사실관계
개인정보보호위원회는 2020년 11월 처분한 페이스북 친구 정보 제3자 앱 제공 사건을 처리하던 중 메타(Meta Platforms, Inc.)의 민감정보 처리 문제를 인지하고 조사를 진행했다. 메타는 페이스북 프로필을 통해 국내 이용자 약 98만 명의 종교관·정치관, 동성과의 결혼 여부 등 민감정보를 수집했으며, 개인정보위에 따르면 해당 기간은 2018년 7월부터 시정이 완료된 2022년 3월까지다. 또한 이용자가 '좋아요'를 누른 페이지, 클릭한 광고 등 행태정보를 분석해 특정 종교, 동성애, 트랜스젠더, 북한이탈주민 등 민감정보 관련 광고 주제를 만들어 운영했고, 약 4,000개 광고주가 이를 이용했다. 메타는 조사 과정에서 2021년 8월 프로필을 통한 민감정보 수집을 중단하고 2022년 3월 해당 광고 주제를 파기했다.
쟁점
플랫폼이 프로필과 행태정보 분석을 통해 얻은 사상·신념, 정치적 견해 등 민감정보를 데이터 정책에 불분명하게 기재하기만 하고 별도 동의 없이 맞춤형 광고에 활용한 것이 구 개인정보 보호법 제23조 제1항 위반인지가 핵심 쟁점이었다. 개인정보위는 아울러 메타가 개인정보 보유기간, 페이스북 로그인을 통한 제3자 제공 현황, 페이스북 외부활동 정보 수집 근거에 관한 열람 요구를 거절한 데 정당한 사유가 있는지 살폈다. 사용하지 않는 계정 복구 페이지를 방치해 위조 신분증으로 비밀번호가 재설정된 것이 안전조치 의무 위반인지도 판단했다.
판단
개인정보위는 2024년 11월 4일 제18회 전체회의에서 메타가 합법 처리 근거 없이 민감정보를 처리했다고 판단했다. 보호법은 민감정보 처리를 원칙적으로 제한하고 별도 동의 등 예외적인 경우에만 허용하는데, 메타는 데이터 정책에 불분명하게 기재했을 뿐 별도 동의를 받지 않았고 추가 보호조치도 하지 않았다. 열람 거절은 시행령 제41조 제1항 제3호부터 제5호가 해당 사항을 열람 대상으로 정하고 있어 정당한 사유가 없다고 보았다. 방치된 계정 복구 페이지로 국내 이용자 10명의 개인정보가 유출된 점도 인정했다. 구 보호법 제23조 제1항, 제29조, 제35조 제3항 위반으로 과징금 216억 1,300만 원과 과태료 1,020만 원을 부과하고, 시정명령과 함께 처분 통지일부터 90일 이내에 이행계획을 제출하도록 했다.
의의
이 결정은 이용자 행태정보를 분석해 만든 광고 주제가 종교, 성적 지향 등과 연결될 경우 이를 민감정보 처리 문제로 다루었다. 개인정보위에 따르면 메타에 대한 제재 가운데 민감정보와 관련된 것은 이번이 처음이다. 처분에는 개정 전 구 보호법이 적용되었다. 국내 이용자에게 서비스를 제공하는 해외 사업자도 열람권 등 정보주체의 권리를 보장해야 한다는 점도 분명히 했다. 메타가 이 처분에 불복해 소송을 제기했는지는 이번 조사에서 확인하지 못했다.
관련 절차
개인정보위가 2022년 9월 동의 없는 타사 행태정보 수집·이용을 이유로 구글(692억 원)과 메타(308억 원)에 내린 처분에 대한 취소소송은 2025년 1월 23일 서울행정법원 행정2부에서 원고 패소로 판결되었다. 메타는 2025년 2월 3일, 구글은 2월 4일 항소했으며, 2026년 9월 현재 두 사건 모두 서울고등법원에 계속 중이다(메타 2025누6020, 구글 2025누5923).