메타 273조원 벌금 위기…COPPA 위반 첫 재판, AI 모델 삭제 요구까지

핵심 요약

- 메타가 아동온라인개인정보보호법(COPPA) 위반으로 최대 273조원 벌금 소송에 직면, 2026년 8월 첫 재판 진행 중 - SNS 중독 유발 알고리즘 운영과 아동 개인정보 불법 수집·활용 혐의로 AI 모델 삭제 요구까지 포함 - 개별 피해자 중심 소송에서 시스템적 아동보호 의무 위반을 다루는 새로운 규제 패러다임으로 전환

주요 내용

메타(Meta)가 아동온라인개인정보보호법(COPPA) 위반으로 미국에서 제기된 소송의 첫 재판을 맞이하며 최대 1930억 달러(약 273조원) 규모의 벌금 위기에 처했다. 이번 소송은 메타가 청소년 이용자의 중독을 유발하는 알고리즘을 의도적으로 설계·운영했으며, 13세 미만 아동의 개인정보를 부모 동의 없이 수집·활용했다는 혐의를 다루고 있다.

특히 원고 측은 메타가 수집한 아동 개인정보로 학습된 인공지능(AI) 모델까지 삭제할 것을 요구하고 있어 주목된다. 이는 단순한 금전적 배상을 넘어 불법 수집된 데이터로 구축된 AI 시스템 자체의 적법성을 문제 삼는 것으로, AI 시대 개인정보보호 규제의 새로운 방향을 제시한다. 아동 데이터로 학습된 추천 알고리즘이 다시 아동을 타깃팅하는 악순환 구조가 법적 쟁점이 되고 있다.

이번 소송은 기존의 개별 이용자 피해 배상 중심에서 벗어나, 플랫폼 사업자의 시스템적 아동보호 의무 위반을 정면으로 다룬다는 점에서 의미가 크다. COPPA는 13세 미만 아동의 온라인 개인정보 수집 시 부모 동의를 의무화하고 있으나, 메타는 연령 확인 절차의 미흡함과 의도적 회피 가능성을 지적받아 왔다.

법원의 판결은 2026년 하반기 중 나올 것으로 예상되며, 판결 결과는 글로벌 빅테크 기업들의 아동 개인정보 처리 관행에 중대한 영향을 미칠 전망이다. 특히 AI 모델 삭제 요구가 받아들여질 경우, 불법 수집 데이터로 학습된 AI 시스템의 운영 중단이라는 선례가 만들어져 업계 전반의 데이터 거버넌스 체계 재정비가 불가피할 것으로 보인다.

전문가 시각

ISMS-P 심사 실무 관점에서 이번 사건은 AI 시대 개인정보 생명주기 관리의 중요성을 극명하게 보여준다. 많은 기업들이 데이터 수집 단계의 적법성 확보에는 주력하지만, 수집된 데이터가 AI 학습에 활용되고 모델에 내재화된 이후의 추적성·삭제 가능성에 대해서는 간과하는 경우가 많다. 메타 사례는 초기 수집 단계의 위법성이 AI 모델이라는 파생 자산 전체를 무용화시킬 수 있음을 보여주며, 특히 아동·민감정보를 다루는 서비스는 '삭제권 실효성'을 AI 학습 단계까지 확장해 설계해야 한다.

국내 기업들도 아동·청소년 대상 서비스 제공 시 개인정보보호법상 법정대리인 동의 의무(만 14세 미만)와 ISMS-P 인증기준의 아동 개인정보 보호 통제항목을 재점검해야 한다. 특히 AI 기반 추천·맞춤형 서비스는 프로파일링에 해당해 별도 동의가 필요하며, 아동 데이터 학습 여부를 명확히 문서화하고 삭제 요구 시 모델 재학습 또는 영향도 평가 프로세스를 사전 구축해야 한다. 연령 확인 수단의 실효성 확보와 함께, AI 모델 학습 데이터의 출처·적법성을 입증할 수 있는 데이터 계보(Data Lineage) 관리 체계 마련이 시급하다.

CPPG·ISMS-P 연계 포인트

아동 개인정보 보호 강화 (개인정보보호법 제22조)
만 14세 미만 아동의 개인정보 처리 시 법정대리인 동의 필수. 동의 획득 절차의 실효성 확보와 연령 확인 수단의 적정성이 핵심이며, AI 프로파일링 등 자동화 처리 시 별도 동의 및 아동 권리 보호 조치 필요.

개인정보 생명주기 관리 (ISMS-P 인증기준 2.8.1)
개인정보의 수집·이용·제공·파기 전 단계에 걸친 통제 필요. AI 학습 데이터로 활용된 개인정보는 모델 내 잔존 가능성을 고려해 삭제권 행사 시 모델 영향도 평가 및 재학습 절차 포함한 생명주기 관리 체계 수립 필요.