노르웨이, 그라인더 데이터 중계로 마이크로소프트의 Xandr에 사상 최대 860만 유로 벌금 부과

노르웨이 데이터 보호 당국은 AT&T가 AppNexus를 기반으로 구축하고 이후 마이크로소프트가 소유하게 된 광고 기술 부문 Xandr에 그라인더 사용자의 민감한 데이터를 광고주에게 불법적으로 중계한 혐의로 860만 유로(962만 달러)의 벌금을 부과했다. 위반 행위는 2018년 7월부터 2020년 4월까지 이어졌으며, 당국은 이 위반이 '매우 심각'하여 지금까지 부과한 행정 벌금 중 최대 규모에 해당한다고 밝혔다. 벌금은 마이크로소프트의 인수 이전인 해당 2년 기간 동안의 Xandr의 총 연간 매출을 기준으로 산정되었다. Xandr는 3주 이내에 이의를 제기할 수 있으며, 마이크로소프트는 결정을 검토 중이라고 밝혔다.

메커니즘은 실시간 입찰이었다. 한 사람이 그라인더를 열면, 그 개인 데이터가 많은 경우 Xandr를 통해 잠재적으로 수천 개의 주체에게 중계되었고, 광고주들은 사용자에게 보이지 않는 상태에서 타겟 광고를 표시하기 위해 입찰했다. 데이터에는 유럽 프라이버시법상 특별 범주 정보인 성적 지향을 드러내는 신호가 포함되어 있었다. 당국은 Xandr가 그라인더와 공동 컨트롤러라고 판단하여 사용자 동의를 얻을 책임이 있다고 보았다. 그러나 Xandr는 자체 처리에 대한 법적 근거를 확보하는 대신, 그라인더가 동의를 수집했다고 가정한다며 그라인더를 지목했다.

이 사건은 2020년 노르웨이 소비자 위원회와 오스트리아 프라이버시 비영리 단체 noyb가 Xandr가 명시적 동의 없이 노르웨이 사용자의 개인 데이터를 불법적으로 공유했다고 주장한 민원에서 시작되었다. Xandr의 기업 생명은 이후 해체되었다. AT&T는 2018년 6월 AppNexus를 인수한 후 Xandr를 설립했고, 2021년 12월 말 마이크로소프트에 매각했으며, 브랜드는 2023년 6월 마이크로소프트 광고에 통합되었다. 그러나 책임은 처리를 수행한 법인에 귀속되었다. 이 결정은 그라인더가 HIV 상태를 포함한 사용자 데이터 공유와 관련된 영국 소송에서 2,600만 파운드를 지급하고 합의한 지 한 달 후에 나왔다.

860만 유로(962만 달러)로, 노르웨이 데이터 보호 당국의 사상 최대 벌금이며, 2018~2020년 Xandr의 매출을 기준으로 산정되었다. 이의 제기 기한은 3주이다.

공동 컨트롤러로서 Xandr는 자체 처리에 대한 법적 근거가 필요했으며, 그라인더가 사용자 동의를 얻었다고 단순히 가정할 수 없었다.

실시간 입찰은 그라인더 앱이 열릴 때마다 잠재적으로 수천 명의 입찰자에게 중계되었으며, 이는 사용자에게 보이지 않고 한 번 전송되면 통제할 수 없었다.

데이터는 GDPR상 특별 범주 정보인 성적 지향을 드러냈기 때문에, 당국이 일상적인 벌금이 아닌 사상 최대 벌금을 부과한 것이다.

벌금은 마이크로소프트 소유 이전인 위반 기간 동안의 Xandr 매출을 기준으로 산정되었으므로, 제재는 현재 소유자가 아닌 해당 행위를 따른 것이다.

중개자라는 지위는 방패가 아니다. 공동 컨트롤러에 해당하는 주체는 다른 누군가가 수집한 데이터에 대해서도 동의 문제에 대한 책임을 진다.

Xandr는 결정에 대해 3주 이내에 이의를 제기할 수 있으며, 마이크로소프트는 이를 검토하고 선택지를 평가 중이라고 밝혔다. Noyb는 이 벌금을 '온라인 광고 및 상업적 감시 산업에 대한 중대한 타격'이라고 평가했다. 이 결정은 2021년 그라인더 자체의 데이터 관행이 노르웨이 최대 프라이버시 벌금을 초래했을 때 시작된 순환을 완성한다. 접근 권한을 사고 재판매한 광고 기술 중개자도 이제 벌금을 부과받은 것이다.