구글, 과거 위치 데이터 관행으로 아일랜드에서 4억300만 유로 과징금

아일랜드 데이터보호위원회는 9월 21일 과거 위치 데이터 관행과 관련해 구글에 4억300만 유로의 과징금을 부과한다고 발표하고, 회사가 6개월 안에 해당 처리 방식을 규정에 맞추도록 명령했다. 이번 결정은 2018년부터 2020년까지 웹 및 앱 활동, 위치 기록, 위치 정확도 설정을 통해 수집된 데이터에 관한 것이다.

아일랜드 결정의 범위

감독기관의 판단은 규제 결정이며, 독립적인 기술 벤치마크가 아니다. 이 결정은 위치 데이터에 적용되는 개인정보 규칙 아래에서 적법성, 공정성, 투명성, 보유와 관련한 미비점을 지적한다. 실제로 이 사안은 검토 대상 기간 동안 구글이 위치 정보를 처리하면서 그 처리를 설명하고, 정당화하고, 제한하는 데 필요한 기준을 충족했는지에 관한 문제다.

범위가 중요한 이유는 이 결정이 현재의 모든 구글 제품이나 모든 형태의 위치 이용에 대한 판단으로 제시된 것이 아니기 때문이다. 결정은 특정 설정과 명확히 정의된 과거 기간에 연결돼 있다. 웹 및 앱 활동, 위치 기록, 위치 정확도 설정은 서로 다른 제어 항목이지만, 모두 서비스가 어떤 사람이 어디에 있거나 어디에 있었는지에 관한 신호를 기록하거나 사용하는 방식과 관련될 수 있다.

감독기관의 우려는 정밀 위치의 민감성에도 근거한다. 정밀 위치는 관심사, 생활 패턴 또는 민감한 장소를 가리킬 수 있는 양상을 포함해 사적인 정보를 드러낼 수 있다. 또한 관심사를 추론하거나 광고에 영향을 주는 데 사용될 수도 있다. 이것이 모든 위치 신호가 같은 민감성을 갖는다는 뜻은 아니지만, 이 사안에서 보유, 투명성, 법적 근거가 핵심 쟁점인 이유를 설명한다.

구글이 바뀌었다고 말하는 것

구글은 이번 결정이 2019년 이후 변경된 과거 관행에 관한 것이라고 말한다. 회사는 자동 삭제 옵션, 기기 내 지도 타임라인 저장, 대략적 지역 사용 확대를 언급한다. 이는 제품 및 정책 변경에 관한 회사의 설명이며, 이전 기간에 대한 감독기관의 판단과 구분해야 한다.

구글이 설명한 자동 삭제 옵션은 위치 관련 정보를 무기한 보관하는 대신 정해진 기간 뒤 삭제할 수 있게 함으로써 보유 문제를 다룬다. 아일랜드 결정과의 관련성은 분명하다. 보유는 감독기관이 미비점을 확인한 영역 중 하나였기 때문이다. 그러나 자동 삭제 옵션의 존재만으로 이전의 처리가 적법하고 공정하며 투명했다는 점이 입증되는 것은 아니다.

기기 내 지도 타임라인 저장은 특정 위치 기록 정보가 보관되는 위치를 바꾼다. 타임라인 데이터를 기기에 보관하면 서비스가 어떻게 구성되는지에 따라 중앙 시스템에 저장되는 위치 기록의 양을 줄일 수 있다. 그러나 감독기관의 결정은 2018년부터 2020년까지의 관행에 관한 것이며, 현재의 모든 구현 방식이 어떻게 작동하는지에 대한 독립 감사가 아니다.

구글은 또한 대략적 지역 사용 확대를 언급한다. 정밀 위치와 대략적 위치의 구분은 중요하다. 정밀 위치는 한 사람의 삶에 대해 더 구체적인 추론을 뒷받침할 수 있기 때문이다. 대략적 지역은 세분성을 낮출 수 있지만, 실제 개인정보 보호 효과는 맥락, 목적, 보유 기간에 따라 달라진다. 이번 결정이 과거 시스템과 새 시스템을 비교하는 기술 점수표가 되는 것은 아니다.

숫자가 보여주는 것과 보여주지 않는 것

4억300만 유로라는 수치는 아일랜드 데이터보호위원회가 부과한 행정 과징금의 규모를 보여준다. 이 과징금은 아일랜드 감독기관이 부과한 과징금 중 네 번째로 큰 것으로 보도됐다. 그 순위는 감독기관의 기록 안에서 집행 강도의 척도일 뿐이며, 얼마나 많은 사용자가 영향을 받았는지, 얼마나 많은 데이터가 수집됐는지, 또는 어떤 처리에서 얼마만큼의 수익이 발생했는지를 측정한 것이 아니다.

6개월 준수 명령은 금전적 제재와 별개다. 이 명령은 구글이 관련 처리를 감독기관의 요구에 맞추도록 기한을 부여한다. 이는 사건을 재정적 제재를 넘어 요구된 변경 또는 준수 확인의 단계로 옮긴다는 점에서 운영상 의미가 있다.

미국과의 비교는 맥락을 더하지만 동등성을 뜻하지는 않는다. 2022년 구글은 미국 40개 주와 위치 추적 관련 3억9150만 달러 합의에 도달했다. 그 합의와 아일랜드 과징금은 모두 위치 관련 관행을 다루지만, 서로 다른 법체계와 절차에서 나온 것이다. 어느 한쪽을 다른 한쪽의 직접적인 기준으로 보아서는 안 된다.

또한 이 수치들이 구글 시스템의 현재 상태를 입증하는 것도 아니다. 아일랜드 결정은 2018년부터 2020년까지의 과거 관행을 평가하는 반면, 구글은 2019년 이후 관행을 바꿨다고 말한다. 과징금은 감독기관이 과거의 미비점이 큰 제재와 준수 명령을 필요로 할 만큼 중대하다고 봤다는 점을 보여준다. 그것만으로 현재 위치 제어 기능에 대한 독립적인 기술 측정이 성립하지는 않는다.

실제 영향

구글에 대한 즉각적 영향은 규제 측면이다. 회사는 4억300만 유로의 과징금과 6개월 내 준수 요구에 직면했다. 실제 과제는 관련 위치 데이터 처리를 적법성, 공정성, 투명성, 보유에 관한 기대에 맞추는 것이다. 결정이 여러 설정을 다루기 때문에, 준수는 하나의 명칭이나 하나의 스위치만의 문제가 아니다.

사용자에게 이 사건은 위치 설정을 평가하기가 왜 어려울 수 있는지를 보여준다. 웹 및 앱 활동, 위치 기록, 위치 정확도 설정은 별개처럼 들릴 수 있지만, 각각은 이동, 장소 또는 근접성에 관한 그림을 형성하는 데 기여할 수 있다. 이번 결정은 명확한 설명과 보유 제한이 부차적인 세부사항이 아니라는 점을 다시 확인한다. 이는 사람들이 자신의 데이터에 무슨 일이 일어나는지 이해하는 방식의 중심에 있다.

광고주와 데이터 기반 서비스에는 위치를 바탕으로 추론한 관심사가 규제 당국의 감시 대상이 된다는 점을 다시 상기시키는 결정이다. 쟁점은 위치가 관련성을 높일 수 있는지 여부만이 아니다. 특히 정밀 위치가 사적인 정보를 드러낼 수 있을 때, 수집, 이용, 저장이 개인정보 법규의 요구를 충족하는지가 문제다. 더 넓은 의미에서 과거 제품 설계도 나중의 집행에 노출될 수 있다. 구글의 입장은 관련 관행이 바뀌었다는 것이지만, 감독기관의 결정은 이전 기간에 과징금을 부과하고 앞으로의 준수 기한을 설정한다. 따라서 이번 결과는 과거 데이터 관행, 현재 제어 기능, 민감한 신호로서 위치에 대한 지속적인 규제 관심이 만나는 지점에 놓여 있다.