GDPR과 “동의 또는 결제(Consent or Pay)” 모델
2023년 7월 4일 유럽연합 사법재판소(CJEU)의 판결(C‑252/21)에서 메타(Meta)의 데이터 수익화 관행은 위법한 것으로 판단되었다.
이 사건은 유럽연합조약(TEU) 제4조 제3항 및 일반개인정보보호규정(GDPR), 특히 제6조 제1항, 제9조 제1항 및 제2항, 제51조 제1항, 제56조 제1항 등 여러 핵심 조항의 해석에 관한 선결적 판결(preliminary ruling) 요청에서 비롯되었다.
이 분쟁은 독일 연방카르텔청(Bundeskartellamt)이 제기한 사건으로, Meta Platforms Inc.(구 Facebook Inc.), Meta Platforms Ireland Ltd.(구 Facebook Ireland Ltd.) 및 Facebook Deutschland GmbH가 관련되어 있다.
주요 판시 사항
- GDPR 제6조 제1항 (f)호에 따라 개인정보를 적법하게 처리하기 위해서는 다음 세 가지 요건이 누적적으로 충족되어야 한다.
- 처리는 개인정보처리자(data controller) 또는 제3자가 추구하는 정당한 이익에 기초하여야 한다.
- 처리는 그 정당한 이익을 달성하기 위해 필요한 것이어야 한다.
- 정보주체의 이익 또는 기본권과 자유가 개인정보처리자 또는 제3자의 정당한 이익보다 우선하지 않아야 한다.
- CJEU는 개인정보처리자의 시장지배적 지위가 동의가 진정으로 유효한지, 특히 자유롭게 이루어졌는지를 판단하는 데 있어 핵심 요소임을 강조했다. 처리자의 지배적 지위는 이용자의 선택의 자유에 영향을 미쳐, 이용자로 하여금 동의를 강요받게 하거나 상당한 불이익 없이는 동의를 철회하지 못하게 할 수 있기 때문이다. 이러한 상황은 정보주체와 처리자 사이에 불균형한 격차를 초래할 수 있다.
- CJEU는 나아가 특정 처리 작업이 계약 이행에 필수적이지 않은 경우, 이용자는 서비스 이용 자체를 포기하도록 강요받지 않고 그러한 처리에 대한 동의를 자유롭게 거부할 수 있어야 한다고 판시했다. 필요한 경우 이용자에게는 적정한 대가를 조건으로 하되 동일한 침해적 데이터 처리를 수반하지 않는 대안이 제공되어야 한다.
- CJEU는 구체적 상황에서 적절함에도 불구하고 서로 다른 데이터 처리 작업에 대해 개별적으로 동의할 수 있도록 허용하지 않는 경우, 그 동의는 자유롭게 이루어지지 않은 것으로 추정된다고 강조했다.
- CJEU는 데이터 처리의 규모, 그러한 처리가 이용자에게 미치는 중대한 영향, 이용자의 합리적 기대 등의 요소가 중요하며, 이 모두가 해당 사건의 판단에 있어 결정적이라고 지적했다.
- 메타의 “동의 또는 결제” 모델은 이용자에게 광고 없는 서비스를 위해 구독료를 지불하거나, 광범위한 추적 및 프로파일링에 동의하는 양자택일을 제시한다. 이 모델은 사실상 개인에게 프라이버시와 금전적 자원 중 하나를 희생하도록 강요한다는 점에서 이용자 동의의 자발성과 정당성에 관해 심각한 우려를 낳는다.
EDPB 의견서 08/2024
유럽개인정보보호이사회(EDPB)는 2024년 4월 17일 전체회의에서 대형 온라인 플랫폼이 시행하는 ‘동의 또는 결제’ 모델에서의 유효한 동의에 관한 의견서 08/2024(Opinion 08/2024)를 채택했다.
이 의견서는 네덜란드, 노르웨이 및 함부르크 개인정보 감독기구(DPA)의 GDPR 제64조 제2항에 따른 요청에 따라 발표되었다. 의견서는 대형 온라인 플랫폼이 도입한 “동의 또는 결제” 모델에서 행태 광고(behavioural advertising) 목적의 개인정보 처리에 대한 동의의 유효성을 다룬다.
“‘동의 또는 결제’ 모델이란 개인정보처리자가 자신이 제공하는 온라인 서비스에 접근할 수 있도록 정보주체에게 최소 두 가지 선택지를 제시하는 모델로 정의할 수 있다. 정보주체는 1) 특정 목적을 위한 자신의 개인정보 처리에 동의하거나, 2) 대가를 지불하고 그러한 목적의 개인정보 처리 없이 온라인 서비스에 접근하기로 결정할 수 있다. 본 의견서는 행태 광고 목적의 개인정보 처리에 대해 동의가 이루어질 수 있는 모델에 초점을 맞춘다.”
동의에 관한 EDPB 가이드라인 제5항은 다음과 같다.
“제29조 작업반(WP29)이 동의의 정의에 관한 의견서 15/2011에서 밝힌 바와 같이, 사람들에게 데이터 처리 작업을 수락하도록 요청하는 것은 엄격한 요건의 적용을 받아야 한다. 이는 정보주체의 기본권에 관한 것이며, 처리자는 정보주체의 동의 없이는 위법한 처리 작업을 수행하고자 하기 때문이다. 동의의 핵심적 역할은 유럽연합 기본권헌장 제7조 및 제8조에 의해 강조된다. 또한 동의를 얻었다고 해서 GDPR에 명시된 처리 원칙, 특히 공정성, 필요성 및 비례성, 그리고 데이터 품질에 관한 GDPR 제5조를 준수할 처리자의 의무가 부정되거나 어떤 식으로든 감소되는 것은 아니다. 개인정보 처리가 정보주체의 동의에 근거하더라도, 이는 특정된 처리 목적과 관련하여 필요하지 않고 근본적으로 불공정한 데이터 수집을 정당화하지 않는다.”