김보라미 디케 변호사
게이 데이트앱은 보유하고 있던 이용자의 ‘익명화된’ 위치 데이터, 모바일 광고 아이디를 광고 네트워크를 통해 판매했다. 가톨릭 신부에 대한 데이터가 모바일 광고 아이디를 통해 축적됐고, 식별 가능한 정보가 돼 뉴스 사이트로 흘러 들어간 것이다. 이 과정에서 문제된 것은 실시간 경매 시스템(Open RTB)이었다.
이용자는 추적광고 시스템 가운데 하나로 알려진 이 시스템을 전혀 알지 못할 뿐만 아니라 자신의 동의 없이 개인정보 파편들이 외부로 유출되지 않는다고 착각하기 쉽다. 그러나 사업자들이 보유하고 있던 개인정보의 파편들은 실시간 경매 시스템에서 쉽게 외부로 유출되고, 광고 아이디를 통해 축적될 수 있었다. 민감한 정보까지 말이다.
대니얼 시트론 교수는 ‘프라이버시를 위한 투쟁’(The Fight for Privacy)에서 현행 시스템을 통해 앞서 본 민감한 성적 지향 이외에 “성적 트라우마, 중독, 흡연 습관, 정신적 문제, 섭식장애, 유전질환, 의학적 질병, 성병, 섹스토이 사용 여부, 성적 취향, 결혼, 이혼, 임신 및 식습관까지도 이용자가 만나 본 적도, 사용해 본 적도 없는 제3자가 수집하거나 보유하고 있다”고 지적한 바 있다.
아일랜드 시민자유위원회는 이러한 실시간 경매 시스템에서 유출된 개인정보들이 쌓여 에이즈 등의 병력과 관련된 아일랜드인 1300명을 추적할 수 있고, ‘흑인의 생명도 소중하다’(Black Lives Matters) 시위에서 영장 없는 휴대폰 추적도 가능했다고 밝혔다.
벨기에 개인정보보호위원회는 유럽연합 회원국 27개 개인정보 감독기구와의 협의를 거쳐 수년간의 검토 끝에 실시간 경매 시스템의 유럽연합 일반개인정보보호법(GDPR) 위반을 올 2월 22일 확인했다. 즉 ①이용자 동의가 없었고 ②이용자가 처리되는 개인정보 범위와 그 내용에 대해 잘 이해할 수 없었으며 ③개인정보 보호 중심 설계 원칙을 위반하고 ④개인정보 보호 영향평가도 이행하지 않았다는 것이다.
우리나라의 경우 개인정보보호위원회가 올해 구글과 메타에 추적광고와 관련해 총 1000억원에 이르는 과징금을 부과한 적이 있지만 여전히 중요한 법적 쟁점에 대해서는 명쾌하지 않다. 민감정보 추론에 대한 금지 여부, 쿠키·광고 식별자의 개인정보성 여부 등은 물론 행태정보 수집의 적법 근거가 무엇인지에 대해서도 분명한 답을 내놓지 못한다.
대부분의 이용자들에게 추적광고의 위험성 자체가 충분히 알려지지도 않았다. 선택권, 사후거부권이 보장되는지도 불명확하다. 이용자에게 실시간 경매 시스템 아래서 어떤 일이 일어나는지 알려 주어야 하는 것은 시급한 일이다. 그리고 이 시스템에 대해 사전에 선택하고, 또 언제든지 거부할 수 있는 권한도 쉽게 보장돼야 한다.
2022-12-15 30면
