결정 심의 ㆍ 의결 이유 Ⅰ

심의 ㆍ 의결

Ⅰ. 기초 사실umanle S.R.L.(이하 '피심인’)은 정보 생성, 편집, 공유 등 플랫폼 서비스를 제공하면서 개인정보를 처리하는 「개인정보 보호법」개인정보 보호법(법률 제19234호, 2023. 3. 14. 일부개정, 2023. 9. 15. 시행)(이하 '보호법’) 제2조제5호에 따른 개인정보처리자이다.Ⅱ. 사실조사 결과1. 조사 배경위원회는 나무위키(namu.wiki)가 보호법을 위반하였다는 민원이 2020년 3월경부터 다수 제기(총 29건)되어 조사에 착수하였으나, 피심인이 자료제출 요구에 불응하는 등 조사가 불가하여 2023년 5월 10일 심의 중지 의결을 하였다.

피심인은 국내법 준수 의무가 없다고 하면서 어떠한 자료 요구에도 응하지 않았고 위원회 출범 이전인 2020년 3월경 한국인터넷진흥원의 침해 신고 조사 당시에도 자료 제출을 거부하였다.이후, 2023년 9월 법 개정으로 자료제출 요구 관련 벌칙 조항인 보호법 제73조 제1항제4호자료제출 거부 관련 벌칙 조항((§73①4호) 신설로 위반 시 2년 이하 징역 또는 2천만원 이하 벌금 부과가 신설된 후에도 자료 제출을 지속적으로 거부하고 있다.

2. 피심인 현황나무위키 웹사이트(namu.wiki)에는 'umanle S.R.L.’(파라과이 소재)가 운영하고 있다고 공개되어 있으나, 피심인의 일반현황 등은 피심인이 자료제출 요구 등에 불응하여 명확히 확인되지 않았다.

자료출처: 나무위키 웹사이트(namu.wiki) 내 'umanle S.R.L.’ 문서3. 행위 사실가. 서비스 제공 현황피심인은 나무위키 웹사이트에서 대부분 한국어로 국내 관련 정보(게시글, 뉴스 등)를 작성ㆍ공개하는 등 한국 정보주체를 대상으로 서비스를 제공하고 있으며, 회원 가입 시 이용자의 이름, 이메일 주소, 휴대전화번호 등 개인정보를 수집하고 있다.

나. 개인정보 처리방침 관련피심인은 웹사이트 하단 및 이용자 계정을 만드는 과정에서 “Pol?tica de privacidad y T?rminos de uso”(개인정보 처리방침 및 이용약관)을 스페인어로 공개하나, 보호법상 처리방침과는 무관한 내용이다.

다. 정보주체 권리 관련다수 신고인은 나무위키가 회원탈퇴(계정 삭제)를 거부하였거나, 회원탈퇴가 불가능하다고 신고하였고, 실제 나무위키 운영자가 회원의 탈퇴 요청을 거부한 사실 및 2024년 6월 12일 전까지 회원 탈퇴 기능이 제공되지 않았던 사실이 확인되었다.이후, 피심인은 2024년 6월 12일에 시행된 엔진 업데이트를 기점으로 계정 삭제를 지원한다고 회원탈퇴 절차를 수정하여 공개하였다.

라. 자료제출 거부 관련피심인은 개인정보보호위원회와 개인정보 침해신고센터의 보호법상 자료제출 요구에 대해 국내법 준수 의무가 없다는 등의 이유로 수차례 거부하였다.당초 개인정보보호위원회와 개인정보 침해신고센터는 피심인에게 2020년 4월 27일, 2020년 5월 6일, 2021년 4월 22일, 회원탈퇴ㆍ처리방침 등 관련 자료제출을 요구하였으나, 피심인은 이를 거부하면서 “당사가 위치한 지역 내”의 사법기관 또는 단체 명의로 발행된 공문을 발송할 것 또는 “당사를 관할하는” 사법기관을 통해 자료제출을 요청할 것을 회신하였다.또한, 개인정보보호위원회는 심의 중지 후에도 보호법 준수 의사를 확인하면서 회원 탈퇴 및 국내대리인 지정 등 관련 자료 제출을 요구'24. 4. 9., ’’24. 4. 25., ’24. 5. 20., ’24. 5. 30., ’25. 4. 28. ’25. 5. 9.하였으나, 제출을 거부하거나 응답하지 않았다.

4. 처분의 사전통지 및 의견 수렴개인정보보호위원회는 2025년 6월 23일 피심인에게 예정된 처분에 대한 사전통지서를 송부하고 이에 대한 의견을 요청하였으나, 피심인은 어떠한 의견도 제출하지 않았다.Ⅲ. 위법성 판단1. 보호법 적용해외사업자가 한국 정보주체를 대상으로 재화 또는 서비스를 제공하고 있다면, 해당 해외사업자는 보호법을 준수하여야 한다.인터넷의 특성상 해외사업자는 사업장이 한국에 없어도 한국 정보주체를 대상으로 재화 또는 서비스를 제공할 수 있고, 재화 또는 서비스 대상이 한국 정보주체임을 명시적으로 밝히는 경우도 제한적이므로, 해외사업자가 한국 정보주체를 대상으로 재화 또는 서비스를 제공하는지 여부가 불분명할 수 있다.이 경우에는 언어, 통화, 재화 또는 서비스 제공 형태 및 방식 등을 종합적으로 고려하여 한국 정보주체를 대상으로 재화 또는 서비스가 제공되는지 여부를 판단한다.해외사업자 개인정보 보호법 적용 안내서, 개인정보보호위원회, 2024, 9p또한, 한국 대상 재화 또는 서비스 제공 여부와는 별개로 해외사업자가 한국인 또는 한국 정보주체의 개인정보를 처리하여 한국 정보주체에게 직접적이고 상당한 영향을 미치고 있다면, 보호법이 적용된다.해외사업자 개인정보 보호법 적용 안내서, 개인정보보호위원회, 2024, 13p피심인은 파라과이 소재 사업자로 한국법이 적용되지 않는다는 취지로 답변한 바 있으나, 피심인이 제공하는 나무위키 서비스는 대부분 한국어로 국내 관련 정보를 작성 및 공개하고 있고, 대다수가 한국 이용자로 추정되는바, 한국 대상 서비스를 제공하는 것이 명백하며, 다수의 한국인에 관한 정보가 나무위키 서비스에서 수집ㆍ검색되고 이에 대해 해당 정보주체가 권리침해로 인한 삭제를 요구하는 등 한국 정보주체에게 직접적이고 상당한 영향을 미치고 있는 것 또한 명백하므로 한국 보호법이 적용된다.

2. 관련법 규정가. 보호법 제30조제1항은 “개인정보처리자는 개인정보의 처리 목적(제1호), 개인정보의 처리 및 보유 기간(제2호), 개인정보의 제3자 제공에 관한 사항(제3호), 개인정보의 파기절차 및 파기방법(제3호의2), 제23조제3항에 따른 민감정보의 공개 가능성 및 비공개를 선택하는 방법(제3호의3), 개인정보처리의 위탁에 관한 사항(제4호), 제28조의2 및 제28조의3에 따른 가명정보의 처리 등에 관한 사항(제4호의2), 정보주체와 법정대리인의 권리ㆍ의무 및 그 행사방법에 관한 사항(제5호), 제31조에 따른 개인정보 보호책임자의 성명 또는 개인정보 보호업무 및 관련 고충사항을 처리하는 부서의 명칭과 전화번호 등 연락처(제6호), 인터넷 접속정보파일 등 개인정보를 자동으로 수집하는 장치의 설치ㆍ운영 및 그 거부에 관한 사항(제7호), 그 밖에 개인정보의 처리에 관하여 대통령령으로 정한 사항(제8호)이 포함된 개인정보의 처리 방침(이하 “개인정보 처리방침”이라 한다)을 정하여야 한다.”라고 규정하고 있다.

나. 보호법 제63조제1항는 “보호위원회는 이 법을 위반하는 사항을 발견하거나 혐의가 있음을 알게 된 경우(제1호), 이 법 위반에 대한 신고를 받거나 민원이 접수된 경우(제2호) 및 그 밖에 정보주체의 개인정보 보호를 위하여 필요한 경우로서 대통령령으로 정하는 경우(제3호)의 어느 하나에 해당하는 경우에는 개인정보처리자에게 관계 물품ㆍ서류 등 자료를 제출하게 할 수 있다.”고 규정하고, 같은 법 제73조제1항은 “제63조제1항(제26조제8항에 따라 준용되는 경우를 포함한다)에 따른 자료제출 요구에 대하여 법 위반사항을 은폐 또는 축소할 목적으로 자료제출을 거부하거나 거짓의 자료를 제출한 자(제4호)에 해당하는 자는 2년 이하의 징역 또는 2천만원 이하의 벌금에 처한다.”고 규정하고 있다.

다. 보호법 제65조제1항은 “보호위원회는 개인정보처리자에게 이 법 등 개인정보 보호와 관련된 법규의 위반에 따른 범죄혐의가 있다고 인정될 만한 상당한 이유가 있을 때에는 관할 수사기관에 그 내용을 고발할 수 있다.”고 규정하고 있다.

3. 위법성 판단가. 개인정보처리방침을 정하지 않은 행위피심인이 나무위키 웹사이트 하단에 공개한 “Pol?tica de privacidad y T?rminos de uso”(개인정보 처리방침 및 이용약관)에서 보호법에 따른 사항이 포함되지 않는 등 처리방침을 수립ㆍ공개하지 않은 행위는 보호법 제30조제1항 위반에 해당한다.

나. 법 위반사항을 은폐 또는 축소할 목적으로 자료제출을 거부한 행위피심인이 위원회의 자료제출 요구와 관련하여 파라과이 내 사법기관을 통해 요구하라고 답변하거나 보호법 준수 의사 관련 질문에 응답하지 않은 행위는 한국에서 영리사업을 하면서도 보호법 제63조제1항에 따른 자료제출 요구에 대하여 보호법 적용을 회피 및 법 위반 사항을 은폐 또는 축소할 목적으로 자료제출을 거부한 행위로서 보호법을 위반한 것에 해당한다.참고로, 피심인은 웹사이트 내 삽입된 구글 광고 등을 통해 매출을 발생시키는 것으로 추정되며 해당 현황은 아래와 같다.

Ⅳ. 처분 및 결정보호법 제30조제1항 위반행위 등에 대해서는 수사기관의 수사 이후 피심인과 위반행위 등이 확인된 후 조사ㆍ처분 절차 재개피심인이 운영 중인 웹사이트에서 명백한 법 위반 사항이 발견됨에도 불구하고 보호법 제63조제1항에 따른 자료제출 요구에 대하여 법 위반 사항을 은폐ㆍ축소할 목적 또는 정당한 사유없이 자료제출을 거부하고 있는 행위는 보호법 제73조제1항제4호 및 「개인정보보호 법규 위반에 대한 고발기준개인정보보호 법규 위반에 대한 고발기준(개인정보보호위원회 지침, 2023. 10. 11. 시행)」제3조제1항제5호위반행위자가 정당한 사유 없이 보호위원회의 조사를 거부ㆍ방해 또는 기피한 경우에 해당하여 보호법 제65조제1항에 따라 피심인을 수사기관에 고발한다.Ⅴ. 결론피심인의 보호법 제63조(자료제출 요구 및 검사)제1항을 위반한 행위에 대하여 같은 법 제65조(고발 및 징계권고)제1항에 따라 고발을 주문과 같이 의결한다.이상과 같은 이유로 주문과 같이 의결한다.