'홍채정보 수집' 월드코인, 개인정보보호법 위반으로 11억 과징금

'민감정보' 홍채코드 수집·이용
정보주체 동의·고지 의무 등 위반

고학수 개인정보보호위원회 위원장이 9월 25일 오전 서울 종로구 정부서울청사에서 개최된 2024년 제16회 개인정보보호위원회 전체회의에서 의사봉을 두드리고 있다. [사진=개인정보위]

오픈AI의 최고경영자(CEO) 샘 올트먼이 공동 설립한 월드코인 관계사가 국내 개인정보보호법 위반으로 총 11억원의 과징금 처분을 받았다.

개인정보보호위원회는 25일 제16회 전체회의를 열고 개인정보보호 법규를 위반한 월드코인 파운데이션(이하 월드코인 재단)과 툴스 포 휴머니티(이하 TFH)에 총 11억400만원의 과징금과 시정명령 및 개선권고를 부과하기로 의결했다.

개인정보위는 올해 2월 "월드코인 측이 가상자산 '월드코인'을 대가로 생체 정보를 무단으로 수집하고 있다"는 언론보도에 따라 조사에 착수했다. 국내에선 9만3463명이 월드코인을 지급받을 수 있는 '월드앱'을 설치했고 이 중 2만9991명이 홍채 인증에 참여했다.

월드코인 재단 및 TFH의 개인정보 처리 흐름 [이미지=개인정보보호위원회]

조사 결과 월드코인 재단은 '오브(홍채 인식 기기)'를 통해 정보주체의 홍채를 촬영한 후 이를 활용해 홍채코드를 생성하면서 국내 정보주체에게 '수집·이용 목적' 및 '보유·이용 기간' 등 개인정보보호법에서 정한 고지사항을 제대로 알리지 않았다.

홍채코드는 그 자체로 개인을 유일하게 식별할 수 있고 변경이 불가능한 민감정보(생체인식정보)다. 개인정보보호법상 처리를 위해서는 별도로 동의를 받고 안전성 확보 조치 등을 해야 하는데 이를 위반한 것이다.

아울러 월드코인 재단과 TFH는 홍채코드 등 개인정보를 독일 등 국외로 이전하면서 '개인정보가 이전되는 국가', '개인정보를 이전받는 자의 성명(법인명) 및 연락처' 등 보호법에서 정한 고지사항을 정보주체에게 알리지 않았다.

월드코인 재단은 홍채코드의 삭제 및 처리정지 등을 요구할 수 있는 방법·절차를 마련하지 않았다. TFH는 월드앱 가입 시 만 14세 미만 아동의 연령 확인 절차가 미흡한 것으로 확인됐다.

이에 따라 개인정보위는 월드코인 재단과 TFH에 각각 7억2500만원, 3억7900만원의 과징금을 부과하기로 결정했다. 월드코인 재단에는 ▲민감정보 처리 시 별도 동의를 충실히 받을 것 ▲홍채정보 등 개인정보가 최초 수집 목적 외 사용되지 않도록 보장할 것 ▲정보주체의 요청에 따른 삭제 기능을 실효적으로 제공할 것을, TFH에는 ▲월드앱 내 연령 확인 절차를 도입할 것을, 공통으로 ▲개인정보 국외 이전 시 법정 고지사항을 충분히 알릴 것을 내용으로 하는 시정명령 및 개선권고를 부과했다.

월드코인 측은 홍채코드로는 특정 개인에 대한 식별은 곤란하므로 익명정보에 해당한다고 주장했다. 홍채코드 처리과정에 다양한 최신 기술을 적용해 보안성을 강화하고 있다는 설명이다.

반면 개인정보위는 홍체코드가 개인정보보호법상 생체인식정보인 민감정보의 처리에 해당한다고 판단했다. ▲월드코인 측이 정보주체로부터 직접 홍채 이미지를 촬영한 후 이를 활용해 홍채코드를 생성하고 있는 점 ▲홍채 관련 정보는 일신전속적·변경 불가능한 것으로 개인별 홍채코드 역시 유일무이한 점 ▲그 결과 특정 개인에 귀속돼 식별자로 기능이 가능하고 실제로도 내부적으로 월드 아이디(World ID)와 연계된 것으로 확인되는 점 등을 종합 고려했다.

TFH의 최고 개인정보 보호 책임자(CPO)인 데미안 키어런은 "개인정보위의 조사 결과를 존중한다"며 "전 세계 규제 기관과 개방적이고 투명한 소통을 지속하면서 개인정보보호 강화 기술을 더욱 발전시켜 나갈 것"이라고 말했다.

최유리 기자 yrchoi@asiae.co.kr