[랜섬구글] ② '표적 광고' 앞세워 이익 챙긴 빅테크 '수집논란'

[아이뉴스24 김혜경 기자] 구글은 최근 개인정보보호위원회로부터 692억원의 과징금 처분을 받았다. 개인정보보호법 위반으로는 역대 최대 규모다. 인앱결제 강제로 인한 여파가 현재까지 이어지고 있는 가운데 이용자 동의 없는 개인정보 수집 행위와 표적(맞춤형) 광고 문제도 도마에 올랐다.

이에 따라 구글은 방송통신위원회와 공정거래위원회에 이어 한국의 개인정보보호 당국과도 마찰을 빚게 됐다.

특히 함께 과징금을 물게 된 메타와는 달리 구글은 전기통신사업법상 '앱 마켓사업자'라는 점에서 향후 조사 진행 방향에 따라 이번 제재와는 어떤 관계에 놓이게 될지도 관건이다.

개인정보위가 추가 조사를 예고한 만큼, 무료 서비스 제공 이유로 민감 데이터를 무단 수집해도 되는지, 표적 광고 허용 기준이 무엇인지 등 확실하게 짚어야 한다는 지적이다.

◆ "개인정보 불법수집"…개인정보위, 692억원 과징금 제재

앞서 개인정보위는 구글 등이 자사 서비스 가입자의 타사 행태정보를 수집, 표적 광고에 활용하면서 적법한 동의를 받지 않았다고 판단했다.

행태정보란 웹사이트와 앱 방문·사용 이력 등 이용자 관심과 흥미, 기호, 성향 등을 파악·분석할 수 있는 온라인상의 활동 정보를 뜻한다. 표적 광고란 이 같은 행태정보를 이용해 이용자 성향을 분석, 맞춤형으로 제공하는 온라인 광고다. 특히 타사 행태정보의 경우 이용자가 플랫폼이 아닌 다른 웹사이트와 앱을 방문·사용하는 과정에서 자동 수집되므로 어떤 정보가 수집되는지 예측하기 어렵다는 특징이 있다.

위원회에 따르면 구글은 2016년 6월부터 올해 7월까지 자사 서비스에 가입한 이용자의 타사 행태정보를 수집해 맞춤형 광고 등에 이용했다. 애드센스(AdSense)와 애드몹(AdMob), 애드매니저(AdManager) 등 행태정보 수집 도구를 웹사이트 혹은 애플리케이션 사업자에게 제작·배포했다. 웹브라우저에서는 이용자 식별 쿠키를, 모바일에서는 이용자 식별 토큰을 사용해 로그인 활동을 관리했다.

개인정보위는 구글을 정보통신서비스 제공자이자 개인정보 처리자로 판단했다. 보호법 제39조의3 제1항에 따르면 정보통신서비스 제공자는 개인정보를 이용하려고 수집하는 경우 ▲개인정보 수집‧이용 목적 ▲수집하는 개인정보 항목 ▲개인정보 보유‧이용 기간의 모든 사항을 이용자에게 알리고 동의를 받도록 규정하고 있다.

구글 측 주장은 크게 두 가지다. 행태정보 수집 주체는 플랫폼 사업자가 아니라는 점과 그럼에도 불구하고 자신들은 이용자에게 명확히 알리고 동의를 받았다는 것.

앞서 열린 위원회 1차 전체회의에서 구글 등은 "이용자와의 관계에 있어서 누가 정보통신서비스 제공자이고 누구의 행태정보가 수집되는지를 기준으로 동의를 받아야 한다"며 "보호법 39조의3 제1항에서는 정보통신서비스 제공자가 동의를 받도록 규정하고 있는데 웹·앱 사업자(퍼블리셔)가 동의를 받는 것이 당연하다"고 주장했다.

개인정보위는 이들이 타사 행태정보 처리 과정에서 주도적으로 관리·통제권을 행사하므로 이들에게 동의 의무가 있다고 판단했다. 플랫폼 사업자의 행태정보 수집 도구는 필수 수집항목이 정해져 있어 다른 사업자가 선택하거나 임의로 변경할 수 없어 통제권을 보유했다고 볼 수 없다는 의미다.

1차 회의에서 양청삼 개인정보위 조사조정국장은 "플랫폼은 사업자로부터 행태정보를 제공받았다고 주장하지만 사업자는 행태정보를 수집‧보관한 사실이 없어 제공의 주체가 될 수 없다"며 "플랫폼이 수집하는 행태정보는 이용자 기기에서 직접 전송·수집되며 플랫폼 회원 계정과 결합된다. 이 과정에서 다른 사업자는 플랫폼에 수집되는 행태정보를 보거나 저장할 수 없다"고 설명했다.

또 구글은 설정 화면 '옵션 더보기'를 가려둔 채 기본값을 동의로 설정하는 등 서비스 가입 시 타사 행태정보 수집 사실을 명확히 알리지 않았다고 위원회는 강조했다.

◆ "빅테크 표적 광고 관행 전면 조사 필요"

지난 5월 아일랜드시민자유협의회(ICCL) 조사에 따르면 미국인은 1인당 하루 평균 747회, 1년 기준으로는 총 27만2655회의 맞춤형 광고에 노출되고 있다. 유럽 시민의 경우 1인당 하루 평균 367회로, 미국‧유럽의 연간 실시간 경매 횟수는 178조에 달하는 것으로 집계됐다. 또 미국에서 구글의 표적 광고를 위해 경매에 참여하는 사업자는 4천698곳이다.

구글, 메타 등 빅테크 기업들은 그동안 타사 행태정보 등 이용자의 개인정보를 활용해 광고 수익을 올려온 것으로 알려졌다. 표적 광고는 이들 기업의 중요 수익원으로 자리매김했고, 더 많은 수익을 내긴 위해선 더 많은 양의 개인정보 수집이 필요했던 셈이다.

이들이 개인정보를 과도한 수준으로 수집하고 있다는 지적이 그동안 지속 제기됐다. ICCL은 "표적 광고는 최대의 개인정보 침해 사건"이라고 언급한 바 있다.

표적 광고 제재 움직임은 전 세계적 현상이다. 유럽연합(EU)은 광고 노출 과정, 미성년자 개인정보 수집 금지 등의 내용이 포함된 디지털서비스법(DSA) 등을 만들었다. 2019년 독일 연방 카르텔청은 페이스북의 개인정보 과다수집에 대해 유럽 일반 개인정보호보법(GDPR) 위반이자 시장지배력 남용 행위로 판단한 바 있다.

올해 1월 미국 의회에서는 '감시광고 금지법안'이 발의됐다. 인종과 성별, 종교를 비롯해 데이터 브로커로부터 구매한 개인정보 기반 맞춤형 서비스를 금지하는 내용이 골자다. 미국 연방 프라이버시보호법안(ADPPA)에서도 아동을 겨냥한 표적 광고를 금지하고 있다.

지난 22일 열린 국회토론회에서는 빅테크의 표적 광고 관행에 대한 조사와 표적 광고 시장의 공정 경쟁 저해 행위에 대한 조사가 필요하다는 의견이 제기된 바 있다. 미국과 유럽에서는 초당적 협력이 진행되는 만큼 국내에서도 이 같은 움직임이 필요하다고 이날 토론회 참가자들은 강조했다.

내달 열리는 국회 정무위원회 국정감사에 표적 광고 문제가 제기될 가능성이 커진 가운데 향후 조사 진행 과정에서 앱 마켓사업자라는 구글의 법적지위 관련 내용이 부각될 가능성도 있다.

앞서 토론회에서 인터넷기업협회 측은 "구글은 제3자 쿠키 차단 정책을 준비하고 있고 애플은 ATT 정책으로 개인에 대한 추적을 금지할 수 있도록 선택권을 부여하고 있다"면서도 "운영체제(OS) 사업자 여부에 따라 데이터 수집 방식, 광고 매출 비중이 현저하게 다르고 글로벌 기업과 국내 기업은 정보 수집과 동의 방식, 내용에서도 차이가 난다"고 전했다.

아울러 개인정보위가 해외 처분 사례로 제시한 '독일 연방카르텔청 페이스북 경쟁법 위반 시정명령'의 경우 보호법이 아닌 경쟁법 위반 여부에 초점을 맞췄다는 점에서 시사하는 바가 크다.

앞서 윤종인 개인정보위 위원장은 전체회의에서 "제3의 웹·앱 사업자 대비 구글, 메타 등은 글로벌 빅테크기업이라는 측면에서 개인정보 이슈가 경쟁법과 얽혀 있는 것은 사실"이라며 "시장지배력 차원에서 봤을 때 해당 사업자들은 플랫폼 사업자가 제공하는 서비스를 선택하는 것이 유리하기 때문"이라고 덧붙였다.

김혜경 기자의 다른 기사 보기

• ① 구글 韓 생태계 키운다더니…유튜버 볼모 '권력화'