개인정보위, 틱톡에 103억원 철퇴…"타사 행태정보 수집 위법"

시정명령·공표명령도 의결..."이용자 실질적 선택권 보장 안 해" 지적

개인정보보호위원회가 맞춤형 광고를 위해 이용자의 타사 행태정보를 사실상 필수 동의 방식으로 수집·활용한 틱톡에 100억원대 과징금을 부과했다. 이용자가 개인정보 처리 내용을 충분히 인지하고 자유롭게 선택할 수 있도록 해야 한다는 개인정보 자기결정권 원칙을 위반했다는 판단이다.

개인정보보호위원회는 22일 제14회 전체회의를 열고 개인정보 보호법을 위반한 틱톡(TikTok Pte. Ltd.)에 과징금 103억600만원을 부과하고 시정명령과 공표명령을 의결했다고 23일 밝혔다.

개인정보위는 틱톡과 틱톡 라이트가 적법한 근거 없이 타사 행태정보를 수집·이용하고 개인정보를 국외 이전했다는 언론 보도를 계기로 조사에 착수했다.

개인정보보호위원회

조사 결과 틱톡은 광고와 콘텐츠 성과 분석 서비스를 제공하기 위해 '틱톡 픽셀(TikTok Pixel)', '이벤트 SDK(Events SDK)', '이벤트 API(Events API)' 등 행태정보 수집 도구를 다른 웹·앱 사업자에게 배포하고, 해당 도구가 설치된 서비스 이용자의 클릭, 구매, 장바구니 담기, 검색, 콘텐츠 조회 등 활동 정보를 수집해 왔다.

개인정보위에 따르면 국내 약 7만1000개 기업이 이 같은 행태정보 수집 도구를 이용하고 있으며, 틱톡은 이를 통해 국내 활성 이용자 945만명의 타사 행태정보를 수집하고 있는 것으로 확인됐다.

틱톡은 이렇게 수집한 타사 행태정보를 모바일 광고식별자(GAID·IDFA)와 브라우저 쿠키 등 기기 식별정보와 결합해 회원 계정과 연결하고, 이용자의 관심사와 특성을 분석해 맞춤형 광고에 활용했다.

그러나 개인정보위는 틱톡이 이러한 개인정보 처리 사실을 이용자가 명확히 인지할 수 있도록 알리지 않았고, 맞춤형 광고를 위한 개인정보 수집을 서비스 이용에 필요한 필수 동의 항목과 함께 묶어 동의를 받았다고 판단했다. 이용자가 서비스를 이용하려면 사실상 해당 개인정보 처리에도 동의할 수밖에 없어 실질적인 선택권이 보장되지 않았다는 것이다.

개인정보위는 이를 개인정보 보호법상 적법한 개인정보 수집·이용 동의를 받지 않은 것으로 보고 과징금을 부과했다.

틱톡의 모회사인 바이트댄스의 창업자 장이밍. ⓒ 로이터=뉴스1

개인정보 국외 이전 과정에서도 위반 사항이 확인됐다.

개인정보위는 틱톡 라이트의 포인트 현금 인출 서비스 제공 과정에서 이용자 개인정보를 해외 계열사로 이전하면서 이전하는 개인정보 항목과 이전받는 자의 이용 목적, 보유·이용 기간 등 법에서 정한 사항을 공개하거나 이용자에게 알리지 않았다고 밝혔다.

이에 개인정보위는 적법한 근거 없는 개인정보 수집·이용과 국외 이전이 각각 개인정보 보호법 위반에 해당한다고 판단해 과징금과 함께 시정명령 및 공표명령을 내렸다.

개인정보위는 "정보주체의 동의는 개인정보 처리 내용을 명확히 인지한 상태에서 자유로운 의사에 따라 이뤄져야만 유효하다"며 "이용자의 개인정보 자기결정권이 사실상 보장되지 않는 방식의 동의는 적법한 동의로 인정될 수 없다"고 설명했다.

이어 "앞으로도 해외 사업자의 개인정보 처리 실태를 지속적으로 점검하고 국내외 기업을 가리지 않고 위법 행위에 엄정 대응하겠다"고 밝혔다.