이탈리아, 메타에 8억500만 유로 과징금…페이스북 사진 추천 동의 따로 받으라

이탈리아 개인정보보호 당국 가란테(Garante)가 11월 14일 메타 플랫폼스 아일랜드에 과징금 8억500만 유로를 부과했다고 발표했다. 당국은 이탈리아의 안드로이드용 페이스북이 게시물을 추천하기 위해 휴대전화 갤러리의 사진·영상과 관련 정보를 읽으면서 그 목적에 대한 동의를 따로 받지 않았다고 판단했다.

메타는 60일 안에 갤러리 추천을 기본값에서 끄고 별도 동의 절차를 마련해야 한다. 기존에 허용한 이용자도 기본값 변경 대상이다. 이용자는 피드를 보면서 휴대전화에 저장한 사진을 게시물로 추천받을지 따로 결정하게 된다.

한 가지 갤러리 권한에 묶인 여러 용도

볼차노 소비자보호센터는 2025년 7월 페이스북 설정에서 확인한 두 종류의 갤러리 추천을 공개하고 당국에 문제를 제기했다. 센터가 읽은 항목 중 하나는 사진을 엮어 영상 효과나 장면 전환을 넣은 편집물을 제안하는 기능이었다. 다른 항목은 이용자가 페이스북을 둘러보다가 게시할 만한 사진과 영상 원본을 마주치게 하는 기능이었다. 이번 조사는 2023년부터 제공된 후자의 접근 방식을 다뤘다.

가란테 조사에서 사진·동영상·관련 정보를 읽는 권한은 여러 기능에 공통으로 적용됐다. 당국은 그 요청에 붙은 포괄적인 안내로는 추천 기능까지 허용한다는 점을 알기 어려웠다고 판단했다. 이용자가 게시물에 사진 한 장을 붙이려고 갤러리를 여는 상황을 생각할 수 있다. 이때 사용자가 고른 파일의 범위와 피드에서 볼 사진을 고르기 위해 앱이 읽을 수 있는 갤러리의 범위는 서로 다를 수 있다.

구글 개발자 문서에 따르면 안드로이드 14에는 사진과 영상 중 이용자가 고른 항목만 앱에 보여 줄 수 있는 접근 방식이 있다. 전체 접근을 허용하는 경우와 달리, 어느 파일에 접근하는지를 기기에서 제한할 수 있다. 기기가 어떤 파일을 앱에 내어 줄지 정하는 과정과, 앱이 그 파일을 어떤 기능에 쓰는지 설명하고 동의를 받는 과정도 각각 다르다. 유럽데이터보호이사회는 동의를 받을 때 자료를 무슨 목적으로 어떻게 처리하는지를 알리고, 용도가 여럿이면 이용자가 용도마다 선택할 수 있게 하라고 설명한다.

AI 학습은 조사 범위 밖, 클라우드 편집은 별도 검토 가능

가란테는 사진의 AI 학습 활용 여부를 이번 조사에 포함하지 않았다고 밝혔다. 메타는 해당 활용을 부인했다고 당국은 전했다. 가란테가 적용한 이탈리아 개인정보보호법 제122조는 전자프라이버시 지침을 국내법에 반영한 조항이다. 이탈리아 법은 단말에 이미 저장된 정보에 접근할 때도 동의를 받도록 규정한다. 이용자가 명시적으로 요청한 서비스를 제공하기 위해 꼭 필요한 접근이나, 통신 전달에만 필요한 접근 등은 조항에 예외로 명시돼 있다. 당국은 이번 갤러리 추천에서 정보가 단말 밖으로 전송됐는지와 별개로 접근 단계의 동의가 필요하다고 판단했다.

메타는 4월 유럽연합과 영국에서 별도의 사진 편집 추천을 배포하기 시작했다. 이 기능은 이용자가 선택해 켜면 갤러리의 사진과 영상에서 골라낸 장면으로 콜라주나 편집물을 제안한다. 결과는 피드나 스토리, 추억 메뉴에서 볼 수 있다고 회사는 설명했다. 6월에는 AI를 활용해 사진에서 잘라낸 부분을 모아 붙인 콜라주와 영상 전환 효과를 추가한다고 발표했다. 가란테는 새 클라우드 처리 기능을 향후 별도로 살필 수 있다고 했다.

메타는 4월 공지에서 제안이 이용자 본인에게만 표시되며 게시 여부는 본인이 정한다고 밝혔다. 회사 설명에 따르면 갤러리 자료는 광고 타기팅에 쓰이지 않는다. AI 개선에는 이용자가 게시한 사진이나 메타의 AI 기능과 상호작용하며 직접 공유한 자료가 쓰일 수 있다. 이 공지에서 설명한 데이터 이용 조건은 2026년 새 기능에 관한 메타의 설명이다.

가란테는 과징금을 산정하며 이탈리아 안드로이드 이용자 약 2,000만 명이라는 규모를 고려했다. 이는 휴대전화에서 실제로 읽힌 자료를 파일 단위로 집계한 결과가 아니다. 가란테는 앱에 기존 추천의 목적과 갤러리 접근 사실, 기능을 끄는 방법을 분명하게 표시하라고도 했다. 공개 문서에는 새로운 동의 화면의 디자인이나 앱 업데이트 버전이 제시되지 않았다.

메타는 30일 안에 이행을 위해 시작한 조치를, 90일 안에 실제로 취한 조치를 당국에 알려야 한다. 메타가 60일 안에 시정하지 않으면 유효한 동의를 받지 못한 이용자에게 추천을 켤 수 없다. 가란테의 11월 14일 공개 발표에는 기한을 세는 기준일이 명시되지 않았다.