개인정보보호위원회는 4월 28일 제7회 전체회의를 열고 챗봇 ‘이루다’ 개발사 스캐터랩에 대하여 총 1억 330만원의 과징금과 과태료 등을 부과했다.

이는 AI 기술 기업의 개인정보 문제에 제재한 첫 사례로, 기업이 특정 서비스를 목적으로 수집한 개인정보를 이용자의 명시적 동의 없이 다른 서비스를 위하여 이용하는 것을 제한한 것이다.

개인정보위는 지난 1월 12일 언론보도를 통해 조사에 착수했고, 본 건이 국민과 산업계에 미치는 영향을 고려하여, AI 개발과 서비스 제공 과정에서의 개인정보 처리현황과 법리적·기술적 쟁점에 대하여 산업계, 법·학계, 시민단체 의견을 수렴하고, 수 차례의 위원회 논의 과정을 거쳐 행정처분을 의결하였다.

개인정보위 조사 결과, 스캐터랩은 자사의 앱 서비스인 ‘텍스트앳’과 ‘연애의 과학’에서 수집한 카카오톡 대화를 2020. 2.부터 2021. 1.까지 페이스북 이용자 대상의 챗봇 서비스인 ‘이루다’ 의 AI 개발과 운영에 이용한 것으로 확인되었다.

스캐터랩은 ‘이루다’ AI 모델의 개발을 위한 알고리즘 학습 과정에서, 카카오톡 대화에 포함된 이름, 휴대전화번호, 주소 등의 개인정보를 삭제하거나 암호화하는 등의 조치를 전혀 하지 않고, 약 60만 명에 달하는 이용자의 카카오톡 대화문장 94억여 건을 이용하였고, ‘이루다’ 서비스 운영 과정에서는, 20대 여성의 카카오톡 대화문장 약 1억 건을 응답 DB로 구축하고, ‘이루다’가 이 중 한 문장을 선택하여 발화할 수 있도록 운영하였다.

개인정보위는 스캐터랩이 이와 같이 ’이루다‘ 서비스 개발과 운영에 이용자의 카카오톡 대화를 이용한 것에 대하여, ’텍스트앳‘과 ’연애의 과학‘ 개인정보처리방침에 ’신규 서비스 개발‘을 포함시켜 이용자가 로그인함으로써 동의한 것으로 간주하는 것만으로는 이용자가 ’이루다‘와 같은 ’신규 서비스 개발‘ 목적의 이용에 동의하였다고 보기 어렵고, ’신규 서비스 개발‘이라는 기재만으로 이용자가 ’이루다‘ 개발과 운영에 카카오톡 대화가 이용될 것에 대해 예상하기도 어려우며, 이용자의 개인정보 자기결정권이 제한되는 등 이용자가 예측할 수 없는 손해를 입을 우려가 있다는 이유로 스캐터랩이 이용자의 개인정보를 수집한 목적을 벗어나 이용한 것이라고 판단하였다.

개인정보위는 스캐터랩이 개발자들의 코드 공유 및 협업 사이트로 알려진 깃허브에 2019. 10.부터 2021. 1.까지 이름 22건(성은 미포함)과 지명정보(구·동 단위) 34건, 성별, 대화 상대방과의 관계(친구 또는 연인) 등이 포함된 카카오톡 대화문장 1,431건과 함께 AI 모델을 게시한 것에 대하여는, 가명정보를 불특정 다수에게 제공하면서 ’특정 개인을 알아보기 위하여 사용될 수 있는 정보‘를 포함하였다는 이유로 「개인정보 보호법」 제28조의2제2항을 위반한 것이라고 판단하였다.

개인정보위는 조사 과정에서 정보주체가 명확히 인지할 수 있도록 알리고 동의를 받지 않은 사실 등 추가 위반사실을 확인하였으며, ’이루다‘와 관련된 사항을 포함, 총 8가지 「개인정보 보호법」위반행위에 대하여 스캐터랩에 총 1억 330만원의 과징금과 과태료를 부과하고 시정조치를 명령하였다.

윤종인 개인정보위 위원장은 “’이루다‘ 사건은 전문가들조차 의견이 일치되지 않아 그 어느 때보다도 격렬한 논쟁이 있었고, 매우 신중한 검토를 거쳐 결정되었다.”라면서 “이번 사건은 기업이 특정 서비스에서 수집한 정보를 다른 서비스에 무분별하게 이용하는 것이 허용되지 않고, 개인정보 처리에 대하여 정보주체가 명확하게 인지할 수 있도록 알리고 동의를 받아야 한다는 것을 분명히 하였다는 점에 의미가 있다.”라고 밝혔다.

윤 위원장은 이어, “본 건에 대한 처분 결과가 AI 기술 기업이 개인정보를 이용할 때에 올바른 개인정보 처리 방향을 제시하는 길잡이가 되고, 기업이 스스로 관리·감독을 강화해 나가는 계기가 되기를 바란다.”라고 덧붙였다.

한편 스캐터랩은 “AI 기술 기업으로서 관련 기술과 서비스를 발전시키는 과정에 있어서 올바른 개인정보 처리의 필요성에 대한 무거운 사회적 책임을 느꼈다. 이번과 같은 일이 되풀이 되지 않도록 1월 이루다 서비스 종료 후 바로 내부 TF팀을 구성하여 보다 엄격한 기준 하에서 개인정보 처리에 필요한 프로세스 및 기술들을 마련해 나가고 있다. 현재 만 14세 미만 사용자에 대한 서비스를 제한하고 가명처리 시스템을 고도화하는 조치를 취하였으며, 개인정보 및 민감정보 수집·이용 동의 절차 개선 등 개인정보 보호 강화를 위한 조치들을 준비 중”이라며 “이번 개인정보보호위원회의 결정을 계기로, 개인정보보호위원회의 시정 조치를 적극적으로 이행하는 것은 물론, 관련 법률과 산업계 전반의 사회적 합의에 의해 정해진 개인정보 처리 가이드라인을 더욱 적극적으로 준수해 나가겠다.”고 밝혔다.

(이하 주요쟁점과 관련된 개인정보보호위원회와의 Q&A)

카카오톡 대화가 개인정보에 해당하는지?

카카오톡 대화의 경우 실명과 휴대전화번호 등의 개인정보가 포함되어 있을 가능성이 높고 식별정보 외에 인간관계, 소속 등을 추정할 수 있는 대화를 통해 개인을 알아볼 가능성이 있다는 특징이 있습니다. 또한, 스캐터랩의 경우에는 실명인증을 거치지는 않으나 소셜 로그인 ID 등의 회원정보와 카카오톡 대화를 함께 수집하여 이용하고 있습니다. 따라서 카카오톡 대화가 회원정보 및 대화에 포함된 개인정보와 결합하여 특정한 대화문장을 발화한 이용자를 알아볼 수 있어 개인정보에 해당한다고 판단됩니다.

카카오톡 대화가 민감정보에 해당하는지?

이용자가 자신의 성생활에 관한 정보 등을 언급한 경우에도 이용자가 자유롭게 작성하는 내용에 따라 민감한 성격을 가질 수 있는 것에 불과하여 카카오톡 대화내용 전체가 민감정보에 해당한다고 보기 어렵습니다(서울중앙지법 2013고합577 참조) 따라서 위원회는 스캐터랩이 카카오톡 대화를 수집한 행위 자체에 대하여는 민감정보를 수집한 것이 아니라고 판단하였습니다. 다만, 성적 취향을 알 수 있는 심리테스트 설문 응답 결과를 이용자 별로 저장해 놓은 것은 별도 동의 없이 민감정보를 수집한 것이라고 판단하였습니다.

카카오톡 대화 수집 시 대화 상대방의 동의가 필요한지?

대화의 일방 당사자가 입력한 카카오톡 대화는 대화 상대방의 회원정보를 함께 수집하지 않는 이상 이를 입력한 일방 당사자의 개인정보로써 수집된 것입니다. 다수가 포함된 사진을 일방 당사자가 입력할 때에도 일방 당사자가 자신의 책임 하에 이를 처리하는 것이고, 개인정보처리자가 다수의 동의를 받아 수집할 것이 요구되지 않는 것과 유사합니다. 위원회는 이러한 점을 고려하여 스캐터랩이 카카오톡 대화의 일방 당사자의 동의만으로도 카카오톡 대화를 수집할 수 있다고 판단하였습니다. 다만, 수집한 대화를 공개하는 등 대화 상대방이 예상하기 어렵고 불측의 손해가 우려되는 처리 행위는 특별한 사정이 없는 한 허용된다고 보기 어렵습니다.