구글이 회원들로부터 개인정보 보호법에 따른 동의를 받지 않고 구글 검색 등 구글 서비스 회원들의 다른 웹사이트나 앱에서의 행태정보를 수집, 맞춤형 광고 등에 이용했다가 시정명령과 약 700억원의 과징금을 부과받았다.
서울행정법원 제2부(재판장 고은설 부장판사)는 이와 관련, 구글이 개인정보보호위원회를 상대로 낸 시정명령 등 처분 취소청구소송(2023구합55191)에서, 1월 23일 "구글이 회원들의 개인정보를 수집할 때 개인정보 보호법에 따른 동의를 받을 의무가 있음에도 개인정보 보호법에 따른 적법한 동의를 받지 않았다"고 판시, 원고의 청구를 모두 기각했다.
구글은 2016년 6월 이후 구글 검색서비스(Google), 지도 서비스(Google Maps), 동영상 공유 서비스(YouTube) 등 구글의 온라인 서비스 신규 가입자들의 다른 웹사이트와 모바일 어플리케이션에서의 행태정보(타사 행태정보)를 수집하여 맞춤형 광고 등에 활용했다. 행태정보는 이용자의 관심, 흥미, 기호 및 성향 등을 파악할 수 있는 웹 사이트 방문 이력, 앱 사용 이력, 구매 및 검색 이력 등 온라인상의 활동정보를 말한다. 이에 개인정보보호위원회가 구글이 신규 회원들로부터 개인정보 보호법에 따른 동의를 받지 않고 개인정보인 타사 행태정보를 수집과 이용했다며 구글에 회원들로부터 타사 행태정보의 수집과 이용에 대한 동의를 받도록 하는 시정명령과 과징금 692억 4,100만원을 부과하자 구글이 소송을 냈다.
재판부는 먼저 타사 행태정보 취득의 주체, 타사 행태정보 이용의 목적 유무, 개인정보 파일 운영 여부 등에 비추어 원고에게는 개인정보 보호법에 따라 개인정보에 해당하는 타사 행태정보의 수집과 이용 동의를 받아야 할 의무가 있다고 보았다.
원고는 "타사 행태정보를 수집 · 이용하는 주체는 원고가 아니라, 원고가 행태정보를 수집한 다른 웹사이트나 앱의 사업자이므로, 웹 · 앱 사업자가 타사 행태정보의 수집 · 이용에 대한 동의를 받을 의무가 있다"고 주장했다.
재판부는 그러나 "웹 · 앱 사업자는 원고가 배포한 비즈니스 도구를 설치하는 등 타사 행태정보 수집 과정에서 일정한 역할을 한 사실이 인정되기는 하나, 개인정보인 타사 행태정보는 원고가 취득하는 점, 원고는 타사 행태정보를 활용한 다양한 사업을 하면서 맞춤형 광고를 통해 수익을 얻는 등 개인정보를 이용할 목적이 있고, 회원들의 구글 서비스 내에서의 행태정보와 타사 행태정보를 개별 회원별로 관리하여 개인정보파일을 운영하는 점 등을 종합할 때, 개인정보에 해당하는 타사 행태정 보에 관한 수집 동의를 받아야 하는 정보통신서비스 제공자는 원고로 봄이 타당하다"며 받아들이지 않았다.
다음은 구글이 타사 행태정보 수집과 이용과 관련하여 개인정보 보호법에 따른 동의를 받았는지에 관한 판단.
재판부는 "원고는 이용자가 구글 서비스에 가입하는 과정에서 법정 고지사항을 불충분한 문구를 통해 모호하게 설명함으로써 통상의 이용자로 하여금 법정 고지사항을 명확하게 인식할 수 없도록 했고, 개인정보 수집을 거부하는 선택을 하는 경우 개인정보 수집을 동의하는 선택을 하는 경우보다 더 번거로운 절차를 거치도록 하고, 이용자의 동의 표시가 있는 것을 기본 값으로 설정해두면서 사후적으로 이용자가 그 설정을 변경하도록 하는 형태의 방식을 취했다"고 지적하고, "원고가 구글 서비스의 신규 가입자에 대하여 타사 행태정보의 수집 및 이용에 관하여 동의를 받기 위하여 취한 절차는 개인정보 자기결정권을 실질적으로 보장하는 동의 절차라고 할 수 없으므로 이용자로부터 개인정보 보호법에 따른 동의를 받지 않았다"고 밝혔다.
재판부는 "원고가 미국과 유럽연합(EU)의 이용자에 대하여 구글 서비스 가입과정에서 개인정보 수집 동의를 받기 위하여 취하고 있는 절차를 살펴보면, 타사 행태정보의 특성을 고려하더라도 법정 고지사항을 명확하고 쉽게 고지하는 것이 가능하고, 수집 동의를 받는데 개인정보 자기결정권을 실질적으로 보장하기 위한 방법이 없는 것도 아니다"고 덧붙였다.
김앤장이 구글을, 개인정보보호위원회는 법무법인 최선과 법무법인 해광이 대리했다.
서울행정법원 관계자는 "온라인 맞춤형 광고 플랫폼이 회원들의 다른 웹사이트나 앱에서의 행태정보를 수집 · 이용하는 행위와 관련하여 제재가 이루어진 첫 사례이자 개인정보 보호법 위반으로 가장 큰 규모의 과징금이 부과된 사례"라고 설명했다.
리걸타임즈 김덕성 기자(dsconf@legaltimes.co.kr)
