개인정보위, '홍채정보 수집논란' 월드코인에 11억 과징금

개인정보 보호법 위반 처분 의결…시정명령·개선권고도

서울 영등포구 서울핀테크랩에서 열린 월드코인 팝업행사에 참여자들이 몰려있다. 월드코인은 인공지능 '챗지피티'(ChatGPT)의 창시자 샘 올트먼(Sam Altman)이 만든 가상자산(암호화폐) 프로젝트다. 2023.1.30/뉴스1 2023.1.30/뉴스1 ⓒ News1 황덕현 기후환경전문기자

(서울=뉴스1) 이기림 기자 = '개인정보 보호법'을 위반한 월드코인 파운데이션(월드코인 재단)과 툴스 포 휴머니티(TFH)에 11억 400만 원의 과징금과 시정명령 및 개선권고가 부과된다.

개인정보보호위원회는 25일 제16회 전체회의를 열고 이같이 처분하기로 의결했다고 26일 밝혔다.

개인정보위는 올해 2월 '월드코인 측이 가상자산(월드코인)을 대가로 생체정보를 무단으로 수집하고 있다'는 민원 제기와 언론보도 등에 따라 조사에 착수했다.

조사 결과, 월드코인 재단과 월드코인 재단으로부터 개인정보 처리 업무를 위탁받은 TFH(수탁자 및 처리자)가 합법 처리 근거 없이 국내 정보주체의 홍채정보 등 개인정보를 수집하고, 이를 국외로 이전하면서 개인정보 보호법상 의무를 준수하지 않은 것이 드러났다.

사람들은 월드코인을 받기 위해 가상자산 지갑 앱인 월드앱을 다운받고 홍채 인식기기인 오브를 통해 홍채 인증을 받았다. 지난 6일 기준 국내에서는 9만 3463명이 월드앱을 다운로드받고, 2만 9991명이 홍채 인증을 한 것으로 집계됐다.

위반 내역을 자세히 보면 우선 월드코인 재단은 오브를 통해 정보주체의 홍채를 촬영한 후 이를 활용해 홍채코드를 생성하면서 국내 정보주체에게 '수집·이용 목적' 및 '보유·이용 기간' 등 보호법에서 정한 고지사항을 제대로 알리지 않았다.

특히 홍채코드는 그 자체로 개인을 유일하게 식별할 수 있고 변경이 불가능한 민감정보(생체인식정보)로서, 보호법상 처리를 위해서는 별도로 동의를 받고 안전성 확보조치 등을 해야 하나 이를 위반했다는 설명이다.

또한 월드코인 재단 및 TFH가 홍채코드를 비롯해 국내 정보주체로부터 수집한 개인정보를 독일 등 국외로 이전하면서 '개인정보가 이전되는 국가' '개인정보를 이전받는 자의 성명(법인명) 및 연락처' 등 보호법에서 정한 고지사항을 정보주체에게 알리지 않은 사실도 확인됐다.

아울러 월드코인 재단은 홍채코드의 삭제 및 처리정지 등을 요구할 수 있는 방법·절차를 마련하지 않았고, TFH는 월드앱 가입 시 만 14세 미만 아동의 연령 확인 절차가 미흡한 것으로 확인됐다.

개인정보위는 월드코인 재단의 민감정보 처리 및 국외 이전 관련 의무 위반, TFH의 국외 이전 관련 의무 위반에 대해 각각 과징금 7억 2500만 원, 3억 7900만 원을 부과하기로 결정했다.

또한 월드코인 재단에는 민감정보 처리 시 별도 동의를 충실히 받을 것, 홍채정보 등 개인정보가 최초 수집 목적 외 사용되지 않도록 보장할 것과 정보주체의 요청에 따른 삭제 기능을 실효적으로 제공할 것을 내용으로 하는 시정명령 및 개선권고를 함께 부과했다.

TFH에는 월드앱 내 연령 확인 절차를 도입할 것, 그리고 공통으로 개인정보 국외 이전 시 법정 고지사항을 충분히 알리라고 개선권고했다.

개인정보위는 측은 "월드코인 측은 홍채코드로는 중복 가입 여부에 대한 확인만 가능하고, 특정 개인에 대한 식별은 곤란하므로 익명정보에 해당하며, 홍채코드 처리과정에 다양한 최신 기술을 적용해 보안성을 강화하고 있다고 설명했다"고 밝혔다.

이어 "개인정보위는 정보주체로부터 직접 홍채 이미지를 촬영한 후 이를 활용해 홍채코드를 생성하고 있는 점, 홍채 관련 정보는 일신전속적·변경불가능한 것으로 개인별 홍채코드 역시 유일무이한 점, 그 결과 특정 개인에 귀속돼 식별자로 기능이 가능하고 실제로도 내부적으로 월드 아이디와 연계된 점 등을 종합 고려했다"고 말했다.

다만 "앞서 제시한 시정명령 등을 통해 일정 조건들을 부과한 후 이를 준수하는 범위에서 민감정보의 처리 자체는 금지하지 않았다"고 밝혔다.

lgirim@news1.kr