독일 법원, 메타 트래킹 기술의 유럽 개인정보 보호법 위반 판결

• 독일 Leipzig Regional Court는 Meta가 제3자 웹사이트에 삽입한 트래킹 기술 때문에 독일 Facebook 사용자에게 €5,000, 약 $5,900를 지급해야 한다고 판결함
• 법원은 Meta tracking pixels와 SDK가 웹사이트와 앱에서 사용자 동의 없이 데이터를 수집해 유럽 GDPR을 위반한다고 판단함
• 이번 원고 승소 판결은 다른 사용자들이 “개별 손해를 명시적으로 입증”하지 않고도 소송을 제기할 수 있는 선례가 됨
• 사용자가 Instagram이나 Facebook 계정으로 로그인하지 않아도, 제3자 웹사이트 방문이나 앱 사용만으로 Meta가 각 사용자를 개별 식별할 수 있다는 점이 쟁점이 됨
• Meta pixels나 유사한 트래킹 기술을 동의 없이 쓰는 웹사이트와 앱은 독일 방문자 전체를 포함하는 소송 위험에 노출될 수 있음

---

Leipzig 법원의 판결

• 독일 Leipzig Regional Court는 Meta가 독일 Facebook 사용자에게 €5,000를 지급해야 한다고 판결함
• 소송의 핵심은 Meta가 제3자 웹사이트에 삽입한 트래킹 기술이 사용자 데이터를 어떻게 수집했는지에 있음

• tracking pixels와 SDK

  • 법원은 Meta tracking pixels와 소프트웨어 개발 키트가 수많은 웹사이트와 앱에 들어가 사용자 데이터를 동의 없이 수집한다고 판단함
  • 이 데이터 수집은 유럽 General Data Protection Regulation(GDPR) 위반에 해당함

• 손해 입증 없이 가능한 소송

  • Leipzig Regional Court의 press release에 따르면 이번 판결은 수많은 다른 사용자가 개별 손해를 명시적으로 입증하지 않고도 소송을 제기할 수 있는 선례가 됨
  • 사용자가 Instagram이나 Facebook 계정으로 로그인하지 않아도 제3자 웹사이트를 방문하거나 앱을 사용하면 Meta가 사용자를 항상 개별 식별할 수 있다고 밝힘
  • Facebook 사용자 프로파일링을 위한 Meta의 개인정보 처리 방식은 유럽 개인정보 보호법을 “massively violates”하며, 이를 통해 수십억 달러의 이익을 얻는다는 내용도 포함됨

소송 위험과 파급 범위

• 이번 판결로 Meta tracking technology를 사용하는 웹사이트와 앱 전반이 중대한 소송 위험에 노출될 수 있음
• AesirX CEO Ronni K. Gothard Christiansen은 이번 판결이 “business breaking potential”을 가진 집단소송의 선례가 된다고 말함
• 이런 소송은 Meta pixels나 다른 트래킹 기술을 사용자 동의 없이 쓰는 사이트의 모든 독일 방문자를 포함할 수 있음
• Christiansen은 방문자 1명당 €5,000 손해배상이 수만 명이나 수백만 명 방문자 규모에서는 빠르게 커질 수 있다고 경고함
• pixels와 유사한 도구를 통한 데이터 프라이버시 위반은 향후 대규모 벌금으로 이어질 가능성이 있음

[GN⁺]

Hacker News 의견들

• 이번 Leipzig 판결은 주목할 만하지만, 실제 영향은 €5,000이라는 숫자가 암시하는 것보다 제한적일 수 있음
  법원이 개인별 손해를 입증하지 않아도 소송할 수 있다고 명시했지만, 유럽의 집단소송 제도는 미국식 소송과 꽤 다름
  독일에는 미국 같은 소송 유인 구조가 없음. 성공보수도 없고, 패소자가 비용을 부담하며, 집단적 구제 수단도 비교적 제한적임. 대부분의 독일 소비자는 법률 비용과 시간을 감수하면서 추적 픽셀 때문에 개인적으로 €5,000 소송을 내지는 않을 것 같음
  개인적으로는 이 사안이 소비자보호단체나 자금력이 있는 소송 그룹에 의해 진행되길 바람. 독일은 집단소송 틀을 점진적으로 넓혀왔지만, 여전히 개인 원고보다는 자격 있는 단체가 주도하는 구조에 가까움

  • 누군가 이걸 상품화할 수도 있겠음. “공짜 €2,500 받아가세요! 여기 서명하세요!” 같은 식으로
  • 독일에서는 다른 유럽 국가들과 달리 소비자가 기본적으로 포함되는 구조임
    그래서 현재 독일에서 X와 Tiktok을 상대로 각각 €500, €2,000 손해배상을 요구하는 집단소송이 진행 중임

• 이 판결은 항소에서 유지되지 않을 수도 있음. 아직 전체 판결문이 공개되지 않았고, 현재 알려진 건 보도자료뿐임
  예를 들어 법원은 원고가 어떤 피해를 입었는지 직접 심문하지 않고도 손해배상을 받을 자격이 있다고 봤음. 흥미로운 방향이고, 실제 판결문에서 어떻게 논증됐는지 봐야 함. Meta가 항소에서 다툴 수 있는 지점이라고 봄
  또 다른 방식으로는 이 소송이 유럽연합법상 아직 해결되지 않은 쟁점을 포함하므로 ECJ가 판단해야 한다고 주장할 수도 있음
  어느 쪽이든 이 판결은 단기적으로 법적 불확실성을 만들 것이고, 많은 사람이 소송을 낼 것으로 보임. 다만 항소와 어쩌면 몇 년 뒤 ECJ에서 어떤 결론이 나는지 지켜봐야 함

  • 이해가 안 되는 건 Facebook과 추적이 일어나는 웹사이트 운영자 사이의 책임 관계임
    GDPR상으로는 광고 네트워크에 데이터를 넘기기 전에 사용자 동의를 받는 책임이 해당 웹사이트에 있다고 생각했음

• 이제 수상한 법무법인이 이 사용자와 정확히 같은 상황에 있는 사람들을 찾아내서, 그들을 대신해 소송하고 10% 정도를 가져갈 수 있지 않나? 그렇게 해준다면 기꺼이 맡길 것 같음
  하지만 결국 이런 일은 개인 소송으로 규제돼서는 안 됨. 기억하기로 과징금은 전 세계 연 매출의 최대 4% 까지 가능하고, 이제는 Meta 같은 규모의 회사에 실제로 전 세계 연 매출 4%짜리 과징금을 부과해서 법이 단순한 권고가 아니라는 걸 기업들이 깨닫게 해야 할 때임

  • 다른 분야에서는 이미 이런 일을 하는 정상적인 업체들이 있음. 대표적으로 항공편 보상이 그렇다
    독일 변호사 직역법상 성공보수에는 몇 가지 문제가 있음. 다만 이 €5,000 청구는 단순한 “채권 추심”이라고 볼 여지가 있어서 허용될 수도 있음
    위험은 다른 곳에 있음. 다른 댓글에서 썼듯이 이 판결이 항소에서 유지되지 않거나, 독일 내 다른 지역 법원이 다르게 판단할 이유가 있음. 결국 연방대법원이나 ECJ가 판단해 법적 확실성이 생길 때까지 수많은 소송을 계속 끌고 갈 자본이 많이 필요함
  • 내가 이해하기로는 미국의 집단소송과 1:1로 대응되는 유럽식 제도는 없음
    EU에는 “대표소송”을 허용하는 지침이 있지만, 미국인들이 익숙한 집단소송에 비하면 범위가 훨씬 좁음
  • 이번 판결이 선례를 만든 만큼, 집단소송식 소송은 아마 곧 늘어날 것 같음

• 5년 전쯤만 해도 HN에서 이런 제목이 올라오면 미국 쪽에서 “유럽이 가난하고 순진한 미국 기업을 털어먹으려고 핑계를 찾는다”는 반응이 거의 반드시 나왔던 걸 기억함
  이 사안에 대한 분위기가 참 많이 바뀌었음. 때로는 충분히 강하지 않더라도, 유럽식 접근이 정당화되는 걸 보니 반가움

  • 그런 반응은 틀렸을 뿐 아니라, 현실은 정반대임. 과징금의 압도적 다수는 유럽 기업을 대상으로 부과됨
    Big Tech만 계속 개인정보 보호 기준을 위반하는 게 아님. [0] 여기서는 그런 사례를 잘 안 읽게 되니, 그런 과징금이 없는 것처럼 가정하기 쉬움
    게다가 현행 법이 어떻게 발전했는지 실제로 배워보면 도움이 됨. 이 법은 주로 독일의 Bundesdatenschutzgesetz를 모델로 삼았고, 이 법은 FAANG보다 훨씬 전인 1990년대에 현대적 형태로 법제화됐음
    [0] 추적기 참고: https://www.enforcementtracker.com/
  • 5년 전? 지난주에도 그랬던 것 같은데
  • 미국인으로서 유럽 개인정보보호법에 대해 내가 가진 우려는 관할권과 관련된 것이고, 여기에는 해당하지 않음. 이번 결정은 환영함
  • 아니, 오해한 것임. 여기 미국에서는 이미 싸우기를 포기했고, Google과 Meta 같은 거대 기업이 광고 영역을 장악하도록 두는 쪽을 선호함
    작은 회사들은 빠르게 구독 모델로 옮겨갔음. 적어도 EU가 돈 버는 걸 불법으로 만드는 방법을 찾아내기 전까지는 그럴 것임

• 이게 집단소송으로 이어지면 정말 좋겠음. 나도 꼭 참여하고 싶음

• 늘 그렇듯이, 의미 있는 조치는 아무것도 이뤄지지 않을 것 같음

• 이게 터질 날이 기대됨: https://wire.com/en/blog/metas-stealth-tracking-another-eu-w...

• 법원이 로그인하지 않아도 식별 가능성을 강조했다는 점이 흥미로움
  많은 회사가 숨어드는 흔한 “익명 추적” 방어 논리를 정면으로 관통함

• 전체 분석은 여기서 읽을 수 있음: https://www.linkedin.com/pulse/5000-pixel-tracker-why-latest...
  독일에서는 소비자가 소송을 직접 제기할 필요가 없고 기본적으로 포함됨. 이 점이 다른 모든 유럽 국가들과 매우 다름

• 어떤 웹사이트나 전자상거래 솔루션이 동의 전에 어떤 제3자 리소스를 불러오는지 이 무료 개인정보 스캐너로 확인할 수 있음 -> https://privacyscanner.aesirx.io/