라이더 동선 정보 ‘빅브라더’…배민·쿠팡이츠·요기요 위법 했나

라이더·진보네트워크센터·민변, 조사 요청
개인정보보호위에 “위법 의심 건 여럿 확인”

서울 강남구 논현로 배민라이더스 남부센터 앞에 배달용 오토바이가 세워져 있다. 강창광 선임기자 chang@hani.co.kr

정보인권 시민단체 진보네트워크센터와 민변 디지털정보위원회는 라이더유니온 소속 플랫폼 노동자 라이더들과 함께 배달의민족·쿠팡이츠·요기요 등 배달 플랫폼들을 상대로 라이더들의 어떤 개인정보를 얼마나 수집해 어디에 활용하는지에 대한 열람 청구 캠페인을 진행하는 과정에서 개인정보보호법 위반 의심 사실을 여럿 확인했다고 18일 밝혔다. 이들은 개인정보보보호위원회에 위법 의심 사실에 대한 확인 조사와 시정 요구를 해줄 것을 요청하는 민원을 제기했다.

진보네트워크센터에 따르면, 개인정보처리자는 보유기간 경과, 처리 목적 달성, 가명정보 처리 기간 경과 등 해당 개인정보가 불필요하게 되었을 때에는 지체 없이 파기하여야 하지만, 우아한청년들과 쿠팡이츠서비스 등 일부 배달업체들은 라이더의 세세한 위치정보를 수집 목적을 달성한 이후에도 삭제하지 않고 보관하고 있다. 진보네트워크센터는 “우아한청년들은 ‘보험 관리(보험 가입, 보험료 책정, 사고접수, 사고조사 등)를 위한 것’이라고 밝혔지만, 개인 위치정보를 보관하지 않는 업체도 있음을 감안할 때, 개인 위치정보가 해당 목적 달성을 위한 최소한의 개인정보에 해당하는지 의문”이라고 짚었다.

배달 플랫폼들이 라이더 개인정보를 익명처리가 아닌 가명처리해 활용하고 있을 가능성도 있는 것으로 드러났다. 진보네트워크는 “지피에스(GPS) 좌표 데이터 등 이용자 개인 위치정보의 경우, 개인 식별자만을 삭제했다면 처리 후 데이터를 원본 데이터와 비교하는 방법으로 개인식별이 가능해질 가능성이 크다. 동일한 경로로 두 명 이상의 라이더가 함께 이동했을 가능성은 크지 않기 때문”이라며 “만일 원본 데이터와 비교를 통해 개인식별이 가능해진다면, 이는 익명처리가 아니라 가명처리로 간주해야 한다”고 지적했다. 이어 “연구목적으로 가명정보를 처리하는 경우, 가명정보의 처리 목적, 제3자 제공 시 제공받는 자, 가명정보의 처리 기간 등 가명정보의 처리 내용을 관리하기 위하여 대통령령으로 정하는 사항에 대한 관련 기록을 작성해 보관해야 한다”며 “배달 업체가 실제로 개인정보를 익명처리하여 사용하는 것인지, 아니면 가명처리하여 사용하는 것인지 조사가 필요하다”고 덧붙였다.

배달의민족 라이더들이 사용하는 ‘배민커넥트’ 앱의 경우, 우아한형제들과 우아한청년들이 모두 라이더 개인정보 처리자로 돼 있는지, 두 법인 가운데 어느 쪽이 개인정보 처리 위탁자이고 처리자인지 관계가 모호하다는 지적도 제기됐다. 진보네트워크센터는 “회사 쪽 설명에 따르면, 라이더의 개인 위치정보를 수집하는 개인정보처리자는 우아한형제들이고, 우아한청년들은 우아한형제들로부터 라이더의 개인 위치정보를 ‘제3자 제공’ 받으며, 우아한청년들은 자신들이 보유하고 있는 개인정보의 처리를 우아한형제들에 ‘위탁’하고 있는 것으로 보인다”며 “이 과정에서 우아한형제들이 개인정보처리자로서 직접 처리하는 개인정보와 위탁을 받아 처리하는 개인정보가 실제로 구분되어 있는지 의심스럽다. 또한 우아한형제들과 우아한청년들은 라이더가 배민커넥트 앱에 가입할 때 ‘동시에’ 동의를 받고 있는데, 이런 방식의 개인정보 동의가 적법한 것인지 의문”이라고 짚었다.

진보네트워크센터는 “아름다운재단 ‘2023 변화의 시나리로 프로젝트’ 지원사업으로 개인정보 열람요구권 캠페인을 진행했고, 민변 디지털정보위원회와 함께 라이더들의 개인정보 열람 청구를 지원했다”며 “시민단체들과 라이더들은 배달 플랫폼 내부 정보를 볼 수 있는 권한이 없어, 개인정보보호위원회에 사실 조사를 요청하는 민원을 제기했다”고 배경을 설명했다.

김재섭 선임기자 jskim@hani.co.kr