노르웨이 개인정보보호 당국이 그린드르(Grindr) 사용자의 개인정보, 그중에서도 성적 지향에 관한 민감 정보를 처리한 마이크로소프트의 Xandr에 약 850만 유로의 벌금을 부과했습니다. 이번 Xandr Grindr 데이터 벌금은 데이터를 최초로 수집한 앱이 아니라 광고 체인에서 더 하류에 있는 기업을 겨냥했다는 점에서 주목할 만합니다.

우리가 확보한 결정문 요약은 짧기 때문에, 이 글은 확인된 내용에만 집중하고 독자를 위해 더 넓은 맥락을 설명합니다.

노르웨이 규제 당국이 Xandr에 벌금을 부과한 이유

보도에 따르면, 약 850만 유로의 제재금은 마이크로소프트가 소유한 광고 사업체 Xandr이 그린드르 사용자의 개인정보를 어떻게 처리했는지와 관련이 있습니다. 그 데이터에는 성적 지향에 관한 민감 정보가 포함되어 있었습니다.

그린드르의 데이터 관행이 노르웨이의 조사를 받은 것이 이번이 처음은 아닙니다. 노르웨이 개인정보보호 당국은 이전에 그린드르 자체에 특별 범주의 개인정보 처리에 제한을 두는 GDPR 제9조를 위반한 이유로 6,500만 노르웨이 크로네(약 550만 유로)의 벌금을 부과했습니다. 그 벌금은 이후 보르가르팅 항소법원에서 유지되었습니다. Xandr에 대한 이번 새로운 조치는 초점을 앱에서 데이터를 하류에서 처리한 기업으로 확장합니다.

민감한 앱 데이터가 광고 플랫폼에 도달하는 방식

대부분의 무료 앱은 광고를 통해 수익을 냅니다. 관련성 있는 광고를 표시하기 위해, 앱은 기기 식별자, 대략적인 위치, 프로필 세부 정보 등 사용자에 관한 정보를 광고 파트너에게 전달할 수 있습니다. 그 파트너에는 광고 거래소와, 앱이 열린 뒤 흔히 수 밀리초 안에 광고를 잠재 고객과 매칭하는 플랫폼이 포함될 수 있습니다.

문제는 관련된 정보가 민감할 때 발생합니다. GDPR에 따르면, 성적 지향을 드러내는 데이터는 보호되는 범주에 속합니다. 특정 앱의 사용자라는 사실 자체만으로도 민감한 무언가를 드러낼 수 있습니다. 일단 그 신호가 광고 기술 파이프라인에 들어가면, 복사되고 다른 식별자와 결합되어 여러 기업 사이를 오갈 수 있으며, 이로 인해 사용자는 그것이 어디까지 갔는지 알기 어렵고 철회하기도 어렵습니다.

그래서 규제 당국은 전체 체인을 들여다봅니다. 그러한 데이터를 수신하거나 처리하는 기업은 그것을 최초로 수집한 기업이 아니더라도 자체적인 법적 책임을 집니다.

GDPR 집행이 사용자에게 의미하는 것

이번 벌금은 유럽 규제 당국이 대형 기술 그룹이 소유한 기업을 포함해 광고 생태계 전반의 기업을 추적할 의사가 있다는 신호입니다. 사용자에게는 몇 가지 실질적인 시사점이 있습니다.

  • 특별 범주 데이터에는 더 엄격한 규칙이 적용됩니다. 성적 지향, 건강, 종교 및 이와 유사한 주제에 관한 정보는 일반적으로 GDPR에 따른 유효한 법적 근거 없이 처리될 수 없습니다.
  • 집행은 느릴 수 있습니다. 이전 그린드르 사건은 벌금, 항소, 법원 판결을 거쳤습니다. 규제 조치는 이미 발생한 노출을 되돌리지 못합니다.
  • 벌금은 구제책과 같지 않습니다. 제재금은 기업을 처벌하지만, 개인은 앞으로 자신의 노출을 스스로 관리해야 합니다.

이 정도 규모의 기업들은 다른 맥락에서도 대량의 데이터를 보유하고 있으며, 생태계 다른 곳에서의 보안 사고는 중앙에 보관된 데이터가 표적이 된다는 점을 상기시켜 줍니다. 예를 들어, 우리는 마이크로소프트의 내부 Titan 분석 서비스에 관리자급 접근 권한을 얻었다고 보도된 십대 버그 헌터와 마이크로소프트 Azure 인프라에서 직원 데이터베이스가 도난당했다는 주장에 관해 보도했습니다. 이들은 Xandr 결정과는 별개의 사안이지만, 애초에 공유하는 정보를 제한하는 것이 왜 중요한지 보여줍니다.

이것이 당신에게 의미하는 것

어떤 광고 파트너가 앱으로부터 데이터를 받는지 알 수 없으므로, 가장 신뢰할 수 있는 접근 방식은 앱이 보낼 수 있는 것을 줄이는 것입니다. 시작할 지점은 다음과 같습니다.

  • 앱 권한을 검토하세요. 휴대폰의 위치, 연락처, 사진, 추적 권한을 확인하세요. 앱이 명확히 필요로 하지 않는 것은 모두 철회하세요.
  • 광고 ID를 재설정하거나 비활성화하세요. Android와 iOS 모두 광고 식별자를 삭제하거나 재설정할 수 있고, 광고 추적을 제한할 수 있으며, 이는 광고 플랫폼이 앱 간 활동을 연결하기 어렵게 만듭니다.
  • 앱 내 개인정보 설정을 살펴보세요. 많은 앱에는 맞춤형 광고나 파트너와의 데이터 공유를 위한 토글이 있습니다. 가능한 것은 모두 끄세요.
  • 민감한 프로필 세부 정보에는 선별적으로 대응하세요. 앱이 공유하고 싶지 않은 정보를 요구하면, 비워 두는 것을 고려하세요.
  • 더 이상 사용하지 않는 계정은 삭제하세요. 휴면 계정도 여전히 데이터를 보유할 수 있습니다.

VPN이 적합한 부분

VPN은 IP 주소를 가리고 기기와 VPN 서버 사이의 트래픽을 암호화할 수 있으며, 이는 공용 Wi-Fi에서 그리고 인터넷 제공업체가 보는 것을 제한하는 데 유용합니다. 그러나 VPN은 앱이 당신이 제공한 데이터, 예컨대 프로필 세부 정보나 광고 ID를 파트너에게 보내는 것을 막지는 못합니다. VPN을 부분적인 한 계층으로 취급하되, 앱 내 데이터 공유에 대한 해결책으로 여기지 마세요.

핵심 요점

Xandr Grindr 데이터 벌금은 규제 당국이 민감한 정보를 수집하는 앱을 넘어 그것을 처리하는 광고 기술 기업까지 들여다보고 있음을 보여줍니다. 일상적인 사용자에게 가장 효과적인 조치는 당신의 통제 안에 있습니다. 앱 권한을 점검하고, 광고 ID를 재설정하거나 비활성화하고, 앱 내 개인정보 설정을 조정하고, VPN은 그것이 잘하는 용도로만 사용하세요. 이번 주에 10분을 내어 휴대폰의 앱들을 살펴보세요. 가장 개인적인 정보를 많이 보유한 앱부터 시작하세요.