아일랜드 데이터보호위원회(DPC)가 구글에 약 4억 300만 유로(약 6,300억 원)의 과징금을 부과했습니다. 구글이 사용자의 위치 데이터를 수집·처리하는 과정에서 GDPR(유럽 개인정보보호법)을 여러 차례 위반했기 때문입니다. 문제가 된 기능은 '웹 및 앱 활동', '위치 기록', '위치 정확도' 세 가지로, 구글이 투명하게 알리지 않은 채 위치 데이터를 처리하고 필요 이상으로 오래 보관했다는 것이 핵심입니다. 이로 인해 사용자들은 자신의 위치 정보가 광고 타겟팅 등에 사용되고 있다는 사실을 인지하지 못한 채 개인 데이터에 대한 통제권을 잃었습니다. 구글은 이미 관련 정책을 업데이트하고 위치 데이터 관리 도구를 도입했다고 밝혔으며, DPC는 6개월 내 데이터 처리 방식을 GDPR에 맞게 시정하도록 요구했습니다.
아일랜드 DPC가 구글의 위치 데이터 처리 방식이 GDPR을 위반했다고 판단하고 €403M의 과징금을 부과했다. 조사는 2020년 2월 시작되었으며, 2018년 5월~2020년 2월 기간의 세 가지 기능을 대상으로 했다.
사용자들이 자신의 위치 데이터가 광고 타겟팅이나 관심사 추론에 활용되는 사실을 알지 못했으며, 개인 데이터 통제권을 상실했다. 기업 측면에서는 GDPR 위반 시 대규모 제재가 가능함을 재확인하는 사례다.
구글이 웹·앱 활동 및 위치 기록 기능을 통해 위치 데이터를 수집하면서 GDPR의 투명성 의무를 충족하지 못했고, 필요 이상으로 데이터를 장기 보관했다.
DPC는 €403M 과징금 부과와 함께 6개월 내 시정을 명령했다. 구글은 2019년 이후 정책을 갱신했으며, 자동 삭제 타임라인 설정, Google Maps Timeline의 기기 내 저장(3개월 이상 자동 삭제) 등의 도구를 도입했다고 밝혔다.
위치 데이터를 포함한 개인정보 처리 시 수집 목적·보관 기간을 명확히 공개하고 최소 보유 원칙을 준수해야 한다. 자사 서비스나 앱이 위치 데이터를 다룬다면 GDPR 및 국내 개인정보보호법상 투명성·최소 보관 요건을 재점검할 필요가 있다.
본문
아일랜드 데이터보호위원회(DPC)가 사용자 위치 데이터 처리와 관련한 GDPR 다중 위반을 이유로 구글에 €403M(약 4억 6,300만 달러)의 과징금을 부과했습니다.
DPC는 소비자 권익 단체들의 다수 민원을 접수한 후 2020년 2월 조사에 착수했습니다. 조사 대상은 GDPR 적용 기간인 2018년 5월 25일부터 2020년 2월 4일 사이에 활성화되어 있던 구글의 세 가지 기능입니다.
해당 기능들은 구글이 사용자의 웹·앱 활동, 위치 기록, 위치 정확도 데이터를 처리할 수 있도록 허용하는 권한과 관련됩니다.
- 웹 및 앱 활동(Web and App Activity) – Google 계정 보유자를 대상으로 한 설정으로, 구글이 자사 서비스 전반의 활동(검색 기록, 앱 활동, 위치 데이터 포함 가능)을 처리할 수 있도록 합니다.
- 위치 기록(Location History) – 호환 가능한 모바일 기기를 소지한 사용자를 추적하는 선택적 서비스입니다. 방문 장소, 이동 경로, 활동을 추론할 수 있으며, 사용자가 구글 서비스를 직접 사용하지 않을 때도 비공개 Google Maps 타임라인에 해당 정보를 표시합니다.
- 위치 정확도(Location Accuracy) – GPS만 사용할 때보다 기기 위치를 더 정확하게 파악할 수 있도록 돕는 Android 기능입니다. Google 계정 유무와 관계없이 사용 가능합니다.
DPC는 구글이 웹·앱 활동 및 위치 기록 기능을 통해 위치 데이터를 처리하는 과정에서 GDPR 요건을 충족하지 못했다고 판단했습니다. 또한 위치 정확도 기능을 통한 개인 데이터 처리에서도 GDPR 원칙 준수를 입증하지 못했다고 보았습니다.
아일랜드 당국은 구글이 세 가지 기능 모두에서 투명성 의무를 이행하지 않았으며, 웹·앱 활동 및 위치 기록을 통해 수집한 위치 데이터를 필요 이상으로 오래 보관했다고 주장합니다.
DPC 부위원장 Graham Doyle은 다음과 같이 밝혔습니다.
"[…] 이용자들은 자신의 위치 정보가 예를 들어 광고 노출이나 관심사 추론에 활용되고 있다는 사실을 인지하지 못했을 수 있으며, 이로 인해 자신의 개인 데이터에 대한 통제권을 잃을 수 있었습니다."
"필요 이상으로 오랜 기간 위치 데이터를 보관한 것은 이러한 통제권 상실을 더욱 악화시켰습니다."
DPC는 이러한 위반에 대해 총 €403M의 행정 과징금을 부과하고, 6개월 이내에 사용자 데이터 처리 방식을 GDPR에 맞게 시정할 것을 구글에 요구했습니다.
DPC는 전체 결정문을 아직 공개하지 않았으나 추후 공개할 것을 약속했습니다.
구글은 BleepingComputer에 제출한 성명에서 이미 정책과 관행을 업데이트하고 위치 데이터를 쉽게 관리할 수 있는 기능을 도입했다고 밝혔습니다.
"이 사건은 이미 업데이트된 과거의 정책에 관한 것입니다. 2019년 이후 저희는 관행을 대폭 개선하고, 위치 데이터 관리를 간편하게 해주는 강력한 도구를 출시했습니다."라고 구글 대변인은 말했습니다.
구글은 수년에 걸쳐 사용자가 계정 내 데이터 자동 삭제 기간을 직접 설정할 수 있는 기능을 추가했습니다. Google Maps 타임라인 정보는 이제 기기에 저장되며, 3개월이 지난 데이터는 자동으로 삭제됩니다.
또한 구글은 웹·앱 활동에 정확한 기기 위치를 저장하지 않으며, 대략적인 지역 정보만 저장한다고 밝혔습니다.
