터 정책 등을 통해 확인한 피심인의 서비스 제공과 관련한 사실관계가 기재되어 있는바, 해당 사실관계에 대한 구체적인 의견을 제시하거나 반박 없이, 확인되지 않은 사실에 근거한다는 피심인의 막역한 주장은 수용할 수 없다.
2. 위원회가 별건 조사 자료의 이용 제한을 위반하였다는 주장에 대하여
피심인은 조사ㆍ처분 규정 제10조의2(각주:제10조의2(제출받은 자료의 사용 제한) 제10조에 따라 제출받은 자료와 조사를 통해 알게 된 정보는 해당 사건의 조사 원인분석 및 대책 마련 외의 목적으로는 사용하지 아니한다.) 및 보호법 제60조 제1호(각주:제60조(비밀유지 등) 제7조의8 및 제7조의9에 따른 보호위원회의 업무에 종사하거나 종사하였던 자는 직무상 알게 된 비밀을 다른 사람에게 누설하거나 직무상 목적 외의 용도로 이용하여서는 아니 된다. 다만, 다른 법률에 특별한 규정이 있는 경우에는 그러하지 아니하다.) 에 근거하여 에 대한 조사과정에서 알게 된 정보를 피심인에 대한 이 사건 사전통지 또는 처분을 내릴 목적으로 사용하는 것은 위법하다고 주장한다.
그러나 에 대한 조사와 피심인에 대한 조사는 서비스의 타사 행태정보 수집ㆍ이용 관련 사실관계를 조사한 것으로 같은 서비스를 조사한 사건이며, 해당 사실관계에 대해 피심인에게 직접 확인하는 조사절차도 진행하였다.
따라서, 이 사건 사전통지 또는 처분을 내릴 목적으로 에 대한 조사과정에서 알게 된 정보를 사용한 것이 보호법 제60조 위반에 해당한다는 피심인의 주장은 타당하지 않다.
3. 이 사건 사전통지에 적용 법령을 누락, 오기재하였다는 주장에 대하여
피심인은 위원회가 사전통지의 적용법령에 처분하고자 하는 내용 일부에 대응하는 적용법령을 누락하였고, 정보통신망법의 연혁 법령을 기재하지 않아 방어권이 침해되었다고 주장한다.
그러나 피심인에게 적용되는 법령을 별도 항목으로 구분하지 않았을 뿐 기재되어 있고, 정보통신망법 연혁 법령은 법조문 제정 이후 변경된 사실이 없어 방어권이 침해되었다고 보기 어려우나, 그럼에도 불구하고 정정하여 알려주고 의견제출 기한을 연장한 바 있다.
4. 행정조사 기본원칙을 위반하였다는 주장에 대하여
피심인은 에 더하여 한국에 서비스를 제공하지 않는 피심인에 대해 조사를 확대하는 것은 조사목적을 달성하는 데 필요한 최소한의 범위를 초과한 것으로 「행정조사기본법」 제4조 제1항 및 제4조 제4항(각주:제4조(행정조사의 기본원칙) ① 행정조사는 조사목적을 달성하는데 필요한 최소한의 범위 안에서 실시하여야 하며, 다른 목적 등을 위하여 조사권을 남용하여서는 아니 된다.
④ 행정조사는 법령등의 위반에 대한 처벌보다는 법령등을 준수하도록 유도하는 데 중점을 두어야 한다.) 에 위배된다고 주장한다.
그러나, 위원회는 서비스의 타사 행태정보 수집ㆍ이용 관련 사실관계를 조사한 것이고, 조사과정에서 확인된 피심인의 위반행위를 처분하지 않는 것이 오히려 적법하지 않을 수 있다.(각주:위원회는 서비스가 양도ㆍ양수되어 위반행위 주체가 두 개의 사업자인 경우, 각각의 위반행위 기간에 대해 과징금을 부과함(이용자 동의 없이 얼굴인식 템플릿을 수집한 피심인 및 에 대해 각각 과징금 부과, ’21.8.25.)) 5. 제출기한 연장 불허는 절차적 정당성 결여 및 방어권 침해라는 주장에 대하여
피심인은 외국기업으로 사전통지에 대응하기 위해 모든 문서를 번역하고 다른 시간대에 있는 이해당사자들과 협의하는 데 2주 이상의 시간이 소요되므로 의견 제출 기한에 대한 연장은 불가하다고 명시한 것은 이례적이고 방어권을 심각하게 제한하며 절차적 정당성이 결여되었음을 보여주는 것이라고 주장한다.
그러나 위원회는 조사ㆍ처분 규정에 따라 피심인에게 사전통지서에 대한 의견제출 기한을 14일(’23.5.31. 통지/’23.6.16. 限) 이상 부여하였는바, 절차상 하자가 있다고 볼 수 없다.
또한, 피심인은 법률대리인과의 계약 문제로 추가 행위에 관한 위임장 작성이 필요하다고 요청하여 2023년 6월 23일까지 의견제출 기한을 연장한 바 있다.
Ⅴ. 처분 및 결정
1. 과징금 부과
피심인의 舊정보통신망법 제22조 제1항 위반에 대하여 같은 법 제64조의3 제1항 제1호 및 「개인정보보호 법규 위반에 대한 과징금 부과기준」(방송통신위원회고시 제2015-30호) (이하 '과징금 부과기준’)에 따라 다음과 같이 과징금을 부과한다.
과징금은 ①위반행위와 관련한 매출액 산정, ②관련 매출액에 부과기준율을 곱하여 기준금액 산정, ③기준금액에 필수적 가중ㆍ감경, ④추가적 가중ㆍ감경을 거쳐 산정한다.
가. 과징금 상한액
피심인의 舊정보통신망법 제22조 제1항 위반에 대한 과징금 상한액은 같은 법 제64조의3 제1항 제1호에 따라 위반행위와 관련된 정보통신서비스의 직전 3개년도의 연평균 매출액의 100분의 3 이하에 해당하는 금액으로 한다.
나. 기준금액
1) 고의ㆍ중과실 여부
과징금 부과기준 제3조 제1항은, 舊정보통신망법 시행령 〔별표 8〕 2. 가. 1)에 따른 위반행위의 중대성의 판단기준 중 고의ㆍ중과실 여부는 영리 목적의 유무, 위반행위로 인한 개인정보의 피해규모 등을 고려하여 판단하도록 규정하고 있다.
이에 따를 때, 피심인은 영리를 목적으로 정보통신망을 통해 정보통신서비스인 서비스를 대한민국 이용자에게 제공하고 있는 정보통신서비스 제공자로서 ▲이용자의 타사 행태정보를 맞춤형 광고 등을 위해 사용하고 있는 점, ▲피심인의 서비스를 이용하는 대한민국 월간 활성 이용자 수는 18년 2분기 기준 명으로 방대하고, ▲위반행위로 인한 피해규모는 대한민국 월간 이용자 수 전체에 이르고 있는 점을 고려할 때, 피심인에게 고의ㆍ중과실이 있다고 판단한다.
2) 중대성의 판단
과징금 부과기준 제5조 제3항은, 위반 정보통신서비스 제공자등에게 고의ㆍ중과실이 있으면 위반행위의 중대성을 '매우 중대한 위반행위’로 판단하도록 규정하고 있으나, 단서 조항에서, ①위반행위로 인해 직접적으로 이득을 취득하지 않은 경우(제1호), ②위반행위로 인한 개인정보의 피해규모가 위반 정보통신서비스 제공자등이 보유하고 있는 개인정보의 100분의 5 이내인 경우(제2호), ③이용자의 개인정보가 공중에 노출되지 않은 경우(제3호) 중 모두에 해당할 때에는 '보통 위반행위’로, 1개 이상 2개 이하에 해당할 때에는 '중대한 위반행위’로 규정하고 있다.
위 기준을 적용하여 ①피심인이 직접적으로 이득을 취한 점, ②동의 없이 수집ㆍ이용한 한국 이용자의 개인정보는 피심인이 보유한 한국 이용자 개인정보의 5%를 초과한 점, ③이용자의 개인정보가 공중에 노출되지 않은 점 등을 종합적으로 고려할 때, 위반행위의 중대성을 '중대한 위반행위’로 판단하였다.
3) 관련 매출액 및 기준금액 산출
과징금 부과기준 제4조(관련 매출액 산정) 제1항에 따라 “관련 매출액은 위반 정보통신서비스 제공자등의 위반행위로 인하여 직접 또는 간접적으로 영향을 받는 서비스의 직전 3개 사업연도의 연평균 매출액으로 한다.”라고 규정되어 있으며, 또한 같은 조 제3항에는 “서비스에 대한 매출액은 회계자료를 참고하여 정하되, 이를 통해 위반행위와 관련한 서비스의 매출액을 산정하기 곤란한 경우에는 해당 정보통신서비스 제공자등의 과거 실적, 동종 유사 역무제공사업자의 과거 실적, 사업계획, 그 밖에 시장상황 등을 종합적으로 고려하여 매출액을 산정할 수 있다.”로 규정하고 있다.
피심인이 이용자의 동의 없이 타사 행태정보를 수집ㆍ이용한 위반행위는 2010년 4월부터 2018년 7월 14일까지이므로 관련 매출액은 직전 3개 사업연도인 2015년, 2016년, 2017년의 연평균 매출액으로 한다.
피심인의 관련 매출액은 서비스의 전 세계 매출액에서 서비스의 매출액을 제외하고, 위반행위 종료 직전 3개년도(’15~’17년)의 전 세계 이용자 중 대한민국 이용자(월별 활성 이용자) 비율을 곱한 금액의 3개년 평균 금액인 를 피심인의 관련 매출액으로 산정한다.
<img src="/LSW/flDownload.do?flSeq=150210831" alt="16번째 이미지"></img>
피심인의 위반행위는 舊정보통신망법 시행령 〔별표 8〕 2. 가. 1)에 따라 '중대한 위반행위’에 해당하므로 부과기준율 1천분의 21을 적용, 관련 매출액에 부과기준율을 곱한 를 기준금액으로 산정한다.
<img src="/LSW/flDownload.do?flSeq=150210833" alt="17번째 이미지"></img>
다. 필수적 가중 및 감경
피심인의 위반행위 기간이 2년을 초과('10.4.~’18.7.14.)하므로 기준금액의 100분의 50에 해당하는 를 가중하고, 피심인은 최근 3년간 2회(’20.11.25., ’21.8.25.) 과징금을 부과받았으나, 부과기준의 취지는 장래의 반복적인 법 위반 예방 목적으로서, 이건 위반행위가 과거 과징금 부과 이전에 종료(’18.7.14.)되어 최근 3년간 과징금 처분 실적에는 산입하지 않으므로 를 감액한다. 이에 필수적 가중ㆍ감경 절차를 거친 금액은 이다.
라. 추가적 가중 및 감경
과징금 부과기준 제8조는 사업자의 위반행위의 주도 여부, 조사의 협조 여부 등을 고려하여 필수적 가중ㆍ감경을 거친 금액의 100분의 50의 범위 내에서 [별표]에 따라 추가적으로 가중ㆍ감경할 수 있다고 규정하고 있으나, 피심인에 대해 특별히 가중하거나 감경할 사유는 없다.
마. 과징금의 결정
피심인의 舊정보통신망법 제22조 제1항 위반행위에 대한 과징금은 같은 법 제64조의3 제1항 제1호 및 과징금 부과기준에 따라 상기와 같이 단계별로 산출한 금액인 를 최종 과징금으로 결정한다.
<img src="/LSW/flDownload.do?flSeq=150210837" alt="18번째 이미지"></img>(각주:’23.7.26.(의결일) KEB하나은행에서 최초 고시한 매매기준율(1,280.70원)을 적용하여 원화로 환산) Ⅵ. 결론
피심인의 舊정보통신망법 제22조 제1항 위반행위에 대하여 같은 법 제64조의3 제1항 제1호에 의한 과징금 부과를 주문과 같이 의결한다.
피심인은 위원회의 과징금 부과처분에 불복이 있는 경우, 「행정심판법」 제27조 및 「행정소송법」 제20조의 규정에 따라 처분을 받은 날부터 90일 이내에 행정심판을 청구하거나 행정소송을 제기할 수 있다.
1. 조사 배경
에 대한 심의ㆍ의결사항은 2022년 제14회ㆍ제15회 위원회에서 심의ㆍ의결한 이용자의 동의 없이 타사 행태정보가 수집ㆍ이용된 사항과 관련된 것으로, 당초 2018년 7월 14일 이전 해당 서비스를 제공한 피심인을 함께 처분하고자 하였으나, 피심인이 조사절차(각주:피심인은 위원회의 사전 통지(’22.6.28.)에 대해 조사 결과는 ’18.7.14. 이전 실제 서비스 행태를 반영하지 못하고 있고, 위원회가 피심인 회사는 조사하지 않았다고 주장) 와 관련한 문제를 제기함에 따라 별도로 사실관계 조사를 진행하였다.(각주:위원회는 자료제출 요구 등을 통해 확인한 타사 행태정보 수집ㆍ이용 관련 사실관계가 舊정보통신망법 제23조 제3항 위반으로 판단되어 사전통지를 하였으나, 피심인이 한국에서 서비스의 제공을 종료한 2018년 7월 14일로부터 5년이 경과하여 「질서위반행위규제법」 제19조 제1항에 따라 과태료를 부과할 수 없음) <img src="/LSW/flDownload.do?flSeq=150210817" alt="1번째 이미지"></img>
2. 피심인 현황
피심인은 2008년 10월 6일부터 2018년 7월 14일 이전까지 한국 이용자들에게 서비스를 제공하였고 당시, 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」(이하 '舊정보통신망법’)의 개인정보보호 규정을 적용받았던 정보통신서비스 제공자로 피심인의 일반현황과 피심인이 한국 이용자에게 서비스 제공을 종료하기 직전 3개년의 매출액은 다음과 같다.
<img src="/LSW/flDownload.do?flSeq=150210839" alt="2번째 이미지"></img>
<img src="/LSW/flDownload.do?flSeq=150210843" alt="3번째 이미지"></img>
서비스의 한국 이용자 수는 2018년 2분기를 기준 약 명이며, 2015년부터 2017년까지 연도별 서비스를 이용하는 한국 이용자의 비율은 아래와 같다.
<img src="/LSW/flDownload.do?flSeq=150210845" alt="4번째 이미지"></img>
Ⅱ. 사실조사 결과
1. 피심인은 이용자의 타사 행태정보를 수집ㆍ이용함
피심인은 2010년 4월부터 (이하 ' ’)가 배포한
로그인, 픽셀, SDK 및 소셜 플러그인 등의 비즈니스 도구(이하 '행태정보 수집 도구’)를 통해 서비스에 가입한 이용자가 다른 웹사이트 및 앱을 방문ㆍ사용한 온라인 활동 기록인 타사 행태정보를 수집하여 맞춤형 광고 등에 이용(각주:(광고 및 서비스 표시 및 측정.) 은 서비스 내외에서 회원님에게 관련 광고를 표시하고 광고 및 서비스의 효과와 도달 범위를 측정하기 위해 광고와 측정 시스템을 개선할 수 있도록 보유한 정보를 활용
(안전 및 보안 강화.) 은 의심스러운 활동 조사 또는 약관이나 정책 위반 확인 등 계정을 인정하고 활동 내역을 확인하며, 서비스 내외의 안전 및 보안을 강화하기 위해 정보를 활용) 하였다.
피심인은 이용자의 타사 행태정보를 수집하기 위해 이용자 식별 쿠키(' ’ 등)와 모바일 광고 아이디(ADID, IDFA) 등을 사용(각주:피심인의 당시 쿠키 정책(https://ko-kr. .com/help/cookies) 및 아일랜드의 데이터보호위원회(Office of the Data Protection Commissioner)에서 수행하는 공개 감사의 쿠키 섹션 참고) 하였으며, 2018년 2분기 기준 전체 한국 이용자 수인 명 또는 이에 근접한 수의 이용자에 대해 타사 행태정보를 수집하였다.
피심인이 이용자의 타사 행태정보를 수집ㆍ이용하는 절차는 2022년 제14회 및 제15회 위원회에서 심의ㆍ의결한 의 타사 행태정보 수집ㆍ이용 절차와 같다.
<img src="/LSW/flDownload.do?flSeq=150210847" alt="5번째 이미지"></img>
2. 피심인은 계정 생성 시 데이터 정책 전문 외 별도로 법정 고지사항에 대한 동의를 받지 않음(각주:’22년 제14회 및 제15회 위원회에서 심의ㆍ의결시 확인한 서비스 계정 생성과정과 거의 동일
- ( ) 작은 스크롤 화면(5줄)에 데이터 정책 전문(694줄)을 게재함) 피심인은 계정을 생성하는 과정에서 필수적으로 선택을 해야 되는 “ 데이터 정책에 동의합니다.” 체크박스 위의 작은 스크롤 화면을 통해 행태정보 수집 관련 사항(“서비스를 이용하는 웹사이트와 앱의 정보.”)으로 보이는 내용이 포함된 “데이터 정책” 전문을 보여주고 있어, 이용자가 타사 행태정보 수집 사실을 명확히 인지하고 동의하였다고 볼 수 없다.
<img src="/LSW/flDownload.do?flSeq=150210849" alt="6번째 이미지"></img>
피심인은 데이터 정책 내 “서비스를 이용하는 웹사이트와 앱의 정보.”에서 “ 서비스를 이용하는 타사 웹사이트 및 앱을 방문하거나 사용할 때 방문하는 웹사이트 및 앱에 관한 정보, 해당 웹사이트 및 앱에서 회원님이 서비스를 이용한 정보, 앱 또는 웹사이트 개발자나 게시자가 회원님 또는 에 제공하는 정보가 포함”된다고 명시하였다.
<img src="/LSW/flDownload.do?flSeq=150210851" alt="7번째 이미지"></img>
이용자는 ' 측정 및 광고 서비스를 이용하는 타사 웹사이트 및 앱’을 확인하기 어렵고, 개발자나 게시자가 이용자 또는 피심인에게 제공하는 정보가 무엇인지도 알기 어려운바, 작은 스크롤 화면을 내려 데이터 정책 내 타사 행태정보 수집 관련 사항으로 보이는 내용을 읽어 보더라도 서비스를 이용하는 타사 웹사이트 및 앱과 수집되는 정보가 무엇인지 구체적으로 알 수 없다.
참고로 피심인이 서비스를 제공하던 시점인 2018년 7월 14일 이전에는 이용자가 피심인의 타사 행태정보 수집을 사후적으로도 거부할 수 없었다.(각주:이용자의 및 계정정보와 타사 행태정보의 결합을 해제하고 향후에도 결합되지 않도록 설정할 수 있는 “ 외부 활동(타사 행태정보 수집 설정)” 도구는 가 ’19.8.에 출시함) 3. 피심인은 행태정보 수집 주체가 타사 웹사이트 및 앱이라고 주장하나, 당시 피심인의 데이터 정책은 피심인을 수집 주체로 명확하게 명시함
피심인은 이용자의 타사 행태정보를 수집하기 위해 사용하는 ' ’ 등 이용자 식별자를 이용한 것을 인정하면서도 이는 타사 웹사이트 또는 앱이 자신들의 이익과 사업목적을 위해 를 이용하여 이용자들의 타사 행태정보를 수집한 것이라고 주장하였다.
<img src="/LSW/flDownload.do?flSeq=150210853" alt="8번째 이미지"></img>
그러나 피심인은 2016년 9월 29일 시행된 의 데이터 정책의 “ 에서 수집하는 정보의 종류” 부분에 타사 행태정보 관련 내용으로 보이는 “서비스를 이용하는 타사 웹사이트와 앱의 정보.”를 명시하고, 보유한 정보를 피심인의 수집 목적인 이용자에게 관련 광고를 표시하고 광고와 측정 시스템을 개선하는 데 사용한다고 기재하였다.
<img src="/LSW/flDownload.do?flSeq=150210855" alt="9번째 이미지"></img>
<img src="/LSW/flDownload.do?flSeq=150210819" alt="10번째 이미지"></img>
피심인의 쿠키 정책 또한 타사 행태정보 수집에 사용하는 쿠키를 “광고, 인사이트 및 측정”을 위해 사용하고, 계정이 있는 경우를 구분하여 온라인 관심사 기반 광고를 볼 것인지 여부를 피심인이 제공하는 광고 설정(각주:이용자가 서비스에 로그인을 한 경우 광고 설정 기능을 사용할 수 있음) 에서 관리할 수 있다고 명시되어 있었다.
<img src="/LSW/flDownload.do?flSeq=150210821" alt="11번째 이미지"></img>
<img src="/LSW/flDownload.do?flSeq=150210823" alt="12번째 이미지"></img>
Ⅲ. 피심인의 행위에 대한 위법성 판단
1. 기초 사실 및 판단
가. 조사 처분 범위
피심인에 대한 조사 처분의 범위는 타사 행태정보 수집 유형 중 서비스에 가입하여 아이디, 이름, 생년월일, 성별 등 회원의 개인정보를 명확히 알아볼 수 있는 서비스 이용자(회원)의 온라인 활동 기록인 타사 행태정보를 수집ㆍ이용하는 행위이다.
피심인은 맞춤형 광고 등을 위해 회원의 타사 행태정보를 수집ㆍ이용하고 있다.
이용자(회원) 식별자 기반의 행태정보 수집ㆍ이용을 처분 범위로 삼은 것은 익명성을 상실시키고 이용자의 모든 기기를 추적, 온라인 활동을 모니터링(감시)하여 이용자의 사상ㆍ신념, 정치적 견해, 건강, 신체적ㆍ생리적ㆍ행동적 특징 및 민감정보를 생성하고 식별할 가능성이 높기 때문이다.(각주:European Data Protection Board(이하 'EDPB’) 가이드라인 역시 플랫폼 회원(이용자 식별자)의 타사 행태정보 수집ㆍ이용을 규율 범위로 삼고 있으며, 이용자의 행태정보 수집과 관련하여 관심사 및 기타 특성 추론, 인종ㆍ민족ㆍ건강ㆍ성적지향 등과 관련된 차별과 배제의 가능성, 개인의 사고 과정 및 감정ㆍ행동 등에 영향을 미쳐 이용자를 조작할 가능성, 온라인 활동 감시 등의 위험성을 언급(Guidelines 8/2020 on the targeting of social media users version 2.0, ’21.4.13)) 나. 타사 행태정보의 개인정보성
舊정보통신망법에서 개인정보란 생존하는 개인에 관한 정보로서 성명ㆍ주민등록번호 등에 의하여 특정한 개인을 알아볼 수 있는 부호ㆍ문자ㆍ음성ㆍ음향 및 영상 등의 정보를 말하며, 해당 정보만으로는 특정 개인을 알아볼 수 없어도 다른 정보와 쉽게 결합하여 알아볼 수 있는 경우에는 그 정보를 포함한다고 규정하고 있다.
피심인은 가입한 이용자를 식별하기 위한 정보로서 회원번호, 아이디, 휴대전화번호, 이메일 등의 개인정보를 사용하며, 회원 여부를 식별하기 위한 이용자 식별자와 결합하여 행태정보를 수집ㆍ이용하므로 이때의 행태정보는 '다른 정보와 쉽게 결합하여 특정 개인을 알아볼 수 있는’ 이용자의 개인정보에 해당한다.
다. 타사 행태정보 수집ㆍ이용의 주체
피심인은 영리를 목적으로 SNS 등의 온라인 서비스를 운영하면서 이용자의 개인정보를 수집하고 있고, 업무를 목적으로 개인정보파일을 운용하기 위해 이러한 개인정보를 처리하였으며, 특히, 맞춤형 광고, 서비스 제공ㆍ개선ㆍ개발 등을 위해 이용자 식별자를 기반으로 그 이용자의 타사 행태정보를 수집ㆍ이용하였다.
피심인의 수익을 위하여 에 가입한 이용자에게 맞춤형 광고를 보여주는 것 등은 피심인의 업무 목적에 해당하고, 이를 위해 이용자의 다른 개인정보(회원정보)와 타사 행태정보를 결합하여 체계적으로 구성ㆍ운영하는 것은 개인정보파일을 운용하는 것에 해당한다.
피심인이 수집하는 타사 행태정보는, 서비스에 가입한 이용자의 기기에서 피심인이 생성ㆍ저장한 이용자 식별자와 함께 피심인에게 직접 전송ㆍ수집되며 최종적으로 서비스에 가입한 이용자 계정과 결합하여 이용된다.
사업자는 이 과정에서 ①피심인에게 수집되는 행태정보를 보거나 저장할 수 없고, ②사업자 서비스에 가입한 회원의 계정과 결합할 수 없으며, ③특정 개인을 식별할 수도 없다.
사업자는 가 제작ㆍ배포한 행태정보 수집 도구를 설치하여 피심인의 행태정보 수집 과정에 보조적인 역할을 하나, 행태정보 수집 도구에는 피심인이 필수로 수집하는 항목(접속한 웹ㆍ앱)은 정해져 있고, 이는 사업자가 임의로 변경할 수 없다.
따라서, 타사 행태정보 수집ㆍ이용의 목적과 수단, 전체 정보처리 과정의 흐름을 종합해보면 피심인이 그 처리 과정에서 주도적인 관리ㆍ통제권을 행사하는 주체이므로 피심인이 이용자의 동의를 받아야 함이 마땅하다.
가 행태정보 수집 도구를 직접 제작하여 사업자에게 배포하고, 피심인은 이를 통하여 서비스를 이용하는 이용자가 제3자인 사업자의 웹사이트 또는 앱을 사용한 정보를 수집하여 이를 맞춤형 광고 등의 목적에 활용하는 한 피심인이 개인정보 수집ㆍ이용 주체라는 사실을 부인할 수 없다.
라. 타사 행태정보의 특수성
타사 행태정보는 이용자가 .의 행태정보 수집 도구가 설치된 사업자의 웹ㆍ앱 서비스를 사용하는 과정에서 자동 수집되며, 행태정보 수집 도구는 사업자의 웹사이트 및 앱의 소스코드에 포함되어 있어, 통상의 이용자라면 수집 도구의 설치 여부를 확인하기 어렵고, 이용자는 이러한 행태정보가 피심인에 자동 수집되는 것을 인지하기 어려울 뿐 아니라, 서비스에 타사 행태정보가 꼭 필요한 요소라고 예측하기도 어렵다.
또한 타사 행태정보가 축적되는 경우, 이용자에 대한 빅데이터가 형성되어 사상ㆍ신념, 정치적 견해, 건강, 신체적ㆍ생리적ㆍ행동적 특징, 기타 이용자의 사생활을 현저히 침해할 우려가 있는 민감정보가 생성될 가능성도 높아지는바, 이는 개인정보를 보호하고자 하는 법 취지를 훼손하는 결과로 이어질 수 있다.(각주:타사 행태정보 수집 자체로 보호법 상 민감정보의 처리로 보기는 어려우나, 이를 수집ㆍ이용함으로써 실질적으로 민감정보를 수집하는 것이 될 수 있어 법이 규제하고자 하는 바를 교묘히 빠져나가는 결과가 발생할 수 있음) 마. 타사 행태정보 수집ㆍ이용의 적법한 동의 방법
타사 행태정보를 수집ㆍ이용하기 위해서는 수집하는 타사 행태정보의 ’항목(각주:타사 행태정보의 항목은 '타사’와 '행태정보’를 특정함으로써 명확한 기재가 가능할 것인바, 전자의 경우 타사의 범위가 고정되어 있지 않고 수시로 변동될 경우 그 타사를 특정하는 것이 현실적으로 어려울 수 있으므로, 이러한 경우에는 (개인정보를 제공받는 제3자의 특정이 어려운 경우와 유사하게) 타사의 유형을 구체적으로 최대한 누락 없이 알리거나 변동 가능한 목록을 공개하는 등의 방식으로 타사를 특정한 뒤 동의를 받는 방식을 고려할 수 있음 또한 후자의 경우 행태정보 수집도구에 배포 당시부터 설정되어 있는 수집 대상 항목들을 기재하는 방식으로 특정할 수 있을 것임) ', '수집ㆍ이용 목적(각주:예컨대 그 수집ㆍ이용 목적인 이용자의 '관심 분야 분석ㆍ생성’, '맞춤형 광고 게재’ 등을 기재) ’, '보유ㆍ이용 기간’의 '구체적인 내용’을 통상의 이용자가 용이하게 알아볼 수 있도록 그 전부를 쉽고 명확하게 게재하여야 하며, 동의 여부를 표시할 수 있는 부분과 밀접하게 배치하여 이용자가 이를 인지하여 확인할 수 있는 상태에서 동의 여부를 판단, 명확한 인식하에 동의의 표시를 할 수 있도록 실행방법이 마련되어야 한다.
아울러, 피심인이 이용자의 타사 행태정보를 수집하기 위해서는 이용자가 ① 에 가입하고, ② 에 로그인한 후, 최종적으로 ③사업자의 웹ㆍ앱 이용 절차를 거치므로, 가입 및 로그인 시점에 동의를 받을 수 있다.
바. 계약 이행을 위해 타사 행태정보를 동의 없이 사용할 수 있는지 여부
舊정보통신망법은 계약 이행을 위해 개인정보가 필요한 경우라 하더라도 '경제적ㆍ기술적인 사유로 통상적인 동의를 받는 것이 뚜렷하게 곤란한 경우’가 아니면 동의를 받도록 하고 있으며, 앞서 「마. 적법한 동의 방법」에서 보듯이 피심인은 행태정보가 수집되기 이전인 회원가입 시, 동의를 받을 수 있으므로 동의를 받는 것이 뚜렷하게 곤란한 경우에 해당하지 않는다.
사. 타사 행태정보 수집 관련 '정보통신서비스 제공자-이용자’ 관계 해당 여부
피심인은 영리를 목적으로 정보통신망을 통해 서비스를 한국 이용자에게 제공하였던 정보통신망법 제2조 제1항 제3호에 따른 정보통신서비스 제공자이다.
피심인이 수집한 타사 행태정보는 서비스를 제공하면서 정보통신서비스 이용관계(약관 동의 및 개인정보 수집ㆍ이용 동의)를 맺고 계정을 생성한 이용자의 '온라인 활동 기록’으로, 해당 서비스에 가입한 '특정 이용자가 여러 사업자의 웹사이트 및 앱을 방문ㆍ사용한 정보’이다.(각주:특정 사업자가 자신의 정보통신 서비스를 제공하는 과정에서 수집한 '여러 이용자의 개인정보(이름, 성별, 연락처, 서비스 이용기록 등)’와는 전혀 다른 형태의 정보임) 즉, 피심인이 수집ㆍ이용한 이용자의 타사 행태정보는 사업자와 해당 이용자 사이에 이용관계를 맺었는지 여부를 불문하고 피심인과의 이용관계에 따라 수집ㆍ이용된다.
따라서, 피심인이 자신의 정보통신서비스에 계정을 생성한 가입자의 개인정보로서 타사 행태정보를 수집한 것이므로, 이는 정보통신서비스 제공자인 피심인이 이용자의 개인정보를 수집ㆍ이용한 것에 해당한다.
2. 관련 법령의 규정 및 법리
가. 舊정보통신망법상 '이용자’의 동의
舊정보통신망법 제22조 제1항은 정보통신서비스 제공자는 이용자의 개인정보를 이용하려고 수집하는 경우 ①개인정보의 수집ㆍ이용 목적, ②수집하는 개인정보의 항목, ③개인정보의 보유ㆍ이용 기간(이하 '법정 고지사항’)의 모든 사항을 이용자에게 알리고 동의를 받도록 규정하고 있다.
이에 대한 연혁을 살펴보면, 개인정보 수집 및 이용 등에 관한 동의는 이용약관, 개인정보 처리방침과 별개의 것으로 규율하고 있는 것으로 확인된다.
< 개인정보 수집ㆍ이용 동의 조항의 연혁(각주:정보통신망 이용촉진 및 정보보호 등에 관한 법률 일부개정법률안 검토보고서(국회 과학기술정보통신위원회, 2006. 11.)) >
<img src="/LSW/flDownload.do?flSeq=150210825" alt="13번째 이미지"></img>
舊정보통신망법 시행령 제12조 제1항은 “정보통신서비스 제공자 등은 동의를 얻어야 할 사항을 이용자가 명확하게 인지하고 확인할 수 있도록 표시하여야 한다.”라고 규정하고 있으며, 그 구체적인 방법으로 “인터넷 사이트에 동의 내용을 게재하고 이용자가 동의 여부를 표시하도록 하는 방법”을 명시하고 있다.
즉, 舊정보통신망법은 개인정보의 처리에 관한 내용을 이용자가 쉽게 확인하고 알아볼 수 있도록 명확히 표시하여 이용자가 동의 범위 등에 대한 실질적인 선택 및 결정권을 행사할 수 있도록 하고 있다.
나. 관련 판례
대법원(각주:대법원 2016. 6. 28. 선고 2014두2638 판결) 은 정보통신서비스 제공자가 이용자로부터 개인정보 수집ㆍ제공에 관하여 적법한 동의를 받기 위해서는 이용자가 개인정보 제공에 관한 결정권을 충분히 자유롭게 행사할 수 있도록
① 통상의 이용자라면 용이하게 법정 고지사항의 구체적 내용을 알아볼 수 있을 정도로 법정 고지사항 전부를 명확하게 게재하여야 하며,
② 법정 고지사항을 게재하는 부분과 이용자의 동의 여부를 표시할 수 있는 부분을 밀접하게 배치하여 이용자가 법정 고지사항을 인지하여 확인할 수 있는 상태에서 개인정보의 수집ㆍ제공에 대한 동의 여부를 판단할 수 있어야 하고,
③ 그에 따른 동의의 표시는 이용자가 개인정보의 수집ㆍ제공에 동의를 한다는 명확한 인식 하에 행하여질 수 있도록 그 실행방법이 마련되어야 한다고 판시하였다.
특히 위 대법원 판례의 하급심인 1심 및 2심 판결에서는 인식 가능성을 부여하는 것만으로는 명시적ㆍ실질적 동의에 해당하지 않는다고 밝혔다.
<img src="/LSW/flDownload.do?flSeq=150210827" alt="14번째 이미지"></img>
한편, 법정 고지사항을 제대로 알리지 않는 등 동의 받는 방법을 위반한 경우, '동의를 받았으나 방법에 문제가 있었다’고 평가할 것인지, 아니면 '적법한 동의가 없었다’고 평가할 것인지에 대해 舊정보통신망법 제22조 제1항은 “이용자의 동의를 받지 아니하고 개인정보를 수집한 자”로 규율하고 있으며, 대법원 판례는 舊정보통신망법 제22조 제1항 위반에 대한 판단의 근거로 동법 제26조의2 및 시행령 제12조 제1항을 위반한 것을 제시, 방송통신위원회의 “명시적인 동의를 받지 않았다”는 처분 사항에 대해 대법원 역시 “적법한 동의를 받지 않았다”고 판단한바, 동의 받는 방법을 위반한 경우 '적법한 동의가 없었다’고 평가가 가능하다.
다. 관련 가이드라인
2017년 2월에 발간된 “온라인 맞춤형 광고 개인정보보호 가이드라인”은 “광고 사업자가 행태정보와 개인정보를 결합할 경우에는 이용자에게 해당 사실과 사용목적, 결합되는 정보항목, 보유기간 등을 명확히 알리고, 해당 이용자로부터 사전에 동의를 받아야 한다.”라고 안내하고 있다.
3. 위법성 판단
피심인은 영리를 목적으로 인터넷을 통해 정보를 제공하거나 정보의 제공을 매개하는 서비스를 제공하고 있으므로, 정보통신서비스 제공자이며, 해당 서비스에 가입한 이용자의 개인정보를 처리하고 있다.
따라서, 피심인이 피심인 서비스에 가입한 이용자의 개인정보로서 타사 행태정보를 수집ㆍ이용하기 위해서는 그 수집ㆍ이용 주체 피심인이 舊정보통신망법 제22조 제1항에 따라 법정 고지사항을 이용자에게 명확히 알리고 동의를 받아야 한다.
또한, 앞서 살펴본 바와 같이 개인정보 수집ㆍ이용에 관한 동의와 개인정보 처리방침은 별개의 것으로 규율하고 있고, 개인정보 처리방침 전문이 아닌 별도의 개인정보 수집ㆍ이용 동의에 이용자의 타사 행태정보 수집 및 이용에 관한 사항을 포함하여 이용자에게 명확히 인지시키고 동의를 받아야 하나, 계정을 생성하는 과정에서 처리방침 전문을 확인하도록 한 것 외 별도로 법정 고지사항을 제시하고 동의받지 아니하였다.
피심인은 이용자가 계정 생성 시 작은 스크롤 화면에 “데이터 정책”(개인정보 처리방침) 전문을 보여주고 있어, 이용자가 해당 화면의 스크롤을 아래로 내려 타사 행태정보 수집과 관련한 사항으로 보이는 “서비스를 이용하는 웹사이트와 앱의 정보.”의 내용을 쉽게 확인할 수 없는바, 피심인이 이용자에게 타사 행태정보 수집ㆍ이용 사실을 명확히 인지시키고 동의를 받았다고 보기는 어렵다.
설령, 이용자가 작은 스크롤 화면을 내려 피심인의 “데이터 정책” 내 타사 행태정보 수집 관련 사항으로 보이는 내용을 읽어 보더라도, 피심인이 기재하고 있는 ' 측정 및 광고 서비스를 이용하는 타사 웹사이트 및 앱’을 확인하기 어렵고, 개발자나 게시자가 이용자 또는 피심인에게 제공하는 정보가 무엇인지도 알기 어려운바, 서비스를 이용하는 타사 웹사이트 및 앱과 수집되는 정보가 무엇인지 구체적으로 알 수 없다.
<img src="/LSW/flDownload.do?flSeq=150210829" alt="15번째 이미지"></img>
결론적으로 피심인은 이용자의 타사 행태정보를 해당 이용자의 명시적인 동의 없이 수집ㆍ이용하였으므로 舊정보통신망법 제22조 제1항을 위반한 것에 해당한다.
Ⅳ. 피심인 주장에 대한 검토
1. 피심인에 대한 조사의 수행을 누락하였다는 주장에 대하여
피심인은 2022년 사전통지가 회사에 통지되기 전까지, 회사는 어떠한 자료제출도 요구받지 않았고, 확인되지 않은 가정들에 근거하여, 회사에 대한 부당한 판단을 내렸으므로 적법절차의 원칙에 위배되고, 절차적 정당성을 완전히 상실한 것으로서, 정의 관념의 기본적 원칙에 명백히 위반하는 행위라고 주장한다.
또한, 이 사건 사전통지가 에 대한 조사 결과를 바탕으로 작성되었음을 명시적으로 인정하고 있고, 와 관련된 사실관계가 피심인에게 적용되는 이유에 관해서 설명하지 않았으며, 가 제공한 현재 사업에 대한 정보에 의존하여 혐의를 입증하려고 하고 있다고 주장한다.
그러나, 피심인은 2008년 10월 6일부터 2018년 7월 14일까지 한국에서 서비스를 제공하였고, 는 당시 다른 국가에서 서비스를 제공하였던 피심인의 모회사이다.
는 2010년 4월부터 이용자의 타사 행태정보를 수집하였다고 자료를 제출하였고, 피심인이 한국에 서비스를 제공하던 당시 서비스의 가입과정 및 데이터 정책 등은 피심인에게 다시 제출받지 않고도 확인 가능하였던바, 피심인이 이용자의 동의 없이 타사 행태정보를 수집ㆍ이용한 위반행위는 충분히 입증되었다.
이에 위원회는 2022년 에 대한 심의ㆍ의결 당시 피심인의 위반행위에 대해 심의ㆍ의결이 가능함에도, 피심인이 위원회의 사전통지에 대해 문제를 제기하여 피심인에 대한 심의ㆍ의결을 강행하지 않고, 조사내용(타사 행태정보 수집ㆍ이용 관련)이 포함된 자료제출 요구서를 「행정조사기본법」 및 「개인정보 보호위원회의 조사 및 처분에 관한 규정」(이하 '조사ㆍ처분 규정’)에 따라 7일 전 서면으로 통지하고 사실관계를 추가로 확인하였다.(각주:위원회는 피심인에게 ’22.6.28, 10.12. 통지하였으며 피심인은 ’22.7.29, 11.9. 제출함) 특히, 피심인에 대한 자료제출 요구서, 2022년 사전통지서, 2023년 사전통지서에는 위원회가 에 대한 조사과정에서 확인한 피심인의 위반행위와 관련한 사실관계, 피심인으로부터 제출받거나 및 의 과거 데이터 정책 등을 통해 확인한 피심인의 서비스 제공과 관련한 사실관계가 기재되어 있는바, 해당 사실관계에 대한 구체적인 의견을 제시하거나 반박 없이, 확인되지 않은 사실에 근거한다는 피심인의 막역한 주장은 수용할 수 없다.
2. 위원회가 별건 조사 자료의 이용 제한을 위반하였다는 주장에 대하여
피심인은 조사ㆍ처분 규정 제10조의2(각주:제10조의2(제출받은 자료의 사용 제한) 제10조에 따라 제출받은 자료와 조사를 통해 알게 된 정보는 해당 사건의 조사 원인분석 및 대책 마련 외의 목적으로는 사용하지 아니한다.) 및 보호법 제60조 제1호(각주:제60조(비밀유지 등) 제7조의8 및 제7조의9에 따른 보호위원회의 업무에 종사하거나 종사하였던 자는 직무상 알게 된 비밀을 다른 사람에게 누설하거나 직무상 목적 외의 용도로 이용하여서는 아니 된다. 다만, 다른 법률에 특별한 규정이 있는 경우에는 그러하지 아니하다.) 에 근거하여 에 대한 조사과정에서 알게 된 정보를 피심인에 대한 이 사건 사전통지 또는 처분을 내릴 목적으로 사용하는 것은 위법하다고 주장한다.
그러나 에 대한 조사와 피심인에 대한 조사는 서비스의 타사 행태정보 수집ㆍ이용 관련 사실관계를 조사한 것으로 같은 서비스를 조사한 사건이며, 해당 사실관계에 대해 피심인에게 직접 확인하는 조사절차도 진행하였다.
따라서, 이 사건 사전통지 또는 처분을 내릴 목적으로 에 대한 조사과정에서 알게 된 정보를 사용한 것이 보호법 제60조 위반에 해당한다는 피심인의 주장은 타당하지 않다.
3. 이 사건 사전통지에 적용 법령을 누락, 오기재하였다는 주장에 대하여
피심인은 위원회가 사전통지의 적용법령에 처분하고자 하는 내용 일부에 대응하는 적용법령을 누락하였고, 정보통신망법의 연혁 법령을 기재하지 않아 방어권이 침해되었다고 주장한다.
그러나 피심인에게 적용되는 법령을 별도 항목으로 구분하지 않았을 뿐 기재되어 있고, 정보통신망법 연혁 법령은 법조문 제정 이후 변경된 사실이 없어 방어권이 침해되었다고 보기 어려우나, 그럼에도 불구하고 정정하여 알려주고 의견제출 기한을 연장한 바 있다.
4. 행정조사 기본원칙을 위반하였다는 주장에 대하여
피심인은 에 더하여 한국에 서비스를 제공하지 않는 피심인에 대해 조사를 확대하는 것은 조사목적을 달성하는 데 필요한 최소한의 범위를 초과한 것으로 「행정조사기본법」 제4조 제1항 및 제4조 제4항(각주:제4조(행정조사의 기본원칙) ① 행정조사는 조사목적을 달성하는데 필요한 최소한의 범위 안에서 실시하여야 하며, 다른 목적 등을 위하여 조사권을 남용하여서는 아니 된다.
④ 행정조사는 법령등의 위반에 대한 처벌보다는 법령등을 준수하도록 유도하는 데 중점을 두어야 한다.) 에 위배된다고 주장한다.
그러나, 위원회는 서비스의 타사 행태정보 수집ㆍ이용 관련 사실관계를 조사한 것이고, 조사과정에서 확인된 피심인의 위반행위를 처분하지 않는 것이 오히려 적법하지 않을 수 있다.(각주:위원회는 서비스가 양도ㆍ양수되어 위반행위 주체가 두 개의 사업자인 경우, 각각의 위반행위 기간에 대해 과징금을 부과함(이용자 동의 없이 얼굴인식 템플릿을 수집한 피심인 및 에 대해 각각 과징금 부과, ’21.8.25.)) 5. 제출기한 연장 불허는 절차적 정당성 결여 및 방어권 침해라는 주장에 대하여
피심인은 외국기업으로 사전통지에 대응하기 위해 모든 문서를 번역하고 다른 시간대에 있는 이해당사자들과 협의하는 데 2주 이상의 시간이 소요되므로 의견 제출 기한에 대한 연장은 불가하다고 명시한 것은 이례적이고 방어권을 심각하게 제한하며 절차적 정당성이 결여되었음을 보여주는 것이라고 주장한다.
그러나 위원회는 조사ㆍ처분 규정에 따라 피심인에게 사전통지서에 대한 의견제출 기한을 14일(’23.5.31. 통지/’23.6.16. 限) 이상 부여하였는바, 절차상 하자가 있다고 볼 수 없다.
또한, 피심인은 법률대리인과의 계약 문제로 추가 행위에 관한 위임장 작성이 필요하다고 요청하여 2023년 6월 23일까지 의견제출 기한을 연장한 바 있다.
Ⅴ. 처분 및 결정
1. 과징금 부과
피심인의 舊정보통신망법 제22조 제1항 위반에 대하여 같은 법 제64조의3 제1항 제1호 및 「개인정보보호 법규 위반에 대한 과징금 부과기준」(방송통신위원회고시 제2015-30호) (이하 '과징금 부과기준’)에 따라 다음과 같이 과징금을 부과한다.
과징금은 ①위반행위와 관련한 매출액 산정, ②관련 매출액에 부과기준율을 곱하여 기준금액 산정, ③기준금액에 필수적 가중ㆍ감경, ④추가적 가중ㆍ감경을 거쳐 산정한다.
가. 과징금 상한액
피심인의 舊정보통신망법 제22조 제1항 위반에 대한 과징금 상한액은 같은 법 제64조의3 제1항 제1호에 따라 위반행위와 관련된 정보통신서비스의 직전 3개년도의 연평균 매출액의 100분의 3 이하에 해당하는 금액으로 한다.
나. 기준금액
1) 고의ㆍ중과실 여부
과징금 부과기준 제3조 제1항은, 舊정보통신망법 시행령 〔별표 8〕 2. 가. 1)에 따른 위반행위의 중대성의 판단기준 중 고의ㆍ중과실 여부는 영리 목적의 유무, 위반행위로 인한 개인정보의 피해규모 등을 고려하여 판단하도록 규정하고 있다.
이에 따를 때, 피심인은 영리를 목적으로 정보통신망을 통해 정보통신서비스인 서비스를 대한민국 이용자에게 제공하고 있는 정보통신서비스 제공자로서 ▲이용자의 타사 행태정보를 맞춤형 광고 등을 위해 사용하고 있는 점, ▲피심인의 서비스를 이용하는 대한민국 월간 활성 이용자 수는 18년 2분기 기준 명으로 방대하고, ▲위반행위로 인한 피해규모는 대한민국 월간 이용자 수 전체에 이르고 있는 점을 고려할 때, 피심인에게 고의ㆍ중과실이 있다고 판단한다.
2) 중대성의 판단
과징금 부과기준 제5조 제3항은, 위반 정보통신서비스 제공자등에게 고의ㆍ중과실이 있으면 위반행위의 중대성을 '매우 중대한 위반행위’로 판단하도록 규정하고 있으나, 단서 조항에서, ①위반행위로 인해 직접적으로 이득을 취득하지 않은 경우(제1호), ②위반행위로 인한 개인정보의 피해규모가 위반 정보통신서비스 제공자등이 보유하고 있는 개인정보의 100분의 5 이내인 경우(제2호), ③이용자의 개인정보가 공중에 노출되지 않은 경우(제3호) 중 모두에 해당할 때에는 '보통 위반행위’로, 1개 이상 2개 이하에 해당할 때에는 '중대한 위반행위’로 규정하고 있다.
위 기준을 적용하여 ①피심인이 직접적으로 이득을 취한 점, ②동의 없이 수집ㆍ이용한 한국 이용자의 개인정보는 피심인이 보유한 한국 이용자 개인정보의 5%를 초과한 점, ③이용자의 개인정보가 공중에 노출되지 않은 점 등을 종합적으로 고려할 때, 위반행위의 중대성을 '중대한 위반행위’로 판단하였다.
3) 관련 매출액 및 기준금액 산출
과징금 부과기준 제4조(관련 매출액 산정) 제1항에 따라 “관련 매출액은 위반 정보통신서비스 제공자등의 위반행위로 인하여 직접 또는 간접적으로 영향을 받는 서비스의 직전 3개 사업연도의 연평균 매출액으로 한다.”라고 규정되어 있으며, 또한 같은 조 제3항에는 “서비스에 대한 매출액은 회계자료를 참고하여 정하되, 이를 통해 위반행위와 관련한 서비스의 매출액을 산정하기 곤란한 경우에는 해당 정보통신서비스 제공자등의 과거 실적, 동종 유사 역무제공사업자의 과거 실적, 사업계획, 그 밖에 시장상황 등을 종합적으로 고려하여 매출액을 산정할 수 있다.”로 규정하고 있다.
피심인이 이용자의 동의 없이 타사 행태정보를 수집ㆍ이용한 위반행위는 2010년 4월부터 2018년 7월 14일까지이므로 관련 매출액은 직전 3개 사업연도인 2015년, 2016년, 2017년의 연평균 매출액으로 한다.
피심인의 관련 매출액은 서비스의 전 세계 매출액에서 서비스의 매출액을 제외하고, 위반행위 종료 직전 3개년도(’15~’17년)의 전 세계 이용자 중 대한민국 이용자(월별 활성 이용자) 비율을 곱한 금액의 3개년 평균 금액인 를 피심인의 관련 매출액으로 산정한다.
<img src="/LSW/flDownload.do?flSeq=150210831" alt="16번째 이미지"></img>
피심인의 위반행위는 舊정보통신망법 시행령 〔별표 8〕 2. 가. 1)에 따라 '중대한 위반행위’에 해당하므로 부과기준율 1천분의 21을 적용, 관련 매출액에 부과기준율을 곱한 를 기준금액으로 산정한다.
<img src="/LSW/flDownload.do?flSeq=150210833" alt="17번째 이미지"></img>
다. 필수적 가중 및 감경
피심인의 위반행위 기간이 2년을 초과('10.4.~’18.7.14.)하므로 기준금액의 100분의 50에 해당하는 를 가중하고, 피심인은 최근 3년간 2회(’20.11.25., ’21.8.25.) 과징금을 부과받았으나, 부과기준의 취지는 장래의 반복적인 법 위반 예방 목적으로서, 이건 위반행위가 과거 과징금 부과 이전에 종료(’18.7.14.)되어 최근 3년간 과징금 처분 실적에는 산입하지 않으므로 를 감액한다. 이에 필수적 가중ㆍ감경 절차를 거친 금액은 이다.
라. 추가적 가중 및 감경
과징금 부과기준 제8조는 사업자의 위반행위의 주도 여부, 조사의 협조 여부 등을 고려하여 필수적 가중ㆍ감경을 거친 금액의 100분의 50의 범위 내에서 [별표]에 따라 추가적으로 가중ㆍ감경할 수 있다고 규정하고 있으나, 피심인에 대해 특별히 가중하거나 감경할 사유는 없다.
마. 과징금의 결정
피심인의 舊정보통신망법 제22조 제1항 위반행위에 대한 과징금은 같은 법 제64조의3 제1항 제1호 및 과징금 부과기준에 따라 상기와 같이 단계별로 산출한 금액인 를 최종 과징금으로 결정한다.
<img src="/LSW/flDownload.do?flSeq=150210837" alt="18번째 이미지"></img>(각주:’23.7.26.(의결일) KEB하나은행에서 최초 고시한 매매기준율(1,280.70원)을 적용하여 원화로 환산) Ⅵ. 결론
피심인의 舊정보통신망법 제22조 제1항 위반행위에 대하여 같은 법 제64조의3 제1항 제1호에 의한 과징금 부과를 주문과 같이 의결한다.
피심인은 위원회의 과징금 부과처분에 불복이 있는 경우, 「행정심판법」 제27조 및 「행정소송법」 제20조의 규정에 따라 처분을 받은 날부터 90일 이내에 행정심판을 청구하거나 행정소송을 제기할 수 있다.
출처: 국가법령정보센터 개인정보보호위원회 결정문. 신청인·피심인 등 당사자 칸은 따로 싣지 않습니다(본문의 이름은 원천이 가린 그대로입니다).