이충수 개인정보 보호책임자의 디지털 시대의 새로운 에티켓, 개인정보 보호
지난 편에서는 이름과 주소, 생년월일 같은 비교적 ‘전통적인’ 개인정보가 어떻게 신용평가사와 주소출판사 사이를 오가며 거래되어왔는지를 살펴봤다.
그런데 스마트폰이 일상이 된 지금, 훨씬 더 은밀하고 위험할 수 있는 정보가 같은 방식으로 거래되고 있다는 사실이 최근 몇 년 사이 독일 탐사보도를 통해 드러났다. 바로 위치정보와 안면정보이다.
날씨 앱이 판 것
발단은 독일 탐사보도매체 netzpolitik.org와 공영방송 바이에른방송(BR)이 공동으로 진행한 ‘데이터브로커파일(Databroker Files)’ 프로젝트였다. 기자들은 베를린에 본사를 둔 데이터 마켓플레이스 Datarade를 통해 실제로 데이터 브로커에 접촉했고, 무료 샘플로 위치정보 데이터셋을 받아볼 수 있었다.
여기에는 개별 기기와 이동 경로를 추적할 수 있는 모바일 광고 ID가 포함된 수십억 개의 위치 좌표가 담겨 있었다. 출처를 추적한 결과 이 데이터는 날씨, 내비게이션, 데이팅 앱처럼 사람들이 무심코 위치 권한을 허용하는 서비스에서 나온 것이었다. 이용자 대부분은 앱을 설치할 때 개인정보처리방침에 한 차례 동의했을 뿐, 자신의 이동 경로가 어딘가에서 상품으로 거래되고 있다는 사실은 전혀 모르고 있었다.
데이터의 정밀도는 예상을 뛰어 넘고 있었다. 출퇴근 경로는 물론이고 재활 클리닉이나 사적인 만남의 장소를 오가는 이동까지 특정할 수 있을 정도였다. 더 심각한 문제는 이 데이터셋에 군 기지와 정보기관 관계자로 추정되는 인물들의 이동 패턴 자료까지 들어 있었다는 사실이다.
나토 그라펜뵈어 훈련장이나 람슈타인 공군기지 인근의 위치정보를 통해 적대세력이 군 인력 그리고 군 작전 동선의 추적이 가능한 상황이었다. 독일 국방부는 모든 연방군 구성원이 이런 위험에 노출되어 있을 가능성이 상당히 높다고 인정할 수밖에 없었다.
정작 규제는 이 지점에서 헛돌았다. Datarade 측은 자신들이 거래되는 데이터를 직접 처리하는 게 아니라 두 당사자를 연결해주는 중개자일 뿐이라고 주장했다. 베를린주 데이터보호관도 예비 검토 끝에 GDPR이 Datarade에는 적용되지 않을 가능성이 크다는 판단을 내놨다. 데이터를 직접 파는 브로커가 아니라 ‘플랫폼’이라는 지위를 내세워 규제를 피해가는 구조였다.
보도 이후 상황은 얼마간 바뀌는 듯했지만 완전히 해소되지는 않았다. Datarade는 최초 보도에 등장했던 미국 데이터브로커 데이터스트림그룹의 상품을 플랫폼에서 내렸지만, 유사한 위치정보 상품을 판매하는 다른 브로커들은 여전히 남아 있었다. 후속 취재 시점에도 위치좌표와 모바일 광고 ID가 포함된 상품이 여전히 검색됐고, 그중 독일 관련 데이터만 대략 십수 건에 달했다.
그리고 2026년 4월, 이 조사가 촉발한 첫 번째 구체적인 법 집행 사례가 나왔다. 다만 대상은 Datarade 자체가 아니라, 그 거래망에서 위치정보가 흘러나온 것으로 지목된 독일의 인기 날씨 앱 WetterOnline이었다. NRW주 데이터보호관이 WetterOnline에 대한 과징금 절차를 개시했다고 밝힌 것이다. 절차가 언제 어떻게 종결될지는 아직 예단할 수 없는 상태다.
이 신고는 한 기자가 noyb와 공동으로 제기한 것으로, WetterOnline이 유효한 동의 없이 수년간 정밀 위치정보를 수집해 광고 목적으로 제3자와 공유해왔다는 것이 핵심 혐의였다. 회사는 GPS 데이터를 판매한 적은 없고 문제가 된 관행은 이미 중단했다고 주장했지만, 진행 중인 절차 자체에 대해서는 말을 아꼈다.
이 사건이 흥미로운 이유는 규제의 불균형 구조를 드러내기 때문이다. 정작 데이터가 흘러나가는 통로 역할을 한 플랫폼은 여전히 아무 제재 없이 운영되고 있는 반면, 실제 처벌 절차는 그 통로를 통해 정보를 흘려보낸 출처 쪽에서 시작된 것이다.
국가 예산이 흘러간 곳
이 사건에는 또 하나의 불편한 사실이 숨어 있다. Datarade는 독일 경제기후보호부가 지분의 절반 이상을 출자한 하이테크 그륀더 폰드(HTGF)로부터 투자를 받은 회사다. 2019년 100만 유로가 먼저 투입됐고, 2023년 추가 투자 라운드에서 약 50만 유로가 더 들어간 사실이 뒤늦게 드러났다. 국가가 육성한 스타트업이 GDPR의 규제 사각지대를 이용해 안보를 위협할 수 있는 데이터 거래를 중개해온 셈이다.
정치권에서도 이 문제를 그냥 넘기지는 못했다. 여당인 사회민주당의 디지털정책 대변인은 데이터브로커파일 조사 결과를 볼 때 개인정보보호뿐 아니라 안보정책 차원에서도 상당한 조치가 필요하다고 밝혔지만, 연립정부 내에서 구체적인 법 개정으로 이어질지는 여전히 불투명한 상태다.
이 보도는 그사이 그리메 온라인 어워드(Grimme Online Award), 데이터보호 미디어상, 유러피언 프레스 프라이즈 상을 수상하며 언론계의 주목을 계속 받고 있다.
얼굴을 파는 회사, 그리고 물러서는 독일
위치정보 못지않게 민감한 것이 바로 안면정보이다. 미국 스타트업 Clearview AI는 인터넷에 공개된 사진을 무차별적으로 긁어모아 수십억 장 규모의 얼굴 데이터베이스를 구축하고, 이를 각국 수사기관에 유료로 제공해온 회사다.
2020년 여름 함부르크 데이터보호관 요하네스 카스파는 이런 사업모델이 전 지구적 차원에서 프라이버시를 위협하며, 국가와 민간 모두에게 사람을 통제하는 새로운 수단을 쥐여줄 수 있다고 경고하며 이 회사를 강하게 비판했다. 질의에 성실히 답하지 않으면 최대 17만 유로의 강제이행금을 물리겠다는 경고도 뒤따랐다.
이 논쟁을 촉발한 것은 카오스컴퓨터클럽(CCC) 회원이기도 한 정보학자 마티아스 마르크스의 사례였다. 그는 본인의 동의 없이 자신이 Clearview의 얼굴 데이터베이스에 등록되어 있다는 사실을 발견하고 함부르크 당국에 신고했다.
그런데 1년여가 지난 뒤 결말은 기대 이하였다. Clearview AI는 강제이행금 없이 질의에 답변을 마쳤고, 회사가 삭제하겠다고 밝힌 것은 오직 마르크스 한 사람의 생체정보뿐이었다. 함부르크 당국은 자신들이 함부르크 거주자에 대해서만 관할권을 갖는데, Clearview가 수집한 사람들이 정확히 어디 사는지는 회사도 모를 가능성이 크다는 논리를 댔다.
연방정보보호관(BfDI) 역시 자신들이 감독하는 연방기관들은 Clearview를 쓰지 않는 것으로 안다며 관할권이 없다는 입장을 밝혔다. 결국 독일에서는 피해를 본 시민 각자가 개별적으로 신고해야 하는 구조만 남았다.
같은 시기 다른 나라들의 대응은 사뭇 달랐다.
영국 정보위원회(ICO)는 2022년 5월 755만 파운드(약 880만 유로) 과징금을 발표했으나, Clearview AI가 이의제기를 하여 2025년 현재 상급심에서 계속 심사 중이다. 그리스 데이터보호청은 2022년 10월 2,000만 유로의 과징금 결정을 발표했다. 네덜란드는 한발 더 나아가 2024년 9월, 3,050만 유로의 과징금을 부과하며 자국 내 소프트웨어 사용 자체를 금지했다. 캐나다는 2020년 8월 연방 개인정보보호당국이 Clearview AI의 개인정보보호법 위반을 판시한 후, 수사기관의 사용을 금지했다.
반면 독일에서는 이 글을 쓰는 시점까지도 Clearview AI에 실제로 과징금이 부과되었다는 소식이 확인되지 않는다.
함부르크 데이터보호관은 2021년 1월 생체정보 삭제 명령만 내렸을 뿐, 과징금이나 사용 금지 조치는 취하지 않았다. 2020년 가장 먼저 강경한 발언으로 포문을 열었던 나라가, 결과적으로는 유럽에서 유일하게 아무런 제재로도 이어지지 못한 나라로 남은 셈이다.
왜 유독 독일에서는 느린가
자난 편의 CRIF•Acxiom 사건이나 이번 Clearview AI 사건 모두에서 반복되는 패턴이 있다. 바로 연방제로 인한 관할권의 파편화다.
독일은 연방정보보호관과 16개 주 데이터보호청이 각자의 영역을 나눠 관할하는 구조다. CRIF는 바이에른주가, Acxiom은 헤센주가 담당하면서 사건이 두 갈래로 쪼개졌고, Clearview AI 사건에서는 함부르크 당국이 “우리는 함부르크 거주자만 담당한다”는 이유로 한계를 인정했다.
유럽 차원에서도 27개 회원국이 각자의 감독기구를 갖고 있어, noyb 같은 단체들은 “여러 나라 감독기구의 조율된 공동 행동만이 실효적 집행을 가능케 할 것”이라고 지적해왔다. 데이터는 국경을 넘나드는데, 이를 감시할 권한은 여전히 잘게 쪼개져 있는 셈이다.
한국의 시선에서
한국은 위치정보의 보호 및 이용 등에 관한 법률에 따라 위치정보사업 자체를 등록제로 운영한다. 개인위치정보를 취급하는 사업자는 방송통신위원회에 등록해야 한다. 독일과 EU에는 이런 별도의 사업 등록 절차가 없다는 점이, 데이터브로커파일 사건 같은 사각지대가 생겨난 구조적 원인 중 하나로 지목될 만하다.
또한 “플랫폼은 데이터를 직접 처리하지 않으므로 책임이 없다”는 Datarade의 주장과 베를린 당국의 예비 판단은, 한국에서도 계속 논의되고 있는 온라인 플랫폼의 중개자 책임 문제와 비교해볼 만한 지점이다.
1473호 16면, 2026년 9월 4일