소셜미디어 페이스북·인스타그램 운영사 메타가 작년에 이어 또 개인정보 보호법 위반 행위로 과태료 부과 및 시정 조치 명령을 받았다. '행태정보 제3자 제공'에 동의하지 않는 이용자를 서비스에 가입하지 못하게 막아 사실상 동의를 강제했기 때문이다. 행태정보는 다른 웹사이트·애플리케이션(앱) 이용자의 방문 및 구매·검색 등 활동 이력을 기록한 데이터로, 메타는 이를 활용해 페이스북과 인스타그램 서비스 밖에서도 이용자의 관심이나 흥미를 파악하고 맞춤형 광고 제공에 활용했다.

메타는 당국의 조사를 받으면서 행태정보를 기반으로 한 맞춤형 광고 없이는 페이스북·인스타그램을 무료로 지원하기 어렵다고 반박했다. 해당 두 개 서비스를 유료로 전환할 수 있다는 가능성도 내비쳤다. 맞춤형 광고는 이용자에 무료 서비스를 제공하기 위한 재원이라는 주장이다.

8일 개인정보보호위원회는 메타가 타사 행태정보 제공을 거부할 수 있는 선택권을 부여하지 않았다고 판단, 개인정보 보호법을 위반했다고 밝혔다. 이에 따라 같은 날 열린 제2회 개인정보위 전체회의에서 메타에 과태료 660만원 부과 등 시정 조치가 내려졌다. 다만 개인정보 보호법에 따라 이번 행위는 과징금 부과 대상에 포함되지 않아 소액 규모 과태료에 머물렀다는 설명이다.

양청삼 개인정보위 조사조정국장은 이날 오후 서울청사에서 열린 브리핑 자리에서 "과태료 금액 규모가 적고 과징금 부과가 안 됐냐는 의문이 있을 수 있지만, 개인정보 보호법에 따르면 이번 행위는 과징금 부과 대상이 아니다"라며 "타사 행태정보 수집 시 투명성이 필요하다는 점을 짚은 바 서비스 이용자 입장에서 굉장히 의미 있는 결정"이라고 강조했다.

다음은 양 국장과 일문일답한 내용.

-작년 9월 메타에 대한 처분과 이번 처분은 어떻게 다른가.

"작년에는 메타가 적법한 동의 없이 이용자의 타사 행태정보를 수집·이용한 행위를 처분했다. 이번 처분은 타사 행태정보가 페이스북·인스타그램 서비스에 필요한 최소한의 개인정보가 아님에도, 메타가 이를 제공하지 않으면 서비스를 가입하고 이용할 수 없도록 한 행위에 대한 것이다."

-이번 시정 조치에 대한 메타의 입장은.

"메타는 타사 행태정보 수집 동의를 받아야 할 주체는 플랫폼이 아닌 사업자라는 주장을 반복하고 있다. 하지만 개인정보위는 해당 정보 수집의 목적·수단 등을 고려, 작년 9월 처분에서 플랫폼이 동의를 받을 주체임을 명확히 했다. 해외 처분 사례를 보더라도 이용자의 타사 행태정보 수집 주체는 플랫폼이라는 점을 명확히 하고 있다.

메타는 또 맞춤형 광고를 제공하는 것은 이용자에 무료 서비스를 제공하기 위한 재원을 마련함에 있어 본질적 기능이라고 주장한다. 타사 행태정보는 이를 위해 반드시 필요하다는 거다. 개인정보위는 본질적 기능인지 여부에 대한 판단은 사업자의 필요나 주장이 아닌, 이용자의 기대 가능성을 우선적으로 고려해야 하고, 사업자가 필요하다는 이유로 과도한 개인정보 처리가 정당화 될 수 없다고 본다.
 
행태정보 미수집 시 유료 서비스로 전환해야 할 수 있다는 의견도 나왔다. 이용자가 본인과 무관하거나 침해적인 광고를 접할 우려에 대해서도 얘기했다. 다른 맞춤형 광고 사업자의 사례와 더불어 이미 메타가 자사 서비스 내에서 광범위한 개인정보를 수집해 맞춤형 광고를 제공하고 있다는 점을 감안해 근거 없는 주장이라고 판단했다."

-서비스 제공을 위해 필요 시 이용자 개인정보를 수집해도 되는 것 아닌가.

"개인정보 보호법 상 개인정보의 최소 수집 원칙 및 관련 규정은 서비스의 본질적 기능을 수행하기 위해 '반드시' 필요한 개인정보를 수집하도록 했다. '필요성'뿐만이 아닌 '최소성'을 요구한다. 이는 사업자가 개인의 사생활 보호와 자유 등 권리를 침해하지 않도록 하기 위함이다. 업무·서비스 제공 등을 이유로 개인정보를 과도하게 취득하는 행위는 개인정보 보호법 위반이 될 수 있다."

-맞춤형 광고 제공에 대한 이용자 선택권도 보장해야 하지 않나.

"이번 처분이 맞춤형 광고 자체가 선택·동의 사항인지 여부를 판단한 것은 아니다. 맞춤형 광고 등을 위해 이용자 계정을 기반으로 타사 행태정보를 수집하는 것이 이용자에게 선택권을 부여해야 할 사항임을 명확히 했다.

따라서 맞춤형 광고 및 자사 서비스 내 행태정보 수집·처리, 웹브라우저 쿠키 등을 토대로 이용자 식별 없이 수집하는 행태정보 활용과 관련해서는 향후 관련 정책을 마련해 나갈 예정이다. 개인정보 보호법 상 개인정보의 최소 수집 원칙(제3조제1항), 사생활 침해 최소화 원칙(제3조제6항), 정보주체 관점에서 예측 가능성 등이 고려 대상이다."

-해외에도 유사 처분 사례가 있나.

"해외 감독기구도 메타가 수집하는 타사 행태정보가 필요한 최소한의 개인정보가 될 수 없다고 판단했다. 아일랜드 개인정보 감독기구(DPC)는 메타가 행태정보로 맞춤형 광고를 하는 행위가 적법한 근거가 없다는 점 등을 이유로 지난달 4일 과징금 총 3억 9000만 유로(약 5300억원) 부과 및 시정명령 등을 발표했다.

오스트리아 프라이버시 단체 논오브유어비즈니스(NOYB)는 지난 2018년 페이스북이 맞춤형 광고 등에 대한 이용자 동의를 강제하고 정보를 투명하게 제공하지 않았다고 신고하기도 했다. 이는 맞춤형 광고를 위한 행태정보 수집·이용시 이용자에게 선택권을 부여하라는 의미다. 이용자가 제공을 거부하더라도 서비스 이용이 가능하도록 해야 한다는 취지로도 볼 수 있다.

이외 독일 연방카르텔청(FCO)도 지난 2019년 2월 타사 행태정보는 페이스북이 서비스 약관에서 정한 소셜 네트워크 서비스를 제공하는데 필요한 것이 아니라고 판단했다."

-이번 조사·처분의 의미는 무엇인가. 향후 정책 방향에 대해 설명해달라.

"이번 처분을 통해 글로벌 플랫폼 사업자의 무분별한 개인정보 수집·처리 관행이 시정되고, 정보 주체의 개인정보 자기결정권이 더욱 충실히 보장되길 기대한다. 개인정보위는 플랫폼 등 온라인 광고 사업자들이 행태정보를 수집해 맞춤형 광고에 활용할 때 이용자의 선택권이 제한되지 않도록 관련 정책·제도 개선을 준비 중이다."