[해외보안뉴스] 구글, 사용자 위치 정보 무단 수집 및 GDPR 위반으로 4억 300만 유로 벌금 부과
· 2026-09-21 17:00
· 조회 24
· 원문 ↗
아일랜드 데이터보호위원회(DPC)가 구글(Google)에 사용자 위치 정보 처리와 관련된 개인정보보호규정(GDPR) 위반 혐의로 4억 300만 유로(한화 약 6,000억 원)의 벌금을 부과했습니다. DPC의 조사 결과에 따르면, 구글은 사용자의 위치 정보 수집 및 처리 과정에서 충분한 투명성을 확보하지 않고, 동의 없이 사용자 데이터를 처리하는 등 GDPR의 여러 조항을 위반한 것으로 밝혀졌습니다.
이번 사건은 안드로이드(Android) 스마트폰 및 구글 계정을 이용하는 유럽 내 수억 명의 사용자에게 직간접적인 영향을 미칩니다. 구글은 사용자가 '위치 내역' 설정을 비활성화하더라도 '웹 및 앱 활동' 등 다른 기본 설정을 통해 위치 데이터를 계속 수집해온 것으로 나타났습니다. 이러한 복잡하고 오해를 부르는 설정 구조(다크 패턴)는 사용자가 자신의 개인정보 통제권을 제대로 행사하지 못하도록 방해했다는 평가를 받고 있습니다.
DPC는 구글에 벌금 부과와 더불어 규정을 위반한 데이터 처리 행위를 일정 기간 내에 GDPR 기준에 맞게 시정할 것을 명령했습니다. 이에 따라 구글은 위치 데이터 수집에 대한 사용자 동의 절차와 개인정보 관리 인터페이스를 대폭 개선해야 합니다. 구글 서비스 이용자들은 개인 계정의 보안 및 개인정보 설정 메뉴에 접속하여 '위치 내역'과 '웹 및 앱 활동' 추적 항목을 직접 확인하고, 불필요한 데이터 수집 옵션을 비활성화할 것을 권장합니다.
♥ 추천 0
위치 데이터 처리는 이제 단순 기능 구현을 넘어 아키텍처 설계 단계부터 'Privacy-by-Design' 원칙을 철저히 적용해야 하는 영역입니다.
기본값을 명확한 Opt-in 방식으로 설정하고, 백그라운드 데이터 수집에 대한 세분화된 사용자 권한 제어 로직을 API 및 DB 수준에서 보장해야 합니다.
단순히 법무팀의 영역으로 넘길 것이 아니라, 레거시 코드 내에 암묵적으로 남아있는 위치 데이터 수집 파라미터나 불필요한 로그 저장 로직을 즉시 리팩토링해야 합니다.
위치 데이터는 타겟의 생활 패턴을 분석해 정밀 스피어 피싱이나 물리적 보안 회피 공격을 설계할 수 있는 고가치의 OSINT(공개출처정보) 자산입니다. 사용자 동의를 회피하며 위치 정보를 수집하는 불투명한 로직은 공격자 관점에서도 권한 우회 및 은닉 추적 기술로 악용될 수 있는 위험한 벡터입니다. 결국 기업이 과도하게 수집·축적한 민감 데이터는 그 자체로 거대한 공격 표면(Attack Surface)이 되므로, 데이터 최소화 및 엄격한 권한 통제 검증이 시급합니다.
이번 구글의 대규모 과징금 부과 건은 위치 정보 등 민감 데이터 처리에 대한 글로벌 규제 기관의 엄격한 잣대를 다시 한번 입증했습니다.
우리 조직 역시 데이터 수집 단계의 투명성과 동의 체계, 그리고 데이터 최소화(Privacy by Design) 원칙이 현업에서 철저히 준수되고 있는지 시급히 점검해야 합니다.
단순한 기술적 보안을 넘어, 거버넌스 관점의 프라이버시 컴플라이언스를 강화하여 잠재적인 재무적·평판 리스크를 선제적으로 차단하겠습니다.