우버 GDPR 벌금 8억2500만 유로, 자동 운전자 정지 논란의 전말

우버가 유럽 운전자 계정을 자동으로 정지하거나 비활성화한 문제로 네덜란드 규제당국으로부터 8억2500만 유로(약 9억6600만 달러)의 벌금을 부과받았습니다. 네덜란드 개인정보보호당국(AP)은 2020년부터 2022년 사이 우버의 자동화된 결정 과정이 운전자에게 제대로 안내되지 않았고, 계정 조치에 충분한 인간의 감독도 이뤄지지 않았다고 판단했습니다. 12

우버는 결정의 일부 사실관계와 벌금 규모에 이의를 제기하며 항소하겠다고 밝혔습니다. 1

네덜란드 당국이 문제 삼은 것

AP의 결정에 따르면 우버는 사기 가능성이 있다고 본 운전자를 자동 시스템으로 일시 정지하고, 고객 평점이 낮은 일부 운전자의 계정을 영구적으로 비활성화했습니다. 이 과정에서 시스템이 의미 있는 사람의 검토 없이 정지나 비활성화를 결정하거나 촉발할 수 있었고, 운전자들은 자동 의사결정이 계정에 어떻게 적용되는지 충분히 안내받지 못했습니다. 145

핵심 쟁점은 우버가 사기 탐지나 서비스 품질 평가에 소프트웨어를 사용했다는 사실 자체가 아닙니다. 문제는 알고리즘의 판단이 운전자가 플랫폼에 계속 접근할 수 있는지, 더 나아가 그 플랫폼을 통해 계속 수입을 얻을 수 있는지를 좌우했다는 데 있습니다.

보도된 사기 탐지 신호에는 비정상적으로 긴 운행이 포함됐습니다. 이는 불필요한 우회로 요금을 부풀렸을 가능성을 시사할 수 있습니다. 운전자가 실제로 수행할 의사가 없던 호출을 수락한 사례도 판단 신호로 활용된 것으로 전해졌습니다. 5

왜 GDPR상 ‘중대한 결정’이었나

유럽연합의 일반개인정보보호법(GDPR)은 자동화된 처리만을 근거로 한 결정이 법적 효과를 만들거나 개인에게 그와 비슷한 중대한 영향을 미치는 경우를 제한합니다. 네덜란드 당국은 이를 중요한 결정에서 ‘인간의 관점’을 요구받을 권리로 설명합니다.

우버 이용이 중단되는 일은 단순히 앱의 한 기능을 사용할 수 없게 되는 것과 다릅니다. 일시 정지는 당장 수입을 끊을 수 있고, 영구 비활성화는 운전자가 우버 플랫폼을 통해 일하는 길 자체를 막을 수 있습니다. 이런 생계상의 영향 때문에 규제당국은 계정 조치를 일상적인 운영 판단이 아니라 중대한 결정으로 봤습니다. 45

GDPR상 자동화된 결정이 허용되는 경우에도 기업은 의사결정 과정에 관한 명확한 정보를 제공하고, 당사자가 사람의 개입을 요청할 수 있게 하며, 결과에 이의를 제기할 실질적인 기회를 보장해야 합니다.

프랑스 운전자들의 문제 제기에서 시작된 사건

이번 사건은 프랑스 운전자들의 शिकायत으로 시작됐습니다. 전직 우버 운전자 브라힘 벤 알리는 영향을 받은 운전자 약 170명의 증언을 모았고, 스위스 디지털 권리 단체 PersonalData.io가 이 활동을 지원했습니다. 관련 보도에는 프랑스인 신고인이 171명으로 언급됩니다. 413

사건을 네덜란드 AP가 맡은 이유는 우버의 관련 유럽 사업과 GDPR상 감독 체계가 네덜란드에 기반을 두고 있었기 때문입니다. 이에 따라 네덜란드 당국은 다른 유럽 국가의 운전자들이 관련된 국경 간 사건을 조사할 수 있었습니다. 17

이 사건은 개인들의 문제 제기가 대규모 알고리즘 시스템의 작동 방식을 드러낼 수 있다는 점도 보여줍니다. 운전자들은 자신의 계정에 영향을 준 결정에 관한 정보를 요구했고, 규제당국은 개별 정지 결과뿐 아니라 우버의 자동 의사결정 시스템이 구성되고 운영된 방식까지 살폈습니다. 13

벌금 규모는 어느 정도인가

8억2500만 유로의 벌금은 EU GDPR에 따라 부과된 제재 중 메타에 대한 12억 유로 벌금에 이어 두 번째로 큰 규모로 보도됐습니다. 12

우버가 네덜란드에서 앞서 받은 2억9000만 유로의 GDPR 벌금보다도 훨씬 큽니다. 당시 사건은 자동 계정 조치가 아니라 유럽 운전자 개인정보를 미국으로 이전한 문제와 관련됐습니다.

사건	벌금	주요 쟁점
우버 자동 운전자 결정 사건	8억2500만 유로	충분한 고지와 인간의 감독 없이 이뤄진 자동 정지·비활성화 12
우버의 이전 네덜란드 GDPR 사건	2억9000만 유로	유럽 운전자 개인정보의 미국 이전
메타의 GDPR 최고액 벌금	12억 유로	페이스북 이용자 데이터의 미국 이전 110

다만 이번 벌금은 규제당국이 부과하는 행정 제재입니다. 이 결정만으로 개별 운전자에게 과거 수입 손실이 자동 배상되는 것은 아닙니다.

운전자들이 보상받을 수 있을까

디지털 권리 옹호자들은 이번 결정이 우버를 상대로 운전자들이 집단적으로 보상을 청구할 법적 토대가 될 수 있다고 보고 있습니다. 로이터가 인용한 보도에 따르면 PersonalData.io는 집단소송을 준비하고 있다고 밝혔습니다. 13

이러한 법적 대응은 AP의 벌금과는 별개의 절차입니다. 운전자들은 실제 손실이 발생했는지, 손실 규모가 얼마인지, 개인 또는 집단 청구가 어떤 법적 근거를 갖는지 별도로 입증해야 합니다. 규제당국의 벌금이 곧바로 보상금 지급으로 이어지는 것은 아닙니다. 713

우버의 반박과 항소 계획

우버는 이번 결정에 강하게 동의하지 않으며 벌금이 과도하다고 주장했습니다. 회사는 일부 사실관계와 제재 금액에 이의를 제기하고 항소할 계획입니다. 13

우버는 문제가 된 정책이 2021~2022년까지 중단됐다고도 밝혔습니다. 현재 절차에는 사람의 검토와 이의제기 경로가 포함돼 있으며, 대부분의 정지는 짧은 기간에 그치고 영구적인 비활성화는 사람의 개입 없이 이뤄지지 않는다는 것이 회사 측 설명입니다. 17

이는 우버가 밝힌 입장이고, AP의 결정은 조사 대상이 된 과거 관행에 관한 판단입니다. 향후 항소 절차에서 어떤 사실관계와 벌금 요소가 최종적으로 유지될지가 쟁점이 될 수 있습니다.

‘알고리즘이 일자리를 끊는’ 시대에 던진 신호

이번 사건은 개인정보보호 규제가 데이터를 얼마나 수집하고 어디에 저장하는지만 다루는 영역이 아니라는 점을 보여줍니다. 개인정보와 자동화된 프로파일링이 노동, 수입, 플랫폼 경제 기회에 대한 접근을 통제하는 데 사용된다면 GDPR의 규율 대상이 될 수 있다는 의미입니다. 14

기술 기업과 플랫폼 노동 기업에는 분명한 실무 과제가 남았습니다. 사기 탐지, 평점 시스템, 계정 제재를 단순히 결과가 가벼운 자동화로 취급할 수 없다는 것입니다. 기업은 결정이 어떻게 이뤄지는지 설명하고, 영향을 받은 사람에게 이를 알리며, 실질적으로 재검토할 수 있는 인간의 개입과 효과적인 이의제기 절차를 제공해야 합니다.

특히 소프트웨어의 판단만으로 노동자가 일시적으로 또는 영구적으로 수입을 얻지 못하게 되는 경우 규제 위험은 더욱 커집니다. 형식적으로 담당자가 한 번 확인하는 것만으로는 부족할 수 있습니다. 인간의 검토는 관련 자료와 상황을 실제로 살펴보고, 근거가 부족하거나 사정이 달라졌다면 결정을 바꿀 수 있는 수준이어야 합니다.