이용자의 동의를 받지 않고 개인을 식별할 수 있는 얼굴인식 정보를 생성해 이용한 페이스북이 과징금 철퇴를 맞았다. 구글과 넷플릭스도 개인정보보호 법규를 위반해 시정조치를 받았다.
이번 조사는 2020년 국정감사 과정에서 ‘해외 사업자의 개인정보 수집 동의방식에 문제가 있다’는 민병덕 의원(국회 정무위)의 지적에 따른 후속 조치다.
개인정보위는 한국인터넷진흥원과 함께 그 간의 언론보도, 시민단체 신고, 민원 등을 토대로 이들 사업자의 동의방식이 적법한 지에 대해 집중적으로 분석해 점검·조사했다.
그 결과 페이스북‧넷플릭스‧구글 등 3개 사업자의 법 위반 사항을 적발하고, 개인정보보호 실태가 미흡한 사실을 확인했다.
법 위반 항목이 6개로 가장 많은 페이스북의 경우, 2018년 4월부터 2019년 9월까지 1년 5개월간 이용자의 동의 없이 얼굴인식 서식(템플릿)을 생성해 수집했다. 피해자 규모는 20만명에 달한다. 이러한 위반행위에 대해 64억4000만원의 과징금을 부과했다.
얼굴인식 서식은 이용자의 사진과 동영상에서 얻은 정보를 활용해 이용자를 식별하는 방식으로 페이스북에 게재된 사진 속 인물에 이름이 자동으로 표시된다.
이 밖에도 ▲위법한 주민등록번호 수집 ▲개인정보 처리주체 변경 미고지 ▲개인정보 처리위탁 및 국외이전 관련 내용 미공개 ▲자료 미제출에 대해서는 총 2600만원의 과태료를 부과했다.
개인정보위는 동의 없는 얼굴정보 수집 등 위반 사항에 대해 시정명령을 내리고, 개인정보 추가 수집 시 법정 고지사항이 불명확해 개인정보 처리실태가 미흡한 점은 개선하도록 권고했다.
개인정보위에 따르면 페이스북은 주민등록번호 수집과 관련해서 이미 수집돼 있는 주민등록번호는 삭제하는 과정을 거쳤고, 삭제조치와 함께 연말까지 비식별 조치하는 솔루션을 개발하는 작업을 시작했다.
개인정보위는 시정명령, 이행점검 과정에서 페이스북 측의 조치를 확인할 예정이다.
넷플릭스의 경우 2가지 법 위반 사항이 적발됐다. 먼저 서비스 가입 시 절차가 완료되기 전에 동의 없이 개인정보를 수집한 행위에 대해 2억2000만원의 과징금 부과와 함께 시정명령을 했다. 개인정보 국외이전 관련 내용을 공개하지 않은 행위에 대해서는 320만원의 과태료를 부과했다. 개인정보가 동의 없이 수집된 이용자는 500만명에 달한다.
구글의 경우에는 법 위반으로 볼 수 있는 사항은 발견되지 않았지만, 개인정보 추가 수집(결제정보, 직업‧경력‧학력, 이메일, 전화번호, 주소 등) 시 법정사항의 고지 불명확, 국외이전 개인정보 항목의 구체적 명시 부족 등 개인정보 처리실태가 미흡한 사항이 확인돼 이를 개선토록 권고했다.
개인정보위는 해외사업자의 개인정보 수집 동의방식에 대한 이번 조사가 완결된 것이 아니며, 추가적인 사실관계 확인이나 법령 검토 등이 필요한 사항에 대해서는 계속 조사를 이어나갈 계획이다.
송상훈 개인정보위 조사조정국장은 "사업자가 이용자의 명시적인 동의를 받고 개인정보를 수집해 이용하는 것이 개인정보 보호에 있어 가장 중요한 기본원칙이다"며 "이번 처분을 통해 해외사업자들도 국내법 실정에 맞게 이용자의 동의를 받고 개인정보를 수집·이용하고, 법정 의무사항을 충실히 이행하는 계기가 되길 바란다"고 말했다.
류은주 기자 riswell@chosunbiz.com