제2025-016-239호

안건번호 : 제2025-016-239호
안건명 : 슈퍼앱 등 주요 앱 사전실태점검 결과에 관한 건
신청인 : 쿠팡㈜ (사업자등록번호 : )서울특별시 송파구 송파대로 570, 18층(신천동)대표자
의결연월일 : 2025. 7. 23.

1. 피심인에 대하여 다음과 같이 개인정보 처리실태의 개선을 권고한다.
가. 계약 체결ㆍ이행 등을 위해 동의 없이 처리할 수 있는 개인정보에 대해 필수 동의 대체방안(정보주체에게 고지 등)을 마련할 것
나. API 생성ㆍ배포ㆍ연동 과정에 대한 개인정보 보호 부서의 관리 절차를 체계화할 것
다. 개별 탈퇴 가능ㆍ불가능한 서비스를 이용약관ㆍ 관련기능ㆍ안내문 등에
포함하여 알리고, 처리정지 요구권 행사에 필요한 기능을 마련하거나 방법을 이용자에게 안내할 것
라. 피심인은 이상의 개선권고 사항을 개인정보보호위원회와 협의하여 이행하고, 개선권고 통지를 받은 날로부터 180일 이내에 개인정보보호위원회에 이행 결과 및 계획을 제출할 것

Ⅰ. 기초 사실

피심인은 쇼핑/금융 등의 다양한 서비스를 제공하는 '쿠팡’ 앱을 통해 이용자의 개인정보를 처리하는 「개인정보 보호법」개인정보 보호법(법률 제19234호, 2023. 3. 14. 일부개정, 2023. 9. 15. 시행)(이하 '보호법’)상의 개인정보처리자로서 일반현황은 다음과 같다.
<img src="/LSW/flDownload.do?flSeq=158751851" alt="1번째 이미지"></img>
Ⅱ. 실태점검 결과

1. 개요

국민 대다수가 이용하는 슈퍼앱*은 다양한 서비스 제공을 위해 이용자의 개인정보를 다수의 사업자와 공유하는 등 개인정보 보호 취약점이 존재할 수 있어, 실태점검을 통해 개인정보 처리과정을 엄격하게 관리ㆍ통제하도록 개선하여 안전한 플랫폼 이용 환경을 조성하고자 하였다.

* 하나의 앱에서 검색ㆍ쇼핑ㆍ송금 등 다양한 서비스(특히 복수 사업자 참여하에 구현되는 서비스)를 제공하는 온라인 플랫폼으로 규모 및 영향력을 확대 중

2. 행위 사실

가. 서비스 현황 및 점검 결과

1) 개인정보 수집ㆍ이용ㆍ제공 관련

피심인은 이용자의 회원가입 시에 개인정보 수집ㆍ이용에 관한 동의를 받아 슈퍼앱의 기본적인 서비스 제공에 필요한 개인정보를 수집ㆍ이용하며, 개별적인 서비스 이용 시점에 추가적으로 개인정보 수집ㆍ이용ㆍ제공이 필요할 경우 별도의 개인정보 수집ㆍ이용ㆍ제공 동의를 받고 있었다.

다만, 피심인은 계약이행(서비스 기본기능 제공) 등에 필요한 개인정보 수집ㆍ이용ㆍ제공 근거를 대개 '필수동의’로만 구비하고 있었다.

2) 데이터 분석을 위한 개인정보 활용

피심인은 서비스 제공 과정에서 수집한 고객정보를 통합ㆍ분석하여 슈퍼앱 서비스 개발 및 마케팅 등의 목적으로 활용하고 있으며, 개인정보처리방침을 통해 해당 사항을 이용자에게 고지ㆍ안내하고 있었다.

이용자 정보 분석은 서비스 DB의 부하를 방지하고, 개인정보 노출 위험을 최소화하기 위해 분석용 데이터웨어하우스(DW)*를 별도 구축하며, 이를 통계툴**을 활용하여 분석하고 있었다.

* DW(Data Warehouse) : 데이터 분석을 지원하는 데이터관리시스템으로, 대량의 데이터를 통합하여 쿼리ㆍ분석을 수행하기 위한 용도로 사용

** 통계툴(Business Intelligence Tool) : 비즈니스 데이터를 분석하여 기업의 의사 결정을 돕는 SW로, 데이터를 처리ㆍ분석하고 그 결과를 시각적인 형태로 제공함

3) 개인정보 위탁ㆍ제3자 제공 관련

피심인은 서비스 제공을 위해 제3자에게 개인정보 처리 업무를 위탁하거나 이용자에게 제3자 제공 동의를 받아 개인정보를 전송ㆍ공유하고 있었다. 개인정보를 위탁하거나 제공할 때는 API 연동이나 웹페이지 호출 등의 방식으로 전송ㆍ공유하며, 그 과정에서 개인정보 제공 근거ㆍ목적 등을 검토ㆍ관리하고 있었다.

피심인은 외부와 연동되는 API의 호출 로그(request) 및 응답 성공 여부(true/false)를 기록으로 남기고 있었으며, 로그 내 이름, 전화번호, e-mail 등 직접 개인 식별이 가능한 외부식별자는 마스킹 등 비식별 처리하고 있었다.

다만, 피심인은 이용자의 개인정보를 포함한 API를 배포ㆍ연동하는 과정에서 개인정보 제공 근거나 이용 목적 등에 대한 개인정보 보호부서 차원의 검토 절차를 갖추지 않고 있었다.

4) 이용자 선택권 보장 관련

피심인은 슈퍼앱 서비스에 대한 개별 탈퇴기능은 제공하지 않고 있으며, 쿠팡 회원을 탈퇴하거나 이용자 요청 시 서비스 이용내역을 삭제하는 방식으로 서비스를 운영하고 있었다.

Ⅲ. 개인정보 처리실태 개선사항

1. 관련 법 규정

가. 보호법 제15조제1항은 “개인정보처리자는 다음 각 호의 어느 하나에 해당하는 경우에는 개인정보를 수집할 수 있으며 그 수집 목적의 범위에서 이용할 수 있다. (1호)정보주체의 동의를 받은 경우, (2호)법률에 특별한 규정이 있거나 법령상 의무를 준수하기 위하여 불가피한 경우, (3호)공공기관이 법령 등에서 정하는 소관 업무의 수행을 위하여 불가피한 경우, (4호)정보주체와 체결한 계약을 이행하거나 계약을 체결하는 과정에서 정보주체의 요청에 따른 조치를 이행하기 위하여 필요한 경우, (5호)명백히 정보주체 또는 제3자의 급박한 생명, 신체, 재산의 이익을 위하여 필요하다고 인정되는 경우, (6호)개인정보처리자의 정당한 이익을 달성하기 위하여 필요한 경우로서 명백하게 정보주체의 권리보다 우선하는 경우. 이 경우 개인정보처리자의 정당한 이익과 상당한 관련이 있고 합리적인 범위를 초과하지 아니하는 경우에 한한다. (7호)공중위생 등 공공의 안전과 안녕을 위하여 긴급히 필요한 경우”라고 규정하고 있으며, 동조 제3항은 “개인정보처리자는 당초 수집 목적과 합리적으로 관련된 범위에서 정보주체에게 불이익이 발생하는지 여부, 암호화 등 안전성 확보에 필요한 조치를 하였는지 여부 등을 고려하여 대통령령으로 정하는 바에 따라 정보주체의 동의 없이 개인정보를 이용할 수 있다.”고 규정하고 있다.

나. 보호법 제22조 제1항은 “개인정보처리자는 이 법에 따른 개인정보의 처리에 대하여 정보주체의 동의를 받을 때에는 각각의 동의 사항을 구분하여 정보주체가 이를 명확하게 인지할 수 있도록 알리고 동의를 받아야 한다. 이 경우 다음 각 호의 경우에는 동의 사항을 구분하여 각각 동의를 받아야 한다.”라고 규정하고 있고, 제22조 제2항은 “개인정보처리자는 정보주체의 동의 없이 처리할 수 있는 개인정보에 대해서는 그 항목과 처리의 법적 근거를 정보주체의 동의를 받아 처리하는 개인정보와 구분하여 제30조제2항에 따라 공개하거나 전자우편 등 대통령령으로 정하는 방법에 따라 정보주체에게 알려야 한다. 이 경우 동의 없이 처리할 수 있는 개인정보라는 입증책임은 개인정보처리자가 부담한다.”고 규정하고 있다.

다. 보호법 제36조 제1항은 “제35조에 따라 자신의 개인정보를 열람한 정보주체는 개인정보처리자에게 그 개인정보의 정정 또는 삭제를 요구할 수 있다. 다만, 다른 법령에서 그 개인정보가 수집 대상으로 명시되어 있는 경우에는 그 삭제를 요구할 수 없다.”고 규정하고 있으며, 제37조 제1항은 “정보주체는 개인정보처리자에 대하여 자신의 개인정보 처리의 정지를 요구하거나 개인정보 처리에 대한 동의를 철회할 수 있다. 이 경우 공공기관에 대해서는 제32조에 따라 등록 대상이 되는 개인정보파일 중 자신의 개인정보에 대한 처리의 정지를 요구하거나 개인정보 처리에 대한 동의를 철회할 수 있다.”고 규정하고 있다. 또한, 제38조 제4항은 “개인정보처리자는 정보주체가 열람등요구를 할 수 있는 구체적인 방법과 절차를 마련하고, 이를 정보주체가 알 수 있도록 공개하여야 한다. 이 경우 열람등요구의 방법과 절차는 해당 개인정보의 수집 방법과 절차보다 어렵지 아니하도록 하여야 한다.”라고 규정하고 있다.

2. 개선권고 필요성 판단

1) 보호법 개정에 따라 계약 체결 및 이행 등을 위해 필요한 개인정보의 수집ㆍ이용ㆍ제공에 대하여는 동의를 받지 않아도 됨에도 불구하고 대부분의 개인정보 적법처리 근거를 동의로 구비하고 있는 점에 있어 이는 오히려 습관적으로 동의 버튼을 누르는 부작용(동의 불감증)이 따를 수 있어 필수동의 대체방안이 마련되도록 개선이 필요하다

2) 피심인이 API 생성 후 배포ㆍ연동 과정에서 일부 API에 대한 개인정보 제공 근거와 이용 목적 등에 대한 개인정보 보호부서의 검토절차를 갖추지 않은 행위 그 자체를 보호법 위반으로 보기는 어려우나, 방대한 개인정보가 복수의 사업자에게 공유되는 슈퍼앱의 특성을 고려하여, 개인정보가 API를 통해 실제 연동ㆍ배포되는 경우, 개인정보 보호부서가 제공항목, 근거, 목적 등을 확인하여, 적법한 근거가 있는 경우에만 이용자 개인정보가 제공되도록 실제 API 배포ㆍ연동과정의 관리 절차 및 체계를 갖추도록 할 필요가 있다.

3) 피심인은 슈퍼앱 내에서 제공하는 복수의 서비스 관련, 모든 서비스에 대한 개별 탈퇴 기능을 제공하지 않고, 일부 서비스에 대하여만 개별 탈퇴 기능을 제공하고 있다.

보호법은 정보주체에게 개인정보 정정ㆍ삭제, 처리정지, 동의철회권을 요구할 권리를 보장하고 있을 뿐이므로(법 제36조 내지 제38조), 개별 탈퇴가 가능한 서비스의 구성은 사업자가 자율적으로 결정할 영역에 해당하여, 일부 서비스에 대해서만 개별 탈퇴 기능을 마련한 행위를 보호법 위반으로 보기는 어렵다.

다만, 슈퍼앱이 이용자에게 자신의 개인정보가 이용되는 범위를 결정할 수 있는 개인정보 자기결정권을 보장하고 불필요한 개인정보의 처리를 최소화하기 위하여, ①이용약관 등에 개별 서비스 목록을 안내하고, ②개별 서비스 탈퇴 기능 또는 서비스별 개인정보 처리 정지, 동의 철회 등을 요구할 수 있는 절차를 알기 쉬운 방법으로 마련하거나 안내하도록 개선할 필요가 있다.

Ⅳ. 처분 및 결정

1. 개선권고

피심인에 대해 같은 법 제61조에 따라 다음과 같이 개인정보 처리의 실태를 개선하도록 권고한다.

가. 계약 체결ㆍ이행 등을 위해 동의 없이 처리할 수 있는 개인정보에 대해 필수 동의 대체방안(정보주체에게 고지 등)을 마련할 것

나. API 생성ㆍ배포ㆍ연동 과정에 대한 개인정보 보호 부서의 관리 절차를 체계화할 것

다. 개별 탈퇴 가능ㆍ불가능한 서비스를 이용약관ㆍ 관련기능ㆍ안내문 등에
포함하여 알리고, 처리정지 요구권 행사에 필요한 기능을 마련하거나 방법을 이용자에게 안내할 것

라. 피심인은 이상의 개선권고 사항을 개인정보보호위원회와 협의하여 이행하고, 개선권고 통지를 받은 날로부터 180일 이내에 개인정보보호위원회에 이행 결과 및 계획을 제출할 것

Ⅴ. 결론

피심인에 대하여 보호법 제61조(의견제시 및 개선권고) 제2항에 따라 개선권고를 주문과 같이 의결한다.