개인정보위 제13회 전체회의 결과

안녕하십니까? 개인정보보호위원회 조사국장입니다.

위원회 전체회의 결과에 대해서 브리핑하도록 하겠습니다.

개인정보보호위원회는 7월 24일 전체회의를 열고 개인정보 보호 법규를 위반한 알리익스프레스에 대해 19억 7,800만 원의 과징금과 780만 원의 과태료 그리고 국내 기업 수준의 개인정보 관리가 이루어지도록 시정명령과 개선 권고를 하는 것으로 의결하였습니다.

잘 아시다시피 그동안 위원회는 해외 직구 서비스가 급증하며 우리 국민의 개인정보 침해 우려가 크다는 국회 지적과 언론 보도 등에 따라 관련 조사를 진행해 왔습니다.

조사 결과에 대해 말씀드리도록 하겠습니다.

알리익스프레스는 싱가포르에 등록된 법인으로 입점 판매자가 이용자에게 상품을 판매할 수 있도록 중개플랫폼을 제공하고 상품 판매 금액의 일정 비율을 수수료로 받는 형태의 오픈마켓입니다.

이용자가 상품을 구매하면 판매자가 상품을 배송하도록 이용자의 개인정보를 국외 판매자에게 제공, 즉 국외 이전하게 되는데 그간 한국 이용자의 개인정보를 제공받은 중국 판매자는 18만여 개에 이르는 것으로 확인되었습니다.

이렇게 국외로 제공되는 개인정보는 보호법에 따른 보호 조치를 적용받기 어려워 우리 보호법은 사업자로 하여금 정보주체에게 명확하게 동의를 받고 판매자와의 계약 내용에도 안전성 확보 조치라든지 개인정보 침해에 대한 고충 처리, 분쟁해결 조치 등을 반영하도록 규정하고 있습니다.

그러나 조사 결과 알리익스프레스는 개인정보가 이전되는 국가와 이전받는 자의 성명, 연락처 등 보호법에서 정한 고지 사항을 이용자에게 충실히 알리지 않았으며 판매자 약관 등에 개인정보 보호에 필요한 조치를 반영하지 않은 사실을 확인하였습니다.

또한, 회원 탈퇴 메뉴를 찾기 어렵게 구성하고 계정 삭제 페이지를 영문으로 표시하는 등 탈퇴 관련하여 이용자의 권리행사를 어렵게 한 점도 있는 것을 확인하였습니다.

처분 내용으로 이에 따라 개인정보보호위원회는 알리익스프레스에 대해 개인정보의 국외 이전과 관련한 보호법 규정 위반 등으로 과징금과 과태료를 부과하고 개인정보를 이전받는 자, 즉 국외 판매자 등에 의한 오남용을 예방할 수 있도록 우리 보호법이 요구하는 조치를 계약 내용 등에 반영할 것과 회원 탈퇴 절차를 간소화하는 등 이용자가 권리행사를 쉽게 할 것을 시정명령 하였습니다.

알리익스프레스의 위반 내용 및 처분 내용은 3페이지 표로 보시는 바와 같습니다.

이와 아울러, 개인정보보호위원회는 국내 이용자의 개인정보 보호 수준을 제고하기 위해 개인정보 처리 흐름을 최대한 투명하고 알기 쉽게 정보주체에게 제공하고 변동 시 신속하게 현행화할 것, 국내 대리인의 단순 지정을 넘어 개인정보 보호를 위한 실질적 운영 노력을 기울일 것, 특히 개인정보 처리와 관련한 불만의 해결 및 피해를 구제할 수 있도록 구체적인 방안을 마련하여 시행할 것, 아울러 보호법상 원칙에 따라 수집하는 개인정보는 최소화하고 국내의 주요 e커머스 기업들이 운영 중인 민간 협력 자율규약에 참여하거나 그에 준하는 수준의 개인정보를 제공할 것을 개선 권고하기로 하였습니다.

이러한 시정명령 및 개선 권고 사항에 대하여 위원회는 그 이행 여부를 지속적으로 점검함으로써 우리 국민의 개인정보가 침해되지 않도록 계속 조치해 나갈 계획입니다.

이번 조사 처분은 해외 e커머스 사업자라 하더라도 국내 이용자를 대상으로 서비스하는 경우 우리 보호법의 적용 대상이 될 뿐만 아니라 국내 사업자 수준의 개인정보 보호와 관리가 요구된다는 점을 명확히 하였다는 데 그 의의가 있다고 하겠습니다.

특히, 개인정보를 국외로 이전하는 경우 보호법이 정하고 있는 의무 사항을 충실히 이행하는 한편, 입점 판매자 등과의 관계에서도 적절한 보호와 안전조치를 취하는 계기가 될 것으로 기대합니다.

이상 브리핑 마치도록 하겠습니다.


[질문·답변]
※마이크 미사용으로 확인되지 않는 내용은 별표(***)로 표기하였으니 양해 바랍니다.

<질문> 오늘 과징금 산정 액수를 보면 20억에 거의 근접한 것을 볼 수가 있는데, 과징금 산정에 있어 보호법에 매출액 산정이 곤란한 경우를 인정해서 정액 과징금을 적용하신 건지, 그리고 두 번째로 과징금 세부 산정 시에 고려한 요소는 무엇인지 여쭙고 싶습니다.

<답변> 이건 정액 과징금은 아니고요. 정률 과징금으로 그 부과를 한 사항이고, 저희가 법과 과징금 부과 기준이 있습니다. 그래서 저희 법령과 그 과징금 부과 기준에 따라서 적용하게 된 건데, 저희 구체적으로는 중대성 판단을 하게 되고요.

위반은 중대성 판단을 하게 되는데, 그 판단 기준으로는 이미 과징금 기준 고시 등을 통해서 외부에 공개되어 있지만 위반행위의 정도라든지, 그러니까 고의·과실이 있었는지 그리고 얼마나 부당한지 그리고 개인정보 피해 유형이라든지 피해 규모 등을 종합적으로 고려하여 관련 매출액의 일정 범위 내에서 그 과징금을 부과하게 되어 있고, 그런 그 법령과 과징금 부과 기준에 따라서 산정되었다는 점을 말씀드리겠습니다.

<질문> 이게 지금 18만여 개 중국 사업자한테 개인정보가 넘어갔다고 되어 있는데 그러면 이게 구체적인 규모는 파악이 안 된 건가 해서요.

<답변> 구체적인 규모라고 하시면.

<질문> 이게 지금 사업... 중국 판매자가 18만여 개에 이른다고 되어 있었는데 그러면 국내에서 넘어가게 된 개인정보 건수라든지 이런 거는 파악이 안 된 건가 해서요.

<답변> 여기서 18만여 개라는 거는 알리익스프레스에 등록되어 있는 판매점이 중국 쪽이 약 18만여 개라는 거고요. 기자님들 잘 아시겠지만 이 알리익스프레스 월간 이용자는 약 800만 명 정도, 그런데 또 하나는 이게 이용을 하더라도 개인정보를 계속... 이용자 정보가 넘어가더라도 이걸 계속 보관하고 있는 게 아니고 일정 기간이 지나면 이걸 파기하게 되어 있습니다. 그래서 그런 점을 같이 감안해 주시면 될 것 같습니다.

<질문> 이번 해외 e커머스 사업자에 대한 처분 건이 우리 정부에서는 최초인가요? 아니면 개인정보위 차원에서 최초인지 궁금하고요.

그리고 지금 개인정보가 중국으로 다 간 건지 아니면 중국 사업자를 통해서 해외로 또 갔는지 그것도 궁금합니다.

<답변> 두 가지 질문해 주신 것 같은데요. 말씀드린 대로 저희 조사 배경이 해외 직구가 굉장히 늘면서 우리 국민의 개인정보 침해 위험이 있다는 여러 각계의 지적에 따라서 조사가 시작된 거고요. 구체적으로 이게 해외 e커머스 사업자 처음인지는 저희가 확인된 거는 없고 그런 배경하에서 이게 진행되었다는 걸 말씀드리고요.

지금 말씀 주신 대로 이게 오픈마켓, 중개 플랫폼이다 보니까 이용자가 '이걸 사겠다.' 구매 의사를 표명하게 되면 그 판매자한테 개인정보가 넘어가게 되는 거고요. 저희가 확인해 봤을 때 현재 중국 알리익스프레스의 입점 판매점으로 등록된 기업들은 약, 중국이 대다수였고 기타 국가가 포함되어 있었습니다.

그런데 말씀드린 대로 이 개인정보를 계속적으로 보관하는 것이 아니고 A/S라든지 환불이라든지 이런 이유 때문에 일정 기간을 보관하고 그 이후에는 파기되는 관계기 때문에 그 이후의 단계까지 저희가 확인은 하기 어려운 점이 있었습니다.

<질문> 두 가지 질문 있는데요. 어제 심의안건 의결이 되었을 때 시간이 오래 걸린 것으로, 평상시보다. 그렇게 알고 있는데 혹시 알리 쪽에서 행정소송을 제기할 가능성이 있는지, 어떻게 받아들이고 있는지, 이번 처분에 대해서. 그게 1번 궁금하고요.

두 번째는 사실 오늘 테무 조사 결과도 나오기로 되어 있었는데 그 내용은 보이지 않아서요. 관련 조사나 처분 언제 나올지 시기 말씀 부탁드립니다.

<답변> 어제 회의가 특별히 길었다, 라고는 생각하지 않는데요. 만약에 그랬다고 하면 어제 일단 알리와 테무 두 군데 다 논의는 있었고 상대 쪽 사업자하고 소송대리인 다 참여해서 위원님들 간의 질의·응답이 있다 보니까 조금 늦어진, 기자님들 보시기에 늦어진 측면이 있었다면 아마 그 이유 때문이 아닐까 싶고요.

그리고 알리익스프레스의 소송 가능성 이런 것에 대해 질문해 주셨는데 그거는 저희가 말씀드리기에는 적절치 않은 것 같고, 다만 어제 알리익스프레스에서 참여해서 얘기하기로는 여기 보도자료 중간에도 있지만 그동안 지속적으로 한국 개인정보보호법에 맞춰서 자진 시정 노력을 해왔다는 점과 앞으로도 보호법을 잘 준수하면서 사업을 영위하겠다, 라는 입장을 표명했다는 점은 말씀드리도록 하겠습니다.

그리고 테무 관련해서도 지금 말씀드린 바와 같이 어제 테무 쪽에서도 사업자 쪽도 참석을 하고 소송대리인 측도 참석을 했는데 위원님들과 질의·응답이라든지 심의 과정상에서 추가적인 사실관계 확인이 조금 필요하다는 말씀들이 있으셨고, 그리고 자료 제출 보완 요구도 한 번 더 해보자는 말씀이 있으셔서 이번에는 심의·의결하지 않고 다음 기회에 하는 걸로 결정되었다는 점 말씀드리겠습니다.

<질문> 이번에 국외 이전 위반 혐의로 19억 과징금을 부과한 건데 이전에도 국외 이전 보호법 위반으로 이 정도 상당의 과징금 부과한 적이 있는지 아니면 이번이 처음인지 궁금합니다.

<답변> 저희가 구체적으로 확인을 해보지 않았지만 제가 아는 한에서는 처음인 것으로 알고 있습니다.

<질문> 질문 기회 주셔서 감사합니다. 저는 그동안 보도에서 알리, 테무 측에서 조사에 성실히 임하지 않았다는 내용이 있었는데 실제로도 그랬는지 궁금하고요. 그 업체에서 성실하게 응대하지 않아서 테무 측의 조사 내용 발표가 늦어지고 있는 건지 궁금합니다.

<답변> 몇 번 연기된 거에 대해서 말씀하시는 것 같은데, 그동안 저희 과징금을 부과하기 위해서는 보호법 규정이 바뀌어서 전체 매출에서 관련 없는 매출을 빼도록 되어 있습니다. 그래서 아무래도 해외 사업자고 하다 보니까 해외 법인 전체 매출에서 관련 없는 매출을 빼는 이런 과정을 설명하는 것이 저희 쪽에서는 조금 부족한 측면이 있다고 생각을 해서 몇 차례 자료 보완 요구를 했던 거고요.

그 부분이 어느 정도 해소가 되었다고 보았기 때문에 알리익스프레스에 대해서는 어제 그거 심의·의결한 것이고, 테무에 대해서는 어제 실제로 심의 과정에서 사업자 측과 질의응답이 오가는 과정에서 추가적인 사실관계 확인이 조금 더 필요하겠다는 의견이 있으셔서 다음 기회에 하는 걸로 결정되었다고 다시 한번 말씀드리겠습니다.

<질문> 지난 전체회의에서 알리와 테무 둘 다 의결하려다가 보류된 것으로 알고 있는데, 그 당시 나왔던 보류 이유가 추가적인 자료 제출이었었습니다. 그 자료, 당시 그 자료들이 매출 관련된 자료였는지 알 수 있을까요?

<답변> 지난번, 안건은 어제 처음 올라간 거고요. 지난번에 저희가 하려고 했다가 말씀드린 대로 여러 가지 자료, 해외 사업자다 보니까 그 자료를 검증하는 과정에서 일부 설명이 부족한 측면이 있다고 저희가 판단을 했고, 그 부분에 대해서 자료 보완 요청을 거쳤던 거고 실제 안건은 어제 처음으로 올라갔다는 점 말씀드리겠습니다.

<질문> (온라인 질의 대독) 그러면 현장 질문이 어느 정도 정리된 관계로 문자로 보내준 질문이 1건 들어왔습니다. 제가 대신 질문을 드리도록 하겠습니다.

문화일보 기자 질문입니다. 조사 과정에서 자진 시정조치가 이뤄졌다고 하는데 실제로 어떤 부분들이 시정됐는지와 시정 시점이 궁금하다고 합니다.

<답변> 말씀드리도록 하겠습니다. 3페이지 보도자료에 저희가 넣어 놓은 측면이 있는데요. 시정 시기는 여러 기자님들이 분석들을 많이 해 주셨던데 지속적으로 시정해 왔고요. 이게 그 시스템적인 문제도 있고 해서 당장 시정할 수 없는 부분도 있고 해서 지속적으로 조사 과정 내내 시정이 이루어졌다, 라고 말씀드릴 수 있을 것 같고요.

주요한 내용으로는 법정 요건을 갖춰서 이용자 동의를 받는 부분이라든지 그리고 국내 사업자 수준으로 개인정보 수집이라든지 그리고 국내 대리인 공개 관련 미흡 사항이라든지 전반적으로 처리, 개인정보 처리 방침을 국내 사업자 수준으로, 국내법이 요구하는 수준으로 맞추는 데 초점이 있었다고 보시면 될 것 같습니다.

그리고 또 하나 말씀드리고 싶은 거는 저희가 그럼에도 불구하고 일부 미진한 사항이 있다고 보고 시정명령과 개선 권고를, 보시면 아시겠지만 굉장히 다양하고 촘촘하게 저희가 마련을 했고요.

그리고 한 번의 처분으로 끝나는 게 아니고 시정명령과 개선 권고는 저희가 일정 기간이 지난 후에는 이행 여부를 점검하도록 되어 있습니다. 그래서 그런 과정을 거쳐서 우리 국민의 개인정보가 안전하게 보호될 수 있도록 지속적으로 관리해 나갈 것이라는 점을 다시 한번 강조해서 말씀드리고 싶습니다.

<질문> 국내대리인 지정 관련해서도 언급이 돼 있는데 이거 지금 어떻게 해놓았는지 궁금하고요. 어떻게 개선하라고 권고하셨는지도 궁금합니다.

<답변> 국내대리인... 사실 개인정보보호법이 앞서나가는 법이다 보니까 국내대리인제도까지는 반영이 되어 있습니다. 그런데 지정까지만 의무로 되어 있다 보니까 실질적인 운영 관련해서는 법 위반으로 보기는 힘들고 그래서 개선 권고를 하게 된 사항이고요.

지정 자체는 해놨지만 그 일부 공개해야 될 사항을 누락했던 사항이 있었던 거고 그 부분에 대해서는 시정명령을 했고, 지정뿐만이 아니고 거기에 더 나아가서 실질적인 운영을 할 수 있도록 저희가 개선 권고하는 내용이고 그 운영 여부에 대해서는 저희가 지속적으로 점검해 나가겠다는 말씀을 드리겠습니다.

<답변> (사회자) 그러면 시간이 많이 지나서 더 이상 질문이 없으시면 이상으로 금일 브리핑을 마치도록 하겠습니다. 참석해 주셔서 감사드립니다.

<답변> 감사합니다.

<끝>