프랑스 개인정보 감독기관 CNIL, 구글에 강력한 제재
프랑스의 개인정보 보호 감독기관인 CNIL(국립 정보통신 자유 위원회)은 구글의 데이터 수집 동의 정책이 사용자에게 충분히 명확하게 전달되지 않았다고 지적하며, EU의 새로운 개인정보 보호 규정인 GDPR(일반 개인정보 보호법)을 위반했다는 이유로 약 5,000만 유로(약 5,700만 달러)의 벌금을 부과했습니다.
이는 GDPR 시행 이후 부과된 벌금 중 가장 큰 규모로, 빅테크 기업들의 데이터 처리 관행에 대한 경각심을 일깨워주는 사례로 평가받고 있습니다.
GDPR, 글로벌 개인정보 보호의 새로운 기준
2018년에 시행된 GDPR은 전 세계 개인정보 보호의 표준으로 자리 잡았으며, 구글을 비롯한 실리콘밸리 테크 기업들에게 데이터 수집 관행을 재검토하거나 거액의 벌금을 감수하도록 만들었습니다. 반면 미국에는 이와 같은 포괄적인 연방 차원의 소비자 개인정보 보호법이 마련되어 있지 않아, 유럽이 사실상 '세계의 개인정보 보호 감시자' 역할을 하고 있다는 평가를 받고 있습니다.
벌금이 부과된 이유는?
CNIL은 구글이 데이터 동의 정책과 관련해 사용자에게 명확한 정보를 제공하지 않았고, 자신의 정보가 어떻게 활용될지에 대한 통제권을 충분히 보장하지 않았다고 판단했습니다. 또한 구글은 위치 추적 과정에서 기만적인 방식으로 동의를 얻었다는 혐의로 유럽 7개국 소비자 단체로부터 GDPR 위반으로 고발된 바 있습니다.
GDPR 최대 한도에 비하면 '작은 금액'
5,700만 달러의 벌금은 상당한 금액처럼 느껴지지만, GDPR이 허용하는 최대치에 비하면 작은 수준입니다. GDPR에 따르면 중대한 위반의 경우 기업의 연간 글로벌 매출의 최대 4%까지 벌금을 부과할 수 있습니다. 구글의 분기 매출이 약 337억 4천만 달러였다는 점을 감안하면, 이론상 벌금은 수십억 달러에 달했을 수도 있습니다.
구글이 GDPR 의무를 위반한 첫 번째 기업일까?
그렇지 않습니다. 이번 사례가 지금까지 중 가장 큰 벌금일 뿐, 첫 번째 위반 사례는 아닙니다. 지난해 12월에는 포르투갈의 한 병원이 직원들이 가짜 계정으로 환자 기록에 접근한 혐의로 40만 유로의 벌금을 부과받았고, 같은 해 11월에는 독일의 한 소셜미디어·채팅 서비스가 비밀번호를 평문으로 저장한 혐의로 20만 유로, 10월에는 오스트리아의 한 업체가 공공장소를 촬영하는 보안 카메라를 운영한 혐의로 4,800유로의 벌금을 각각 낸 바 있습니다.
구글의 입장은?
구글 측은 "이용자에게 맞춤형 서비스를 제공하기 위해 개인화된 광고 등에 정보를 활용한다"며 투명성에 대한 높은 기준을 준수하겠다는 입장을 밝혔습니다. 다만 CNIL의 결정에는 아쉬움을 드러냈으며, 이후 항소 절차에 나섰습니다. 이번 사건은 개인정보 수집·활용 과정에서 동의의 투명성이 얼마나 중요한지를 보여주는 대표적인 사례로 남아 있습니다.