행태정보 광고에 쓴 틱톡 103억·시리 음성 모은 애플 2억…왜?

(서울=뉴스1) 김민수 기자 = 개인정보보호위원회가 적법한 근거 없이 개인정보를 수집·이용한 틱톡과 애플에 각각 103억 600만 원과 2억 5200만 원의 과징금을 부과했다.

과징금 차이를 가른 핵심은 위반 행위와 연결된 매출의 유무였다. 틱톡은 수집한 행태정보를 맞춤형 광고에 활용해 관련 매출이 발생했지만, 애플의 음성비서 '시리'(Siri)는 무료 서비스여서 관련 매출을 산정할 수 없었다. 적용 법률과 조사 과정에서의 시정 조치도 과징금 산정에 영향을 미쳤다.

개인정보위는 지난 22일 전체회의를 열고 틱톡에 과징금 103억 600만 원과 시정·공표 명령을 부과했다. 애플 계열사인 애플 디스트리뷰션 인터내셔널(ADI)에는 과징금 2억 5200만 원을, 애플 서비스(ASPL)에는 시정명령을 내렸다고 23일 밝혔다.

틱톡은 광고와 콘텐츠 성과 분석 서비스를 제공하면서 다른 웹사이트·애플리케이션 사업자에게 '틱톡 픽셀'(TikTok Pixel)과 이벤트 소프트웨어개발도구(SDK) 등 행태정보 수집 도구를 배포했다.

수집 도구가 설치된 웹·앱을 틱톡 이용자가 방문하면 클릭과 검색, 구매, 장바구니 담기, 콘텐츠 열람 등의 활동 기록이 틱톡에 전달됐다. 국내에서는 7만 1000여 개 기업이 틱톡의 행태정보 수집 도구를 이용한 것으로 파악됐다.

틱톡은 2025년 12월 기준 국내 월간 활성 이용자 945만 명으로부터 수집한 타사 행태정보와 기기 식별자 등을 회원 계정에 연결했다. 이후 이용자의 관심사와 특성을 추론해 맞춤형 광고에 활용했다.

문제는 동의 방식이었다. 틱톡은 가입 과정에서 타사 행태정보 수집 사실을 이용자가 명확히 인지할 수 있도록 별도로 알리지 않았다. 서비스 제공에 필요한 다른 개인정보와 함께 필수 동의 항목에 포함해 동의하지 않으면 가입할 수 없도록 했다.

개인정보위는 이용자가 자신의 행태정보 수집 여부를 자유롭게 선택할 수 없었다며 해당 동의를 적법한 동의로 인정하지 않았다. 외부 웹·앱 사업자는 방문자를 특정하기 어렵지만, 틱톡은 쿠키 등 수집 정보와 회원 계정을 결합해 개인을 식별한 만큼 동의를 받아야 할 주체도 틱톡이라고 판단했다.

개인정보위는 국내 이용자를 대상으로 한 맞춤형 광고와 이와 유사한 일반 온라인 광고 매출을 토대로 틱톡 과징금을 산정했다. 스트리밍과 선물하기 등 광고와 무관한 매출은 제외했다. 구체적인 관련 매출액은 기업의 경영정보라는 이유로 공개하지 않았다.

개인정보위는 틱톡이 수집한 행태정보를 실제 맞춤형 광고에 활용한 점을 '매우 중대한 위반행위'로 판단했다. 이에 따라 조사 협조나 사후 시정 등에 따른 과징금 감경 폭도 제한됐다.

애플은 시리가 무료로 제공되는 서비스여서 음성 녹음과 전사문 수집·이용에 직접 연결되는 매출이 없었다. 개인정보위는 관련 매출액이 없는 경우에 해당한다고 보고 정액 과징금을 적용했다.

개인정보위 조사 결과 애플은 2019년 8월까지 시리 이용 과정에서 생성된 음성 녹음과 전사문을 별도의 동의 없이 수집해 음성 인식 기능과 검색 결과 개선 등에 이용했다.

애플은 2019년 10월부터 음성 녹음을 서비스 개선에 활용할 때 별도 동의를 받는 절차를 마련했다. 다만 개인정보위는 음성을 문자로 바꾼 전사문은 이후에도 별도의 적법한 근거를 마련하지 않은 채 서비스 개선에 이용했다고 판단했다.

적용된 법률도 달랐다. 과징금 부과 대상이 된 애플의 과거 음성 녹음 수집·이용 행위에는 당시 시행되던 구 정보통신망법이 적용됐다. 틱톡에는 현행 개인정보보호법이 적용됐다.

구 정보통신망법은 위반 행위 관련 매출액을 기준으로 과징금을 산정한다. 현행 개인정보보호법은 전체 매출액에서 위반 행위와 관련 없는 매출액을 제외하는 방식으로 산정한다.

애플이 조사 과정에서 위법 사항을 시정한 점도 감경 요소로 반영됐다. 애플은 전사문 수집·이용과 관련해 이용자에게 선택권을 부여하고, 전사문에 포함된 개인정보를 걸러내는 조치를 강화했다. 개인정보 처리방침도 개정했다.

애플은 이번 결정이 2019년 발표한 개인정보 보호 조치 이전 사안과 관련돼 있다는 입장을 밝혔다. 현재는 기본적으로 시리 상호작용 과정에서 생성된 오디오 녹음을 보관하지 않고, 이용자가 시리 개선을 위한 음성 샘플 제공 여부를 선택할 수 있다는 설명이다.

애플에 따르면 시리 데이터는 마케팅용 이용자 프로파일 구축이나 광고에 활용되지 않았고 제3자에게 판매되지도 않았다. 이번 처분은 현재 제공되는 '시리 AI'와도 관련이 없다고 설명했다.

틱톡이 이미 수집한 행태정보는 적법한 처리 근거 없이 계속 이용할 수 없다.

개인정보위는 기존 정보를 즉시 일괄 삭제하라고 명령하지는 않았지만, 이용자가 명확히 인지한 상태에서 자유롭게 동의할 수 있도록 절차를 마련하라고 시정명령을 내렸다.

틱톡은 이용자의 동의를 받았거나, 동의를 얻지 못한 정보를 삭제하는 등 시정명령을 어떻게 이행했는지 개인정보위에 제출해야 한다. 개인정보위는 제출된 결과를 토대로 이행 여부를 점검할 예정이다.

이번 조사에서 피해 규모로 제시된 945만 명은 2025년 12월 기준 틱톡의 국내 월간 활성 이용자 수다.

개인정보위는 외부 웹·앱에서 수집된 쿠키 등 정보가 틱톡 회원 계정과 결합돼 개인을 식별할 수 있게 되는 만큼, 동의를 받아야 할 주체도 개별 웹·앱 사업자가 아닌 틱톡이라고 판단했다.

kxmxs4104@news1.kr