노르웨이의 Meta 행동 기반 광고 금지, 전 EU/EØS로 확대

• Facebook·Instagram의 행동 기반 광고가 유럽 개인정보보호 쟁점으로 커지며, EDPB가 노르웨이 Datatilsynet의 금지를 영구화하고 EU/EØS 전체로 확대하기로 함
• Datatilsynet은 Meta가 Facebook과 Instagram에서 불법 추적·감시·프로파일링을 계속하고 있어 유럽 차원의 영구 금지가 필요하다고 판단함
• EU/EØS 내 Facebook·Instagram 활성 사용자는 2억 5천만 명 이상이며, EDPB 결정은 아일랜드 데이터보호당국에 Meta의 유럽 본사가 있는 아일랜드에서 영구 금지를 내리라는 지시임
• Meta는 향후 행동 기반 광고에 사용자 동의를 받겠다고 했지만 아직 구체적 변경을 도입하지 않았고, 동의하지 않는 사용자가 비용을 내야 하는 방식의 적법성도 불확실함
• 아일랜드 당국이 영구 금지를 내리면 효력이 발생하며, Meta가 합법적 운영 방식을 찾는 동안에도 기존 법 위반이 계속되는 상황을 막는 조치가 됨

---

EU/EØS 전체로 확대되는 Facebook·Instagram 광고 금지

• 유럽 개인정보보호위원회(EDPB)는 노르웨이의 Facebook·Instagram 행동 기반 광고 금지를 영구화하고 EU/EØS 전체에 적용하기로 결정함
• Datatilsynet은 Facebook과 Instagram의 개인정보 처리가 불법 추적, 감시, 프로파일링에 해당한다고 판단함
• Meta의 법 위반이 오래전부터 명확했고, 노르웨이의 금지 이후에도 불법적인 개인정보 처리가 계속됐기 때문에 Datatilsynet은 사안을 EDPB로 올림
• Facebook과 Instagram은 EU/EØS에서 2억 5천만 명 이상의 활성 사용자를 보유함

아일랜드 당국의 집행과 Meta 동의 모델 논란

• EDPB 결정은 Meta의 유럽 본사가 있는 아일랜드에서 영구 금지를 내리도록 아일랜드 데이터보호당국에 지시하는 형태임
  • 아일랜드 당국이 이 조치를 내리면 금지가 효력을 갖게 됨
• Meta는 자사의 사업 모델과 개인정보 사용이 유럽 개인정보보호 규정에 어긋난다는 통지를 받음
• 회사는 앞으로 행동 기반 광고에 사용자 동의를 받겠다고 했지만, 아직 구체적인 변경은 도입하지 않음
• Datatilsynet은 Meta가 제안한 동의 방식의 적법성에도 강한 의문을 가짐
  • 행동 기반 광고에 동의하지 않는 사용자가 비용을 내야 하는 구조이기 때문임
• 이번 결정은 Meta가 합법적인 방식으로 전환할 방법을 찾는 동안 기존 법 위반이 계속되는 것을 막기 위한 조치임

[GN⁺]

Hacker News 의견들

• 노르웨이어 기사 맥락을 보면, Meta는 사용자에게 동의할지 묻겠다고 약속했지만 실제로 하지 않았고, 그래서 더 나은 처리 방식을 마련할 때까지 이런 행위를 금지당하는 것임
  게다가 Meta는 데이터 공유를 거부하는 사용자에게 돈을 내게 하려 했는데, 이는 거의 확실히 합법이 아닐 가능성이 큼

  • “데이터 공유를 거부하면 돈을 내라”는 태도를 왜 문제 삼는지 정말 이해가 안 됨
    누구나 Meta 앱을 전부 지우고 다시 쓰지 않을 권리, 광고 차단기로 제3자 사이트의 추적기를 막을 권리는 100% 지지함
    하지만 EU가 보호하는 Facebook 무료 이용권 같은 게 있어야 한다는 생각은 별로임. 앱을 쓴다는 건 본질적으로 그 서버를 쓰는 회사와 데이터를 공유하는 일이고, 싫다면 정답은 하나뿐임: 쓰지 않으면 됨
    또 Facebook 사용자와 경쟁 서비스 사용자들이 모두 돈을 낸다면 광고가 사라지고, 사회관계망 서비스의 유인도 훨씬 나아질 것임. 기업에 서비스를 “무료”로 제공하라고 요구하는 정부는 결국 자신들이 싫어하는 광고 기반 모델만 유일한 선택지로 밀어붙여 더 나은 세계를 방해하게 됨

• 걱정해야 할 건 광고 자체가 아니라 페이지, 그룹, “사용자” 게시물이 사람들을 조작하는 방식이라고 봄
  속보처럼 말하자면, 그중 다수는 실제 인간 사용자도 아님

  • 언젠가는 봇 다수가 AI 생성 콘텐츠에 좋아요를 누르는 폐쇄 루프가 될지도 궁금함
  • “봇”이라는 용어가 흥미로움. 특정 방식으로 예측 가능하게 반응하는 모든 자동 장치로 확장할 수 있다고 봄
    사람이 운영하더라도 봇처럼 행동하는 Twitter “답글” 계정은 봇으로 봐야 함. 토론을 진전시키지 않고 어느 한쪽을 재확인만 하는 게시물은 순수한 소음이고 쓸모없음
    담론이 망가진 건지 인간 두뇌가 망가진 건지 모르겠음
  • 이를 분석해 둔 출처가 있나?
  • “사용자” 게시물이 사람들을 조작한다는 게 주류 언론을 말하는 건가? 그런 일을 하는 건 실제 인간 사용자들이고, 그중 일부는 꽤 유명함

• 노르웨이어를 읽지 못하는 사람을 위해, 이번 사안에 대한 노르웨이 데이터보호 당국의 이전 글이 영어로 있음. 이번에 EDPB가 노르웨이 쪽 손을 들어준 사안임: https://www.datatilsynet.no/en/news/aktuelle-nyheter-2023/me...
  임시 금지에 대한 더 자세한 내용: https://www.datatilsynet.no/en/news/aktuelle-nyheter-2023/te...

• 미국도 이런 사안에서 정신을 차렸으면 좋겠지만, 이런 구조에서 나오는 선거자금 받느라 너무 바빠 보임

  • 그뿐만이 아님. 미국은 기업이 사회에 명백히 해를 끼쳐도 기업 규제 자체를 별로 믿지 않음
    결국 “보이지 않는 손”이 모든 걸 더 좋게 만들 거라고 진심으로 믿는 듯함
  • 기업이 정치 캠페인 기부자가 되는 한 별 희망이 없어 보임
    이렇게 쓰고 있어도 이상하게 느껴지는데, 미국 사람에게는 아마 이상하게 들리지 않을지도 모르겠음
  • 선거 기부금과는 관련 없다고 봄. 정부는 데이터가 존재하는 걸 좋아함. 데이터가 있으면 자신들도 접근할 수 있기 때문임

• 미국인으로 EU에 여행 가면, 그 영토 안에 있는 동안 나를 추적하는 게 불법이 되는 건가? 그렇다면 소송할 수 있고, 어느 나라가 가장 큰 배상금을 받기에 유리할까?
  여행 의사를 Meta 지원팀에 이메일로 알려줄 의향도 있음

  • 변호사는 아니지만, 미국인이 EU에 있는 동안 추적하는 건 불법이 맞음
    소송은 언제든 할 수 있지만 Meta가 실제로 불법을 저질렀을 때만 의미가 있음
    Meta가 EU 법을 어겼다면 아마 본인이 머물렀던 나라에서 소송해야 할 가능성이 큼. 또는 Meta가 사무소를 둔 EU 국가에서 소송해야 할 수도 있음. 아일랜드? 룩셈부르크? 잘 모르겠음
    지원팀에 여행 의사를 알리는 건 좋은 생각이지만, 안타깝게도 대부분의 EU 국가는 징벌적 손해배상이 없음. 개인에게 돌아오는 돈은 아주 적을 것임
  • 가능은 하겠지만, 벌금 같은 것이 개인에게 지급되지는 않을 것 같음
    집행은 주로 각 EU 회원국의 국가 데이터보호 기관 책임
  • 자기 주의 데이터보호 기관에 신고하는 편이 더 쉬움
    더 많은 사람이 신고하고 기관이 제 역할을 하면, 노르웨이 데이터보호 당국이 그랬듯이 대신 소송해 줄 수 있음
  • 개인은 GDPR 위반으로 직접 소송할 수 없음
    데이터보호 기관에 문제를 제기할 수 있을 뿐이고, 그 기관들이 소송할 수 있음. 다만 무시하기로 결정할 수도 있음
  • 아님. RGPD는 EU 시민에게만 적용되고, 그들이 해외에 있거나 EU 기반이 아닌 서비스를 쓰더라도 적용됨

• 그냥 멍청한 광고를 보여줘도 되고, 오히려 더 잘 먹힐 수도 있음
  그렇게 어렵지 않음. 페이지나 콘텐츠를 보고 광고 카테고리를 고르면 됨
  Google과 Meta 계정을 10년 넘게 써 왔지만 광고는 전부 완전히 관련이 없었음. 새 브라우저로 r/programming에 가면 오히려 흥미로울 만한 광고가 나옴

  • 소규모 사이트 운영자에게는 광고 기술과 수작업 광고 시스템 중 무엇을 택할지가 큰 문제임. 직접 광고 지면을 팔 여력이 없기 때문임
    하지만 Meta는 아주 특수한 위치에 있음. 누구와도 데이터를 거래하지 않고도 광고를 정밀하게 겨냥할 만큼 사용자 데이터가 충분함. 규모도 커서 모든 광고 영업을 사내에서 쉽게 관리할 수 있음
    오히려 Meta야말로 강한 규제에 관심을 가져야 함. 모두가 정당한 이유로 내부에 보유한 데이터만 써야 한다면, Facebook은 내 나이, 도시, 관심사 등을 이미 갖고 있고 나는 그 정도는 받아들이기 때문에 광고에서 엄청난 우위를 갖게 됨

• “노르웨이 개인정보보호위원회의 결정은 아일랜드 데이터보호 당국에 Meta의 아일랜드 유럽 본사에 영구 금지를 부과하라는 지시다”라는 부분은 문제가 되지 않을까?
  아일랜드 DPA는 과거 Big Tech와 가까운 것으로 알려져 있었음. 아일랜드 경제 전체가 Big Tech의 조세회피처 역할과, EU 최고 수준 연봉의 기술 인력을 들여와 최고 구간 52% 세율로 과세하는 구조에 기반해 있으니 말임
  https://web.archive.org/web/20230609051152/https://www.irish...

• 이 글을 영어로 번역해 봤는데 이해가 안 되는 부분이 있음. 노르웨이 데이터보호 당국을 말하다가, 유럽 개인정보보호위원회를 잠깐 언급한 뒤 이렇게 이어짐
  “노르웨이 개인정보보호위원회의 결정은 아일랜드 데이터보호 당국에 Meta의 아일랜드 유럽 본사에 영구 금지를 부과하라는 지시다. 이것이 완료되면 금지가 발효된다.”
  노르웨이가 독자적으로 뭔가를 금지하는 것이거나 EU 규정을 따르는 것이거나 둘 중 하나일 텐데, “노르웨이 금지가 여기저기로 확장된다”는 식은 아닌 것 같음. 뭔가가 조금 섞인 느낌임

  • EU 내 Meta 지주회사는 아일랜드에 있음. Double Irish 회계 구조로 EU 법인세를 피할 수 있었기 때문임
    아직도 그런지는 확실하지 않고, 지금은 최소 13% 세율을 항상 내야 하는 것으로 알고 있음
    그래서 Meta에 대한 어떤 집행도 아일랜드를 거쳐야 하는 것 같음. EU는 국가가 아니라 조약 체계라서, 법적 조치는 항상 현지 당국이 집행해야 함
  • 추측하자면 노르웨이가 EU 정책을 자국 법으로 구현했고, 각 국가는 여러 EU 조약을 충족하도록 자체 법을 만들기 때문에, 그 결과를 아일랜드 DPC에 통보한 뒤 당연히 아일랜드도 같은 조치를 따르리라 기대하는 것 같음

• 행동 기반 마케팅은 돈을 버는 것 이상의 문제임. 수백만, 수십억 명을 특정 방향으로 밀어 넣는 일임
  현세대와 이전 세대의 여러 집단에서 다수의 성향을 완전히 바꿔 놓았음
  법만으로는 이것을 막기에 충분하지 않을 것임

  • 법만으로 충분하지 않을 수는 있지만, 적어도 좋은 시작점은 됨
    그게 안 되면 다른 방법을 시도하면 됨

• 내가 쓰는 것에 돈을 내고, 전혀 추적당하지 않고, 광고도 전혀 보지 않아도 되는 꿈에 한 걸음 가까워질지도 모르겠음
  Instagram에는 아직도 한 달에 한 번쯤 로그인하고 싶기는 함