(서울=뉴스1) 손인해 박혜연 기자 = 인공지능(AI) 챗봇 '이루다'의 개인정보 유출 이슈에서 최대 쟁점 중 하나는 '카카오톡 대화 내용이 개인정보에 해당하는가'였다.
개인정보보호법상 개인정보 안전조치 의무 및 민감정보 처리 제한 의무 위법성이 성립하려면 먼저 스캐터랩이 이루다와 오픈소스 플랫폼을 통해 공개한 정보가 현행법상 '개인정보'에 해당하는지를 따져야 하기 때문이다.
현행법상 개인정보는 '성명·개인정보 등을 통해 개인을 알아볼 수 있는 정보 또는 해당정보만으로 특정 개인을 알아볼 수 없더라도 다른 정보와 쉽게 결합해 알아볼 수 있는 정보'라고 규정하고 있다.
◇ "이용자 알아볼 수 있어 개인정보 해당"
개인정보보호위원회는 28일 이루다 개발사 스캐터랩에 대해 총 1억330만원의 과징금과 과태료를 부과하면서 스캐터랩이 자사 앱 서비스인 '텍스트앳'과 '연애의과학'에서 수집한 이용자 카카오톡 대화 내용이 개인정보에 해당한다고 판단했다.
개인정보위는 "카카오톡 대화의 경우 실명과 휴대전화 번호 등 개인정보가 포함돼 있을 가능성이 높고 식별정보 외에 인간관계나 소속을 추정할 수 있는 대화를 통해 개인을 알아볼 수 있다는 특징이 있다"고 밝혔다.
이어 "스캐터랩의 경우에는 실명인증을 거치지지는 않으나 소셜 로그인 ID 등 회원정보와 카카오톡 대화를 함께 수집해 이용하고 있다"며 "따라서 카카오톡 대화가 회원정보 및 대화에 포함된 개인정보와 결합해 특정한 대화문장을 발화한 이용자를 알아볼 수 있어 개인정보에 해당한다고 판단된다"고 했다.
개인정보 유출 논란은 이루다가 갑자기 특정 이름이나 주소, 논문 제목, 대학교수 이름을 말하거나 특정 장소에서 찍은 사진을 전송하는 사례가 발견되면서 촉발됐다.
스캐터랩은 일부 비식별화가 제대로 안 된 부분에 대해서 사과하면서도 '대화 단위'가 아니라 개별적이고 독립적인 1억건의 이루다의 답변 내용을 조합해 개인을 특정할 수 없다는 입장을 고수하고 있다.
◇ 개인정보 수집·이용 고지 충분했나
스캐터랩의 개인정보 수집·이용 고지가 충분했는가도 도마에 올랐다.
스캐터랩은 텍스트앳과 연애의 과학 이용자들이 제공한 카카오톡 대화 문장 94억건을 토대로 이루다를 개발했는데, 개인정보 수집 목적이 '신규 서비스 개발에 활용될 수 있다'고 고지한 것에 부합했는가가 골자였다.
개인정보위는 "텍스트앳과 연애의 과학 개인정보 처리방침에 '신규 서비스 개발'을 포함해 이용자가 로그인함으로써 동의한 것으로 간주하는 것만으로는 이용자가 이루다 같은 신규 서비스 개발 목적의 이용에 동의했다고 보기 어렵다"고 판단했다.
그러면서 "신규 서비스 개발이라는 기재만으로 '이루다' 개발과 운영에 카카오톡 대화가 이용될 것에 대해 예상하기도 어려우며, 이용자의 개인정보 자기결정권이 제한되는 등 이용자가 예측할 수 없는 손해를 입을 우려가 있기 때문에 이용자의 개인정보 수집 목적을 벗어나 이용한 것"이라고 했다.
◇ "카톡 대화 3자 동의 안 받아도 된다"
카카오톡 대화 수집 시 대화 상대방의 동의를 받지 않았다는 지적에 대해선 개인정보위가 "문제가 없다"고 판단했다.
개인정보위는 "대화의 일방 당사자가 입력한 카카오톡 대화는 대화 상대방의 회원정보를 함께 수집하지 않는 이상 이를 입력한 일방 당사자의 개인정보로써 수집된 것"이라며 "다수가 포함된 사진을 일방 당사자가 입력할 때에도 일방 당사자가 자신의 책임하에 이를 처리하는 것이고, 개인정보 처리자가 다수의 동의를 받아 수집할 것이 요구되지 않는 것과 유사하다"고 했다.
이어 "위원회는 이러한 점을 고려해 스캐터랩이 카카오톡 대화의 일방 당사자 동의만으로 카카오톡 대화를 수집할 수 있다고 판단했다"며 "다만 수집한 대화를 공개하는 등 대화 상대방이 예상하기 어렵고 불측의 손해가 우려되는 처리 행위는 특별한 사정이 없는 한 허용된다고 보기 어렵다"고 했다.
민감정보 처리 제한 의무 위반 여부에 대해선 '절반의 위반' 판단을 내렸다.
개인정보위는 "판례상 카카오톡 대화내용 전체가 민감정보에 해당한다고 보기 어려워 스캐터랩이 카카오톡 대화를 수집한 행위 자체는 민감정보를 수집한 것이 아니라고 봤다"면서도 "성적 취향을 알 수 있는 심리테스트 설문 응답 결과를 이용자별로 저장해 놓은 것은 별도 동의 없이 민감정보를 수집한 것이라고 판단했다"고 했다.
son@news1.kr
