이탈리아, 페이스북 안드로이드 앱의 사용자 사진 보관함 접근 문제로 메타에 8억 500만 유로 과징금
이탈리아, 페이스북 안드로이드 앱의 사용자 사진 보관함 접근 문제로 메타에 8억 500만 유로 과징금
이탈리아 개인정보 보호 당국이 사용자의 충분히 구체적이고 명확한 동의 없이 사진 보관함에 접근한 페이스북 안드로이드 기능을 문제 삼아 메타 플랫폼스 아일랜드 리미티드에 8억 500만 유로의 과징금을 부과했다.
11월 14일 발표된 이번 결정은 사용자가 페이스북을 둘러보는 동안 기기 갤러리에 있는 사진을 추천하는 기능과 관련이 있다. 당국의 조사 결과에 따르면 이 기능은 2023년부터 기본으로 활성화돼 있었으며, 이탈리아 사용자 기기에 저장된 사진과 동영상은 물론 관련 메타데이터에도 접근할 수 있었다.
이번 사건은 암호화폐 사용자에게 소셜미디어를 넘어선 위험을 시사한다. 휴대전화의 사진 보관함에는 지갑 접근 정보나 거래 내역, 개인 신원을 노출할 수 있는 정보가 담겨 있을 수 있다. 앱이 암호화폐 지갑이 아니더라도 기기의 미디어 파일을 읽을 수 있다면 암호화폐와 관련된 민감한 정보를 접할 가능성이 있다.
이탈리아 규제 당국이 확인한 문제
당국은 페이스북 안드로이드 앱의 권한 요청 절차가 갤러리 추천 기능에 관해 사용자에게 충분히 명확한 선택권을 제공하지 않았다고 판단했다. 해당 기능의 구체적인 용도에 대해 별도로 충분한 설명을 듣고 결정하는 방식이 아니라, 앱 전반에 적용되는 포괄적인 권한을 받는 방식이었다.
또한 이러한 구조로 인해 앱이 기기 갤러리에 지속적으로 접근할 수 있었지만, 사용자와 규제 당국 모두 해당 자료가 실제로 어느 범위까지 어떻게 사용됐는지를 독립적으로 확인할 수 없었다고 지적했다.
이번 결정의 법적 근거는 EU의 ePrivacy 지침을 국내법에 반영한 이탈리아 개인정보 보호법 제122조였다. 당국은 휴대전화에 저장된 정보가 개인의 사적 영역에 속한다고 강조했다. 정보가 외부로 전송됐는지, 또는 구체적인 피해가 이미 발생했는지와 관계없이 해당 정보에 접근하려면 유효한 동의를 받아야 한다는 판단이다.
메타는 이 사안이 아일랜드 개인정보 보호 당국의 관할에 속한다고 주장했다. 그러나 이탈리아 당국은 이번 ePrivacy 집행 조치에는 EU의 국경 간 개인정보 보호 사건을 위한 ‘원스톱숍’ 제도가 적용되지 않는다며 이를 받아들이지 않았다.
과징금 규모가 큰 이유
당국은 8억 500만 유로의 과징금을 산정하면서 다음과 같은 요인을 고려했다.
- 이탈리아에서 약 2,000만 명의 안드로이드 사용자가 잠재적으로 영향을 받았다.
- 문제가 된 행위가 장기간 지속됐다.
- 메타는 2019년부터 이어진 과거 제재 이력이 있다.
- 당국은 조사 과정에서 메타의 협조가 충분하지 않았다고 판단했다.
당국의 제재 평가에 따르면 과징금은 메타 전 세계 매출의 약 0.47%에 해당한다.
메타는 60일 이내에 해당 기능을 기본 비활성화하고, 기능의 목적과 해제 방법을 사용자에게 안내하며, 기능을 활성화하기 전에 별도의 명시적 동의를 받으라는 명령을 받았다. 또한 30일과 90일이 지난 시점에 각각 시정 조치 진행 상황을 보고해야 한다.
이번 사건에서 갤러리 콘텐츠가 AI 모델 학습에 사용됐다는 사실이 확인된 것은 아니다. 메타 역시 그러한 사용을 부인했다. 2026년 도입된 별도의 클라우드 기반 사진 처리 기능은 추후 별도로 심사될 예정이다.
암호화폐 사용자가 사진 접근 권한에 주의해야 하는 이유
갤러리는 평범한 사진을 모아 둔 공간처럼 보이지만, 개인의 디지털 자산과 관련된 정보까지 드러낼 수 있다. 스크린샷이나 다운로드한 파일, 촬영한 사진에는 다음과 같은 정보가 포함될 수 있다.
- 지갑 설정 과정에서 촬영하거나 저장한 복구 문구 또는 개인 키
- 지갑 주소, 거래 내역 또는 계정 잔액
- 지갑 접속이나 결제, 계정 복구에 사용하는 QR 코드
- 거래소 본인 인증 과정에서 제출한 신분증
- 이미지 메타데이터에 포함된 여행, 위치 또는 연락처 정보
이러한 정보가 모두 자금에 대한 직접적인 통제권을 제공하는 것은 아니다. 예를 들어 지갑 주소는 일반적으로 공개 정보다. 하지만 지갑 주소가 이름이나 다른 신원 정보와 결합되면 온체인 활동을 실제 인물과 연결하기가 쉬워질 수 있다. 반면 복구 문구나 개인 키는 훨씬 더 민감하다. 이를 입수한 사람은 해당 자산을 통제할 수 있기 때문이다.
이러한 차이를 이해하는 것이 중요한 이유는 블록체인이 투명성을 제공할 뿐, 자동으로 익명성까지 보장하지는 않기 때문이다. 이더리움 재단의 계정 설명에서도 계정에 대한 통제권이 개인 키에 의해 결정된다고 설명한다. 개인 키를 보호하는 것은 필수적이지만, 그 주변의 개인정보가 불필요하게 노출되지 않도록 제한하는 것 역시 중요하다.
정보 노출을 줄이는 방법
이번 결정은 특히 암호화폐 거래에 사용하는 기기에서 앱이 어떤 정보에 접근할 수 있는지 점검해야 한다는 사실을 일깨워 준다.
- 사진 및 동영상 접근 권한을 확인하세요. 어떤 앱이 미디어 파일에 접근할 수 있는지 살펴보고, 필요하지 않은 권한은 삭제하세요. 가능하다면 전체 보관함이 아니라 선택한 사진에만 접근할 수 있도록 설정하는 것이 좋습니다. 안드로이드에서 제공하는 옵션은 사진 선택 도구 문서에서 확인할 수 있습니다.
- 복구 문구를 갤러리에 보관하지 마세요. 시드 문구를 촬영하거나 스크린샷으로 저장하거나, 메모 앱 또는 클라우드 사진 보관함에 보관하지 마세요. 오프라인 백업을 만든 뒤 안전한 장소에 보관해야 합니다.
- 스크린샷을 신중하게 저장하세요. 이미지를 저장하거나 공유하기 전에 잔액, 주소, QR 코드, 계정 식별 정보 또는 신원 정보가 노출돼 있지 않은지 확인하세요.
- 클라우드 백업을 점검하세요. 휴대전화에서 민감한 이미지를 삭제하더라도 동기화된 모든 사본이 즉시 지워지지는 않을 수 있습니다. 연결된 백업 서비스와 각 서비스의 삭제 설정을 확인하세요.
- 업데이트 후 권한을 다시 확인하세요. 기능과 권한 요청 방식은 바뀔 수 있습니다. 주기적으로 점검하면 과거에 부여한 권한이 지금도 원하는 앱 사용 방식에 부합하는지 확인할 수 있습니다.
디지털 자산 보안에 주는 더 큰 교훈
이번 메타 제재는 암호화폐 사용자가 매일 마주하는 경계를 보여준다. 앱 사용에 동의했다고 해서 앱이 기기 데이터에 접근하는 모든 방식에 대해 충분한 설명을 듣고 동의한 것은 아니다.
자가 수탁은 사용자에게 개인 키를 직접 관리할 책임을 부여한다. 하지만 실질적인 보안은 개인 키 자체뿐 아니라 그 주변 환경까지 포함한다. OneKey와 같은 하드웨어 지갑을 사용하면 일상적인 이용 과정에서 개인 키를 휴대전화나 컴퓨터와 분리해 보관하는 데 도움이 된다. 그러나 다른 앱이 사용자가 허용한 사진에 접근하는 것까지 막아 주지는 못하며, 촬영 후 갤러리에 저장한 복구 문구도 보호할 수 없다.
가장 강력한 보안 전략은 안전한 개인 키 보관, 신중한 기기 권한 관리, 오프라인 복구 백업을 함께 적용하는 것이다.
