인사드립니다. 경기도 공정국장 김지예입니다. 올해 초 문제가 된 인공지능 쳇봇 ‘이루다’ 개인정보 유출 문제를 비롯하여 개인정보 수집‧이용시 동의없이 개인정보를 이용하여 온 플랫폼사의 개인정보 침해사례가 빈번하게 발생하고 있습니다. 또한 비대면 활동의 증가로 일상의 디지털화가 가속화되면서 플랫폼사가 웹사이트 방문이력, 앱 사용이력, 구매 및 검색이력 등 각종 개인 데이터를 수집․분석하여 타 사업자 및 광고 사업자에게 판매․제공하는 경우가 늘어나고 있습니다. 이렇게 이용자가 생성한 데이터를 거대 플랫폼사가 독점할 경우, 다른 기업의 시장 진입이 어려워질 뿐 아니라 소비자의 선택권을 축소할 여지가 있다는 지적도 나오고 있습니다. 이에 경기도에서는 지난 5월에서 8월까지 도민 대상으로 개인정보 보호 관련 인식조사와 주요 플랫폼사의 개인정보처리방식 실태조사를 실시하였습니다. <인식조사> 먼저 도민 1,000명을 대상으로 시행한 개인정보 보호처리 관련 인식조사 결과부터 말씀드리겠습니다. 도민 인식조사 결과 온라인 플랫폼 회원가입 시 입력하는 신상정보(개인식별정보)에 대해 ‘금전적 가치가 있다’는 응답은 86%에 달했으며, 구매 및 검색기록 등 행태정보에 대해 ‘금전적 가치가 있다’는 응답도 85%였습니다. 이는 이용자들이 본인의 개인정보에 대한 가치를 높게 평가하고 무료서비스라고 인식되었던 검색, 이메일, SNS 등 같은 서비스를 이용하는데 있어서 개인정보를 그 대가로 인식하는 것으로 보여집니다. 이와 더불어 플랫폼사는 개별이용자의 온라인 검색기록과 브라우징 정보 등을 통해 광고를 제공하는 타겟마케팅, 즉 온라인 맞춤형 광고 제공을 통한 수익구조를 가지고 있습니다. 실제로 여론조사에서 도민 94%가 이러한 맞춤형 광고를 경험한다고 답했습니다. 주로 온라인 쇼핑을 하거나 뉴스를 검색을 할 때 접하였다고 응답하였고 쇼핑몰에서 구경한 제품이 포털 사이트 광고란에 노출되는 경우가 대표적입니다. 다음으로 플랫폼사가 이용자의 개인정보를 광고사업자에 제공하는 행위에 대해 응답자의 72%가 부정적인 느낌을 받았다고 하는데 그 이유로는 개인정보 유출 우려가 52%, 동의없이 무단사용이 18%, 사생활 침해·감시당하는 느낌이 10% 등으로 대부분 개인정보 침해에 대해 깊은 우려를 가지고 있는 것으로 나타났습니다. 종합해보면, 개인정보 보호의 중요성을 84.1%로 높게 인식하고 있었으며, 개인정보 보호조치 강화되어야 하다고 응답한 비율이 81.3%에 달해 도민 5명 중 4명이 개인정보의 중요성 및 개선의 필요성에 대해 인지하고 있는 것으로 조사되었습니다. 도민들이 우려하시는 플랫폼사의 개인정보처리방식의 수준을 확인하기 위해 주요 플랫폼 33개사의 “회원 가입시”의 개인정보처리방식 관련 실태조사를 실시 하였습니다. 그 결과에 대하여 말씀드리겠습니다. <현황조사> 플랫폼사별 조사결과 전반적으로 해외 플랫폼사가 국내사에 비해 미흡한 점이 많았는데 대표적인 유형으로는 ▲임의적인 개인정보 수집․이용 동의 의제, ▲광고·마케팅 활용 미동의 시 회원가입 불가, ▲필수/비필수 사항 일괄동의, ▲제3자 동의 관련 추상적 고지 등에서 개인정보보호에 미흡한 것으로 나타났습니다. 구체적으로 항목별로 말씀드리면 첫번째는 임의적인 개인정보 수집․이용 동의 의제입니다. 플랫폼 기업들은 회원 가입시 개인정보 수집·이용을 위해 「개인정보보호법」 제 15조 제2항에 따른 ‘개인정보의 수집·이용 목적’, ‘개인정보의 항목’, ‘개인정보의 보유 및 이용기간’, ‘동의를 거부할 권리가 있다는 사실 및 동의 거부에 따른 불이익이 있는 경우에는 그 불이익의 내용’을 정보주체에게 ‘고지’하고 ‘동의’ 받도록 되어있습니다. 그럼에도 몇몇 플랫폼사에서는 개인정보 수집․이용 동의시 법정 고지사항을 각각 고지한 뒤 동의 받는 방식 대신 플랫폼사 자체의 자율규제장치인 개인정보처리방침에 포함하고 방침 전체를 동의하는 방식으로 수집․이용 동의를 의제하고 있었습니다. 예를 들면 A사의 경우처럼 약관과 개인정보처리방침 전체를 동의하여야 회원가입이 되는 방식으로 함으로써 개인정보 각 항목 수집․이용을 위한 동의 절차를 갈음하고 있는 형태입니다. 둘째, 광고·마케팅 활용 미동의시 회원가입 불가 등 서비스 제한입니다. 「개인정보보호법」 제22조 제4항에 의하면 재화나 서비스를 홍보하거나 판매를 권유하기 위하여 개인정보의 처리에 대한 동의를 받으려는 때에는 정보주체가 이를 명확하게 인지할 수 있도록 알리고 동의하여야 하고 미동의한다고 하여 서비스 제공을 거부해서는 안된다고 되어 있습니다. 그럼에도 일부 플랫폼사에서는 ‘개인정보 수집·이용 동의’과 ‘광고 등 활용에 대한 동의’를 일괄로 처리하고, 광고 등에 대한 동의 없이는 회원가입이 불가능하였습니다. 예를 들어 A사의 경우는 개인정보처리방침에 ‘광고, 마케팅 등을 위해 파트너사 및 광고주에게 수집한 정보를 공유한다’는 내용을 포함하여 소비자로 하여금 회원 가입시 의무적으로 동의하게 하는 방식을 취하였습니다. 셋째, 회원 가입시 회원정보의 필수/비필수 사항의 일괄동의입니다. 「개인정보보호법」 제16조 제1항 및 제2항에 의하면 개인정보 수집은 필요 최소한으로 이루어져야 하며, 필요 최소한의 정보 외의 개인정보 수집에는 동의하지 아니할 수 있다는 사실을 구체적으로 알려야 합니다. 그러나 일부 플랫폼사 중에서 필요 최소한의 범위를 넘어선 정보를 수집하는 것으로 보입니다. 또한 개인정보 수집시 필수정보와 그 외 정보인 비필수 정보를 구분하지 않고 일괄 동의 받음으로서 비필수 사항에 대한 소비자 선택권을 침해하고 정보를 남용할 여지가 있어 개선이 필요하다고 보여집니다. 다음 예시와 같이 유사한 기능과 서비스를 제공하는 플랫폼 A, B 중 A사는 위치서비스 같은 비필수적인 사항과 개인정보 수집․이용 동의를 일괄로 동의 받음으로써 필요 최소한의 범위를 넘어선 정보를 수집하고 있었습니다. 넷째로 제3자 개인정보 제공 동의시 추상적 고지입니다. 「개인정보보호법」 제18조 제3항에 의하면 제3자 제공에 대한 동의를 받을 때에는 정보주체가 제공의 내용과 의미를 명확히 알수 있도록 ‘개인정보를 제공받는자’, ‘개인정보의 이용목적’, ‘이용 또는 제공하는 개인정보의 항목’, ‘동의를 거부할 수 있다는 사실 및 동의 거부할 경우의 불이익이 있는 경우 그 불이익의 내용’을 알리고 동의 받아야 합니다. 그럼에도 다음 예시와 같이 제3자에게 정보 제공시에 ‘제공받는자’, ‘이용목적’, ‘제공 항목’ 등 동의 사항들을 추상적으로 고지하거나 미고지하는 사례가 있어 개선이 필요합니다. 특히 제3자를 ‘파트너’, ‘제휴업체’ 등으로 표시하는 경우입니다. 이번 진행한 온라인 플랫폼 개인정보처리방침 실태조사는 페이스북 등 해외 플랫폼사의 정보 독점 및 무분별한 개인정보 무단사용으로 개인정보 침해가 심해지고 있는 가운데 플랫폼사별 현황 조사로 미흡한 부분을 발견하였다는데 의의가 있었습니다. 향후, 법 위반 판단의 권한이 있는 개인정보보호위원회에 해당 사항을 전달하고 해당 플랫폼사에도 개선안을 전달함으로써 플랫폼사의 자율시정을 유도할 예정입니다. 그리고 경기도는 이번 실태조사 결과가 일회성이 아닌 지속적으로 이어질수 있도록 플랫폼사의 개인정보 침해 여부를 모니터링하고 실태조사를 통해 개인정보가 유출 및 남용되는 일이 없도록 노력하겠습니다. 이상으로 브리핑을 마치겠습니다.