'홍채정보 불법 수집' 월드코인, 11억원 과징금 맞았다

개인정보위, 과징금 및 시정명령 의결
수집·목적 등 고지사항 의무 불이행
국외 이전 과정서도 이용자 고지 미흡

[서울경제]

이용자의 홍채 정보를 무단으로 수집했다는 논란을 빚은 월드코인이 개인정보보호위원회로부터 11억 원의 과징금을 부과받았다.

개인정보위는 25일 전체회의에서 개인정보보호 법규를 위반한 월드코인 재단과 월드코인 개발사 ‘툴스포휴머니티(TFH)’에 대해 총 11억 400만 원의 과징금과 시정명령 및 개선권고를 부과하기로 의결했다고 26일 밝혔다. 과징금은 월드코인 재단이 7억 2500만 원, TFH가 3억 7900만 원 등이다. 월드코인이 사업 초기인 탓에 매출이 크지 않아 과징금 규모도 이를 고려해 책정됐다.

월드코인은 홍채 인식 기반 암호화폐로 지난해 7월 출시된 블록체인 코인의 일종이다. 홍채 인식 기구인 ‘오브(Orb)’를 통해 개인의 홍채를 데이터화해 블록체인에 연결하고 실제 사람인지 확인되면 월드ID와 가상자산 지갑(월드 앱)이 생성되고 월드코인을 보관한다. 현재 국내에서 9만 3000여 명이 월드 앱을 다운받았고 이중 2만 9991명이 홍채 인증을 마쳤다.

개인정보위는 “월드코인 측이 가상자산을 대가로 생체정보를 무단으로 수집하고 있다”는 민원 제기 등에 따라 3월부터 월드코인의 개인정보 수집 절차가 적법했는지 여부에 대해 조사했다. 얼굴과 홍채 정보를 수집하는 과정에서 문제가 없었는지와 개인정보의 국외 이전 과정 등이 쟁점이었다.

개인정보위는 조사 결과 월드코인 재단과 월드코인 재단으로부터 개인정보 처리 업무를 위탁받은 TFH가 합법 처리 근거 없이 국내 정보주체의 홍채정보 등 개인정보를 수집하고 이를 국외로 이전하면서 개인정보보호법 상 의무를 준수하지 않은 사실을 확인했다.

월드코인 재단은 오브를 통해 이용자의 홍채를 촬영한 후 홍채코드를 생성하는 과정에서 ‘수집·이용 목적’ 및 ‘보유·이용 기간’ 등 보호법에서 정한 고지사항을 제대로 알리지 않았다. 링크를 통해 생체정보 처리 관련 상세 내용을 기재하긴 했지만 영문으로만 공개하다가 올해 3월 들어서야 한글로도 제공했다. 개인정보위는 “홍채코드는 그 자체로 개인을 유일하게 식별할 수 있고 변경이 불가능한 민감정보”라며 “우리 보호법상 처리를 위해서는 별도로 동의를 받고 안전성 확보조치 등을 해야 하지만 이를 위반한 것”이라고 설명했다.

국외 정보 이전 과정과 관련해서도 월드코인 재단 및 TFH가 수집한 홍채코드 등 개인정보를 독일 등 국외로 이전하면서 정보가 이전되는 국가, 이전받는 자의 성명(법인명)·연락처 등 고지사항을 제대로 알리지 않은 사실도 확인됐다.

월드코인 재단은 홍채코드의 삭제·처리정치 등을 요구할 수 있는 방법·절차를 마련하지 않았다. 월드 앱 가입 시 만 14세 미만 아동의 연령 확인 절차도 미흡한 것으로 나타났다. 월드코인 재단이 홍채코드 삭제 기능을 마련하고 신분증 확인 절차를 4월 뒤늦게 도입하긴 했지만 이미 조사가 시작된 뒤였다.

개인정보위에 따르면 현재 논란이 된 월드코인의 홍채코드의 원문 정보는 모두 파기된 상태다.

개인정보위는 과징금 부과와 함께 월드코인 재단에 민감정보 처리 시 별도 동의를 충실히 받을 것, 홍채정보 등 개인정부가 최초 수집 목적 외 사용되지 않도록 보장할 것, 정보주체의 요청에 따른 삭제 기능을 실효적으로 제공할 것을 요구했다. TFH에는 월드 앱 내 연령 확인 절차를 도입하도록 했다. 또 공통적으로 개인정보 국외 이전 시 법정 고지사항을 충실히 알릴 것을 주요 내용으로 하는 시정명령·개선권고를 함께 부과했다.

월드코인 측은 조사·심의 과정에서 중복 가입 여부에 대한 확인만 가능하고 특정 개인에 대한 식별이 곤란한 만큼 해당 정보가 ‘익명정보’에 해당한다며 홍채 정보 처리 과정에서 다양한 최신 기술을 적용해 보안성을 강화하고 있다고 소명했지만 받아들여지지 않았다.

개인정보위는 월드코인 측이 이용자의 홍채 이미지를 직접 촬영해 홍채코드를 생성했고 이 정보가 개인정보로서 유일무이하다는 점, 이를 통해 특정 개인에 귀속돼 식별 기능이 가능하다는 점 등을 고려해 해당 정보가 생체인식정보인 민감정보의 처리에 해당한다고 판단했다. 이를 토대로 월드코인 재단과 TFH가 국내 이용자의 유효한 동의를 받지 못했다고 봤다.

다만 시정명령 등을 통해 부과한 조건들을 준수할 경우 민감정보의 처리 자체는 금지하지 않기로 했다.

남석 개인정보위 조사조정국장은 “전세계적인 인공지능(AI)·디지털 경제사회의 확산 속에 인간 고유 속성인 바이오 등 민감정보의 이용과 개인 데이터의 국외 이전 또한 증가하고 있어 사업자의 보호법상 의무 및 책임에 대한 인식과 준수가 어느 때보다 강하게 요구된다”며 “앞으로도 신기술·신서비스에 대해 개인정보 주체의 권리가 충실히 보장되며 활성화될 수 있도록 지속적으로 점검·지원해 나갈 계획”이라고 말했다.

진동영 기자 jin@sedaily.com