메타 개인정보 처리방침은 개인정보보호법 위반
과도한 개인정보 수집에 대한 동의 강요는 시장지배 사업자 지위 남용
개인정보위는 불법적 맞춤형 광고를 규제하라
페이스북, 인스타그램 등의 서비스를 제공하고 있는 메타(Meta)는 최근 개인정보 처리방침(Privacy Policy) 및 이용 약관 등을 개정할 것임을 공지하며 이에 대한 동의를 강요하고 있다. △개인정보의 수집 및 이용 △개인정보의 제공 △개인정보의 국가 간 이전 △위치정보 서비스 약관 △개인정보처리방침 업데이트 △서비스 약관 등 모든 정책이 ‘필수’로 되어 있고, 이에 동의하지 않을 경우 관련 계정을 사용하지 못할 것이라고 한다.
메타는 시장에서의 우월적 지위를 악용하여, 민감하면서도 방대한 이용자의 개인정보 수집을 강요하고 있는바, 이는 사실상 이용자에 대한 협박이다. 메타가 페이스북과 인스타그램을 통해 보유하고 있는 이용자의 정보들은 개인정보의 단순한 집합이 아니라, 다른 사람과 관계맺고 소통하는 과정 속에서 생성된 삶의 기록이 아닌가. 메타의 천문학적인 이윤은 이와 같은 삶의 기록에 기반하고 있음에도 이용자의 권리를 전혀 존중하고 있지 않다. 우리 단체들은 메타의 지배적 지위를 악용한 동의 강요 행위를 규탄하며, 위법적인 개인정보 처리를 시정할 것을 요구한다.
메타 개인정보 처리방침의 가장 큰 문제 중 하나는 「개인정보보호법」을 위반하여 개인정보를 과도하게 수집 및 처리하고 있다는 점이다. 「개인정보보호법」 제15조 제1항은 목적달성에 필요한 최소한의 정보 수집을 원칙으로 하고 있고, 제39조의3조 제3항은 필요한 최소한의 정보(해당 서비스의 본질적인 기능을 수행하기 위하여 반드시 필요한 정보) 외의 개인정보 수집에 동의하지 않는다는 이유로 서비스 제공을 거부할 수 없도록 하고 있다. 그런데 메타의 개인정보 처리방침을 보면, 이용자가 제공한 개인정보나 콘텐츠, 서비스 내의 활동기록뿐만 아니라, 기기에 대한 세세한 정보, 심지어 기기의 신호, 이용자 위치정보 등 무척 민감하고 세밀한 정보를 모두 서비스의 본질적인 기능을 수행하기 위하여 필요한 정보라 주장하고 있다. 이렇게 서비스의 본질적인 기능과 무관하고 광범위한 개인정보까지 모두 그 수집이 강요되어야 한다면 최소수집의 원칙이라는 개인정보 보호원칙이 어떠한 의미가 있겠는가.
또한, 메타는 이용자가 전혀 인지하지 못하는 사이에 이용자 웹사이트 및 모바일 앱 이용 기록(행태정보)를 수집하여 맞춤광고에 활용하고 있다. 언론사 사이트 방문기록에서부터 배달앱을 통해 주문한 기록, 게임을 한 기록까지 보유하고 있다. 페이스북이나 인스타그램을 통해 로그인하지 않아도, 심지어 메타 서비스에 계정이 없는 사람의 개인정보까지 수집된다. 문제는 메타가 개인정보처리자이면서도 정보주체의 동의도 받지 않고 고지조차 하지 않았다는 점이다. 이 역시 「개인정보보호법」 제39조의 3 위반이다.
메타가 근거도 없이 방대한 개인정보를 서비스의 본질적인 기능을 수행하기 위하여 반드시 필요하다고 주장하며 이에 동의하지 않으면 계정을 정지하겠다는 것은 시장에서의 지배적 지위를 남용한 행위, 즉 공정거래법 위반 행위로 볼 수 있다. 독일 연방대법원은 2020년 6월 23일 페이스북의 이용약관을 근거로 이용자의 개인정보를 방대하게 수집하여 맞춤형 광고에 이용한 행위에 대하여 이용자 선택 가능성을 박탈한 착취남용이라고 판단한 바 있다. 국내에서도 공정거래위원회에서 ‘온라인 플랫폼 사업자의 시장지배적 지위 남용 및 불공정거래 행위에 대한 심사지침’을 검토하면서 명목상 무료로 서비스를 제공하는 플랫폼 사업자의 경쟁제한행위 등을 검토한 바 있는데, 메타의 이번 동의 강요행위야 말로 시장지배적 사업자의 소비자 이익을 저해하는 불공정 행위라고 볼 수 있다.
메타가 강요한 정책 중 하나로 정부기관으로의 개인정보 제공이 포함되어 있다. 법원의 영장을 근거로 한 합법적인 요구이든 혹은 정보기관이나 권위주의 정부에 의한 부당한 개인정보 접근이든, 메타가 보유하고 있는 방대한 개인정보는 국가에 의한 시민감시의 수단이 될 수 있는 것이다. 최근 미국에서는 임신중지를 금지하고 있는 주에서 메타의 서비스와 같은 소셜 네트워크를 통해 임신중지와 관련된 개인정보가 정부기관에 제공될 수 있다는 공포가 확산되고 있다. 미국 국가안보국(NSA)과 빅테크 사이의 밀월 관계가 폭로된 것도 오래되지 않았다. 메타와 같은 소셜 네트워크가 보유한 개인정보가 방대해질수록 국가에 의한 시민감시의 우려도 커질 수밖에 없다.
이번에 개정된 정책과 기존 개인정보 처리방침 및 이용약관은 모두 같은 문제가 존재한다. 이번 메타의 동의 강요를 계기로 새삼스럽게 그 부당함과 심각함을 느끼게 되었다. 이에 우리는 메타와 이 문제를 손 놓고 바라보고 있는 개인정보보호위원회에 다음과 같이 요구한다.
첫째, 메타는 이용자에 대한 협박을 중단하고, 이용자 개인정보를 보호하고 선택권을 존중하는 방식으로 정책을 변경해야 한다. 서비스 본질적인 기능수행에 필요한 필요 최소한의 정보만을 수집하고, 추가적인 개인정보를 요구할 때에는 옵트 아웃 방식이 아니라 옵트 인 방식으로 이용자의 동의를 받아야 한다. 아무런 동의없이 이용자의 사이트 및 앱 이용기록을 수집하는 행위는 중단해야 한다. 메타의 과도한 개인정보 수집은 글로벌한 개인정보보호 방향에도 맞지 않은 일이다.
둘째, 개인정보보호위원회는 메타의 개인정보 침해행위를 조사하고 위법행위가 계속되지 않도록 시정 조치를 해야 한다. 지금까지의 위법행위에 대해 제대로 조사 및 조치를 해 적절한 과징금을 부과하고 권리가 침해된 이용자에 대한 적절한 보상이 이루어질 수 있도록 해야 한다.
셋째, 개인정보보호위원회는 점점 활성화되어 가는 맞춤형광고와 관련된 개인정보 침해가 발생하지 않도록 전반적인 현황을 조사하고 금지행위를 포함한 명확한 기준을 제시해야 한다. 현재 맞춤형 광고와 관련하여 발생하는 문제는 메타만의 문제는 아니다. 맞춤형 광고에 의해 이용자에 대한 차별과 개인정보 침해가 발생하지 않도록 해야한다. 이미 유럽에서는 필수적이지 않은 쿠키나 추적기(트래커) 사용에 대해 이용자에게 명확하게 고지하고 동의를 받도록 할 뿐만 아니라, 이해가능한 충분한 설명이 없는 동의는 동의로도 해석하지 않고 있다. 맞춤형 광고를 볼 것인지에 대한 선택권 역시 제도적으로 보장하고 있다. 나아가 실시간 경매 방식의 디지털 광고 과정에서 이용자의 개인정보가 에드 테크 업체들 사이에 무분별하게 공유되지 않도록 명확한 기준을 제시해야할 것이다.
2022년 7월 24일
경실련, 국제민주연대, 난민인권센터, 다산인권센터, 무상의료운동본부, 문화연대, 민주사회를 위한 변호사모임 디지털정보위원회, 반도체 노동자의 건강과 인권지킴이 반올림, 서울인권영화제, 서울YMCA 시민중계실, 성소수자차별반대 무지개행동, 성적권리와 재생산정의를 위한 센터 셰어 SHARE , 성적소수문화인권연대 연분홍치마, 소비자시민모임, 실천불교승가회, 인권교육센터 들, 인권교육온다, 인권운동공간 활, 인권운동네트워크 바람, 인권운동사랑방, 인권운동연대, 인천인권영화제, 장애여성공감, 전국불안정노동철폐연대, 전국장애인차별철폐연대, 전북평화와인권연대, 정보인권연구소, 진보네트워크센터, 참여연대, 천주교인권위원회, 충남인권교육활동가모임 부뜰, 평등과연대로! 인권운동더하기, 플랫폼C, 한국게이인권운동단체 친구사이, 한국성적소수자문화인권센터, 한국소비자연맹, 한국YMCA전국연맹, 행동하는성소수자인권연대, 홈리스행동