아일랜드 개인정보보호위원회(DPC)가 메타(Meta)의 메신저 서비스 WhatsApp에 유럽 일반개인정보보호법(GDPR) 위반으로 무려 2억 6,700만 달러(약 3,200억 원)의 벌금을 부과했습니다. 이에 대응해 WhatsApp은 유럽에만 적용되는 새로운 개인정보 보호정책을 출시했습니다.
이번 글에서는 WhatsApp이 왜 이렇게 거액의 벌금을 받게 되었는지, DPC가 내린 구체적인 명령은 무엇인지, 그리고 새로운 개인정보 보호정책이 WhatsApp과 사용자에게 어떤 영향을 미칠지 자세히 살펴보겠습니다.
배경: WhatsApp은 어떻게 법적 문제에 휘말렸나?
아일랜드 DPC는 WhatsApp Europe이 소재한 아일랜드에서 EU의 GDPR 집행을 담당하는 기구입니다. 2018년 5월 25일 GDPR이 발효된 이후, DPC는 WhatsApp 사용자와 비사용자, 그리고 독일 연방개인정보보호청으로부터 WhatsApp과 페이스북(현 메타) 간의 개인정보 공유에 관한 정식 불만을 접수받았습니다.
이러한 불만은 WhatsApp의 투명성 부족을 핵심으로 제기되었고, 이에 따라 DPC는 공식 조사에 착수하기로 결정했습니다.
올해 1월 4일, WhatsApp은 스스로 상황을 더 악화시켰습니다. 사용자들에게 소급하여 페이스북(현 메타)과 데이터를 공유할 수 있는 권한을 부여하도록 강제하는 업데이트를 밀어붙인 것입니다. 여기에는 전화번호, WhatsApp 사용 시간 및 빈도 로그, 기기 식별자, IP 주소, 거래 및 결제 데이터, 쿠키, 위치 정보 등이 포함됩니다.
사실 WhatsApp은 2016년부터 이미 사용자 동의 없이 이러한 데이터를 메타에 전송해 왔지만, 올해에야 이 사실을 인정하고 이를 합법화하려 시도한 것입니다. 이 조치는 거센 반발을 불러일으켰고 법적 상황을 더욱 복잡하게 만들었습니다. 실제로 많은 사용자가 경쟁 앱인 텔레그램(Telegram)과 시그널(Signal)로 이동하기도 했습니다.
WhatsApp은 어떻게 법을 위반했나?
GDPR은 개인의 개인정보 보호를 기본 권리로 규정하고 있으며, 개인은 자신의 개인정보를 공유할지 여부를 스스로 결정할 권리도 함께 가집니다. DPC는 WhatsApp이 GDPR의 핵심 조항 4가지, 즉 제5조 1항(a), 제12조, 제13조, 제14조를 위반했다고 판단했습니다.
요약하면, 이 네 가지 위반은 WhatsApp이 메타와 정보를 공유하는 방식에 대해 사용자에게 충분히 투명하지 않았다는 의미입니다. 또한 비사용자(다른 앱의 제3자) 역시 자신의 정보가 WhatsApp에 의해 공유될 수 있다는 사실을 알지 못했고, 개인정보를 통제할 권리와 기회를 박탈당했습니다. DPC에 따르면 WhatsApp은 서비스 사용자에게 요구되는 정보의 41%만 제공했으며, 비사용자에게는 아무런 정보도 제공하지 않았습니다.
WhatsApp의 법적 책임은 무엇인가?
아일랜드 DPC는 총 8가지 명령으로 구성된 결정을 내렸으며, 여기에는 상당한 금액의 벌금도 포함됩니다. 또한 메타와 WhatsApp은 모든 GDPR 요건을 준수할 때까지 플랫폼에서 '법적 근거 고지(Legal Basis Notice)'와 '페이스북 FAQ'를 삭제해야 합니다.
아울러 WhatsApp은 개인정보 보호정책을 GDPR 기준에 맞게 업데이트하고, 아이도 이해할 수 있을 만큼 쉬운 언어로 업데이트된 정책을 사용자와 비사용자에게 안내해야 하며, 모든 명령은 3개월 이내에 이행해야 합니다.
그 결과 WhatsApp은 사용자와 비사용자에게 더 많은 정보를 제공하기 위해 다음 세 가지 핵심 영역에서 개인정보 보호정책을 업데이트했습니다.
- 데이터 활용 방식: 수집·이용하는 데이터에 대한 세부 정보, 데이터를 저장하는 이유와 삭제 시점, 제3자가 제공하는 서비스에 대한 설명
- 글로벌 운영: 국경을 넘어 데이터를 공유하는 이유와 해당 데이터의 보호 방식에 대한 세부 정보
- 법적 사항: 데이터 처리 시 근거로 삼는 법률에 대한 세부 정보
다만 WhatsApp이 현재 벌금에 대해 항소 중이기 때문에, 당장 2억 6,700만 달러를 지불해야 하는 것은 아닙니다.
이번 정책 변경이 나에게 영향을 미칠까?
유럽에 거주하지 않는다면 답은 '아니요'입니다. 기존의 WhatsApp 개인정보 체계가 그대로 적용됩니다. 반면 유럽에 거주한다면 WhatsApp에 접속할 때 업데이트된 개인정보 보호정책을 알리는 알림이 표시됩니다. 하지만 그것뿐입니다. 앱 사용 경험에는 눈에 띄는 변화가 없습니다.
좋은 소식은 유럽 사용자가 서비스 이용에 지장 없이 WhatsApp의 개인정보 보호정책을 거부(옵트아웃)할 수 있다는 점입니다. 적어도 유럽에서는 데이터 주권이 하나의 이념이 아니라 현실이 되어가고 있는 셈입니다.