국내 페이스북 이용자 98만명의 종교관, 정치관, 동성과의 결혼 여부 등 민감한 정보를 무단으로 수집한 메타가 216억원의 과징금 처분을 받았다. 메타는 이렇게 수집한 정보를 광고주에게 넘긴 사실도 드러났다.

개인정보보호위원회는 전체회의를 열고 개인정보보호법을 위반한 메타에 대해 이같은 규모의 과징금 처분을 의결했다고 밝혔다.

개인정보위는 메타가 동의 없이 민감한 정보를 수집·활용하는 행위를 인지하고 관련 조사를 착수했고, 이 과정에서 메타가 정당한 사유 없이 개인정보 열람을 거절했다는 민원과 해킹으로 개인정보가 유출됐다는 신고도 접수하고 조사를 함께 진행해왔다.

개인정보위 조사결과 메타는 과거에 페이스북 프로필을 통해 국내 이용자 약 98만명의 종교관·정치관, 동성과 결혼 여부 등 민감정보를 수집하고 이러한 정보들을 광고주에게 제공한 것으로 드러났다. 약 4천개의 광고주가 이를 이용한 것으로 확인됐다.

구체적으로 이용자가 페이스북에서 ‘좋아요’를 누른 페이지, 클릭한 광고 등 행태정보를 분석해 민감정보 관련 광고주제(특정종교/동성애/트랜스젠더/북한이탈주민 등)를 만들어 운영한 사실이 있었다.

개인정보보호법은 사상·신념, 정치적 견해, 성생활 등에 관한 정보를 엄격히 보호해야 할 민감정보로 규정해 원칙적으로 처리를 제한하고 있다.

예외적으로 정보 주체에게 별도의 동의를 받은 경우 등 적법한 근거가 있는 경우에만 민감정보를 처리할 수 있도록 규정하고 있다.

메타는 민감정보를 수집하고 맞춤 서비스 등에 활용하면서도 데이터 정책에 불분명하게 기재만 하고 별도로 동의를 받지 않고 추가적인 보호조치를 취한 사실도 없었다고 개인정보위는 밝혔다.

아울러 메타는 이용자의 개인정보 열람 요구에 대해 보호법상 열람 요구 대상이 아니라는 등의 이유로 거절했다. 

개인정보위는 “개인정보보호법 시행령은 개인정보의 보유 및 이용 기간, 제3자 제공 현황, 개인정보 처리에 동의한 사실 및 내용을 열람 대상으로 정하고 있어 메타가 해당 열람 요구를 거절한 것은 정당한 사유가 없다고 판단했다”고 설명했다.

메타는 서비스가 중단됐거나 관리되지 않은 홈페이지를 삭제 혹은 차단해야 하는 안전조치 의무도 이행하지 않았다.

이 점을 노린 해커가 사용되지 않는 계정 복구 페이지에서 위조된 신분증을 제출해 타인 계정의 비밀번호 재설정을 요청했고, 메타는 위조한 신분증에 대한 충분한 검증 없이 이를 승인하면서 한국 이용자 10명의 개인정보가 유출된 것으로 조사결과 확인됐다.

개인정보위는 메타에 대해 개인정보보호법상 민감정보 처리 제한 안전조치 의무 위반 등을 근거로 과징금 216억1300만원, 과태료 1,020만원을 부과했다.

아울러 민감정보 처리 시 합법 근거를 마련하고 안전성 확보조치를 취할 것, 또 이용자의 개인정보 열람 요구에 대해 성실히 응할 것을 시정명령했다.

개인정보위는 “메타의 시정명령 이행 여부를 지속 점검하는 한편 국내 이용자를 대상으로 서비스를 제공하는 글로벌 기업에 대한 차별 없는 개인정보보호법을 적용해 국민의 개인정보보호에 최선을 다할 것”이라고 밝혔다.