틱톡·애플, 적법 근거 없는 개인정보 수집으로 개보위 제재…과징금 112억원 부과

핵심 요약

- 개인정보보호위원회가 틱톡코리아와 애플코리아에 총 112억 원의 과징금 부과 및 시정명령 조치 - 틱톡은 적법한 근거 없이 생체인식정보 등 민감정보를 수집하고, 이용자 동의 없이 개인정보를 제3자에게 제공 - 애플은 앱스토어 이용 과정에서 법적 근거 없이 개인정보를 수집하고 부적절한 개인정보 처리방침 운영

주요 내용

개인정보보호위원회(위원장 고학수, 이하 개보위)는 2026년 7월 23일, 틱톡코리아 유한회사와 애플코리아 유한회사에 대해 개인정보보호법 위반으로 총 112억 원의 과징금을 부과하고 시정을 명령했다고 밝혔다.

틱톡코리아는 2021년 5월부터 2023년 8월까지 약 2년 3개월간 약 400만 명의 이용자로부터 얼굴 인식 데이터 등 생체인식정보를 포함한 민감정보를 적법한 근거 없이 수집한 것으로 드러났다. 개보위 조사 결과, 틱톡은 이용자에게 민감정보 수집에 대한 별도 동의를 받지 않고 안면인식 필터, 음성변조 기능 등을 제공하면서 생체정보를 처리했다. 또한 틱톡은 이용자의 명시적 동의 없이 약 2,300만 명의 개인정보를 중국 본사를 포함한 해외 법인에 제공한 사실도 확인됐다. 이에 개보위는 틱톡에 과징금 86억 원을 부과하고 개인정보 처리 방법 개선을 명령했다.

애플코리아는 2019년 9월부터 2024년 6월까지 약 5년간 앱스토어 서비스를 이용하는 과정에서 약 520만 명의 이용자로부터 법적 근거 없이 개인정보를 수집·이용한 것으로 확인됐다. 애플은 앱 다운로드, 구매 등 서비스 제공에 필수적이지 않은 광고 식별자(IDFA), 위치정보 등을 수집하면서도 이용자에게 적절한 동의를 받지 않았다. 또한 개인정보 처리방침을 영문으로만 제공하고, 국내 이용자가 이해하기 어려운 형태로 작성해 정보주체의 알 권리를 침해했다. 개보위는 애플에 과징금 26억 원을 부과하고 개인정보 처리방침 개선 등을 명령했다.

개보위 관계자는 "글로벌 플랫폼 기업이라 하더라도 국내에서 서비스를 제공하는 이상 개인정보보호법을 준수해야 한다"며 "특히 민감정보나 대규모 이용자의 개인정보를 처리하는 경우 법적 요건을 철저히 준수해야 한다"고 강조했다.

전문가 시각

이번 제재는 글로벌 플랫폼 기업의 개인정보 처리 관행에 대한 강력한 경고 메시지를 담고 있다. 특히 주목할 점은 '적법한 처리 근거'의 중요성이다. 많은 기업이 이용자 동의를 형식적으로만 받거나, 서비스 제공에 필수적이지 않은 정보까지 포괄적으로 수집하는 관행을 유지해왔다. 그러나 개인정보보호법 제15조는 개인정보 수집·이용의 법적 근거를 명확히 규정하고 있으며, 제23조는 민감정보에 대해 별도의 동의를 요구한다. 틱톡 사례에서 볼 수 있듯이, 생체인식정보는 민감정보에 해당하므로 일반 개인정보보다 더 엄격한 보호조치가 필요하다.

ISMS-P 인증을 준비하거나 유지 중인 기업은 이번 사례를 통해 자사의 개인정보 수집·이용 프로세스를 재점검해야 한다. 특히 ①개인정보 수집 시 법적 근거의 명확성, ②민감정보 처리 시 별도 동의 획득 여부, ③제3자 제공 시 이용자 동의 및 고지 적정성, ④개인정보 처리방침의 명확성과 접근성을 집중적으로 검토해야 한다. 또한 글로벌 서비스를 제공하는 기업의 경우, 국가별 개인정보보호 법제의 차이를 인식하고 각 국가의 법적 요건을 충족하는 별도의 컴플라이언스 체계를 구축해야 한다.

ISMS-P 심사원 체크포인트

1. 개인정보 수집 시 법적 근거 및 동의 관리 (ISMS-P 3.1.1, 3.1.2) - 개인정보 수집 시 개인정보보호법 제15조(수집·이용)의 법적 근거 확보 여부를 확인해야 한다. 특히 ①정보주체의 동의, ②계약 체결·이행 필요성, ③법적 의무 이행, ④정보주체 또는 제3자의 급박한 이익, ⑤정당한 이익 추구(정보주체 권리보다 우선하는 경우) 중 어느 하나에 해당하는지 명확히 문서화되어야 한다. - 민감정보(제23조) 처리 시 별도 동의를 받았는지, 동의서에 민감정보 항목이 명시되어 있는지 점검한다. 생체인식정보의 경우 수집 목적, 처리 방법, 보유기간이 구체적으로 고지되었는지 확인이 필요하다.

2. 제3자 제공 동의 및 고지 (ISMS-P 3.1.4) - 개인정보를 제3자에게 제공하는 경우 개인정보보호법 제17조에 따라 ①제공받는 자, ②제공 목적, ③제공 항목, ④보유·이용기간을 명시하여 동의를 받았는지 심사한다. - 특히 국외 이전의 경우 제28조의2에 따라 이전받는 국가, 이전 일시 및 방법, 해당 국가의 개인정보보호 제도 등을 추가로 고지했는지 확인해야 한다.

3. 개인정보 처리방침의 적정성 (ISMS-P 3.1.6) - 개인정보보호법 제30조에 따른 개인정보 처리방침이 이용자가 쉽게 이해할 수 있는 언어(한국어)로 작성되었는지, 접근이 용이한 위치에 게시되어 있는지 점검한다. - 처리방침에 법정 필수 기재사항(처리 목적, 항목, 보유기간, 제3자 제공, 처리 위탁, 정보주체 권리 등)이 모두 포함되어 있으며, 실제 운영과 일치하는지 확인이 필요하다.

위반 조항

틱톡코리아 위반 조항: - 개인정보보호법 제15조 제1항(개인정보의 수집·이용): 적법한 근거 없이 개인정보 수집·이용 - 개인정보보호법 제23조 제1항(민감정보의 처리 제한): 별도 동의 없이 생체인식정보 등 민감정보 처리 - 개인정보보호법 제17조 제1항(개인정보의 제공): 동의 없이 개인정보를 제3자(해외 법인)에게 제공 - 개인정보보호법 제39조의3(과징금 부과): 위반행위에 대한 과징금 86억 원 부과 근거

애플코리아 위반 조항: - 개인정보보호법 제15조 제1항(개인정보의 수집·이용): 법적 근거 없이 서비스 제공에 불필요한 개인정보 수집 - 개인정보보호법 제30조 제1항(개인정보 처리방침의 수립 및 공개): 이용자가 이해하기 어려운 형태(영문)로 처리방침 제공 - 개인정보보호법 제39조의3(과징금 부과): 위반행위에 대한 과징금 26억 원 부과 근거 - 개인정보보호법 제64조(시정명령): 개인정보 처리 방법 개선 및 처리방침 수정 명령

CPPG·ISMS-P 연계 포인트

1. 개인정보 수집의 법적 근거 5가지 (개인정보보호법 제15조 제1항) 개인정보를 수집·이용하기 위해서는 ①정보주체의 동의, ②계약의 체결 및 이행을 위해 불가피한 경우, ③법률에 특별한 규정이 있거나 법령상 의무를 준수하기 위해 불가피한 경우, ④정보주체 또는 제3자의 급박한 생명·신체·재산의 이익을 위해 필요한 경우, ⑤개인정보처리자의 정당한 이익 달성에 필요하며 정보주체의 권리보다 우선하는 경우 중 하나에 해당해야 한다. CPPG 시험에서는 각 근거의 적용 요건과 우선순위를 구분하는 문제가 자주 출제된다.

2. 민감정보의 처리 제한 (개인정보보호법 제23조) 민감정보는 사상·신념, 노동조합·정당 가입·탈퇴, 정치적 견해, 건강·성생활, 유전정보·생체인식정보, 범죄경력 등을 의미하며, 일반 개인정보보다 엄격한 보호를 받는다. 민감정보 처리 시에는 정보주체의 '별도 동의'를 받아야 하며, 동의서에는 민감정보의 구체적 항목을 명시해야 한다. ISMS-P 심사 시 민감정보 처리 프로세스, 암호화 적용 여부, 접근통제 현황이 중점 점검 대상이 되며, CPPG 시험에서도 민감정보 판단 기준과 처리 요건이 핵심 출제 영역이다.

---

[필자 소개] 백남정 박사는 ISMS-P 선임심사원(30회)이자 공학박사로, 정보보호 및 개인정보보호 분야에서 다년간 실무 경험과 학술 연구를 병행해왔다. 기업의 ISMS-P 인증 컨설팅 및 심사 업무를 수행하며, 최신 개인정보보호 이슈를 실무 관점에서 분석하고 있다.