페이스북 모기업 메타플랫폼(이하 메타)이 유럽에서 개인정보보호법 위반을 이유로 역대 최대 과징금 폭탄을 받았다.
아일랜드 데이터보호위원회(DPC)는 22일(현지시간) 메타에 개인정보보호법 위반을 이유로 12억유로(약 1조7천100억원)의 과징금을 부과했다.
DPC는 또 메타에 앞으로 6개월 이내에 이용자들의 관련 데이터를 미국으로 전송하는 것을 중단하고, 관련 데이터를 삭제하라고 명령했다.
이번 과징금 액수는 유럽연합(EU) 내에서 개인정보보호법 위반으로 부과된 것 중 역대 최고액이다.
2021년 룩셈부르크가 세계 최대 전자상거래 업체 아마존에 물린 7억4천600만유로(1조600억원)의 1.5 배를 넘는 수준이다.
EU 정보보호이사회 의장인 안드레아 옐리네크는 "페이스북은 유럽에 수많은 이용자를 보유해 전송되는 개인 데이터 양이 방대하다"며 "전례 없는 과징금은 심각한 개인정보보호 위반이 광범위한 결과를 초래할 수 있다는 강력한 신호"라고 말했다.
아일랜드 당국이 EU의 27개 회원국을 대표해 메타에 대한 제재에 나선 것은 메타의 유럽 본부가 아일랜드 더블린에 있기 때문이다.
DPC는 EU 최고법원인 유럽사법재판소(ECJ)가 미국과 EU 간 전송 합의를 무효로 했는데도 메타가 데이터를 계속 미국으로 전송해왔다며 과징금을 부과했다.
이번 결정은 미국 국가안보국(NSA) 직원이던 에드워드 스노든의 폭로 내용을 근거로 한 오스트리아 개인정보 보호 활동가 막스 슈렘스의 제소에 따른 것이다.
슈렘스는 스노든이 미국 정부의 온라인 데이터 사찰 의혹을 폭로한 뒤 페이스북과 같은 IT 기업들이 유럽 사용자들의 데이터를 미국으로 전송할 때 개인 정보를 제대로 보호하지 않고 있다며 2013년 처음 제소했다.
스노든이 폭로한 내용 가운데는 페이스북이 미국 정보기관에 어떻게 유럽인들의 개인정보에 대한 접근권을 주는지에 대한 내용도 포함돼 있었다.
메타 등은 EU와 미국이 2000년 유럽인들의 개인정보를 미국으로 전송할 수 있도록 규정한 '세이프 하버'(Safe harbor) 협정을 근거로 유럽 이용자들의 데이터를 활용해 왔다.
그러나 2015년 10월 EU 최고법원인 유럽사법재판소(ECJ)는 이들 기업이 프라이버시를 충분히 보호하지 못했다며 이 협정을 무효로 판단했다.
이에 미국과 EU는 2016년 개인정보를 상업적 목적으로 미국으로 전송할 때 정보를 보호하기 위한 '프라이버시 실드'(Privacy Shield)를 체결했지만, 2020년 7월 ECJ는 미 정부의 개인정보 감시 우려를 이유로 이를 다시 무효라고 판단했다.
미국과 EU는 지난해 국경을 초월한 데이터 전송을 위한 새로운 틀에 '원칙적으로' 합의했다. 그러나 이 협정은 아직 발효되지 않았다.
메타는 DPC의 결정에 대해 성명을 내고 "부당하고 불필요한 과징금에 대해 항소할 것이며 법원을 통해 집행정지를 신청하겠다"고 밝혔다.
메타는 DPC가 제시한 기한이 도래하기 전에 미국과 EU 간 새로운 데이터 개인 정보 보호 협정이 발효되기를 기대하고 있다.
메타의 글로벌 업무 담당 사장인 닉 클레그는 "이행 마감일 전에 협정이 발효된다면 우리의 서비스는 현재와 같이 계속될 수 있다"고 말했다.
이번 결정은 메타의 페이스북에만 적용되지만, 유럽인들의 데이터를 이용하는 수천 개의 다른 미국 기업에도 영향을 미칠 수 있다.
이들 기업은 이번 결정으로 언제든지 EU의 개인 정보보호 조사 대상이 될 수 있기 때문이다.
월스트리트저널(WSJ)은 이번 DPC 결정은 미국 정부에 메타뿐만 아니라 수천 개의 다국적 기업이 유럽인의 정보를 계속해서 전송할 수 있도록 하는 협상을 완료하라는 압력을 가하고 있다고 전했다.