Uber, 데이터 프라이버시 위반으로 €290 백만 벌금 부과

우버가 오늘 헤드라인을 장식했습니다. 이 회사는 유럽 운전자의 개인 데이터를 불법적으로 미국으로 전송하면서 유럽연합(EU) 규정을 위반했다는 이유로 네덜란드 데이터 보호 기관(DPA)으로부터 2억 9천만 유로(3억 2천 4백만 달러)의 벌금을 부과받았습니다.

이 벌금은 일반 데이터 보호 규정(GDPR)을 강제하기 위한 조치로, 이 규정은 EU 내 개인의 사생활을 보호하려는 목표를 가지고 있습니다.

DPA는 보도 자료에서 Uber의 행동이 GDPR에 대한 “심각한 위반”을 구성한다고 밝혔습니다. 회사는 유럽의 운전자들의 민감한 정보를 적절하게 보호하지 못했기 때문입니다.

로이터에 따르면 감시기구는 이전된 데이터에는 신분증, 택시 면허증, 위치 데이터, 결제 정보, 그리고 일부 경우에는 심지어 범죄 및 의료 기록이 포함되어 있다고 보도했습니다.

DPA의 보도자료에 따르면, 우버는 두 해 이상의 기간 동안 이 데이터를 미국 본사로 전송했지만, 필요한 보호 조치를 취하지 않았다고 전했습니다. 이런 보호 조치 부재는 EU의 법원이 2020년에 EU-미국 개인정보 보호 규정을 무효화한 뒤에도 발생했습니다.

이 보도자료에서 또한 EU 외부로 데이터를 전송하는 데 있어 유효한 대안으로 제안된 표준 계약 조항에 대해 언급했습니다. 이러한 조항들은 실제로 동등한 수준의 데이터 보호가 보장되어야 한다는 요구사항을 포함하고 있으며, DPA는 우버가 이를 달성하지 못했다고 주장하고 있습니다.

Uber는 이 판결에 대해 강하게 반발하고 있습니다. “이 잘못된 결정과 놀라운 벌금은 전혀 정당화되지 않습니다.”라고 Uber 대변인 Caspar Nixon이 Reuters에 이메일로 전했습니다.

Nixon은 Uber의 데이터 전송 프로세스가 EU와 미국 사이에서 법적 불확실성이 지속된 어려운 3년 동안에도 GDPR을 준수하고 있었다고 주장했습니다. 또한, 회사가 이 결정에 대해 상고할 계획이라고 밝히며, “상식이 통할 것”이라는 확신을 표현했습니다.

AP의 보도에 따르면, 컴퓨터 및 통신 산업 협회(CCI)라는 기술 회사들을 위한 옹호 단체는, 2020년 EU 법원의 판결 이후 온라인 사업에 대해 부과된 벌금에 대해 비판했습니다.

협회의 유럽 정책 책임자인 알렉산드르 루아는 “CCIA의 보도 자료에서, 세계에서 가장 붐비는 인터넷 경로를 이들 데이터 흐름에 대한 새로운 법적 틀을 정립하기 위해 정부가 작업하는 동안 세 년 동안 그냥 두는 것은 불가능했다”고 말했습니다.

루어는 또한 벌금에 대한 우려를 표현하며 “데이터 보호 기관의 소급 벌금은 특히 걱정스럽다. 왜냐하면 이러한 개인정보 감시기관들이 명확한 법적 틀이 없는 중요한 법적 불확실성의 기간 동안 유용한 지침을 제공하지 못했기 때문이다”

로이터에 따르면, 이 벌금을 내게 한 조사는 170명 이상의 택시 운전사를 대표하여 프랑스 인권 단체가 불만을 제기한 후에 시작되었다. Uber의 유럽 본부는 네덜란드에 위치해 있으므로, 이 사건은 네덜란드 DPA로 이관되었다.

BBC는 이번이 첫 번째가 아니라, Uber가 DPA로부터 처벌을 받은 것은 이번이 아니라고 보도했습니다. DPA는 이전에 2018년에는 €600,000, 2023년에는 €10 million의 벌금을 부과했었습니다. 이는 모두 GDPR 위반에 대한 것이었습니다.

Uber 사건은 데이터 보호와 국제 데이터 흐름에 대한 필요성 사이의 균형에 대한 더 넓은 논의를 불러일으켰습니다. DPA의 결정은 GDPR 준수의 중요성을 강조하면서도, 글로벌화된 디지털 경제에서 운영되는 기업들에 대한 잠재적인 영향에 대한 질문을 제기합니다.