숏폼(짧은 영상) 플랫폼 ‘틱톡 라이트’가 파격적인 현금 보상 정책으로 국내 이용자 500만명 돌파 초읽기에 들어갔다. [사진출처 = 광고영상 캡처]

[헤럴드경제=신동윤 기자] 국내 소셜미디어(SNS) 시장에서 가파른 이용자 증가세를 보이는 중국 틱톡과 틱톡라이트가 개인정보보호법 등 법을 위반하고 있다는 의혹이 전문가들 사이에서 제기된다.

23일 ICT업계에 따르면 숏폼(짧은 영상) 등록이 가능한 틱톡과 숏폼 시청 후 포인트를 받을 수 있는 틱톡라이트에 가입하려면 ‘서비스 약관’과 ‘개인정보 처리방침에 따른 데이터 사용 및 수집’ 항목에 모두 동의해야 한다.

하지만 정작 서비스 약관과 개인정보 처리방침의 세부 내용을 볼 수 있는 방법은 공개돼 있지 않다.

틱톡 측은 가입 동의를 위한 팝업 창의 ‘서비스 약관’과 ‘개인정보 처리방침’ 글자를 클릭하면 각각 약관과 개인정보 처리방침 안내 페이지로 연결된다고 설명했지만, 이를 설명하는 문구가 없고 해당 글자들에 별도 표시도 돼 있지 않아 이용자들이 인지할 가능성은 희박하다.

이를 두고 틱톡이 개인정보 수집 동의를 받는 방법과 관련된 개인정보보호법 제22조 1항을 위반한 것이라는 지적이 나온다.

이 조항은 ‘개인정보처리자는 개인정보의 처리에 대해 정보주체(이용자)의 동의를 받을 때는 각각의 동의 사항을 구분해 정보주체가 이를 명확하게 인지할 수 있도록 알리고 동의를 받아야 한다’고 규정하고 있다.

김명주 서울여대 정보보호학부 교수는 연합뉴스와 인터뷰에서 “법 취지는 이용자가 약관 등을 충분히 보고 가입 여부를 선택할 수 있도록 하는 것인데 틱톡 인터페이스는 이용자들이 내용을 모른 채 클릭하도록 교묘하게 속이는 ‘다크 패턴’과 유사해 보인다”며 “‘인지할 수 있도록’이란 문구 앞에 ‘명확하게’라는 표현이 박혀 있는 법 조항을 지키지 않았다고 볼 수 있다”고 분석했다.

이에 대해 틱톡 측은 “향후 앱 업데이트 시 사용자 편의를 고려해 만약 필요한 사항이 있다면 검토하겠다”고 답했다.

틱톡 개인정보 처리방침 중 마케팅 활용과 개인정보 국외 이전 등 항목도 위법 소지가 있다는 지적이 제기된다.

틱톡은 수집한 개인정보 활용 목적에 광고성 활용을 의미하는 ‘인스턴트 메시지 또는 이메일을 포함한 수단으로 홍보 자료 발송’이라는 문구를 포함하고 있다.

이는 마케팅·광고 수신 동의에 해당하는 부분으로, 개인정보 처리방침 동의 항목에 묶인 ‘필수 동의’가 아닌 ‘선택 동의’ 영역으로 구분해야 한다는 지적이 나온다.

‘정보통신망 이용촉진 및 정보보호 등에 관한 법률’ 제50조는 ‘누구든지 전자적 전송매체를 이용해 영리목적의 광고성 정보를 전송하려면 그 수신자의 명시적인 사전 동의를 받아야 한다’고 규정하고 있다. 또 개인정보보호법 제22조 3항은 ‘개인정보처리자는 정보주체의 동의 없이 처리할 수 있는 개인정보에 대해서는 그 항목과 처리의 법적 근거를 정보주체 동의를 받아 처리하는 개인정보와 구분해 공개하거나 전자우편 등으로 정보주체에게 알려야 한다’고 규정하고 있다.

틱톡은 앱 설정 및 개인정보의 광고 항목에서 광고 선택 동의가 가능하다고 설명했지만 틱톡이나 틱톡라이트 모두 가입 즉시 강제로 광고 동의가 이뤄지고 있다.

틱톡이 개인정보 국외 이전에 대한 별도 동의를 받지 않고 있는 점은 개인정보의 해외 유출 우려를 낳을 수 있다.

개인정보보호법 제28조의8에는 개인정보를 국외로 이전할 경우 이용자로부터 별도의 동의를 받을 것을 명시하고 있으며 이전되는 개인정보 항목과 이전 국가, 시기, 방법, 이전받는 자의 성명, 이용목적, 보유·이용 기간을 미리 이용자에게 알리게 돼 있다.

그러나 틱톡은 경우에 따라 한국 이용자 동의를 받거나 통지해 개인정보를 국내외 계열사와 IT 서비스 제공업체 등에 위탁하며, 개인정보 이전이 불필요한 경우에 한해 이용자가 자사 개인정보보호 포털에 연락해 이전을 거부할 수 있다고만 설명해 개인정보 해외유출을 방지하기에 미흡하다는 목소리가 나온다.

틱톡이 이용자 개인정보를 이전할 수 있는 기업에는 중국공산당의 영향이 미칠 수 있는 베이징(北京) 여우주쥐 네트워크, 베이징 지탸오 네트워크, 상하이(上海) 쑤이쉰퉁 일렉트로닉 등 모회사 중국 바이트댄스(字節跳動) 그룹의 법인들도 포함돼 있지만 이들 기업 명단은 개인정보 처리방침 페이지에서 여러 단계를 이동해야 확인할 수 있다.

이에 따라 1000만명에 육박하는 국내 틱톡, 틱톡라이트 이용자의 개인정보 보호를 위한 당국 대응이 필요하다는 견해도 나오고 있다.

앱 분석 서비스 모바일인덱스에 따르면 지난달 틱톡라이트의 월간 활성 이용자(MAU)는 458만2515명으로 국내에 처음 출시된 작년 12월(16만3355명)에 비해 28배로 급증했다. 틱톡의 MAU 465만6100명을 합하면 두 앱의 총이용자는 923만8615명에 달한다.

이성엽 고려대 기술법정책센터장(기술경영전문대학원 교수)은 연합뉴스와 인터뷰에서 “선택 동의 사항인 마케팅 부문을 필수 동의로 한 것은 법을 위반했다고 봐야 할 것 같고, 국외 이전도 3자 제공 카테고리 대신 별도로 동의를 받게 돼 있는데 준수하지 않은 것 같다”며 “개인정보보호위원회와 방송통신위원회 등 당국이 조사해야 하고 틱톡도 시정해야 할 것”이라고 지적했다.

미국 정부는 지난달 아동 개인 정보를 부모 동의 없이 대량 수집함으로써 아동들의 사생활을 침해했다며 틱톡과 그 모회사인 바이트댄스를 고소했다.

앞서 EU 집행위원회가 지난 4월 틱톡이 보상 프로그램의 중독성 위험 등에 대한 사전 위험평가를 하지 않은 것은 디지털서비스법(DSA) 위반이라면서 조사에 착수하자 바이트댄스는 지난달 틱톡라이트의 보상 프로그램 시행을 영구적으로 중단하기로 했다.

김 교수도 “틱톡 이용자 개인정보는 중국 정부가 원하면 얻을 수 있기 때문에 결국 중국 정부가 관할한다고 보면 맞을 것 같다”며 “우리 당국은 법이 개정될 때 외국 기업들이 바로 대응을 못 하는 점을 인식하고 점검에 나설 필요가 있다”고 말했다.

그러나 틱톡 측은 연합뉴스의 질의에 “현행법상 개인정보 처리방침에 고지한 위탁 범위 내에서 개인정보 처리가 이뤄지는 경우 별도의 국외 이전 동의가 필요 없는 것으로 확인했다”면서도 “추후 필요한 사항이 있다면 법령에 따라 검토하겠다”고 전했다.