개인정보보호위원회는 적법한 근거 없이 개인정보를 수집·이용하고 국외 이전한 틱톡과 애플 계열사에 총 105억 5,800만 원의 과징금을 부과하고 시정 및 공표 명령을 의결했다.
개인정보보호위원회(이하 개인정보위)는 7월 22일 제14회 전체회의를 열고 개인정보 보호법과 구 정보통신망 이용촉진 및 정보보호 등에 관한 법률을 위반한 틱톡(TikTok Pte. Ltd.)과 애플 계열사인 애플 디스트리뷰션 인터내셔널(Apple Distribution International Limited·ADI), 애플 서비스(Apple Services Pte. Ltd)에 대해 총 105억 5,800만 원의 과징금을 부과하고 시정 및 공표 명령을 내렸다고 밝혔다. ADI는 애플 제품과 서비스를 해외 시장에 유통·판매하는 아일랜드 법인이며, 애플 서비스는 한국을 포함한 아시아·태평양 지역에서 앱스토어, 아이클라우드 등 애플 서비스의 운영과 계약을 담당하는 싱가포르 법인이다.
개인정보위 조사 결과, 두 사업자는 모두 적법한 근거 없이 개인정보를 수집·이용하고 국외 이전한 것으로 확인됐다. 이번 처분 가운데 시리 음성 및 전사문 수집·이용과 관련한 위반 행위는 2019년에 발생한 사안으로, 당시 적용되던 구 정보통신망 이용촉진 및 정보보호 등에 관한 법률에 따라 제재가 이뤄졌다.
틱톡, 타사 행태정보 무단 수집·활용…과징금 103억 원
개인정보위는 틱톡과 틱톡 라이트의 개인정보 처리 실태를 조사한 결과, 적법한 근거 없이 타사 행태정보를 수집·이용하고 개인정보를 국외 이전한 사실을 확인했다.
틱톡은 광고와 콘텐츠 성과 분석 서비스를 제공하기 위해 틱톡 픽셀(TikTok Pixel), 이벤트 SDK(Events SDK), 이벤트 API(Events API) 등 행태정보 수집 도구를 다른 웹사이트와 앱 사업자에 제공하고 있다. 이 도구가 설치된 서비스에서는 이용자의 클릭, 구매, 장바구니 담기, 검색, 콘텐츠 조회 등 활동 기록이 수집됐다.
개인정보위에 따르면 국내 약 7만 1,000개 기업이 해당 도구를 사용하고 있으며, 틱톡은 2025년 12월 기준 국내 활성 이용자 945만 명의 타사 행태정보를 수집하고 있다.
틱톡은 이용자의 타사 행태정보와 모바일 광고 식별자(GAID·IDFA), 브라우저 쿠키(ttp) 등을 함께 수집해 회원 계정과 연계한 뒤 이용자의 관심사와 특성을 분석하고 맞춤형 광고에 활용했다.
그러나 개인정보위는 틱톡이 회원 가입 과정에서 이러한 사실을 이용자가 명확하게 인지할 수 있도록 고지하지 않았으며, 서비스 이용에 필요한 개인정보와 함께 필수 동의 항목으로 처리해 이용자가 실질적으로 선택권을 행사하기 어려웠다고 판단했다.
또한 틱톡 라이트의 포인트 현금 인출 서비스를 운영하면서 이용자 개인정보를 계열사에 이전했음에도 이전되는 개인정보 항목과 이전 목적, 보유·이용 기간 등 법정 고지사항을 공개하거나 안내하지 않은 사실도 확인됐다.
이에 개인정보위는 개인정보 보호법 제15조(개인정보의 수집·이용)와 제28조의8(개인정보의 국외 이전) 위반으로 판단해 과징금 103억 600만 원과 함께 시정명령 및 공표명령을 부과했다.
애플, 시리 음성·전사문 동의 없이 활용…과징금 2억 5,200만 원
개인정보위는 미국에서 제기된 시리 음성 데이터 관련 소송을 계기로 애플의 개인정보 처리 실태를 조사한 결과, 적법한 근거 없이 개인정보를 수집·이용하고 국외 이전한 사실을 확인했다.
조사 결과 애플은 2019년 8월까지 시리 이용자의 음성 녹음과 이를 문자로 변환한 전사문을 수집해 음성 인식 기능과 검색 결과 개선 등에 이용하면서 별도의 동의를 받지 않았다.
이후 2019년 10월부터는 음성 녹음의 서비스 개선 이용에 대해서는 별도 동의를 받기 시작했지만, 전사문은 적법한 근거 없이 계속 서비스 개선에 이용한 것으로 조사됐다.
아울러 이용자의 개인정보를 미국 애플 등 계열사로 이전하면서 이전 대상 개인정보 항목과 이용 목적, 보유·이용 기간 등을 개인정보 처리방침에 충분히 기재하지 않은 사실도 확인됐다.
다만 개인정보위는 애플이 조사 과정에서 전사문 수집·이용에 대한 선택권을 제공하고 전사문 내 개인정보를 필터링하는 등 보호 조치를 강화했으며, 개인정보 처리방침도 개정하는 등 위법 사항을 시정했다고 설명했다.
이에 따라 개인정보위는 ADI에 구 정보통신망법 위반을 이유로 과징금 2억 5,200만 원을 부과했으며, 애플 서비스에는 국외 이전 관리 현황 점검 등을 포함한 시정명령을 내려 개인정보 보호 수준을 강화하도록 했다.
“해외 사업자도 국내 개인정보 보호 기준 준수해야”
개인정보위는 이번 처분이 글로벌 기업의 복잡한 개인정보 처리 환경에서도 해외 사업자가 국내 정보주체의 개인정보 처리 투명성을 확보하고 개인정보 자기결정권을 보장해야 한다는 점을 분명히 했다는 데 의미가 있다고 설명했다.
또한 개인정보 수집·이용에 대한 동의는 정보주체가 관련 내용을 충분히 인지한 상태에서 자유로운 의사에 따라 이뤄져야만 유효하며, 실질적인 선택권이 보장되지 않는 경우 적법한 동의로 인정될 수 없다는 점을 재확인했다고 밝혔다.
개인정보위는 개인정보의 국외 이전은 단순한 물리적 이동이 아니라 보호법의 적용을 벗어나 개인정보 보호 수준이 담보되지 않는 범위로의 이전을 의미한다며, 계열사 간 이전이나 동일 국가 내 이전이라 하더라도 국외 제공·처리위탁·보관이 이뤄지는 경우 관련 법령상 국외 이전 요건을 준수해야 한다고 설명했다.
개인정보위는 앞으로도 해외 사업자의 개인정보 처리 실태를 지속적으로 점검하고, 위법 행위에 대해서는 국내외 기업을 구분하지 않고 엄정하게 대응해 국민의 개인정보가 국경을 넘어 복잡한 환경에서도 안전하고 투명하게 보호받을 수 있도록 노력할 방침이라고 밝혔다.
[email protected]
