* 단축 URL: https://bit.ly/3cUdr18

이 상 윤
고려대학교 ICR센터 연구원

1. 개요

2019년 2월 7일 독일 경쟁당국인 연방카르텔청(Bandeskartellamt, BKartA)은 소셜네트워크 시장의 지배적 사업자인 페이스북(Facebook)이 소비자의 개인정보를 착취하는 행위로 독일 경쟁법(GWB)을 위반하였다고 결정하였다.

2016년 초부터 독일 경쟁당국의 조사로 시작된 이번 사건은 회원국 내 사안임에도 불구하고 유럽연합은 물론 전 세계적으로도 주목을 받아왔으며, 특히 이번 결정은 유럽연합(EU) 주요 회원국에서 개인정보보호법 위반 행위에 대한 경쟁법 집행이 이뤄진 첫 사례는 점에서 중요한 의의를 갖는다. 또한 현재 페이스북은 결정에 불복하고 뒤셀도르프 고등법원에 항소할 계획을 밝힌 상황으로 이번 사건은 앞으로도 디지털 시대 경쟁법 집행에 관한 수많은 논의를 불러일으킬 것으로 보인다.

이하에서는 연방카르텔청의 보도자료와 보충 배경설명 자료를 통해 이번 결정의 주요 내용들에 대해 살펴보고 또 이후 발표된 반응들을 중심으로 이번 사건의 의의와 시사점을 간략히 살펴보고자 한다.

2. 결정의 주요 내용

2.1. 이 사건 행위

문제가 된 행위는 페이스북이 그동안 제3자로부터 페이스북 이용자들의 개인정보를 수집하고 이 정보들을 해당 이용자의 페이스북 계정에 연계 ⋅ 통합시켜 이용해온 행위다. 여기서 ‘제3자'란 페이스북 그룹의 자회사인 왓츠앱, 인스타그램뿐만 아니라 ‘좋아요’, ‘페이스북으로 로그인', ‘페이스북 애널리틱스' 등 페이스북의 ‘비지니스 툴’들을 이용하면서 페이스북의 API를 연동하고 있는 제3의 웹사이트를 모두 포함한다. 페이스북은 그동안 이들 웹사이트에 이용자가 접속하면 곧바로 이들의 정보가 페이스북에 제공되도록 하면서 이를 해당 이용자의 페이스북 계정과 통합시켜 이용해 왔는데, 이러한 행위를 경쟁법 위반으로 볼 수 있는지 여부가 이 사건의 핵심이었다.

2.2. 경쟁법 위반 여부

2.2.1. 페이스북의 시장지배적 지위(dominance) 여부

연방카르텔청은 독일의 (일반) 소셜네트워크 시장을 관련 시장으로 획정하면서, 여기서 전체 이용자들의 80-90% 이상을 점유하고 있는 페이스북은 시장지배적 사업자에 해당한다고 판단하였다.

페이스북과 유사한 사업자들(스냅쳇(SnapChat), 유튜브(YouTube), 트위터(Twitter), 링크드인(LinkedIn), 씽(Xing) 등)은 관련 시장에 포함되지 않았는데, 그 이유로 연방카르텔청은 ‘이들이 제공하는 서비스는 부분적으로 특화된 소셜네트워크로서 페이스북과 직접적인 경쟁관계에 있지 않고 수요대체성이 충분히 크다고 볼 수도 없기 때문에 이들은 같은 관련 시장 안에 포함시킬 수 없다’고 설명하였다. 또 설사 이들을 같은 시장 안에 포함시킨다고 하더라도 페이스북 그룹은 자회사로 인스타그램(Instagram)과 왓츠앱(WhatsApp)을 보유하면서 거의 모든 서비스들에서 가장 많은 이용자 수를 보유하고 있기 때문에 충분히 지배력(dominance)을 갖는 것으로 볼 수 있다고 덧붙이기도 하였다.

물론 이용자 수에 기반한 높은 시장점유율 외에도 2017년 제9차 개정을 통해 경쟁법(GWB)에 명문화된 다양한 사항들(이상윤, 2017), 예컨대, 이용자 수에 기반한 높은 시장점유율 외에도 경쟁 관련 데이터에 대한 접근, 네트워크 효과에 기반한 규모의 경제, 이용자들의 소비 경향 (멀티호밍 여부와 전환 비용 등), 시장에서의 혁신 경쟁 압력 여부 등 다양한 사정들이 고려되었다.

2.2.2. 남용성(abuse) 판단

카르텔청은 먼저 페이스북의 광범위한 개인정보의 수집, 통합, 이용 행위가 개인정보보호법에 위반된다는 점을 확인하였다. 즉, 이 사건 정보처리 행위에 대해 페이스북 이용자들은 제대로 인지하지도 못하고 있었고, 또 이용자들은 이용약관상 위 조건에 동의하지 않으면 페이스북 서비스 자체를 이용할 수 없도록 되어 있었기 때문에, 자발적 동의(voluntary consent)가 보장되지 않는 한 위와 같은 개인정보의 수집 및 이용 행위는 유럽의 개인정보보호 관련 법제(General Data Protection Regulation, GDPR)에 위반된다고 판단한 것이다.

카르텔청은 이러한 판단 위에서 페이스북이 그동안 위법한 정보처리 행위를 통하여 광범위한 정보들을 실질적으로 아무런 제한 없이 수집, 결합함으로써 이용자 개개인에 특화된 데이터베이스를 구축할 수 있었고 이를 통해 마켓파워를 얻게 되었다고 보고 위와 같은 행위는 독일 경쟁법상 금지되는 착취남용에 해당한다고 결정하였다. 특히 연방카르텔청은 이용자들의 개인정보 통제권의 상실(loss of control)이라는 사실상의 손해를 입었다는 점과 페이스북이 이 사건 개인정보보호법 위반행위로써 서비스 이용자 측면과 광고 서비스 측면 양면에서 경쟁상 우위를 점하며 자신의 시장지배력을 강화해왔다는 점을 지적하였다.

경쟁법 위반 여부를 판단하기 위해 개인정보보호법상의 원칙을 원용하는 것에 대하여 연방카르텔청은 독일 연방대법원의 판례에 따르면 거래조건의 착취성을 판단하기 위해 민사법 원칙들(civil law principles)이 적용될 수 있다는 점을 언급하면서, 마찬가지로 페이스북 이용약관의 경쟁법 위반 여부를 판단하기 위해 개인정보보호법 원칙들이 적용될 수 있다고 설명하였다. 다만, 이러한 접근방식이 오직 독일연방대법원에서만 확립된 판례라는 점을 고려하여 EU 경쟁법은 적용하지 않고 독일 경쟁법(제19조)만 적용한다고 덧붙였다.

2.2.3. 개인정보보호법과 경쟁법의 관계

카르텔청은 먼저 ‘이용자들의 개인정보에 대한 접근이 사업자의 시장지위를 결정하는 데 있어 필수적인(essential) 요소가 되는 경우에는 해당 사업자가 이용자들의 개인정보를 어떻게 취급하는지 문제는 정보보호 당국뿐만 아니라 경쟁 당국도 관련이 있는 문제’라고 주장하면서, 이런 맥락에서 연방카르텔청은 관련 시장의 정보처리 측면에서 페이스북이 갖고 있는 거대한 개인정보 수집인으로서의 시장지위를 온라인 광고 측면에 대한 조사 결과의 프레임워크 안에서 면밀히 고려하였다고 밝혔다.

또한 개인정보에 대한 접근을 시장 지배의 관련 요소로서 명시하고 있는 독일 경쟁법 제18조 제3a항을 언급한 뒤, 디지털 경제에서는 개인정보의 수집과 처리 및 이와 관련된 거래조건들이 경쟁과 밀접하게 관련이 있는 사업행위에 해당한다는 사실을 법에 반영시키고자 한 것이 입법 의도라는 점도 덧붙였다.

연방카르텔청은 ‘시장지배적 사업자의 정보처리행위를 감시 ⋅ 감독하는 것은 정보보호 당국의 역할만으로는 해결되지 않는 경쟁 당국의 필수적인 임무이며 경쟁 당국은 시장지배적 사업자의 개인정보 수집 및 이용에 관한 약관이 문제 되는 경우 개인정보보호법 상의 원칙들이 고려해야만 하고 이 지점에서 경쟁법과 개인정보보호법의 교차점이 존재한다’고 밝혔다.

2.2.4. 결정

앞서 살핀 점들을 고려하여 연방카르텔청은 페이스북의 행위에 대해 다음과 같이 결정하였다:

(i)  페이스북이 소유한 왓츠앱이나 인스타그램에서의 개인정보 수집은 가능하지만 이들을 페이스북 이용자 계정에 연계시키는 것은 이용자의 자발적 동의(voluntary consent)를 받는 경우에만 가능하다. 동의가 없는 경우 해당 개인정보는 왓츠앱과 인스타그램 각각의 서비스와 관련된 목적으로만 이용되어야 하고 페이스북 개인정보와 결합하여 처리될 수 없다.

(ii) 제3의 웹사이트에서 개인정보를 수집하여 이들을 페이스북 이용자 계정에 연계시키는 행위 역시 이용자가 자발적 동의를 제공한 경우에만 가능하다.

연방카르텔청은 이러한 시정조치 외에 별도의 과징금을 부과하지는 않았는데, 그 이유로 ‘이번 결정의 목적은 사업자의 미래 행동을 경쟁자들 및 이용자들 모두에게 이로운 방향으로 변화시키고 이를 유지시키는 데 있기 때문이며 또한 이번 사건과 같이 복잡하고 수많은 법적 경제적 이슈들이 포함된 경우에는 시정조치(administrative proceedings)가 적절하기 때문’이라고 설명하였다.

3. 의의 및 시사점

이번 연방카르텔청의 결정은 어느 정도 예견되었던 것으로 2017년 예비조사결과 발표를 전후해서 이미 많은 논의가 이뤄져 왔다. 예상대로 이 사건 결정 직후에도 다양한 반응들이 나왔으며 특히 관련시장 획정의 적절성, 페이스북의 시장지배력, 남용성 판단, 경쟁 당국 개입의 적절성 여부 등에 대해 의미 있는 비판들이 많이 제기되었다.

첫째로, 회원국 경쟁당국들의 개입은 EU의 개인정보보호법인 일반정보호규칙(GDPR)의 통일적 해석을 더욱 어렵게 만들 위험이 있다는 지적이 제기되고 있다. 일반규칙(GDPR) 체제 하에서 현재 각 회원국은 개인정보보호법 위반행위에 대한 전문적인 판단을 내리는 정보보호 당국을 두고 있고, 특히 초국경적인 정보처리 행위에 대해서는 (원칙적으로) 정보처리자의 주된 사무소가 존재하는 곳의 정보보호 당국이 주 감독당국(lead supervisory authority)이 되어 법 위반 여부를 판단하도록 하고 있다(이른바 “one-stop-shop mechanism”). 이런 메커니즘의 주목적은 단일 시장의 관점에서 EU 개인정보보호법(GDPR)의 통일적 해석을 위한 것으로 볼 수 있는데, 이번 사건처럼 각 회원국의 ‘경쟁’ 당국이 개인정보보호법(GDPR)의 위반 여부를 판단하기 시작하면 이러한 목적은 상당한 위협을 받게 될 수 있다는 것이다.

둘째로, 개인정보 통제권의 상실이 어떻게 경쟁법 위반이 되는지에 대해 여전히 설득력 있는 근거가 제시되지 않았다고 보는 견해가 있다. Justus Haucap 교수는 (집중된 시장의) 큰 사업자들이 (경쟁시장의) 작은 사업자들보다 더욱 체계적이고 계획적인 방법(systematic fashion)으로 개인정보보호법을 위반한다는 증거를 찾기 어렵고 오히려 반대의 경우가 많다는 점을 지적하면서, 개인정보보호법의 위반을 시장지배력 남용의 판단기준으로 보기는 어렵다고 비판하였다. 그는 또 불투명성으로 인해 이용자들이 자신의 개인정보가 어떻게 수집 이용되는지에 대해 알지 못하는 상황은 정보 불균형(asymmetric information)의 문제로서 정보 불균형은 경쟁시장에서도 발생하는 것으로 시장지배력과 필연적 관계가 없다는 점을 지적하기도 하였다.

셋째로, 페이스북의 시장지배력과 관련한 비판이다. 페이스북과 같은 소셜 네트워크 서비스의 경우 시장의 동태적 성격과 무료로 제공되는 서비스의 특성, 네트워크 효과의 감소, 멀티호밍 가능성 등으로 인해 시장 획정에는 큰 어려움이 존재한다. 같은 맥락에서 Jörg Witting은 ‘현재 시점의 시장 지위와 네트워크 효과 그리고 규모의 경제는 해당 산업의 역동적이고 젊은 소비층의 행동 변화에 굉장히 민감한 특성으로 인해 비교적 쉽게 도전받을 수 있다’는 점을 지적하면서 이를 고려하면 페이스북 서비스의 관련 시장은 너무 좁게 획정된 것으로 보인다는 비판적 견해를 밝히기도 하였다.

최근 EU에서는 일반정보보호규칙(GDPR)의 본격 시행과 함께 디지털 단일시장을 위한 경쟁 정책의 변화 움직임도 매우 활발하게 전개되고 있는 상황이다. 이번 결정에서 고려된 요소들과 법 위반의 근거로 제시된 법리들은 유럽연합은 물론 다른 경쟁 당국들에게도 적지 않은 영향을 미칠 것으로 보이며 이와 관련된 논의들에 대해서는 앞으로도 계속 주시할 필요가 있을 것으로 보인다.

※ 주요 참고자료

이상윤, 독일 경쟁제한방지법(GWB) 9차 개정법의 주요내용, ICR센터 유럽연합 경쟁법 동향 시리즈8, 2017. 7. 5.

이상윤, EDPS, 빅데이터 시대 통일적 법집행에 관한 의견서 발표, ICR센터 유럽연합 경쟁법 동향 시리즈2, 2016. 11. 3.

Bundeskartellamt, 'Press release: Bundeskartellamt prohibits Facebook from combining user data from different sources' (Feb 7, 2019)
<https://www.bundeskartellamt.de/SharedDocs/Meldung/EN/Pressemitteilungen/2019/07_02_2019_Facebook.html>

Bundeskartellamt, 'Bundeskartellamt prohibits Facebook from combining user data from different sources - Background information on the Bundeskartellamt's Facebook proceedings' (Feb 7, 2019)
<https://www.bundeskartellamt.de/SharedDocs/Publikation/EN/Pressemitteilungen/2019/07_02_2019_Facebook_FAQs.pdf?__blob=publicationFile&v=5>