[해외보안뉴스] 구글, 위치 정보 처리 관련 GDPR 위반으로 4억 3백만 유로 과징금 부과받아
· 2026-09-21 21:00
· 조회 24
· 원문 ↗
아일랜드 데이터보호위원회(DPC)가 구글(Google)에 유럽연합(EU)의 일반개인정보보호법(GDPR) 위반 혐의로 4억 3백만 유로(한화 약 6,000억 원)의 과징금을 부과했습니다. 조사 결과에 따르면, 구글은 2018년 5월부터 2020년 2월까지 자사 서비스의 3가지 기능에서 사용자들의 위치 데이터를 처리하는 과정에서 법적 의무를 다하지 않은 것으로 드러났습니다.
이번 결정은 EU 내 구글의 주 규제 기관인 DPC에 의해 내려졌습니다. DPC가 법을 위반한 3가지 기능이 무엇인지 구체적으로 공개하지는 않았으나, 수억 명에 달하는 EU 내 서비스 이용자들의 위치 데이터 수집 및 이용 방식이 이용자의 동의 절차와 투명성 기준을 충족하지 못한 것으로 평가됩니다. 이는 대규모 사용자 데이터를 취급하는 글로벌 IT 기업의 개인정보 처리 행태가 여전히 엄격한 규제 대상임을 보여줍니다.
DPC는 과징금 부과와 더불어 구글 측에 6개월 이내에 관련 데이터 처리 방식을 GDPR 기준에 부합하도록 시정할 것을 명령했습니다. 위치 기반 서비스를 제공하는 기업들은 사용자 위치 정보 수집 시 명확한 고지와 동의를 받아야 하며, 사용자가 언제든지 이를 용이하게 제어할 수 있도록 개인정보 보호 중심 설계(Privacy by Design)를 적용해야 합니다.
♥ 추천 0
위치 정보 수집은 단순한 UI 권한 팝업 처리를 넘어 백엔드 데이터 파이프라인 전반에 'Privacy by Design' 아키텍처를 적용해야 하는 문제입니다.
유저의 동의 상태(Opt-in/out) 변경 시 실시간으로 데이터 수집과 저장, 파기 로직이 작동하도록 세밀한 미들웨어 및 보존 정책(Retention policy)을 구현해야 합니다.
초기 데이터 모델링 단계부터 기능 단위의 데이터 격리와 트레이서빌리티(Traceability)를 고려하지 않으면, 추후 대규모 아키텍처 리팩토링 비용과 막대한 벌금을 피할 수 없습니다.
위치 데이터 처리 방식의 결함은 공격자에게 표적의 이동 패턴과 물리적 동선을 파악할 수 있는 고가치 정찰(Reconnaissance) 자산이 됩니다. 특히 관련 서비스의 API 취약점이나 부적절한 접근 제어가 결합될 경우, 정교한 스피어 피싱 및 표적 추적 공격 벡터로 악용될 위험이 매우 높습니다. 방대한 위치 정보를 중앙 집중식으로 수집·보관하는 구조 자체가 레드팀과 실위협 연합(Threat Actors)에 가장 매력적인 공격 타깃이 된다는 점을 명심해야 합니다.
이번 구글의 대규모 GDPR 과징금 부과는 위치 정보와 같은 민감 데이터 처리에 대한 규제 당국의 엄격한 시각을 다시금 확인시켜 줍니다.
우리 조직 역시 서비스 내 위치 데이터 수집 및 활용 시 '개인정보 보호 중심 설계(Privacy by Design)'와 사용자 동의 절차의 투명성이 철저히 지켜지고 있는지 즉시 재점검해야 합니다.
기술적 보안 조치를 넘어 데이터 생애주기 전반을 관리하는 프라이버시 거버넌스를 강화하여 컴플라이언스 리스크에 선제적으로 대응하겠습니다.