개인정보보호위원회가 페이스북·인스타그램의 운영사인 메타에 부과한 과징금은 총액이 1000억 원에 달한다. 과징금은 행정청이 법령상 의무 위반에 대해 부과하는 금전적 제재로 해당 행위가 위법하다는 점을 전제로 한다. 그렇다면 메타는 어떤 이유로 큰 법적 리스크를 지속적으로 안고 있는 것일까.
지난 2020년 11월 개인정보보호위원회는 메타가 페이스북 로그인 기능을 제공하면서 사용자에게 별도의 동의를 받지 않은 채 로그인에 필요한 범위를 넘어선 개인정보를 제3자에게 제공했다고 판단해 약 67억 원의 과징금을 부과했다. 위원회 조사 결과, 330만 명 이상의 이용자 정보가 동의 여부를 확인하는 절차 없이 1만여 개 제3자 앱에 제공된 것으로 드러났다. 특히 메타가 제공한 정보에는 사용자의 ‘친구’ 정보도 포함되어 있었는데, 위원회는 해당 정보는 친구 본인의 개인정보이기도 하므로 별도의 동의가 필요하다는 점을 지적했다. 이에 대해 메타는 사용자의 자발적 동의가 있었고, 공개된 정보만 활용한 것이라며 법적 책임이 없다는 취지로 행정소송을 제기했다. 하지만 1심인 서울행정법원(2021구합57117),과 2심(서울고등법원 2023누64906), 대법원(2024두55440)까지 모두 메타의 주장을 받아들이지 않았다.
과징금 부과는 이후에도 계속됐다. 2021년 8월, 동의 없이 얼굴 인식 정보를 수집·활용한 혐의로 약 64억 원의 과징금이 부과됐고, 2022년 9월에는 ‘온라인 행태정보’를 사전 동의 없이 수집·제공했다는 이유로 약 308억 원의 과징금이 부과됐다
온라인 행태정보란 이용자의 웹사이트 방문 이력, 앱 사용 패턴, 검색 및 구매 이력 등으로, 개인의 흥미와 기호, 성향을 분석할 수 있는 정보다. 온라인 행태정보에 관한 과징금 부과 취소 소송에서 메타는 이러한 정보 수집의 주체는 웹·앱 운영자이며, 자신은 광고주로부터 정보를 위탁받는 입장일 뿐이므로 동의를 받을 의무가 없다고 주장했다. 반면, 개인정보보호위원회는 메타가 관련 도구를 직접 제작·배포하고, 이용자 식별자를 생성·수집·보관한 점에 주목했다. 특히 행태정보 수집·전송 과정에서 웹·앱 운영자들은 해당 정보를 직접 취득하지 않았으므로, 동의를 받아야 할 주체는 메타라고 판단했다.
법원은 이번에도 개인정보보호위원회의 손을 들어주었고(서울행정법원 2023구합54259), 현재 항소심(서울고등법원 2025누6020)이 진행 중이다.
지난해 11월에도 또 한 번의 과징금 부과가 이어졌다. 개인정보보호위원회는 메타가 국내 이용자 약 98만 명의 종교적 신념, 정치 성향, 동성 결혼 여부 등 민감정보를 사전 동의 없이 수집하고, 이를 광고 타겟팅에 활용해 약 4,000개 광고주에 제공한 사실을 적발했다. 이에 대해 약 216억 원의 과징금이 부과됐고, 메타는 이번 건에 대해서는 별도의 행정소송을 제기하지 않은 것으로 알려졌다.
그렇다면 왜 메타는 반복해서 과징금을 받을까. 메타가 반복적으로 개인정보보호법 위반으로 과징금을 부과받는 데에는 단순한 절차상 실수 이상의 구조적 요인이 있다. 메타의 비즈니스 모델은 사용자 데이터를 기반으로 한 정교한 타겟광고에 의존하고 있으며, 이 과정에서 이용자의 사전 동의나 민감정보 처리에 대한 법적 요건을 엄격하게 충족시키는 데 한계가 드러나고 있다. 국내 개인정보보호법은 정보 주체의 권리를 핵심에 두고 있으며, ‘동의’의 실질성과 목적 내 활용의 원칙을 엄격히 요구하기 때문에 메타의 사업 운영 방식은 반복적으로 법적 한계에 부딪칠 수밖에 없다. 메타가 ‘제3자 제공이 아니다’, ‘광고주 책임이다’ 등으로 법적 책임의 외부화를 시도하는 것에 대하여 우리 규제 당국과 법원은 단호한 입장을 고수하고 있다.
앞으로 디지털 경제가 더 정교해질수록, 개인정보 보호와 활용의 균형 문제는 더욱 복잡해질 것이고, 메타와 같은 글로벌 플랫폼 기업은 더 광범위한 규제적 도전과 법적 책임 앞에 맞서게 될 수밖에 없다. 그리고 그 도전과 책임에 관한 비용은 단지 과징금에 그치지 않는다. 신뢰의 상실, 이용자 기반의 이탈, 사업 지속 가능성에 대한 의문으로까지 이어질 수 있다.
메타가 더 건전하게 성장하기 위해서는 각국의 법제와 규범을 ‘규제 리스크’로만 볼 것이 아니라, 사업 전략의 핵심 요소로 재정립할 필요가 있다. 국내 기업들 역시 이번 사례를 통해, 글로벌 시장에서 개인정보 보호 규범이 곧 기업 경쟁력의 핵심이라는 점을 다시금 인식해야 할 시점이다.
< 저작권자 ⓒ 서울경제, 무단 전재 및 재배포 금지 >
