개보위, 월드코인 관계사에 과징금 11억원…"홍채정보 처리 미흡"

[이데일리 최연두 기자] 가상자산 월드코인의 운영기관 월드코인 재단과 개발사 툴스포휴머니티(TFH)가 민감정보 처리에 대해 충분히 고지하지 않은 등 개인정보 보호법을 위반한 행위로 과징금 총 11억원 부과 명령을 받았다.

고학수 개인정보보호위원회 위원장이 지난 25일 서울 종로 정부서울청사에서 개최된 2024년 제16회 개인정보위 전체회의에서 모두말씀을 하고 있다.(사진=개인정보위)

개인정보보호위원회는 지난 25일 제16회 전체회의에서 보호법을 위반한 월드코인 재단·TFH에 각각 7억2500만 원, 3억7900만 원의 과징금을 부과하고 시정명령 및 개선권고하는 내용의 안건을 의결했다고 26일 밝혔다.

개인정보위는 올해 2월 ‘월드코인 측이 가상자산을 대가로 생체정보를 무단으로 수집하고 있다’는 민원 제기와 언론보도 등에 따라 조사에 착수했다.

조사 결과, 월드코인 재단과 월드코인 재단으로부터 개인정보 처리 업무를 위탁받은 TFH가 합법적인 처리 근거 없이 국내 정보주체의 홍채정보 등 개인정보를 수집하고, 이를 국외로 이전하면서 보호법 상 의무를 준수하지 않았다.

먼저, 월드코인 재단은 오브 기기로 정보주체의 홍채를 촬영한 후 이를 활용해 홍채코드를 생성하면서 국내 정보주체에게 ‘수집·이용 목적’ 및 ‘보유·이용 기간’ 등 보호법에서 정한 고지사항을 제대로 알리지 않았다.

월드코인 재단과 툴스포휴머니티(TFH)의 개인정보 처리 흐름(사진=개인정보보호위원회)

개인정보위는 홍채코드가 그 자체로 개인을 유일하게 식별할 수 있고 변경이 불가능한 민감정보라고 판단했다. 우리 보호법상 민감정보 처리를 위해서는 이용자 동의를 별도로 받고 안전성 확보조치 등이 필수이지만, 재단이 이를 위반했다고 봤다.

또 월드코인 재단과 TFH가 홍채코드를 비롯해 국내 정보주체로부터 수집한 개인정보를 독일 등 국외로 이전하면서 개인정보가 이전되는 국가, 개인정보를 이전받는 자의 성명(법인명)· 연락처 등 보호법에서 정한 고지사항을 정보주체에 알리지 않은 사실이 확인됐다.

개인정보위에 따르면 월드코인 재단은 홍채코드의 삭제 및 처리정지 등을 요구할 수 있는 방법·절차를 마련하지 않았다. TFH는 월드 애플리케이션(앱) 가입 시 만 14세 미만 아동의 연령 확인 절차가 미흡했다.

이에 따라 개인정보위는 월드코인 재단의 민감정보 처리 및 국외이전 관련 의무 위반, TFH의 국외이전 관련 의무 위반에 대해 각각 과징금을 부과하기로 결정했다.

개인정보위는 월드코인 재단에 △민감정보 처리 시 별도 동의를 충실히 받고 △홍채정보 등 개인정보가 최초 수집 목적 외 사용되지 않도록 보장하며 △정보주체의 요청에 따른 삭제 기능을 실효적으로 제공하라고 권고했다. TFH에는 월드 앱 내 연령 확인 절차를 도입하라는 내용의 시정조치를 내렸다. 해당 두 곳에 공통으로 개인정보 국외 이전 시 법정 고지사항을 충분히 알려야 한다고 개선권고했다.

이번 조사·심의 과정에서 월드코인 측은 홍채코드로는 중복 가입 여부에 대한 확인만 가능하고 특정 개인에 대한 식별은 어렵다고 주장했다. 홍채코드는 익명정보에 해당하며 이를 처리하는 과정에 여러 최신 기술을 적용해 보안성을 강화하고 있다고 설명했다.

이와 관련 개인정보위는 월드코인 측이 이용자의 홍채 이미지를 촬영한 후 이를 활용해 홍채코드를 생성하고 있는 점, 홍채 관련 정보는 일신전속적·변경불가능한 것으로 개인별 홍채코드 역시 유일무이한 점, 그 결과 특정 개인에 귀속돼 식별자로 기능할 수 있고 실제로도 내부적으로 월드 아이디(ID)와 연계돼 있는 것으로 확인되는 점 등을 종합 고려해, 보호법상 생체인식정보인 민감정보의 처리에 해당한다고 봤다.

개인정보위 관계자는 “전 세계적인 인공지능(AI)·디지털 경제사회의 확산 속에 인간의 고유한 속성인 바이오 등 민감정보의 이용과 개인 데이터의 국외 이전 또한 계속 증가하고 있다”며 “개인정보가 안전하게 보호되며 활용되기 위해서는 처리자(사업자)의 보호법상 의무·책임에 대한 인식과 준수가 어느 때보다 강하게 요구된다”고 강조했다.

이어 “신기술·신서비스에 대해 개인정보 주체의 권리가 충실히 보장되며 활성화될 수 있도록 지속적으로 점검 및 지원해 나갈 계획”이라고 말했다.

한편, TFH는 개인정보위의 이번 결정을 전적으로 존중한다는 입장을 발표했다. 데미안 키어런 최고개인정보보호책임자(CPO)는 이날 배포된 보도자료를 통해 “개인정보위의 부단한 노력에 감사를 표하며 앞으로도 최고 수준의 개인정보 보호 기준을 지키면서 한국의 디지털 경제에 기여할 수 있길 기대한다”고 말했다.