개인정보보호위원회 결정문

【결정요지】

신청인 : 에 대하여 다음과 같이 시정조치를 명한다.가. 테무 서비스 제공 과정에서 법적 근거 없이 한국 정보주체의 주민등록번호가 처리되지 않도록 조치할 것나. 피심인은 가.의 조치를 이행하고, 시정명령 통지를 받은 날로부터 90일 이내에 개인정보보호위원회에 이행 결과를 제출할 것2. 피심인에 대하여 다음과 같이 개인정보 처리 실태의 개선을 권고한다.가. 피심인은 개인정보 처리 흐름을 최대한 투명하고 알기 쉽게 정보주체에게 공개하고, 변경 시 신속하게 현행화할 것나. 피심인은 가.의 조치를 개인정보보호위원회와 협의하여 이행하고, 개선권고 통지를 받은 날로부터 90일 이내에 이행 결과 및 계획을 제출할 것3. 피심인에 대하여 다음과 같이 과징금을 부과한다.가. 과 징 금 : 490,000,000원나. 납부기한 : 고지서에 명시된 납부기한 이내다. 납부장소 : 한국은행 국고수납 대리점

【이유】

Ⅰ. 기초 사실

피심인은 정보주체에게 전자상거래 서비스인 '테무’ 서비스를 제공하면서 개인정보를 처리하는 「개인정보 보호법」(각주:개인정보 보호법(법률 제19234호, 2023. 3. 14. 일부개정, 2024. 3. 15. 시행)) (이하 '보호법’)상의 개인정보처리자로 일반현황은 다음과 같다.

Ⅱ. 사실조사 결과

1. 조사 배경

개인정보보호위원회(이하 '위원회’)는 피심인이 한국 내 입점 판매자를 모집하면서 신분증(주민등록번호, 여권번호, 얼굴 사진 등) 및 안면 정보(얼굴 동영상)를 요구하고 있다는 언론보도(각주:“입점하려면 '얼굴정보’ 넘기라고?” 中테무, 韓셀러 등록조건 '논란’(뉴시스, '25.3.11.)) 를 확인함에 따라 조사를 진행하였으며, 다음과 같은 사실을 확인하였다.

2. 행위 사실

가. 개인정보 처리 현황

피심인은 테무 서비스에서 '로컬 투 로컬 방식’을 2025년 2월 도입하면서 한국 판매자를 시범 모집하였고, 2025년 3월 현재 개의 한국 판매자(각주:한국 '법인’의 의미이며, 대표자 국적은 ( 명), ( 명), ㆍ (각 명)) 가 피심인의 서비스에 입점하였다.

※ 다만, 시범 모집으로 피심인의 초청 없이는 판매자 센터 웹사이트에서 계정 생성 불가

피심인이 ’25. 2월부터 3월까지 수집한 한국 판매자 정보는 다음과 같다.

※ 기존 수집한 신분증 및 안면 정보는 위원회로 자료 제출 후 삭제 완료('25.4.9.), 신분증 수집 절차 및 얼굴 인식 요구사항 등을 삭제하고 한국 판매자 입점 재개(’25.5.7.)

나. 보호법 위반 관련 사실관계

테무 서비스에 판매자로 입점하는 절차는 ①계정 생성, ②사업 정보 입력, ③판매자 정보 입력, ④상점 정보 입력, ⑤입력된 정보 확인, ⑥신원확인 단계로 이루어진다.

피심인은 신원확인 단계에서 판매자의 신분증 및 안면 정보를 수집ㆍ처리하며, 신원확인 단계는 (1)자동화된 온라인 얼굴 인증과 (2)신원증명문서 사진 및 안면 인식 동영상 업로드(수동 확인) 등 2가지 방식으로 운영하였다.

피심인은 신원확인 절차(신분증과 얼굴 사진 대조) 운영 목적을 테무 서비스에서의 사기 방지 및 플랫폼 보안이라고 하면서, 이를 위해 판매자의 신분증 정보와 얼굴 동영상을 수집한다고 소명하였다.

피심인은 신원확인 과정에서 한국 판매자의 신분증 이미지를 수집ㆍ처리하면서, 한국 판매자에게 주민등록번호 제거(마스킹 등)를 안내하거나 피심인이 신분증 내 주민등록번호를 즉시 제거(자동화된 툴 등을 이용)한 사실이 없으며, 피심인이 주민등록번호를 수집ㆍ처리할 수 있는 법적 근거를 소명하지 못하였다.

또한, 피심인은 한국 판매자가 안면 정보(얼굴 동영상) 수집에 동의하지 않더라도 신원을 확인할 수 있는 수단을 마련하지 않았으며, 한국 판매자는 피심인의 얼굴 동영상 수집에 동의하지 않으면 테무 서비스에 입점이 불가하였다.

다만, 피심인은 서비스 시작 직후 보호법 위반 가능성을 검토하고 시스템을 중단 후 개선 조치하는 등 개인정보 보호를 위해 노력하였다.

3. 처분의 사전통지 및 의견 수렴

개인정보보호위원회는 피심인에게 예정된 처분에 대한 사전통지서를 송부하고 이에 대한 의견을 요청하였으며, 피심인은 2025년 5월 13일에 개인정보보호위원회에 의견을 제출하였다.

Ⅲ. 관련 법규 및 위법성 판단

1. 관련법 규정

보호법 제24조의2제1항은 “개인정보처리자는 '법률ㆍ대통령령ㆍ국회규칙ㆍ대법원규칙ㆍ헌법재판소규칙ㆍ중앙선거관리위원회규칙 및 감사원규칙에서 구체적으로 주민등록번호의 처리를 요구하거나 허용한 경우(제1호)’, '정보주체 또는 제3자의 급박한 생명 신체 재산의 이익을 위하여 명백히 필요하다고 인정되는 경우(제2호)’, '제1호 및 제2호에 준하여 주민등록번호 처리가 불가피한 경우로서 보호위원회가 고시로 정하는 경우(제3호)’의 어느 하나에 해당하는 경우를 제외하고는 주민등록번호를 처리할 수 없다.”라고 규정하고 있다.

2. 위법성 판단

가. 법령 등의 근거 없이 주민등록번호를 처리한 행위

[보호법 제24조의2(주민등록번호 처리의 제한)제1항]

피심인이 법령 등에서 구체적으로 주민등록번호의 처리를 요구하거나 허용한 경우, 정보주체 또는 제3자의 급박한 생명, 신체, 재산의 이익을 위하여 명백히 필요하다고 인정되는 경우 등이 아님에도 불구하고 한국 판매자의 신원 확인을 위해 판매자의 주민등록번호를 처리(수집ㆍ보유)한 행위는 보호법 제24조의2제1항을 위반한 것이다.

Ⅳ. 처분 및 결정

1. 시정조치 명령

개인정보 보호 및 침해 방지를 위해 보호법 제64조제1항에 따라 피심인에게 다음과 같이 시정조치를 명한다.

가. 테무 서비스 제공 과정에서 법적 근거 없이 한국 정보주체의 주민등록번호가 처리되지 않도록 조치할 것

나. 피심인은 가.의 조치를 이행하고, 시정명령 통지를 받은 날로부터 90일 이내에 개인정보보호위원회에 이행 결과를 제출할 것

2. 개선권고

피심인이 국내 정보주체의 개인정보 자기결정권을 보다 충실히 보장하고 보호수준을 제고하도록 보호법 제61조제2항에 따라 다음과 같이 개인정보 처리 실태의 개선을 권고한다.

가. 피심인은 개인정보 처리 흐름을 최대한 투명하고 알기 쉽게 정보주체에게 공개하고, 변경 시 신속하게 현행화할 것

나. 피심인은 가.의 조치를 개인정보보호위원회와 협의하여 이행하고, 개선권고 통지를 받은 날로부터 90일 이내에 이행 결과 및 계획을 제출할 것

3. 과징금 부과

피심인의 보호법 제24조의2(주민등록번호 처리의 제한)제1항 위반행위에 대해 같은 법 제64조의2제1항제4호, 시행령 제60조의2 [별표 1의5] 및 「개인정보보호 법규 위반에 대한 과징금 부과기준(각주:개인정보보호 법규 위반에 대한 과징금 부과기준(개인정보보호위원회 고시 제2023-3호, 2023. 9. 15. 시행)) 」(이하 '과징금 부과기준’)에 따라 다음과 같이 부과한다.

가. 기준금액

보호법 시행령 제60조의2 [별표1의5] 2. 가. 2)는 제60조의2제2항 각 호의 어느 하나에 해당하는 경우 위반행위의 중대성에 따라 산정기준액을 규정하고 있다.

피심인의 위반행위는 판매자 모집 과정에서 발생한 것으로, 영업을 개시하지 않아 매출액이 없는 경우(영업실적이 없는 경우)에 해당하고, 위반행위의 내용 및 정도, 개인정보처리자가 처리하는 개인정보의 유형과 정보주체에게 미치는 영향 및 위반행위로 인한 정보주체의 피해규모 등을 종합적으로 고려할 때, '매우 중대한 위반행위’에 해당하는 금액인 7억 원을 적용한다.

나. 1차 조정

과징금 부과기준 제9조에 따른 가중ㆍ감경 사유에 해당되지 않는다.

다. 2차 조정

과징금 부과기준 제10조에 따라 피심인은 '과징금의 사전통지 및 의견제출 기간이 종료되기 이전에 위반행위를 중지하는 등 시정을 완료한 경우’에 해당하여 1차 조정을 거친 금액의 100분의 30에 해당하는 210,000천 원을 감경한다.

라. 과징금의 결정

피심인의 보호법 제24조의2(주민등록번호 처리의 제한)제1항 위반행위에 대해 같은 법 제64조의2(과징금의 부과)제1항제4호, 시행령 제60조의2, [별표 1의5] 및 '과징금의 산정기준과 산정절차’ 2. 가. 2) 및 '과징금 부과기준’에 따라 위와 같이 단계별로 산출한 금액인 490,000천 원을 최종 과징금으로 결정한다.

【이의제기 방법 및 기간】

피심인은 이 시정명령 및 과징금 부과처분에 불복이 있는 경우, 「행정심판법」제27조 및 「행정소송법」제20조의 규정에 따라 처분을 받은 날부터 90일 이내에

행정심판을 청구하거나 행정소송을 제기할 수 있다.

이상과 같은 이유로 주문과 같이 의결한다.

2025년 05월 14일

【위원정보】