Offcanvas

보안 / 비즈니스|경제

인스타그램, 미성년 개인정보 규제 물결 와중 5,500억 원 벌금 폭탄

2022.09.07 Jon Gold  |  CSO
유럽의 주도하에 미국까지 개인정보 보호 법안, 특히 미성년자의 개인정보 보호 법안을 강화하거나 새로 도입하려는 가운데, 아일랜드의 개인정보보호 당국인 데이터보호위원회(DPC)는 5일(현지 시각) 청소년 사용자의 데이터를 부적절하게 다룬 혐의로 인스타그램에서 4억500만 유로(한화 약 5,500억 원)의 제재금을 부과키로 했다. DPC 사상 최대규모의 액수다. 
 
ⓒAdobe Stock

이 결정의 발단은 개인 정보 보호 과학자 데이비드 스티어가 2019년 분석한 ‘인스타그램의 청소년 비즈니스 계정 개인 정보 노출 사건(Instagram Offered Free Analytics to Children in Exchange for Personal Information)’으로 거슬러 올라간다. 스티어는 당시 6천만 명에 달하는 18세 미만의 청소년이 너무나도 쉽게 개인 계정을 비즈니스 계정으로 변경했다는 사실을 발견했다고 전했다. 인스타그램 비즈니스 계정에서 사용자는 프로필 및 게시글 조회 수와 같은 분석 지표를 볼 수 있지만, 기본 설정에 따라 이메일 주소와 연락처가 전체 공개된다. 

이후 DPC는 2020년부터 인스타그램의 청소년 개인정보 처리 관련 조사를 진행해왔다. 그리고 이번 행정 제제를 발표하며 인스타그램에서 13~17세 청소년 개인 계정이 기본적으로 공개 계정으로 설정되는 점, 더 나아가 기업용 계정을 만들면 청소년이라도 이들의 이메일 주소와 전화번호가 공개되는 점 등을 문제 삼았다. 

이번 제재금은 DPC 사상 최대규모이며, 유럽 규제 역사상 두 번째로 큰 규모의 개인 정보 관련 벌금이다. 룩셈부르크 당국이 2021년 아마존이 유럽의 개인정보보호 규정(GDPR) 위반했다는 혐의로 7억4,600만 유로(약 1조200억 원)의 과징금을 부과한 바 있다. 

보도에 따르면 아일랜드 민주노동당 대변인은 자세한 내용은 다음 주에 발표될 것이라 말했다.

인스타그램은 이후 개인 정보 보호 설정을 업데이트했으며, 아일랜드 DPC의 조사에 "적극적으로 참여하겠다"라고 밝혔지만, 벌금 산정 방식에는 동의하지 않으며 항소할 계획이라고 말했다.
 

개인정보 보호 규제 물결, 유럽 주도 미국 추격

온라인 개인 정보 보호 회사 딜릿미(DeleteMe)의 공동 설립자이자 CEO인 롭 샤벨은 이제 사회 전반적으로 기업에 대한 개인 정보 보호 규제가 더 강화될 것으로 전망했다. 이미 개인 정보 수칙을 단단히 확립하지 않았다면 채비를 서둘러야 한다고 그는 권유했다.

또한 샤벨은 개인을 식별할 수 있는 정보에 대한 통제권을 누구한테 믿고 맡길지는 오늘날 매우 민감한 쟁점이며, 지하실에 숨어 있는 해커가 개인 정보 침해의 주범이라는 통념은 사실이라고 보기 어렵다고 주장했다. 

“해커의 데이터 탈취 사건은 흔히 일어나지 않는다”라며 “인스타그램같이 기본 설정을 취약하게 방치하면(비즈니스 계정으로 전환하면 기본 설정에 따라 이메일 및 연락처 전체 공개) 사실상 모두가 아무런 힘을 들이지 않고 해커가 될 수 있는 셈이다”라고 그는 말했다.

샤벨은 이어 “특히 캘리포니아에 있는 고객을 상대하는 기업이라면 캘리포니아 규제 당국이 유럽의 개인정보 보호법과 유사한 규정을 곧 시행할 예정이라는 점을 유념해야 한다”라고 당부했다.
 
ⓒDepositphotos

그의 말 대로 캘리포니아주 의회는 지난 8월 30일(현지 시각) 온라인 플랫폼을 사용하는 어린이와 청소년의 개인 정보와 정신 건강을 보호하기 위해 ‘적정 연령 코드 설계 법안(Age-appropriate design code act)’을 통과시켰다. 이 법안의 조항 중에는 미성년 사용자의 모든 개인 정보 설정을 가장 높은 수준으로 설정해야 한다는 항목이 있다.
 
ⓒDepositphotos

이에 더해 미국연방거래위원회(Federal Trade Commission, FTC)가 지난 8월 11일 발표한 개인 정보 규제안 작성에 관한 사전공고(Advanced Noticed of Proposed Rule making, ANPR)’에는 미성년자의 개인 정보 침해에 특정한 논의의 화두가 던져졌다. 대규모의 미성년 사용자층의 데이터를 수집할 수 있는 모든 서비스에 더 엄격한 개인 정보 보호 기준을 적용해야 하는지에 관한 질문이 기술됐다.

데이터 브로커와 개인 식별 가능 정보(PII) 보유자 모두 다가오는 규제의 물결을 걱정해야 한다고 샤벨은 설명했다. 특히 PII 보유자는 고객 데이터의 가장 큰 적은 거대한 해킹 조직이 아니라 단순한 기본 설정 하나가 될 수도 있다는 위험성을 잊지 말아야 한다고 그는 강조했다.

샤벨은 “개인정보 기본 설정이 하나라도 허술하게 돼 있으면 데이터 브로커가 웹에서 수많은 사용자의 데이터를 수집하는 건 식은 죽 먹기다”라며 “모든이 기업이 고객이 원하지 않는 방식으로, 혹은 고객의 개인정보 보호 권리를 보장하지 않는 식으로 데이터를 노출하고 있지 않은지 꼼꼼히 살펴야 한다”라고 말했다. ciokorea@idg.co.kr
Sponsored
추천 테크라이브러리

회사명:한국IDG 제호: ITWorld 주소 : 서울시 중구 세종대로 23, 4층 우)04512
등록번호 : 서울 아00743 등록일자 : 2009년 01월 19일

발행인 : 박형미 편집인 : 박재곤 청소년보호책임자 : 한정규
사업자 등록번호 : 214-87-22467 Tel : 02-558-6950

Copyright © 2022 International Data Group. All rights reserved.