우버가 GDPR 하에서 저지른 위반 사항

네덜란드 데이터 보호 당국(Autoriteit Persoonsgegevens)이 우버에 8억 2,500만 유로(약 9억 6,600만 달러)의 벌금을 부과했다. 이는 일반 데이터 보호 규정(GDPR)에 따라 부과된 역대 최대 규모의 제재 중 하나다. 이번 벌금은 우버가 운전자 계정을 정지하거나 비활성화하는 데 사용한 자동화 시스템에 초점을 맞추고 있다. GDPR에 따라 개인은 자신에게 영향을 미치는 자동화된 결정이 어떻게 이루어지는지 이해하고, 인간 검토자를 통해 해당 결정에 이의를 제기할 권리가 있다. 규제 당국은 우버가 운전자를 차단하는 과정(때로는 심각한 재정적 결과를 초래함)에서 영향을 받은 운전자에게 충분한 투명성을 제공하지 않았고, 결과에 의미 있게 이의를 제기할 방법도 제공하지 않았다고 판단했다.

이번이 우버가 네덜란드 규제 당국과 충돌한 첫 번째 사례는 아니다. 2024년, 같은 당국은 우버가 EU 기반 운전자의 개인 데이터를 적절한 보호 장치 없이 미국 서버로 이전한 데 대해 2억 9,000만 유로의 벌금을 부과했다. 해당 사건은 기업이 유럽 데이터를 해외로 이전하는 것을 정당화하기 위해 사용하는 법적 메커니즘인 표준 계약 조항(SCC)과 관련된 것이었다. 우버는 2021년 8월 이후 해당 조항 사용을 중단한 것으로 알려졌으며, 이로 인해 국제 이전 과정에서 운전자 데이터가 충분히 보호되지 않았다. 두 건의 제재를 합치면, 우버가 투명성, 동의, 역외 이전에 관한 GDPR의 핵심 요구 사항을 내부 데이터 관행에 맞추는 데 반복적으로 어려움을 겪어 왔음을 보여준다.

GDPR 집행이 실제로 작동하는 방식

GDPR은 중앙 집권적인 단일 유럽 규제 기관이 아니라 각 EU 회원국의 국가 데이터 보호 당국에 의해 집행된다. 우버의 유럽 사업이 네덜란드에 본사를 두고 있기 때문에 네덜란드 당국이 이 사건을 주도했다. 이는 아일랜드 데이터 보호 위원회가 2023년 데이터 이전과 관련된 개인정보 보호 위반으로 메타에 12억 유로의 별도 벌금을 부과한 것(메타는 이에 항소함)과 유사한 방식이다.

이러한 구조는 기업의 주요 EU 소재지가 어디인지에 따라 해당 기업을 감독하는 당국이 결정된다는 것을 의미하며, 집행 조치는 완결되기까지 수년이 걸릴 수 있다. 규제 당국은 민원을 조사하고, 문서를 요청하며, 기업이 자주 항소하는 벌금을 부과하여 절차를 더욱 연장시킨다. 이러한 조사가 어떻게 진행되고 규제 당국이 실제로 어떤 권한을 보유하는지 이해하려는 독자에게 CNIL 설명 기사는 유럽에서 가장 활발한 데이터 보호 당국 중 하나의 운영 방식을 살펴볼 수 있는 유용한 자료를 제공한다. 네덜란드를 포함한 모든 EU 회원국에 동일한 기본 집행 원칙이 적용되기 때문이다.

이것이 개인 데이터에 의미하는 바

우버의 벌금 규모(현재 두 차례의 집행 조치를 합쳐 총 11억 유로 이상)는 EU 규제 당국이 자동화된 의사 결정과 데이터 이전 위반을 얼마나 심각하게 다루는지를 반영한다. 그러나 벌금의 규모가 처음에 데이터를 잘못 취급당한 사람들에게 미친 영향을 되돌리지는 못한다. 명확한 설명이나 구제 수단 없이 계정이 자동으로 정지된 운전자들은 실질적인 재정적 피해를 입었으며, 규제 당국에 납부된 어떤 벌금도 그 피해를 직접 보상하지 않는다.

이번 사건은 GDPR이 존재하는 이유가 기업, 심지어 규모가 크고 자원이 풍부한 기업이라도 스스로 데이터 처리를 항상 올바르게 수행하지 않기 때문임을 상기시킨다. 자동화 시스템은 규제 당국이 개입하지 않는 한 투명성이 거의 없는 상태에서 사람들의 생계에 중대한 영향을 미치는 결정을 내릴 수 있다. 우버만큼 저명한 기업이 이러한 관행으로 수억 유로의 벌금을 쌓을 수 있다면, 이는 사용자들이 단지 EU에서 운영된다는 이유만으로 어떤 플랫폼이 자동으로 자신의 데이터 권리를 존중할 것이라고 가정해서는 안 된다는 신호다.

사용자가 노출을 줄이기 위해 취할 수 있는 조치

규제 당국이 집행을 담당하는 동안, 개인도 실질적인 조치를 취할 수 있다. 라이드셰어 및 긱 플랫폼을 포함해 정기적으로 사용하는 앱의 개인정보 보호 설정과 데이터 권한을 검토하고, 가능한 경우 공유하는 데이터를 제한하라. 자동화된 결정이 부당하게 영향을 미쳤다고 생각된다면, GDPR은 인간 검토를 요청하고 기업에 해당 결정背后的 논리를 설명하도록 요구할 권리를 부여한다. 또한 기업이 응답하지 않을 경우 국가 데이터 보호 당국에 직접 민원을 제기할 수 있다.

가능한 한 개인 데이터를 최소한으로 유지하고, 강력한 계정 보안을 사용하며, 플랫폼이 역외 데이터 이전을 처리하는 방식에 대해 정보를 얻는 것은 모두 우버의 벌금으로 이어진 종류의 문제에 대한 노출을 줄여준다.

더 큰 그림

우버의 운전자 데이터 관련 8억 2,500만 유로 벌금은 GDPR 벌금 집행에 관한 더 넓은 진실을 강조한다. 개인정보 보호는 규제 당국이 기업을 적극적으로 책임지게 할 때만 작동하며, 사용자는 기업의 선의가 그 공백을 메울 것이라고 가정하기보다 스스로 그러한 보호 장치를 이해함으로써 혜택을 얻는다. 계정 정지부터 서비스 자격까지 점점 더 많은 자동화 시스템이 일상적인 결정을 형성함에 따라, GDPR 하에서의 권리에 대해 정보를 얻는 것이 가장 효과적인 도구 중 하나다. 의존하는 플랫폼이 데이터를 어떻게 처리하는지 검토하는 시간을 갖고, 직접 영향을 미치는 자동화된 결정에 이의를 제기할 권리를 주저하지 말고 행사하라.