[해외보안뉴스] 노르웨이 개인정보보호청, 데이터 무단 공유로 MS 자회사 ‘샌드르’에 960만 달러 벌금 부과

노르웨이 개인정보보호청(Datatilsynet)은 마이크로소프트(Microsoft) 소유의 광고 기술 기업 ‘샌드르(Xandr)’에 9,200만 노르웨이 크로네(약 960만 달러)의 벌금을 부과했습니다. 이번 조치는 동성애자 데이팅 앱인 ‘그라인더(Grindr)’ 사용자들의 민감한 개인정보를 적법한 법적 근거 없이 수집·처리하고 수백 개의 광고 파트너와 공유하여 유럽 일반 데이터 보호 규칙(GDPR)을 위반한 데 따른 처벌입니다.

이번 사건의 영향 범위는 노르웨이 내 그라인더 앱 이용자뿐만 아니라 실시간 경매(RTB) 기반 광고 시스템을 통해 민감 정보가 유출된 수많은 사용자층에 이릅니다. 공유된 데이터에는 사용자의 위치 정보, IP 주소, 기기 식별자뿐만 아니라 앱 특성상 노출될 수밖에 없는 성적 취향 등의 민감 정보가 포함되었습니다. 조사 결과 앱에서 진행된 사용자 동의 수집 절차가 불명확하고 강요되었기에 법적 효력이 없다고 판단되었으며, 이를 전달받아 활용한 샌드르 역시 엄중한 법적 책임을 지게 되었습니다.

기업들은 제3자 광고 네트워크를 활용하거나 타겟팅 광고를 수행할 때 사용자 동의 프로세스가 규정을 준수하는지 재점검해야 합니다. 특히 GDPR 환경에서는 명시적이고 자발적인 동의 없이 처리되는 민감 정보는 모두 불법으로 간주되므로, 데이터 수집 및 파이프라인 전체에 대한 정기적인 보안 감사가 필요합니다. 일반 사용자 또한 민감한 개인정보를 다루는 앱을 사용할 경우, 기기 설정을 통해 맞춤형 광고 추적을 비활성화하고 권한 설정을 최소화하는 대응이 권장됩니다.