사람 손 없이 계정을 끈 대가, 우버가 GDPR 역대 2위 과징금을 받았다

완전자동으로 꺼진 계정에 8억 2,500만 유로가 매겨졌다

네덜란드 개인정보보호청(Autoriteit Persoonsgegevens, AP)이 8월 17일자로 내린 결정문을 8월 21일 언론이 처음 공개했다. 우버에 매긴 과징금은 8억 2,500만 유로, 달러로 환산하면 약 9억 6,600만 달러다. AP는 우버가 운전기사 계정을 정지·해고하는 과정에서 GDPR 제22조가 금지하는 ‘전적으로 자동화된 결정’을 내렸고, 그 결정을 기사들에게 충분히 알리지도 않았다고 판단했다. 문제 삼은 기간은 2020년부터 2022년까지다. 이 금액은 2023년 메타에 부과된 12억 유로에 이어 GDPR 역사상 두 번째로 큰 과징금이다.

네덜란드가 낸 결론은 프랑스 기사의 민원에서 시작됐다

이 사건은 애초 프랑스에서 나온 민원으로 출발했다. 우버의 유럽 본사가 네덜란드에 있다 보니 GDPR의 ‘원스톱숍’ 규정에 따라 심사 권한이 네덜란드 AP로 넘어갔다. AP는 평점이 낮은 기사 계정이 사람의 재검토 없이 컴퓨터로 영구 정지되는 사례가 있었다고 봤다. 우버는 이 결론에 정면으로 반박한다. 영구 정지를 자동으로 처리한 적이 없다고 주장하면서, 2021년 한 해 유럽에서 낮은 평점을 이유로 정지된 기사는 126명뿐이었다고 밝혔다. 회사는 “이 결정에 강하게 동의하지 않는다”며 항소 의사를 밝혔고, 현재는 사람의 재검토와 이의제기 절차를 함께 운영하고 있다고 설명했다. 규모로 다투는 이 반박 자체가 오히려 핵심을 보여준다. 몇 명이 영향을 받았는지가 아니라, 그 결정 앞에 사람이 있었는지가 쟁점이라는 것이다.

한국에서도 같은 질문이 이미 나와 있다

국경 밖 이야기로만 보기는 어렵다. 국내에서는 정부가 배달 라이더·대리기사 배차와 임금을 정하는 알고리즘을 기업이 공개하도록 의무화하는 방안을 추진 중이다. 계정 삭제나 정지가 해고·징계와 다를 게 없으니 그 판단 근거를 투명하게 밝히라는 논리다. 서울고등법원은 지난 7월 배달 플랫폼 라이더의 근로기준법상 근로자성을 인정하는 판결을 냈고, 이는 최저임금·퇴직금·해고 제한 같은 보호 범위가 넓어진다는 뜻이다. 배달의민족·쿠팡이츠·카카오모빌리티처럼 매칭 알고리즘으로 파트너의 계정 상태를 좌우하는 국내 플랫폼도 같은 논리에서 자유롭지 않다. 유럽은 과징금으로, 한국은 근로자성 판결과 공개 의무화로 접근 경로는 다르지만 묻는 질문은 같다. 알고리즘이 내린 결정에 사람이 책임질 준비가 되어 있는가.

정지·해고 버튼 뒤에 사람이 있는지 지금 확인할 차례

매칭·평가·페널티 알고리즘으로 파트너나 프리랜서의 계정을 관리하는 서비스라면 세 가지를 점검할 시점이다. 첫째, 계정 정지나 해고에 준하는 조치가 사람의 재검토 없이 시스템 단독으로 실행되는 구간이 있는지 코드 레벨에서 확인한다. 둘째, 정지된 사람이 이의를 제기할 경로와 그 처리 기록이 실제로 남는지 본다. AP가 문제 삼은 지점도 결정 자체가 아니라 그 결정을 설명받을 권리가 지켜지지 않았다는 데 있었다. 셋째, 알고리즘 로직을 나중에 규제기관이나 법원에 설명할 수 있는 형태로 로그를 남기고 있는지 점검한다. 국내 정부가 알고리즘 공개를 의무화하면 이 로그가 곧 제출 자료가 된다. 과징금 액수보다 무서운 건 시점이다. 규제가 뒤늦게 따라와도 위반 기간은 소급해서 계산된다는 걸 이번 결정이 보여준다.