핵심은 ‘자동화 사용’ 자체가 아니라 결정의 책임성
네덜란드 개인정보보호 당국은 우버에 8억2,500만 유로의 과징금을 부과했습니다. 우리 돈으로 환산하기보다 유로 기준으로 보면 약 9억6,300만9억6,600만 달러에 해당하는 규모입니다. 이번 제재는 우버가 운전자 계정을 자동화 시스템으로 정지하거나 비활성화하면서, 당사자에게 결정 과정을 충분히 알리고 오류를 점검할 실질적인 사람의 검토를 제공하지 않았다는 판단에 따른 것입니다. 제재 대상 행위는 보도에 따라 20202022년 또는 2018~2022년에 걸쳐 발생한 것으로 전해졌으며, 정확한 기간에는 보도 간 차이가 있습니다.
1
2
3
이번 과징금은 메타에 부과된 12억 유로 제재에 이어 GDPR 사상 두 번째로 큰 규모로 보도됐습니다.
1
2
3
어떤 방식으로 계정이 정지됐나
당국이 문제 삼은 것은 우버가 사기 의심 여부나 운전자 성과를 판단하기 위해 소프트웨어를 사용했다는 사실만은 아닙니다. 알고리즘의 판단이 운전자의 일할 권리와 수입에 직접적인 영향을 미칠 수 있는데도, 그 결정이 어떻게 내려졌는지 충분히 설명되지 않았고 사람의 검토를 통한 오류 수정 장치도 부족했다는 점이 핵심입니다.
1
2
보도에 따르면 우버의 시스템은 사기가 의심되는 운전자의 계정을 일시적으로 정지했고, 일부 경우에는 영구적으로 비활성화했습니다. 판단 신호로는 지나치게 긴 운행 시간이나 요금 부풀리기를 의심하게 하는 우회 경로, 승객 평점, 기타 계정 활동 등이 활용된 것으로 전해졌습니다.
2
4
12
유럽연합의 일반개인정보보호법(GDPR)은 개인에게 중대한 영향을 미치는 결정을 전적으로 자동화된 처리에만 맡기는 경우를 제한합니다. 따라서 이번 사건의 중심 질문은 단순히 “알고리즘이 사기를 잘 찾아냈는가”가 아닙니다. 컴퓨터 시스템이 사실상 운전자에게 플랫폼으로 수입을 올릴 수 있는지 여부를 결정하면서도, 진정한 사람의 재검토가 이뤄졌는지가 쟁점입니다.
2
5
플랫폼 운전자에게 사람의 검토가 중요한 이유
일반적인 소비자 계정이 잠시 제한되는 일은 불편하더라도 생계와 직결되지 않을 수 있습니다. 그러나 플랫폼 운전자에게 앱 접근 권한은 곧 일할 기회와 수입원일 수 있습니다. 계정이 막히면 운행 자체가 불가능해질 수 있기 때문에, 결정 이유를 이해할 수 있는 설명과 실제로 작동하는 이의제기 절차가 중요합니다.
이 때문에 이번 판단은 우버의 사기 탐지 도구에만 국한되지 않습니다. 소프트웨어가 노동과 유사한 플랫폼 참여, 수입, 업무 지속 여부에 영향을 미치는 ‘알고리즘 관리’가 어떤 기준과 절차를 갖춰야 하는지를 다룬 사건입니다.
1
2
우버의 반박과 항소 계획
우버는 당국의 사실관계 일부와 과징금 규모에 동의하지 않으며 항소할 계획이라고 밝혔습니다.
1
회사는 문제가 된 관행이 이미 중단됐고, 현재 영구적인 계정 비활성화에는 사람의 검토가 포함되며 운전자에게 이의제기 절차도 제공된다고 주장했습니다. 다만 제공된 보도만으로는 이런 정책 변화가 언제부터, 어느 범위에서 적용됐는지 정확히 확인할 수 없습니다. 영구 비활성화에 사람의 개입이 항상 있었는지를 두고도 우버와 당국의 설명이 엇갈립니다.
9
10
따라서 이번 결정은 우버가 다투지 않는 확정 사실로 보기보다, 회사가 항소를 예고한 규제 판단으로 이해해야 합니다. 항소로 인해 실제 납부 시점이 수년 늦어질 수 있다는 주장도 제기됐지만, 제공된 자료에는 확정된 일정이 없습니다.
사건은 어떻게 시작됐나
보도에 따르면 조사는 프랑스 운전자들이 우버의 계정 정지와 불투명한 비활성화에 대해 제기한 민원에서 시작됐습니다.
4
11
다만 제공된 자료만으로는 사건을 전직 운전자 브라힘 벤 알리가 주도했다거나, 약 170명의 운전자가 참여했다거나, PersonalData.io의 지원을 받았다는 구체적인 내용이 독립적으로 확인되지 않습니다. 따라서 이 세부사항은 현재 확인된 사실로 단정하기 어렵습니다.
또한 위반 기간에 대한 보도도 일치하지 않습니다. 로이터와 블룸버그는 20202022년을 언급하지만, AP는 20182022년이라고 보도했습니다.
1
2
3 다만 핵심적인 규제 판단은 대체로 같습니다. 우버가 계정에 중대한 영향을 주는 자동화 결정을 내리면서 운전자에게 충분한 정보를 제공하지 않았고, 사람의 안전장치도 충분히 마련하지 않았다는 것입니다.
기존 2억9,000만 유로 과징금과는 무엇이 다른가
이번 8억2,500만 유로 과징금은 우버가 앞서 네덜란드에서 받은 2억9,000만 유로 규모의 GDPR 과징금과 별개의 사건입니다. 앞선 제재는 자동 계정 정지가 아니라 유럽 운전자들의 개인정보를 미국으로 부적절하게 이전한 문제와 관련됐습니다.
22
두 사건은 대형 플랫폼 기업이 개인정보 규제에서 마주할 수 있는 위험이 서로 다르다는 점을 보여줍니다.
- 데이터 거버넌스: 개인정보를 어디에 보관하고 어디로 이전하는가.
- 알고리즘 의사결정: 개인정보와 행동 데이터를 이용해 사람에게 어떤 중대한 결정을 내리는가.
운전자들이 보상받을 수 있나
규제 당국이 기업에 부과한 과징금이 피해를 주장하는 모든 운전자에게 자동으로 배상금을 지급하는 것은 아닙니다. 부당한 정지나 비활성화로 손실을 입었다고 판단하는 운전자들은 별도의 손해배상 청구를 추진할 수 있지만, 제공된 자료에서는 구체적인 집단 보상 절차가 정식으로 제기됐다는 사실을 확인할 수 없습니다.
따라서 현재 법적 의미의 중심은 운전자 개인에게 자동으로 돈이 지급된다는 데 있지 않습니다. 핵심은 네덜란드 규제 당국이 플랫폼의 자동화된 계정 결정 자체를 GDPR 위반으로 판단하고 집행 조치를 내렸다는 점입니다.
긱 이코노미 플랫폼에 던지는 경고
이번 사건은 자동화된 사기 탐지, 안전 평가, 평점 시스템이 사람의 일할 기회를 끊을 수 있다면 ‘설명할 필요 없는 블랙박스’로 운영될 수 없다는 메시지를 보냅니다. 플랫폼은 적어도 다음과 같은 장치를 갖춰야 합니다.
1
2
- 명확한 고지: 자동화된 의사결정이 계정에 영향을 미치는지 이용자가 알 수 있어야 합니다.
- 실질적인 사람의 개입: 사람의 검토는 알고리즘 결과를 그대로 승인하는 형식에 그치지 않고, 오류를 찾아 바로잡을 수 있어야 합니다.
- 효과적인 이의제기: 영향을 받은 운전자가 결정에 이의를 제기하고 이해할 수 있는 설명을 받을 현실적인 방법이 있어야 합니다.
결국 쟁점은 플랫폼이 자동화를 사용할 수 있느냐가 아닙니다. 자동화가 사람의 일자리와 수입, 또는 필수적인 디지털 서비스 접근권을 좌우할 때 누가 책임을 지고 어떻게 설명할 것인가입니다. 이번 우버 사건은 유럽 규제 당국이 알고리즘의 판단을 개인정보 보호를 넘어 기술 거버넌스의 핵심 문제로 보고 있음을 보여줍니다.
1
2