개인정보보호위원회
심의ㆍ의결
개인정보보호위원회 심의ㆍ의결 2025-05-14
의결일: 2025년 5월 14일
요지
신청인 : 에 대하여 다음과 같이 시정조치를 명한다.가. 피심인은 국내ㆍ외 개인정보 처리위탁ㆍ보관 현황을 개인정보 처리방침에 투명하게 공개할 것나. 개인정보 처리 수탁자를 대상으로 정기적 교육 및 현황 점검ㆍ개선 등 관리ㆍ감독을 실시할 것다. 피심인은 정보주체가 회원탈퇴를 포함하여 권리행사를 쉽게 할 수 있도록 구체적인 방법과 절차를 마련하고, 이를 정보주체가 알 수 있도록 공개할 것라. 피심인은 가.부터 다.까지의 조치를 이행하고, 시정명령 통지를 받은 날로부터 90일 이내에 개인정보보호위원회에 이행 결과를 제출할 것2. 피심인에 대하여 다음과 같이 개인정보 처리 실태의 개선을 권고한다.가. 피심인은 개인정보 처리 흐름을 최대한 투명하고 알기 쉽게 정보주체에게 공개하고, 변경 시 신속하게 현행화할 것나. 개정 보호법(시행 ’25.10.2.)에 따라 피심인의 한국 법인을 국내대리인으로 지정하고 개인정보 보호를 위한 실질적 운영 노력을 기울일 것. 특히 개인정보 처리와 관련한 불만의 처리 및 피해 구제를 위한 구체적인 방안을 마련하고 시행할 것다. 보호법상 원칙에 따라 수집하는 개인정보를 최소화할 것라. 피심인은 가.부터 다.까지의 조치를 개인정보보호위원회와 협의하여 이행하고, 개선권고 통지를 받은 날로부터 90일 이내에 이행 결과 및 계획을 제출할 것3. 피심인에 대하여 다음과 같이 과징금과 과태료를 부과한다.가. 과 징 금 : 879,000,000원나. 과 태 료 : 17,600,000원다. 납부기한 : 고지서에 명시된 납부기한 이내라. 납부장소 : 한국은행 국고수납 대리점
이유
Ⅰ. 기초 사실
피심인은 2023년 7월부터 한국 이용자에게 전자상거래 서비스를 제공하면서 개인정보를 처리하는 「개인정보 보호법」(각주:개인정보 보호법(법률 제19234호, 2023. 3. 14. 일부개정, 2024. 3. 15. 시행)) (이하 '보호법’)상의 개인정보처리자로 일반현황은 다음과 같다.
<img src="/LSW/flDownload.do?flSeq=154825245" alt="1번째 이미지"></img>
Ⅱ. 사실조사 결과
1. 조사 배경
개인정보보호위원회(이하 '위원회’)는 최근 해외직구 서비스의 급성장에 따른 개인정보 침해 우려에 따라 '테무’ 서비스를 제공하는 피심인의 개인정보 처리실태를 조사하였으며, 다음과 같은 사실을 확인하였다.
2. 행위 사실
가. 개인정보 처리 현황
피심인은 2024년 2월 29일 기준 한국 이용자 명의 등 개인정보를 수집하고 있다.
피심인의 서비스는 오픈마켓 구조이나, 이용자가 상품을 구매하면 피심인이 직접 상품을 배송하고 중국 및 홍콩 판매자에게는 피심인 서비스 이용자의 개인정보를 제공하지 않는 형태로 사업을 운영하고 있다.
구체적으로 살펴보면, 피심인의 서비스에 입점한 판매자가 피심인의 중국 내 중계창고로 제품을 미리 발송하고, 이를 피심인이 보관하고 있다가 이용자가 상품을 구매하면 피심인이 중국 내 중계창고에서 송장을 출력한 후, 중국 소재 물류회사(각주:피심인은 해당 물류회사의 물류시스템은 싱가포르, 일본, 한국 등에 위치하고 있다고 소명함) 를 통해 이용자에게 상품을 배송한다.
<img src="/LSW/flDownload.do?flSeq=154825241" alt="2번째 이미지"></img>
나. 보호법 위반 관련 사실관계
1) 개인정보의 국외 이전(위탁) 관련
피심인은 물류ㆍ결제 등 목적으로 싱가포르, 일본, 미국, 중국 등 여러 국외 사업자에게 업무 처리에 필요한 개인정보를 이전(처리위탁 또는 보관)하고 있다.
그러나, 피심인은 '계열사ㆍ서비스 제공업체ㆍ결제 처리업체 등에 개인정보를 공유할 수 있다’고 개인정보 처리방침에 공개하면서, 국외 이전 관련 법정 고지사항(각주:보호법 제28조의8제2항 1호개인정보 항목, 2호이전 국가, 시기 및 방법, 3호이전받는 자의 성명(연락처), 4호이용목적 및 보유ㆍ이용 기간, 5호개인정보의 이전을 거부하는 방법, 절차 및 거부의 효과) 을 공개하거나 이용자에게 알리지 않은 사실이 있다.
피심인은 위원회의 조사가 진행 중이던 2024년 3월 22일에 개인정보 처리방침을 개정하여 물류, 결제 등을 위해 싱가포르, 일본 등 국외 제3자에게 개인정보 처리를 위탁한다고 밝혔으나, 이전받는 자가 모두 법인임에도 불구하고 그 연락처를 기재하지 않았다.
또한, 피심인은 수탁자 정보를 개인정보 처리방침에 공개하면서 일부 수탁자는 실제 사업자명(법인명)이 아니라 상호명을 공개하거나, 중국 소재 사업자임에도 불구하고 사업자의 물류시스템이 소재한 싱가포르, 일본, 한국 등을 이전 국가로 기재하여 공개한 경우도 있었다.
특히, 피심인은 중국에 소재한 피심인의 계열사인 에 '시스템 장애 해결 또는 법률 및 컴플라이언스를 위한 목적(예: 한국 관세청의 한국 소비자 정보에 대한 요청에 대응)’으로 피심인의 업무를 위탁하고 있으며, 피심인의 모기업인 의 자회사 및 손자회사 에서 피심인의 시스템에 접근하여 개인정보를 포함하고 있는 송장을 조회하고 출력할 수 있도록 하고 있음에도 불구하고, 이 사실을 개인정보 처리방침에 공개하거나 이용자에게 알린 사실이 없다.
<img src="/LSW/flDownload.do?flSeq=154825251" alt="3번째 이미지"></img>
다만, 피심인은 2025년 4월에 개인정보 처리방침을 개정하여 등 피심인의 중국 계열사를 포함해 피심인이 처리하는 개인정보를 이전받는 자의 사업자명, 연락처 등을 추가로 공개하였다.
2) 개인정보 처리 위ㆍ수탁 관련
피심인은 상품의 반품ㆍ환불ㆍ교환 등 서비스 제공을 위해 한국 내 사업자인 에 이용자의 개인정보 처리를 위탁하고 있으나, 개인정보 처리방침에 해당 사실을 공개하지 않았다.
다만, 피심인은 개인정보 처리 위탁사항 미공개에 대한 사전통지를 받고 난 이후인 2024년 6월 17일 처리방침을 개정하여 에 개인정보 처리를 위탁한다는 사실을 공개하였다.
또한, 개인정보 처리 업무를 위탁하면서, 수탁자가 개인정보를 유출하거나 보호법을 위반하지 않도록 교육하거나, 처리현황 점검 등을 감독한 사실도 없었다.
<img src="/LSW/flDownload.do?flSeq=154825253" alt="4번째 이미지"></img>
3) 국내대리인 지정 관련
피심인은 2023년 10월 1일부터 12월 31일 기간 동안 개인정보가 저장ㆍ관리되고 있는 일일평균 국내 이용자 수가 명임에도 불구하고, 본 조사를 착수한 2024년 2월 29일 당시에는 국내대리인을 지정하지 않았다.
다만, 조사가 진행 중이던 2024년 3월 19일 피심인은 ' ’를 국내대리인으로 지정하고, 2024년 3월 22일에 국내대리인 정보를 피심인의 개인정보 처리방침에도 공개하였다.
4) 회원탈퇴 용이성 관련
피심인의 서비스는 회원가입 시 이메일주소(또는 휴대폰번호)만 입력하거나, 간편 로그인 기능(구글ㆍ페이스북 등)을 통해 가입이 가능하다.
반면, 이용자가 회원탈퇴를 하기 위해서는 '메인 → 계정보안 → Temu계정 삭제 → 계정삭제 이유 입력 → 탈퇴 의사 확인 추가 화면 → 신원확인(이메일 또는 패스워드) → 계정 삭제’ 등 7단계 이상의 절차를 거쳐야 하며, 특히 계정삭제 이유를 입력하였음에도 탈퇴 의사를 확인하기 위한 추가 화면을 구성한 사실이 있다.
다만, 피심인은 탈퇴 의사를 확인하기 위한 추가 화면을 2024년 6월 26일에 삭제하였다.
5) 자료 제출 관련
위원회는 피심인에게 개인정보의 국외 이전과 관련하여 “미국 외 다른 국가에서 개인정보가 처리되는 경우, '어떤 국가’에서 '어떠한 목적’으로 처리되며, 처리하는 '사업자별 역할’이 무엇인지”에 대한 자료제출을 2024년 3월 8일 요구하였고,
피심인은 위원회의 자료제출 요구에 대해 2024년 3월 22일 개인정보 처리방침에 공개한 내용을 제출하면서 중국에 소재한 계열사 및 자회사 등*의 개인정보 처리 관련 사항은 제외하고 제출하였다.
* (장애 해결 및 관세청 요청 대응 관련)
(중계창고 관련)
이에, 위원회는 피심인에게 “이전 국가에 중국이 없는 것과 관련하여 시스템에 접근할 수 있는 국가 및 사업자, 송장 이미지 샘플 등”에 대한 추가 자료제출을 요구하였고,
피심인은 2024년 4월 22일 시스템 장애 해결 및 한국 관세청 요청 대응을 위한 계열사를 밝힌 뒤, 2024년 5월 23일 중국 중계창고에서 송장 이미지를 출력하는 자회사가 있음을 밝혔으며, 자료 미제출 관련 사전통지를 받고 난 이후인 2024년 6월 26일 송장 이미지 샘플을 제출하였다.
<img src="/LSW/flDownload.do?flSeq=154825243" alt="5번째 이미지"></img>
3. 처분의 사전통지 및 의견 수렴
개인정보보호위원회는 2024년 6월 5일 피심인에게 예정된 처분에 대한 사전통지서를 송부하고 이에 대한 의견을 요청하였으며, 피심인은 2024년 6월 26일에 개인정보보호위원회에 의견을 제출하였다.
Ⅲ. 관련 법규 및 위법성 판단
1. 관련법 규정
가. 보호법 제28조의8제1항은 “개인정보처리자는 개인정보를 국외로 제공(조회되는 경우를 포함한다)ㆍ처리위탁ㆍ보관하여서는 아니 된다. 다만, 다음 각 호의 어느 하나에 해당하는 경우에는 개인정보를 국외로 이전할 수 있다.”고 규정하면서 “정보주체와의 계약의 체결 및 이행을 위하여 개인정보의 처리위탁ㆍ보관이 필요한 경우로서 다음 각 목의 어느 하나에 해당하는 경우”(제3호)로서 “제2항 각 호의 사항을 제30조에 따른 개인정보 처리방침에 공개한 경우(가목)” 또는 “전자우편 등 대통령령으로 정하는 방법에 따라 제2항 각 호의 사항을 정보주체에게 알린 경우(나목)” 개인정보의 국외이전이 가능하다고 규정하고 있다.
나. 보호법 제31조의2제1항은 “국내에 주소 또는 영업소가 없는 개인정보처리자로서 매출액, 개인정보의 보유 규모 등을 고려하여 대통령령으로 정하는 자는 다음 각 호의 사항을 대리하는 자를 지정하여야 한다. 이 경우 국내대리인의 지정은 문서로 하여야 한다.“고 규정하고 있다.
같은 법 시행령(각주:개인정보 보호법 시행령(대통령령 제34309호, 2024. 3. 12. 일부개정, 2024. 3. 15. 시행)) (이하 '시행령’) 제32조의3제1항은 ”법 제31조의2제1항 각 호 외의 부분 전단에서 “대통령령으로 정하는 자란 다음 각 호의 어느 하나에 해당하는 자를 말한다.”고 규정하면서, “전년도 말 기준 직전 3개월 간 그 개인정보가 저장ㆍ관리되고 있는 국내 정보주체의 수가 일일평균 100만명 이상인 자(제2호)”에 해당하면 국내대리인을 지정하도록 규정하고 있다.
다. 보호법 제63조제1항은 “보호위원회는 다음 각 호의 어느 하나에 해당하는 경우에는 개인정보처리자에게 관계 물품ㆍ서류 등 자료를 제출하게 할 수 있다.”고 규정하고 있다.
라. 보호법 제26조제2항은 “제1항에 따라 개인정보의 처리 업무를 위탁하는 개인정보처리자는 위탁하는 업무의 내용과 개인정보 처리 업무를 위탁받아 처리하는 자를 정보주체가 언제든지 쉽게 확인할 수 있도록 대통령령으로 정하는 방법에 따라 공개하여야 한다.”라고 규정하고 있으며,
같은 법 시행령 제28조제2항은 “법 제26조제2항에서 “대통령령으로 정하는 방법”이란 개인정보 처리 업무를 위탁하는 개인정보처리자가 위탁자의 인터넷 홈페이지에 위탁하는 업무의 내용과 수탁자를 지속적으로 게재하는 방법을 말한다.”라고 규정하고 있다.
마. 보호법 제26조제4항은 “위탁자는 업무 위탁으로 인하여 정보주체의 개인정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지 아니하도록 수탁자를 교육하고, 처리현황 점검 등 대통령령으로 정하는 바에 따라 수탁자가 개인정보를 안전하게 처리하는지를 감독하여야 한다.”라고 규정하고 있으며,
같은 법 시행령 제28조제1항은 “위탁자는 수탁자가 개인정보 처리 업무를 수행하는 경우에 법 또는 이 영에 따라 개인정보처리자가 준수하여야 할 사항과 법 제26조제1항 각 호의 사항을 준수하는지를 같은 조 제4항에 따라 감독하여야 한다.”라고 규정하고 있다.
바. 보호법 제38조제1항은 “정보주체는 제35조에 따른 열람, 제35조의2에 따른 전송, 제36조에 따른 정정ㆍ삭제, 제37조에 따른 처리정지 및 동의 철회, 제37조의2에 따른 거부ㆍ설명 등의 요구(이하 “열람등요구”라 한다)를 문서 등 대통령령으로 정하는 방법ㆍ절차에 따라 대리인에게 하게 할 수 있다.”고 규정하고 있고,
같은 법 제38조제4항은 “개인정보처리자는 정보주체가 열람등요구를 할 수 있는 구체적인 방법과 절차를 마련하고, 이를 정보주체가 알 수 있도록 공개하여야 한다. 이 경우 열람등요구의 방법과 절차는 해당 개인정보의 수집 방법과 절차보다 어렵지 아니하도록 하여야 한다.”라고 규정하고 있다.
2. 위법성 판단
가. 개인정보를 국외로 이전(위탁) 관련
[보호법 제28조의8(개인정보의 국외 이전)제1항]
피심인은 이용자가 상품을 구매하는 경우 제3자인 국외 판매자에게 개인정보를 처리위탁ㆍ보관(이전)하고 있으므로, 보호법 제28조의8제2항의 법정 고지사항을 개인정보 처리방침에 공개하거나 이를 이용자에게 전자우편 또는 서면으로 알리는 등 보호법 제28조의8제1항에서 규정한 적법 근거를 갖추어야 한다.
피심인은 개인정보를 싱가포르, 일본, 미국, 중국 등 국외로 이전하면서, 이전되는 개인정보 항목, 개인정보가 이전되는 국가, 시기 및 방법, 개인정보를 이전받는 자의 성명(법인인 경우에는 그 명칭과 연락처), 개인정보를 이전받는 자의 개인정보 이용목적 및 보유ㆍ이용 기간을 개인정보 처리방침에 공개한 사실이 없으며, 이를 이용자에게 전자우편 또는 서면으로 알리거나 동의를 받지도 않았다.
피심인은 조사가 진행되던 2024년 3월 22일 개인정보 처리방침을 개정하여 국외 처리위탁 현황을 공개하였으나 법정 고지사항 중 '이전받는 자(법인)의 연락처’가 누락되었으며, 이에 대한 공개는 2024년 6월 17일에 이루어졌다.
또한 피심인은 피심인으로부터 개인정보 처리 업무를 위탁받아 수행하는 중국 계열사 및 자회사 정보는 위원회의 지적이 있은 후 2025년 4월 4일에서야 개인정보 처리방침에 공개하였다.
따라서 피심인이 개인정보를 싱가포르, 일본, 미국, 중국 등 국외로 처리위탁ㆍ보관하면서 2024년 7월부터 2025년 4월까지 처리방침에 국외 이전 사실을 공개하지 않은 행위는 보호법 제28조의8제1항 위반에 해당한다.
나. 개인정보 처리 위탁 관련
[보호법 제26조(업무위탁에 따른 개인정보의 처리 제한)제2항, 제4항]
피심인이 한국 수탁자에게 개인정보 처리 업무를 위탁하면서, 이를 개인정보 처리방침에 공개하지 않은 행위는 보호법 제26조제2항 위반에 해당하며, 수탁자를 교육하거나, 처리현황 점검 등을 통해 개인정보가 안전하게 처리되는지 감독하지 않은 행위는 보호법 제26조제4항 위반에 해당한다.
다. 국내대리인 지정 관련
[보호법 제31조의2(국내대리인의 지정)제1항]
피심인은 2023년 10월 1일부터 2023년 12월 31일까지 3개월간 그 개인정보가 저장ㆍ관리되고 있는 국내 이용자의 수가 일일평균 100만 명 이상이므로 국내대리인 지정의무가 있다.
그러나, 피심인은 2024년 3월 18일까지 국내대리인을 지정하지 않았는바, 보호법 제31조의2제1항 위반에 해당한다.
라. 회원탈퇴 용이성 관련
[보호법 제38조(권리행사의 방법 및 절차)제4항]
피심인이 7단계 이상의 복잡한 회원탈퇴 절차를 구성하는 등의 행위는 보호법 제38조제4항 위반에 해당한다.
마. 자료 제출 관련
[보호법 제63조(자료제출 요구 및 검사)제1항]
피심인은 개인정보가 처리되는 국가와 관련한 자료 요구에 대해 '중국’ 내 계열사 및 자회사에 대한 사항을 제외하고 자료를 제출하였다.
개인정보 처리에 관여하는 회사가 계열사 및 자회사이고, 중국에서 상품을 배송하고 있음에도 “시스템에 접근할 수 있는 국가 및 사업자, 송장 이미지 샘플 등”에 대한 추가 자료제출을 요청한 이후에야 계열사 및 자회사의 존재를 밝힌 것은 자료를 제출하지 아니한 행위에 해당할 수 있다.
Ⅳ. 피심인의 주장에 대한 검토
1. 국외이전의 법적 근거
피심인은 처리위탁ㆍ보관과 관련한 국외 이전사항을 개인정보 처리방침에 공개하지 않은 위법행위는 인정하면서 위원회 자료제출 요구서 수령 후 2024년 3월 22일 개인정보 처리방침을 개정하여 시정하였다고 소명하고 있다.
또한, 중국 계열사 에 대해서는 정보 이전이 단발적이고, 등 자회사는 개인정보를 '처리’하는 것이 아니므로 개인정보 처리방침 공개 의무가 없어 시정명령 대상이 아님을 주장하고 있다.
그러나 피심인은 에 장애해결 및 컴플라이언스 준수 등 목적으로 개인정보를 이전하고 있는바, 이는 위탁 기간이 지속되는 업무이므로, 보호법 해설서에서 안내하고 있는 위탁업무가 일회성으로 이루어지는 경우로 볼 수 없다.
<img src="/LSW/flDownload.do?flSeq=154825255" alt="6번째 이미지"></img>(각주:개인정보보호위원회 2020. 12. 발간 “개인정보 보호 법령 및 지침ㆍ고시 해설”) 또한, 등 자회사는 피심인이 제공한 응용프로그램을 통해 한국 이용자의 개인정보가 저장된 서버에 접근하여 송장을 출력하고 상품에 부착하고 있는바, 단순 '도관’ 사업자로 볼 수 없으므로 피심인의 주장을 수용할 수 없다.
2. 수탁사 교육ㆍ감독
피심인은 2023년 7월부터 한국 내 서비스를 시작하여 사업 기간이 짧으며, 따라서 관련 규정 및 안내서 등에 비추어 법 위반이라고 볼 수 없다고 주장하고 있다.
그러나 업무 위탁 특성에 따라 개인정보가 실제 위탁되기 전부터 주의사항 교육 등이 필요할 수 있고, 개인정보 처리 업무 위탁 시 교육 및 감독 의무는 업무 위탁 시점부터 발생하는 것이므로, 사업 기간이 짧아 법 위반이라고 볼 수 없다는 주장은 수용할 수 없다.
참고로 피심인은 한국에서 사업을 시작한 2023년 7월 이전부터 전 세계 대상으로 개인정보 처리 업무를 위탁하고 있었으며, 2024년 6월 기준 국내 월간 활성 이용자 수가 만 명에 달하는 국내 이커머스 상위 사업자이다.
3. 권리행사 방법
피심인은 다른 사업자에 비해 회원탈퇴 절차가 명확하고 간단하며, 그럼에도 불구하고 회원탈퇴 절차를 더욱 간소화한바, 시정명령 대상이 아님을 주장한다.
그러나, 이용자가 계정삭제 이유까지 입력하였음에도 탈퇴 의사를 확인하는 추가 화면을 구성한 것은 회원탈퇴를 제한하기 위해 의도적으로 절차를 추가한 것으로 위법하고, 권리행사의 방법 및 절차를 정보주체가 알 수 있도록 공개할 필요가 있는 점 등을 고려할 때 피심인의 주장을 수용할 수 없다.
4. 자료 미제출
피심인은 자료제출 기한에 맞추어 성실히 제출하였고, 위원회의 모든 요청사항을 제출 기한까지 제출하였다는 점에서 자료 미제출에 따른 과태료 부과는 부적절하다고 주장한다.
피심인은 당초 일부 계열사 등에 대한 사항을 누락하고 자료를 제출하였으나, 사전통지서에 대한 의견제출 기한까지 추가 자료를 제출한 점을 고려하면, 보호법 제75조제2항제25호에 따른 자료 미제출 행위로 판단하기에는 무리가 있어 피심인의 주장을 수용한다.
다만, 피심인이 개인정보가 처리되는 국가 관련 자료 요구에 대해 '중국’ 내 계열사 및 자회사에 대한 사항을 제외하고 자료를 제출한 사실은 자료제출의 외형은 갖추었으나 실제는 갖추지 못한 것으로서, 명확한 증거를 제대로 제출하지 않은 조사 방해 행위로 보아 과징금 산정 가산 사유에 해당한다고 판단하였다.
5. 관련 매출액 산정
피심인은 특수관계자 거래로부터 발생하는 매출은 한국 이용자 정보는 물론 한국 이용자를 대상으로 하는 서비스나 영업 활동과는 무관한 매출로, 그룹 내 효율적인 사업 운영을 위해 계열사 간 거래에서 발생하는 매출액이라고 주장한다.
그러나, 피심인이 제출한 특수관계자 거래 관련 계약서에 따르면, 형식상 상위그룹인 계열사( , 이하 ' ’)에 조달 대행 서비스제공 대가로 수취하는 것으로 보여지나, 실질적으로 유럽에서 큰 손실 없이 원활하게 테무 서비스 운영을 유지할 수 있도록 자금을 지원받는 것이고, 조달 대행 서비스의 실질은 없는 것으로 판단된다.
<img src="/LSW/flDownload.do?flSeq=154825257" alt="7번째 이미지"></img>
피심인에게 조달 대행에 대한 실제 사례(예시)를 요청하였으나, 피심인은 그 내역을 제출하지 못하였으며, 피심인이 테무 서비스 운영을 유지할 수 있도록 그룹 차원에서 특수관계자 거래라는 형태를 빌려 금전적 지원을 한 것이라고 답변하였다.
<img src="/LSW/flDownload.do?flSeq=154825539" alt="8번째 이미지"></img>
또한 피심인은 특수관계자의 사업ㆍ역할이 테무 서비스와 무관하다고 주장하나, 그룹의 계열 구조도에 따르면, 특수관계자인 는 본 사건에서 “테무의 中 중계창고 내에서 송장 출력 업무”를 담당하는 을 100% 소유한 점, 테무 서비스의 운영 목적만을 위해 에 대한 조달 대행 서비스가 이루어진 점, 테무 서비스는 조달 대행 서비스가 없이는 지속적으로 운영된다고 볼 수 없어 양 서비스는 분리될 수 없는 점과 함께,
특수관계자 매출에 대한 여러 차례 자료 제출 요구에도 위반행위와 관련 없는 매출액 인지에 대해 명확히 입증하지 못한 점 등을 종합적으로 고려할 때 조달 대행 서비스는 테무 서비스와 완전 무관하다고 보기 어렵다고 판단된다.
<img src="/LSW/flDownload.do?flSeq=154825541" alt="9번째 이미지"></img>
또한, 테무의 사업 확장에 따라 특수관계자 매출액도 증가한 점(이용자 수 및 거래규모↑⇒ 손실↑⇒ 손실 보전 위한 특수관계자 매출액↑)을 고려하면, 특수관계자 매출액은 초저가 전략ㆍ막대한 자본력을 바탕으로 한 출혈 경쟁(수수료 0.5% 등)을 유지하기 위한 것으로서 위반행위에 따라 직ㆍ간접적으로 영향을 받는 서비스 매출액에 해당된다고 판단된다.
다만, 피심인이 공식 재무제표와 테무 한국 사이트를 통해 진행된 모든 거래의 상세 내역을 제출하였고, 한국 이용자의 개인정보는 테무의 한국 서비스(제품판매, 배송 등)를 위해서 처리된바, 전체 매출액에서 한국 매출액이 차지하는 비율(’23년 %, ’24년 %)을 반영한 매출액을 과징금 부과기준으로 삼았다.
Ⅴ. 처분 및 결정
1. 시정조치 명령
개인정보 보호 및 침해 방지를 위해 보호법 제64조제1항에 따라 피심인에게 다음과 같이 시정조치를 명한다.
가. 피심인은 국내ㆍ외 개인정보 처리위탁ㆍ보관 현황을 개인정보 처리방침에 투명하게 공개할 것
나. 개인정보 처리 수탁자를 대상으로 정기적 교육 및 현황 점검ㆍ개선 등 관리ㆍ감독을 실시할 것
다. 피심인은 정보주체가 회원탈퇴를 포함하여 권리행사를 쉽게 할 수 있도록 구체적인 방법과 절차를 마련하고, 이를 정보주체가 알 수 있도록 공개할 것
라. 피심인은 가.부터 다.까지의 조치를 이행하고, 시정명령 통지를 받은 날로부터 90일 이내에 개인정보보호위원회에 이행 결과를 제출할 것
2. 개선권고
피심인이 국내 정보주체의 개인정보 자기결정권을 보다 충실히 보장하고 보호수준을 제고하도록 보호법 제61조제2항에 따라 다음과 같이 개인정보 처리 실태의 개선을 권고한다.
가. 피심인은 개인정보 처리 흐름을 최대한 투명하고 알기 쉽게 정보주체에게 공개하고, 변경 시 신속하게 현행화할 것
나. 개정 보호법(시행 ’25.10.2.)에 따라 피심인의 한국 법인을 국내대리인으로 지정하고 개인정보 보호를 위한 실질적 운영 노력을 기울일 것. 특히 개인정보 처리와 관련한 불만의 처리 및 피해 구제를 위한 구체적인 방안을 마련하고 시행할 것
다. 보호법상 원칙에 따라 수집하는 개인정보를 최소화할 것
라. 피심인은 가.부터 다.까지의 조치를 개인정보보호위원회와 협의하여 이행하고, 개선권고 통지를 받은 날로부터 90일 이내에 이행 결과 및 계획을 제출할 것
3. 과징금 부과
피심인의 보호법 제28조의8(개인정보의 국외이전)제1항 위반행위에 대해 같은 법 제64조의2제1항제7호, 시행령 제60조의2 [별표 1의5] 및 「개인정보보호 법규 위반에 대한 과징금 부과기준(각주:개인정보보호 법규 위반에 대한 과징금 부과기준(개인정보보호위원회 고시 제2023-3호, 2023. 9. 15. 시행)) 」(이하 '과징금 부과기준’)에 따라 다음과 같이 부과한다.
가. 과징금 상한액
피심인의 보호법에 대한 과징금 상한액은 같은 법 제64조의2제1항, 시행령 제60조의2에 따라 위반행위가 있었던 사업연도 직전 3개 사업연도의 연평균 매출액의 100분의 3을 초과하지 아니하는 범위에서 부과할 수 있다.
나. 기준금액
1) 중대성의 판단
과징금 부과기준 제8조제1항은 “시행령 [별표 1의5] 2. 가. 1) 및 2)에 따른 위반행위의 중대성의 정도는 [별표] 위반행위의 중대성 판단기준을 기준으로 정한다.”라고 규정하고 있다.
[별표] 위반행위의 중대성 판단기준에 따르면 “위반행위의 중대성의 정도는 고려사항별 부과기준을 종합적으로 고려하여 판단”하고, “고려사항별 부과수준 중 두 가지 이상에 해당하는 경우에는 높은 부과 수준을 적용한다.”라고 규정하고 있으며, “고려사항별 부과 수준의 판단기준은 ▲(고의ㆍ과실) 위반행위의 목적, 동기, 당해 행위에 이른 경위, 영리 목적의 유무 등을 종합적으로 고려, ▲(위반행위의 방법) 안전성 확보 조치 이행 노력 여부, 개인정보 보호책임자 등 개인정보 보호 조직, 위반행위가 내부에서 조직적으로 이루어졌는지 여부, 사업주, 대표자 또는 임원의 책임ㆍ관여 여부 등을 종합적으로 고려하고, 개인정보가 유출 등이 된 경우에는 개인정보의 유출등과 안전성 확보 조치 위반행위와의 관련성을 포함하여 판단, ▲(위반행위로 인한 정보주체의 피해 규모 및 정보주체에게 미치는 영향) 피해 개인정보의 규모, 위반기간, 정보주체의 권리ㆍ이익이나 사생활 등에 미치는 영향 등을 종합적으로 고려하고, 개인정보가 유출등이 된 경우에는 유출 등의 규모 및 공중에 노출되었는지 여부를 포함하여 판단한다.”라고 규정하고 있다.
피심인의 고의ㆍ과실, 위반행위의 방법, 처리하는 개인정보의 유형, 정보주체의 피해 규모 및 정보주체에게 미치는 영향 등을 종합적으로 고려하여, 위반행위의 중대성을 '중대한 위반행위’로 판단한다.
2) 기준금액 산출
과징금 부과기준 제6조제1항은 “기준금액은 전체 매출액에서 위반행위와 관련이 없는 매출액을 제외한 매출액에 부과기준율을 곱한 금액으로 정한다.”라고 규정하고 있다.
피심인의 경우, 과징금 부과기준 제7조제3항에 따라 피심인의 특수관계자 매출액을 포함한 전체 매출액을 기준으로 과징금을 산정한다. 다만, 피심인이 공식 재무제표와 테무 서비스에서 발생한 한국 관련 모든 거래의 상세 내역을 제출하였고, 한국 이용자의 개인정보는 테무의 한국 서비스(제품판매, 배송 등)를 위해서 처리된바, 전체 매출액에서 한국 매출액이 차지하는 비율(’23년 %, ’24년 %)을 반영한 매출액을 기준으로, 시행령 [별표 1의5] 2. 가. 1)에 따른 '중대한 위반행위’의 부과기준율 1만분의 150을 적용하여 기준금액을 천 원으로 한다.
<img src="/LSW/flDownload.do?flSeq=154825543" alt="10번째 이미지"></img>
다. 1차 조정
과징금 부과기준 제9조에 따른 피심인 위반행위의 기간이 ’23. 7월부터 ’25. 4월로 '1년 초과 2년 이내인 경우’에 해당하므로 기준금액의 100분의 25에 해당하는 금액인 천 원을 가산하고,
라. 2차 조정
과징금 부과기준 제10조에 따라 피심인은 '법 제63조제1항 및 제2항에 따른 물품ㆍ서류의 제출요구 또는 검사를 거부하거나 증거인멸, 은폐, 조작, 허위의 정보제공 등의 방법으로 조사를 방해한 경우’에 해당하여 1차 조정을 거친 금액의 100분의 30에 해당하는 천 원을 가산한다.
마. 과징금의 결정
피심인의 보호법 제28조의8(개인정보의 국외이전)제1항 위반행위에 대해 같은 법 제64조의2제1항제7호, 시행령 제60조의2, [별표 1의5] 및 '과징금의 산정기준과 산정절차’ 2. 가. 1) 및 '과징금 부과기준’에 따라 위와 같이 단계별로 산출한 금액인 879,000천 원을 최종 과징금으로 결정한다.
<img src="/LSW/flDownload.do?flSeq=154825545" alt="11번째 이미지"></img>
2. 과태료 부과
피심인의 제26조(업무위탁에 따른 개인정보의 처리제한)제2항 및 제31조의2(국내대리인의 지정)제1항 위반행위에 대한 과태료는 같은 법 제75조(과태료)제4항제5호, 제75조제3항제2호, 시행령 제63조[별표2] 및 「개인정보 보호법 위반에 대한 과태료 부과기준」(각주:개인정보 보호법 위반에 대한 과태료 부과기준(개인정보보호위원회 지침, 2023. 9. 15. 시행)) (이하 '과태료 부과기준’)에 따라 다음과 같이 부과한다.
가. 기준금액
시행령 제63조 [별표2]는 최근 3년간 같은 위반행위를 한 경우 위반 횟수에 따라 기준금액을 규정하고 있고, 피심인은 최근 3년간 같은 위반행위로 과태료 처분을 받은 사실이 없으므로 법 제26조(업무위탁에 따른 개인정보의 처리제한)제2항 위반에 대해서는 1회 위반에 해당하는 과태료인 200만 원을 각 기준금액으로 적용하고, 법 제31조의2(국내대리인의 지정)제1항 위반에 대해서는 위반횟수와 무관하게 2,000만원을 기준금액으로 적용한다.
<img src="/LSW/flDownload.do?flSeq=154825247" alt="12번째 이미지"></img>
나. 과태료의 가중 및 감경
1) (과태료의 가중) 과태료 부과기준 제7조는 '당사자의 위반행위의 정도, 위반행위의 동기와 그 결과 등을 고려하여 [별표3]의 가중기준(▲위반의 정도, ▲위반기간, ▲조사방해, ▲위반주도 등을 고려하여 가중사유가 인정되는 경우)에 따라 기준금액의 100분의 50의 범위 이내에서 가중할 수 있다.’ 라고 규정하고 있다.
피심인의 보호법 위반행위에 대하여 과태료 부과기준 제7조에 따른 가중사유가 없어 과태료의 가중은 고려하지 않는다.
2) (과태료의 감경) 과태료 부과기준 제6조는 '당사자의 위반행위 정도, 위반행위의 동기와 그 결과 등을 고려하여 [별표2]의 감경기준(▲당사자 환경, ▲위반정도, ▲개인정보보호 노력정도, ▲조사협조 및 자진시정 등을 고려하여 감경사유가 인정되는 경우)에 따라 기준금액의 100분의 50의 범위 이내에서 감경할 수 있다.’라고 규정하고 있다.
피심인의 보호법 제26조(업무위탁에 따른 개인정보의 처리 제한)제2항 및 제31조의2(국내대리인의 지정)제1항 위반행위에 대하여 ▲과태료의 사전통지 및 의견제출 기간이 종료되기 이전에 위반행위를 중지하는 등 시정을 완료한 점 등을 종합적으로 고려하여 과태료 부과기준 제7조에 따라 기준금액의 20%를 감경한다.
다. 최종 과태료
피심인의 보호법 제26조(업무위탁에 따른 개인정보의 처리제한)제2항 및 제31조의2(국내대리인의 지정)제1항 위반행위에 대해 기준금액에서 가중ㆍ감경을 거쳐 총 1,760만 원의 과태료를 부과한다.
<img src="/LSW/flDownload.do?flSeq=154825249" alt="13번째 이미지"></img>
피심인은 이 시정명령 및 과징금 부과처분에 불복이 있는 경우, 「행정심판법」 제27조 및 「행정소송법」제20조의 규정에 따라 처분을 받은 날부터 90일 이내에
행정심판을 청구하거나 행정소송을 제기할 수 있다.
피심인은 이 과태료 부과처분에 불복이 있는 경우, 「질서위반행위규제법」 제20조의 규정에 따라 처분을 받은 날로부터 60일 이내에 개인정보보호위원회에 서면으로 이의를 제기할 수 있다.
과태료 부과처분에 대한 피심인의 이의제기가 있는 경우, 개인정보보호위원회의 과태료 부과처분은 「질서위반행위규제법」제20조제2항의 규정에 따라 그 효력을 상실하고 관할법원(당사자 주소지의 지방법원 또는 그 지원)이 과태료 재판 절차에따라 결정한다. 이 경우 피심인은 관할법원의 과태료 재판이 확정된 이후 재판 결과에 따라 과태료 납입 의무를 부담한다.
이상과 같은 이유로 주문과 같이 의결한다.
피심인은 2023년 7월부터 한국 이용자에게 전자상거래 서비스를 제공하면서 개인정보를 처리하는 「개인정보 보호법」(각주:개인정보 보호법(법률 제19234호, 2023. 3. 14. 일부개정, 2024. 3. 15. 시행)) (이하 '보호법’)상의 개인정보처리자로 일반현황은 다음과 같다.
<img src="/LSW/flDownload.do?flSeq=154825245" alt="1번째 이미지"></img>
Ⅱ. 사실조사 결과
1. 조사 배경
개인정보보호위원회(이하 '위원회’)는 최근 해외직구 서비스의 급성장에 따른 개인정보 침해 우려에 따라 '테무’ 서비스를 제공하는 피심인의 개인정보 처리실태를 조사하였으며, 다음과 같은 사실을 확인하였다.
2. 행위 사실
가. 개인정보 처리 현황
피심인은 2024년 2월 29일 기준 한국 이용자 명의 등 개인정보를 수집하고 있다.
피심인의 서비스는 오픈마켓 구조이나, 이용자가 상품을 구매하면 피심인이 직접 상품을 배송하고 중국 및 홍콩 판매자에게는 피심인 서비스 이용자의 개인정보를 제공하지 않는 형태로 사업을 운영하고 있다.
구체적으로 살펴보면, 피심인의 서비스에 입점한 판매자가 피심인의 중국 내 중계창고로 제품을 미리 발송하고, 이를 피심인이 보관하고 있다가 이용자가 상품을 구매하면 피심인이 중국 내 중계창고에서 송장을 출력한 후, 중국 소재 물류회사(각주:피심인은 해당 물류회사의 물류시스템은 싱가포르, 일본, 한국 등에 위치하고 있다고 소명함) 를 통해 이용자에게 상품을 배송한다.
<img src="/LSW/flDownload.do?flSeq=154825241" alt="2번째 이미지"></img>
나. 보호법 위반 관련 사실관계
1) 개인정보의 국외 이전(위탁) 관련
피심인은 물류ㆍ결제 등 목적으로 싱가포르, 일본, 미국, 중국 등 여러 국외 사업자에게 업무 처리에 필요한 개인정보를 이전(처리위탁 또는 보관)하고 있다.
그러나, 피심인은 '계열사ㆍ서비스 제공업체ㆍ결제 처리업체 등에 개인정보를 공유할 수 있다’고 개인정보 처리방침에 공개하면서, 국외 이전 관련 법정 고지사항(각주:보호법 제28조의8제2항 1호개인정보 항목, 2호이전 국가, 시기 및 방법, 3호이전받는 자의 성명(연락처), 4호이용목적 및 보유ㆍ이용 기간, 5호개인정보의 이전을 거부하는 방법, 절차 및 거부의 효과) 을 공개하거나 이용자에게 알리지 않은 사실이 있다.
피심인은 위원회의 조사가 진행 중이던 2024년 3월 22일에 개인정보 처리방침을 개정하여 물류, 결제 등을 위해 싱가포르, 일본 등 국외 제3자에게 개인정보 처리를 위탁한다고 밝혔으나, 이전받는 자가 모두 법인임에도 불구하고 그 연락처를 기재하지 않았다.
또한, 피심인은 수탁자 정보를 개인정보 처리방침에 공개하면서 일부 수탁자는 실제 사업자명(법인명)이 아니라 상호명을 공개하거나, 중국 소재 사업자임에도 불구하고 사업자의 물류시스템이 소재한 싱가포르, 일본, 한국 등을 이전 국가로 기재하여 공개한 경우도 있었다.
특히, 피심인은 중국에 소재한 피심인의 계열사인 에 '시스템 장애 해결 또는 법률 및 컴플라이언스를 위한 목적(예: 한국 관세청의 한국 소비자 정보에 대한 요청에 대응)’으로 피심인의 업무를 위탁하고 있으며, 피심인의 모기업인 의 자회사 및 손자회사 에서 피심인의 시스템에 접근하여 개인정보를 포함하고 있는 송장을 조회하고 출력할 수 있도록 하고 있음에도 불구하고, 이 사실을 개인정보 처리방침에 공개하거나 이용자에게 알린 사실이 없다.
<img src="/LSW/flDownload.do?flSeq=154825251" alt="3번째 이미지"></img>
다만, 피심인은 2025년 4월에 개인정보 처리방침을 개정하여 등 피심인의 중국 계열사를 포함해 피심인이 처리하는 개인정보를 이전받는 자의 사업자명, 연락처 등을 추가로 공개하였다.
2) 개인정보 처리 위ㆍ수탁 관련
피심인은 상품의 반품ㆍ환불ㆍ교환 등 서비스 제공을 위해 한국 내 사업자인 에 이용자의 개인정보 처리를 위탁하고 있으나, 개인정보 처리방침에 해당 사실을 공개하지 않았다.
다만, 피심인은 개인정보 처리 위탁사항 미공개에 대한 사전통지를 받고 난 이후인 2024년 6월 17일 처리방침을 개정하여 에 개인정보 처리를 위탁한다는 사실을 공개하였다.
또한, 개인정보 처리 업무를 위탁하면서, 수탁자가 개인정보를 유출하거나 보호법을 위반하지 않도록 교육하거나, 처리현황 점검 등을 감독한 사실도 없었다.
<img src="/LSW/flDownload.do?flSeq=154825253" alt="4번째 이미지"></img>
3) 국내대리인 지정 관련
피심인은 2023년 10월 1일부터 12월 31일 기간 동안 개인정보가 저장ㆍ관리되고 있는 일일평균 국내 이용자 수가 명임에도 불구하고, 본 조사를 착수한 2024년 2월 29일 당시에는 국내대리인을 지정하지 않았다.
다만, 조사가 진행 중이던 2024년 3월 19일 피심인은 ' ’를 국내대리인으로 지정하고, 2024년 3월 22일에 국내대리인 정보를 피심인의 개인정보 처리방침에도 공개하였다.
4) 회원탈퇴 용이성 관련
피심인의 서비스는 회원가입 시 이메일주소(또는 휴대폰번호)만 입력하거나, 간편 로그인 기능(구글ㆍ페이스북 등)을 통해 가입이 가능하다.
반면, 이용자가 회원탈퇴를 하기 위해서는 '메인 → 계정보안 → Temu계정 삭제 → 계정삭제 이유 입력 → 탈퇴 의사 확인 추가 화면 → 신원확인(이메일 또는 패스워드) → 계정 삭제’ 등 7단계 이상의 절차를 거쳐야 하며, 특히 계정삭제 이유를 입력하였음에도 탈퇴 의사를 확인하기 위한 추가 화면을 구성한 사실이 있다.
다만, 피심인은 탈퇴 의사를 확인하기 위한 추가 화면을 2024년 6월 26일에 삭제하였다.
5) 자료 제출 관련
위원회는 피심인에게 개인정보의 국외 이전과 관련하여 “미국 외 다른 국가에서 개인정보가 처리되는 경우, '어떤 국가’에서 '어떠한 목적’으로 처리되며, 처리하는 '사업자별 역할’이 무엇인지”에 대한 자료제출을 2024년 3월 8일 요구하였고,
피심인은 위원회의 자료제출 요구에 대해 2024년 3월 22일 개인정보 처리방침에 공개한 내용을 제출하면서 중국에 소재한 계열사 및 자회사 등*의 개인정보 처리 관련 사항은 제외하고 제출하였다.
* (장애 해결 및 관세청 요청 대응 관련)
(중계창고 관련)
이에, 위원회는 피심인에게 “이전 국가에 중국이 없는 것과 관련하여 시스템에 접근할 수 있는 국가 및 사업자, 송장 이미지 샘플 등”에 대한 추가 자료제출을 요구하였고,
피심인은 2024년 4월 22일 시스템 장애 해결 및 한국 관세청 요청 대응을 위한 계열사를 밝힌 뒤, 2024년 5월 23일 중국 중계창고에서 송장 이미지를 출력하는 자회사가 있음을 밝혔으며, 자료 미제출 관련 사전통지를 받고 난 이후인 2024년 6월 26일 송장 이미지 샘플을 제출하였다.
<img src="/LSW/flDownload.do?flSeq=154825243" alt="5번째 이미지"></img>
3. 처분의 사전통지 및 의견 수렴
개인정보보호위원회는 2024년 6월 5일 피심인에게 예정된 처분에 대한 사전통지서를 송부하고 이에 대한 의견을 요청하였으며, 피심인은 2024년 6월 26일에 개인정보보호위원회에 의견을 제출하였다.
Ⅲ. 관련 법규 및 위법성 판단
1. 관련법 규정
가. 보호법 제28조의8제1항은 “개인정보처리자는 개인정보를 국외로 제공(조회되는 경우를 포함한다)ㆍ처리위탁ㆍ보관하여서는 아니 된다. 다만, 다음 각 호의 어느 하나에 해당하는 경우에는 개인정보를 국외로 이전할 수 있다.”고 규정하면서 “정보주체와의 계약의 체결 및 이행을 위하여 개인정보의 처리위탁ㆍ보관이 필요한 경우로서 다음 각 목의 어느 하나에 해당하는 경우”(제3호)로서 “제2항 각 호의 사항을 제30조에 따른 개인정보 처리방침에 공개한 경우(가목)” 또는 “전자우편 등 대통령령으로 정하는 방법에 따라 제2항 각 호의 사항을 정보주체에게 알린 경우(나목)” 개인정보의 국외이전이 가능하다고 규정하고 있다.
나. 보호법 제31조의2제1항은 “국내에 주소 또는 영업소가 없는 개인정보처리자로서 매출액, 개인정보의 보유 규모 등을 고려하여 대통령령으로 정하는 자는 다음 각 호의 사항을 대리하는 자를 지정하여야 한다. 이 경우 국내대리인의 지정은 문서로 하여야 한다.“고 규정하고 있다.
같은 법 시행령(각주:개인정보 보호법 시행령(대통령령 제34309호, 2024. 3. 12. 일부개정, 2024. 3. 15. 시행)) (이하 '시행령’) 제32조의3제1항은 ”법 제31조의2제1항 각 호 외의 부분 전단에서 “대통령령으로 정하는 자란 다음 각 호의 어느 하나에 해당하는 자를 말한다.”고 규정하면서, “전년도 말 기준 직전 3개월 간 그 개인정보가 저장ㆍ관리되고 있는 국내 정보주체의 수가 일일평균 100만명 이상인 자(제2호)”에 해당하면 국내대리인을 지정하도록 규정하고 있다.
다. 보호법 제63조제1항은 “보호위원회는 다음 각 호의 어느 하나에 해당하는 경우에는 개인정보처리자에게 관계 물품ㆍ서류 등 자료를 제출하게 할 수 있다.”고 규정하고 있다.
라. 보호법 제26조제2항은 “제1항에 따라 개인정보의 처리 업무를 위탁하는 개인정보처리자는 위탁하는 업무의 내용과 개인정보 처리 업무를 위탁받아 처리하는 자를 정보주체가 언제든지 쉽게 확인할 수 있도록 대통령령으로 정하는 방법에 따라 공개하여야 한다.”라고 규정하고 있으며,
같은 법 시행령 제28조제2항은 “법 제26조제2항에서 “대통령령으로 정하는 방법”이란 개인정보 처리 업무를 위탁하는 개인정보처리자가 위탁자의 인터넷 홈페이지에 위탁하는 업무의 내용과 수탁자를 지속적으로 게재하는 방법을 말한다.”라고 규정하고 있다.
마. 보호법 제26조제4항은 “위탁자는 업무 위탁으로 인하여 정보주체의 개인정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지 아니하도록 수탁자를 교육하고, 처리현황 점검 등 대통령령으로 정하는 바에 따라 수탁자가 개인정보를 안전하게 처리하는지를 감독하여야 한다.”라고 규정하고 있으며,
같은 법 시행령 제28조제1항은 “위탁자는 수탁자가 개인정보 처리 업무를 수행하는 경우에 법 또는 이 영에 따라 개인정보처리자가 준수하여야 할 사항과 법 제26조제1항 각 호의 사항을 준수하는지를 같은 조 제4항에 따라 감독하여야 한다.”라고 규정하고 있다.
바. 보호법 제38조제1항은 “정보주체는 제35조에 따른 열람, 제35조의2에 따른 전송, 제36조에 따른 정정ㆍ삭제, 제37조에 따른 처리정지 및 동의 철회, 제37조의2에 따른 거부ㆍ설명 등의 요구(이하 “열람등요구”라 한다)를 문서 등 대통령령으로 정하는 방법ㆍ절차에 따라 대리인에게 하게 할 수 있다.”고 규정하고 있고,
같은 법 제38조제4항은 “개인정보처리자는 정보주체가 열람등요구를 할 수 있는 구체적인 방법과 절차를 마련하고, 이를 정보주체가 알 수 있도록 공개하여야 한다. 이 경우 열람등요구의 방법과 절차는 해당 개인정보의 수집 방법과 절차보다 어렵지 아니하도록 하여야 한다.”라고 규정하고 있다.
2. 위법성 판단
가. 개인정보를 국외로 이전(위탁) 관련
[보호법 제28조의8(개인정보의 국외 이전)제1항]
피심인은 이용자가 상품을 구매하는 경우 제3자인 국외 판매자에게 개인정보를 처리위탁ㆍ보관(이전)하고 있으므로, 보호법 제28조의8제2항의 법정 고지사항을 개인정보 처리방침에 공개하거나 이를 이용자에게 전자우편 또는 서면으로 알리는 등 보호법 제28조의8제1항에서 규정한 적법 근거를 갖추어야 한다.
피심인은 개인정보를 싱가포르, 일본, 미국, 중국 등 국외로 이전하면서, 이전되는 개인정보 항목, 개인정보가 이전되는 국가, 시기 및 방법, 개인정보를 이전받는 자의 성명(법인인 경우에는 그 명칭과 연락처), 개인정보를 이전받는 자의 개인정보 이용목적 및 보유ㆍ이용 기간을 개인정보 처리방침에 공개한 사실이 없으며, 이를 이용자에게 전자우편 또는 서면으로 알리거나 동의를 받지도 않았다.
피심인은 조사가 진행되던 2024년 3월 22일 개인정보 처리방침을 개정하여 국외 처리위탁 현황을 공개하였으나 법정 고지사항 중 '이전받는 자(법인)의 연락처’가 누락되었으며, 이에 대한 공개는 2024년 6월 17일에 이루어졌다.
또한 피심인은 피심인으로부터 개인정보 처리 업무를 위탁받아 수행하는 중국 계열사 및 자회사 정보는 위원회의 지적이 있은 후 2025년 4월 4일에서야 개인정보 처리방침에 공개하였다.
따라서 피심인이 개인정보를 싱가포르, 일본, 미국, 중국 등 국외로 처리위탁ㆍ보관하면서 2024년 7월부터 2025년 4월까지 처리방침에 국외 이전 사실을 공개하지 않은 행위는 보호법 제28조의8제1항 위반에 해당한다.
나. 개인정보 처리 위탁 관련
[보호법 제26조(업무위탁에 따른 개인정보의 처리 제한)제2항, 제4항]
피심인이 한국 수탁자에게 개인정보 처리 업무를 위탁하면서, 이를 개인정보 처리방침에 공개하지 않은 행위는 보호법 제26조제2항 위반에 해당하며, 수탁자를 교육하거나, 처리현황 점검 등을 통해 개인정보가 안전하게 처리되는지 감독하지 않은 행위는 보호법 제26조제4항 위반에 해당한다.
다. 국내대리인 지정 관련
[보호법 제31조의2(국내대리인의 지정)제1항]
피심인은 2023년 10월 1일부터 2023년 12월 31일까지 3개월간 그 개인정보가 저장ㆍ관리되고 있는 국내 이용자의 수가 일일평균 100만 명 이상이므로 국내대리인 지정의무가 있다.
그러나, 피심인은 2024년 3월 18일까지 국내대리인을 지정하지 않았는바, 보호법 제31조의2제1항 위반에 해당한다.
라. 회원탈퇴 용이성 관련
[보호법 제38조(권리행사의 방법 및 절차)제4항]
피심인이 7단계 이상의 복잡한 회원탈퇴 절차를 구성하는 등의 행위는 보호법 제38조제4항 위반에 해당한다.
마. 자료 제출 관련
[보호법 제63조(자료제출 요구 및 검사)제1항]
피심인은 개인정보가 처리되는 국가와 관련한 자료 요구에 대해 '중국’ 내 계열사 및 자회사에 대한 사항을 제외하고 자료를 제출하였다.
개인정보 처리에 관여하는 회사가 계열사 및 자회사이고, 중국에서 상품을 배송하고 있음에도 “시스템에 접근할 수 있는 국가 및 사업자, 송장 이미지 샘플 등”에 대한 추가 자료제출을 요청한 이후에야 계열사 및 자회사의 존재를 밝힌 것은 자료를 제출하지 아니한 행위에 해당할 수 있다.
Ⅳ. 피심인의 주장에 대한 검토
1. 국외이전의 법적 근거
피심인은 처리위탁ㆍ보관과 관련한 국외 이전사항을 개인정보 처리방침에 공개하지 않은 위법행위는 인정하면서 위원회 자료제출 요구서 수령 후 2024년 3월 22일 개인정보 처리방침을 개정하여 시정하였다고 소명하고 있다.
또한, 중국 계열사 에 대해서는 정보 이전이 단발적이고, 등 자회사는 개인정보를 '처리’하는 것이 아니므로 개인정보 처리방침 공개 의무가 없어 시정명령 대상이 아님을 주장하고 있다.
그러나 피심인은 에 장애해결 및 컴플라이언스 준수 등 목적으로 개인정보를 이전하고 있는바, 이는 위탁 기간이 지속되는 업무이므로, 보호법 해설서에서 안내하고 있는 위탁업무가 일회성으로 이루어지는 경우로 볼 수 없다.
<img src="/LSW/flDownload.do?flSeq=154825255" alt="6번째 이미지"></img>(각주:개인정보보호위원회 2020. 12. 발간 “개인정보 보호 법령 및 지침ㆍ고시 해설”) 또한, 등 자회사는 피심인이 제공한 응용프로그램을 통해 한국 이용자의 개인정보가 저장된 서버에 접근하여 송장을 출력하고 상품에 부착하고 있는바, 단순 '도관’ 사업자로 볼 수 없으므로 피심인의 주장을 수용할 수 없다.
2. 수탁사 교육ㆍ감독
피심인은 2023년 7월부터 한국 내 서비스를 시작하여 사업 기간이 짧으며, 따라서 관련 규정 및 안내서 등에 비추어 법 위반이라고 볼 수 없다고 주장하고 있다.
그러나 업무 위탁 특성에 따라 개인정보가 실제 위탁되기 전부터 주의사항 교육 등이 필요할 수 있고, 개인정보 처리 업무 위탁 시 교육 및 감독 의무는 업무 위탁 시점부터 발생하는 것이므로, 사업 기간이 짧아 법 위반이라고 볼 수 없다는 주장은 수용할 수 없다.
참고로 피심인은 한국에서 사업을 시작한 2023년 7월 이전부터 전 세계 대상으로 개인정보 처리 업무를 위탁하고 있었으며, 2024년 6월 기준 국내 월간 활성 이용자 수가 만 명에 달하는 국내 이커머스 상위 사업자이다.
3. 권리행사 방법
피심인은 다른 사업자에 비해 회원탈퇴 절차가 명확하고 간단하며, 그럼에도 불구하고 회원탈퇴 절차를 더욱 간소화한바, 시정명령 대상이 아님을 주장한다.
그러나, 이용자가 계정삭제 이유까지 입력하였음에도 탈퇴 의사를 확인하는 추가 화면을 구성한 것은 회원탈퇴를 제한하기 위해 의도적으로 절차를 추가한 것으로 위법하고, 권리행사의 방법 및 절차를 정보주체가 알 수 있도록 공개할 필요가 있는 점 등을 고려할 때 피심인의 주장을 수용할 수 없다.
4. 자료 미제출
피심인은 자료제출 기한에 맞추어 성실히 제출하였고, 위원회의 모든 요청사항을 제출 기한까지 제출하였다는 점에서 자료 미제출에 따른 과태료 부과는 부적절하다고 주장한다.
피심인은 당초 일부 계열사 등에 대한 사항을 누락하고 자료를 제출하였으나, 사전통지서에 대한 의견제출 기한까지 추가 자료를 제출한 점을 고려하면, 보호법 제75조제2항제25호에 따른 자료 미제출 행위로 판단하기에는 무리가 있어 피심인의 주장을 수용한다.
다만, 피심인이 개인정보가 처리되는 국가 관련 자료 요구에 대해 '중국’ 내 계열사 및 자회사에 대한 사항을 제외하고 자료를 제출한 사실은 자료제출의 외형은 갖추었으나 실제는 갖추지 못한 것으로서, 명확한 증거를 제대로 제출하지 않은 조사 방해 행위로 보아 과징금 산정 가산 사유에 해당한다고 판단하였다.
5. 관련 매출액 산정
피심인은 특수관계자 거래로부터 발생하는 매출은 한국 이용자 정보는 물론 한국 이용자를 대상으로 하는 서비스나 영업 활동과는 무관한 매출로, 그룹 내 효율적인 사업 운영을 위해 계열사 간 거래에서 발생하는 매출액이라고 주장한다.
그러나, 피심인이 제출한 특수관계자 거래 관련 계약서에 따르면, 형식상 상위그룹인 계열사( , 이하 ' ’)에 조달 대행 서비스제공 대가로 수취하는 것으로 보여지나, 실질적으로 유럽에서 큰 손실 없이 원활하게 테무 서비스 운영을 유지할 수 있도록 자금을 지원받는 것이고, 조달 대행 서비스의 실질은 없는 것으로 판단된다.
<img src="/LSW/flDownload.do?flSeq=154825257" alt="7번째 이미지"></img>
피심인에게 조달 대행에 대한 실제 사례(예시)를 요청하였으나, 피심인은 그 내역을 제출하지 못하였으며, 피심인이 테무 서비스 운영을 유지할 수 있도록 그룹 차원에서 특수관계자 거래라는 형태를 빌려 금전적 지원을 한 것이라고 답변하였다.
<img src="/LSW/flDownload.do?flSeq=154825539" alt="8번째 이미지"></img>
또한 피심인은 특수관계자의 사업ㆍ역할이 테무 서비스와 무관하다고 주장하나, 그룹의 계열 구조도에 따르면, 특수관계자인 는 본 사건에서 “테무의 中 중계창고 내에서 송장 출력 업무”를 담당하는 을 100% 소유한 점, 테무 서비스의 운영 목적만을 위해 에 대한 조달 대행 서비스가 이루어진 점, 테무 서비스는 조달 대행 서비스가 없이는 지속적으로 운영된다고 볼 수 없어 양 서비스는 분리될 수 없는 점과 함께,
특수관계자 매출에 대한 여러 차례 자료 제출 요구에도 위반행위와 관련 없는 매출액 인지에 대해 명확히 입증하지 못한 점 등을 종합적으로 고려할 때 조달 대행 서비스는 테무 서비스와 완전 무관하다고 보기 어렵다고 판단된다.
<img src="/LSW/flDownload.do?flSeq=154825541" alt="9번째 이미지"></img>
또한, 테무의 사업 확장에 따라 특수관계자 매출액도 증가한 점(이용자 수 및 거래규모↑⇒ 손실↑⇒ 손실 보전 위한 특수관계자 매출액↑)을 고려하면, 특수관계자 매출액은 초저가 전략ㆍ막대한 자본력을 바탕으로 한 출혈 경쟁(수수료 0.5% 등)을 유지하기 위한 것으로서 위반행위에 따라 직ㆍ간접적으로 영향을 받는 서비스 매출액에 해당된다고 판단된다.
다만, 피심인이 공식 재무제표와 테무 한국 사이트를 통해 진행된 모든 거래의 상세 내역을 제출하였고, 한국 이용자의 개인정보는 테무의 한국 서비스(제품판매, 배송 등)를 위해서 처리된바, 전체 매출액에서 한국 매출액이 차지하는 비율(’23년 %, ’24년 %)을 반영한 매출액을 과징금 부과기준으로 삼았다.
Ⅴ. 처분 및 결정
1. 시정조치 명령
개인정보 보호 및 침해 방지를 위해 보호법 제64조제1항에 따라 피심인에게 다음과 같이 시정조치를 명한다.
가. 피심인은 국내ㆍ외 개인정보 처리위탁ㆍ보관 현황을 개인정보 처리방침에 투명하게 공개할 것
나. 개인정보 처리 수탁자를 대상으로 정기적 교육 및 현황 점검ㆍ개선 등 관리ㆍ감독을 실시할 것
다. 피심인은 정보주체가 회원탈퇴를 포함하여 권리행사를 쉽게 할 수 있도록 구체적인 방법과 절차를 마련하고, 이를 정보주체가 알 수 있도록 공개할 것
라. 피심인은 가.부터 다.까지의 조치를 이행하고, 시정명령 통지를 받은 날로부터 90일 이내에 개인정보보호위원회에 이행 결과를 제출할 것
2. 개선권고
피심인이 국내 정보주체의 개인정보 자기결정권을 보다 충실히 보장하고 보호수준을 제고하도록 보호법 제61조제2항에 따라 다음과 같이 개인정보 처리 실태의 개선을 권고한다.
가. 피심인은 개인정보 처리 흐름을 최대한 투명하고 알기 쉽게 정보주체에게 공개하고, 변경 시 신속하게 현행화할 것
나. 개정 보호법(시행 ’25.10.2.)에 따라 피심인의 한국 법인을 국내대리인으로 지정하고 개인정보 보호를 위한 실질적 운영 노력을 기울일 것. 특히 개인정보 처리와 관련한 불만의 처리 및 피해 구제를 위한 구체적인 방안을 마련하고 시행할 것
다. 보호법상 원칙에 따라 수집하는 개인정보를 최소화할 것
라. 피심인은 가.부터 다.까지의 조치를 개인정보보호위원회와 협의하여 이행하고, 개선권고 통지를 받은 날로부터 90일 이내에 이행 결과 및 계획을 제출할 것
3. 과징금 부과
피심인의 보호법 제28조의8(개인정보의 국외이전)제1항 위반행위에 대해 같은 법 제64조의2제1항제7호, 시행령 제60조의2 [별표 1의5] 및 「개인정보보호 법규 위반에 대한 과징금 부과기준(각주:개인정보보호 법규 위반에 대한 과징금 부과기준(개인정보보호위원회 고시 제2023-3호, 2023. 9. 15. 시행)) 」(이하 '과징금 부과기준’)에 따라 다음과 같이 부과한다.
가. 과징금 상한액
피심인의 보호법에 대한 과징금 상한액은 같은 법 제64조의2제1항, 시행령 제60조의2에 따라 위반행위가 있었던 사업연도 직전 3개 사업연도의 연평균 매출액의 100분의 3을 초과하지 아니하는 범위에서 부과할 수 있다.
나. 기준금액
1) 중대성의 판단
과징금 부과기준 제8조제1항은 “시행령 [별표 1의5] 2. 가. 1) 및 2)에 따른 위반행위의 중대성의 정도는 [별표] 위반행위의 중대성 판단기준을 기준으로 정한다.”라고 규정하고 있다.
[별표] 위반행위의 중대성 판단기준에 따르면 “위반행위의 중대성의 정도는 고려사항별 부과기준을 종합적으로 고려하여 판단”하고, “고려사항별 부과수준 중 두 가지 이상에 해당하는 경우에는 높은 부과 수준을 적용한다.”라고 규정하고 있으며, “고려사항별 부과 수준의 판단기준은 ▲(고의ㆍ과실) 위반행위의 목적, 동기, 당해 행위에 이른 경위, 영리 목적의 유무 등을 종합적으로 고려, ▲(위반행위의 방법) 안전성 확보 조치 이행 노력 여부, 개인정보 보호책임자 등 개인정보 보호 조직, 위반행위가 내부에서 조직적으로 이루어졌는지 여부, 사업주, 대표자 또는 임원의 책임ㆍ관여 여부 등을 종합적으로 고려하고, 개인정보가 유출 등이 된 경우에는 개인정보의 유출등과 안전성 확보 조치 위반행위와의 관련성을 포함하여 판단, ▲(위반행위로 인한 정보주체의 피해 규모 및 정보주체에게 미치는 영향) 피해 개인정보의 규모, 위반기간, 정보주체의 권리ㆍ이익이나 사생활 등에 미치는 영향 등을 종합적으로 고려하고, 개인정보가 유출등이 된 경우에는 유출 등의 규모 및 공중에 노출되었는지 여부를 포함하여 판단한다.”라고 규정하고 있다.
피심인의 고의ㆍ과실, 위반행위의 방법, 처리하는 개인정보의 유형, 정보주체의 피해 규모 및 정보주체에게 미치는 영향 등을 종합적으로 고려하여, 위반행위의 중대성을 '중대한 위반행위’로 판단한다.
2) 기준금액 산출
과징금 부과기준 제6조제1항은 “기준금액은 전체 매출액에서 위반행위와 관련이 없는 매출액을 제외한 매출액에 부과기준율을 곱한 금액으로 정한다.”라고 규정하고 있다.
피심인의 경우, 과징금 부과기준 제7조제3항에 따라 피심인의 특수관계자 매출액을 포함한 전체 매출액을 기준으로 과징금을 산정한다. 다만, 피심인이 공식 재무제표와 테무 서비스에서 발생한 한국 관련 모든 거래의 상세 내역을 제출하였고, 한국 이용자의 개인정보는 테무의 한국 서비스(제품판매, 배송 등)를 위해서 처리된바, 전체 매출액에서 한국 매출액이 차지하는 비율(’23년 %, ’24년 %)을 반영한 매출액을 기준으로, 시행령 [별표 1의5] 2. 가. 1)에 따른 '중대한 위반행위’의 부과기준율 1만분의 150을 적용하여 기준금액을 천 원으로 한다.
<img src="/LSW/flDownload.do?flSeq=154825543" alt="10번째 이미지"></img>
다. 1차 조정
과징금 부과기준 제9조에 따른 피심인 위반행위의 기간이 ’23. 7월부터 ’25. 4월로 '1년 초과 2년 이내인 경우’에 해당하므로 기준금액의 100분의 25에 해당하는 금액인 천 원을 가산하고,
라. 2차 조정
과징금 부과기준 제10조에 따라 피심인은 '법 제63조제1항 및 제2항에 따른 물품ㆍ서류의 제출요구 또는 검사를 거부하거나 증거인멸, 은폐, 조작, 허위의 정보제공 등의 방법으로 조사를 방해한 경우’에 해당하여 1차 조정을 거친 금액의 100분의 30에 해당하는 천 원을 가산한다.
마. 과징금의 결정
피심인의 보호법 제28조의8(개인정보의 국외이전)제1항 위반행위에 대해 같은 법 제64조의2제1항제7호, 시행령 제60조의2, [별표 1의5] 및 '과징금의 산정기준과 산정절차’ 2. 가. 1) 및 '과징금 부과기준’에 따라 위와 같이 단계별로 산출한 금액인 879,000천 원을 최종 과징금으로 결정한다.
<img src="/LSW/flDownload.do?flSeq=154825545" alt="11번째 이미지"></img>
2. 과태료 부과
피심인의 제26조(업무위탁에 따른 개인정보의 처리제한)제2항 및 제31조의2(국내대리인의 지정)제1항 위반행위에 대한 과태료는 같은 법 제75조(과태료)제4항제5호, 제75조제3항제2호, 시행령 제63조[별표2] 및 「개인정보 보호법 위반에 대한 과태료 부과기준」(각주:개인정보 보호법 위반에 대한 과태료 부과기준(개인정보보호위원회 지침, 2023. 9. 15. 시행)) (이하 '과태료 부과기준’)에 따라 다음과 같이 부과한다.
가. 기준금액
시행령 제63조 [별표2]는 최근 3년간 같은 위반행위를 한 경우 위반 횟수에 따라 기준금액을 규정하고 있고, 피심인은 최근 3년간 같은 위반행위로 과태료 처분을 받은 사실이 없으므로 법 제26조(업무위탁에 따른 개인정보의 처리제한)제2항 위반에 대해서는 1회 위반에 해당하는 과태료인 200만 원을 각 기준금액으로 적용하고, 법 제31조의2(국내대리인의 지정)제1항 위반에 대해서는 위반횟수와 무관하게 2,000만원을 기준금액으로 적용한다.
<img src="/LSW/flDownload.do?flSeq=154825247" alt="12번째 이미지"></img>
나. 과태료의 가중 및 감경
1) (과태료의 가중) 과태료 부과기준 제7조는 '당사자의 위반행위의 정도, 위반행위의 동기와 그 결과 등을 고려하여 [별표3]의 가중기준(▲위반의 정도, ▲위반기간, ▲조사방해, ▲위반주도 등을 고려하여 가중사유가 인정되는 경우)에 따라 기준금액의 100분의 50의 범위 이내에서 가중할 수 있다.’ 라고 규정하고 있다.
피심인의 보호법 위반행위에 대하여 과태료 부과기준 제7조에 따른 가중사유가 없어 과태료의 가중은 고려하지 않는다.
2) (과태료의 감경) 과태료 부과기준 제6조는 '당사자의 위반행위 정도, 위반행위의 동기와 그 결과 등을 고려하여 [별표2]의 감경기준(▲당사자 환경, ▲위반정도, ▲개인정보보호 노력정도, ▲조사협조 및 자진시정 등을 고려하여 감경사유가 인정되는 경우)에 따라 기준금액의 100분의 50의 범위 이내에서 감경할 수 있다.’라고 규정하고 있다.
피심인의 보호법 제26조(업무위탁에 따른 개인정보의 처리 제한)제2항 및 제31조의2(국내대리인의 지정)제1항 위반행위에 대하여 ▲과태료의 사전통지 및 의견제출 기간이 종료되기 이전에 위반행위를 중지하는 등 시정을 완료한 점 등을 종합적으로 고려하여 과태료 부과기준 제7조에 따라 기준금액의 20%를 감경한다.
다. 최종 과태료
피심인의 보호법 제26조(업무위탁에 따른 개인정보의 처리제한)제2항 및 제31조의2(국내대리인의 지정)제1항 위반행위에 대해 기준금액에서 가중ㆍ감경을 거쳐 총 1,760만 원의 과태료를 부과한다.
<img src="/LSW/flDownload.do?flSeq=154825249" alt="13번째 이미지"></img>
피심인은 이 시정명령 및 과징금 부과처분에 불복이 있는 경우, 「행정심판법」 제27조 및 「행정소송법」제20조의 규정에 따라 처분을 받은 날부터 90일 이내에
행정심판을 청구하거나 행정소송을 제기할 수 있다.
피심인은 이 과태료 부과처분에 불복이 있는 경우, 「질서위반행위규제법」 제20조의 규정에 따라 처분을 받은 날로부터 60일 이내에 개인정보보호위원회에 서면으로 이의를 제기할 수 있다.
과태료 부과처분에 대한 피심인의 이의제기가 있는 경우, 개인정보보호위원회의 과태료 부과처분은 「질서위반행위규제법」제20조제2항의 규정에 따라 그 효력을 상실하고 관할법원(당사자 주소지의 지방법원 또는 그 지원)이 과태료 재판 절차에따라 결정한다. 이 경우 피심인은 관할법원의 과태료 재판이 확정된 이후 재판 결과에 따라 과태료 납입 의무를 부담한다.
이상과 같은 이유로 주문과 같이 의결한다.
출처: 국가법령정보센터 개인정보보호위원회 결정문. 신청인·피심인 등 당사자 칸은 따로 싣지 않습니다(본문의 이름은 원천이 가린 그대로입니다).