네덜란드 DPA, 운전자 GDPR 위반으로 우버에 €8억 2,500만 벌금 부과

네덜란드 규제당국, 우버에 기록적인 벌금 부과

2026년 8월 21일, 네덜란드 개인정보보호감독기관(Autoriteit Persoonsgegevens)이 우버 테크놀로지스(Uber Technologies Inc.)에 유럽 일반개인정보보호규정(GDPR)을 위반한 혐의로 약 9억 6,600만 달러에 해당하는 8억 2,500만 유로의 벌금을 부과한다고 발표했습니다. 이번 우버 GDPR 벌금은 회사가 자동화된 시스템을 사용하여 운전자 계정을 정지 및 비활성화하면서도 해당 운전자들에게 적절한 통지나 결정에 이의를 제기할 수 있는 실질적인 경로를 제공하지 않은 것에 초점을 맞추고 있습니다.

이번 벌금은 지금까지 집행된 GDPR 제재 중 가장 큰 규모에 속하며, 같은 규제기관이 우버에 부과한 벌금 명단에 추가된 사례입니다. 2024년, 네덜란드 DPA는 우버가 유럽경제지역(EEA) 외부로 개인 데이터를 이전하는 데 있어 GDPR의 엄격한 요구사항을 충족하지 못했다는 사실을 발견하고, 미국으로의 부적절한 데이터 이전에 대해 우버에 2억 9,000만 유로의 벌금을 부과했습니다. 이번에 훨씬 더 큰 벌금이 부과된 것은 네덜란드 규제당국이 이를 단순한 일회성 준수 미비가 아닌 일관된 패턴으로 보고 있음을 시사합니다.

자동화된 의사결정이 왜 조사 대상이 되었나

GDPR은 기업이 개인에게 중대한 영향을 미치는 결정을 자동화된 시스템으로 내릴 때 개인에게 특정 보호를 제공하며, 여기에는 설명을 받을 권리와 인간의 검토를 요청할 권리가 포함됩니다. 운전자의 계정을 비활성화하고 수입원을 차단하면서 투명한 통지나 이의제기 절차 없이 진행하는 것은 바로 이 규정이 제한하고자 했던 자동화된 결정 유형입니다.

운전자 인력의 알고리즘 관리를 사업 모델의 핵심으로 삼는 우버와 같은 기업에게 이는 구조적 긴장을 만들어냅니다. 자동화된 시스템은 사기, 안전 위반, 또는 정책 위반을 대규모로 적발하는 데 효율적이지만, GDPR은 그러한 효율성이 자신에 대해 내려진 결정을 이해하고 이의를 제기할 개인의 권리를 희생시키는 대가가 되어서는 안 된다고 요구합니다. 규제당국이 통지 및 이의제기 메커니즘이 부적절하거나 아예 존재하지 않았다고 판단할 경우, 그 위반이 단순한 기술적 서류 미비가 아닌 핵심 보호 조항을 건드린 것이기 때문에 결과적으로 막대한 벌금이 부과될 수 있습니다.

더 넓은 데이터 책임성 패턴의 일부

이번 벌금은 단독으로 존재하지 않습니다. 업계 전반에 걸쳐 규제당국과 법원은 개인 데이터가 수집, 처리 또는 중요한 결정을 내리는 데 사용되는 방식에 대한 보호에 실패한 기업들에게 점점 더 상당한 규모의 벌금을 부과하는 데 주저하지 않고 있습니다. 예를 들어, 교육 분야에서 PowerSchool의 Naviance 학생 추적 관련 1,725만 달러 합의는 조용히 수집된 데이터(이 경우 학생 활동 데이터)가 빛을 보게 되면 얼마나 큰 법적 위험을 초래할 수 있는지를 보여주었습니다. 데이터 보호 실패는 의도적인 오용에만 국한되지 않습니다. 다크 웹에 판매용으로 게시된 Iliad Italia 고객 데이터와 같은 사건은 개인 데이터가 기업 정책이 아닌 침해 사고를 통해 노출될 수 있지만, 그럼에도 기업이 규제 및 평판상의 타격을 입게 된다는 것을 보여줍니다.

종합적으로 볼 때, 이러한 사례들은 일관된 주제를 가리킵니다: 개인 데이터나 그 데이터를 기반으로 구축된 자동화된 결정을 낮은 우선순위의 준수 문제로 취급하는 조직들은 점점 더 천만 자리 및 억 자리 수준의 벌금이라는 불리한 상황에 직면하고 있다는 것입니다.

이것이 당신에게 의미하는 바

우버나 유사한 플랫폼에서 운전자로 일하고 있다면, 이번 사건은 자동화된 시스템이 귀하의 계정에 대해 내린 결정과 관련하여 GDPR(만약 EU 내에 있다면)에 따른 권리가 있다는 것을 상기시켜 줍니다. 귀하는 일반적으로 자동화된 결정이 내려진 이유를 알 권리가 있으며, 단순한 알고리즘이 아닌 사람이 검토할 것을 요청할 권리가 있습니다.

라이드헤일링 앱과 같이 데이터 기반 계정 관리에 크게 의존하는 플랫폼의 일상적인 사용자에게도 이번 벌금은 이러한 기업과의 관계가 직접적으로 보이지 않는 자동화된 시스템을 통해 얼마나 많이 운영되고 있는지를 강조합니다. 앱 기반 서비스에 부여한 권한과 데이터 접근 권한을 주기적으로 검토하는 것이 좋으며, 이렇게 큰 규모의 벌금은 규제당국이 이러한 시스템이 어떻게 사용되는지 적극적으로 감시하고 있다는 신호이지, 근본적인 관행이 이미 바뀌었다는 증거는 아니라는 점을 이해하는 것이 중요합니다.

실행 가능한 핵심 요점

• EU에 있는 긱 이코노미 노동자라면, 자동화된 시스템이 귀하의 계정이나 수입에 대해 중대한 결정을 내릴 때 GDPR이 설명을 받을 권리와 인간의 검토를 받을 권리를 보장한다는 점을 알아두십시오.
• 플랫폼으로부터 받은 계정 정지, 비활성화 통지 또는 이의제기 관련 서신은 모두 기록을 보관하십시오. 이러한 문서는 결정에 이의를 제기해야 할 때 중요합니다.
• 긱, 배달 또는 라이드헤일링 앱에 부여한 개인정보 보호 설정과 데이터 권한을 검토하고, 더 이상 필요하지 않은 접근 권한은 철회하십시오.
• 이 사건에 대한 규제 업데이트를 주시하십시오. 이 규모의 GDPR 벌금은 종종 항소로 이어지고 완전히 해결되기까지 수년이 걸릴 수 있으며, 이는 플랫폼이 향후 운영 방식에 영향을 미칠 수 있습니다.

이번 우버 GDPR 벌금은 자동화된 시스템이 실제 사람들의 생계에 어떻게 영향을 미치는지에 대해 주요 기술 플랫폼의 책임을 묻는 유럽의 지속적인 노력에 있어 중요한 이정표입니다. 이것이 우버의 관행을 즉시 바꿀지는 두고 봐야겠지만, 데이터 보호 권리가 전통적인 데이터 처리와 마찬가지로 알고리즘 결정에도 동일하게 적용된다는 주장에 실질적인 재정적 무게를 더해주고 있습니다.