마음 꿰뚫는 메타·인스타 광고, 용하다 했는데…과징금 74억 철퇴

페이스북과 인스타그램의 회원가입 화면/사진제공=개인정보위

개인정보보호위원회가 정보주체의 동의없이 타사 행태정보를 불법 수집한 메타 아일랜드와 인스타그램에 각각 65억1700만원, 8억8600만원의 과징금을 부과하기로 했다. 메타 아일랜드는 2018년 7월14일 이전 한국 이용자에게 페이스북 및 인스타그램 서비스를 제공한 업체다. 개인정보 유출 신고 의무를 위반한 오픈AI에 대해선 360만원의 과태료를 부과하기로 했다.

━

메타, 페이스북 로그인 기능에 행태정보 수집 도구 결합…인스타그램은 내용 고지조차 없어

━

개인정보위는 26일 오후 정부서울청사에서 전체회의를 열고 이같이 의결했다. 페이스북 로그인 기능에 행태정보 수집 도구를 결합시켜 사업자 및 이용자 모르게 타사 행태정보를 수집해 온 메타에 대해선 3개월 내 시정 후 그 결과를 보고하도록 의결했다.

타사 행태정보는 다른 사업자의 웹사이트 및 앱 방문·사용 이력, 구매·검색 이력 등 이용자의 관심, 흥미, 기호 및 성향 등을 파악·분석할 수 있는 온라인 상의 활동 정보를 말한다. 이는 사업자가 이용자에게 맞춤형 광고를 제공하는데 유용한 정보가 된다.

개인정보위는 지난해 9월 타사 행태정보를 불법 수집해 온 메타에 대해 308억원의 과징금과 시정명령을 부과한 바 있다. 당시 메타 아일랜드 및 인스타그램에 대해서는 추가 조사를 진행하기로 했다.

조사 결과 메타 아일랜드는 페이스북 계정 생성 시 작은 스크롤 화면을 통해 데이터 정책 전문을 보여주고 있었다. 개인정보위는 이용자가 타사 행태정보 수집 사실을 명확히 인지하고 동의했다고 볼 수 없다고 판단했다.

인스타그램은 별도의 동의 절차 없이 계정 생성 시 약관 및 개인정보 처리방침에 동의한 것으로 간주하고 있었다. 해당 개인정보 처리방침에는 타사 행태정보 관련 내용은 포함돼있지 않았다.

메타는 사업자가 자신이 운영하는 웹사이트 및 앱에서 간편 로그인 기능을 제공하기 위해 '페이스북 로그인' 플러그인을 설치하는 경우 페이스북 로그인 기능과 전혀 관련없는 타사 행태정보 수집 도구가 함께 설치되도록 해왔다.

메타는 개인정보위의 처분에 대해 페이스북 로그인 플러그인을 이용하는 사업자는 정보주체가 아니라서 보호법 위반에 해당하지 않는다고 주장한 것으로 전해졌다. 또 조사 기간이 너무 짧았다고 주장하기도 했으나 전부 받아들여지지 않았다.

━

오픈AI, 개인정보 유출했지만 안전조치 의무 이행…신고 의무 위반에만 과태료

━

개인정보위는 이날 지난 3월 개인정보 유출이 발생한 오픈AI에 대해 신고 의무 위반으로 과태료 360만원을 부과하기로 의결했다. 해외 AI업체가 제재받은 첫 사례다. 개인정보위는 △재발 방지대책 수립 △국내 보호법 준수 △개인정보위의 사전 실태점검에 적극 협력 등을 권고했다.

오픈AI의 개인정보 유출은 지난 3월20일 오후 5시부터 3월21을 새벽 2시 사이에 발생했다. 챗GPT 플러스에 접속한 전세계 이용자 일부의 성명, 이메일, 결제지, 신용카드 번호 등이 다른 이용자에게 노출됐다. 한국 이용자 중에서는 687명의 개인정보가 유출됐다.

오픈AI의 개인정보 유출은 서비스 속도 증가를 위해 이용한 오픈소스 기반 캐시(임시저장소) 솔루션에서 원인모를 오류가 생겨 발생했다. 조사 결과 오픈AI가 일반적으로 기대 가능한 보호조치를 소홀히 했다고 보긴 어려워 안전조치 의무 위반으로는 처분하지 않았다.

하지만 유출 인지 후 24시간 내 관계기관에 신고하지 않은 신고 의무 위반에 대해선 과태료를 부과하기로 했다. 또 개인정보처리시스템을 자체적으로 점검한 뒤 재발 방지대책 수립을 권고했다.

개인정보위 조사 결과 오픈AI는 개인정보 처리방침을 영문으로만 제공했다. 별도 동의 절차가 없었고 내용상 위·수탁 관계, 구체적 파기 절차 및 방법, 국내대리인이 명확하지 않는 등 보호법상 의무 미흡 사항 등이 발견됐다. 13세 미만에 대해 가입을 제한하고 있는 부분도 14세 미만 가입을 제한하는 국내 보호법과 차이를 보였다.

개인정보위는 오픈AI의 데이터 수집 및 활용, 한국어 학습데이터의 출처, 윤리 문제 예방 노력, 수집 거부 방법 등에 대해서도 자료를 요구했으나 일반적·포괄적 자료만 받았다. 이에 개인정보위는 챗GPT를 포함한 국내외 주요 AI서비스를 대상으로 사전 실태점검을 실시할 계획이다.

오픈AI는 조사 과정에서 개인정보위와 협력해 오는 9월 개정 보호법 시행 등에 맞춰 국내 보호법 준수 의견을 공식적으로 제출해 온 것으로 전해졌다. 오픈AI는 조사 과정에서 총 4차례에 걸쳐 개인정보위의 서면 질의에 답변서를 제출하는 등 성실히 조사에 임한 것으로 나타났다.

이정현 기자 goronie@mt.co.kr