[실패 사례 분석] 무단 데이터 수집으로 인한 앱스토어 퇴출 및 과태료 리스크: 유저 동의 없이 행태 정보를 트래킹하다 컴플라이언스 위반 제재를 받은 케이스 해부

개인정보보호위원회 발표에 따르면 메타(페이스북/인스타그램)는 맞춤형 광고를 위한 제3자 행태정보 수집과 관련해, 이용자가 해당 수집에 동의하지 않으면 서비스 이용 자체를 차단한 행위로 2024년 약 308억 원의 과징금을 부과받았습니다. 구글도 동일한 유형의 위반으로 약 692억 원의 과징금을 받았습니다. 두 회사 모두 "쿠키·행태정보는 개인정보가 아니다"라는 논리로 오랫동안 방어했지만, 개인정보보호위원회와 국내 법원은 여러 행태정보를 결합하거나 다른 정보와 결합해 특정 개인을 식별할 수 있다면 개인정보에 해당한다고 판단했습니다. 핵심 위반 지점은 수집 자체가 아니라, 동의를 거부한 이용자에게도 서비스를 강제로 이용하게 만든 부분입니다.

틱톡과 애플은 맞춤형 광고 동의 항목을 체크박스 해제가 불가능하게 표시하거나 사실상 필수처럼 보이게 만들어, 이용자에게 동의를 강요한 혐의로 2024년 약 105억 원의 과징금을 부과받았습니다. 메타·구글 사건이 '거부 시 서비스 차단'이었다면, 이 사건은 '거부라는 선택지 자체를 사실상 없앤' 유형에 가깝습니다. 법적으로 동의는 자유롭게 이뤄져야 한다는 원칙 — 즉 동의를 거부해도 기본 서비스는 이용 가능해야 한다는 원칙을 위반한 사례로 분류됩니다. 3강에서 다룬 '넛지와 강제의 경계'가 실제로 어디서 무너졌는지 보여주는 사건입니다.

카카오는 개인정보 관리 미흡, 불필요한 개인정보 과다 수집, 부실한 동의 관리 등의 이유로 2024년 약 151억 원의 과징금과 함께 개선 시정명령을 받았습니다. 이 사건은 해외 빅테크만이 아니라 국내 대형 플랫폼도 동일한 기준으로 적발되고 있다는 것을 보여줍니다. 단순히 동의 체크박스를 두는 것만으로는 부족하며, 동의 여부 관리 체계, 거부 이후 처리 절차, 주기적 재동의 프로세스까지 모두 검증 대상이 됩니다.

지금까지 다룬 네 사건은 모두 개인정보보호위원회의 국내 행정 제재(과징금·시정명령) 경로입니다. 이와 별개로, 애플 앱스토어·구글 플레이는 각 사 자체 심사 정책(예: 애플의 앱 추적 투명성 정책)을 통해 동의 없는 트래킹 SDK를 심은 앱을 심사 반려하거나 스토어에서 내리는 별도의 제재 경로를 운영합니다. 이 두 경로는 근거 법령·집행 주체가 완전히 다르므로, "개인정보보호위원회 과징금만 피하면 된다"고 판단하면 앱스토어 심사 단계에서 별도로 걸릴 수 있습니다. 다만 이번 조사에서는 국내 앱이 이 정책 위반으로 실제 퇴출된 구체적 사례·수치까지는 확정 인용할 자료를 확보하지 못했습니다 — 앱 SDK에 서드파티 트래킹 모듈을 추가할 때는 각 스토어의 최신 개발자 정책을 별도로 확인해야 합니다.

네 사건을 관통하는 공통 패턴은 세 가지입니다. 첫째, 동의 거부가 실제로 자유로운 선택이었는가 — 거부해도 서비스를 그대로 쓸 수 있었는가. 둘째, 동의 목적이 구체적으로 고지됐는가 — "맞춤형 광고"처럼 뭉뚱그린 표현이 아니라 매체명·항목까지 밝혔는가. 셋째, 동의 관리 체계가 지속적으로 운영됐는가 — 한 번 받고 끝이 아니라 재확인·철회 반영이 이뤄졌는가. 이 세 가지를 자사 서비스에 그대로 대입해보는 것이 가장 실용적인 자가 점검 방법입니다.

개인정보보호법은 위반 시 단계적 조치를 규정합니다. 먼저 시정명령으로 개선을 지시하고, 이어서 과징금을 부과하며, 필요하면 동의 회수와 데이터 처리 중단 명령까지 내릴 수 있고, 최악의 경우 서비스 차단까지 가능한 구조입니다. 위에서 다룬 네 사건 모두 과징금과 함께 시정명령이 병행됐다는 공통점이 있습니다. 시정명령을 이행하지 않고 재위반하면 과징금이 누적되고, 반복 위반 시에는 형사 고발까지 이어질 수 있는 규정도 함께 존재합니다. 즉 한 번의 과징금으로 사건이 종결되는 것이 아니라, 이후 이행 여부까지 지속적으로 감시받는 구조라는 점을 실무자는 인지하고 있어야 합니다.

네 사건 모두 마케팅팀 단독의 잘못이 아니라 개발팀·법무팀과의 협업 부재에서 비롯된 경우가 많습니다. 마케팅팀이 새로운 트래킹 SDK나 픽셀을 붙이기로 결정했을 때, 그 결정이 법무·개인정보보호 담당자에게 사전에 공유되지 않으면 동의 고지문과 실제 수집 범위가 어긋나는 사고가 반복됩니다. 신규 매체 연동이나 트래킹 도구 추가는 마케팅팀 단독 결정 사항이 아니라, 4강에서 다룬 동의 정합성 관리 프로세스 안에서 검토돼야 할 항목으로 다뤄야 합니다.