우버, 기사 계정 자동 정지로 GDPR 사상 두 번째 규모 과징금 위기

암스테르담 항소법원은 2023년 관련 우버 기사 사건에서 우버가 주장한 ‘휴먼 인 더 루프(human in the loop)’를 받아들이지 않았다. 당시 법원은 우버의 인적 검토가 사실상 상징적인 절차에 불과하다고 판단했다.

즉, 인적 검토자는 관련 자료를 직접 살펴보고 기사의 설명을 들은 뒤 필요하면 알고리즘의 결론을 뒤집을 수 있어야 한다. 검토가 단순한 확인 절차라면, 자동화된 결정을 사람의 이름으로 포장한 것에 그칠 수 있다. 기사 역시 어떤 이유로 계정이 제한됐는지 파악하고 실질적으로 이의를 제기할 수 있을 만큼의 정보를 받아야 한다.

기사들은 자동화된 판단을 충분히 안내받지 못했나

AP는 우버가 계정 정지나 비활성화에 자동화된 처리 과정이 사용된다는 점을 영향을 받은 기사들에게 충분히 알리지 않았다고 판단한 것으로 전해졌다.

이 정보 부족은 단순한 안내 문제에 그치지 않는다. 기사가 계정 접근을 잃은 이유를 제대로 확인하지 못하면, 오류가 있었는지 판단하거나 결정에 이의를 제기하기도 어렵다.

이번 사건에는 서로 연결된 두 가지 문제가 있었다.

• 의사결정의 문제: 상당한 불이익을 줄 수 있는 자동화된 판단에 실질적인 인적 개입이 부족했다는 점
• 투명성의 문제: 자동화된 절차가 사용됐고 그 결과 어떤 영향을 받는지 기사들에게 충분히 설명하지 않았다는 점

따라서 기업은 어떤 조치를 내렸는지만이 아니라, 자동화 시스템이 생계에 영향을 미칠 때 당사자가 어떻게 실제 재검토를 받을 수 있는지도 설명해야 한다.

프랑스 민원을 왜 네덜란드 당국이 처리했나

이번 사건의 민원은 프랑스에서 제기됐지만, 사건을 주도한 기관은 네덜란드 개인정보보호당국이었다. 우버의 유럽 본사가 네덜란드에 있기 때문이다. GDPR의 ‘원스톱숍(one-stop-shop)’ 체계에서는 기업의 유럽연합 내 주요 사업장이 있는 국가의 감독기관이 국경을 넘는 사건을 주도하는 것이 일반적이다. 다른 관련 국가의 기관들도 절차에 참여할 수 있다.

이 체계는 다국적 기업이 동일한 관행을 두고 유럽 각국에서 별도의 주도 조사를 동시에 받는 상황을 줄이기 위해 마련됐다. 프랑스에서 시작된 민원이 네덜란드 당국의 결정으로 이어진 이유도 여기에 있다.

우버의 반박과 항소 계획

우버는 이번 결정과 과징금이 과도하다며 항소하겠다고 밝혔다. 회사는 기사들에게 인적 검토 절차와 정지 결정에 이의를 제기할 권리를 제공한다고 주장했다. 또 사기 의심으로 내려진 정지는 일시적인 조치였으며, 계정이 자동화만으로 영구 비활성화된 것은 아니라고 반박했다.

우버는 현재 영구적인 계정 비활성화 결정을 오직 자동화 시스템에만 맡기지 않는다고도 밝혔다. 다만 이는 우버의 현재 입장이다. AP의 과징금은 주로 2020년부터 2022년까지 조사 대상 기간에 이뤄진 관행을 대상으로 한다.

미국 빅테크에 대한 유럽 GDPR 집행의 범위가 넓어지고 있다

이번 결정은 유럽에서 GDPR 집행의 초점이 단순한 개인정보 국외 이전이나 광고 데이터에만 머물지 않는다는 점을 보여준다. 자동화된 시스템이 노동자의 플랫폼 접근권과 수입원을 좌우한다면, ‘알고리즘 경영’ 자체가 개인정보와 노동권이 만나는 고위험 영역이 될 수 있다.

기업이 기사 가입 심사, 사기 탐지, 계정 제한, 계약 또는 플랫폼 접근 종료에 자동화 시스템을 활용한다면 결과의 정확성만 점검해서는 충분하지 않다. 어떤 데이터와 기준이 사용됐는지 알릴 수 있어야 하고, 당사자가 자신의 설명을 제출하며, 독립적인 담당자가 결정을 되돌릴 수 있는 절차도 마련해야 한다.

이번 사건은 미국 기술기업을 상대로 한 유럽의 대규모 GDPR 집행 흐름과도 맞닿아 있다. 메타가 2023년 받은 12억 유로 과징금은 유럽 페이스북 이용자 데이터의 미국 이전과 관련된 것이었다. 우버 역시 2024년 유럽 기사들의 개인정보를 미국으로 이전하면서 적절한 보호조치를 취하지 않았다는 이유로 네덜란드 당국으로부터 2억9,000만 유로의 별도 과징금을 받았다.

8억2,500만 유로라는 액수는 우버의 항소가 진행되는 동안 확정된 최종 부담액으로 보기 어렵다. 그러나 이번 사건이 던지는 메시지는 분명하다. GDPR 아래에서 자동화된 관리 시스템은 누군가의 일할 기회를 빼앗을 수 있는 순간 더 이상 설명할 수 없는 ‘블랙박스’로 남을 수 없다.