개인정보보호위원회(개인정보위)가 중국 이커머스 플랫폼 ‘알리익스프레스’(알리)에 19억7800만원의 과징금을 부과했다.
개인정보보호위원회는 25일 정부서울청사에서 브리핑을 열고 개인정보보호 법규를 위반한 알리에 대해 19억7800만원의 과징금과 780만원의 과태료, 시정명령 및 개선권고를 부과하기로 했다고 밝혔다.
남석 개인정보위 조사조정국장은 “과징금 부과 기준에 따라 위반 행위에 고의 과실이 있는지, 피해 규모는 어느 정도인지 등을 종합적으로 고려해 산정했다”고 설명했다. 위반행위의 중대성을 고려해 위반행위와 관련 없는 매출액을 제외한 전체 매출액의 3% 이내에서 과징금을 산정된다.
조사 결과에 따르면 알리는 이용자가 상품을 구매하면 판매자가 상품을 배송하도록 이용자의 개인정보를 국외 판매자에게 이전했다. 그간 한국 이용자의 개인정보를 제공받은 중국 판매자는 18만여개에 이르는 것으로 확인됐다. 알리는 싱가포르에 법인을 두고 있지만 판매자 대부분은 중국에 적을 두고 있다. 중국 외의 다른 기타 국가 판매자에게도 개인정보가 전달된 것으로 전해졌다.
문제는 국외로 제공되는 개인정보의 경우, 보호법에 따른 보호조치를 적용받기 어렵다는 점이다. 법에서는 개인정보 국외 이전 시 △정보주체의 명확한 동의 △판매자와의 계약 내용 등 안전성 확보 조치 △개인정보 침해에 대한 고충처리 및 분쟁 해결에 관한 조치 등을 반영토록 하고 있다.
그러나 알리는 개인정보가 어느 국가로 이전되는지 이용자에게 알리지 않았다. 개인정보를 이전받은 주체 및 연락처도 고지하지 않았다. 판매자 약관 등에 개인정보 보호 필요 조치도 빠져 있었다. 이와 함께 회원 탈퇴 메뉴를 찾기 어렵게 구성하고, 계정삭제 페이지를 영문으로 표시하는 등 이용자의 권리행사를 어렵게 했다.
이에 개인정보위는 알리에 개인정보 국외이전 관련 보호법 규정 위반 등으로 과징금 및 과태료를 부과했다. 개인정보를 이전받은 국외 판매자 등에 의한 오남용을 예방하도록 우리 보호법상 요구되는 조치를 계약 등에 반영할 것과 회원 탈퇴 절차를 간소화하는 등 이용자가 권리행사를 쉽게 할 수 있도록 조치할 것을 명령했다.
개선도 권고됐다. △개인정보 처리 흐름을 투명하게 쉽게 공개할 것 △국내 대리인의 단순 지정을 넘어 개인정보 보호를 위한 실질적 운영 노력을 기울일 것 △수집하는 개인정보를 최소화하고 민관협력 자율규약 등에 참여할 것 등이다.
자진 시정 조치도 있었다. 알리는 조사 과정에서 법정 요건을 갖춰 국외이전에 대한 이용자 동의를 받는 등 보호법상 합법 근거를 마련했다. 국내 대리인 공개 관련 미흡한 사항을 개선하고, 개인정보 처리방침을 개정했다.
개인정보위는 시정명령 및 개선권고 사항에 대해 지속적으로 이행 여부를 점검할 방침이다.
남 국장은 “이번 조사·처분은 해외 이커머스 사업자라 하더라도 국내 이용자를 대상으로 서비스하는 경우 우리 보호법의 대상이 된다는 점을 명확히 했다”며 “아울러 국내 사업자 수준의 개인정보 보호 및 관리가 요구된다는 점도 명시했다는 데 의의가 있다”고 밝혔다. 이어 “개인정보 국외 이전 시 보호법이 정하는 의무를 충실히 이행해야 한다”면서 “입점 판매자 등과의 관계에서도 적절한 보호와 안전조치를 취해 정보주체의 개인정보자기결정권 보장에 만전을 기하는 계기가 될 것으로 기대한다”고 설명했다.
앞서 해외직구 서비스가 급증하면서 우리 국민의 개인정보 침해 우려가 크다는 지적이 나왔다. 이에 개인정보위는 중국 이커머스인 알리와 테무에 대한 조사를 진행해 왔다. 다만 테무의 경우 사실관계 추가 확인 및 자료제출 보완 등이 필요해 조사 결과에 대한 발표가 미뤄졌다.
