구글 4억 유로 과징금의 대상은 위치 기능 셋이고 하나는 이름에 위치가 없다

세 기능 가운데 이름에 위치가 없는 것이 하나 있다

아일랜드 데이터보호위원회(DPC)가 9월 21일 구글 아일랜드에 대한 조사 결과를 확정하고 과징금 4억 300만 유로를 매겼다. 조사 대상은 세 기능이다. 웹 및 앱 활동(Web & App Activity), 위치 기록(Location History), 위치 정확도(Location Accuracy)다. 기간은 GDPR이 적용되기 시작한 2018년 5월 25일부터 2020년 2월 4일까지다.

DPC 설명에 따르면 세 기능은 성격이 서로 다르다. 웹 및 앱 활동은 구글 계정 보유자에게만 제공되는 계정 설정이다. 이 기능을 켜면 구글 서비스와 사이트, 앱에서 한 활동 정보를 처리하며, 여기에는 검색 기록과 방문 기록, 위치 데이터가 들어간다. 위치 기록은 이용자가 직접 켜야 하는 서비스다. 호환 기기를 지닌 채 움직인 경로를 저장해 타임라인이라는 지도로 보여 준다. 구글 서비스를 쓰지 않는 동안에도 로그인된 기기의 이동 경로를 저장한다. 위치 정확도는 안드로이드 운영체제의 기능이다. GPS만 쓸 때보다 위치를 정확하게 잡도록 도와주며, 구글 계정이 없는 안드로이드 이용자에게도 적용된다.

DPC가 위반으로 판단한 항목은 넷이다. 웹 및 앱 활동과 위치 기록에서 이뤄진 위치 데이터 처리의 적법성과 공정성, 위치 정확도에서 적법성과 공정성, 투명성 원칙을 지켰음을 증명하지 못한 책임성, 세 기능 전부의 투명성, 그리고 웹 및 앱 활동과 위치 기록에서 위치 데이터를 보관한 기간이다. DPC는 6개월 안에 처리를 바로잡으라고 명령했고, 결정문 전문은 추후 공개한다고 밝혔다.

민원이 들어온 뒤 결정까지 걸린 시간

DPC가 이 조사를 2020년 2월에 직권으로 시작했다. 계기는 유럽소비자기구(BEUC)를 비롯한 유럽 소비자단체들이 낸 민원이었다. 더넥스트웹에 따르면 그 민원은 2018년 11월에 접수됐고, 구글의 화면 설계를 다룬 노르웨이 소비자위원회 조사에 바탕을 두었다. 민원 접수부터 결정까지 7년 10개월, 조사 개시부터 세면 6년 7개월이다. 조사가 다룬 처리 기간은 2020년 2월에 끝났다.

구글은 답변에서 시점을 짚었다. 구글 대변인은 RTE에 이번 사안이 이미 바뀐 과거 정책에 관한 것이라며, 2019년부터 관행을 크게 바꾸고 위치 데이터 관리를 쉽게 하는 도구를 내놓았다고 밝혔다. RTE는 구글이 이 사건을 넘어 법적으로 정리할 쟁점을 두고 항소할 것으로 안다고 전했다. 더넥스트웹은 이번 과징금이 GDPR 시행 뒤 DPC가 매긴 과징금 가운데 네 번째로 크다고 전했다. 가장 큰 과징금은 2023년 메타에 매긴 12억 유로다.

위치를 다른 활동 기록에 묶어 둔 설정이 걸렸다

네 항목을 앱 하나에 대입하면 확인할 곳이 셋 나온다. 첫째는 스위치의 위치다. 웹 및 앱 활동은 검색 기록과 방문 기록을 모으는 설정이지만, 위치 데이터도 그 안에서 함께 처리됐다. 그레이엄 도일 부위원장은 구글의 실패로 이용자가 자기 위치가 광고에 쓰이거나 관심사를 추정하는 데 쓰인다는 사실을 모를 수 있었다고 말했다. 앱에서 위치 수집을 맞춤 추천이나 활동 기록 같은 큰 스위치 아래에 넣어 두었다면 구조가 같다.

둘째는 보관 기간이다. DPC는 필요한 기간을 넘겨 위치 데이터를 보관한 것이 통제력 상실을 키웠다고 적었다. 구글이 2019년 이후 도입했다고 밝힌 자동 삭제 설정이 바로 이 항목에 대한 답이다. 위치 로그를 언제까지 보관할지 정한 문서가 없다면 이 항목은 비어 있다.

셋째는 증명이다. 위치 정확도에서 문제가 된 것은 처리 자체보다 적법성과 공정성, 투명성을 지켰음을 증명하지 못했다는 책임성 위반이다. 위치 정확도는 안드로이드 기능이라 구글 계정이 없는 사람에게도 적용되는데, 그 처리가 어떤 근거로 이루어지는지 보여 줄 기록이 부족했다는 뜻이다. 작은 팀에서는 이 자리가 가장 먼저 빈다. 처리는 하고 있지만 왜 그렇게 하는지 적어 둔 문서가 없는 상태다.

처리가 끝나고 6년 뒤에 청구서가 왔다

이 결정의 날짜를 나란히 놓으면 순서가 보인다. 처리 기간은 2020년 2월 4일에 끝났고, 조사는 그달에 시작됐으며, 결정은 2026년 9월에 나왔다. 구글이 2019년부터 관행을 바꿨다고 말한 것도 이 순서 안에 있다. 관행을 바꾼 뒤에도 바꾸기 전 처리에 대한 심사는 그대로 진행됐다. 지금 설정 화면을 고치면 앞으로의 처리는 바뀌지만, 지난 처리 기록은 지워지지 않는다.

또 하나는 민원의 출처다. 이 조사는 이용자 개인이 아니라 소비자단체가 낸 민원에서 시작됐다. 서비스 화면을 분석한 보고서가 민원의 근거가 됐다. 이용자 불만이 쌓이지 않아도 화면 설계 자체가 조사 대상이 될 수 있다는 뜻이다. 유럽에 이용자가 있는 앱이라면 설정 화면의 문구와 구조가 그대로 증거가 된다.

국내 팀이 같은 달에 받은 다른 숫자

국내에서는 개인정보 보호법 개정에 따라 9월 11일부터 과징금 상한이 전체 매출액의 10%까지 오르는 경우가 셋 생겼다. 반복적이고 중대한 위반, 대규모 피해 발생, 시정명령 미이행이다. 셋 가운데 둘은 사고의 크기가 아니라 앞선 처분과 명령을 기준으로 삼는다. 구글 사례에서 처리가 끝나고 6년 뒤에 결정이 난 것과 겹쳐 보면, 처분을 받은 날과 시정을 마친 날을 기록하는 일이 두 제도 모두에서 값을 한다.

DPC는 결정문 전문을 추후 공개한다고 했다. 네 항목 가운데 웹 및 앱 활동의 적법성 판단에서 동의의 범위를 어디까지 보았는지는 전문이 나와야 확인된다. 그때까지 확인할 수 있는 것은 자기 앱의 위치 스위치가 어느 설정 아래에 있는지다.