개인정보보호위원회
심의ㆍ의결
제2025-016-241호
슈퍼앱 등 주요 앱 사전실태점검 결과에 관한 건
의결일: 2025년 7월 23일
요지
안건번호 : 제2025-016-241호
안건명 : 슈퍼앱 등 주요 앱 사전실태점검 결과에 관한 건
신청인 : ㈜당근마켓 (사업자등록번호 : )서울특별시 서초구 강남대로 465 10~12층대표자
의결연월일 : 2025. 7. 23.
안건명 : 슈퍼앱 등 주요 앱 사전실태점검 결과에 관한 건
신청인 : ㈜당근마켓 (사업자등록번호 : )서울특별시 서초구 강남대로 465 10~12층대표자
의결연월일 : 2025. 7. 23.
주문
1. 피심인에 대하여 다음과 같이 개인정보 처리실태의 개선을 권고한다.
가. 계약 체결ㆍ이행 등을 위해 동의 없이 처리할 수 있는 개인정보에 대해 필수 동의 대체방안(정보주체에게 고지 등)을 마련할 것
나. 피심인이 이용자의 개인정보를 제3자에게 처리 위탁할 경우 보호법 제26조 제1항에 규정된 사항을 포함한 문서체계를 갖출 것
다. DW 접근권한 부여 시 개인정보 보호부서에 의한 내부통제를 체계화하고, DW에 대한 개인정보취급자 접속기록 보존ㆍ관리의무를 지속 이행할 것
라. 개별 탈퇴 가능ㆍ불가능한 서비스를 이용약관ㆍ 관련기능ㆍ안내문 등에
포함하여 알리고, 처리정지 요구권 행사에 필요한 기능을 마련하거나 방법을 이용자에게 안내할 것
마. 피심인은 이상의 개선권고 사항을 개인정보보호위원회와 협의하여 이행하고, 개선권고 통지를 받은 날로부터 180일 이내에 개인정보보호위원회에 이행 결과 및 계획을 제출할 것
가. 계약 체결ㆍ이행 등을 위해 동의 없이 처리할 수 있는 개인정보에 대해 필수 동의 대체방안(정보주체에게 고지 등)을 마련할 것
나. 피심인이 이용자의 개인정보를 제3자에게 처리 위탁할 경우 보호법 제26조 제1항에 규정된 사항을 포함한 문서체계를 갖출 것
다. DW 접근권한 부여 시 개인정보 보호부서에 의한 내부통제를 체계화하고, DW에 대한 개인정보취급자 접속기록 보존ㆍ관리의무를 지속 이행할 것
라. 개별 탈퇴 가능ㆍ불가능한 서비스를 이용약관ㆍ 관련기능ㆍ안내문 등에
포함하여 알리고, 처리정지 요구권 행사에 필요한 기능을 마련하거나 방법을 이용자에게 안내할 것
마. 피심인은 이상의 개선권고 사항을 개인정보보호위원회와 협의하여 이행하고, 개선권고 통지를 받은 날로부터 180일 이내에 개인정보보호위원회에 이행 결과 및 계획을 제출할 것
이유
Ⅰ. 기초 사실
피심인은 중고거래, 금융 등의 다양한 서비스를 제공하는 '당근’ 앱을 통해 이용자의 개인정보를 처리하는 「개인정보 보호법」개인정보 보호법(법률 제19234호, 2023. 3. 14. 일부개정, 2023. 9. 15. 시행)(이하 '보호법’)상의 개인정보처리자로서 일반현황은 다음과 같다.
<img src="/LSW/flDownload.do?flSeq=158751871" alt="1번째 이미지"></img>
Ⅱ. 실태점검 결과
1. 개요
국민 대다수가 이용하는 슈퍼앱*은 다양한 서비스 제공을 위해 이용자의 개인정보를 다수의 사업자와 공유하는 등 개인정보 보호 취약점이 존재할 수 있어, 실태점검을 통해 개인정보 처리과정을 엄격하게 관리ㆍ통제하도록 개선하여 안전한 플랫폼 이용 환경을 조성하고자 하였다.
* 하나의 앱에서 검색ㆍ쇼핑ㆍ송금 등 다양한 서비스(특히 복수 사업자 참여하에 구현되는 서비스)를 제공하는 온라인 플랫폼으로 규모 및 영향력을 확대 중
2. 행위 사실
가. 서비스 현황 및 점검 결과
1) 개인정보 수집ㆍ이용ㆍ제공 관련
피심인은 이용자의 회원가입 시에 개인정보 수집ㆍ이용에 관한 동의를 받아 슈퍼앱의 기본적인 서비스 제공에 필요한 개인정보를 수집ㆍ이용하며, 개별적인 서비스 이용 시점에 추가적으로 개인정보 수집ㆍ이용ㆍ제공이 필요할 경우 별도의 개인정보 수집ㆍ이용ㆍ제공 동의를 받고 있었다.
다만, 피심인은 계약이행(서비스 기본기능 제공) 등에 필요한 개인정보 수집ㆍ이용ㆍ제공 근거를 대개 '필수동의’로만 구비하고 있었다.
2) 데이터 분석을 위한 개인정보 활용
피심인은 서비스 제공 과정에서 수집한 고객정보를 통합ㆍ분석하여 슈퍼앱 서비스 개발 및 마케팅 등의 목적으로 활용하고 있으며, 개인정보처리방침을 통해 해당 사항을 이용자에게 고지ㆍ안내하고 있었다.
이용자 정보 분석은 서비스 DB의 부하를 방지하고, 개인정보 노출 위험을 최소화하기 위해 분석용 데이터웨어하우스(DW)*를 별도 구축하며, 이를 통계툴**을 활용하여 분석하고 있었다.
* DW(Data Warehouse) : 데이터 분석을 지원하는 데이터관리시스템으로, 대량의 데이터를 통합하여 쿼리ㆍ분석을 수행하기 위한 용도로 사용
** 통계툴(Business Intelligence Tool) : 비즈니스 데이터를 분석하여 기업의 의사 결정을 돕는 SW로, 데이터를 처리ㆍ분석하고 그 결과를 시각적인 형태로 제공함
다만, 피심인은 DW 내 이용자 개인정보에 대한 접근권한 부여 과정을 검토 및 승인하는 절차를 갖추지 않고 있었다.
3) 개인정보 위탁ㆍ제3자 제공 관련
피심인은 서비스 제공을 위해 제3자에게 개인정보 처리 업무를 위탁하거나 이용자에게 제3자 제공 동의를 받아 개인정보를 전송ㆍ공유하고 있었다. 개인정보를 위탁하거나 제공할 때는 API 연동이나 웹페이지 호출 등의 방식으로 전송ㆍ공유하며, 그 과정에서 개인정보 제공 근거ㆍ목적 등을 검토ㆍ관리하고 있었다.
또한, 피심인은 외부와 연동되는 API의 호출 로그(request) 및 응답 성공 여부(true/false)를 기록으로 남기고 있었다.
다만, 피심인은 제3자에게 개인정보 처리를 위탁하면서 개인정보 처리위탁 시 문서화해야 할 사항을 당초 미비하게 관리하다 현장조사 후 개인정보 표준 위수탁계약서를 마련하여 적용 개시한 사실이 있다.
*
4) 이용자 선택권 보장 관련
피심인은 슈퍼앱 서비스 중 별도의 사업주체가 제공하는 서비스로, 별도의 계정체계를 가지는 경우( ), 개별적인 탈퇴 기능을 제공하고 있었다.
3. 처분의 사전통지 및 의견 수렴
위원회는 2024년 11월 1일 피심인에게 예정된 처분에 대한 사전통지서를 송부하고 이에 대한 의견을 요청하였으며, 피심인은 2024년 11월 6일 위원회에 “별도의 의견 없음”으로 의견을 제출하고, 이후 위반행위에 대한 시정완료 결과를 제출한 바 가 있다.
Ⅲ. 개인정보 처리실태 개선사항
1. 관련 법 규정
가. 보호법 제15조제1항은 “개인정보처리자는 다음 각 호의 어느 하나에 해당하는 경우에는 개인정보를 수집할 수 있으며 그 수집 목적의 범위에서 이용할 수 있다. (1호)정보주체의 동의를 받은 경우, (2호)법률에 특별한 규정이 있거나 법령상 의무를 준수하기 위하여 불가피한 경우, (3호)공공기관이 법령 등에서 정하는 소관 업무의 수행을 위하여 불가피한 경우, (4호)정보주체와 체결한 계약을 이행하거나 계약을 체결하는 과정에서 정보주체의 요청에 따른 조치를 이행하기 위하여 필요한 경우, (5호)명백히 정보주체 또는 제3자의 급박한 생명, 신체, 재산의 이익을 위하여 필요하다고 인정되는 경우, (6호)개인정보처리자의 정당한 이익을 달성하기 위하여 필요한 경우로서 명백하게 정보주체의 권리보다 우선하는 경우. 이 경우 개인정보처리자의 정당한 이익과 상당한 관련이 있고 합리적인 범위를 초과하지 아니하는 경우에 한한다. (7호)공중위생 등 공공의 안전과 안녕을 위하여 긴급히 필요한 경우”라고 규정하고 있으며, 동조 제3항은 “개인정보처리자는 당초 수집 목적과 합리적으로 관련된 범위에서 정보주체에게 불이익이 발생하는지 여부, 암호화 등 안전성 확보에 필요한 조치를 하였는지 여부 등을 고려하여 대통령령으로 정하는 바에 따라 정보주체의 동의 없이 개인정보를 이용할 수 있다.”고 규정하고 있다.
나. 보호법 제22조 제1항은 “개인정보처리자는 이 법에 따른 개인정보의 처리에 대하여 정보주체의 동의를 받을 때에는 각각의 동의 사항을 구분하여 정보주체가 이를 명확하게 인지할 수 있도록 알리고 동의를 받아야 한다. 이 경우 다음 각 호의 경우에는 동의 사항을 구분하여 각각 동의를 받아야 한다.”라고 규정하고 있고, 제22조 제2항은 “개인정보처리자는 정보주체의 동의 없이 처리할 수 있는 개인정보에 대해서는 그 항목과 처리의 법적 근거를 정보주체의 동의를 받아 처리하는 개인정보와 구분하여 제30조제2항에 따라 공개하거나 전자우편 등 대통령령으로 정하는 방법에 따라 정보주체에게 알려야 한다. 이 경우 동의 없이 처리할 수 있는 개인정보라는 입증책임은 개인정보처리자가 부담한다.”고 규정하고 있다.
다. 보호법 제26조는 “개인정보처리자가 제3자에게 개인정보의 처리 업무를 위탁하는 경우에는 다음 각 호의 내용이 포함된 문서로 하여야 한다. (1호)위탁업무 수행 목적 외 개인정보의 처리 금지에 관한 사항, (2호)개인정보의 기술적ㆍ관리적 보호조치에 관한 사항, (3호)그 밖에 개인정보의 안전한 관리를 위하여 대통령령으로 정한 사항”라고 규정하고 있고,
동법 시행령 제28조는 “법 제26조제1항제3호에서 “대통령령으로 정한 사항”이란 다음 각 호의 사항을 말한다. (1호)위탁업무의 목적 및 범위, (2호)재위탁 제한에 관한 사항, (3호)개인정보에 대한 접근 제한 등 안전성 확보 조치에 관한 사항, (4호)위탁업무와 관련하여 보유하고 있는 개인정보의 관리 현황 점검 등 감독에 관한 사항, (5호)법 제26조제2항에 따른 수탁자(이하 “수탁자”라 한다)가 준수하여야 할 의무를 위반한 경우의 손해배상 등 책임에 관한 사항“이라고 규정하고 있다.
라. 보호법 제29조는 “개인정보처리자는 개인정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지 아니하도록 내부 관리계획 수립, 접속기록 보관 등 대통령령으로 정하는 바에 따라 안전성 확보에 필요한 기술적ㆍ관리적 및 물리적 조치를 하여야 한다.”라고 규정하고 있으며,
같은 법 시행령 제30조 제1항 제5호는 개인정보 침해사고 발생에 대응하기 위한 접속기록의 보관 및 위조ㆍ변조 방지를 위한 다음 각 목의 조치로, (가목)개인정보처리시스템에 접속한 자의 접속일시, 처리내역 등 접속기록의 저장ㆍ점검 및 이의 확인ㆍ감독, (나목)개인정보처리시스템에 대한 접속기록의 안전한 보관, (다목)그 밖에 접속기록 보관 및 위조ㆍ변조 방지를 위하여 필요한 조치를 규정하고 있다.
한편, 시행령 제30조 제3항에 따라 안전성 확보조치에 관한 세부 기준을 구체적으로 정하고 있는 개인정보의 안전성 확보조치 기준(이하 '고시’) 제8조 제1항은 “개인정보처리자는 개인정보취급자의 개인정보처리시스템에 대한 접속기록을 1년 이상 보관ㆍ관리하여야 한다. 다만, 다음 각 호의 어느 하나에 해당하는 경우에는 2년 이상 보관ㆍ관리하여야 한다. (1호)5만명 이상의 정보주체에 관한 개인정보를 처리하는 개인정보처리시스템에 해당하는 경우, (2호)고유식별정보 또는 민감정보를 처리하는 개인정보처리시스템에 해당하는 경우, (3호)개인정보처리자로서 「전기통신사업법」제6조제1항에 따라 등록을 하거나 같은 항 단서에 따라 신고한 기간통신사업자에 해당하는 경우”라고 규정하고 있고,
제8조 제2항은 “개인정보처리자는 개인정보의 오ㆍ남용, 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손 등에 대응하기 위하여 개인정보처리시스템의 접속기록 등을 월 1회 이상 점검하여야 한다. 특히 개인정보의 다운로드가 확인된 경우에는 내부 관리계획 등으로 정하는 바에 따라 그 사유를 반드시 확인하여야 한다.”라고 규정하고 있으며,
제8조 제3항은 “개인정보처리자는 접속기록이 위ㆍ변조 및 도난, 분실되지 않도록 해당 접속기록을 안전하게 보관하기 위한 조치를 하여야 한다.”라고 규정하고 있다.
마. 보호법 제36조 제1항은 “제35조에 따라 자신의 개인정보를 열람한 정보주체는 개인정보처리자에게 그 개인정보의 정정 또는 삭제를 요구할 수 있다. 다만, 다른 법령에서 그 개인정보가 수집 대상으로 명시되어 있는 경우에는 그 삭제를 요구할 수 없다.”고 규정하고 있으며, 제37조 제1항은 “정보주체는 개인정보처리자에 대하여 자신의 개인정보 처리의 정지를 요구하거나 개인정보 처리에 대한 동의를 철회할 수 있다. 이 경우 공공기관에 대해서는 제32조에 따라 등록 대상이 되는 개인정보파일 중 자신의 개인정보에 대한 처리의 정지를 요구하거나 개인정보 처리에 대한 동의를 철회할 수 있다.”고 규정하고 있다. 또한, 제38조 제4항은 “개인정보처리자는 정보주체가 열람등요구를 할 수 있는 구체적인 방법과 절차를 마련하고, 이를 정보주체가 알 수 있도록 공개하여야 한다. 이 경우 열람등요구의 방법과 절차는 해당 개인정보의 수집 방법과 절차보다 어렵지 아니하도록 하여야 한다.”라고 규정하고 있다.
2. 개선권고 필요성 판단
가. 개인정보 처리 업무 위탁 시 문서에 의하지 않은 행위
[보호법 제26조제1항(업무위탁에 따른 개인정보의 처리 제한)]
피심인이 슈퍼앱 내 다양한 서비스 제공을 위해 개인정보 처리 업무를 등 제3자에 위탁하면서 위탁관련 사항을 문서화하지 않은 행위 행위는 보호법 제26조제1항 준수 여부가 쟁점이 될 수 있다.
다만, 피심인은 현장조사 이후 의견제출 과정에서 해당 위수탁 관련 위반 행위에 대한 시정(표준 위탁계약서 마련ㆍ적용)을 완료하였는 바, 시정권고의 실익은 없다고 볼 수 있으나, 슈퍼앱은 다양한 개인정보처리자 간의 개인정보 이전ㆍ공유가 계속 되는 특성을 고려하여 재발방지 및 지속적인 이행 확보를 위해 개선권고 한다.
나. 개인정보처리시스템에 대한 접속기록을 보관ㆍ관리하지 않은 행위
[보호법 제29조(안전조치의무)]
피심인이 데이터 분석을 위해 이용자의 서비스 이용 내역 등 정보를 복사하여 저장ㆍ보관하는 DW(데이터웨어하우스)는 개인정보처리시스템에 해당한다.
따라서 피심인이 임직원의 DW에 대한 접속기록을 보관ㆍ관리하지 않는 행위는 보호법 제29조 준수여부가 쟁점이 될 수 있다.
다만, 피심인은 1차 현장조사 이후 DW에 대한 접속기록을 남기고 있어, 이미 시정이 완료되어, 시정권고의 실익은 적다고 볼 수 있으나, 접속기록은 2년 이상 지속적으로 보관ㆍ관리하여야 하는 사항이므로, 재발 방지 및 지속적인 이행 확보를 위해 개선권고한다.
다. 기타 개인정보 처리 실태의 개선이 필요한 사항
1) 보호법 개정에 따라 계약 체결 및 이행 등을 위해 필요한 개인정보의 수집ㆍ이용ㆍ제공에 대하여는 동의를 받지 않아도 됨에도 불구하고 대부분의 개인정보 적법처리 근거를 동의로 구비하고 있는 점에 있어 이는 오히려 습관적으로 동의 버튼을 누르는 부작용(동의 불감증)이 따를 수 있어 필수동의 대체방안이 마련되도록 개선이 필요하다
2) 분석 DW는 개인을 직접 식별할 수 있는 정보가 제거된 경우에도 이용자 식별번호를 통해 회원 DB와 연계하여 개인 식별이 가능하므로, 개인정보처리시스템에 해당하여 안전조치의무를 준수하여야 하나, 피심인은 분석 DW에 대한 내부 임직원의 접근권한을 개인정보 보호부서의 검토나 승인 없이 서비스 운영부서가 관리하도록 운영하였다.
개인정보처리시스템에 대한 접근권한 부여 등 관리 절차에 개인정보 보호부서가 관여하지 않는 것만으로 보호법 위반으로 보기는 어려우나, 피심인은 DW가 개인정보처리시스템에 해당한다는 점에 대한 인식이 부족하여 개인정보 보호부서를 통한 강화된 관리 절차를 마련하도록 개선이 필요하다.
3) 피심인은 슈퍼앱 내에서 제공하는 복수의 서비스 관련, 모든 서비스에 대한 개별 탈퇴 기능을 제공하지 않고, 일부 서비스에 대하여만 개별 탈퇴 기능을 제공하고 있다.
보호법은 정보주체에게 개인정보 정정ㆍ삭제, 처리정지, 동의철회권을 요구할 권리를 보장하고 있을 뿐이므로(법 제36조 내지 제38조), 개별 탈퇴가 가능한 서비스의 구성은 사업자가 자율적으로 결정할 영역에 해당하여, 일부 서비스에 대해서만 개별 탈퇴 기능을 마련한 행위를 보호법 위반으로 보기는 어렵다.
다만, 슈퍼앱이 이용자에게 자신의 개인정보가 이용되는 범위를 결정할 수 있는 개인정보 자기결정권을 보장하고 불필요한 개인정보의 처리를 최소화하기 위하여, ①이용약관 등에 개별 서비스 목록을 안내하고, ②개별 서비스 탈퇴 기능 또는 서비스별 개인정보 처리 정지, 동의 철회 등을 요구할 수 있는 절차를 알기 쉬운 방법으로 마련하거나 안내하도록 개선할 필요가 있다.
Ⅳ. 처분 및 결정
1. 개선권고
피심인에 대해 같은 법 제61조에 따라 다음과 같이 개인정보 처리의 실태를 개선하도록 권고한다.
가. 계약 체결ㆍ이행 등을 위해 동의 없이 처리할 수 있는 개인정보에 대해 필수 동의 대체방안(정보주체에게 고지 등)을 마련할 것
나. 피심인이 이용자의 개인정보를 제3자에게 처리 위탁할 경우 보호법 제26조 제1항에 규정된 사항을 포함한 문서체계를 갖출 것
다. DW 접근권한 부여 시 개인정보 보호부서에 의한 내부통제를 체계화하고, DW에 대한 개인정보취급자 접속기록 보존ㆍ관리의무를 지속 이행할 것
라. 개별 탈퇴 가능ㆍ불가능한 서비스를 이용약관ㆍ 관련기능ㆍ안내문 등에
포함하여 알리고, 처리정지 요구권 행사에 필요한 기능을 마련하거나 방법을 이용자에게 안내할 것
마. 피심인은 이상의 개선권고 사항을 개인정보보호위원회와 협의하여 이행하고, 개선권고 통지를 받은 날로부터 180일 이내에 개인정보보호위원회에 이행 결과 및 계획을 제출할 것
Ⅴ. 결론
피심인에 대하여 보호법 제61조(의견제시 및 개선권고) 제2항에 따라 개선권고를 주문과 같이 의결한다.
피심인은 중고거래, 금융 등의 다양한 서비스를 제공하는 '당근’ 앱을 통해 이용자의 개인정보를 처리하는 「개인정보 보호법」개인정보 보호법(법률 제19234호, 2023. 3. 14. 일부개정, 2023. 9. 15. 시행)(이하 '보호법’)상의 개인정보처리자로서 일반현황은 다음과 같다.
<img src="/LSW/flDownload.do?flSeq=158751871" alt="1번째 이미지"></img>
Ⅱ. 실태점검 결과
1. 개요
국민 대다수가 이용하는 슈퍼앱*은 다양한 서비스 제공을 위해 이용자의 개인정보를 다수의 사업자와 공유하는 등 개인정보 보호 취약점이 존재할 수 있어, 실태점검을 통해 개인정보 처리과정을 엄격하게 관리ㆍ통제하도록 개선하여 안전한 플랫폼 이용 환경을 조성하고자 하였다.
* 하나의 앱에서 검색ㆍ쇼핑ㆍ송금 등 다양한 서비스(특히 복수 사업자 참여하에 구현되는 서비스)를 제공하는 온라인 플랫폼으로 규모 및 영향력을 확대 중
2. 행위 사실
가. 서비스 현황 및 점검 결과
1) 개인정보 수집ㆍ이용ㆍ제공 관련
피심인은 이용자의 회원가입 시에 개인정보 수집ㆍ이용에 관한 동의를 받아 슈퍼앱의 기본적인 서비스 제공에 필요한 개인정보를 수집ㆍ이용하며, 개별적인 서비스 이용 시점에 추가적으로 개인정보 수집ㆍ이용ㆍ제공이 필요할 경우 별도의 개인정보 수집ㆍ이용ㆍ제공 동의를 받고 있었다.
다만, 피심인은 계약이행(서비스 기본기능 제공) 등에 필요한 개인정보 수집ㆍ이용ㆍ제공 근거를 대개 '필수동의’로만 구비하고 있었다.
2) 데이터 분석을 위한 개인정보 활용
피심인은 서비스 제공 과정에서 수집한 고객정보를 통합ㆍ분석하여 슈퍼앱 서비스 개발 및 마케팅 등의 목적으로 활용하고 있으며, 개인정보처리방침을 통해 해당 사항을 이용자에게 고지ㆍ안내하고 있었다.
이용자 정보 분석은 서비스 DB의 부하를 방지하고, 개인정보 노출 위험을 최소화하기 위해 분석용 데이터웨어하우스(DW)*를 별도 구축하며, 이를 통계툴**을 활용하여 분석하고 있었다.
* DW(Data Warehouse) : 데이터 분석을 지원하는 데이터관리시스템으로, 대량의 데이터를 통합하여 쿼리ㆍ분석을 수행하기 위한 용도로 사용
** 통계툴(Business Intelligence Tool) : 비즈니스 데이터를 분석하여 기업의 의사 결정을 돕는 SW로, 데이터를 처리ㆍ분석하고 그 결과를 시각적인 형태로 제공함
다만, 피심인은 DW 내 이용자 개인정보에 대한 접근권한 부여 과정을 검토 및 승인하는 절차를 갖추지 않고 있었다.
3) 개인정보 위탁ㆍ제3자 제공 관련
피심인은 서비스 제공을 위해 제3자에게 개인정보 처리 업무를 위탁하거나 이용자에게 제3자 제공 동의를 받아 개인정보를 전송ㆍ공유하고 있었다. 개인정보를 위탁하거나 제공할 때는 API 연동이나 웹페이지 호출 등의 방식으로 전송ㆍ공유하며, 그 과정에서 개인정보 제공 근거ㆍ목적 등을 검토ㆍ관리하고 있었다.
또한, 피심인은 외부와 연동되는 API의 호출 로그(request) 및 응답 성공 여부(true/false)를 기록으로 남기고 있었다.
다만, 피심인은 제3자에게 개인정보 처리를 위탁하면서 개인정보 처리위탁 시 문서화해야 할 사항을 당초 미비하게 관리하다 현장조사 후 개인정보 표준 위수탁계약서를 마련하여 적용 개시한 사실이 있다.
*
4) 이용자 선택권 보장 관련
피심인은 슈퍼앱 서비스 중 별도의 사업주체가 제공하는 서비스로, 별도의 계정체계를 가지는 경우( ), 개별적인 탈퇴 기능을 제공하고 있었다.
3. 처분의 사전통지 및 의견 수렴
위원회는 2024년 11월 1일 피심인에게 예정된 처분에 대한 사전통지서를 송부하고 이에 대한 의견을 요청하였으며, 피심인은 2024년 11월 6일 위원회에 “별도의 의견 없음”으로 의견을 제출하고, 이후 위반행위에 대한 시정완료 결과를 제출한 바 가 있다.
Ⅲ. 개인정보 처리실태 개선사항
1. 관련 법 규정
가. 보호법 제15조제1항은 “개인정보처리자는 다음 각 호의 어느 하나에 해당하는 경우에는 개인정보를 수집할 수 있으며 그 수집 목적의 범위에서 이용할 수 있다. (1호)정보주체의 동의를 받은 경우, (2호)법률에 특별한 규정이 있거나 법령상 의무를 준수하기 위하여 불가피한 경우, (3호)공공기관이 법령 등에서 정하는 소관 업무의 수행을 위하여 불가피한 경우, (4호)정보주체와 체결한 계약을 이행하거나 계약을 체결하는 과정에서 정보주체의 요청에 따른 조치를 이행하기 위하여 필요한 경우, (5호)명백히 정보주체 또는 제3자의 급박한 생명, 신체, 재산의 이익을 위하여 필요하다고 인정되는 경우, (6호)개인정보처리자의 정당한 이익을 달성하기 위하여 필요한 경우로서 명백하게 정보주체의 권리보다 우선하는 경우. 이 경우 개인정보처리자의 정당한 이익과 상당한 관련이 있고 합리적인 범위를 초과하지 아니하는 경우에 한한다. (7호)공중위생 등 공공의 안전과 안녕을 위하여 긴급히 필요한 경우”라고 규정하고 있으며, 동조 제3항은 “개인정보처리자는 당초 수집 목적과 합리적으로 관련된 범위에서 정보주체에게 불이익이 발생하는지 여부, 암호화 등 안전성 확보에 필요한 조치를 하였는지 여부 등을 고려하여 대통령령으로 정하는 바에 따라 정보주체의 동의 없이 개인정보를 이용할 수 있다.”고 규정하고 있다.
나. 보호법 제22조 제1항은 “개인정보처리자는 이 법에 따른 개인정보의 처리에 대하여 정보주체의 동의를 받을 때에는 각각의 동의 사항을 구분하여 정보주체가 이를 명확하게 인지할 수 있도록 알리고 동의를 받아야 한다. 이 경우 다음 각 호의 경우에는 동의 사항을 구분하여 각각 동의를 받아야 한다.”라고 규정하고 있고, 제22조 제2항은 “개인정보처리자는 정보주체의 동의 없이 처리할 수 있는 개인정보에 대해서는 그 항목과 처리의 법적 근거를 정보주체의 동의를 받아 처리하는 개인정보와 구분하여 제30조제2항에 따라 공개하거나 전자우편 등 대통령령으로 정하는 방법에 따라 정보주체에게 알려야 한다. 이 경우 동의 없이 처리할 수 있는 개인정보라는 입증책임은 개인정보처리자가 부담한다.”고 규정하고 있다.
다. 보호법 제26조는 “개인정보처리자가 제3자에게 개인정보의 처리 업무를 위탁하는 경우에는 다음 각 호의 내용이 포함된 문서로 하여야 한다. (1호)위탁업무 수행 목적 외 개인정보의 처리 금지에 관한 사항, (2호)개인정보의 기술적ㆍ관리적 보호조치에 관한 사항, (3호)그 밖에 개인정보의 안전한 관리를 위하여 대통령령으로 정한 사항”라고 규정하고 있고,
동법 시행령 제28조는 “법 제26조제1항제3호에서 “대통령령으로 정한 사항”이란 다음 각 호의 사항을 말한다. (1호)위탁업무의 목적 및 범위, (2호)재위탁 제한에 관한 사항, (3호)개인정보에 대한 접근 제한 등 안전성 확보 조치에 관한 사항, (4호)위탁업무와 관련하여 보유하고 있는 개인정보의 관리 현황 점검 등 감독에 관한 사항, (5호)법 제26조제2항에 따른 수탁자(이하 “수탁자”라 한다)가 준수하여야 할 의무를 위반한 경우의 손해배상 등 책임에 관한 사항“이라고 규정하고 있다.
라. 보호법 제29조는 “개인정보처리자는 개인정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지 아니하도록 내부 관리계획 수립, 접속기록 보관 등 대통령령으로 정하는 바에 따라 안전성 확보에 필요한 기술적ㆍ관리적 및 물리적 조치를 하여야 한다.”라고 규정하고 있으며,
같은 법 시행령 제30조 제1항 제5호는 개인정보 침해사고 발생에 대응하기 위한 접속기록의 보관 및 위조ㆍ변조 방지를 위한 다음 각 목의 조치로, (가목)개인정보처리시스템에 접속한 자의 접속일시, 처리내역 등 접속기록의 저장ㆍ점검 및 이의 확인ㆍ감독, (나목)개인정보처리시스템에 대한 접속기록의 안전한 보관, (다목)그 밖에 접속기록 보관 및 위조ㆍ변조 방지를 위하여 필요한 조치를 규정하고 있다.
한편, 시행령 제30조 제3항에 따라 안전성 확보조치에 관한 세부 기준을 구체적으로 정하고 있는 개인정보의 안전성 확보조치 기준(이하 '고시’) 제8조 제1항은 “개인정보처리자는 개인정보취급자의 개인정보처리시스템에 대한 접속기록을 1년 이상 보관ㆍ관리하여야 한다. 다만, 다음 각 호의 어느 하나에 해당하는 경우에는 2년 이상 보관ㆍ관리하여야 한다. (1호)5만명 이상의 정보주체에 관한 개인정보를 처리하는 개인정보처리시스템에 해당하는 경우, (2호)고유식별정보 또는 민감정보를 처리하는 개인정보처리시스템에 해당하는 경우, (3호)개인정보처리자로서 「전기통신사업법」제6조제1항에 따라 등록을 하거나 같은 항 단서에 따라 신고한 기간통신사업자에 해당하는 경우”라고 규정하고 있고,
제8조 제2항은 “개인정보처리자는 개인정보의 오ㆍ남용, 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손 등에 대응하기 위하여 개인정보처리시스템의 접속기록 등을 월 1회 이상 점검하여야 한다. 특히 개인정보의 다운로드가 확인된 경우에는 내부 관리계획 등으로 정하는 바에 따라 그 사유를 반드시 확인하여야 한다.”라고 규정하고 있으며,
제8조 제3항은 “개인정보처리자는 접속기록이 위ㆍ변조 및 도난, 분실되지 않도록 해당 접속기록을 안전하게 보관하기 위한 조치를 하여야 한다.”라고 규정하고 있다.
마. 보호법 제36조 제1항은 “제35조에 따라 자신의 개인정보를 열람한 정보주체는 개인정보처리자에게 그 개인정보의 정정 또는 삭제를 요구할 수 있다. 다만, 다른 법령에서 그 개인정보가 수집 대상으로 명시되어 있는 경우에는 그 삭제를 요구할 수 없다.”고 규정하고 있으며, 제37조 제1항은 “정보주체는 개인정보처리자에 대하여 자신의 개인정보 처리의 정지를 요구하거나 개인정보 처리에 대한 동의를 철회할 수 있다. 이 경우 공공기관에 대해서는 제32조에 따라 등록 대상이 되는 개인정보파일 중 자신의 개인정보에 대한 처리의 정지를 요구하거나 개인정보 처리에 대한 동의를 철회할 수 있다.”고 규정하고 있다. 또한, 제38조 제4항은 “개인정보처리자는 정보주체가 열람등요구를 할 수 있는 구체적인 방법과 절차를 마련하고, 이를 정보주체가 알 수 있도록 공개하여야 한다. 이 경우 열람등요구의 방법과 절차는 해당 개인정보의 수집 방법과 절차보다 어렵지 아니하도록 하여야 한다.”라고 규정하고 있다.
2. 개선권고 필요성 판단
가. 개인정보 처리 업무 위탁 시 문서에 의하지 않은 행위
[보호법 제26조제1항(업무위탁에 따른 개인정보의 처리 제한)]
피심인이 슈퍼앱 내 다양한 서비스 제공을 위해 개인정보 처리 업무를 등 제3자에 위탁하면서 위탁관련 사항을 문서화하지 않은 행위 행위는 보호법 제26조제1항 준수 여부가 쟁점이 될 수 있다.
다만, 피심인은 현장조사 이후 의견제출 과정에서 해당 위수탁 관련 위반 행위에 대한 시정(표준 위탁계약서 마련ㆍ적용)을 완료하였는 바, 시정권고의 실익은 없다고 볼 수 있으나, 슈퍼앱은 다양한 개인정보처리자 간의 개인정보 이전ㆍ공유가 계속 되는 특성을 고려하여 재발방지 및 지속적인 이행 확보를 위해 개선권고 한다.
나. 개인정보처리시스템에 대한 접속기록을 보관ㆍ관리하지 않은 행위
[보호법 제29조(안전조치의무)]
피심인이 데이터 분석을 위해 이용자의 서비스 이용 내역 등 정보를 복사하여 저장ㆍ보관하는 DW(데이터웨어하우스)는 개인정보처리시스템에 해당한다.
따라서 피심인이 임직원의 DW에 대한 접속기록을 보관ㆍ관리하지 않는 행위는 보호법 제29조 준수여부가 쟁점이 될 수 있다.
다만, 피심인은 1차 현장조사 이후 DW에 대한 접속기록을 남기고 있어, 이미 시정이 완료되어, 시정권고의 실익은 적다고 볼 수 있으나, 접속기록은 2년 이상 지속적으로 보관ㆍ관리하여야 하는 사항이므로, 재발 방지 및 지속적인 이행 확보를 위해 개선권고한다.
다. 기타 개인정보 처리 실태의 개선이 필요한 사항
1) 보호법 개정에 따라 계약 체결 및 이행 등을 위해 필요한 개인정보의 수집ㆍ이용ㆍ제공에 대하여는 동의를 받지 않아도 됨에도 불구하고 대부분의 개인정보 적법처리 근거를 동의로 구비하고 있는 점에 있어 이는 오히려 습관적으로 동의 버튼을 누르는 부작용(동의 불감증)이 따를 수 있어 필수동의 대체방안이 마련되도록 개선이 필요하다
2) 분석 DW는 개인을 직접 식별할 수 있는 정보가 제거된 경우에도 이용자 식별번호를 통해 회원 DB와 연계하여 개인 식별이 가능하므로, 개인정보처리시스템에 해당하여 안전조치의무를 준수하여야 하나, 피심인은 분석 DW에 대한 내부 임직원의 접근권한을 개인정보 보호부서의 검토나 승인 없이 서비스 운영부서가 관리하도록 운영하였다.
개인정보처리시스템에 대한 접근권한 부여 등 관리 절차에 개인정보 보호부서가 관여하지 않는 것만으로 보호법 위반으로 보기는 어려우나, 피심인은 DW가 개인정보처리시스템에 해당한다는 점에 대한 인식이 부족하여 개인정보 보호부서를 통한 강화된 관리 절차를 마련하도록 개선이 필요하다.
3) 피심인은 슈퍼앱 내에서 제공하는 복수의 서비스 관련, 모든 서비스에 대한 개별 탈퇴 기능을 제공하지 않고, 일부 서비스에 대하여만 개별 탈퇴 기능을 제공하고 있다.
보호법은 정보주체에게 개인정보 정정ㆍ삭제, 처리정지, 동의철회권을 요구할 권리를 보장하고 있을 뿐이므로(법 제36조 내지 제38조), 개별 탈퇴가 가능한 서비스의 구성은 사업자가 자율적으로 결정할 영역에 해당하여, 일부 서비스에 대해서만 개별 탈퇴 기능을 마련한 행위를 보호법 위반으로 보기는 어렵다.
다만, 슈퍼앱이 이용자에게 자신의 개인정보가 이용되는 범위를 결정할 수 있는 개인정보 자기결정권을 보장하고 불필요한 개인정보의 처리를 최소화하기 위하여, ①이용약관 등에 개별 서비스 목록을 안내하고, ②개별 서비스 탈퇴 기능 또는 서비스별 개인정보 처리 정지, 동의 철회 등을 요구할 수 있는 절차를 알기 쉬운 방법으로 마련하거나 안내하도록 개선할 필요가 있다.
Ⅳ. 처분 및 결정
1. 개선권고
피심인에 대해 같은 법 제61조에 따라 다음과 같이 개인정보 처리의 실태를 개선하도록 권고한다.
가. 계약 체결ㆍ이행 등을 위해 동의 없이 처리할 수 있는 개인정보에 대해 필수 동의 대체방안(정보주체에게 고지 등)을 마련할 것
나. 피심인이 이용자의 개인정보를 제3자에게 처리 위탁할 경우 보호법 제26조 제1항에 규정된 사항을 포함한 문서체계를 갖출 것
다. DW 접근권한 부여 시 개인정보 보호부서에 의한 내부통제를 체계화하고, DW에 대한 개인정보취급자 접속기록 보존ㆍ관리의무를 지속 이행할 것
라. 개별 탈퇴 가능ㆍ불가능한 서비스를 이용약관ㆍ 관련기능ㆍ안내문 등에
포함하여 알리고, 처리정지 요구권 행사에 필요한 기능을 마련하거나 방법을 이용자에게 안내할 것
마. 피심인은 이상의 개선권고 사항을 개인정보보호위원회와 협의하여 이행하고, 개선권고 통지를 받은 날로부터 180일 이내에 개인정보보호위원회에 이행 결과 및 계획을 제출할 것
Ⅴ. 결론
피심인에 대하여 보호법 제61조(의견제시 및 개선권고) 제2항에 따라 개선권고를 주문과 같이 의결한다.
출처: 국가법령정보센터 개인정보보호위원회 결정문. 신청인·피심인 등 당사자 칸은 따로 싣지 않습니다(본문의 이름은 원천이 가린 그대로입니다).