GDPR 입문: 구글 위치 정보 과징금 사건으로 읽기

이 강좌를 마치면 세 가지를 할 수 있습니다. 첫째, GDPR의 정식 이름을 풀어 쓰기. 둘째, 구글 사건에서 규제기관이 기준으로 삼은 항목을 구분하기. 셋째, 세 기능에 대한 판단 내용을 기준별로 구분하기. 사전지식은 거의 필요하지 않습니다. 스마트폰 앱이 ‘위치 권한을 허용하시겠습니까’라고 묻는 화면을 본 경험, 그리고 기업이 이용자 데이터를 처리하거나 보관할 수 있다는 정도만 알면 충분합니다.

한 문장으로 이해하기

GDPR은 General Data Protection Regulation의 약어입니다. 이 강좌에서는 일반데이터보호규정이라고 부르겠습니다. 유럽연합(EU)의 개인정보 보호 규칙이며 2018년에 효력이 발생했습니다. 이 강좌에서 볼 사건에서 아일랜드 데이터보호위원회(DPC)가 사용한 기준은 두 묶음입니다. 하나는 적법성·공정성·투명성 원칙이고, 다른 하나는 위치 정보를 필요한 기간보다 오래 보관했는지입니다. 위치 정보는 개인의 위치를 추론하는 데 쓰일 수 있는 개인정보의 한 종류입니다.

왜 필요한가

위치 정보에는 편리함과 위험이 함께 있습니다. DPC 부위원장은 위치 정보가 온라인 서비스의 활용도를 높일 수 있지만 개인의 사적인 정보를 드러낼 수도 있다고 설명했습니다. 문제는 이용자가 그 사실을 모를 때 커집니다. 자신의 위치 정보가 어떻게 쓰이는지 모르면 개인은 자기 개인정보에 대한 통제력을 잃을 수 있습니다. 이 사건의 조사는 그 지점을 향했습니다.

어떻게 이루어지는가

아래는 GDPR 집행의 보편적인 공식이 아니라, 입력 자료로 확인되는 구글 사건의 조사 흐름입니다.

1. 소비자권익 단체들이 구글의 데이터 처리에 대해 진정을 제기했습니다.
2. DPC가 2020년 2월 조사를 시작했습니다. 출처는 구글의 유럽 본사가 더블린에 있기 때문에 DPC가 유럽연합 내 구글의 주된 규제기관이라고 설명합니다.
3. DPC는 조사 대상을 세 기능과 특정 기간으로 좁혔습니다.
4. 각 기능의 위치 정보 처리가 적법성·공정성·투명성 원칙을 지켰는지 판단했습니다. 또 보관 기간이 필요 범위를 넘지 않았는지도 함께 보았습니다.
5. DPC는 과징금을 부과하고, 정해진 기간 안에 처리 방식을 GDPR에 맞추라고 요구했습니다.

하나의 예시로 따라가기

같은 다섯 단계를 사건 내용에 그대로 대입해 보겠습니다. 가상 예시가 아니라 입력 자료로 확인된 실제 사건입니다. 3단계에서 DPC가 고른 세 기능은 이렇습니다. 웹 및 앱 활동은 구글 서비스 전반의 활동을 처리하는 설정입니다. 위치 기록은 호환되는 모바일 기기를 지닌 이용자의 방문 장소와 활동, 경로를 기록하는 선택형 서비스입니다. 위치 정확도는 안드로이드 기기가 위치를 더 정확하게 파악하도록 돕는 기능입니다. 조사 대상 기간은 2018년 5월 25일부터 2020년 2월 4일까지였습니다. 4단계의 판단은 기능별로 갈렸습니다. 웹 및 앱 활동과 위치 기록에서는 위치 정보가 공정하고 적법하게 처리되지 않았다고 보았습니다. 위치 정확도에서는 적법성·공정성·투명성 원칙을 준수했다는 점을 구글이 입증하지 못했다고 판단했습니다. 또 세 기능 모두에서 투명성 의무가 충족되지 않았다고 밝혔습니다. 웹 및 앱 활동과 위치 기록의 위치 정보는 필요 이상으로 오래 보관됐다고도 밝혔습니다. 5단계로 DPC는 총 4억 300만 유로의 과징금을 부과했습니다. 그리고 6개월 안에 이용자 데이터 처리 방식을 GDPR에 맞추라고 요구했습니다. 구글은 이번 사건이 이후 변경된 과거 정책에 관한 것이며 2019년 이후 위치 정보 관리 관행과 도구를 개선했다고 밝혔습니다.

언제 쓰고 언제 쓰지 않는가

이 사건에서 확인되는 적용 맥락은 좁습니다. 조사는 2018년 5월 25일부터 2020년 2월 4일까지의 기간, 그리고 세 기능의 위치 정보 처리만 다뤘습니다. 따라서 이 사건의 판단을 다른 기업이나 다른 기능, 다른 기간에 그대로 옮길 수는 없습니다. 자료 자체의 한계도 구분해야 합니다. 기사 작성 당시 DPC는 전체 결정문을 공개하지 않았고 향후 공개할 예정이라고 밝혔습니다. 즉 판단의 상세한 근거는 아직 읽을 수 없는 상태였습니다. 마지막으로 이 강좌는 개념을 설명하는 입문 자료이며 특정 사안에 대한 법률 조언이 아닙니다.

핵심 정리와 확인문제

기억할 것은 하나입니다. 이 사건에서 DPC는 적법성·공정성·투명성 원칙을 지켰는지와 위치 정보를 얼마나 오래 보관했는지를 기준으로 판단했습니다. 그리고 총 4억 300만 유로의 과징금과 함께 6개월 안에 데이터 처리 방식을 GDPR에 맞추라고 요구했습니다.

확인문제 1. GDPR의 정식 영문 명칭을 풀어 쓰고, 이 사건에서 DPC가 판단 기준으로 삼은 항목을 말해 보세요.

확인문제 2. 웹 및 앱 활동·위치 기록에 대한 판단과 위치 정확도에 대한 판단은 어떻게 달랐나요?

확인문제 3. 이 사건의 조사 범위는 어디까지였고, 기사 작성 당시 자료의 한계는 무엇이었나요?

정답과 해설

정답 1. General Data Protection Regulation이며 2018년에 효력이 발생한 유럽연합의 개인정보 보호 규칙입니다. 이 사건에서 DPC가 쓴 기준은 적법성·공정성·투명성 원칙, 그리고 위치 정보의 보관 기간이었습니다. 해설: 두 묶음을 구분해 떠올리는 것이 이 강좌의 핵심입니다.

정답 2. 웹 및 앱 활동과 위치 기록에서는 위치 정보가 공정하고 적법하게 처리되지 않았다고 판단했고, 위치 정확도에서는 원칙 준수를 구글이 입증하지 못했다고 판단했습니다. 해설: 세 기능 모두 투명성 의무가 충족되지 않았고, 앞의 두 기능은 보관 기간도 문제가 됐습니다.

정답 3. 조사는 2018년 5월 25일부터 2020년 2월 4일까지의 기간과 세 기능의 위치 정보 처리만 다뤘습니다. 기사 작성 당시 DPC는 전체 결정문을 공개하지 않은 상태였습니다. 해설: 그래서 조사 범위 밖으로 결론을 넓히지 않는 것이 안전합니다.

참고자료

• GDPR 입문 참고자료
• GDPR 입문 참고자료
• GDPR 입문 참고자료