Google, 위치 데이터 처리 관련 GDPR 위반으로 4억 300만 유로 제재
TREE NEWS 보도: 아일랜드 데이터 보호 위원회(DPC)는 Google Ireland Limited에 대한 최종 결정을 내리고, 위치 데이터 처리 방식과 관련된 일반 데이터 보호 규정(GDPR) 위반으로 총 4억 300만 유로의 벌금을 부과했다. 이 결정의 핵심은 Google의 세 가지 기능, 즉 웹 및 앱 활동, 위치 기록, 위치 정확도에 있다. 규제 당국은 적법성, 공정성, 투명성, 입증 가능한 준수, 데이터 보존 기간 전반에 걸친 위반을 확인했다. Google은 6개월 이내에 처리 활동을 준수 상태로 전환하라는 명령을 받았다.
문제가 된 데이터는 특히 민감하다. 위치 신호는 개인의 이동, 관심사, 일상 활동 경로를 추론하는 데 사용될 수 있다. GDPR에 따르면 이러한 데이터는 특별 범주의 데이터로 명시적으로 분류되지 않더라도 민감한 행동 패턴을 드러낼 수 있기 때문에 더욱 엄격한 심사를 받는다.
한 기업을 넘어서는 중요성
이번 결정은 더 광범위한 규제 흐름을 강화한다. 데이터 보호 당국은 선언된 데이터뿐 아니라 추론된 데이터도 보호되는 개인정보로 취급하는 추세를 강화하고 있다. Google에게 이 벌금은 EU 프라이버시 집행 조치의 누적에 더해지는 것이지만, 더 중대한 요소는 명령된 시정 기한일 수 있다. 이는 위치 토글이 설계되고 사용자에게 설명되는 방식에 제품 차원의 변경을 강제할 수 있다.
- 동의 구조에 대한 압박: 규제 당국은 여러 겹의 설정 메뉴에 묻혀 있을 때 동의가 진정으로 정보에 기반한 것인지 심사하고 있다.
- 보존 제한: 위치 기록의 무기한 또는 모호하게 정의된 저장은 점점 유지하기 어려워지고 있다.
- 투명성 의무: 사용자는 무엇이, 왜, 얼마나 오래 수집되는지 명확히 이해할 수 있어야 한다.
암호화폐 및 Web3 부문에 대한 시사점
이 사건은 Web2 거대 기업을 겨냥하지만, 그 파급 효과는 암호화폐에까지 미친다. 위치 데이터는 DeFi 프런트엔드와 NFT 드롭의 지오펜싱부터 위치 증명 프로토콜과 탈중앙화 매핑 네트워크에 이르기까지 많은 Web3 애플리케이션의 핵심 입력값이다. 사용자 위치를 수집하거나 추론하는 프로젝트는 이제 유럽 규제 당국이 동일한 적법성, 공정성, 보존 기준을 적용할 것이라고 가정해야 한다. 이는 탈중앙화 신원, DePIN 매핑, 그리고 기기 수준의 위치 권한에 의존하는 모든 앱에서 설계 단계부터의 준수(컴플라이언스 바이 디자인) 기준을 높인다.
EU 사용자를 대상으로 운영하거나 서비스를 제공하는 암호화폐 기업에게 메시지는 분명하다. 프라이버시는 마케팅 기능이 아니라 규제 기준선이다. 온체인 위치 또는 이동 데이터를 구축하는 프로젝트는 동의 흐름을 감사하고, 보존을 최소화하며, 준수를 입증 가능하게 문서화해야 한다.
향후 전망
6개월의 시정 기간은 면밀히 주시될 것이다. Google이 의미 있는 제품 변경——더 명확한 동의 흐름, 더 짧은 보존, 더 세분화된 제어——으로 대응한다면, 유럽에서 위치 기반 서비스가 어떻게 관리되는지에 대한 사실상의 템플릿을 확립할 수 있다. 암호화폐 업계의 교훈은 데이터 보호를 법적 사후 고려 사항이 아니라 첫날부터의 엔지니어링 요구 사항으로 취급하라는 것이다. 규제 당국이 추론 데이터와 행동 데이터에 초점을 날카롭게 함에 따라, 위치나 활동 신호를 다루는 Web3 프로젝트도 유사한 심사에 대비해야 한다.
