정보보호법 개정 전 상황이라 최대 벌금이 그리 높지 않아
페이스북은 검토 중...“우리가 더 잘했어야 하는 건 맞다” 인정

[보안뉴스 문가용 기자] 영국 정부가 이른바 캠브리지 애널리티카(Cambridge Analytica) 스캔들을 일으킨 페이스북에 64만 5천 달러의 벌금형을 내렸다. 캠브리지 애널리티카는 페이스북 사용자 중 약 8천 7백만 명의 데이터를 수집해 악용했으며, 이를 통해 미국 대선과 브렉시트 투표에 영향을 미쳤다. 그리고 이 스캔들이 공개되며 도산했다.


페이스북은 올 2사분기에 순이익만 51억 달러를 거뒀다. 64만 5천 달러는 가렵지도 않은 금액이다. 하지만 이는 영국의 정보위원회(ICO)가 1998년 제정된 데이터보호법에 의거해 내릴 수 있는 최대 금액이기도 하다. 또한 이를 판결한 판사는 “법에 의해 막히긴 했지만 더 높은 과징금을 부여해도 될 만한 사안이었다”고 법정에서 언급하기도 했다.

영국의 데이터보호법은 2018년에 개정됐다. 개정의 초점은 유럽연합의 GDPR과 맞추는 것이었다. 그렇기 때문에 조직의 연간 매출의 4%까지 벌금 액수를 지정할 수 있다. 이 기준에 맞춘다면 페이스북은 16억 달러를 냈어야 한다. 하지만 캠브리지 애널리티카가 활동했을 당시는 이 개정법이 통과되기 전이었다.

영국의 정보위원회는 “페이스북이 외부 애플리케이션을 통해 수백만 명의 데이터가 제3자에게 넘겨지는 걸 용인함으로써 자사 플랫폼을 사용하는 사람들을 보호하는 데 실패한 것이 분명하다”고 주장했다. 캠브리지 애널리티카는 데이터 분석 업체로 페이스북의 데이터를 가지고 여론을 조작한 것으로 알려져 있다.

또한 “페이스북 API를 사용하면 개발자들이 사용자 데이터를 확보할 수 있었다”며, “이 과정에서 정보 주체자의 명확한 동의를 얻지 않아도 됐다”고 정보위원회는 설명을 추가했다. “이러한 행태가 2007년부터 2014년까지 이어져 왔습니다. 물론 개발자들이 이러한 점을 악용해 사용자 데이터를 무작위로 수집하는 걸 발견하고 페이스북은 2015년 이 기능을 삭제하긴 했지만, 이미 빠져나간 데이터를 삭제하기 위한 조치를 충분히 취하지 않았습니다.”

영국 당국의 수사 결과 페이스북의 영국 사용자들로부터 수집한 데이터가 캠브리지 애널리티카로 넘어갔다는 명확한 증거를 찾을 수는 없었다. 하지만 “개인정보를 처리하고 관리하는 페이스북의 행태만으로도 벌금형을 내리기 충분하다”고 정보위원회는 주장했다.

정보위원회는 지난 7월부터 이미 “최고 벌금형을 부과할 계획”이라고 발표했었다. 정보 위원장인 엘리자베스 덴험(Elizabeth Denham)은 이번 매체 발표를 통해서도 “페이스북이라면 고객들의 개인정보를 다룸에 있어서 훨씬 더 잘 할 수 있었으며, 그래야 했다”고 발표했다. 페이스북에 최고 금액의 벌금형이 내려지는 것이 부당하지 않다는 뜻이다.

그러면서 덴험은 “개정 전의 법을 기준으로도 최고형을 내리는 게 불가피했다”며 “영국 사용자들에게 너무나 큰 피해를 끼친 위중한 사건”이라고 말했다. 그러면서 “GDPR 규정을 기준으로 했다면 벌금이 훨씬 높았을 것”이라고 덧붙였다.

한편 페이스북은 “정보위원회의 최종 결정을 검토하고 있다”고 발표했다. “정보위원회의 판결에 전부 동의할 수는 없지만, 전에도 밝혔다시피 지난 2015년 캠브리지 애널리티카 사건을 저희 스스로도 보다 면밀하게 파헤치고 충분한 조치를 취했어야 하는 건 맞습니다.”

또한 페이스북은 “정보위원회가 수사 과정에서 자사의 성실한 협조를 인정해준 것에 감사하며, 영국 페이스북 사용자의 데이터가 캠브리지 애널리티카와 공유되었다는 증거를 확실하게 찾을 수 없었다는 걸 인정하고 언급해준 것에 고마움을 느낀다”고 덧붙였다.

3줄 요약
1. 영국 당국, 페이스북에 최고 벌금인 64만 5천 달러 과징금 부여.
2. 개정 후였다면 벌금이 16억 달러였을 것이라고 아쉬움 표한 이들도 많음.
3. 페이스북은 최종 결정 사항 검토 중.
[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>