`330만명 정보 유출` 페이스북에 67억 과징금 철퇴…조사 방해로 형사고발(종합)

윤종인 개인정보보호위원회 위원장(왼쪽에서 두 번째)이 25일 오전 서울 종로구에 위치한 정부서울청사 개인정보보호위원회 대회의실에서 제7회 전체회의를 주재하고 있다.(사진=개인정보보호위원회 제공)

[이데일리 이후섭 기자] 개인정보보호위원회가 지난 6년간 최소 330만명의 개인정보를 당사자 동의없이 다른 사업자에게 넘긴 페이스북에 67억원의 과징금 철퇴를 내렸다. 이는 개인정보보호법 위반으로 부과됐던 과징금 중 최대 규모로, 조사과정에서 거짓 자료나 불완전한 자료 제출로 조사를 방해한 혐의를 더해 수사기관에 고발하는 처분도 내렸다.

페이스북 친구 정보 6년간 동의없이 넘겨…최소 330만명 피해

개인정보위는 25일 제7회 전체회의를 열고 페이스북을 대상으로 67억원의 과징금과 6600만원의 과태료를 부과하고, 개인정보보호법 위반주체인 페이스북 아일랜드와 해당 업체의 개인정보 담당 이사를 형사고발하기로 했다. 이번 조치는 지난 8월 개인정보위 출범 후 첫 번째 제재이자, 해외사업자를 대상으로 한 첫 고발 사례다.

지난 2016년 미국 대선 등에 페이스북 친구 정보가 불법적으로 활용됐다는 논란이 2018년에 제기되면서 조사에 착수한 개인정보위는 페이스북이 당사자 동의를 받지 않고 다른 사업자에게 개인 정보를 제공한 사실을 확인했다. 이용자가 페이스북 로그인을 통해 다른 사업자의 서비스를 이용할 때 본인 정보와 함께 페이스북 친구로 등록된 이용자의 정보도 동의없이 제공됐으며, 당사자는 본인의 개인정보가 제공된 사실조차 모르는 상태인 것으로 확인됐다.

페이스북의 위법 행위로 인한 피해규모는 페이스북이 자료를 제출하지 않아 정확히 알 수 없으나, 조사결과 2012년 5월부터 2018년 6월까지 약 6년간 위반행위가 이어져 온 것으로 드러났으며 국내 페이스북 이용자 1800만 명 중 최소 330만명 이상의 개인정보가 제공된 것으로 확인됐다. 페이스북 친구 정보가 최대 1만여개의 앱을 통해 제공될 수 있었던 상태인 점을 고려하면 더 많은 개인정보가 넘어갔을 것으로 추정된다. 다른 사업자에게 제공된 페이스북 친구의 개인정보 항목은 학력·경력, 출신지, 가족 및 결혼·연애상태, 관심사 등이 포함된 것으로 밝혀졌다.

(자료=개인정보보호위원회 제공)

거짓자료 제출로 조사방해까지…역대 최대 규모 과징금 부과

개인정보위는 조사과정에서 페이스북이 거짓으로 자료를 제출하거나 불완전한 자료를 제출하는 등 조사를 방해했다고 밝혔다. 송상훈 개인정보위 조사조정국장은 “페이스북은 당사자 동의 없는 개인정보 제공이 2015년 4월 30일 종료됐다고 했다가 위원회가 FTC 소장을 확인하고 2018년 6월까지 사용됐다는 사실을 확인해서 반증을 제시하자, 조사에 착수한 지 20여개월이 지난 후에야 관련 자료를 제출했다”고 설명했다.

또 이미 제출된 자료에 비춰 개인정보가 동의 없이 제3자에게 제공된 페이스북 친구 수를 명확히 구분할 수 있음에도 불구하고 이용자 수만 제출하고 친구 수를 제출하지 않아 위반행위 규모 산정을 어렵게 하는 등 조사를 방해했다. 개인정보위는 당사자 동의를 받지 않고 제3자에게 개인정보를 제공한 행위를 중대한 위반행위로 보고 페이스북에 67억원의 과징금 부과와 함께 시정조치를 명령하고 수사기관에 고발하기로 했다.

송 국장은 “관련 매출액의 3% 이내에서 과징금을 산출하도록 하는 규정 상에서 최고 금액을 이번에 책정했고, 조사에 방해한 점을 고려해 국내에서 처음으로 개인정보보호법 위반 사유로 형사고발까지 하게 됐다”며 “페이스북의 매출액 산정에 있어서도 자료를 정확하게 제출하지 않고 섞어서 제출해 법 위반행위가 종료된 시점 직전 3개년의 평균 매출액을 적용해 과징금을 산출했다”고 설명했다.

개인정보위는 △이용자의 비밀번호를 암호화하지 않고 저장한 행위 △이용자에게 주기적으로 이용내역을 통지하지 않은 행위 △거짓자료 제출 등 행위에 대해서도 총 6600만원의 과태료를 부과했다.

송 국장은 “이번 조사는 페이스북이 일부 자료를 제출하지 않거나 거짓자료 제출과 같은 조사 방해 등으로 조사 개시부터 처분까지 2년 반이 넘게 걸렸다”며 “앞으로 개인정보위는 국내사업자와 해외사업자 구분없이 엄정하게 법을 집행해 우리 국민의 개인정보가 확실히 보호되도록 하겠다”고 강조했다.