아일랜드 개인정보보호위원회(DPC)가 구글에 4억 300만 유로(약 6,360억 원)의 과징금을 부과했습니다. 구글이 사용자의 위치 데이터를 처리하는 방식이 유럽 개인정보보호법(GDPR)을 위반했다는 이유입니다. 문제가 된 기능은 '웹 및 앱 활동', '위치 기록', '위치 정확도' 세 가지로, 구글이 사용자 동의나 투명한 안내 없이 위치 정보를 광고 등에 활용한 것이 핵심입니다. 구글은 위치 데이터를 필요 이상으로 오래 보관한 것도 지적받았으며, 6개월 안에 처리 방식을 규정에 맞게 고쳐야 합니다. 기업 담당자라면 자사 서비스의 위치·개인정보 처리 방식도 GDPR 기준에 맞는지 점검할 필요가 있습니다.
아일랜드 DPC가 구글의 위치 데이터 처리 방식이 GDPR을 위반했다고 판정하고 €4억 300만 과징금을 부과했다. 위반 항목은 처리의 적법성·공정성, 투명성 의무 미이행, 위치 데이터 과보관 등이다.
구글 서비스 이용자들이 자신의 위치 정보가 광고 타겟팅이나 관심사 추론에 사용되고 있다는 사실을 인지하지 못했을 가능성이 있으며, 개인정보 통제권을 사실상 잃었다.
구글이 'Web & App Activity', 'Location History', 'Location Accuracy' 기능에서 GDPR이 요구하는 적법한 처리 근거 확보, 공정한 정보 제공, 투명한 고지 의무를 이행하지 않았다.
DPC는 6개월 이내에 위치 데이터 처리 방식을 GDPR 규정에 맞게 수정하도록 명령했으며, 전체 결정문은 추후 공개될 예정이다.
이번 제재는 묵시적 동의나 불충분한 고지로 위치·행동 데이터를 활용하는 관행 전반에 대한 경고다. 자사 앱·서비스에서 위치 정보를 수집·보관하는 경우 법적 처리 근거, 보유 기간, 사용 목적 고지 여부를 재점검해야 한다.
본문
아일랜드 개인정보보호위원회(DPC, Data Protection Commission)가 구글의 위치 데이터 처리 방식에 대해 4억 300만 유로(약 4억 6,300만 달러)의 과징금을 부과하고, 6개월 이내에 해당 처리 방식을 규정에 맞게 시정하도록 명령했다.
이번 조사는 2018년 5월 25일부터 2020년 2월 4일까지의 구글 관행을 검토 대상으로 삼았다. DPC는 유럽소비자기구(BEUC, European Consumer Organisation)를 포함한 여러 유럽 소비자권리단체로부터 민원을 접수한 후 2020년 2월 자체적으로 조사에 착수했다.
규제 당국은 'Web & App Activity'(웹 및 앱 활동)와 'Location History'(위치 기록) 기능을 통한 위치 데이터 처리의 적법성 및 공정성과 관련해 GDPR 위반을 확인했다.
또한 구글이 'Location Accuracy'(위치 정확도) 기능을 통한 개인정보 처리에서 GDPR의 적법성·공정성·투명성 원칙 준수를 입증해야 할 책임 의무를 이행하지 않은 것으로 판단했다. 그 밖에 세 가지 기능 전반에 걸친 투명성 위반과 'Web & App Activity' 및 'Location History'를 통한 위치 데이터 보유 기간 문제도 위반 사항으로 지적됐다.
DPC 부위원장 Graham Doyle은 "구글의 이러한 위반으로 인해 이용자들은 자신의 위치 정보가 광고 노출이나 관심사 추론 등에 활용되고 있다는 사실을 인지하지 못했을 수 있으며, 개인정보에 대한 통제권을 잃었을 가능성이 있다. 필요 이상으로 오랜 기간 사용자 위치 데이터를 보관한 것은 이러한 통제권 상실을 더욱 심화시켰다"고 밝혔다.
DPC는 전체 결정문을 추후 공개할 예정이라고 전했다.
