정부, 메타 과징금 74억 부과

동의 없이 이용자 정보수집 광고
개인정보유출 오픈AI는 360만원

27일 정부서울청사에서 열린 개인정보위 제13회 전체회의 브리핑에서 남석 조사조정국장이 메타 아일랜드, 인스타그램, 메타에 대한 제재 관련 설명을 하고 있다. 연합뉴스

적법한 동의 없이 이용자 정보를 수집해 맞춤형 광고 등에 이용한 메타 아일랜드와 인스타그램이 약 74억원 규모의 과징금 처분을 받았다. 한국 이용자 687명을 포함한 개인정보 유출이 발생한 오픈AI에는 과태료 360만원이 부과됐다.

개인정보보호위원회는 메타 아일랜드와 인스타그램에 각각 65억1700만원, 8억8600만원의 과징금 부과하고 시정 결과를 보고하도록 결정했다고 27일 밝혔다.

개인정보위는 지난해 9월 적법한 동의 없이 이용자의 타사 행태정보를 수집·이용한 메타에 과징금과 시정명령을 부과하면서 메타 아일랜드, 인스타그램에 대해서는 추가조사를 진행하기로 한 바 있다. 타사 행태정보는 다른 사업자의 웹사이트 및 앱의 방문, 사용 이력, 구매, 검색 이력 등 이용자의 관심, 흥미, 기호 및 성향 등을 파악 및 분석할 수 있는 온라인상의 활동정보를 말한다.

조사 결과 2018년 7월 14일 이전 메타 아일랜드와 인스타그램은 이용자의 타사 행태정보를 수집, 맞춤형 광고 등을 통해 수익을 창출하는 과정에서 이용자로부터 적법한 동의를 받지 않은 것으로 드러났다.

메타 아일랜드는 페이스북 계정 생성 시 작은 스크롤 화면을 통해 '데이터 정책' 전문을 보여주고 있어 이용자가 타사 행태정보 수집 사실을 명확히 인지하고 동의했다고 볼 수 없었다는 게 개인정보위의 판단이다. 또 인스타그램은 별도의 동의 절차 없이 인스타그램 계정 생성 시 약관·개인정보 처리방침에 동의한 것으로 간주했으며 그마저도 해당 개인정보 처리방침에는 '타사 행태정보 관련 내용'이 포함돼 있지 않았다.

아울러 메타는 개발자가 자신이 운영하는 웹사이트와 앱에서 간편 로그인 기능을 제공하기 위해 '페이스북 로그인'을 설치하는 경우 전혀 관련이 없는 타사 행태정보 수집 도구가 함께 설치되도록 했다. 이용자의 해당 웹사이트 또는 앱 내에서의 행태정보를 메타로 전송될 수 있도록 한 셈이다.

개인정보위는 메타가 '페이스북 로그인'을 통해 해당 정보가 전송·수집되는 사실을 사업자와 이용자 모두 알 수 없도록 하는 등 부정한 방법으로 개인정보를 취득한 것으로 보고 고발 여부를 검토했으나 이 과정에서 메타는 3개월 내에 해당 행위를 자진 시정하겠다고 공식의견을 제출했다. 개인정보위는 메타가 자진 시정하겠다는 의사를 밝힌 점, 자진 시정을 통해 '개인정보 보호법'에서 규정한 개인정보보호 목적을 달성할 수 있다고 예상 가능한 점, 이용자 측면의 동의 의무 위반에 대해서는 이미 시정명령 및 과징금을 부과한 점 등을 종합적으로 고려해 자진 시정 기회를 부여하기로 했다.

개인정보위는 "이번 처분이 앞으로 국내외 플랫폼 기업들이 개인정보를 수집·이용하는 과정에서 꼭 필요한 정보를 수집하고 그 처리 과정을 투명하게 알리도록 노력하는 계기가 되기를 바란다"고 말했다.

오픈AI는 지난 3월 20일부터 21일 사이 챗GPT 플러스에 접속한 전 세계 이용자 일부의 성명, 이메일, 결제지, 신용카드 번호 4자리와 만료일이 다른 이용자에게 노출됐다. 이 가운데 한국 이용자 687명(한국 IP기준)이 포함된 것으로 확인됐다.

유출 원인은 서비스 속도 증가를 위한 오픈소스 기반 캐시(임시저장소) 솔루션에서 발생한 알려지지 않은 오류(버그)다. 기술전문가 검토회의 등을 통해 정밀 분석한 결과, 오픈AI가 일반적으로 기대 가능한 보호조치를 소홀히 했다고는 보기 어려워 안전조치의무 위반으로는 처분하지 않기로 했다. 다만, 유출 인지 후 24시간 내 신고하지 않은 신고 의무 위반에 대해 과태료를 부과하고, 개인정보처리시스템을 자체적으로 점검 후 재발 방지대책을 수립할 것을 개선권고 하기로 했다.

또 개인정보 처리방침과 실제 가입 절차 등을 검토한 결과, 처리방침을 영문으로만 제공하고 있고 별도 동의 절차가 없는 것으로 나타났다. 내용상 위·수탁 관계, 구체적 파기 절차 및 방법, 국내대리인이 명확하지 않은 등 보호법상 의무 미흡 사항 등이 발견됐다. 13세 미만에 대해 가입을 제한하고 있어 국내 보호법상 법정대리인 동의 적용 연령 기준인 14세 미만과 다소 불일치하는 문제도 있었다.

다만, 조사과정에서 오픈AI가 최근에 전 세계 서비스를 시작한 신규 사업자임을 설명하며 개인정보위와 협력해 개정 보호법 시행 등에 맞춰 국내 보호법 준수 의견을 공식적으로 제출해 현시점에서는 개선을 권고하고 이행 여부를 지속적으로 점검?확인하기로 했다.

개보위는 챗GPT 포함한 국내외 주요 AI서비스를 대상으로 사전 실태점검을 실시해 개인정보 침해요인의 최소화를 추진키로 하고, 오픈AI에 대해서도 적극적 협력을 개선권고 하기로 했다.

개보위 측은 "앞으로도 개인정보위는 해외사업자 대상 안내서 발간, 국내 대리인 제도의 실질적 개선 등을 통해 주요 글로벌 개인정보처리자들의 국내 법규에 대한 인지도를 제고하고 집행력을 확보해 우리 정보주체 등의 개인정보보호를 강화해 나갈 방침"이라며 "특히 AI 같은 최신 기술·서비스에 대해서는 사전 실태점검 등을 통해 안전한 서비스 이용을 지원할 방침이며 추후 지속적으로 구체화해 나갈 계획"이라고 말했다.

김나인·윤선영기자 silkni@