월드코인, 개인정보보호법 위반으로 과징금 11억 400만 원

개인정보위 "홍채 코드는 민감 생체 정보, 법 준수 의무"
홍콩서 금지당한 월드코인, 한국에선 영업 가능
TFH "문제 사항 시정 조치…당국 판단 존중"
데이팅앱 아만다 운영사 테크랩스, 경찰 고발조치

▲월드ID 발급을 위한 홍채 인식에 활용되는 ‘오브’ (출처=월드코인 홈페이지)

월드코인 재단과 운영사 툴스 포 휴머니티(TFH)가 개인정보보호법 위반으로 과징금 11억 400만 원의 과징금을 부과받았다. 가상자산 발행 재단이 국내에서 개인정보보호법 위반으로 제재를 받은 건 처음이다.

개인정보보호위원회는 25일 제16회 전체회의를 열고, 개인정보보호 법규를 위반한 월드코인 재단과 TFH 대해 총 11억 400만 원의 과징금과 시정명령 및 개선권고를 부과하기로 의결했다고 26일 밝혔다. 월드코인 재단이 과징금 7억 2500만 원, 개인정보 처리 업무를 위탁받은 운영사 TFH는 3억 7900만 원을 부과받았다.

개인정보위는 월드코인 측이 합법적 처리 근거 없이 국내 정보주체의 홍채정보 등 개인정보를 수집하고, 이를 국외로 이전하면서 개인정보보호법상 의무를 준수하지 않았다고 밝혔다.

먼저, 월드코인 재단은 촬영기구 '오브'(Orb)를 통해 정보주체의 홍채를 촬영한 후 이를 활용해 홍채코드를 생성하면서 국내 정보주체에게 ‘수집·이용 목적’ 및 ‘보유·이용 기간’ 등 보호법에서 정한 고지사항을 제대로 알리지 않았다.

당초 월드코인 측은 홍채코드로는 중복 가입 여부에 대한 확인만 가능하고, 특정 개인에 대한 식별은 곤란하므로 익명화, 비식별화된 정보이기 때문에 개인정보에 해당하지 않아 법을 위반하지 않았다고 주장했다.

하지만 개인정보위는 홍채코드 자체로 개인을 유일하게 식별할 수 있고 변경이 불가능한 민감정보(생체인식정보)라고 판단했다. 월드코인 측이 직접 홍채 이미지를 촬영해 홍채 코드를 만들고, 홍채 관련 정보는 일신전속적·변경불가능하다는 판단이다. 또 개인별 홍채코드 역시 유일무이하고 특정 개인에 귀속돼 식별자로 기능했다. 실제로도 홍채코드는 내부적으로 월드 아이디와 연계됐다.

개인정보위에 따르면 6일 기준, 국내에서 9만 3463명이 월드앱(가상자산 지갑앱)을 다운로드 받았으며, 이 중 2만 9991명이 홍채 인증을 받았다.

월드코인 측은 홍채코드를 비롯해 국내 정보주체로부터 수집한 개인정보를 독일 등 국외로 이전하면서 ‘개인정보가 이전되는 국가’, ‘개인정보를 이전받는 자의 성명(법인명) 및 연락처’ 등 보호법에서 정한 고지사항을 정보주체에게 알리지 않았다.

또 홍채코드의 삭제 및 처리정지 등을 요구할 방법·절차를 마련하지 않았고, TFH는 월드앱 가입 시 만 14세 미만 아동의 연령 확인 절차도 미흡했다. 월드코인 재단은 조사가 시작되자 홍채코드 삭제 기능을 마련하였고, 국내 홍채정보 수집을 재개하면서 현장에서 신분증 확인 절차를 도입했다.

운영 중단은 피한 월드코인…"개인정보위 결정 존중"

개인정보위는 월드코인의 운영 자체는 금지하지 않았다. 월드코인은 지난 5월 홍콩 당국으로 현지법을 준수하지 않았다는 이유로 영업이 금지됐다. 스페인과 포르투갈에서는 운영이 잠정 중단됐으며 유럽연합에서 현재 조사를 진행 중이다.

개인정보위는 월드코인의 법 준수 여부를 지속해서 모니터링할 예정이다. 남석 개인정보위 조사조정국장은 "월드코인 측이 개선권고 기한에 맞춰서 관련된 대책이나 계획을 제출할 계획이고, 그 내용의 적절성에 대해서는 위원회가 다시 한번 검토할 계획"이라고 말했다.

월드코인 측은 개인정보위의 결정을 존중한다는 입장을 밝혔다. 데미안 키어런 TFH 최고 개인정보 보호 책임자(CPO)는 화상 인터뷰를 통해 "한국에서 처음 서비스를 시작했을 때 당시 정보보호가 취약하다는 걸 발견했고, 이런 부분을 시정 보안했다"면서 "과징금이 있다는 걸 좋은 결과라 할 수 없지만, 시정 사실이 중요하다고 생각하고, 기술과 서비스 측면에서 한국법을 준수하고 개인정보위가 만족할만한 수준으로 도달할 수 있도록 노력하겠다"고 말했다.

한편, 개인정보위는 이날 한국사회복지협의회와 데이팅앱 아만다· 연권 운영사 테크랩스에도 개인정보호보법 위반으로 각각 과징금 4억 8300만 원과 2억 2400만원을 부과했다. 테크랩스는 가입된 회원의 프로필 사진을 이용해 다른 국가에서 운영하는 자사의 또 다른 데이팅 앱 서비스에서 허위계정을 생성했다. 개인정보위는 이 행위가 정보주체의 권리·이익이나 사생활에 미칠 영향이 상당한 매우 중대한 위반에 해당한다고 보고, 경찰에 테크랩스를 고발조치하기로 했다.