우버, 네덜란드서 자동화 알고리즘 개인정보 침해로 9.66억 달러 과징금

핵심 요약

- 네덜란드 개인정보보호청(AP)이 우버에 운전자 계정 자동 정지 시스템의 GDPR 위반으로 약 9.66억 달러(약 1조 2,900억원) 과징금 부과 - 자동화된 알고리즘에 의한 의사결정 과정에서 적법 절차 미준수 및 정보주체 권리 침해 인정 - AI 자동화 시스템 도입 시 개인정보보호 영향평가(PIA) 및 인간 개입 메커니즘 필수성 확인

주요 내용

로이터 통신이 입수한 2026년 8월 17일자 결정문에 따르면, 네덜란드 개인정보보호청(Autoriteit Persoonsgegevens, AP)은 우버 테크놀로지스(Uber Technologies)에 대해 EU 일반개인정보보호규정(GDPR) 위반으로 약 9.66억 달러 규모의 과징금을 부과했다. 이번 제재는 우버의 운전자 계정 자동 정지 시스템이 적법한 절차 없이 운영되어 수천 명의 운전자들의 생계권을 침해했다는 판단에 근거한다.

네덜란드 개인정보보호청의 조사 결과, 우버의 자동화 시스템은 사기 의심, 평점 하락, 정책 위반 등의 사유로 운전자 계정을 즉시 정지시켰으나, 이 과정에서 GDPR 제22조가 규정한 '자동화된 개별 의사결정'에 대한 보호 장치를 충분히 마련하지 않았다. 특히 정보주체인 운전자들에게 자동화 결정의 논리에 대한 설명, 이의제기 기회, 인간 개입 요청권 등이 제대로 제공되지 않았다는 점이 핵심 위반 사항으로 지적됐다.

이번 사건은 플랫폼 경제에서 AI 알고리즘이 개인의 경제활동에 미치는 영향력이 커지면서, 자동화 의사결정 시스템에 대한 규제 당국의 감독이 강화되고 있음을 보여준다. 우버 측은 결정에 대해 항소 의사를 밝혔으나, 이미 유럽 내 다수 규제기관들이 유사한 자동화 시스템에 대한 조사를 진행 중인 것으로 알려졌다.

EU의 AI법(AI Act)이 2025년 본격 시행된 이후, 고위험 AI 시스템에 대한 규제가 더욱 엄격해지고 있는 상황에서, 이번 사례는 기업들이 AI 자동화 시스템 도입 시 개인정보보호법제 준수를 최우선 과제로 삼아야 함을 시사한다.

전문가 시각

ISMS-P 관점에서 이번 사건은 자동화 시스템 운영 시 '2.8.3 개인정보 영향평가' 및 '2.3.2 개인정보 처리 단계별 안전조치'의 중요성을 재확인시킨다. 특히 플랫폼 사업자가 계정 정지, 서비스 차단 등 정보주체의 권리에 중대한 영향을 미치는 자동화 의사결정을 도입할 경우, 사전에 개인정보 영향평가를 수행하고 알고리즘의 투명성, 설명가능성, 이의제기 절차를 명확히 설계해야 한다. 우버 사례에서 드러난 것처럼 비즈니스 효율성을 위한 자동화가 법적 요구사항을 간과할 경우 천문학적 제재로 이어질 수 있다.

국내 기업들도 AI 기반 자동화 시스템 도입 시 개인정보보호법 제37조의10(자동화 평가 등)과 신용정보법상 자동화 평가 규제를 면밀히 검토해야 한다. 특히 ▲자동화 결정의 존재 고지 ▲처리 정보 및 기준 설명 ▲이의제기권 보장 ▲인간 개입 메커니즘 구축 등 4대 핵심 요소를 시스템 설계 단계부터 반영해야 한다. 아울러 AI거버넌스 체계 내에서 정기적인 알고리즘 영향평가(Algorithmic Impact Assessment)를 실시하고, 편향성·차별 가능성을 지속적으로 모니터링하는 것이 필수적이다.

CPPG·ISMS-P 연계 포인트

자동화된 개별 의사결정 (Automated Individual Decision-Making)
GDPR 제22조 및 국내 개인정보보호법 제37조의10에서 규정하는 개념으로, 인간의 개입 없이 알고리즘만으로 정보주체의 법적 지위나 중대한 영향을 미치는 결정을 내리는 것을 의미한다. 신용평가, 채용심사, 서비스 이용제한 등이 대표적이며, 정보주체는 이에 대한 설명 요구권, 이의제기권, 인간 개입 요청권을 보유한다.

개인정보 영향평가 (Privacy Impact Assessment, PIA)
ISMS-P 인증기준 2.8.3항 요구사항으로, 개인정보를 활용하는 새로운 시스템·서비스 도입 시 프라이버시 침해 위험을 사전에 식별·평가·완화하는 프로세스. 특히 AI·자동화 시스템, 민감정보 대량 처리, 프로파일링 등 고위험 처리활동에 대해서는 의무적으로 수행해야 하며, 평가 결과를 시스템 설계에 반영해야 한다.