Google가 유럽 개인정보 보호법(GDPR)을 위반했다는 이유로 아일랜드 데이터보호위원회(DPC)로부터 €403 million(약 6,000억 원)의 벌금을 부과받았습니다. 문제가 된 기능은 웹·앱 활동 기록, 위치 기록, 위치 정확도 세 가지로, 2018년 5월부터 2020년 2월 사이 사용자의 위치 데이터를 불충분하게 고지하고 필요 이상으로 오래 보관했다는 것이 핵심입니다. 이용자들은 자신의 위치 정보가 광고 타겟팅이나 관심사 추론에 활용된다는 사실을 제대로 안내받지 못했습니다. Google은 2019년 이후 자동 삭제 기능 도입 등 관행을 개선했다고 밝혔으나, DPC는 이것이 충분한지 공식 입장을 내놓지 않았습니다. 기업 컴플라이언스 담당자는 이번 사례를 통해 개인정보 처리 목적 고지, 보유 기간 최소화, 투명성 확보가 규제 리스크 관리의 핵심임을 재확인할 필요가 있습니다.
아일랜드 DPC가 Google의 위치 데이터 처리 방식이 GDPR의 적법성·공정성·투명성 규정과 데이터 보유 기간 규정을 위반했다고 판정하여 €403 million 벌금을 부과했다. 조사는 유럽 소비자 단체의 민원을 계기로 2020년 2월에 개시되어 6.5년 만에 결론이 났다.
이용자들이 자신의 위치 정보가 광고·관심사 추론에 활용된다는 사실을 모른 채 개인정보 통제권을 잃을 위험에 처했다. Google은 6개월 내에 해당 처리 방식을 법에 부합하도록 수정해야 한다.
Google이 세 가지 기능(Web & App Activity, Location History, Location Accuracy)에서 위치 데이터 처리의 합법성·공정성·투명성을 입증하지 못했고, 데이터를 필요 이상으로 장기 보관했다.
Google은 2019년 자동 삭제 기능 도입, 2020년 신규 계정 기본값 18개월 자동 삭제, 2023년 Timeline 데이터 온디바이스 저장 전환 등 관행을 개선했다고 주장하며 High Court 항소를 검토 중이다.
기업은 개인정보 처리 목적과 보유 기간을 이용자에게 명확히 고지하고, 데이터 최소화 원칙을 실질적으로 적용해야 GDPR 위반 위험을 줄일 수 있다. 특히 위치·행동 데이터의 기본 보유 기간 설정과 자동 삭제 정책 구현이 중요하다.
본문
Swati Khandelwal · 2026년 9월 21일 · 데이터 프라이버시 / 규제 준수
Google이 EU 개인정보 보호법인 GDPR을 위반했다는 이유로 €403 million의 벌금을 부과받았다. 위반 행위는 2018년 5월부터 2020년 2월까지 Google의 세 가지 기능이 사용자 위치 데이터를 처리한 방식에서 발생했다.
EU 내 Google의 주요 규제 기관인 아일랜드 데이터보호위원회(DPC)는 Google에 6개월 이내에 처리 방식을 법에 부합하도록 수정하라는 명령도 함께 내렸다. DPC는 해당 명령이 어떤 처리를 대상으로 하는지 공개적으로 밝히지 않았으며, 전체 결정문은 추후 공개할 예정이라고 밝혔다.
문제가 된 세 가지 기능은 Web & App Activity, Location History, Location Accuracy다.
Web & App Activity는 Google 계정 설정으로, 활성화하면 Google이 자사 사이트와 앱에서의 사용자 활동 데이터—위치 정보 포함—를 처리할 수 있다. 사용자가 직접 opt-in해야 하는 Location History는 Google 서비스를 사용하지 않는 중에도 로그인된 모바일 기기의 이동 경로를 추적한다.
DPC는 두 기능 모두에서 Google이 GDPR의 적법하고 공정한 처리 규정 및 투명성 규정을 위반했으며, 위치 데이터를 필요 이상으로 오래 보관했다고 판단했다.
Location Accuracy는 GPS만으로는 파악하기 어려운 기기 위치를 보다 정밀하게 산출하는 Android 기능으로, Google 계정 유무와 관계없이 Android 사용자라면 누구나 이용할 수 있다. 이 기능에 대한 DPC의 판정 범위는 앞선 두 기능보다 좁다.
Google은 이 처리가 적법하고 공정하며 투명하다는 점을 입증하지 못했기 때문에 투명성 규정과 GDPR의 책임성 규정을 위반한 것으로 판단됐다.
DPC 부위원장 Graham Doyle은 이러한 위반으로 인해 사람들이 자신의 위치 정보가 광고를 통한 영향이나 관심사 추론에 사용된다는 사실을 인지하지 못했을 가능성이 있다고 밝혔다. 또한 이용자들이 자신의 개인정보에 대한 통제권을 잃을 수 있었으며, 장기 보관이 그 상황을 더욱 악화시켰다고 덧붙였다.
€403 million에 달하는 이번 벌금은 DPC가 부과한 역대 4번째로 큰 금액이다. 다만 DPC의 벌금은 아일랜드 법원의 확정 판결 이후에야 실제로 납부 의무가 생기므로 아직 징수는 불가능하다. Google은 결정 공식 통지를 받은 날로부터 28일 이내에 High Court에 항소할 수 있다.
AP 통신이 보도한 성명에서 Google은 이번 사건이 "이미 업데이트된 과거 정책에 관한 것"이라고 밝히며, 2019년 이후 관행을 대폭 변경했다고 주장했다.
DPC가 조사한 기간 중인 2019년 5월, Google은 Location History와 Web & App Activity에 자동 삭제 기능을 도입했다. 이를 통해 사용자는 해당 데이터를 3개월 또는 18개월 후 자동으로 삭제할 수 있게 됐다. 2020년 6월에는 신규 계정과 Location History를 처음 활성화하는 사용자를 대상으로 Web & App Activity의 자동 삭제 기본값을 18개월로 설정했다.
2023년 12월에는 지도에서 Location History를 보여주는 Google Maps의 Timeline 기능이 데이터를 사용자 기기에 저장하도록 변경됐으며, Location History를 처음 활성화하는 사용자의 자동 삭제 기본값도 3개월로 단축됐다.
DPC는 이러한 변경이 자신들의 명령을 충족하기에 충분한지에 대해 공식 입장을 밝히지 않았다.
DPC는 유럽 소비자 단체인 BEUC(European Consumer Organization)를 포함한 유럽 소비자 단체들의 민원을 계기로 2020년 2월 조사를 시작했다. BEUC 회원 단체들은 2018년 11월 각국 데이터보호 기관에 민원을 제기한 바 있다. DPC가 조사한 기간은 조사 개시를 발표한 2020년 2월 4일에 종료된다.
조사 개시 후 6년 반 이상이 지나서야 결정이 나왔다. NewsIreland.EU가 보도한 논평에서 BEUC 사무총장 Agustín Reyna는 이번 결정을 환영하면서도 소요 시간을 비판했다. 그는 "늦은 집행은 집행하지 않는 것만큼이나 해롭다"고 말했다.
