“강요된 동의는 동의가 아니다.”
-메타의 이용자 동의 강요에 대한 소고
최호웅 회원(디지털정보위원회)
2022.7.경 페이스북, 인스타그램 등의 서비스를 제공하고 있는 메타(Meta)는 개인정보처리방침(Privacy Policy) 및 이용 약관 등을 개정할 것임을 알리며 △개인정보의 수집 및 이용 △개인정보의 제3자 제공(국가기관, 수사기관 포함) △개인정보의 국가 간 이전 △위치정보 서비스 약관 △개인정보처리방침 업데이트 △서비스 약관 등 이 모든 항목(이하 ‘필수동의항목’이라고 한다)에 대하여 반드시 동의해야 서비스를 계속해서 이용할 수 있다고 공지하였다.
정보주체가 자신의 개인정보에 대하여 자유로운 결정권을 가지고 행사하여야 한다는 ‘개인정보자기결정권’을 헌법 상 기본권으로 보장하고 있음에 대하여는 이견이 없다. 그런데 ‘필수동의항목’에 동의하지 않는 이용자로 하여금 더 이상 서비스를 이용할 수 없다는 메타의 위와 같은 조치로 인하여 이용자가 계속해서 서비스를 이용하기 위하여는 자신의 개인정보 처리에 대한 자유로운 선택권을 행사하지 못하고 어쩔 수 없이 메타의 요구에 따라야 한다는 상황이 벌어진 것이다.
이에 대하여 메타는 오히려 이번 조치가 정보주체인 이용자의 개인정보 처리에 대하여 투명성을 강화하고 대한민국 현행 법제도에 맞추기 위한 방침이었다는 취지의 주장을 하였다. 과연 이러한 메타의 변명은 타당한 것인가.
현행 △개인정보보호법 제16조 제1항에서는 개인정보를 수집하는 경우에는 그 목적에 필요한 최소한의 개인정보를 수집하여야 한다고 규정하고 있으며(개인정보 최소수집의 원칙), △같은 조 제3항에서는 개인정보처리자는 정보주체가 필요한 최소한의 정보 외의 개인정보 수집에 동의하지 아니한다는 이유로 정보주체에게 재화 또는 서비스의 제공을 거부하여서는 아니 된다고 하고 있을 뿐만 아니라, △동법 제39조의3 제3항에서 특히 메타와 같은 정보통신서비스 제공자의 경우 이용자가 필요한 최소한의 개인정보를 제공하지 아니한다는 이유로 그 서비스의 제공을 거부해서는 아니 되며, 이 경우 필요한 최소한의 개인정보는 해당 서비스의 본질적 기능을 수행하기 위하여 필요한 정보를 말한다고 규정하고 있다.
그런데 메타의 이번 조치는 이용자가 제공한 개인정보나 콘텐츠, 서비스 내의 활동기록 뿐만 아니라, 기기에 대한 세세한 정보, 심지어 기기의 신호, 이용자의 위치정보 등 정보주체에게 무척 민감하고 세밀한 정보를 이용하는 것에 대하여 필수항목으로 동의를 강제하고 있으며, 이용자 웹사이트 및 모바일 앱 이용기록(행태정보)를 수집하여 맞춤광고(Targeting Marketing)에 이용하는 것에 동의할 것을 일방적으로 요구하고 있다. 더 나아가 이용자의 개인정보를 국가기관과 수사기관 등에 제공하는 것에 대하여도 ‘필수동의항목’으로 지정하여 메타가 수사기관 등에 정보주체의 개인정보를 일방적으로 제공할 수 있도록 하고 있었다.
메타가 제공하는 페이스북과 인스타그램의 본질적 서비스는 과연 무엇인가. 메타는 출시 앱(APP)에서 ‘더 쉽고, 빠르게 친구들과 이야기를 공유하세요’라고 자신의 서비스를 소개하고 있다. 즉 페이스북과 인스타그램이 이용자에게 제공하고자 하는 서비스의 핵심은 이용자들 사이의 상호 소통과 공유이며, 메타 스스로도 자신이 제공하는 서비스를 그렇게 청약하여 이용자가 가입하여 서비스를 제공받도록 한 것이다.
페이스북과 인스타그램이라는 플랫폼을 통한 이용자의 소통이라는 기능에 메타가 ‘필수동의항목’으로 강제하고 있는 광범위한 정보이용이 과연 서비스의 본질적 기능을 수행하기 위하여 필요한 정보들이라고 볼 수 없는 것이기 때문에 메타의 이번 조치는 개인정보보호법 상의 최소수집의 원칙을 위반하였으며, 이용자에게 필요한 최소한의 개인정보를 제공하지 아니한다는 이유로(‘필수동의항목’에 동의하지 않는다는 이유로) 메타가 그 서비스 제공을 거부할 수 있게 한 것 역시 개인정보보호법 규정을 위반한 것이었다.
또한, 정보처리자의 개인정보 처리의 적법처리 요건 중 동의는 자유로운 의사에 의하여 표시되어야 한다. 강요된 동의는 적법한 동의가 아닌 것이다.
유럽의 개인정보 보호규정인 GDPR(General Data Protection Regulation)에서도 정보주체의 ‘동의’는 자유롭게 제공되어야만 하며, 해당 계약의 이행에 필요하지 않은 개인정보의 처리에 동의를 조건으로 하는 경우 그 동의는 강제적인 느낌을 받는 등 개인에게 실질적인 선택권이 없을 경우 유효한 동의로 보지 않는다고 규정하고 있다(동규정 제7조 제4항 등).
메타는 필요하지도 않은 광범위한 개인정보 처리에 대하여 ‘필수동의항목’으로 구성하여 이용자가 이에 동의를 하지 않으면 서비스 제공을 거부하겠다고 하였다. 이로 인하여 정보주체인 이용자는 서비스를 계속 이용하기 위하여 자신의 의사와 무관하게 동의를 해야만 하는 상황에 놓였던 것이다. 즉, 이용자에게 동의가 강요된 것이었다.
메타의 이번 조치가 공론화 되면서, 민변 디지털위원회를 비롯한 정보인권 시민단체, 소비자단체 등은 이에 대응에 나서게 되었다.
2022.7. 22. 국회의원 배진교·장혜영 의원 주최 긴급 토론회에서 메타의 이번 조치에 대한 부당성과 위법성을 논의하였으며, 사회적 공론화와 메타에게 이번 조치를 철회할 것을 강하게 요구하였다. 언론에서도 메타에 대한 문제제기가 보도되기 시작하였고, 온라인 상에 메타의 부당한 조치를 거부하겠다는 시민들의 자발적인 의사표시가 표출되었다. 2022. 7. 28. 시민단체들은 메타의 한국대리인 사무실을 방문하여 시민단체들의 의견을 전달하였다.
결국 메타는 2022. 7. 28. ‘필수동의항목’에 비동의할 경우 서비스를 중단하겠다는 이번 조치를 철회한다는 선언을 하였으며, 개인정보위원회 역시 그 위법성을 검토하겠다고 입장을 밝혔다. 짧은 기간이었으나, 권리주체인 시민들의 목소리가 모아져 메타 방침 철회라는 소정의 성과가 이루어진 순간이었다.
하지만, 메타와 같이 세계시장을 독점하고 있는 온라인 플랫폼 사업자의 광범위한 이용자 정보수집과 맞춤광고 등을 통한 수익창출을 위하여 정보주체의 권리를 교모하게 침해하고 있는 현실에 대한 문제제기는 이제 시작부터 시작되었다고 할 것이다.