메타의 개인정보보호 법규 위반 행위 | 타사 행태정보 제공을 거부할 수 있는 선택권을 부여하지 않는 행위 | 맞춤형 광고

 

개인정보위 제2회 전체회의 결과 2023.02.08 양청삼 조사조정국장

 안녕하십니까? 조사조정국장 양청삼입니다. 

   오늘 오전 제2회 개인정보보호위원회에서 의결한 메타의 개인정보보호 법규 위반 행위에 대한 처분 내용을 말씀드리겠습니다. 

   이번 처분은 메타가 페이스북과 인스타그램 서비스 가입 및 타사 행태정보 수집 전에 이용자가 메타의 페이스북 및 인스타그램 서비스를 가입하고 이용할 때 타사 행태정보 제공을 거부할 수 있는 선택권을 부여하지 않는 행위에 대한 제재입니다. 

   위원회는 그간 주요 맞춤형 광고 플랫폼의 행태정보 수집·이용 실태에 대해서 계속적으로 점검하여 왔으며, 지난해 9월에는 메타가 적법한 동의 없이 이용자의 타사 행태정보를 수집·이용하는 행위에 대해 처분한 바가 있습니다. 

   이번 조사 처분은 메타가 작년 한국의 페이스북 및 인스타그램 이용자를 대상으로 행태정보 수집 등에 동의하지 않으면 서비스를 제한하는 내용으로 동의 방식을 변경하려다 논란이 되자 철회한 것과 관련된 사안입니다. 

   당시 메타는 해당 동의 화면은 철회하였으나, 여전히 페이스북 및 인스타그램에 가입 시 타사 행태정보의 제공을 거부할 수 없도록 운영하고 있습니다. 

   위원회는 이와 관련하여 페이스북 및 인스타그램 이용자가 다른 사업자의 웹사이트 및 앱을 방문·사용한 온라인 활동 기록인 타사 행태정보가 페이스북 및 인스타그램 서비스 제공에 필요한 최소한의 개인정보인지 여부에 대해 중점적으로 조사하였습니다. 

   조사 결과 이용자의 타사 행태정보는 페이스북 및 인스타그램 서비스에 필요한 최소한의 개인정보가 아니며, 이를 제공하지 않으면 서비스를 가입하여 이용할 수 없도록 한 메타의 법 위반 사실을 확인하였습니다. 

   먼저, 페이스북과 인스타그램을 이용하는 이유에 대한 설문 결과에서도 알 수 있듯이 페이스북과 인스타그램 서비스 이용자는 친구의 소식을 알고 소통하기 위해 SNS 서비스를 이용하는 것이며, 맞춤형 광고를 보기 위한 목적으로 서비스를 이용한다고 보기는 어렵다고 판단하였습니다. 

   또한, 메타는 맞춤형 광고를 위해 이용자 식별 기반의 타사 행태정보 외에도 페이스북 및 인스타그램 서비스 내에서 이용자로부터 이미 광범위한 개인정보를 수집하고 있고, 이와 관련해서는 보도자료 8쪽 참고 2의 표를 참고하여 주시기 바랍니다. 

   메타와 유사한 광고 플랫폼들이 다른 웹 또는 앱에서의 활동 기록을 이용자 계정과 결합하지 않고도 사용한 기기를 식별하는 등 메타와 다른 방법을 통해 맞춤형 광고를 제공하고 있다는 점과 실제로 메타 서비스 이용 중에 타사 행태정보 제공을 거부하는 설정을 하더라도 메타 서비스를 문제없이 이용 가능하며, 메타의 실명 기반의 타사 행태정보 수집을 이용자가 예상하기 어렵고 사생활의 비밀과 자유를 심각하게 침해하는 결과를 초래할 수 있다는 점 등을 종합적으로 고려하여 메타의 맞춤형 광고를 위한 이용자 식별 기반의 타사 행태정보는 보호법 제39조3의 3항에 따른 필요한 최소한의 정보가 아니라고 판단하였습니다. 

   우리 위원회는 메타의 이러한 위법 행위에 대해 다음과 같이 처분을 의결하였습니다. 

   맞춤형 광고를 위한 개인정보 제공 거부 시 서비스를 이용할 수 없도록 한 행위에 대해 이용자가 이용자의 타사 행태정보에 대한 제공을 거부하더라도 페이스북 및 인스타그램 서비스를 가입하고 이용할 수 있도록 할 것을 시정명령 하였습니다. 이와 함께 메타에게 660만 원의 과태료를 부과하였습니다. 

   이번 처분은 맞춤형 광고 자체나 플랫폼의 행태정보 수집 행위에 대한 원칙적 금지를 의미하는 것은 아닙니다. 다만, 플랫폼 이용자의 타사 행태정보는 반드시 필요한 최소한의 개인정보가 아니므로 수집 전에 이용자에게 이에 대한 선택권을 부여함으로써 타사 행태정보 수집·이용을 거부하더라도 서비스를 계속 이용할 수 있도록 하게 하자는 취지입니다. 

   이번 처분을 통해 글로벌 플랫폼 사업자의 과도한 개인정보 수집 및 처리 관행이 시정되고 정보 주체의 개인정보 자기결정권이 더욱 충실히 보장되는 계기가 되기를 기대합니다. 

   이와 함께 아마 같이 배부해 드린 질의·답변 자료가 있는데 이 중에서 주요한 포인트들에 대해서만 추가적으로 설명드리도록 하겠습니다. 

   지난해 9월 14일 메타에 대해서 처분을 한 바가 있는데 이것과 오늘 처분의 차이와 관련하여 지난 9월, 지난해 9월 14일의 처분은 메타가 적법한 동의 없이 이용자의 타사 행태정보를 수집·이용한 행위에 대한 처분이고, 이번 처분은 메타가 이용자의 타사 행태정보가 페이스북 및 인스타그램 서비스에 필요한 최소한의 개인정보가 아님에도 이를 제공하지 않으면 서비스를 가입하고 이용할 수 없도록 한 행위에 대한 제재 처분입니다. 

   두 번째로, 사업자의 타사 행태정보를 수집·이용하는 행위 자체가 문제가 되는 것인지에 대한 질문이 있을 수 있습니다. 

   이번 처분은 맞춤형 광고 자체나 플랫폼의 행태정보 수집 행위에 대한 금지를 의미하는 것은 아닙니다. 다만, 맞춤형 광고를 위한 이용자 식별 기반의 타사 행태정보가 SNS 서비스에 있어 필요한 최소한의 개인정보가 아니므로 수집을 위해서는 이용자에게 선택권을 부여할 사항이며, 이에 대한 제공 거부를 이유로 서비스 가입·이용을 제한하는 것은 위법하고 이에 대한 시정을 요구하는 것입니다. 

   세 번째로, 맞춤형 광고 자체에 대해서 이용자의 선택권을 보장해야 하는 게 아닌가 하는 의문이 있을 수 있습니다. 

   이번 처분은 맞춤형 광고 자체가 선택 동의 사항인지를 판단하는 것은 아니며, 맞춤형 광고 등을 위해 이용자 계정을 기반으로 타사 행태정보를 수집하는 것이 이용자에게 선택권을 부여해야 할 사항임을 명확히 하고자 하는 것입니다. 

   따라서 맞춤형 광고 및 자사 서비스 내에서의 행태정보 수집·처리 또는 브라우저 쿠키 등을 토대로 이용자 식별 없이 수집하는 행태정보의 활용과 관련해서는 현 단계에서는 제재 처분의 대상이 되지는 않습니다. 

   다만, 보호법상 개인정보의 최소 수집 원칙, 사생활 침해 최소화 원칙, 정보 주체 관점에서의 예측 가능성 등을 고려하여 향후 맞춤형 광고 가이드라인 개정과 보호법, 지금 현재 법사위에 계류가 돼 있는데요. 보호법 개정안 통과 이후에 관련 정책들을 구체적으로 마련해 나갈 생각입니다. 

   그리고 메타가 오늘 회의 등을 통해서 조사 과정에서 메타의 입장과 저희들의 조사 결과 의견에 대해서 간단히 말씀드리도록 하겠습니다. 

   메타는 조사 과정에서 세 가지의 주요 주장을 했는데 첫 번째, 타사 행태정보 수집에 동의를 받아야 할 주체는 플랫폼이 아니고 사업자란 주장을 지난 9월 14일 처분에 이어 지속적으로 반복하고 있습니다. 

   위원회에서는 검토 결과 타사 행태정보의 수집이 목적과 수단 등을 종합적으로 고려할 때 지난 처분에서 플랫폼이 동의를 받을 주체임을 명확히 하였고, 이는 해외 처분 사례에서도 이용자의 타사 행태정보 수집 주체는 플랫폼이라는 점을 명확히 하고 있습니다. 

   두 번째, 메타는 맞춤형 광고의 제공은 이용자에게 무료서비스 제공을 위한 재원을 마련함에 있어 본질적 기능이며, 타사 행태정보는 이를 위해 반드시 필요하다는 주장을 하고 있습니다. 

   검토 결과 본질적 기능인지 여부에 대한 판단은 사업자의 필요나 주장에 의한 것이 아닌 이용자의 합리적 기대 가능성을 우선적으로 고려하여야 하고, 사업자가 필요하다는 이유로 과도한 개인정보 처리가 정당화될 수 없다고 보았습니다. 

   세 번째로, 메타는 행태정보의 수집이 어렵게 되면 사업자는 유료서비스로 전환할 수 있고 이용자는 오히려 무관하거나 침해적인 광고를 접할 우려가 있다는 주장을 하였습니다. 

   저희 위원회에서는 다른 맞춤형 광고 사업자들의 사례라든지 이미 메타가 자사 서비스 내에서 광범위한 개인정보를 수집하여 맞춤형 광고를 제공하고 있음을 볼 때 침해적인 광고를 접할 우려 등등의 주장은 근거 없다고 보았습니다. 

   그리고 3쪽으로 넘어가서, '과태료 금액이 적은데 왜 과징금이 아닌가?'라는 의문이 있을 수 있겠습니다. 

   오늘 처분의 제재 근거가 된 보호법 제39조의3 제3항을 위반한 행위는 보호법에 따르면 동법 제39조의15에서 정한 과징금 부과 대상이 아닙니다. 과태료밖에 제재 규정이 없어서 과태료를 부과하는 것이고 이와 함께 시정명령을 부과하는 것이고, 시정명령에 따라서 글로벌... 메타는 서비스 가입 및 타사 행태정보 수집 전에 이용자에게 이용자의 타사 행태정보 수집을 이용자 계정과 결합할 것인지 여부에 대한 선택권을 부여해야 된다는 점에서 우리가 메타의 서비스를 이용하는 이용자 관점에서는 굉장히 의미 있는 결정이고 그리고 유럽을 제외한 다른 해외 각국의 어떤, 비교해 볼 적에 우리나라 결정이 상당히 의미 있는 결정이라고 보겠습니다. 

   이상 메타와 관련된 브리핑을 마치겠습니다.