사실관계
월드코인 프로젝트에서는 ‘오브(Orb)’라는 기기로 홍채를 촬영하고 이를 바탕으로 홍채코드를 생성한다. 월드코인 재단이 개인정보처리자였고, 툴스 포 휴머니티(TFH)가 처리 업무를 맡았다. 2024년 9월 6일 기준 국내에서 앱을 내려받은 93,463명 가운데 29,991명이 홍채 인증을 마쳤다. 수집된 정보는 독일 등 국외로 이전되었다. 개인정보보호위원회는 홍채정보가 민감정보에 해당한다는 점을 전제로 수집, 고지, 동의, 국외 이전, 삭제 절차 전반을 조사했다. TFH가 운영하는 월드 앱 가입 단계의 연령 확인 절차도 조사 대상이었다.
쟁점
핵심 쟁점은 홍채와 같은 생체 식별정보를 수집하면서 개인정보 보호법이 민감정보에 대해 요구하는 별도 동의와 고지 요건을 지켰는지였다. 위원회는 정보가 이전되는 국가와 이전받는 자를 정보주체에게 알렸는지, 이용자가 홍채코드의 삭제나 처리정지를 요구할 방법이 마련되어 있었는지, 14세 미만 아동의 가입을 막는 연령 확인 절차가 있었는지도 따졌다. 이 쟁점들은 생체정보 기반 신원 인증 서비스가 국내법상 어디까지 허용되는지와 직결되었다.
판단
개인정보보호위원회는 2024년 9월 25일 전체회의에서 월드코인 재단이 홍채정보의 수집·이용 목적과 보유·이용 기간 등을 정보주체에게 제대로 알리지 않았고, 민감정보 처리에 필요한 별도 동의도 받지 않았다고 판단했다. 개인정보가 이전되는 국가와 이전받는 자의 성명·연락처를 알리지 않은 채 독일 등으로 이전했고, 홍채코드의 삭제를 요구할 방법도 마련하지 않았다. TFH는 14세 미만 아동의 연령 확인 절차가 미흡했다. 위원회는 월드코인 재단에 7억 2,500만 원, TFH에 3억 7,900만 원 등 총 11억 400만 원의 과징금을 부과했다. 아울러 민감정보를 처리할 때 충분히 고지하고 동의를 받을 것, 삭제 기능을 보장할 것, 최초 수집 목적 밖의 이용을 제한할 것을 명했다.
의의
이 결정은 홍채 등 생체 식별정보에 기반한 신원 인증 서비스가 민감정보 규율을 받으며, 별도 동의와 명확한 고지, 실제로 작동하는 삭제권 보장이 필요하다는 점을 보여 주었다. 국외 이전 시 이전 국가와 이전받는 자를 알려야 한다는 점도 구체적으로 확인했다. 같은 프로젝트는 여러 나라 감독기관의 조사를 받았는데, 한국의 결정은 그중 금전 제재로 이어진 사례에 속한다.