개인정보보호위원회
심의ㆍ의결
제2023-013-155호 (사건번호 : 2021조일0028)
개인정보보호 법규 위반행위에 대한 시정조치 등에 관한 건
의결일: 2023년 7월 26일
요지
안건번호 : 제2023-013-155호 (사건번호 : 2021조일0028)
안건명 : 개인정보보호 법규 위반행위에 대한 시정조치 등에 관한 건
의결연월일 : 2023. 7. 26.
안건명 : 개인정보보호 법규 위반행위에 대한 시정조치 등에 관한 건
의결연월일 : 2023. 7. 26.
주문
피심인에 대하여 다음과 같이 과징금을 부과한다.
가. 과 징 금 :
나. 납부기한 : 고지서에 명시된 납부기한 이내
다. 납부장소 : 한국은행 국고수납 대리점
가. 과 징 금 :
나. 납부기한 : 고지서에 명시된 납부기한 이내
다. 납부장소 : 한국은행 국고수납 대리점
이유
Ⅰ. 조사 개요
1. 조사 배경
(이하 '피심인’)에 대한 심의ㆍ의결사항은 2022년 제14회ㆍ제15회 위원회에서 심의ㆍ의결한 이용자의 동의 없이 타사 행태정보가 수집ㆍ이용된 사항과 관련된 것으로, 당초 2018년 7월 14일 이전 해당 서비스를 제공한 피심인을 함께 처분하고자 하였으나, 피심인이 조사절차(각주:피심인은 위원회의 사전 통지(’22.6.28.)에 대해 조사 결과는 ’18.7.14. 이전 실제 서비스 행태를 반영하지 못하고 있고, 위원회가 피심인 회사는 조사하지 않았다고 주장) 와 관련한 문제를 제기함에 따라 별도로 사실관계 조사를 진행하였다.(각주:위원회는 자료제출 요구 등을 통해 확인한 타사 행태정보 수집ㆍ이용 관련 사실관계가 舊정보통신망법 제23조 제3항 위반으로 판단되어 사전통지를 하였으나, 피심인이 한국에서 서비스의 제공을 종료한 2018년 7월 14일로부터 5년이 경과하여 「질서위반행위규제법」 제19조 제1항에 따라 과태료를 부과할 수 없음) <img src="/LSW/flDownload.do?flSeq=150210903" alt="1번째 이미지"></img>
2. 피심인 현황
피심인은 2012. 4. 7.부터 2018. 7. 14. 이전까지 한국 이용자에게
서비스를 제공하였고 당시, 「 정보통신망 이용촉진 및 정보보호 등에 관한 법률」(이하 '舊정보통신망법’)의 개인정보보호 규정을 적용받았던 정보통신서비스 제공자로 피심인의 일반현황과 피심인이 한국 이용자에게 서비스 제공을 종료하기 직전 3개년의 매출액은 다음과 같다.
<피심인 일반현황>
<img src="/LSW/flDownload.do?flSeq=150210915" alt="2번째 이미지"></img><img src="/LSW/flDownload.do?flSeq=150210917" alt="3번째 이미지"></img>
서비스의 한국 이용자 수는 2018년 2분기를 기준 약 명이며, 2015년부터 2017년까지 연도별 서비스를 이용하는 한국인 이용자 비율은 아래와 같다.
<img src="/LSW/flDownload.do?flSeq=150210919" alt="4번째 이미지"></img>
Ⅱ. 사실조사 결과
1. 피심인은 이용자의 타사 행태정보를 수집ㆍ이용함
피심인은 2015년부터 (이하 ' ’)가 배포한
로그인, 픽셀, SDK 및 소셜 플러그인 등의 비즈니스 도구(이하 '행태정보 수집 도구’)를 통해 서비스에 가입한 이용자가 다른 웹사이트 및 앱을 방문ㆍ사용한 온라인 활동 기록인 타사 행태정보를 수집하여 맞춤형 광고 등에 이용하였다.
피심인은 2018년 2분기 기준 전체 한국 이용자 수인 또는 이에 근접한 수의 이용자에 대해 타사 행태정보를 수집하였다.
피심인이 이용자의 타사 행태정보를 수집ㆍ이용하는 절차는 2022년 제14회 및 제15회 위원회에서 심의ㆍ의결한 의 타사 행태정보 수집ㆍ이용 절차와 같다.
<img src="/LSW/flDownload.do?flSeq=150210921" alt="5번째 이미지"></img>
2. 피심인은 계정 생성 시 법정 고지사항에 대한 동의를 받지 않으며, 개인정보 처리방침에도 타사 행태정보 관련 내용이 부존재함
피심인은 계정을 생성하는 과정에서 “가입하면 의 약관 및 개인정보처리방침에 동의하게 됩니다.”라는 문구에서 “개인정보처리방침”을 누르는 경우 “ 데이터 정책” 전문을 보여주고 있으나, 해당 데이터 정책에는 '타사 행태정보 관련 내용’이 확인되지 않는다.
피심인이 제출한 서비스의 2017년 11월 1일 데이터 정책에는 “이용자의 기기에 기기식별자를 저장할 수 있고, 이를 통해 이용자가 서비스를 이용하는 정보를 및 제3자 파트너에게 전달할 수 있으며, 맞춤형 광고를 제공하는 데 사용할 수 있다”고 기재되어 있으나, 해당 내용이 이용자가 제3자 웹사이트 및 앱을 방문ㆍ사용한 정보를 수집ㆍ이용하는 것으로 해석되지는 않는다.
또한, 이는 피심인이 이용자의 타사 행태정보를 수집ㆍ이용하기 전인 2013년 1월 19일 데이터 정책에도 기재되어 있어 타사 행태정보 관련 내용으로 판단하기는 어렵다.
<img src="/LSW/flDownload.do?flSeq=150210923" alt="6번째 이미지"></img>
참고로 피심인이 서비스를 제공하던 시점인 2018년 7월 14일 이전에는 이용자가 피심인의 타사 행태정보 수집을 사후적으로도 거부할 수 없었다.(각주:이용자의 및 계정정보와 타사 행태정보의 결합을 해제하고 향후에도 결합되지 않도록 설정할 수 있는 “ 외부 활동(타사 행태정보 수집 설정)” 도구는 가 ’19.8.에 출시함) 3. 피심인은 맞춤형 광고를 제공할 목적으로 타사 행태정보 수집ㆍ이용을 인정함
피심인은 2022년 11월 2일 답변서를 통해 “
”라고 답변하여, 이용자의 타사 행태정보를 수집ㆍ이용한 사실을 인정하였다.
<img src="/LSW/flDownload.do?flSeq=150210925" alt="7번째 이미지"></img>
한편, 피심인은 에 인수된 시점부터 2018년 7월 14일 이전까지의 개인정보 처리방침 등에 대한 자료를 제출하라는 요구와 관련하여, 2012년 8월 30일, 2013년 1월 19일, 2016년 6월 29일, 2017년 11월 1일, 2018년 4월 19일 시행된 영문 개인정보 처리방침과 2016년 6월 29일 시행된 국문 개인정보 처리방침을 제출하였다
그러나, 이 중 2016년 6월 29일 및 2018년 4월 19일 시행된 개인정보 처리방침은 피심인이 아닌 및 의 개인정보 처리방침으로 확인되고, 에 영업을 양도하기 전 마지막 처리방침은 2017년 11월 1일로 확인되며, 그 이전 처리방침은 2013년 1월 19일에 시행된 것으로 피심인의 개인정보 처리방침에서 타사 행태정보 수집ㆍ이용 관련 내용은 확인되지 않는다.
<img src="/LSW/flDownload.do?flSeq=150210927" alt="8번째 이미지"></img>
Ⅲ. 피심인의 행위에 대한 위법성 판단
1. 기초 사실 및 판단
가. 조사 처분 범위
피심인에 대한 조사 처분의 범위는 타사 행태정보 수집 유형 중
서비스에 가입하여 아이디, 이름, 생년월일, 성별 등 회원의 개인정보를 명확히 알아볼 수 있는 서비스 이용자(회원)의 온라인 활동 기록인 타사 행태정보를 수집ㆍ이용하는 행위이다.
피심인은 맞춤형 광고 등을 위해 회원의 타사 행태정보를 수집ㆍ이용하고 있다.
이용자(회원) 식별자 기반의 행태정보 수집ㆍ이용을 처분 범위로 삼은 것은 익명성을 상실시키고 이용자의 모든 기기를 추적, 온라인 활동을 모니터링(감시)하여 이용자의 사상ㆍ신념, 정치적 견해, 건강, 신체적ㆍ생리적ㆍ행동적 특징 및 민감정보를 생성하고 식별할 가능성이 높기 때문이다.(각주:European Data Protection Board(이하 'EDPB’) 가이드라인 역시 플랫폼 회원(이용자 식별자)의 타사 행태정보 수집ㆍ이용을 규율 범위로 삼고 있으며, 이용자의 행태정보 수집과 관련하여 관심사 및 기타 특성 추론, 인종ㆍ민족ㆍ건강ㆍ성적지향 등과 관련된 차별과 배제의 가능성, 개인의 사고 과정 및 감정ㆍ행동 등에 영향을 미쳐 이용자를 조작할 가능성, 온라인 활동 감시 등의 위험성을 언급(Guidelines 8/2020 on the targeting of social media users version 2.0, ’21.4.13)) 나. 타사 행태정보의 개인정보성
舊정보통신망법에서 개인정보란 생존하는 개인에 관한 정보로서 성명ㆍ주민등록번호 등에 의하여 특정한 개인을 알아볼 수 있는 부호ㆍ문자ㆍ음성ㆍ음향 및 영상 등의 정보를 말하며, 해당 정보만으로는 특정 개인을 알아볼 수 없어도 다른 정보와 쉽게 결합하여 알아볼 수 있는 경우에는 그 정보를 포함한다고 규정하고 있다.
피심인은 가입한 이용자를 식별하기 위한 정보로서 회원번호, 아이디, 휴대전화번호, 이메일 등의 개인정보를 사용하며, 회원 여부를 식별하기 위한 이용자 식별자와 결합하여 행태정보를 수집ㆍ이용하므로 이때의 행태정보는 '다른 정보와 쉽게 결합하여 특정 개인을 알아볼 수 있는’ 이용자의 개인정보에 해당한다.
다. 타사 행태정보 수집ㆍ이용의 주체
피심인은 영리를 목적으로 SNS 등의 온라인 서비스를 운영하면서 이용자의 개인정보를 수집하고 있고, 업무를 목적으로 개인정보파일을 운용하기 위해 이러한 개인정보를 처리하였으며, 특히, 맞춤형 광고 등을 위해 이용자 식별자를 기반으로 그 이용자의 타사 행태정보를 수집ㆍ이용하였다.
피심인의 수익을 위하여 에 가입한 이용자에게 맞춤형 광고를 보여주는 것 등은 피심인의 업무 목적에 해당하고, 이를 위해 이용자의 다른 개인정보(회원정보)와 타사 행태정보를 결합하여 체계적으로 구성ㆍ운영하는 것은 개인정보파일을 운용하는 것에 해당한다.
피심인이 수집하는 타사 행태정보는, 서비스에 가입한 이용자의 기기에서 피심인이 생성ㆍ저장한 이용자 식별자와 함께 피심인에게 직접 전송ㆍ수집되며 최종적으로 서비스에 가입한 이용자 계정과 결합하여 이용된다.
사업자는 이 과정에서 ①피심인에게 수집되는 행태정보를 보거나 저장할 수 없고, ②사업자 서비스에 가입한 회원의 계정과 결합할 수 없으며, ③특정 개인을 식별할 수도 없다.
사업자는 가 제작ㆍ배포한 행태정보 수집 도구를 설치하여 피심인의 행태정보 수집 과정에 보조적인 역할을 하나, 행태정보 수집 도구에 피심인이 필수로 수집하는 항목(접속한 웹ㆍ앱)은 정해져 있고, 이는 사업자가 임의로 변경할 수 없다.
따라서, 타사 행태정보 수집ㆍ이용의 목적과 수단, 전체 정보처리 과정의 흐름을 종합해보면 피심인이 그 처리 과정에서 주도적인 관리ㆍ통제권을 행사하는 주체이므로 피심인이 이용자의 동의를 받아야 함이 마땅하다.
가 행태정보 수집 도구를 직접 제작하여 사업자에게 배포하고, 피심인은 이를 통하여 서비스를 이용하는 이용자가 제3자인 사업자의 웹사이트 또는 앱을 사용한 정보를 수집하여 이를 맞춤형 광고 등의 목적에 활용하는 한 피심인이 개인정보 수집ㆍ이용 주체라는 사실을 부인할 수 없다.
라. 타사 행태정보의 특수성
타사 행태정보는 이용자가 의 행태정보 수집 도구가 설치된 사업자의 웹ㆍ앱 서비스를 사용하는 과정에서 자동 수집되며, 행태정보 수집 도구는 사업자의 웹사이트 및 앱의 소스코드에 포함되어 있어, 통상의 이용자라면 수집 도구의 설치 여부를 확인하기 어렵고, 이용자는 이러한 행태정보가 피심인에 자동 수집되는 것을 인지하기 어려울 뿐 아니라, 서비스에 타사 행태정보가 꼭 필요한 요소라고 예측하기도 어렵다.
또한 타사 행태정보가 축적되는 경우, 이용자에 대한 빅데이터가 형성되어 사상ㆍ신념, 정치적 견해, 건강, 신체적ㆍ생리적ㆍ행동적 특징, 기타 이용자의 사생활을 현저히 침해할 우려가 있는 민감정보가 생성될 가능성도 높아지는바, 이는 개인정보를 보호하고자 하는 법 취지를 훼손하는 결과로 이어질 수 있다.(각주:타사 행태정보 수집 자체로 舊정보통신망법 상 민감정보의 처리로 보기는 어려우나, 이를 수집ㆍ이용함으로써 실질적으로 민감정보를 수집하는 것이 될 수 있어 법이 규제하고자 하는 바를 교묘히 빠져나가는 결과가 발생할 수 있음) 마. 타사 행태정보 수집ㆍ이용의 적법한 동의 방법
타사 행태정보를 수집ㆍ이용하기 위해서는 수집하는 타사 행태정보의 ’항목(각주:타사 행태정보의 항목은 '타사’와 '행태정보’를 특정함으로써 명확한 기재가 가능할 것인바, 전자의 경우 타사의 범위가 고정되어 있지 않고 수시로 변동될 경우 그 타사를 특정하는 것이 현실적으로 어려울 수 있으므로, 이러한 경우에는 (개인정보를 제공받는 제3자의 특정이 어려운 경우와 유사하게) 타사의 유형을 구체적으로 최대한 누락 없이 알리거나 변동 가능한 목록을 공개하는 등의 방식으로 타사를 특정한 뒤 동의를 받는 방식을 고려할 수 있음 또한 후자의 경우 행태정보 수집도구에 배포 당시부터 설정되어 있는 수집 대상 항목들을 기재하는 방식으로 특정할 수 있을 것임) ', '수집ㆍ이용 목적(각주:예컨대 그 수집ㆍ이용 목적인 이용자의 '관심 분야 분석ㆍ생성’, '맞춤형 광고 게재’ 등을 기재) ’, '보유ㆍ이용 기간’의 '구체적인 내용’을 통상의 이용자가 용이하게 알아볼 수 있도록 그 전부를 쉽고 명확하게 게재하여야 하며, 동의 여부를 표시할 수 있는 부분과 밀접하게 배치하여 이용자가 이를 인지하여 확인할 수 있는 상태에서 동의 여부를 판단, 명확한 인식하에 동의의 표시를 할 수 있도록 실행방법이 마련되어야 한다.
아울러, 피심인이 이용자의 타사 행태정보를 수집하기 위해서는 이용자가 ①
에 가입하고, ② 에 로그인한 후, 최종적으로 ③사업자의 웹ㆍ앱 이용 절차를 거치므로, 가입 및 로그인 시점에 동의를 받을 수 있다.
바. 계약 이행을 위해 타사 행태정보를 동의 없이 사용할 수 있는지 여부
舊정보통신망법은 계약 이행을 위해 개인정보가 필요한 경우라 하더라도 '경제적ㆍ기술적인 사유로 통상적인 동의를 받는 것이 뚜렷하게 곤란한 경우’가 아니면 동의를 받도록 하고 있으며, 앞서 「마. 적법한 동의 방법」에서 보듯이 피심인은 행태정보가 수집되기 이전인 회원가입 시, 동의를 받을 수 있으므로 동의를 받는 것이 뚜렷하게 곤란한 경우에 해당하지 않는다.
사. 타사 행태정보 수집 관련 '정보통신서비스 제공자-이용자’ 관계 해당 여부
피심인은 영리를 목적으로 정보통신망을 통해 서비스를 한국 이용자에게 제공하였던 정보통신망법 제2조 제1항 제3호에 따른 정보통신서비스 제공자이다.
피심인이 수집한 타사 행태정보는 서비스를 제공하면서 정보통신서비스 이용관계(약관 동의 및 개인정보 수집ㆍ이용 동의)를 맺고 계정을 생성한 이용자의 '온라인 활동 기록’으로, 해당 서비스에 가입한 '특정 이용자가 여러 사업자의 웹사이트 및 앱을 방문ㆍ사용한 정보’이다.(각주:특정 사업자가 자신의 정보통신 서비스를 제공하는 과정에서 수집한 '여러 이용자의 개인정보(이름, 성별, 연락처, 서비스 이용기록 등)’와는 전혀 다른 형태의 정보임) 즉, 피심인이 수집ㆍ이용한 이용자의 타사 행태정보는 사업자와 해당 이용자 사이에 이용관계를 맺었는지 여부를 불문하고 피심인과의 이용관계에 따라 수집ㆍ이용된다.
따라서, 피심인이 자신의 정보통신서비스에 계정을 생성한 가입자의 개인정보로서 타사 행태정보를 수집한 것이므로, 이는 정보통신서비스 제공자인 피심인이 이용자의 개인정보를 수집ㆍ이용한 것에 해당한다.
2. 관련 법령의 규정 및 법리
가. 舊정보통신망법상 '이용자’의 동의
舊정보통신망법 제22조 제1항은 정보통신서비스 제공자는 이용자의 개인정보를 이용하려고 수집하는 경우 ①개인정보의 수집ㆍ이용 목적, ②수집하는 개인정보의 항목, ③개인정보의 보유ㆍ이용 기간(이하 '법정 고지사항’)의 모든 사항을 이용자에게 알리고 동의를 받도록 규정하고 있다.
이에 대한 연혁을 살펴보면, 개인정보 수집 및 이용 등에 관한 동의는 이용약관, 개인정보 처리방침과 별개의 것으로 규율하고 있는 것으로 확인된다.
< 개인정보 수집ㆍ이용 동의 조항의 연혁(각주:정보통신망 이용촉진 및 정보보호 등에 관한 법률 일부개정법률안 검토보고서(국회 과학기술정보통신위원회, 2006. 11.)) >
<img src="/LSW/flDownload.do?flSeq=150210929" alt="9번째 이미지"></img>
舊정보통신망법 시행령 제12조 제1항은 “정보통신서비스 제공자 등은 동의를 얻어야 할 사항을 이용자가 명확하게 인지하고 확인할 수 있도록 표시하여야 한다.”라고 규정하고 있으며, 그 구체적인 방법으로 “인터넷 사이트에 동의 내용을 게재하고 이용자가 동의 여부를 표시하도록 하는 방법”을 명시하고 있다.
즉, 舊정보통신망법은 개인정보의 처리에 관한 내용을 이용자가 쉽게 확인하고 알아볼 수 있도록 명확히 표시하여 이용자가 동의 범위 등에 대한 실질적인 선택 및 결정권을 행사할 수 있도록 하고 있다.
나. 관련 판례
대법원(각주:대법원 2016. 6. 28. 선고 2014두2638 판결) 은 정보통신서비스 제공자가 이용자로부터 개인정보 수집ㆍ제공에 관하여 적법한 동의를 받기 위해서는 이용자가 개인정보 제공에 관한 결정권을 충분히 자유롭게 행사할 수 있도록
① 통상의 이용자라면 용이하게 법정 고지사항의 구체적 내용을 알아볼 수 있을 정도로 법정 고지사항 전부를 명확하게 게재하여야 하며,
② 법정 고지사항을 게재하는 부분과 이용자의 동의 여부를 표시할 수 있는 부분을 밀접하게 배치하여 이용자가 법정 고지사항을 인지하여 확인할 수 있는 상태에서 개인정보의 수집ㆍ제공에 대한 동의 여부를 판단할 수 있어야 하고,
③ 그에 따른 동의의 표시는 이용자가 개인정보의 수집ㆍ제공에 동의를 한다는 명확한 인식 하에 행하여질 수 있도록 그 실행방법이 마련되어야 한다고 판시하였다.
특히 위 대법원 판례의 하급심인 1심 및 2심 판결에서는 인식 가능성을 부여하는 것만으로는 명시적ㆍ실질적 동의에 해당하지 않는다고 밝혔다.
<img src="/LSW/flDownload.do?flSeq=150210905" alt="10번째 이미지"></img>
<img src="/LSW/flDownload.do?flSeq=150210907" alt="11번째 이미지"></img>
한편, 법정 고지사항을 제대로 알리지 않는 등 동의 받는 방법을 위반한 경우, '동의를 받았으나 방법에 문제가 있었다’고 평가할 것인지, 아니면 '적법한 동의가 없었다’고 평가할 것인지에 대해 舊정보통신망법 제22조 제1항은 “이용자의 동의를 받지 아니하고 개인정보를 수집한 자”로 규율하고 있으며, 대법원 판례는 舊정보통신망법 제22조 제1항 위반에 대한 판단의 근거로 동법 제26조의2 및 시행령 제12조 제1항을 위반한 것을 제시, 방송통신위원회의 “명시적인 동의를 받지 않았다”는 처분 사항에 대해 대법원 역시 “적법한 동의를 받지 않았다”고 판단한바, 동의 받는 방법을 위반한 경우 '적법한 동의가 없었다’고 평가가 가능하다.
라. 관련 가이드라인
2017년 2월에 발간된 “온라인 맞춤형 광고 개인정보보호 가이드라인”은 “광고 사업자가 행태정보와 개인정보를 결합할 경우에는 이용자에게 해당 사실과 사용목적, 결합되는 정보항목, 보유기간 등을 명확히 알리고, 해당 이용자로부터 사전에 동의를 받아야 한다.”라고 안내하고 있다.
3. 위법성 판단
피심인은 영리를 목적으로 인터넷을 통해 정보를 제공하거나 정보의 제공을 매개하는 서비스를 제공하고 있으므로, 정보통신서비스 제공자이며, 해당 서비스에 가입한 이용자의 개인정보를 처리하고 있다.
따라서, 피심인이 피심인 서비스에 가입한 이용자의 개인정보로서 타사 행태정보를 수집ㆍ이용하기 위해서는 그 수집ㆍ이용 주체 피심인이 舊정보통신망법 제22조 제1항에 따라 법정 고지사항을 이용자에게 명확히 알리고 동의를 받아야 한다.
또한, 앞서 살펴본 바와 같이 개인정보 수집ㆍ이용에 관한 동의와 개인정보 처리방침은 별개의 것으로 규율하고 있고, 개인정보 처리방침 전문이 아닌 별도의 개인정보 수집ㆍ이용 동의에 이용자의 타사 행태정보 수집 및 이용에 관한 사항을 포함하여 이용자에게 명확히 인지시키고 동의를 받아야 하나, 계정을 생성하는 과정에서 처리방침 전문을 확인하도록 한 것 외 별도로 법정 고지사항을 제시하고 동의받지 아니하였다.
피심인은 이용자가 계정 생성 시 “가입하면 의 약관 및 개인정보처리방침에 동의하게 됩니다.” 문장에서 “개인정보처리방침” 링크를 누르지 않으면 처리방침 전문조차 확인이 안 되고, 이를 확인하지 않고도 가입 절차 진행이 가능하며, 심지어 처리방침에는 타사 행태정보와 관련한 내용조차 확인되지 않는바, 피심인이 이용자의 타사 행태정보를 수집ㆍ이용하는 것과 관련하여 이용자에게 명확히 인지시키고 동의를 받았다고 보기 어렵다.
따라서 피심인은 이용자의 타사 행태정보를 해당 이용자의 명시적인 동의 없이 수집하였으므로 舊정보통신망법 제22조 제1항을 위반한 것에 해당한다.
Ⅳ. 피심인 주장에 대한 검토
1. 를 대상으로 한 조사 결과는 피심인에게 처분을 내리는 근거가 될 수 없다는 주장에 대하여
피심인은 위원회 조사ㆍ처분 규정 제10조의2(각주:제10조의2(제출받은 자료의 사용 제한) 제10조에 따라 제출받은 자료와 조사를 통해 알게 된 정보는 해당 사건의 조사 원인분석 및 대책 마련 외의 목적으로는 사용하지 아니한다.) 에 따라 를 조사하면서 확인한 정보는 다른 사업자에 대한 제재 근거가 될 수 없다고 주장하며 사전통지서상 타사 행태정보 수집 기간 및 수(각주:2021년 9월 30일 기준) 는 조사 불충분 및 적법절차를 거치지 않았다는 점을 보여주는 예시라고 주장한다.
그러나 에 대한 조사와 피심인에 대한 조사는 서비스의 타사 행태정보 수집ㆍ이용 관련 사실관계를 조사한 것으로 같은 서비스를 조사한 사건으로 사건번호도 같고, 해당 사실관계에 대해 피심인에게 직접 확인하는 조사절차도 진행하였으며, 특히, 피심인은 가 지분 전량을 소유하고 있고, 소재지도 같으며, 2022년 4월 18일 는 자료 제출과정에서 피심인과 협의하였다고 답변하기도 한바, 피심인의 해당 주장은 타당하지 않다.
피심인이 조사 불충분 및 적법절차를 거치지 않았다면서 예시로 들고 있는 타사 행태정보 수집 기간 및 수와 관련하여서는 사전통지서에는 2018년 2분기 이용자 수 가 함께 기재되어 있는바, 타사 행태정보를 수집ㆍ이용한 건수는 해당 이용자 수에 해당한다.
2. 의견제출 기한 연장을 불허한 것은 정당한 절차를 결여하였고, 방어권 행사 기회를 박탈한 것이라는 주장에 대하여
피심인은 의견제출에 있어 2주는 불충분한 기간이고, 행위 시점으로부터 5년 이상 지났으며 번역, 시차와 같은 내부 검토 및 승인에 어려움이 있다고 주장한다.
또한, 피심인은 사전통지서에 기재된 연장 불가 사유 중 2022년 9월 14일 의 동일 사실관계에 대한 위법성을 판단한 바 있다는 내용은 피심인이 별도 법인이라는 점을 간과하고 검증 없이 서비스가 2015년부터 동일한 것으로 전제하는 문제(각주:위원회의 위법하다는 결론 도출은 확인되지 않은 사실에 근거하고 있고, 피심인이 와 동일한 사실이 적용된다는 근거 제시가 없음) 가 있다고 주장한다.
그러나, 위원회는 피심인에 조사ㆍ처분 규정에 따라 사전통지서에 대한 의견제출 기한을 14일(’23.5.31. 통지/’23.6.16. 限) 이상 부여하였는바, 절차상 하자가 있다고 볼 수 없다.
또한, 피심인은 2015년부터 픽셀ㆍSDK 등을 통해 타사 행태정보를 수집한 것을 인정하였는바, 2022년 사전통지서상 사실관계와 차이가 없으며, 특히, 통지한 조사 결과에 대해 구체적인 의견을 제시 또는 반박 없이, 확인되지 않은 사실 또는 근거 제시가 없다는 막연한 주장은 수용하기 곤란하다.
Ⅴ. 처분 및 결정
1. 과징금 부과
피심인의 舊정보통신망법 제22조 제1항 위반에 대하여 같은 법 제64조의3 제1항 제1호 및 「개인정보보호 법규 위반에 대한 과징금 부과기준」(방송통신위원회고시 제2015-30호) (이하 '과징금 부과기준’)에 따라 다음과 같이 과징금을 부과한다.
과징금은 ①위반행위와 관련한 매출액 산정, ②관련 매출액에 부과기준율을 곱하여 기준금액 산정, ③기준금액에 필수적 가중ㆍ감경, ④추가적 가중ㆍ감경을 거쳐 산정한다.
가. 과징금 상한액
피심인의 舊정보통신망법 제22조 제1항 위반에 대한 과징금 상한액은 같은 법 제64조의3 제1항 제1호에 따라 위반행위와 관련된 정보통신서비스의 직전 3개년도의 연평균 매출액의 100분의 3 이하에 해당하는 금액으로 한다.
나. 기준금액
1) 고의ㆍ중과실 여부
과징금 부과기준 제3조제1항은, 舊정보통신망법 시행령 〔별표 8〕 2. 가. 1)에 따른 위반행위의 중대성의 판단기준 중 고의ㆍ중과실 여부는 영리 목적의 유무, 위반행위로 인한 개인정보의 피해규모 등을 고려하여 판단하도록 규정하고 있다.
이에 따를 때, 피심인은 영리를 목적으로 정보통신망을 통해 정보통신서비스인 서비스를 대한민국 이용자에게 제공하고 있는 정보통신서비스 제공자로서 ▲이용자의 타사 행태정보를 맞춤형 광고 등을 위해 사용하고 있는 점, ▲피심인의 서비스를 이용하는 대한민국 월간 활성 이용자 계정 수는 18년 2분기 기준
명으로 방대하고, ▲위반행위로 인한 피해규모는 대한민국 월간 이용자 수 전체에 이르고 있는 점을 고려할 때, 피심인에게 고의ㆍ중과실이 있다고 판단한다.
2) 중대성의 판단
과징금 부과기준 제5조 제3항은, 위반 정보통신서비스 제공자등에게 고의ㆍ중과실이 있으면 위반행위의 중대성을 '매우 중대한 위반행위’로 판단하도록 규정하고 있으나, 단서 조항에서, ①위반행위로 인해 직접적으로 이득을 취득하지 않은 경우(제1호), ②위반행위로 인한 개인정보의 피해규모가 위반 정보통신서비스 제공자등이 보유하고 있는 개인정보의 100분의 5 이내인 경우(제2호), ③이용자의 개인정보가 공중에 노출되지 않은 경우(제3호) 중 모두에 해당할 때에는 '보통 위반행위’로, 1개 이상 2개 이하에 해당할 때에는 '중대한 위반행위’로 규정하고 있다.
위 기준을 적용하여 ①피심인이 직접적으로 이득을 취한 점, ②동의 없이 수집ㆍ이용한 한국 이용자의 개인정보는 피심인이 보유한 한국 이용자 개인정보의 5%를 초과한 점, ③이용자의 개인정보가 공중에 노출되지 않은 점 등을 종합적으로 고려할 때, 위반행위의 중대성을 '중대한 위반행위’로 판단하였다.
3) 관련 매출액 및 기준금액 산출
과징금 부과기준 제4조(관련 매출액 산정)제1항에 따라 “관련 매출액은 위반 정보통신서비스 제공자등의 위반행위로 인하여 직접 또는 간접적으로 영향을 받는 서비스의 직전 3개 사업연도의 연평균 매출액으로 한다.”라고 규정되어 있으며, 또한 같은 조 제3항에는 “서비스에 대한 매출액은 회계자료를 참고하여 정하되, 이를 통해 위반행위와 관련한 서비스의 매출액을 산정하기 곤란한 경우에는 해당 정보통신서비스 제공자등의 과거 실적, 동종 유사 역무제공사업자의 과거 실적, 사업계획, 그 밖에 시장상황 등을 종합적으로 고려하여 매출액을 산정할 수 있다.”로 규정하고 있다.
피심인이 이용자의 동의 없이 타사 행태정보를 수집ㆍ이용한 위반행위는 2015년부터 2018년 7월 14일까지이므로 관련 매출액은 직전 3개 사업연도인 2015년, 2016년, 2017년의 연평균 매출액으로 한다.
피심인의 관련 매출액은 피심인이 제출한 서비스의 전 세계 매출액에서 위반행위 종료 직전 3개년도(’15~’17년)의 전 세계 이용자 중 대한민국 이용자(월별 활성 이용자) 비율을 곱한 금액의 3개년 평균 금액인 를 피심인의 관련 매출액으로 산정한다.
<img src="/LSW/flDownload.do?flSeq=150210909" alt="12번째 이미지"></img>
피심인의 위반행위는 舊정보통신망법 시행령 〔별표 8〕 2. 가. 1)에 따라 '중대한 위반행위’에 해당하므로 부과기준율 1천분의 21을 적용, 관련 매출액에 부과기준율을 곱한 를 기준금액으로 산정한다.
<img src="/LSW/flDownload.do?flSeq=150210911" alt="13번째 이미지"></img>
다. 필수적 가중 및 감경
피심인의 위반행위 기간이 2년을 초과('15.~’18.7.14.)하므로 기준금액의 100분의 50에 해당하는 를 가중하고, 최근 3년간 과징금 처분을 받은 적이 없으므로 를 감액한다. 이에 필수적 가중ㆍ감경 절차를 거친 금액은 이다.
라. 추가적 가중 및 감경
과징금 부과기준 제8조는 사업자의 위반행위의 주도 여부, 조사의 협조 여부 등을 고려하여 필수적 가중ㆍ감경을 거친 금액의 100분의 50의 범위 내에서 [별표]에 따라 추가적으로 가중ㆍ감경할 수 있다고 규정하고 있으나, 피심인에 대해 특별히 가중하거나 감경할 사유는 없다.
마. 과징금의 결정
피심인의 舊정보통신망법 제22조 제1항 위반행위에 대한 과징금은 같은 법 제64조의3 제1항 제1호 및 과징금 부과기준에 따라 상기와 같이 단계별로 산출한 금액인 를 최종 과징금으로 결정한다.
<img src="/LSW/flDownload.do?flSeq=150210913" alt="14번째 이미지"></img>(각주:’23.7.26.(의결일) KEB하나은행에서 최초 고시한 매매기준율(1,280.70원)을 적용하여 원화로 환산) Ⅵ. 결론
피심인의 舊정보통신망법 제22조 제1항 위반행위에 대하여 같은 법 제64조의3 제1항 제1호에 의한 과징금 부과를 주문과 같이 의결한다.
피심인은 위원회의 과징금 부과처분에 불복이 있는 경우, 「행정심판법」 제27조 및 「행정소송법」 제20조의 규정에 따라 처분을 받은 날부터 90일 이내에 행정심판을 청구하거나 행정소송을 제기할 수 있다.
1. 조사 배경
(이하 '피심인’)에 대한 심의ㆍ의결사항은 2022년 제14회ㆍ제15회 위원회에서 심의ㆍ의결한 이용자의 동의 없이 타사 행태정보가 수집ㆍ이용된 사항과 관련된 것으로, 당초 2018년 7월 14일 이전 해당 서비스를 제공한 피심인을 함께 처분하고자 하였으나, 피심인이 조사절차(각주:피심인은 위원회의 사전 통지(’22.6.28.)에 대해 조사 결과는 ’18.7.14. 이전 실제 서비스 행태를 반영하지 못하고 있고, 위원회가 피심인 회사는 조사하지 않았다고 주장) 와 관련한 문제를 제기함에 따라 별도로 사실관계 조사를 진행하였다.(각주:위원회는 자료제출 요구 등을 통해 확인한 타사 행태정보 수집ㆍ이용 관련 사실관계가 舊정보통신망법 제23조 제3항 위반으로 판단되어 사전통지를 하였으나, 피심인이 한국에서 서비스의 제공을 종료한 2018년 7월 14일로부터 5년이 경과하여 「질서위반행위규제법」 제19조 제1항에 따라 과태료를 부과할 수 없음) <img src="/LSW/flDownload.do?flSeq=150210903" alt="1번째 이미지"></img>
2. 피심인 현황
피심인은 2012. 4. 7.부터 2018. 7. 14. 이전까지 한국 이용자에게
서비스를 제공하였고 당시, 「 정보통신망 이용촉진 및 정보보호 등에 관한 법률」(이하 '舊정보통신망법’)의 개인정보보호 규정을 적용받았던 정보통신서비스 제공자로 피심인의 일반현황과 피심인이 한국 이용자에게 서비스 제공을 종료하기 직전 3개년의 매출액은 다음과 같다.
<피심인 일반현황>
<img src="/LSW/flDownload.do?flSeq=150210915" alt="2번째 이미지"></img><img src="/LSW/flDownload.do?flSeq=150210917" alt="3번째 이미지"></img>
서비스의 한국 이용자 수는 2018년 2분기를 기준 약 명이며, 2015년부터 2017년까지 연도별 서비스를 이용하는 한국인 이용자 비율은 아래와 같다.
<img src="/LSW/flDownload.do?flSeq=150210919" alt="4번째 이미지"></img>
Ⅱ. 사실조사 결과
1. 피심인은 이용자의 타사 행태정보를 수집ㆍ이용함
피심인은 2015년부터 (이하 ' ’)가 배포한
로그인, 픽셀, SDK 및 소셜 플러그인 등의 비즈니스 도구(이하 '행태정보 수집 도구’)를 통해 서비스에 가입한 이용자가 다른 웹사이트 및 앱을 방문ㆍ사용한 온라인 활동 기록인 타사 행태정보를 수집하여 맞춤형 광고 등에 이용하였다.
피심인은 2018년 2분기 기준 전체 한국 이용자 수인 또는 이에 근접한 수의 이용자에 대해 타사 행태정보를 수집하였다.
피심인이 이용자의 타사 행태정보를 수집ㆍ이용하는 절차는 2022년 제14회 및 제15회 위원회에서 심의ㆍ의결한 의 타사 행태정보 수집ㆍ이용 절차와 같다.
<img src="/LSW/flDownload.do?flSeq=150210921" alt="5번째 이미지"></img>
2. 피심인은 계정 생성 시 법정 고지사항에 대한 동의를 받지 않으며, 개인정보 처리방침에도 타사 행태정보 관련 내용이 부존재함
피심인은 계정을 생성하는 과정에서 “가입하면 의 약관 및 개인정보처리방침에 동의하게 됩니다.”라는 문구에서 “개인정보처리방침”을 누르는 경우 “ 데이터 정책” 전문을 보여주고 있으나, 해당 데이터 정책에는 '타사 행태정보 관련 내용’이 확인되지 않는다.
피심인이 제출한 서비스의 2017년 11월 1일 데이터 정책에는 “이용자의 기기에 기기식별자를 저장할 수 있고, 이를 통해 이용자가 서비스를 이용하는 정보를 및 제3자 파트너에게 전달할 수 있으며, 맞춤형 광고를 제공하는 데 사용할 수 있다”고 기재되어 있으나, 해당 내용이 이용자가 제3자 웹사이트 및 앱을 방문ㆍ사용한 정보를 수집ㆍ이용하는 것으로 해석되지는 않는다.
또한, 이는 피심인이 이용자의 타사 행태정보를 수집ㆍ이용하기 전인 2013년 1월 19일 데이터 정책에도 기재되어 있어 타사 행태정보 관련 내용으로 판단하기는 어렵다.
<img src="/LSW/flDownload.do?flSeq=150210923" alt="6번째 이미지"></img>
참고로 피심인이 서비스를 제공하던 시점인 2018년 7월 14일 이전에는 이용자가 피심인의 타사 행태정보 수집을 사후적으로도 거부할 수 없었다.(각주:이용자의 및 계정정보와 타사 행태정보의 결합을 해제하고 향후에도 결합되지 않도록 설정할 수 있는 “ 외부 활동(타사 행태정보 수집 설정)” 도구는 가 ’19.8.에 출시함) 3. 피심인은 맞춤형 광고를 제공할 목적으로 타사 행태정보 수집ㆍ이용을 인정함
피심인은 2022년 11월 2일 답변서를 통해 “
”라고 답변하여, 이용자의 타사 행태정보를 수집ㆍ이용한 사실을 인정하였다.
<img src="/LSW/flDownload.do?flSeq=150210925" alt="7번째 이미지"></img>
한편, 피심인은 에 인수된 시점부터 2018년 7월 14일 이전까지의 개인정보 처리방침 등에 대한 자료를 제출하라는 요구와 관련하여, 2012년 8월 30일, 2013년 1월 19일, 2016년 6월 29일, 2017년 11월 1일, 2018년 4월 19일 시행된 영문 개인정보 처리방침과 2016년 6월 29일 시행된 국문 개인정보 처리방침을 제출하였다
그러나, 이 중 2016년 6월 29일 및 2018년 4월 19일 시행된 개인정보 처리방침은 피심인이 아닌 및 의 개인정보 처리방침으로 확인되고, 에 영업을 양도하기 전 마지막 처리방침은 2017년 11월 1일로 확인되며, 그 이전 처리방침은 2013년 1월 19일에 시행된 것으로 피심인의 개인정보 처리방침에서 타사 행태정보 수집ㆍ이용 관련 내용은 확인되지 않는다.
<img src="/LSW/flDownload.do?flSeq=150210927" alt="8번째 이미지"></img>
Ⅲ. 피심인의 행위에 대한 위법성 판단
1. 기초 사실 및 판단
가. 조사 처분 범위
피심인에 대한 조사 처분의 범위는 타사 행태정보 수집 유형 중
서비스에 가입하여 아이디, 이름, 생년월일, 성별 등 회원의 개인정보를 명확히 알아볼 수 있는 서비스 이용자(회원)의 온라인 활동 기록인 타사 행태정보를 수집ㆍ이용하는 행위이다.
피심인은 맞춤형 광고 등을 위해 회원의 타사 행태정보를 수집ㆍ이용하고 있다.
이용자(회원) 식별자 기반의 행태정보 수집ㆍ이용을 처분 범위로 삼은 것은 익명성을 상실시키고 이용자의 모든 기기를 추적, 온라인 활동을 모니터링(감시)하여 이용자의 사상ㆍ신념, 정치적 견해, 건강, 신체적ㆍ생리적ㆍ행동적 특징 및 민감정보를 생성하고 식별할 가능성이 높기 때문이다.(각주:European Data Protection Board(이하 'EDPB’) 가이드라인 역시 플랫폼 회원(이용자 식별자)의 타사 행태정보 수집ㆍ이용을 규율 범위로 삼고 있으며, 이용자의 행태정보 수집과 관련하여 관심사 및 기타 특성 추론, 인종ㆍ민족ㆍ건강ㆍ성적지향 등과 관련된 차별과 배제의 가능성, 개인의 사고 과정 및 감정ㆍ행동 등에 영향을 미쳐 이용자를 조작할 가능성, 온라인 활동 감시 등의 위험성을 언급(Guidelines 8/2020 on the targeting of social media users version 2.0, ’21.4.13)) 나. 타사 행태정보의 개인정보성
舊정보통신망법에서 개인정보란 생존하는 개인에 관한 정보로서 성명ㆍ주민등록번호 등에 의하여 특정한 개인을 알아볼 수 있는 부호ㆍ문자ㆍ음성ㆍ음향 및 영상 등의 정보를 말하며, 해당 정보만으로는 특정 개인을 알아볼 수 없어도 다른 정보와 쉽게 결합하여 알아볼 수 있는 경우에는 그 정보를 포함한다고 규정하고 있다.
피심인은 가입한 이용자를 식별하기 위한 정보로서 회원번호, 아이디, 휴대전화번호, 이메일 등의 개인정보를 사용하며, 회원 여부를 식별하기 위한 이용자 식별자와 결합하여 행태정보를 수집ㆍ이용하므로 이때의 행태정보는 '다른 정보와 쉽게 결합하여 특정 개인을 알아볼 수 있는’ 이용자의 개인정보에 해당한다.
다. 타사 행태정보 수집ㆍ이용의 주체
피심인은 영리를 목적으로 SNS 등의 온라인 서비스를 운영하면서 이용자의 개인정보를 수집하고 있고, 업무를 목적으로 개인정보파일을 운용하기 위해 이러한 개인정보를 처리하였으며, 특히, 맞춤형 광고 등을 위해 이용자 식별자를 기반으로 그 이용자의 타사 행태정보를 수집ㆍ이용하였다.
피심인의 수익을 위하여 에 가입한 이용자에게 맞춤형 광고를 보여주는 것 등은 피심인의 업무 목적에 해당하고, 이를 위해 이용자의 다른 개인정보(회원정보)와 타사 행태정보를 결합하여 체계적으로 구성ㆍ운영하는 것은 개인정보파일을 운용하는 것에 해당한다.
피심인이 수집하는 타사 행태정보는, 서비스에 가입한 이용자의 기기에서 피심인이 생성ㆍ저장한 이용자 식별자와 함께 피심인에게 직접 전송ㆍ수집되며 최종적으로 서비스에 가입한 이용자 계정과 결합하여 이용된다.
사업자는 이 과정에서 ①피심인에게 수집되는 행태정보를 보거나 저장할 수 없고, ②사업자 서비스에 가입한 회원의 계정과 결합할 수 없으며, ③특정 개인을 식별할 수도 없다.
사업자는 가 제작ㆍ배포한 행태정보 수집 도구를 설치하여 피심인의 행태정보 수집 과정에 보조적인 역할을 하나, 행태정보 수집 도구에 피심인이 필수로 수집하는 항목(접속한 웹ㆍ앱)은 정해져 있고, 이는 사업자가 임의로 변경할 수 없다.
따라서, 타사 행태정보 수집ㆍ이용의 목적과 수단, 전체 정보처리 과정의 흐름을 종합해보면 피심인이 그 처리 과정에서 주도적인 관리ㆍ통제권을 행사하는 주체이므로 피심인이 이용자의 동의를 받아야 함이 마땅하다.
가 행태정보 수집 도구를 직접 제작하여 사업자에게 배포하고, 피심인은 이를 통하여 서비스를 이용하는 이용자가 제3자인 사업자의 웹사이트 또는 앱을 사용한 정보를 수집하여 이를 맞춤형 광고 등의 목적에 활용하는 한 피심인이 개인정보 수집ㆍ이용 주체라는 사실을 부인할 수 없다.
라. 타사 행태정보의 특수성
타사 행태정보는 이용자가 의 행태정보 수집 도구가 설치된 사업자의 웹ㆍ앱 서비스를 사용하는 과정에서 자동 수집되며, 행태정보 수집 도구는 사업자의 웹사이트 및 앱의 소스코드에 포함되어 있어, 통상의 이용자라면 수집 도구의 설치 여부를 확인하기 어렵고, 이용자는 이러한 행태정보가 피심인에 자동 수집되는 것을 인지하기 어려울 뿐 아니라, 서비스에 타사 행태정보가 꼭 필요한 요소라고 예측하기도 어렵다.
또한 타사 행태정보가 축적되는 경우, 이용자에 대한 빅데이터가 형성되어 사상ㆍ신념, 정치적 견해, 건강, 신체적ㆍ생리적ㆍ행동적 특징, 기타 이용자의 사생활을 현저히 침해할 우려가 있는 민감정보가 생성될 가능성도 높아지는바, 이는 개인정보를 보호하고자 하는 법 취지를 훼손하는 결과로 이어질 수 있다.(각주:타사 행태정보 수집 자체로 舊정보통신망법 상 민감정보의 처리로 보기는 어려우나, 이를 수집ㆍ이용함으로써 실질적으로 민감정보를 수집하는 것이 될 수 있어 법이 규제하고자 하는 바를 교묘히 빠져나가는 결과가 발생할 수 있음) 마. 타사 행태정보 수집ㆍ이용의 적법한 동의 방법
타사 행태정보를 수집ㆍ이용하기 위해서는 수집하는 타사 행태정보의 ’항목(각주:타사 행태정보의 항목은 '타사’와 '행태정보’를 특정함으로써 명확한 기재가 가능할 것인바, 전자의 경우 타사의 범위가 고정되어 있지 않고 수시로 변동될 경우 그 타사를 특정하는 것이 현실적으로 어려울 수 있으므로, 이러한 경우에는 (개인정보를 제공받는 제3자의 특정이 어려운 경우와 유사하게) 타사의 유형을 구체적으로 최대한 누락 없이 알리거나 변동 가능한 목록을 공개하는 등의 방식으로 타사를 특정한 뒤 동의를 받는 방식을 고려할 수 있음 또한 후자의 경우 행태정보 수집도구에 배포 당시부터 설정되어 있는 수집 대상 항목들을 기재하는 방식으로 특정할 수 있을 것임) ', '수집ㆍ이용 목적(각주:예컨대 그 수집ㆍ이용 목적인 이용자의 '관심 분야 분석ㆍ생성’, '맞춤형 광고 게재’ 등을 기재) ’, '보유ㆍ이용 기간’의 '구체적인 내용’을 통상의 이용자가 용이하게 알아볼 수 있도록 그 전부를 쉽고 명확하게 게재하여야 하며, 동의 여부를 표시할 수 있는 부분과 밀접하게 배치하여 이용자가 이를 인지하여 확인할 수 있는 상태에서 동의 여부를 판단, 명확한 인식하에 동의의 표시를 할 수 있도록 실행방법이 마련되어야 한다.
아울러, 피심인이 이용자의 타사 행태정보를 수집하기 위해서는 이용자가 ①
에 가입하고, ② 에 로그인한 후, 최종적으로 ③사업자의 웹ㆍ앱 이용 절차를 거치므로, 가입 및 로그인 시점에 동의를 받을 수 있다.
바. 계약 이행을 위해 타사 행태정보를 동의 없이 사용할 수 있는지 여부
舊정보통신망법은 계약 이행을 위해 개인정보가 필요한 경우라 하더라도 '경제적ㆍ기술적인 사유로 통상적인 동의를 받는 것이 뚜렷하게 곤란한 경우’가 아니면 동의를 받도록 하고 있으며, 앞서 「마. 적법한 동의 방법」에서 보듯이 피심인은 행태정보가 수집되기 이전인 회원가입 시, 동의를 받을 수 있으므로 동의를 받는 것이 뚜렷하게 곤란한 경우에 해당하지 않는다.
사. 타사 행태정보 수집 관련 '정보통신서비스 제공자-이용자’ 관계 해당 여부
피심인은 영리를 목적으로 정보통신망을 통해 서비스를 한국 이용자에게 제공하였던 정보통신망법 제2조 제1항 제3호에 따른 정보통신서비스 제공자이다.
피심인이 수집한 타사 행태정보는 서비스를 제공하면서 정보통신서비스 이용관계(약관 동의 및 개인정보 수집ㆍ이용 동의)를 맺고 계정을 생성한 이용자의 '온라인 활동 기록’으로, 해당 서비스에 가입한 '특정 이용자가 여러 사업자의 웹사이트 및 앱을 방문ㆍ사용한 정보’이다.(각주:특정 사업자가 자신의 정보통신 서비스를 제공하는 과정에서 수집한 '여러 이용자의 개인정보(이름, 성별, 연락처, 서비스 이용기록 등)’와는 전혀 다른 형태의 정보임) 즉, 피심인이 수집ㆍ이용한 이용자의 타사 행태정보는 사업자와 해당 이용자 사이에 이용관계를 맺었는지 여부를 불문하고 피심인과의 이용관계에 따라 수집ㆍ이용된다.
따라서, 피심인이 자신의 정보통신서비스에 계정을 생성한 가입자의 개인정보로서 타사 행태정보를 수집한 것이므로, 이는 정보통신서비스 제공자인 피심인이 이용자의 개인정보를 수집ㆍ이용한 것에 해당한다.
2. 관련 법령의 규정 및 법리
가. 舊정보통신망법상 '이용자’의 동의
舊정보통신망법 제22조 제1항은 정보통신서비스 제공자는 이용자의 개인정보를 이용하려고 수집하는 경우 ①개인정보의 수집ㆍ이용 목적, ②수집하는 개인정보의 항목, ③개인정보의 보유ㆍ이용 기간(이하 '법정 고지사항’)의 모든 사항을 이용자에게 알리고 동의를 받도록 규정하고 있다.
이에 대한 연혁을 살펴보면, 개인정보 수집 및 이용 등에 관한 동의는 이용약관, 개인정보 처리방침과 별개의 것으로 규율하고 있는 것으로 확인된다.
< 개인정보 수집ㆍ이용 동의 조항의 연혁(각주:정보통신망 이용촉진 및 정보보호 등에 관한 법률 일부개정법률안 검토보고서(국회 과학기술정보통신위원회, 2006. 11.)) >
<img src="/LSW/flDownload.do?flSeq=150210929" alt="9번째 이미지"></img>
舊정보통신망법 시행령 제12조 제1항은 “정보통신서비스 제공자 등은 동의를 얻어야 할 사항을 이용자가 명확하게 인지하고 확인할 수 있도록 표시하여야 한다.”라고 규정하고 있으며, 그 구체적인 방법으로 “인터넷 사이트에 동의 내용을 게재하고 이용자가 동의 여부를 표시하도록 하는 방법”을 명시하고 있다.
즉, 舊정보통신망법은 개인정보의 처리에 관한 내용을 이용자가 쉽게 확인하고 알아볼 수 있도록 명확히 표시하여 이용자가 동의 범위 등에 대한 실질적인 선택 및 결정권을 행사할 수 있도록 하고 있다.
나. 관련 판례
대법원(각주:대법원 2016. 6. 28. 선고 2014두2638 판결) 은 정보통신서비스 제공자가 이용자로부터 개인정보 수집ㆍ제공에 관하여 적법한 동의를 받기 위해서는 이용자가 개인정보 제공에 관한 결정권을 충분히 자유롭게 행사할 수 있도록
① 통상의 이용자라면 용이하게 법정 고지사항의 구체적 내용을 알아볼 수 있을 정도로 법정 고지사항 전부를 명확하게 게재하여야 하며,
② 법정 고지사항을 게재하는 부분과 이용자의 동의 여부를 표시할 수 있는 부분을 밀접하게 배치하여 이용자가 법정 고지사항을 인지하여 확인할 수 있는 상태에서 개인정보의 수집ㆍ제공에 대한 동의 여부를 판단할 수 있어야 하고,
③ 그에 따른 동의의 표시는 이용자가 개인정보의 수집ㆍ제공에 동의를 한다는 명확한 인식 하에 행하여질 수 있도록 그 실행방법이 마련되어야 한다고 판시하였다.
특히 위 대법원 판례의 하급심인 1심 및 2심 판결에서는 인식 가능성을 부여하는 것만으로는 명시적ㆍ실질적 동의에 해당하지 않는다고 밝혔다.
<img src="/LSW/flDownload.do?flSeq=150210905" alt="10번째 이미지"></img>
<img src="/LSW/flDownload.do?flSeq=150210907" alt="11번째 이미지"></img>
한편, 법정 고지사항을 제대로 알리지 않는 등 동의 받는 방법을 위반한 경우, '동의를 받았으나 방법에 문제가 있었다’고 평가할 것인지, 아니면 '적법한 동의가 없었다’고 평가할 것인지에 대해 舊정보통신망법 제22조 제1항은 “이용자의 동의를 받지 아니하고 개인정보를 수집한 자”로 규율하고 있으며, 대법원 판례는 舊정보통신망법 제22조 제1항 위반에 대한 판단의 근거로 동법 제26조의2 및 시행령 제12조 제1항을 위반한 것을 제시, 방송통신위원회의 “명시적인 동의를 받지 않았다”는 처분 사항에 대해 대법원 역시 “적법한 동의를 받지 않았다”고 판단한바, 동의 받는 방법을 위반한 경우 '적법한 동의가 없었다’고 평가가 가능하다.
라. 관련 가이드라인
2017년 2월에 발간된 “온라인 맞춤형 광고 개인정보보호 가이드라인”은 “광고 사업자가 행태정보와 개인정보를 결합할 경우에는 이용자에게 해당 사실과 사용목적, 결합되는 정보항목, 보유기간 등을 명확히 알리고, 해당 이용자로부터 사전에 동의를 받아야 한다.”라고 안내하고 있다.
3. 위법성 판단
피심인은 영리를 목적으로 인터넷을 통해 정보를 제공하거나 정보의 제공을 매개하는 서비스를 제공하고 있으므로, 정보통신서비스 제공자이며, 해당 서비스에 가입한 이용자의 개인정보를 처리하고 있다.
따라서, 피심인이 피심인 서비스에 가입한 이용자의 개인정보로서 타사 행태정보를 수집ㆍ이용하기 위해서는 그 수집ㆍ이용 주체 피심인이 舊정보통신망법 제22조 제1항에 따라 법정 고지사항을 이용자에게 명확히 알리고 동의를 받아야 한다.
또한, 앞서 살펴본 바와 같이 개인정보 수집ㆍ이용에 관한 동의와 개인정보 처리방침은 별개의 것으로 규율하고 있고, 개인정보 처리방침 전문이 아닌 별도의 개인정보 수집ㆍ이용 동의에 이용자의 타사 행태정보 수집 및 이용에 관한 사항을 포함하여 이용자에게 명확히 인지시키고 동의를 받아야 하나, 계정을 생성하는 과정에서 처리방침 전문을 확인하도록 한 것 외 별도로 법정 고지사항을 제시하고 동의받지 아니하였다.
피심인은 이용자가 계정 생성 시 “가입하면 의 약관 및 개인정보처리방침에 동의하게 됩니다.” 문장에서 “개인정보처리방침” 링크를 누르지 않으면 처리방침 전문조차 확인이 안 되고, 이를 확인하지 않고도 가입 절차 진행이 가능하며, 심지어 처리방침에는 타사 행태정보와 관련한 내용조차 확인되지 않는바, 피심인이 이용자의 타사 행태정보를 수집ㆍ이용하는 것과 관련하여 이용자에게 명확히 인지시키고 동의를 받았다고 보기 어렵다.
따라서 피심인은 이용자의 타사 행태정보를 해당 이용자의 명시적인 동의 없이 수집하였으므로 舊정보통신망법 제22조 제1항을 위반한 것에 해당한다.
Ⅳ. 피심인 주장에 대한 검토
1. 를 대상으로 한 조사 결과는 피심인에게 처분을 내리는 근거가 될 수 없다는 주장에 대하여
피심인은 위원회 조사ㆍ처분 규정 제10조의2(각주:제10조의2(제출받은 자료의 사용 제한) 제10조에 따라 제출받은 자료와 조사를 통해 알게 된 정보는 해당 사건의 조사 원인분석 및 대책 마련 외의 목적으로는 사용하지 아니한다.) 에 따라 를 조사하면서 확인한 정보는 다른 사업자에 대한 제재 근거가 될 수 없다고 주장하며 사전통지서상 타사 행태정보 수집 기간 및 수(각주:2021년 9월 30일 기준) 는 조사 불충분 및 적법절차를 거치지 않았다는 점을 보여주는 예시라고 주장한다.
그러나 에 대한 조사와 피심인에 대한 조사는 서비스의 타사 행태정보 수집ㆍ이용 관련 사실관계를 조사한 것으로 같은 서비스를 조사한 사건으로 사건번호도 같고, 해당 사실관계에 대해 피심인에게 직접 확인하는 조사절차도 진행하였으며, 특히, 피심인은 가 지분 전량을 소유하고 있고, 소재지도 같으며, 2022년 4월 18일 는 자료 제출과정에서 피심인과 협의하였다고 답변하기도 한바, 피심인의 해당 주장은 타당하지 않다.
피심인이 조사 불충분 및 적법절차를 거치지 않았다면서 예시로 들고 있는 타사 행태정보 수집 기간 및 수와 관련하여서는 사전통지서에는 2018년 2분기 이용자 수 가 함께 기재되어 있는바, 타사 행태정보를 수집ㆍ이용한 건수는 해당 이용자 수에 해당한다.
2. 의견제출 기한 연장을 불허한 것은 정당한 절차를 결여하였고, 방어권 행사 기회를 박탈한 것이라는 주장에 대하여
피심인은 의견제출에 있어 2주는 불충분한 기간이고, 행위 시점으로부터 5년 이상 지났으며 번역, 시차와 같은 내부 검토 및 승인에 어려움이 있다고 주장한다.
또한, 피심인은 사전통지서에 기재된 연장 불가 사유 중 2022년 9월 14일 의 동일 사실관계에 대한 위법성을 판단한 바 있다는 내용은 피심인이 별도 법인이라는 점을 간과하고 검증 없이 서비스가 2015년부터 동일한 것으로 전제하는 문제(각주:위원회의 위법하다는 결론 도출은 확인되지 않은 사실에 근거하고 있고, 피심인이 와 동일한 사실이 적용된다는 근거 제시가 없음) 가 있다고 주장한다.
그러나, 위원회는 피심인에 조사ㆍ처분 규정에 따라 사전통지서에 대한 의견제출 기한을 14일(’23.5.31. 통지/’23.6.16. 限) 이상 부여하였는바, 절차상 하자가 있다고 볼 수 없다.
또한, 피심인은 2015년부터 픽셀ㆍSDK 등을 통해 타사 행태정보를 수집한 것을 인정하였는바, 2022년 사전통지서상 사실관계와 차이가 없으며, 특히, 통지한 조사 결과에 대해 구체적인 의견을 제시 또는 반박 없이, 확인되지 않은 사실 또는 근거 제시가 없다는 막연한 주장은 수용하기 곤란하다.
Ⅴ. 처분 및 결정
1. 과징금 부과
피심인의 舊정보통신망법 제22조 제1항 위반에 대하여 같은 법 제64조의3 제1항 제1호 및 「개인정보보호 법규 위반에 대한 과징금 부과기준」(방송통신위원회고시 제2015-30호) (이하 '과징금 부과기준’)에 따라 다음과 같이 과징금을 부과한다.
과징금은 ①위반행위와 관련한 매출액 산정, ②관련 매출액에 부과기준율을 곱하여 기준금액 산정, ③기준금액에 필수적 가중ㆍ감경, ④추가적 가중ㆍ감경을 거쳐 산정한다.
가. 과징금 상한액
피심인의 舊정보통신망법 제22조 제1항 위반에 대한 과징금 상한액은 같은 법 제64조의3 제1항 제1호에 따라 위반행위와 관련된 정보통신서비스의 직전 3개년도의 연평균 매출액의 100분의 3 이하에 해당하는 금액으로 한다.
나. 기준금액
1) 고의ㆍ중과실 여부
과징금 부과기준 제3조제1항은, 舊정보통신망법 시행령 〔별표 8〕 2. 가. 1)에 따른 위반행위의 중대성의 판단기준 중 고의ㆍ중과실 여부는 영리 목적의 유무, 위반행위로 인한 개인정보의 피해규모 등을 고려하여 판단하도록 규정하고 있다.
이에 따를 때, 피심인은 영리를 목적으로 정보통신망을 통해 정보통신서비스인 서비스를 대한민국 이용자에게 제공하고 있는 정보통신서비스 제공자로서 ▲이용자의 타사 행태정보를 맞춤형 광고 등을 위해 사용하고 있는 점, ▲피심인의 서비스를 이용하는 대한민국 월간 활성 이용자 계정 수는 18년 2분기 기준
명으로 방대하고, ▲위반행위로 인한 피해규모는 대한민국 월간 이용자 수 전체에 이르고 있는 점을 고려할 때, 피심인에게 고의ㆍ중과실이 있다고 판단한다.
2) 중대성의 판단
과징금 부과기준 제5조 제3항은, 위반 정보통신서비스 제공자등에게 고의ㆍ중과실이 있으면 위반행위의 중대성을 '매우 중대한 위반행위’로 판단하도록 규정하고 있으나, 단서 조항에서, ①위반행위로 인해 직접적으로 이득을 취득하지 않은 경우(제1호), ②위반행위로 인한 개인정보의 피해규모가 위반 정보통신서비스 제공자등이 보유하고 있는 개인정보의 100분의 5 이내인 경우(제2호), ③이용자의 개인정보가 공중에 노출되지 않은 경우(제3호) 중 모두에 해당할 때에는 '보통 위반행위’로, 1개 이상 2개 이하에 해당할 때에는 '중대한 위반행위’로 규정하고 있다.
위 기준을 적용하여 ①피심인이 직접적으로 이득을 취한 점, ②동의 없이 수집ㆍ이용한 한국 이용자의 개인정보는 피심인이 보유한 한국 이용자 개인정보의 5%를 초과한 점, ③이용자의 개인정보가 공중에 노출되지 않은 점 등을 종합적으로 고려할 때, 위반행위의 중대성을 '중대한 위반행위’로 판단하였다.
3) 관련 매출액 및 기준금액 산출
과징금 부과기준 제4조(관련 매출액 산정)제1항에 따라 “관련 매출액은 위반 정보통신서비스 제공자등의 위반행위로 인하여 직접 또는 간접적으로 영향을 받는 서비스의 직전 3개 사업연도의 연평균 매출액으로 한다.”라고 규정되어 있으며, 또한 같은 조 제3항에는 “서비스에 대한 매출액은 회계자료를 참고하여 정하되, 이를 통해 위반행위와 관련한 서비스의 매출액을 산정하기 곤란한 경우에는 해당 정보통신서비스 제공자등의 과거 실적, 동종 유사 역무제공사업자의 과거 실적, 사업계획, 그 밖에 시장상황 등을 종합적으로 고려하여 매출액을 산정할 수 있다.”로 규정하고 있다.
피심인이 이용자의 동의 없이 타사 행태정보를 수집ㆍ이용한 위반행위는 2015년부터 2018년 7월 14일까지이므로 관련 매출액은 직전 3개 사업연도인 2015년, 2016년, 2017년의 연평균 매출액으로 한다.
피심인의 관련 매출액은 피심인이 제출한 서비스의 전 세계 매출액에서 위반행위 종료 직전 3개년도(’15~’17년)의 전 세계 이용자 중 대한민국 이용자(월별 활성 이용자) 비율을 곱한 금액의 3개년 평균 금액인 를 피심인의 관련 매출액으로 산정한다.
<img src="/LSW/flDownload.do?flSeq=150210909" alt="12번째 이미지"></img>
피심인의 위반행위는 舊정보통신망법 시행령 〔별표 8〕 2. 가. 1)에 따라 '중대한 위반행위’에 해당하므로 부과기준율 1천분의 21을 적용, 관련 매출액에 부과기준율을 곱한 를 기준금액으로 산정한다.
<img src="/LSW/flDownload.do?flSeq=150210911" alt="13번째 이미지"></img>
다. 필수적 가중 및 감경
피심인의 위반행위 기간이 2년을 초과('15.~’18.7.14.)하므로 기준금액의 100분의 50에 해당하는 를 가중하고, 최근 3년간 과징금 처분을 받은 적이 없으므로 를 감액한다. 이에 필수적 가중ㆍ감경 절차를 거친 금액은 이다.
라. 추가적 가중 및 감경
과징금 부과기준 제8조는 사업자의 위반행위의 주도 여부, 조사의 협조 여부 등을 고려하여 필수적 가중ㆍ감경을 거친 금액의 100분의 50의 범위 내에서 [별표]에 따라 추가적으로 가중ㆍ감경할 수 있다고 규정하고 있으나, 피심인에 대해 특별히 가중하거나 감경할 사유는 없다.
마. 과징금의 결정
피심인의 舊정보통신망법 제22조 제1항 위반행위에 대한 과징금은 같은 법 제64조의3 제1항 제1호 및 과징금 부과기준에 따라 상기와 같이 단계별로 산출한 금액인 를 최종 과징금으로 결정한다.
<img src="/LSW/flDownload.do?flSeq=150210913" alt="14번째 이미지"></img>(각주:’23.7.26.(의결일) KEB하나은행에서 최초 고시한 매매기준율(1,280.70원)을 적용하여 원화로 환산) Ⅵ. 결론
피심인의 舊정보통신망법 제22조 제1항 위반행위에 대하여 같은 법 제64조의3 제1항 제1호에 의한 과징금 부과를 주문과 같이 의결한다.
피심인은 위원회의 과징금 부과처분에 불복이 있는 경우, 「행정심판법」 제27조 및 「행정소송법」 제20조의 규정에 따라 처분을 받은 날부터 90일 이내에 행정심판을 청구하거나 행정소송을 제기할 수 있다.
출처: 국가법령정보센터 개인정보보호위원회 결정문. 신청인·피심인 등 당사자 칸은 따로 싣지 않습니다(본문의 이름은 원천이 가린 그대로입니다).