유럽 개인정보보호 비영리 단체 노입(noyb)이 인기 온라인 사전 딕트닷씨씨(dict.cc)를 상대로 유럽 일반 개인정보보호법(GDPR) 위반 신고를 오스트리아 데이터 보호 당국에 제출했습니다. 딕트닷씨씨가 사용자에게 1,741개에 달하는 '파트너' 기업의 온라인 추적에 단 한 번의 클릭으로 동의하도록 유도하는 방식이 GDPR의 '자유롭고, 정보에 입각하며, 구체적이고, 명확한 동의' 원칙을 위반한다는 지적입니다.
노입은 사용자가 1,741개 파트너사의 개인정보 처리 방침을 모두 읽고 이해하려면 최소 170시간, 즉 일주일 이상이 소요될 것이라고 주장합니다. 이는 사실상 '정보에 입각한 동의'를 불가능하게 만들며, 사용자가 자신의 데이터가 누구에게 어떻게 사용되는지 알 수 없게 합니다. 딕트닷씨씨는 극단적인 사례지만, 수많은 온라인 광고 기반 웹사이트와 앱들이 이처럼 수백, 수천 개의 제3자에게 개인정보 활용 동의를 맹목적으로 요구하는 관행은 GDPR 시행 8년이 지난 지금도 여전히 흔하게 나타나는 문제입니다. 이러한 데이터는 침해적인 온라인 광고뿐만 아니라 데이터 브로커를 통해 다른 목적으로 공유되거나 판매될 수 있으며, 심지어 정부 기관이 감시 목적으로 구매하는 경우도 있습니다.
이번 신고는 딕트닷씨씨가 사용자의 데이터를 처리할 유효한 법적 근거가 없다고 보고, 불법적으로 처리된 데이터의 삭제 및 수신자에게 삭제 통보를 명령할 것을 요청했습니다. 또한, 향후 유사한 위반을 방지하기 위한 과징금 부과와 더 넓은 범위의 금지 명령 또는 유럽 데이터 보호 이사회(EDPB)의 의견 조회를 제안했습니다. 이는 사용자의 개인 정보 자기 결정권을 보호하고, 온라인 광고 생태계에서 만연한 불투명한 데이터 공유 관행에 경종을 울리는 중요한 조치가 될 것으로 보입니다.