개인정보위, 적법 근거 없는 개인정보 수집·국외 이전 제재…틱톡 103억600만원·애플 2억5200만원
[더파워 류동우 기자] 틱톡과 애플이 적법한 근거 없이 이용자 개인정보를 수집·이용하거나 국외로 이전한 사실이 확인돼 개인정보보호위원회 제재를 받았다. 과징금 규모는 총 105억5800만원이다.
개인정보보호위원회는 지난 22일 제14회 전체회의를 열고 개인정보 보호법과 구 정보통신망법을 위반한 틱톡과 애플 계열사 2곳에 대해 과징금 부과, 시정명령, 공표명령을 의결했다고 23일 밝혔다.
개인정보위는 틱톡에 과징금 103억600만원과 시정명령, 공표명령을 부과했다. 애플 계열사 중 ADI에는 과징금 2억5200만원이 부과됐고, ASPL에는 시정명령이 내려졌다.
틱톡 제재의 핵심은 타사 행태정보 수집·이용이다.
틱톡은 광고와 콘텐츠 성과 분석 서비스를 제공하면서 다른 웹사이트와 앱 사업자들에게 행태정보 수집 도구를 배포했다. 여기에는 TikTok Pixel, Events SDK, Events API 등이 포함된다.
이 도구가 설치된 타사 웹·앱 페이지에 이용자가 방문하면 클릭, 구매, 장바구니 담기, 문의, 다운로드, 검색, 콘텐츠 보기 등 활동 기록이 수집됐다.
개인정보위 조사 결과 국내 7만1000여개 기업이 틱톡의 행태정보 수집 도구를 이용하고 있었다. 틱톡은 해당 도구를 통해 2025년 12월 기준 국내 활성 이용자 945만명으로부터 타사 행태정보를 수집한 것으로 확인됐다.
틱톡은 이용자의 타사 행태정보와 기기 식별자도 함께 수집했다. 모바일 기기별 광고 식별자인 GAID와 IDFA, 틱톡이 부여한 인터넷 브라우저 식별자인 쿠키 등이 여기에 포함됐다.
개인정보위는 틱톡이 이렇게 수집한 정보를 회원 계정과 연결하고, 이용자의 특성과 관심사를 추론한 뒤 맞춤형 광고에 활용했다고 봤다.
문제는 이용자 동의 방식이었다.
개인정보위에 따르면 틱톡은 가입 과정에서 이용자가 명확히 알 수 있도록 관련 내용을 고지하지 않았다. 또 맞춤형 광고를 위한 타사 행태정보 수집 등을 서비스 제공에 꼭 필요한 개인정보와 함께 필수 동의 형태로 받았다.
개인정보위는 이 방식이 틱톡 서비스를 이용하려는 정보주체에게 타사 행태정보 수집을 사실상 강제한 것으로 판단했다. 이용자가 실질적인 동의권을 행사하기 어려웠다는 것이다.
틱톡 라이트에서도 위반 사항이 확인됐다.
틱톡 라이트는 포인트 현금 인출 서비스를 제공하는 과정에서 이용자의 개인정보를 계열사에 이전하면서 이전 항목, 이전받는 자의 이용 목적, 보유·이용 기간 등 법정 사항을 공개하거나 알리지 않은 것으로 조사됐다.
개인정보위는 틱톡의 법적 근거 없는 타사 행태정보 수집·이용과 국외 이전이 개인정보 보호법 제15조와 제28조의8 위반에 해당한다고 판단했다.
애플은 Siri 이용 과정에서 수집된 음성 녹음과 전사문 문제가 제재 대상이 됐다.
개인정보위는 미국에서 애플 이용자의 Siri 음성 데이터 무단 수집·이용 관련 소송 결과가 보도된 뒤 조사에 착수했다.
조사 결과 애플은 2019년 8월까지 이용자가 음성 비서 서비스 Siri를 이용할 때 음성 녹음과 전사문을 수집했다. 이 자료는 음성 인식 기능과 검색 결과 개선 등에 이용됐지만, 이용자로부터 별도 동의를 받지 않은 것으로 확인됐다.
전사문은 수집된 음성 녹음을 텍스트로 변환한 데이터를 말한다.
애플은 2019년 10월부터 음성 녹음을 서비스 개선에 이용하는 데 별도 동의를 받기 시작했다. 그러나 전사문에 대해서는 여전히 별도의 적법 근거를 마련하지 않은 채 서비스 개선에 활용한 사실이 확인됐다.
국외 이전 고지도 문제로 지적됐다.
애플은 이용자 개인정보를 미국 Apple Inc. 등 계열사에 국외 이전하면서도 이전하는 개인정보 항목, 이전받는 자의 개인정보 이용 목적, 보유·이용 기간 등을 개인정보 처리방침에 충분히 기재하지 않은 것으로 조사됐다.
다만 애플은 조사 과정에서 일부 시정 조치를 했다. 전사문 수집·이용에 대해 정보주체에게 선택권을 부여하고, 전사문 내 개인정보를 필터링하는 등 보호 조치를 강화했다. 개인정보 처리방침도 개정했다.
이에 개인정보위는 ADI에 구 정보통신망법 위반 등으로 과징금 2억5200만원을 부과했다. ASPL에는 국외 이전 현황 점검 등을 내용으로 하는 시정조치 명령을 내렸다.
개인정보위는 이번 처분이 해외 사업자도 국내 이용자의 개인정보 처리 투명성과 개인정보 자기결정권 보장을 위한 조치를 충분히 이행해야 한다는 점을 확인한 사례라고 설명했다.
특히 개인정보 수집·이용의 근거가 되는 동의는 정보주체가 내용을 명확히 알고 자유로운 의사로 한 경우에만 유효하다고 강조했다. 이용자가 사실상 거부하기 어려운 방식으로 받는 동의는 적법한 동의로 인정받기 어렵다는 취지다.
국외 이전에 대한 기준도 다시 확인했다.
개인정보위는 개인정보 국외 이전이 단순히 개인정보가 물리적으로 국경을 넘는 경우만을 뜻하지 않는다고 밝혔다. 개인정보 보호법의 관할이 미치지 않아 보호 수준이 담보되지 않는 범위로 제공·처리위탁·보관되는 경우도 국외 이전 규정을 지켜야 한다는 설명이다.
계열사 사이의 이전이거나 같은 국가 안에서 이뤄지는 이전이라고 해도, 국외 제공·처리위탁·보관에 해당하면 관련 요건을 준수해야 한다.
개인정보위는 앞으로도 해외 사업자의 개인정보 처리 실태를 지속적으로 점검하고, 위법 행위에 대해 국내외 기업 구분 없이 대응하겠다고 밝혔다.
류동우 더파워 기자 rdw2026@thepowernews.co.kr
