개인정보보호위원회
심의ㆍ의결
제2025-016-237호
슈퍼앱 등 주요 앱 사전실태점검 결과에 관한 건
의결일: 2025년 7월 23일
요지
안건번호 : 제2025-016-237호
안건명 : 슈퍼앱 등 주요 앱 사전실태점검 결과에 관한 건
신청인 : ㈜카카오 (사업자등록번호 : )제주특별자치도 제주시 첨단로 242대표자
의결연월일 : 2025. 7. 23.
안건명 : 슈퍼앱 등 주요 앱 사전실태점검 결과에 관한 건
신청인 : ㈜카카오 (사업자등록번호 : )제주특별자치도 제주시 첨단로 242대표자
의결연월일 : 2025. 7. 23.
주문
1. 피심인에 대하여 다음과 같이 개인정보 처리실태의 개선을 권고한다.
가. 계약 체결ㆍ이행 등을 위해 동의 없이 처리할 수 있는 개인정보에 대해 필수 동의 대체방안(정보주체에게 고지 등)을 마련할 것
나. DW 접근권한 부여 시 개인정보 보호부서에 의한 내부통제를 체계화하고, DW에 대한 개인정보취급자 접속기록 보존ㆍ관리의무를 지속 이행할 것
다. 개별 탈퇴 가능ㆍ불가능한 서비스를 이용약관ㆍ 관련기능ㆍ안내문 등에
포함하여 알리고, 처리정지 요구권 행사에 필요한 기능을 마련하거나 방법을 이용자에게 안내할 것
라. 피심인은 이상의 개선권고 사항을 개인정보보호위원회와 협의하여 이행하고, 개선권고 통지를 받은 날로부터 180일 이내에 개인정보보호위원회에 이행 결과 및 계획을 제출할 것
가. 계약 체결ㆍ이행 등을 위해 동의 없이 처리할 수 있는 개인정보에 대해 필수 동의 대체방안(정보주체에게 고지 등)을 마련할 것
나. DW 접근권한 부여 시 개인정보 보호부서에 의한 내부통제를 체계화하고, DW에 대한 개인정보취급자 접속기록 보존ㆍ관리의무를 지속 이행할 것
다. 개별 탈퇴 가능ㆍ불가능한 서비스를 이용약관ㆍ 관련기능ㆍ안내문 등에
포함하여 알리고, 처리정지 요구권 행사에 필요한 기능을 마련하거나 방법을 이용자에게 안내할 것
라. 피심인은 이상의 개선권고 사항을 개인정보보호위원회와 협의하여 이행하고, 개선권고 통지를 받은 날로부터 180일 이내에 개인정보보호위원회에 이행 결과 및 계획을 제출할 것
이유
Ⅰ. 기초 사실
피심인은 메신저를 기반으로 금융/쇼핑/포털 등의 다양한 서비스를 제공하는 '카카오톡’ 앱을 통해 이용자의 개인정보를 처리하는 「개인정보 보호법」개인정보 보호법(법률 제19234호, 2023. 3. 14. 일부개정, 2023. 9. 15. 시행)(이하 '보호법’)상의 개인정보처리자로서 일반현황은 다음과 같다.
<img src="/LSW/flDownload.do?flSeq=158751841" alt="1번째 이미지"></img>
Ⅱ. 실태점검 결과
1. 개요
국민 대다수가 이용하는 슈퍼앱*은 다양한 서비스 제공을 위해 이용자의 개인정보를 다수의 사업자와 공유하는 등 개인정보 보호 취약점이 존재할 수 있어, 실태점검을 통해 개인정보 처리과정을 엄격하게 관리ㆍ통제하도록 개선하여 안전한 플랫폼 이용 환경을 조성하고자 하였다.
* 하나의 앱에서 검색ㆍ쇼핑ㆍ송금 등 다양한 서비스(특히 복수 사업자 참여하에 구현되는 서비스)를 제공하는 온라인 플랫폼으로 규모 및 영향력을 확대 중
2. 행위 사실
가. 서비스 현황 및 점검 결과
1) 개인정보 수집ㆍ이용ㆍ제공 관련
피심인은 이용자의 회원가입 시에 개인정보 수집ㆍ이용에 관한 동의를 받아 슈퍼앱의 기본적인 서비스 제공에 필요한 개인정보를 수집ㆍ이용하며, 개별적인 서비스 이용 시점에 추가적으로 개인정보 수집ㆍ이용ㆍ제공이 필요할 경우 별도의 개인정보 수집ㆍ이용ㆍ제공 동의를 받고 있었다.
다만, 서비스 제공 시 에 이용자의 접속이력 및 결제정보 등을 제공하면서, 이용자로부터 개인정보 제3자 제공에 관한 동의를 선택으로 받는 과정에서 개인정보 제공 목적을 “금융서비스 이용평가 분석” 등의 추상적인 내용으로 기재하여, 이용자가 선택 동의의 의미와 효과를 인식하기 어렵게 고지하고 있었다.다만, 사전통지 후 의견제출 과정에서 해당 개인정보에 대한 처리 목적 문구를 구체적으로 개선함
(기존) 신용/비신용 데이터를 활용한 금융서비스 이용평가 분석, → (개선) 대안신용평가 모형 개발, 데이터(신용/비신용) 활용을 통한 대안신용평가또한, 피심인은 계약이행(서비스 기본기능 제공) 등에 필요한 개인정보 수집ㆍ이용ㆍ제공 근거를 대개 '필수동의’로만 구비하고 있었다.
2) 데이터 분석을 위한 개인정보 활용
피심인은 서비스 제공 과정에서 수집한 고객정보를 통합ㆍ분석하여 슈퍼앱 서비스 개발 및 마케팅 등의 목적으로 활용하고 있으며, 개인정보처리방침을 통해 해당 사항을 이용자에게 고지ㆍ안내하고 있었다.
이용자 정보 분석은 서비스 DB의 부하를 방지하고, 개인정보 노출 위험을 최소화하기 위해 분석용 데이터웨어하우스(DW)*를 별도 구축하며, 이를 통계툴**을 활용하여 분석하고 있었다.
* DW(Data Warehouse) : 데이터 분석을 지원하는 데이터관리시스템으로, 대량의 데이터를 통합하여 쿼리ㆍ분석을 수행하기 위한 용도로 사용
** 통계툴(Business Intelligence Tool) : 비즈니스 데이터를 분석하여 기업의 의사 결정을 돕는 SW로, 데이터를 처리ㆍ분석하고 그 결과를 시각적인 형태로 제공함
다만, 피심인은 DW 내 이용자 개인정보에 해당 부서 외의 타부서 임직원이 접근권한을 부여받을 수 있음에도 불구하고 개인정보 보호부서에서 접근권한 부여 과정을 별도 검토 및 승인하는 절차를 갖추지 않고 있었다.
또한, 피심인은 현장조사 이전까지는 DW에 대한 데이터 조회 쿼리 및 접속기록을 남기고 있지 않았으나, 현장조사 이후부터 접속기록을 남기기 시작했다.
3) 개인정보 위탁ㆍ제3자 제공 관련
피심인은 서비스 제공을 위해 제3자(계열회사 포함)에게 개인정보 처리 업무를 위탁하거나 이용자에게 제3자 제공 동의를 받아 개인정보를 전송ㆍ공유하고 있었다. 개인정보를 위탁하거나 제공할 때는 API 연동이나 웹페이지 호출 등의 방식으로 전송ㆍ공유하며, 그 과정에서 개인정보 제공 근거ㆍ목적 등을 검토ㆍ관리하고 있었다.
피심인은 외부와 연동되는 API의 호출 로그(request) 및 응답 성공 여부(true/false)를 기록으로 남기고 있었으며, 로그 내 이름, 전화번호, e-mail 등 직접 개인 식별이 가능한 외부식별자는 마스킹 등 비식별 처리하고 있었다.
4) 이용자 선택권 보장 관련
피심인은 슈퍼앱 서비스 중 별도의 회원가입 또는 개인정보 수집ㆍ이용 동의를 받는 서비스의 경우에는 개별적인 탈퇴 기능을 제공하고 있었다.
3. 처분의 사전통지 및 의견 수렴
위원회는 2024년 11월 1일 피심인에게 예정된 처분에 대한 사전통지서를 송부하고 이에 대한 의견을 요청하였으며, 피심인은 시정권고 사항에 대하여 향후 시정 예정이라는 의견(접속기록 관리는 현장조사 과정에서 시정완료)을 2024년 11월 15일 위원회에 제출(1차)하였고, ’24.12.5.자로 시정이 완료된 결과를 제출(2차)하였다.
Ⅲ. 개인정보 처리실태 개선사항
1. 관련 법 규정
가. 보호법 제15조제1항은 “개인정보처리자는 다음 각 호의 어느 하나에 해당하는 경우에는 개인정보를 수집할 수 있으며 그 수집 목적의 범위에서 이용할 수 있다. (1호)정보주체의 동의를 받은 경우, (2호)법률에 특별한 규정이 있거나 법령상 의무를 준수하기 위하여 불가피한 경우, (3호)공공기관이 법령 등에서 정하는 소관 업무의 수행을 위하여 불가피한 경우, (4호)정보주체와 체결한 계약을 이행하거나 계약을 체결하는 과정에서 정보주체의 요청에 따른 조치를 이행하기 위하여 필요한 경우, (5호)명백히 정보주체 또는 제3자의 급박한 생명, 신체, 재산의 이익을 위하여 필요하다고 인정되는 경우, (6호)개인정보처리자의 정당한 이익을 달성하기 위하여 필요한 경우로서 명백하게 정보주체의 권리보다 우선하는 경우. 이 경우 개인정보처리자의 정당한 이익과 상당한 관련이 있고 합리적인 범위를 초과하지 아니하는 경우에 한한다. (7호)공중위생 등 공공의 안전과 안녕을 위하여 긴급히 필요한 경우”라고 규정하고 있으며, 동조 제3항은 “개인정보처리자는 당초 수집 목적과 합리적으로 관련된 범위에서 정보주체에게 불이익이 발생하는지 여부, 암호화 등 안전성 확보에 필요한 조치를 하였는지 여부 등을 고려하여 대통령령으로 정하는 바에 따라 정보주체의 동의 없이 개인정보를 이용할 수 있다.”고 규정하고 있다.
나. 보호법 제22조 제1항은 “개인정보처리자는 이 법에 따른 개인정보의 처리에 대하여 정보주체의 동의를 받을 때에는 각각의 동의 사항을 구분하여 정보주체가 이를 명확하게 인지할 수 있도록 알리고 동의를 받아야 한다. 이 경우 다음 각 호의 경우에는 동의 사항을 구분하여 각각 동의를 받아야 한다.”라고 규정하고 있고, 제22조 제2항은 “개인정보처리자는 정보주체의 동의 없이 처리할 수 있는 개인정보에 대해서는 그 항목과 처리의 법적 근거를 정보주체의 동의를 받아 처리하는 개인정보와 구분하여 제30조제2항에 따라 공개하거나 전자우편 등 대통령령으로 정하는 방법에 따라 정보주체에게 알려야 한다. 이 경우 동의 없이 처리할 수 있는 개인정보라는 입증책임은 개인정보처리자가 부담한다.”고 규정하고 있다.
보호법 시행령 제17조 제1항은 “개인정보처리자는 법 제22조에 따라 개인정보의 처리에 대하여 정보주체의 동의를 받을 때에는 다음 각 호의 조건을 모두 충족해야 한다. (1호)정보주체가 자유로운 의사에 따라 동의 여부를 결정할 수 있을 것, (2호)동의를 받으려는 내용이 구체적이고 명확할 것, (3호)그 내용을 쉽게 읽고 이해할 수 있는 문구를 사용할 것, (4호)동의 여부를 명확하게 표시할 수 있는 방법을 정보주체에게 제공할 것”을 규정하고 있다.
다. 보호법 제29조는 “개인정보처리자는 개인정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지 아니하도록 내부 관리계획 수립, 접속기록 보관 등 대통령령으로 정하는 바에 따라 안전성 확보에 필요한 기술적ㆍ관리적 및 물리적 조치를 하여야 한다.”라고 규정하고 있으며,
같은 법 시행령 제30조 제1항 제5호는 개인정보 침해사고 발생에 대응하기 위한 접속기록의 보관 및 위조ㆍ변조 방지를 위한 다음 각 목의 조치로, (가목)개인정보처리시스템에 접속한 자의 접속일시, 처리내역 등 접속기록의 저장ㆍ점검 및 이의 확인ㆍ감독, (나목)개인정보처리시스템에 대한 접속기록의 안전한 보관, (다목)그 밖에 접속기록 보관 및 위조ㆍ변조 방지를 위하여 필요한 조치를 규정하고 있다.
한편, 시행령 제30조 제3항에 따라 안전성 확보조치에 관한 세부 기준을 구체적으로 정하고 있는 개인정보의 안전성 확보조치 기준(이하 '고시’) 제8조 제1항은 “개인정보처리자는 개인정보취급자의 개인정보처리시스템에 대한 접속기록을 1년 이상 보관ㆍ관리하여야 한다. 다만, 다음 각 호의 어느 하나에 해당하는 경우에는 2년 이상 보관ㆍ관리하여야 한다. (1호)5만명 이상의 정보주체에 관한 개인정보를 처리하는 개인정보처리시스템에 해당하는 경우, (2호)고유식별정보 또는 민감정보를 처리하는 개인정보처리시스템에 해당하는 경우, (3호)개인정보처리자로서 「전기통신사업법」제6조제1항에 따라 등록을 하거나 같은 항 단서에 따라 신고한 기간통신사업자에 해당하는 경우”라고 규정하고 있고,
제8조 제2항은 “개인정보처리자는 개인정보의 오ㆍ남용, 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손 등에 대응하기 위하여 개인정보처리시스템의 접속기록 등을 월 1회 이상 점검하여야 한다. 특히 개인정보의 다운로드가 확인된 경우에는 내부 관리계획 등으로 정하는 바에 따라 그 사유를 반드시 확인하여야 한다.”라고 규정하고 있으며,
제8조 제3항은 “개인정보처리자는 접속기록이 위ㆍ변조 및 도난, 분실되지 않도록 해당 접속기록을 안전하게 보관하기 위한 조치를 하여야 한다.”라고 규정하고 있다.
라. 보호법 제36조 제1항은 “제35조에 따라 자신의 개인정보를 열람한 정보주체는 개인정보처리자에게 그 개인정보의 정정 또는 삭제를 요구할 수 있다. 다만, 다른 법령에서 그 개인정보가 수집 대상으로 명시되어 있는 경우에는 그 삭제를 요구할 수 없다.”고 규정하고 있으며, 제37조 제1항은 “정보주체는 개인정보처리자에 대하여 자신의 개인정보 처리의 정지를 요구하거나 개인정보 처리에 대한 동의를 철회할 수 있다. 이 경우 공공기관에 대해서는 제32조에 따라 등록 대상이 되는 개인정보파일 중 자신의 개인정보에 대한 처리의 정지를 요구하거나 개인정보 처리에 대한 동의를 철회할 수 있다.”고 규정하고 있다. 또한, 제38조 제4항은 “개인정보처리자는 정보주체가 열람등요구를 할 수 있는 구체적인 방법과 절차를 마련하고, 이를 정보주체가 알 수 있도록 공개하여야 한다. 이 경우 열람등요구의 방법과 절차는 해당 개인정보의 수집 방법과 절차보다 어렵지 아니하도록 하여야 한다.”라고 규정하고 있다.
2. 개선권고 필요성 판단
가. 개인정보 제공 동의를 받으면서, 동의 항목을 불명확하게 고지한 행위
[보호법 제22조제1항(동의를 받는 방법)]
피심인이 슈퍼앱 서비스를 위해 로 이용자 정보를 제공하는 과정에서 이용자로부터 개인정보 제3자 제공 동의를 받으면서, 제공 목적을 쉽게 이해할 수 있는 문구를 사용하지 않고, “금융서비스 이용평가 분석” 등으로 불명확하게 고지하여 이용자가 자유로운 의사에 따라 동의 여부를 결정할 수 없도록 한 행위는 보호법 제22조제1항 준수 여부가 쟁점이 될 수 있다.
다만, 피심인은 현장조사 이후 해당 동의서상 동의 항목의 처리 목적을 보다 구체적인 문구로 시정완료p.4 각주 '2)’ 내용과 동일하였는바, 본 건 점검이 사전실태점검인 점, 해당 시정완료 행위가 일회성 조치로써 즉시 효과가 있어 시정권고를 부과할 실익이 적은 점 등을 고려하여 별도 시정권고 조치를 하지 않는다.
나. 개인정보처리시스템에 대한 접속기록을 보관ㆍ관리하지 않은 행위
[보호법 제29조(안전조치의무)]
피심인이 데이터 분석을 위해 이용자의 서비스 이용 내역 등 정보를 복사하여 저장ㆍ보관하는 DW(데이터웨어하우스)는 개인정보처리시스템에 해당한다.
따라서 피심인이 임직원의 DW에 대한 접속기록을 보관ㆍ관리하지 않는 행위는 보호법 제29조 준수 여부가 쟁점이 될 수 있다.
다만, 피심인은 1차 현장조사 이후 DW에 대한 접속기록을 남기고 있어, 이미 시정이 완료된 것으로 볼 수 있어, 시정권고의 실익은 적다고 볼 수 있으나, 접속기록은 2년 이상 지속적으로 보관ㆍ관리하여야 하는 사항이므로, 재발 방지 및 지속적인 이행 확보를 위해 개선권고가 필요하다.
다. 기타 개인정보 처리 실태의 개선이 필요한 사항
1) 보호법 개정에 따라 계약 체결 및 이행 등을 위해 필요한 개인정보의 수집ㆍ이용ㆍ제공에 대하여는 동의를 받지 않아도 됨에도 불구하고 대부분의 개인정보 적법처리 근거를 동의로 구비하고 있는 점에 있어 이는 오히려 습관적으로 동의 버튼을 누르는 부작용(동의 불감증)이 따를 수 있어 필수동의 대체방안이 마련되도록 개선이 필요하다
2) 분석 DW는 개인을 직접 식별할 수 있는 정보가 제거된 경우에도 이용자 식별번호를 통해 회원 DB와 연계하여 개인 식별이 가능하므로, 개인정보처리시스템에 해당하나, 피심인은 분석 DW에 대한 내부 임직원의 접근권한을 개인정보 보호부서의 검토나 승인 없이 서비스 운영부서가 관리하도록 운영하였다.
개인정보처리시스템에 대한 접근권한 부여 등 관리 절차에 개인정보 보호부서가 관여하지 않는 것만으로 보호법 위반으로 보기는 어려우나, 피심인은 DW가 개인정보처리시스템에 해당한다는 점에 대한 인식이 부족하여 개인정보 보호부서를 통한 강화된 관리 절차를 마련하도록 개선이 필요하다.
3) 피심인은 슈퍼앱 내에서 제공하는 복수의 서비스 관련, 모든 서비스에 대한 개별 탈퇴 기능을 제공하지 않고, 일부 서비스에 대하여만 개별 탈퇴 기능을 제공하고 있다.
보호법은 정보주체에게 개인정보 정정ㆍ삭제, 처리정지, 동의철회권을 요구할 권리를 보장하고 있을 뿐이므로(법 제36조 내지 제38조), 개별 탈퇴가 가능한 서비스의 구성은 사업자가 자율적으로 결정할 영역에 해당하여, 일부 서비스에 대해서만 개별 탈퇴 기능을 마련한 행위를 보호법 위반으로 보기는 어렵다.
다만, 슈퍼앱이 이용자에게 자신의 개인정보가 이용되는 범위를 결정할 수 있는 개인정보 자기결정권을 보장하고 불필요한 개인정보의 처리를 최소화하기 위하여, ①이용약관ㆍ관련기능ㆍ안내문 등에 개별 서비스 목록을 안내하고, ②개별 서비스 탈퇴 기능 또는 서비스별 개인정보 처리 정지, 동의 철회 등을 요구할 수 있는 절차를 알기 쉬운 방법으로 마련하거나 안내하도록 개선할 필요가 있다.
Ⅳ. 처분 및 결정
1. 개선권고
피심인에 대해 같은 법 제61조에 따라 다음과 같이 개인정보 처리의 실태를 개선하도록 권고한다.
가. 계약 체결ㆍ이행 등을 위해 동의 없이 처리할 수 있는 개인정보에 대해 필수 동의 대체방안(정보주체에게 고지 등)을 마련할 것
나. DW 접근권한 부여 시 개인정보 보호부서에 의한 내부통제를 체계화하고, DW에 대한 개인정보취급자 접속기록 보존ㆍ관리의무를 지속 이행할 것
다. 개별 탈퇴 가능ㆍ불가능한 서비스를 이용약관ㆍ 관련기능ㆍ안내문 등에
포함하여 알리고, 처리정지 요구권 행사에 필요한 기능을 마련하거나 방법을 이용자에게 안내할 것
라. 피심인은 이상의 개선권고 사항을 개인정보보호위원회와 협의하여 이행하고, 개선권고 통지를 받은 날로부터 180일 이내에 개인정보보호위원회에 이행 결과 및 계획을 제출할 것
Ⅴ. 결론
피심인에 대하여 보호법 제61조(의견제시 및 개선권고) 제2항에 따라 개선권고를 주문과 같이 의결한다.
피심인은 메신저를 기반으로 금융/쇼핑/포털 등의 다양한 서비스를 제공하는 '카카오톡’ 앱을 통해 이용자의 개인정보를 처리하는 「개인정보 보호법」개인정보 보호법(법률 제19234호, 2023. 3. 14. 일부개정, 2023. 9. 15. 시행)(이하 '보호법’)상의 개인정보처리자로서 일반현황은 다음과 같다.
<img src="/LSW/flDownload.do?flSeq=158751841" alt="1번째 이미지"></img>
Ⅱ. 실태점검 결과
1. 개요
국민 대다수가 이용하는 슈퍼앱*은 다양한 서비스 제공을 위해 이용자의 개인정보를 다수의 사업자와 공유하는 등 개인정보 보호 취약점이 존재할 수 있어, 실태점검을 통해 개인정보 처리과정을 엄격하게 관리ㆍ통제하도록 개선하여 안전한 플랫폼 이용 환경을 조성하고자 하였다.
* 하나의 앱에서 검색ㆍ쇼핑ㆍ송금 등 다양한 서비스(특히 복수 사업자 참여하에 구현되는 서비스)를 제공하는 온라인 플랫폼으로 규모 및 영향력을 확대 중
2. 행위 사실
가. 서비스 현황 및 점검 결과
1) 개인정보 수집ㆍ이용ㆍ제공 관련
피심인은 이용자의 회원가입 시에 개인정보 수집ㆍ이용에 관한 동의를 받아 슈퍼앱의 기본적인 서비스 제공에 필요한 개인정보를 수집ㆍ이용하며, 개별적인 서비스 이용 시점에 추가적으로 개인정보 수집ㆍ이용ㆍ제공이 필요할 경우 별도의 개인정보 수집ㆍ이용ㆍ제공 동의를 받고 있었다.
다만, 서비스 제공 시 에 이용자의 접속이력 및 결제정보 등을 제공하면서, 이용자로부터 개인정보 제3자 제공에 관한 동의를 선택으로 받는 과정에서 개인정보 제공 목적을 “금융서비스 이용평가 분석” 등의 추상적인 내용으로 기재하여, 이용자가 선택 동의의 의미와 효과를 인식하기 어렵게 고지하고 있었다.다만, 사전통지 후 의견제출 과정에서 해당 개인정보에 대한 처리 목적 문구를 구체적으로 개선함
(기존) 신용/비신용 데이터를 활용한 금융서비스 이용평가 분석, → (개선) 대안신용평가 모형 개발, 데이터(신용/비신용) 활용을 통한 대안신용평가또한, 피심인은 계약이행(서비스 기본기능 제공) 등에 필요한 개인정보 수집ㆍ이용ㆍ제공 근거를 대개 '필수동의’로만 구비하고 있었다.
2) 데이터 분석을 위한 개인정보 활용
피심인은 서비스 제공 과정에서 수집한 고객정보를 통합ㆍ분석하여 슈퍼앱 서비스 개발 및 마케팅 등의 목적으로 활용하고 있으며, 개인정보처리방침을 통해 해당 사항을 이용자에게 고지ㆍ안내하고 있었다.
이용자 정보 분석은 서비스 DB의 부하를 방지하고, 개인정보 노출 위험을 최소화하기 위해 분석용 데이터웨어하우스(DW)*를 별도 구축하며, 이를 통계툴**을 활용하여 분석하고 있었다.
* DW(Data Warehouse) : 데이터 분석을 지원하는 데이터관리시스템으로, 대량의 데이터를 통합하여 쿼리ㆍ분석을 수행하기 위한 용도로 사용
** 통계툴(Business Intelligence Tool) : 비즈니스 데이터를 분석하여 기업의 의사 결정을 돕는 SW로, 데이터를 처리ㆍ분석하고 그 결과를 시각적인 형태로 제공함
다만, 피심인은 DW 내 이용자 개인정보에 해당 부서 외의 타부서 임직원이 접근권한을 부여받을 수 있음에도 불구하고 개인정보 보호부서에서 접근권한 부여 과정을 별도 검토 및 승인하는 절차를 갖추지 않고 있었다.
또한, 피심인은 현장조사 이전까지는 DW에 대한 데이터 조회 쿼리 및 접속기록을 남기고 있지 않았으나, 현장조사 이후부터 접속기록을 남기기 시작했다.
3) 개인정보 위탁ㆍ제3자 제공 관련
피심인은 서비스 제공을 위해 제3자(계열회사 포함)에게 개인정보 처리 업무를 위탁하거나 이용자에게 제3자 제공 동의를 받아 개인정보를 전송ㆍ공유하고 있었다. 개인정보를 위탁하거나 제공할 때는 API 연동이나 웹페이지 호출 등의 방식으로 전송ㆍ공유하며, 그 과정에서 개인정보 제공 근거ㆍ목적 등을 검토ㆍ관리하고 있었다.
피심인은 외부와 연동되는 API의 호출 로그(request) 및 응답 성공 여부(true/false)를 기록으로 남기고 있었으며, 로그 내 이름, 전화번호, e-mail 등 직접 개인 식별이 가능한 외부식별자는 마스킹 등 비식별 처리하고 있었다.
4) 이용자 선택권 보장 관련
피심인은 슈퍼앱 서비스 중 별도의 회원가입 또는 개인정보 수집ㆍ이용 동의를 받는 서비스의 경우에는 개별적인 탈퇴 기능을 제공하고 있었다.
3. 처분의 사전통지 및 의견 수렴
위원회는 2024년 11월 1일 피심인에게 예정된 처분에 대한 사전통지서를 송부하고 이에 대한 의견을 요청하였으며, 피심인은 시정권고 사항에 대하여 향후 시정 예정이라는 의견(접속기록 관리는 현장조사 과정에서 시정완료)을 2024년 11월 15일 위원회에 제출(1차)하였고, ’24.12.5.자로 시정이 완료된 결과를 제출(2차)하였다.
Ⅲ. 개인정보 처리실태 개선사항
1. 관련 법 규정
가. 보호법 제15조제1항은 “개인정보처리자는 다음 각 호의 어느 하나에 해당하는 경우에는 개인정보를 수집할 수 있으며 그 수집 목적의 범위에서 이용할 수 있다. (1호)정보주체의 동의를 받은 경우, (2호)법률에 특별한 규정이 있거나 법령상 의무를 준수하기 위하여 불가피한 경우, (3호)공공기관이 법령 등에서 정하는 소관 업무의 수행을 위하여 불가피한 경우, (4호)정보주체와 체결한 계약을 이행하거나 계약을 체결하는 과정에서 정보주체의 요청에 따른 조치를 이행하기 위하여 필요한 경우, (5호)명백히 정보주체 또는 제3자의 급박한 생명, 신체, 재산의 이익을 위하여 필요하다고 인정되는 경우, (6호)개인정보처리자의 정당한 이익을 달성하기 위하여 필요한 경우로서 명백하게 정보주체의 권리보다 우선하는 경우. 이 경우 개인정보처리자의 정당한 이익과 상당한 관련이 있고 합리적인 범위를 초과하지 아니하는 경우에 한한다. (7호)공중위생 등 공공의 안전과 안녕을 위하여 긴급히 필요한 경우”라고 규정하고 있으며, 동조 제3항은 “개인정보처리자는 당초 수집 목적과 합리적으로 관련된 범위에서 정보주체에게 불이익이 발생하는지 여부, 암호화 등 안전성 확보에 필요한 조치를 하였는지 여부 등을 고려하여 대통령령으로 정하는 바에 따라 정보주체의 동의 없이 개인정보를 이용할 수 있다.”고 규정하고 있다.
나. 보호법 제22조 제1항은 “개인정보처리자는 이 법에 따른 개인정보의 처리에 대하여 정보주체의 동의를 받을 때에는 각각의 동의 사항을 구분하여 정보주체가 이를 명확하게 인지할 수 있도록 알리고 동의를 받아야 한다. 이 경우 다음 각 호의 경우에는 동의 사항을 구분하여 각각 동의를 받아야 한다.”라고 규정하고 있고, 제22조 제2항은 “개인정보처리자는 정보주체의 동의 없이 처리할 수 있는 개인정보에 대해서는 그 항목과 처리의 법적 근거를 정보주체의 동의를 받아 처리하는 개인정보와 구분하여 제30조제2항에 따라 공개하거나 전자우편 등 대통령령으로 정하는 방법에 따라 정보주체에게 알려야 한다. 이 경우 동의 없이 처리할 수 있는 개인정보라는 입증책임은 개인정보처리자가 부담한다.”고 규정하고 있다.
보호법 시행령 제17조 제1항은 “개인정보처리자는 법 제22조에 따라 개인정보의 처리에 대하여 정보주체의 동의를 받을 때에는 다음 각 호의 조건을 모두 충족해야 한다. (1호)정보주체가 자유로운 의사에 따라 동의 여부를 결정할 수 있을 것, (2호)동의를 받으려는 내용이 구체적이고 명확할 것, (3호)그 내용을 쉽게 읽고 이해할 수 있는 문구를 사용할 것, (4호)동의 여부를 명확하게 표시할 수 있는 방법을 정보주체에게 제공할 것”을 규정하고 있다.
다. 보호법 제29조는 “개인정보처리자는 개인정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지 아니하도록 내부 관리계획 수립, 접속기록 보관 등 대통령령으로 정하는 바에 따라 안전성 확보에 필요한 기술적ㆍ관리적 및 물리적 조치를 하여야 한다.”라고 규정하고 있으며,
같은 법 시행령 제30조 제1항 제5호는 개인정보 침해사고 발생에 대응하기 위한 접속기록의 보관 및 위조ㆍ변조 방지를 위한 다음 각 목의 조치로, (가목)개인정보처리시스템에 접속한 자의 접속일시, 처리내역 등 접속기록의 저장ㆍ점검 및 이의 확인ㆍ감독, (나목)개인정보처리시스템에 대한 접속기록의 안전한 보관, (다목)그 밖에 접속기록 보관 및 위조ㆍ변조 방지를 위하여 필요한 조치를 규정하고 있다.
한편, 시행령 제30조 제3항에 따라 안전성 확보조치에 관한 세부 기준을 구체적으로 정하고 있는 개인정보의 안전성 확보조치 기준(이하 '고시’) 제8조 제1항은 “개인정보처리자는 개인정보취급자의 개인정보처리시스템에 대한 접속기록을 1년 이상 보관ㆍ관리하여야 한다. 다만, 다음 각 호의 어느 하나에 해당하는 경우에는 2년 이상 보관ㆍ관리하여야 한다. (1호)5만명 이상의 정보주체에 관한 개인정보를 처리하는 개인정보처리시스템에 해당하는 경우, (2호)고유식별정보 또는 민감정보를 처리하는 개인정보처리시스템에 해당하는 경우, (3호)개인정보처리자로서 「전기통신사업법」제6조제1항에 따라 등록을 하거나 같은 항 단서에 따라 신고한 기간통신사업자에 해당하는 경우”라고 규정하고 있고,
제8조 제2항은 “개인정보처리자는 개인정보의 오ㆍ남용, 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손 등에 대응하기 위하여 개인정보처리시스템의 접속기록 등을 월 1회 이상 점검하여야 한다. 특히 개인정보의 다운로드가 확인된 경우에는 내부 관리계획 등으로 정하는 바에 따라 그 사유를 반드시 확인하여야 한다.”라고 규정하고 있으며,
제8조 제3항은 “개인정보처리자는 접속기록이 위ㆍ변조 및 도난, 분실되지 않도록 해당 접속기록을 안전하게 보관하기 위한 조치를 하여야 한다.”라고 규정하고 있다.
라. 보호법 제36조 제1항은 “제35조에 따라 자신의 개인정보를 열람한 정보주체는 개인정보처리자에게 그 개인정보의 정정 또는 삭제를 요구할 수 있다. 다만, 다른 법령에서 그 개인정보가 수집 대상으로 명시되어 있는 경우에는 그 삭제를 요구할 수 없다.”고 규정하고 있으며, 제37조 제1항은 “정보주체는 개인정보처리자에 대하여 자신의 개인정보 처리의 정지를 요구하거나 개인정보 처리에 대한 동의를 철회할 수 있다. 이 경우 공공기관에 대해서는 제32조에 따라 등록 대상이 되는 개인정보파일 중 자신의 개인정보에 대한 처리의 정지를 요구하거나 개인정보 처리에 대한 동의를 철회할 수 있다.”고 규정하고 있다. 또한, 제38조 제4항은 “개인정보처리자는 정보주체가 열람등요구를 할 수 있는 구체적인 방법과 절차를 마련하고, 이를 정보주체가 알 수 있도록 공개하여야 한다. 이 경우 열람등요구의 방법과 절차는 해당 개인정보의 수집 방법과 절차보다 어렵지 아니하도록 하여야 한다.”라고 규정하고 있다.
2. 개선권고 필요성 판단
가. 개인정보 제공 동의를 받으면서, 동의 항목을 불명확하게 고지한 행위
[보호법 제22조제1항(동의를 받는 방법)]
피심인이 슈퍼앱 서비스를 위해 로 이용자 정보를 제공하는 과정에서 이용자로부터 개인정보 제3자 제공 동의를 받으면서, 제공 목적을 쉽게 이해할 수 있는 문구를 사용하지 않고, “금융서비스 이용평가 분석” 등으로 불명확하게 고지하여 이용자가 자유로운 의사에 따라 동의 여부를 결정할 수 없도록 한 행위는 보호법 제22조제1항 준수 여부가 쟁점이 될 수 있다.
다만, 피심인은 현장조사 이후 해당 동의서상 동의 항목의 처리 목적을 보다 구체적인 문구로 시정완료p.4 각주 '2)’ 내용과 동일하였는바, 본 건 점검이 사전실태점검인 점, 해당 시정완료 행위가 일회성 조치로써 즉시 효과가 있어 시정권고를 부과할 실익이 적은 점 등을 고려하여 별도 시정권고 조치를 하지 않는다.
나. 개인정보처리시스템에 대한 접속기록을 보관ㆍ관리하지 않은 행위
[보호법 제29조(안전조치의무)]
피심인이 데이터 분석을 위해 이용자의 서비스 이용 내역 등 정보를 복사하여 저장ㆍ보관하는 DW(데이터웨어하우스)는 개인정보처리시스템에 해당한다.
따라서 피심인이 임직원의 DW에 대한 접속기록을 보관ㆍ관리하지 않는 행위는 보호법 제29조 준수 여부가 쟁점이 될 수 있다.
다만, 피심인은 1차 현장조사 이후 DW에 대한 접속기록을 남기고 있어, 이미 시정이 완료된 것으로 볼 수 있어, 시정권고의 실익은 적다고 볼 수 있으나, 접속기록은 2년 이상 지속적으로 보관ㆍ관리하여야 하는 사항이므로, 재발 방지 및 지속적인 이행 확보를 위해 개선권고가 필요하다.
다. 기타 개인정보 처리 실태의 개선이 필요한 사항
1) 보호법 개정에 따라 계약 체결 및 이행 등을 위해 필요한 개인정보의 수집ㆍ이용ㆍ제공에 대하여는 동의를 받지 않아도 됨에도 불구하고 대부분의 개인정보 적법처리 근거를 동의로 구비하고 있는 점에 있어 이는 오히려 습관적으로 동의 버튼을 누르는 부작용(동의 불감증)이 따를 수 있어 필수동의 대체방안이 마련되도록 개선이 필요하다
2) 분석 DW는 개인을 직접 식별할 수 있는 정보가 제거된 경우에도 이용자 식별번호를 통해 회원 DB와 연계하여 개인 식별이 가능하므로, 개인정보처리시스템에 해당하나, 피심인은 분석 DW에 대한 내부 임직원의 접근권한을 개인정보 보호부서의 검토나 승인 없이 서비스 운영부서가 관리하도록 운영하였다.
개인정보처리시스템에 대한 접근권한 부여 등 관리 절차에 개인정보 보호부서가 관여하지 않는 것만으로 보호법 위반으로 보기는 어려우나, 피심인은 DW가 개인정보처리시스템에 해당한다는 점에 대한 인식이 부족하여 개인정보 보호부서를 통한 강화된 관리 절차를 마련하도록 개선이 필요하다.
3) 피심인은 슈퍼앱 내에서 제공하는 복수의 서비스 관련, 모든 서비스에 대한 개별 탈퇴 기능을 제공하지 않고, 일부 서비스에 대하여만 개별 탈퇴 기능을 제공하고 있다.
보호법은 정보주체에게 개인정보 정정ㆍ삭제, 처리정지, 동의철회권을 요구할 권리를 보장하고 있을 뿐이므로(법 제36조 내지 제38조), 개별 탈퇴가 가능한 서비스의 구성은 사업자가 자율적으로 결정할 영역에 해당하여, 일부 서비스에 대해서만 개별 탈퇴 기능을 마련한 행위를 보호법 위반으로 보기는 어렵다.
다만, 슈퍼앱이 이용자에게 자신의 개인정보가 이용되는 범위를 결정할 수 있는 개인정보 자기결정권을 보장하고 불필요한 개인정보의 처리를 최소화하기 위하여, ①이용약관ㆍ관련기능ㆍ안내문 등에 개별 서비스 목록을 안내하고, ②개별 서비스 탈퇴 기능 또는 서비스별 개인정보 처리 정지, 동의 철회 등을 요구할 수 있는 절차를 알기 쉬운 방법으로 마련하거나 안내하도록 개선할 필요가 있다.
Ⅳ. 처분 및 결정
1. 개선권고
피심인에 대해 같은 법 제61조에 따라 다음과 같이 개인정보 처리의 실태를 개선하도록 권고한다.
가. 계약 체결ㆍ이행 등을 위해 동의 없이 처리할 수 있는 개인정보에 대해 필수 동의 대체방안(정보주체에게 고지 등)을 마련할 것
나. DW 접근권한 부여 시 개인정보 보호부서에 의한 내부통제를 체계화하고, DW에 대한 개인정보취급자 접속기록 보존ㆍ관리의무를 지속 이행할 것
다. 개별 탈퇴 가능ㆍ불가능한 서비스를 이용약관ㆍ 관련기능ㆍ안내문 등에
포함하여 알리고, 처리정지 요구권 행사에 필요한 기능을 마련하거나 방법을 이용자에게 안내할 것
라. 피심인은 이상의 개선권고 사항을 개인정보보호위원회와 협의하여 이행하고, 개선권고 통지를 받은 날로부터 180일 이내에 개인정보보호위원회에 이행 결과 및 계획을 제출할 것
Ⅴ. 결론
피심인에 대하여 보호법 제61조(의견제시 및 개선권고) 제2항에 따라 개선권고를 주문과 같이 의결한다.
출처: 국가법령정보센터 개인정보보호위원회 결정문. 신청인·피심인 등 당사자 칸은 따로 싣지 않습니다(본문의 이름은 원천이 가린 그대로입니다).