아마존, 애플, 넷플릭스, 유튜브 등 굵직한 기업들 한꺼번에
정보 제공의 의무 위반했다고 주장...하지만 의아한 구석도 없지 않아
[보안뉴스 문가용 기자] 유럽의 NGO인 noyb(none of your business)가 1월 18일 8개의 국제 스트리밍 서비스들을 대상으로 GDPR 관련 항의를 10개나 제기했다. GDPR의 15조에 명시되어 있는 ‘데이터 주체(data subject)의 접근 권리 보장’을 성실하게 지키지 않았다는 것이 항의의 주된 내용이다. 그럼으로써 투명하고 세부적으로 정보 주체와 소통해야 한다는 12조의 내용도 위반하고 있다고 noyb는 주장했다.
이 중 네 기업은 미국의 대형 업체들로, 아마존 프라임(Amazon Prime), 애플 뮤직(Apple Music), 넷플릭스(Netflix), 유튜브(Youtube)다. 또 다른 네 군데는 유럽 업체로, 영국의 DAZN, 오스트리아의 플림잇(Flimmit), 독일의 사운드클라우드(SoundCloud), 스웨덴의 스포티파이(Spotify)다. 이 회사들이 최고 벌금형을 받는다고 했을 때 애플이 최대 금액을 내야 하고(80억 2천만 유로), DAZN과 스포티파이가 2천만 유로로 가장 적게 낸다.
noyb는 프라이버시 관련 운동가들과 변호사 맥스 슈렘즈(Max Schrems)가 시작한 NGO 단체다. 슈렘즈는 학생일 때, 즉, GDPR이 공식적으로 도입되기 전에 페이스북을 상대로 소송을 제기한 바 있다. 유럽의 사법재판소는 이 사건을 받아들이고, 유럽과 미국 사이의 프라이버시 관련 협정인 세이프 하버(Safe Harbor)가 헌법에 위반된다고 판결을 내리기도 했다.
뿐만 아니라 슈렘즈는 GDPR이 도입되던 당일인 5월 25일에 구글과 인스타그램, 왓츠앱과 페이스북을 상대로 GDPR 위반 소송을 걸기도 했다. 구글의 경우는 프랑스의 개인정보위원회인 CNIL이 검토했고, 현지 시각으로 1월 21일 5천만 유로의 벌금형을 내렸다. 물론 이것이 전부 noyb의 항의에 대한 결과인 것은 아니다. 비슷한 항의가 프랑스의 인터넷 자유 옹호 조직인 라궈드라츄르듀넷(La Quadrature du Net)으로부터 접수되기도 했었다.
CNIL이 구글에 이런 판결을 내린 것은 크게 두 가지 이유 때문이라고 알려져 있다. 먼저 구글은 투명성과 정보에 대한 조항을 침해했고, 두 번째로는 광고의 개인화 처리에 있어서 법적 기반을 갖추지 못했다고 한다. 보안 업체 바로니스(Varonis)의 엔지니어링 책임자인 맷 록(Matt Lock)은 “이번 구글 벌금 판결 때문에 유럽연합이 GDPR 관련 판결을 느슨하게 할 것이라는 예상이 전부 깨졌다”고 말한다. “아마 많은 기업들이 방심하다가 찬물을 맞은 느낌일 겁니다.” 구글은 이에 항소할 전망이다.
그러면서 GDPR에서 말하는 투명성이 다시 한 번 화제가 되고 있다. noyb가 최근 문제 삼은 8개의 스트리밍 기업도 바로 이 투명성 때문에 골치 아프게 된 것이다. 슈렘즈는 위에서 언급한 8개 기업 사용자를 통해 데이터에 대한 접근 요청을 전달했다. GDPR에 따르면 이러한 요청에 대응하기 위해서 기업들에 한 달의 시간이 주어진다. noyb도 한 달을 기다렸다. DAZN과 사운드클라우드는 한 달이 넘어도 소식이 없었고, 나머지는 대응을 했으나 noyb가 만족할만한 수준의 답변이 아니었다. noyb 측은 회사들이 보낸 응답을 원시 자료(raw data), 명료성(intelligibility), 배경 정보(background information)라는 항목으로 점수를 매겼다.
이 중 플림잇이 제공한 원시 자료만 noyb를 만족시켰다. 또한 명료성에 있어서 플림잇과 넷플릭스만이 훌륭한 답변을 보냈다. 그 외 나머지는 전부 수준 미달이었다고 한다. 다만 플림잇과 넷플릭스가 제공한 ‘배경 정보’는 양호한 수준이었다. 8개 회사 중 GDPR을 정확히 지킨 회사는 한 군데도 없었다. “대부분의 회사들이 자동화된 시스템을 통해 정보 요청에 대응하더군요. 하지만 사용자의 권리를 충족시키는 사례는 하나도 없었습니다. 그저 원시 자료만을 받는 것에 그쳤죠. 예를 들어 해당 정보가 어떤 조직과 공유가 되었는지 등은 아예 공개하지도 않습니다. 명백한 권리 침해입니다.” 슈렘즈의 주장이다.
사용자 데이터 요청에 투명하게 답할 권리는 GDPR 내에서 그 동안 알게 모르게 ‘낮은 순위’로 인식됐었다. 하지만 이것이야 말로 GDPR의 핵심이라는 것이 이번 구글 판결을 통해서도 드러났다. “어떤 정보를 보유하고 있는지, 그 정보가 누구와 공유되고 있으며 어디에 저장되고 있는지 등을 전부 제공해야 합니다. 사람들은 개인정보를 ‘알고서’ 기업들과 공유하지만, 그 데이터가 서드파티와 공유되는 현황에 대해서는 모르고 있습니다. 이걸 개선하고자 하는 게 GDPR의 정보 요청 권리죠.” 그리고 그 점을 지적하고자 한 것이 이번 noyb 소송의 의의이기도 하다.
8개 스트리밍 업체들의 사건은 전부 오스트리아의 데이터 보호 주무 기관인 DSB에서 진행할 예정이다. 또 DSB는 이 사건을 각 업체가 등록되어 있는 국가의 정보 관련 기관들과 협의할 예정이기도 하다. 다만 미국 업체들의 경우 유럽연합 내 기관들 내에서 분배되는데, 아마존 프라임은 룩셈부르크가, 애플 뮤직은 아일랜드가, 넷플릭스는 네덜란드가 맡게 되었다. 아직 유튜브는 어디서 맡아 진행할지 결정되지 않았다.
이 사건은 언제 최종 판결이 날까? 이 부분은 아직 아무도 답할 수 없다. 다만 구글의 5천만 유로 판결이 9개월 만에 났기 때문에, 대부분 이 사건도 최소 9개월에서 족히 1년은 걸릴 것이라고 보고 있다. 로펌인 맥로버츠 LLP(MacRoberts LLP)의 수석 변호사인 데이비드 플린트(David Flint)는 외신과의 인터뷰를 통해 “GDPR 관련 기관의 업무가 굉장히 많이 쌓여있는 것으로 알고 있다”며 “중요도에 따라 일을 먼저 처리하는 중일 것”이라고 말했다. “영국은 아마도 캠브리지 애널리티카와 브렉시트와 관련된 사건이 가장 중요하게 다뤄질 것 같습니다.”
애플 뮤직이 소송 대상이 되었다는 것도 재미있다. 왜냐하면 최근 애플의 CEO인 팀 쿡(Tim Cook)이 CES라는 전자기기 전시회에서 프라이버시를 강조한 대형 광고물을 부착함으로써 ‘애플은 다른 기업들과 다르다’는 메시지를 강력하게 전파했기 때문이다. 또한 2018년 10월 인터뷰를 통해 프라이버시를 옹호한다는 입장을 분명하게 어필하기도 했다. 이번 noyb 소송을 통해 애플의 광고나 CEO의 인터뷰가 진실인지 거짓인지가 판명 날 전망이다.
하지만 noyb의 의도가 분명치 않다는 의견도 나오고 있다. 영국의 변호사인 브라이언 밴디(Brian Bandey)는 “단 한 번의 요청에 대한 기업들의 대응으로 이 같이 대대적인 소송을 건다는 것도 얼른 이해하기 힘들다”며 “noyb의 의도가 무엇인지 알 수가 없다”고 말했다. “벌금을 비롯한 ‘형벌’이라는 건 실제 발생한 피해와 어느 정도 연관성을 가지고 판결되는 겁니다. 하지만 noyb는 실험적으로 각 회사에 요청을 보낸 것으로 보이며, 따라서 실질적인 피해가 발생했는지가 불투명합니다.”
그렇기 때문에 이번 사건을 통해 noyb가 프라이버시 강화에 대한 구조적인 일침을 날리려고 하는지도 사실은 알 수 없다고 밴디는 설명한다. “아니면 전략적으로 GDPR의 현재 약한 부분을 알리려는 것일 수도 있습니다. GDPR도 앞으로 계속 업데이트 될 것이니까요. 미국의 네 기업, 유럽의 네 기업을 선정한 것도 이런 전략성에 대한 추측을 가능케 합니다. 하지만 nyob와 직접 이야기하지 않는 이상 이 부분은 확인할 수 없겠지요.”
또한 이번 구글 판결에서처럼 큰 벌금형이 내려질 가능성도 그리 높지 않아 보인다. 왜냐하면 여덟 개의 회사 중 여섯 곳은 기한 내에 대응을 했기 때문이다. 다만 noyb의 보기에 불충분하다는 것이 항의의 이유인데, 이를 GDPR 기관이 얼마나 받아들이겠냐고 지적하는 전문가들도 있다.
3줄 요약
1. 프라이버시 옹호 단체인 noyb, 8개 스트리밍 서비스 업체 대상으로 소송 시작.
2. 소송의 이유는 GDPR 규정을 위반했다는 것. 특히 고객에 정보 제공의 의무를 충실히 이행하지 않았다고 주장.
3. 그러나 ‘단 한 사건으로 제기된 소송’이며, ‘불충분하다는 기준도 모호’해 여러 모로 의아한 구석이 있는 주장.
[국제부 문가용 기자(globoan@boannews.com)]
정보 제공의 의무 위반했다고 주장...하지만 의아한 구석도 없지 않아
[보안뉴스 문가용 기자] 유럽의 NGO인 noyb(none of your business)가 1월 18일 8개의 국제 스트리밍 서비스들을 대상으로 GDPR 관련 항의를 10개나 제기했다. GDPR의 15조에 명시되어 있는 ‘데이터 주체(data subject)의 접근 권리 보장’을 성실하게 지키지 않았다는 것이 항의의 주된 내용이다. 그럼으로써 투명하고 세부적으로 정보 주체와 소통해야 한다는 12조의 내용도 위반하고 있다고 noyb는 주장했다.
[이미지 = iclickart]
이 중 네 기업은 미국의 대형 업체들로, 아마존 프라임(Amazon Prime), 애플 뮤직(Apple Music), 넷플릭스(Netflix), 유튜브(Youtube)다. 또 다른 네 군데는 유럽 업체로, 영국의 DAZN, 오스트리아의 플림잇(Flimmit), 독일의 사운드클라우드(SoundCloud), 스웨덴의 스포티파이(Spotify)다. 이 회사들이 최고 벌금형을 받는다고 했을 때 애플이 최대 금액을 내야 하고(80억 2천만 유로), DAZN과 스포티파이가 2천만 유로로 가장 적게 낸다.
noyb는 프라이버시 관련 운동가들과 변호사 맥스 슈렘즈(Max Schrems)가 시작한 NGO 단체다. 슈렘즈는 학생일 때, 즉, GDPR이 공식적으로 도입되기 전에 페이스북을 상대로 소송을 제기한 바 있다. 유럽의 사법재판소는 이 사건을 받아들이고, 유럽과 미국 사이의 프라이버시 관련 협정인 세이프 하버(Safe Harbor)가 헌법에 위반된다고 판결을 내리기도 했다.
뿐만 아니라 슈렘즈는 GDPR이 도입되던 당일인 5월 25일에 구글과 인스타그램, 왓츠앱과 페이스북을 상대로 GDPR 위반 소송을 걸기도 했다. 구글의 경우는 프랑스의 개인정보위원회인 CNIL이 검토했고, 현지 시각으로 1월 21일 5천만 유로의 벌금형을 내렸다. 물론 이것이 전부 noyb의 항의에 대한 결과인 것은 아니다. 비슷한 항의가 프랑스의 인터넷 자유 옹호 조직인 라궈드라츄르듀넷(La Quadrature du Net)으로부터 접수되기도 했었다.
CNIL이 구글에 이런 판결을 내린 것은 크게 두 가지 이유 때문이라고 알려져 있다. 먼저 구글은 투명성과 정보에 대한 조항을 침해했고, 두 번째로는 광고의 개인화 처리에 있어서 법적 기반을 갖추지 못했다고 한다. 보안 업체 바로니스(Varonis)의 엔지니어링 책임자인 맷 록(Matt Lock)은 “이번 구글 벌금 판결 때문에 유럽연합이 GDPR 관련 판결을 느슨하게 할 것이라는 예상이 전부 깨졌다”고 말한다. “아마 많은 기업들이 방심하다가 찬물을 맞은 느낌일 겁니다.” 구글은 이에 항소할 전망이다.
그러면서 GDPR에서 말하는 투명성이 다시 한 번 화제가 되고 있다. noyb가 최근 문제 삼은 8개의 스트리밍 기업도 바로 이 투명성 때문에 골치 아프게 된 것이다. 슈렘즈는 위에서 언급한 8개 기업 사용자를 통해 데이터에 대한 접근 요청을 전달했다. GDPR에 따르면 이러한 요청에 대응하기 위해서 기업들에 한 달의 시간이 주어진다. noyb도 한 달을 기다렸다. DAZN과 사운드클라우드는 한 달이 넘어도 소식이 없었고, 나머지는 대응을 했으나 noyb가 만족할만한 수준의 답변이 아니었다. noyb 측은 회사들이 보낸 응답을 원시 자료(raw data), 명료성(intelligibility), 배경 정보(background information)라는 항목으로 점수를 매겼다.
이 중 플림잇이 제공한 원시 자료만 noyb를 만족시켰다. 또한 명료성에 있어서 플림잇과 넷플릭스만이 훌륭한 답변을 보냈다. 그 외 나머지는 전부 수준 미달이었다고 한다. 다만 플림잇과 넷플릭스가 제공한 ‘배경 정보’는 양호한 수준이었다. 8개 회사 중 GDPR을 정확히 지킨 회사는 한 군데도 없었다. “대부분의 회사들이 자동화된 시스템을 통해 정보 요청에 대응하더군요. 하지만 사용자의 권리를 충족시키는 사례는 하나도 없었습니다. 그저 원시 자료만을 받는 것에 그쳤죠. 예를 들어 해당 정보가 어떤 조직과 공유가 되었는지 등은 아예 공개하지도 않습니다. 명백한 권리 침해입니다.” 슈렘즈의 주장이다.
사용자 데이터 요청에 투명하게 답할 권리는 GDPR 내에서 그 동안 알게 모르게 ‘낮은 순위’로 인식됐었다. 하지만 이것이야 말로 GDPR의 핵심이라는 것이 이번 구글 판결을 통해서도 드러났다. “어떤 정보를 보유하고 있는지, 그 정보가 누구와 공유되고 있으며 어디에 저장되고 있는지 등을 전부 제공해야 합니다. 사람들은 개인정보를 ‘알고서’ 기업들과 공유하지만, 그 데이터가 서드파티와 공유되는 현황에 대해서는 모르고 있습니다. 이걸 개선하고자 하는 게 GDPR의 정보 요청 권리죠.” 그리고 그 점을 지적하고자 한 것이 이번 noyb 소송의 의의이기도 하다.
8개 스트리밍 업체들의 사건은 전부 오스트리아의 데이터 보호 주무 기관인 DSB에서 진행할 예정이다. 또 DSB는 이 사건을 각 업체가 등록되어 있는 국가의 정보 관련 기관들과 협의할 예정이기도 하다. 다만 미국 업체들의 경우 유럽연합 내 기관들 내에서 분배되는데, 아마존 프라임은 룩셈부르크가, 애플 뮤직은 아일랜드가, 넷플릭스는 네덜란드가 맡게 되었다. 아직 유튜브는 어디서 맡아 진행할지 결정되지 않았다.
이 사건은 언제 최종 판결이 날까? 이 부분은 아직 아무도 답할 수 없다. 다만 구글의 5천만 유로 판결이 9개월 만에 났기 때문에, 대부분 이 사건도 최소 9개월에서 족히 1년은 걸릴 것이라고 보고 있다. 로펌인 맥로버츠 LLP(MacRoberts LLP)의 수석 변호사인 데이비드 플린트(David Flint)는 외신과의 인터뷰를 통해 “GDPR 관련 기관의 업무가 굉장히 많이 쌓여있는 것으로 알고 있다”며 “중요도에 따라 일을 먼저 처리하는 중일 것”이라고 말했다. “영국은 아마도 캠브리지 애널리티카와 브렉시트와 관련된 사건이 가장 중요하게 다뤄질 것 같습니다.”
애플 뮤직이 소송 대상이 되었다는 것도 재미있다. 왜냐하면 최근 애플의 CEO인 팀 쿡(Tim Cook)이 CES라는 전자기기 전시회에서 프라이버시를 강조한 대형 광고물을 부착함으로써 ‘애플은 다른 기업들과 다르다’는 메시지를 강력하게 전파했기 때문이다. 또한 2018년 10월 인터뷰를 통해 프라이버시를 옹호한다는 입장을 분명하게 어필하기도 했다. 이번 noyb 소송을 통해 애플의 광고나 CEO의 인터뷰가 진실인지 거짓인지가 판명 날 전망이다.
하지만 noyb의 의도가 분명치 않다는 의견도 나오고 있다. 영국의 변호사인 브라이언 밴디(Brian Bandey)는 “단 한 번의 요청에 대한 기업들의 대응으로 이 같이 대대적인 소송을 건다는 것도 얼른 이해하기 힘들다”며 “noyb의 의도가 무엇인지 알 수가 없다”고 말했다. “벌금을 비롯한 ‘형벌’이라는 건 실제 발생한 피해와 어느 정도 연관성을 가지고 판결되는 겁니다. 하지만 noyb는 실험적으로 각 회사에 요청을 보낸 것으로 보이며, 따라서 실질적인 피해가 발생했는지가 불투명합니다.”
그렇기 때문에 이번 사건을 통해 noyb가 프라이버시 강화에 대한 구조적인 일침을 날리려고 하는지도 사실은 알 수 없다고 밴디는 설명한다. “아니면 전략적으로 GDPR의 현재 약한 부분을 알리려는 것일 수도 있습니다. GDPR도 앞으로 계속 업데이트 될 것이니까요. 미국의 네 기업, 유럽의 네 기업을 선정한 것도 이런 전략성에 대한 추측을 가능케 합니다. 하지만 nyob와 직접 이야기하지 않는 이상 이 부분은 확인할 수 없겠지요.”
또한 이번 구글 판결에서처럼 큰 벌금형이 내려질 가능성도 그리 높지 않아 보인다. 왜냐하면 여덟 개의 회사 중 여섯 곳은 기한 내에 대응을 했기 때문이다. 다만 noyb의 보기에 불충분하다는 것이 항의의 이유인데, 이를 GDPR 기관이 얼마나 받아들이겠냐고 지적하는 전문가들도 있다.
3줄 요약
1. 프라이버시 옹호 단체인 noyb, 8개 스트리밍 서비스 업체 대상으로 소송 시작.
2. 소송의 이유는 GDPR 규정을 위반했다는 것. 특히 고객에 정보 제공의 의무를 충실히 이행하지 않았다고 주장.
3. 그러나 ‘단 한 사건으로 제기된 소송’이며, ‘불충분하다는 기준도 모호’해 여러 모로 의아한 구석이 있는 주장.
[국제부 문가용 기자(globoan@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
문가용기자 기사보기
[2024-10-31] .jpg)
