Ⅰ. 기초 사실1. (이하 '피심인’이라 한다)는 영리를 목적으로 커뮤니티 앱 “ *”를 운영하는「정보통신망 이용촉진 및 정보보호 등에 관한 법률」(이하 '정보통신망법’이라 한다) 제2조제1항제3호에 따른 정보통신서비스 제공자이고, 피심인의 일반현황 및 최근 3년간 매출액은 다음과 같다.* '
(단위 : 천원)
※ 매출액 : 피심인이 제출한 자료, 사업개시 '18.1.16.Ⅱ. 사실조사 결과1. 조사 대상2. 방송통신위원회는 언론보도를 통해 “ 데이터 판매 이슈” 사실을 인지하고 정보통신망법 및 위치정보의 보호 및 이용 등에 관한 법률(이하 '위치정보법’이라 한다)위반 여부에 대한 피심인의 개인정보 및 위치정보 취급ㆍ운영 실태를 조사하였고, 피심인에 대한 현장조사(2019. 1. 8. ∼ 2019. 1. 10.) 결과, 다음과 같은 사실을 확인하였다.
2. 행위 사실가. 주요 경과3. 피심인은 에서 중소ㆍ스타트업 대상 활성화 촉진을 위해 데이터 서비스 및 상품 개발에 필요한 데이터 구매비용을 바우처로 지원하는 “ 바우처 지원 사업”의 상품화 지원 부문에 지원하여 선정되었으며, 주요경과는 다음과 같다.① 2018.10.4. : 이 운영하는 스토어 홈페이지( )에 “ ” 파일을 업로드함.② 2019.1.5. : 앱에 “얘들아, 너희 정보가 500만원에 팔리고 있어! 이 앱 쓰지마!”라는 게시글을 통해 최초 문제를 인지함.- 스토어에 데이터 샘플 및 게시글에 대한 게시중단을 요청함.- 유튜브에 “ 글 데이터 판매 이슈 해명 및 사과문”을 게시함.3. 개인정보의 기술적ㆍ관리적 보호조치 등 사실 관계가.
개인정보의 수집ㆍ이용 시 이용자의 동의를 받지 아니한 행위(정보통신망법 제22조제1항)4. 피심인은 앱(' ’)을 이용하는 이용자로부터 단말기정보, 나이, 성별, 이메일, 전화번호, 위치정보 등 개인정보를 수집하면서 앱을 최초 실행하는 이용자에게 “익명으로 시작 및 로그인을 하면 ' ’의 서비스 약관, 개인정보 취급방침, 유료서비스 이용약관에 동의하게 됩니다.”라는 문구를 노출하였고, 이용자는 '개인정보 취급방침’ 글자를 누르면 자세한 내용 확인이 가능하였으나, 이와 같이 이용자에게 개인정보 취급방침을 공개하는 것 외에 별도로 동의 받는 절차를 마련하지 않은 사실이 있다.
나. 개인정보의 이전 사실을 이용자에게 알리지 아니한 행위(정보통신망법 제26조제2항)5. 피심인은 1인 창조기업 “ ”을 설립하여 자체 개발한 앱인 “ ”를 통해 부터 고민 나눔 커뮤니티 서비스를 제공하다가 2018. 1. 16. “ ”를 설립하였고, 이때 “ ”에서 제공하던 서비스를 “ ”로 이전하면서 이용자에게 해당 사실을 알리지 않은 사실이 있다.
다. 수집ㆍ이용 목적이 달성된 개인정보를 파기하지 아니한 행위(정보통신망법 제29조제1항)6. 피심인은 앱을 최초 실행하는 단계에서 이용자에게 “작성한 글은 24시간이 지나면 자동으로 지워지며 당신이 누구인지는 아무도 모릅니다.”라고 알리고 있으나, 2017. 3. 8.부터는 작성한 글(4,887,677건, 중복포함)을 DB에서 삭제하지 않고 2019. 1. 10.까지 보관한 사실이 있다.
라. 14세 미만 아동의 개인정보 수집 시 법정대리인의 동의를 받지 아니한 행위(정보통신망법 제31조제1항}7. 피심인은 개인정보처리방침에 “만 14세 미만의 청소년은 회원으로 가입하기 전에 반드시 법정대리인의 동의를 받아야 합니다.”라고 공개하고 있으나, 이용자가 앱에서 2006년 이후 출생자(만 14세 미만 아동)라고 선택하는 경우에도 법정대리인의 동의없이 서비스를 이용할 수 있도록 한 사실이 있다.
※ 피심인이 수집ㆍ보관 중인 만14세 미만 아동정보(2019.1.10. 기준, 171,147명)마. 위치기반서비스사업을 신고하지 않은 행위(위치정보법 제9조제1항)8. 피심인은 부터 위치기반서비스사업을 영위하고 있으나 상호, 주된 사무소의 소재지, 사업의 종류, 위치정보시스템을 포함한 사업용 주요 설비 등에 대하여 2019. 1. 10.까지 방송통신위원회에 신고하지 않은 사실이 있다.
바. 개인위치정보 이용ㆍ제공 시 이용약관 명시하여야 할 사항을 명시한 후 동의받지 않은 행위(위치정보법 제19조제1항)9. 피심인은 이용자에게 개인위치정보를 이용하여 위치기반서비스를 제공하고 있으나, 위치기반서비스 이용약관에 ①위치기반서비스사업자의 상호, 주소, 전화번호 그 밖의 연락처, ②개인위치정보주체 및 법정대리인의 권리와 그 행사방법, ③위치기반서비스사업자가 제공하고자 하는 위치기반서비스의 내용, ④위치정보 이용ㆍ제공사실 확인자료의 보유근거 및 보유기간, ⑤개인위치정보 제3자 제공하는 경우 통보에 관한 사항을 명시한 후 동의받지 않은 사실이 있다.
사. 처분의 사전통지 및 의견 수렴10. 방송통신위원회는 2019. 4. 18. '개인정보보호 법규 위반사업자 시정조치(안) 사전 통지 및 의견 수렴’ 공문을 통하여 이 사건에 대한 피심인의 의견을 요청하였으며, 피심인은 2019. 5. 2. 의견을 제출하였다.Ⅲ. 위법성 판단1. 관련법 규정가. 정보통신망법 제22조제1항은 “정보통신서비스 제공자는 이용자의 개인정보를 이용하려고 수집하는 경우에는 '개인정보의 수집ㆍ이용 목적(제1호)’, '수집하는 개인정보의 항목(제2호)’, '개인정보의 보유ㆍ이용 기간(제3호)’ 모든 사항을 이용자에게 알리고 동의를 받아야 한다.
각 호의 어느 하나의 사항을 변경하려는 때에도 또한 같다.”라고 규정하고 있다.11. 「정보통신망법 해설서」는 “정보통신망법 제22조제1항에 대해 정보통신서비스 제공자는 이용자의 '개인정보자기결정권’ 보장을 위해 회원가입 등을 통해 개인정보 수집 시 이용자의 동의를 얻어야 하며, 사업자의 조치사항은 이용자로부터 개인정보를 수집할 때에는 수집 시점(회원가입, 서비스 가입 등) 이전에 이용자가 ①수집ㆍ이용 목적, ②수집하는 개인정보의 항목,③개인정보의 보유 및 이용기간 등 3가지 사항을 명확히 인지하고 명시적으로 동의할 수 있는 절차를 마련해야 한다”라고 해설하고 있다.
나. 정보통신망법 제26조제2항은 “영업양수자 등은 개인정보를 이전받으면 지체 없이 그 사실을 영업양수자등의 성명ㆍ주소ㆍ전화번호 및 그 밖의 연락처를 인터넷 홈페이지 게시, 전자우편 등 대통령령으로 정하는 방법에 따라 이용자에게 알려야 한다.”라고 규정하고 있다.
12. 같은 법 시행령 제11조제1항은 “법 제26조제1항 각 호 외의 부분 및 제2항 본문에서 '대통령령이 정하는 방법’이란 전자우편ㆍ서면ㆍ모사전송ㆍ전화 또는 이와 유사한 방법 중 어느 하나의 방법을 말한다.”라고 규정하고 있다.
다. 정보통신망법 제29조제1항은 “정보통신서비스 제공자등은 '제22조제1항, 제23조제1항 단서 또는 제24조의2제1항ㆍ제2항에 따라 동의를 받은 개인정보의 보유 및 이용기간이 끝난 경우에는 지체 없이 해당 개인정보를 복구ㆍ재생할 수 없도록 파기하여야 한다. 다만, 다른 법률에 따라 개인정보를 보존하여야 하는 경우에는 그러하지 아니하다.”라고 규정하고 있으며, 제23조제1항 단서는 “다만, 제22조제1항에 따른 이용자의 동의를 받거나 다른 법률에 따라 특별히 수집 대상 개인정보로 허용된 경우에는 필요한 범위에서 최소한으로 그 개인정보를 수집할 수 있다.”라고 규정하고 있다.
라. 정보통신망법 제31조제1항은 “정보통신서비스 제공자등이 만 14세 미만의 아동으로부터 개인정보 수집ㆍ이용ㆍ제공 등의 동의를 받으려면 그 법정대리인의 동의를 받아야 한다. 이 경우 정보통신서비스 제공자는 그 아동에게 법정대리인의 동의를 받기 위하여 필요한 법정대리인의 성명 등 최소한의 정보를 요구할 수 있다.”라고 규정하고 있다.
마. 위치정보법 제9조제1항은 “위치기반서비스사업(개인위치정보를 대상으로 하지 아니하는 위치기반서비스사업은 제외한다. 이하 이 조, 제9조의2, 제10조 및 제11조에서 같다)을 하려는 자는 상호, 주된 사무소의 소재지, 사업의 종류, 위치정보시스템을 포함한 사업용 주요 설비 등에 대하여 대통령령으로 정하는 바에 따라 방송통신위원회에 신고하여야 한다.”라고 규정하고 있다.
13. 같은 법 시행령 제9조제1항은 “법 제9조제1항에 따라 위치기반서비스사업을 신고하려는 자는 위치기반서비스사업신고서(전자문서로 된 신고서를 포함한다)에 '사업자 현황 및 사업 내용이 포함된 사업계획서(제1호)’, '사업용 주요설비의 내용 및 설치 장소를 확인할 수 있는 서류(제2호)’를 첨부하여 방송통신위원회에 제출하여야 한다.”라고 규정하고 있다.
바. 위치정보법 제19조제1항은 “위치기반서비스사업자가 개인위치정보를 이용하여 서비스를 제공하고자 하는 경우에는 미리 '위치기반서비스사업자의 상호, 주소, 전화번호 그 밖의 연락처(제1호)’, '개인위치정보주체 및 법정대리인의 권리와 그 행사방법(제2호)’, '위치기반서비스사업자가 제공하고자 하는 위치기반서비스의 내용(제3호)’, '위치정보 이용ㆍ제공사실 확인자료의 보유근거 및 보유기간(제4호)’, '그 밖에 개인위치정보의 보호를 위하여 필요한 사항으로서 대통령령이 정하는 사항(제5호)’을 이용약관에 명시한 후 개인위치정보주체의 동의를 얻어야 한다.”라고 규정하고 있다.
14. 같은 법 시행령 제23조는 “법 제19조제1항제5호에서 '대통령령이 정하는 사항’이란 법 제19조제3항에 따른 통보에 관한 사항을 말한다.”라고 규정하고 있다.
사. 정보통신망법 제64조제3항은 “방송통신위원회는 정보통신서비스 제공자등이 이 법을 위반한 사실이 있다고 인정되면 소속공무원에게 정보통신서비스 제공자등, 해당 법 위반 사실과 관련한 관계인의 사업장에 출입하여 업무상황, 장부 또는 서류 등을 검사하도록 할 수 있다.”라고 규정하고 있다.
2. 위법성 판단가. 개인정보의 수집ㆍ이용 시 이용자의 동의를 받지 아니한 행위(정보통신망법 제22조제1항)15. 피심인이 이용자로부터 단말기정보, 나이, 성별, 이메일, 전화번호, 위치정보 등 개인정보를 수집하면서 개인정보 취급방침을 공개하는 것 외에 별도로 ①수집ㆍ이용 목적, ②수집하는 개인정보의 항목, ③개인정보의 보유 및 이용기간 등 3가지 사항을 이용자가 명확히 인지하고 명시적으로 동의할 수 있는 절차를 마련하지 않은 행위는 정보통신망법 제22조제1항을 위반한 것이다.
나. 개인정보의 이전 사실을 이용자에게 알리지 아니한 행위(정보통신망법 제26조제2항)16. 피심인이 2018.1.16. “ ”이 제공하던 앱 서비스를 양수하면서 개인정보를 이전받은 사실을 지체 없이 그 사실 및 영업양수자등의 성명ㆍ주소ㆍ전화번호 및 그 밖의 연락처를 인터넷 홈페이지 게시, 전자우편 등으로 이용자에게 알리지 않은 행위는 정보통신망법 제26조제2항, 같은 법 시행령 제11조제1항을 위반한 것이다.
다. 수집ㆍ이용 목적이 달성된 개인정보를 파기하지 아니한 행위(정보통신망법 제29조제1항)17. 피심인이 이용자에게 “작성한 글은 24시간이 지나면 자동으로 지워지며 당신이 누구인지는 아무도 모릅니다.”라고 알리고 있으나, 2017. 3. 8.부터는 작성한 글을 DB에서 삭제하지 않고 2019. 1. 10.까지 수집한 개인정보를 파기하지 않고 보관한 행위는 정보통신망법 제29조제1항을 위반한 것이다.
라. 만 14세 미만 아동의 개인정보 수집 시 법정대리인의 동의를 받지 아니한 행위(정보통신망법 제31조제1항)18. 피심인이 만 14세 미만 아동의 개인정보를 수집하면서 법정대리인으로부터 동의를 받는 절차를 마련하지 않고 171,147명(Device ID 기준)의 개인정보를 수집ㆍ보관한 행위는 정보통신망법 제31조제1항을 위반한 것이다.
마. 위치기반서비스사업을 신고하지 않은 행위(위치정보법 제9조제1항)19. 피심인이 위치기반서비스사업을 영위하고 있으나, 상호, 주된 사무소의 소재지, 사업의 종류, 위치정보시스템을 포함한 사업용 주요 설비 등에 대하여 방송통신위원회에 신고하지 않은 행위는 위치정보법 제9조제1항, 같은 법 시행령 제9조제1항을 위반한 것이다.
바. 개인위치정보 이용ㆍ제공 시 이용약관 명시하여야 할 사항을 명시한 후 동의받지 않은 행위(위치정보법 제19조제1항)20. 피심인이 이용자의 개인위치정보를 이용하여 서비스를 제공하고 있으나, 위치기반서비스 이용약관에 ①위치기반서비스사업자의 상호, 주소, 전화번호 그밖의 연락처, ②개인위치정보주체 및 법정대리인의 권리와 그 행사방법, ③위치기반서비스사업자가 제공하고자 하는 위치기반서비스의 내용, ④위치정보 이용ㆍ제공사실 확인자료의 보유근거 및 보유기간, ⑤개인위치정보 제3자 제공하는 경우 통보에 관한 사항 등을 명시한 후 이용자의 동의를 받지 않은 행위는 위치정보법 제19조제1항, 같은 법 시행령 제23조를 위반한 것이다.
Ⅳ. 시정조치 명령Ⅳ-Ⅰ. 정보통신망법 위반 관련1. 시정명령가. 피심인은 이용자의 개인정보를 이용하려고 수집하는 경우에는 '개인정보의 수집ㆍ이용 목적’, '수집하는 개인정보의 항목’, '개인정보의 보유ㆍ이용 기간’ 모든 사항을 이용자에게 알리고 동의를 받아야 한다.
나. 피심인은 개인정보를 이전받으면 지체 없이 그 사실을 영업양수자등의 성명ㆍ주소ㆍ전화번호 및 그 밖의 연락처를 인터넷 홈페이지 게시, 전자우편 등 방법에 따라 이용자에게 알려야 한다.
다. 피심인은 동의를 받은 개인정보의 보유 및 이용기간이 끝난 경우에는 지체 없이 해당 개인정보를 복구ㆍ재생할 수 없도록 파기하여야 한다.
라. 피심인은 만 14세 미만의 아동으로부터 개인정보 수집ㆍ이용ㆍ제공 등의 동의를 받으려면 그 법정대리인의 동의를 받아야 한다.
2. 시정명령 이행결과의 보고21. 피심인은 제1항의 시정명령에 따른 시정조치를 이행하고, 대표자를 비롯하여 개인정보보호책임자 및 개인정보취급자를 대상으로 정기적인 교육을 실시하여야 하며, 그 실시결과를 포함한 재발방지대책을 수립하여 처분통지를 받은 날로부터 30일 이내에 방송통신위원회에 제출하여야 한다.
3. 과태료 부과22. 피심인의 정보통신망법 제26조(영업의 양수 등에 따른 개인정보의 이전)제2항에 대한 과태료는 같은 법 제76조제2항제3호, 같은 법 시행령 제74조의〔별표9〕및「개인정보 및 위치정보의 보호 위반행위에 대한 과태료 부과지침」(이하 '과태료 부과지침’이라 한다)에 따라 다음과 같이 부과한다.
가. 기준금액23. 정보통신망법 시행령 [별표 9]와 과태료 부과지침 제6조는 최근 3년간 같은 위반행위를 한 경우 위반 횟수에 따라 기준금액을 규정하고 있고, 이번 피심인의 위반행위가 첫 번째에 해당하므로 1회 위반 과태료인 1,000만원을 각 적용한다.〈 위반 횟수별 과태료 금액 〉
나. 과태료의 가중 및 감경1) (과태료의 가중) 과태료 부과지침 제8조는 ▲증거인멸, 조작, 허위의 정보제공 등 조사방해, ▲위반의 정도, ▲기타 위반행위의 정도와 동기, 사업규모, 그 결과 등을 고려하여 과태료를 가중할 필요가 있다고 인정되는 경우에는, 기준금액의 2분의 1까지 가중할 수 있다고 규정하고 있다.
24. 그러나 피심인은 특별히 해당사항이 없으므로 과태료를 가중하지 않는다.2) (과태료의 감경) 과태료 부과지침 제7조는 ▲당사자 환경, ▲사업규모와 자금사정, ▲개인(위치)정보보호 노력정도, ▲조사협조 및 자진시정, ▲기타 위반행위의 정도와 동기, 사업규모, 그 결과 등을 고려하여 과태료를 감경할 필요가 있다고 인정되는 경우에는, 기준금액의 2분의 1까지 감경할 수 있다고 규정하고 있다.
25. 이에 따라 조사 과정 중 법규 위반 행위를 중지하고 시정조치(안) 사전통지 및 의견제출 기간 이내에 법규 위반행위에 대하여 시정을 완료한 점을 고려하여 기준금액의 50%인 300만원을 감경한다.
다. 최종 과태료26. 이에 따라 피심인의 정보통신망법 제26조제2항 위반행위에 대해 3,000,000원의 과태료를 부과한다.Ⅳ-Ⅱ. 위치정보법 위반 관련1. 과태료 부과27. 피심인의 위치정보법 제19조제1항(개인위치정보의 이용 또는 제공)에 대한 과태료는 같은 법 제43조제2항, 같은 법 시행령 제38조의〔별표5〕및「개인정보 및 위치정보의 보호 위반행위에 대한 과태료 부과지침」(이하 '과태료 부과지침’이라 한다)에 따라 다음과 같이 부과한다.
가. 기준금액28. 위치정보법 시행령 제38조 [별표 5]와 과태료 부과지침 제6조는 최근 3년간 같은 위반행위를 한 경우 위반 횟수에 따라 기준금액을 규정하고 있고, 이번 피심인의 위반행위가 첫 번째에 해당하므로 1회 위반 과태료인 300만원을 적용한다.
위반 횟수별 과태료 금액
나. 과태료의 가중 및 감경1) (과태료의 가중) 과태료 부과지침 제8조는 ▲증거인멸ㆍ조작, 허위 정보 제공 등 조사방해, ▲위반의 정도, ▲ 기타 위반행위의 동기, 사업규모, 그 결과 등을 고려하여 과태료를 가중 부과할 필요가 있다고 인정되는 경우에는, 과태료 부과지침 제8조에 따른 과태료 금액을 2분의 1까지 가중하여 부과할 수 있다고 규정하고 있다.
29. 그러나 피심인은 특별히 해당 사항이 없으므로 과태료를 가중하지 않는다.2) (과태료의 감경) 과태료 부과지침 제7조는 ▲당사자의 환경, ▲사업규모와 자금사정, ▲개인(위치)정보보호 노력정도, ▲ 조사협조와 자진시정 ▲기타 위반행위의 정도, 동기, 사업규모, 그 결과 등을 고려하여 과태료를 감경 부과할 필요가 있다고 인정되는 경우에는 과태료 부과지침 제7조에 따른 과태료 금액을 2분의 1까지 감경하여 부과할 수 있다고 규정하고 있다.
30. 이에 따라 시정조치(안) 사전통지 및 의견제출 기간 이내에 법규 위반행위에 대하여 시정을 완료한 점을 고려하여 기준금액의 50%인 150만원을 감경한다.
다. 최종 과태료31. 이에 따라 피심인의 위치정보법 제19조제1항 위반행위에 대해 1,500,000윈의 과태료를 부과한다.Ⅴ. 개선 권고32. 피심인은 위치기반서비스사업을 하려면 상호, 주된 사무소의 소재지, 사업의 종류 위치정보시스템을 포함한 사업용 주요 설비 등에 대하여 방송통신위원회에 신고하야 하며, 개인위치정보를 이용하여 서비스를 제공하고자 하는 경우에는 ① 위치기반서비스사업자의 상호, 주소, 전화번호 그 밖의 연락처, ② 개인위치정보주체 및 법정대리인의 권리와 그 행사방법, ③ 위치기반서비스사업자가 제공하고자 하는 위치기반서비스의 내용, ④ 위치정보 이용ㆍ제공사실 확인자료의 보유근거 및 보유기간, ⑤ 개인위치정보 제3자 제공 사실 통보에 대하여 이용자가 명확하게 인지하고 확인할 수 있도록 알리고 동의를 받아야 하고, 개인위치정보의 수집, 이용 또는 제공의 일시적인 중지에 대한 기술적 수단을 갖추어야 하며, 가입신청서의 개인정보 활용 동의서 상에 개인정보(위치정보 포함)의 보유기간을 관련법에 따라 명확하게 표기하고 대표자를 비롯한 위치정보관리책임자 및 위치정보 취급자를 대상으로 정기적인 교육을 실시하고, 그 실시 결과를 포함한 위치정보 보호대책을 수립하여 처분통지를 받은 날로부터 30일 이내에 방송통신위원회에 제출할 것을 권고한다.Ⅵ. 결론33. 피심인의 정보통신망법 위반행위에 대해 같은 법 제64조제4항(시정명령) 및 제76조제2항제3호(과태료), 위치정보법 위반행위에 대해 같은 법 제43조제2항제5호(과태료)에 따라 주문과 같이 결정한다.이의제기 방법 및 기간34. 피심인은 이 시정명령 부과처분에 불복이 있는 경우, 「행정심판법」 제27조 및 「행정소송법」 제20조의 규정에 따라 처분을 받은 날부터 90일 이내에 방송통신위원회에 행정심판청구 또는 관할법원에 행정소송을 제기할 수 있다.
35. 피심인은 이 과태료 부과처분에 불복이 있는 경우, 「질서위반행위규제법」 제20조의 규정에 따라 처분을 받은 날로부터 60일 이내에 방송통신위원회에 서면으로 이의를 제기할 수 있다.
36. 과태료 부과처분에 대한 피심인의 이의제기가 있는 경우, 방송통신위원회의 과태료 부과처분은 「질서위반행위규제법」 제20조제2항의 규정에 따라 그 효력을 상실하고 관할법원(당사자 주소지의 지방법원 또는 그 지원)이 과태료 재판 절차에 따라 결정한다. 이 경우 피심인은 관할법원의 과태료 재판이 확정된 이후 재판 결과에 따라 과태료 납입 의무를 부담한다.이에 주문과 같이 의결한다.2020년 6월 4일위 원 장 한 상 혁 (인)부위원장 표 철 수 (인)위 원 허 욱 (인)위 원 김 창 룡 (인)위 원 안 형 환 (인)
