제2025-016-240호

안건번호 : 제2025-016-240호
안건명 : 슈퍼앱 등 주요 앱 사전실태점검 결과에 관한 건
신청인 : ㈜우아한형제들 (사업자등록번호 : )서울틀별시 송파구 위성대로 2대표자
의결연월일 : 2025. 7. 23.

1. 피심인에 대하여 다음과 같이 개인정보 처리실태의 개선을 권고한다.
가. 계약 체결ㆍ이행 등을 위해 동의 없이 처리할 수 있는 개인정보에 대해 필수 동의 대체방안(정보주체에게 고지 등)을 마련할 것
나. 개별 탈퇴 가능ㆍ불가능한 서비스를 이용약관ㆍ 관련기능ㆍ안내문 등에
포함하여 알리고, 처리정지 요구권 행사에 필요한 기능을 마련하거나 방법을 이용자에게 안내할 것
다. 피심인은 이상의 개선권고 사항을 개인정보보호위원회와 협의하여 이행하고, 개선권고 통지를 받은 날로부터 180일 이내에 개인정보보호위원회에 이행 결과 및 계획을 제출할 것

Ⅰ. 기초 사실

피심인은 음식주문ㆍ배달/식자재 쇼핑/금융 등의 다양한 서비스를 제공하는 '배달의 민족’ 앱을 통해 이용자의 개인정보를 처리하는 「개인정보 보호법」개인정보 보호법(법률 제19234호, 2023. 3. 14. 일부개정, 2023. 9. 15. 시행)(이하 '보호법’)상의 개인정보처리자로서 일반현황은 다음과 같다.
<img src="/LSW/flDownload.do?flSeq=158751861" alt="1번째 이미지"></img>
Ⅱ. 실태점검 결과

1. 개요

국민 대다수가 이용하는 슈퍼앱*은 다양한 서비스 제공을 위해 이용자의 개인정보를 다수의 사업자와 공유하는 등 개인정보 보호 취약점이 존재할 수 있어, 실태점검을 통해 개인정보 처리과정을 엄격하게 관리ㆍ통제하도록 개선하여 안전한 플랫폼 이용 환경을 조성하고자 하였다.

* 하나의 앱에서 검색ㆍ쇼핑ㆍ송금 등 다양한 서비스(특히 복수 사업자 참여하에 구현되는 서비스)를 제공하는 온라인 플랫폼으로 규모 및 영향력을 확대 중

2. 행위 사실
가. 서비스 현황 및 점검 결과

1) 개인정보 수집ㆍ이용ㆍ제공 관련

피심인은 이용자의 회원가입 시에 개인정보 수집ㆍ이용에 관한 동의를 받아 슈퍼앱의 기본적인 서비스 제공에 필요한 개인정보를 수집ㆍ이용하며, 개별적인 서비스 이용 시점에 추가적으로 개인정보 수집ㆍ이용ㆍ제공이 필요할 경우 별도의 개인정보 수집ㆍ이용ㆍ제공 동의를 받고 있었다.

다만, 대용량 특가 서비스에서 개인정보 수집ㆍ이용 동의와 제공 동의를 일괄 체크하도록 운영하여, 서비스 이용에 필수적인 수집ㆍ이용 동의와 제공 동의를 일괄로 받고 있었다.

또한, 피심인은 계약이행(서비스 기본기능 제공) 등에 필요한 개인정보 수집ㆍ이용ㆍ제공 근거를 대개 '필수동의’로만 구비하고 있었다.

2) 데이터 분석을 위한 개인정보 활용

피심인은 서비스 제공 과정에서 수집한 고객정보를 통합ㆍ분석하여 슈퍼앱 서비스 개발 및 마케팅 등의 목적으로 활용하고 있으며, 개인정보처리방침을 통해 해당 사항을 이용자에게 고지ㆍ안내하고 있었다.

이용자 정보 분석은 서비스 DB의 부하를 방지하고, 개인정보 노출 위험을 최소화하기 위해 분석용 데이터웨어하우스(DW)*를 별도 구축하며, 이를 통계툴**을 활용하여 분석하고 있었다.

* DW(Data Warehouse) : 데이터 분석을 지원하는 데이터관리시스템으로, 대량의 데이터를 통합하여 쿼리ㆍ분석을 수행하기 위한 용도로 사용

** 통계툴(Business Intelligence Tool) : 비즈니스 데이터를 분석하여 기업의 의사 결정을 돕는 SW로, 데이터를 처리ㆍ분석하고 그 결과를 시각적인 형태로 제공함
3) 개인정보 위탁ㆍ제3자 제공 관련

피심인은 서비스 제공을 위해 제3자에게 개인정보 처리 업무를 위탁하거나 이용자에게 제3자 제공 동의를 받아 개인정보를 전송ㆍ공유하고 있었다. 개인정보를 위탁하거나 제공할 때는 API 연동이나 웹페이지 호출 등의 방식으로 전송ㆍ공유하며, 그 과정에서 개인정보 제공 근거ㆍ목적 등을 검토ㆍ관리하고 있었다.

피심인은 외부와 연동되는 API의 호출 로그(request) 및 응답 성공 여부(true/false)를 기록으로 남기고 있었으며, 로그 내 이름, 전화번호, e-mail 등 직접 개인 식별이 가능한 외부식별자는 마스킹 등 비식별 처리하고 있었다.

4) 이용자 선택권 보장 관련

피심인은 배달의 민족 서비스 중 전자금융거래법이 적용되는 등 다른 성격의 서비스나 추가적인 개인정보 수집ㆍ이용 동의를 받는 서비스를 받는 경우 서비스 개별 탈퇴 기능을 제공하고 있었다.

Ⅲ. 개인정보 처리실태 개선사항

1. 관련 법 규정

가. 보호법 제15조제1항은 “개인정보처리자는 다음 각 호의 어느 하나에 해당하는 경우에는 개인정보를 수집할 수 있으며 그 수집 목적의 범위에서 이용할 수 있다. (1호)정보주체의 동의를 받은 경우, (2호)법률에 특별한 규정이 있거나 법령상 의무를 준수하기 위하여 불가피한 경우, (3호)공공기관이 법령 등에서 정하는 소관 업무의 수행을 위하여 불가피한 경우, (4호)정보주체와 체결한 계약을 이행하거나 계약을 체결하는 과정에서 정보주체의 요청에 따른 조치를 이행하기 위하여 필요한 경우, (5호)명백히 정보주체 또는 제3자의 급박한 생명, 신체, 재산의 이익을 위하여 필요하다고 인정되는 경우, (6호)개인정보처리자의 정당한 이익을 달성하기 위하여 필요한 경우로서 명백하게 정보주체의 권리보다 우선하는 경우. 이 경우 개인정보처리자의 정당한 이익과 상당한 관련이 있고 합리적인 범위를 초과하지 아니하는 경우에 한한다. (7호)공중위생 등 공공의 안전과 안녕을 위하여 긴급히 필요한 경우”라고 규정하고 있으며, 동조 제3항은 “개인정보처리자는 당초 수집 목적과 합리적으로 관련된 범위에서 정보주체에게 불이익이 발생하는지 여부, 암호화 등 안전성 확보에 필요한 조치를 하였는지 여부 등을 고려하여 대통령령으로 정하는 바에 따라 정보주체의 동의 없이 개인정보를 이용할 수 있다.”고 규정하고 있다.

나. 보호법 제36조 제1항은 “제35조에 따라 자신의 개인정보를 열람한 정보주체는 개인정보처리자에게 그 개인정보의 정정 또는 삭제를 요구할 수 있다. 다만, 다른 법령에서 그 개인정보가 수집 대상으로 명시되어 있는 경우에는 그 삭제를 요구할 수 없다.”고 규정하고 있으며, 제37조 제1항은 “정보주체는 개인정보처리자에 대하여 자신의 개인정보 처리의 정지를 요구하거나 개인정보 처리에 대한 동의를 철회할 수 있다. 이 경우 공공기관에 대해서는 제32조에 따라 등록 대상이 되는 개인정보파일 중 자신의 개인정보에 대한 처리의 정지를 요구하거나 개인정보 처리에 대한 동의를 철회할 수 있다.”고 규정하고 있다. 또한, 제38조 제4항은 “개인정보처리자는 정보주체가 열람등요구를 할 수 있는 구체적인 방법과 절차를 마련하고, 이를 정보주체가 알 수 있도록 공개하여야 한다. 이 경우 열람등요구의 방법과 절차는 해당 개인정보의 수집 방법과 절차보다 어렵지 아니하도록 하여야 한다.”라고 규정하고 있다.

2. 개선권고 필요성 판단

1) “대용량 특가” 서비스의 경우, 구분하여 별도 동의를 받아야 하는 개인정보 수집ㆍ이용 동의와 제3자 제공동의를 일괄로 받고 있으나, 보호법 개정에 따라 계약 체결 및 이행 등을 위해 필요한 개인정보의 수집ㆍ이용ㆍ제공에 대하여는 동의를 받지 않아도 됨에도 불구하고 대부분의 개인정보 적법처리 근거를 동의로 구비하고 있는 점에 있어 이는 오히려 습관적으로 동의 버튼을 누르는 부작용(동의 불감증)이 따를 수 있어 필수동의 대체방안이 마련되도록 개선이 필요하다

2) 피심인은 슈퍼앱 내에서 제공하는 복수의 서비스 관련, 모든 서비스에 대한 개별 탈퇴 기능을 제공하지 않고, 일부 서비스에 대하여만 개별 탈퇴 기능을 제공하고 있다.

보호법은 정보주체에게 개인정보 정정ㆍ삭제, 처리정지, 동의철회권을 요구할 권리를 보장하고 있을 뿐이므로(법 제36조 내지 제38조), 개별 탈퇴가 가능한 서비스의 구성은 사업자가 자율적으로 결정할 영역에 해당하여, 일부 서비스에 대해서만 개별 탈퇴 기능을 마련한 행위를 보호법 위반으로 보기는 어렵다.

다만, 슈퍼앱이 이용자에게 자신의 개인정보가 이용되는 범위를 결정할 수 있는 개인정보 자기결정권을 보장하고 불필요한 개인정보의 처리를 최소화하기 위하여, ①이용약관 등에 개별 서비스 목록을 안내하고, ②개별 서비스 탈퇴 기능 또는 서비스별 개인정보 처리 정지, 동의 철회 등을 요구할 수 있는 절차를 알기 쉬운 방법으로 마련하거나 안내하도록 개선할 필요가 있다.


Ⅳ. 처분 및 결정

1. 개선권고

피심인에 대해 같은 법 제61조에 따라 다음과 같이 개인정보 처리의 실태를 개선하도록 권고한다.


가. 계약 체결ㆍ이행 등을 위해 동의 없이 처리할 수 있는 개인정보에 대해 필수 동의 대체방안(정보주체에게 고지 등)을 마련할 것

나. 개별 탈퇴 가능ㆍ불가능한 서비스를 이용약관ㆍ 관련기능ㆍ안내문 등에
포함하여 알리고, 처리정지 요구권 행사에 필요한 기능을 마련하거나 방법을 이용자에게 안내할 것

다. 피심인은 이상의 개선권고 사항을 개인정보보호위원회와 협의하여 이행하고, 개선권고 통지를 받은 날로부터 180일 이내에 개인정보보호위원회에 이행 결과 및 계획을 제출할 것

Ⅴ. 결론

피심인에 대하여 보호법 제61조(의견제시 및 개선권고) 제2항에 따라 개선권고를 주문과 같이 의결한다.