“탈북자, 성소수자, 종교 정보 광고주에 넘겨”··· 한국 정부, 메타에게 과징금 200억원 부과

한국 개인정보보호 위원회(이하 개인정보위)는 합법 처리근거 없이 민감정보를 수집·활용한 메타 제재를 가했다고 5일 밝혔다.

개인정보위는 메타가 동의 없이 민감정보를 수집 및 활용하는 행위를 인지하고, 관련 조사를 착수했다. 그 과정에서 메타가 정당한 사유 없이 개인정보 열람을 거절하였다는 민원과 해킹으로 개인정보가 유출되었다는 신고도 접수하여 관련 조사를 함께 진행했다.

개인정보위 조사 결과, 메타는 과거에 페이스북 프로필을 통하여 국내 이용자 약 98만 명의 종교관·정치관, 동성과 결혼 여부 등 민감정보를 수집하였고, 이러한 정보들을 광고주에게 제공해 약 4,000개 광고주가 이를 이용한 것으로 확인되었다. 이용자가 페이스북에서 ‘좋아요’를 누른 페이지, 클릭한 광고 등 행태정보를 분석해 민감정보 관련 광고주제(특정 종교, 동성애, 트랜스젠더, 북한이탈주민 등)를 만들어 운영하는 식이었다.

한국 개인정보 보호법은 사상·신념, 정치적 견해, 성생활 등에 관한 정보를 엄격히 보호해야 할 민감정보로 규정하여 원칙적으로 처리를 제한하고 있으며, 예외적으로 정보주체에게 별도로 동의를 받은 경우 등 적법 근거가 있는 경우에만 이를 처리할 수 있도록 규정하고 있다.

개인정보위는 메타는 이러한 민감정보를 수집하고, 맞춤 서비스 등에 활용하면서도 데이터 정책(Data Policy)에 불분명하게 기재만 하고 별도로 동의를 받지 않고 추가적인 보호조치를 취한 사실도 없었다고 평가했다.

여기에 또한 메타는 이용자의 개인정보 열람 요구(개인정보를 처리한 기간, 페이스북 로그인을통한 개인정보 제공 현황, 페이스북 외부활동 정보 수집 근거 및 동의 내역 등)에 대해 보호법상 열람 요구 대상이 아니라는 등의 이유로 거절하였는데, 개인정보위는 메타가 해당 열람 요구를 거절한 것은 정당한 사유가 없다고 판단하였다.

마지막으로 메타는 서비스 중단 또는 관리되지 않는 홈페이지는 삭제 또는 차단 조치를 하는 등 안전조치를 하였어야 하나, 사용하지 않는 계정 복구 페이지를 제거하지 않았다. 이에 해커는 현재 사용되지 않는 계정 복구 페이지에서 위조된 신분증을 제출해 타인 계정의 비밀번호 재설정을 요청했고, 메타는 위조 신분증에 대한 충분한 검증 절차 없이 이를 승인해 한국 이용자 10명의 개인정보가 유출된 사실이 있었다.

개인정보위는 메타에 대해 민감정보 처리 제한 등과 관련한 보호법 규정 위반으로 과징금 및 과태료 총 216억 2,320만 원을 부과하는 한편, 민감정보 처리 시합법 근거를 마련하고 안전성 확보조치를 취할 것과 이용자의 개인정보열람 요구에 대해 성실히 응할 것을 시정 명령하였다.

메타는 이번 건에 대해 로이터 등 외신의 논평 요청을 거절했다.
jihyun.lee@foundryco.com