노르웨이, 그린다 데이터 공유 이유로 마이크로소프트 Xandr에 960만 달러 벌금 부과

노르웨이 데이터보호당국이 법적 근거 없이 광고주와 Grindr 사용자의 민감한 데이터를 공유한 혐의로 마이크로소프트의 광고 부문인 Xandr에 9,200만 노르웨이 크로네(약 960만 달러)의 과징금을 부과했습니다. 이 벌금은 해당 기관이 기업에 부과한 역사상 최대 규모입니다.

결정을 내린 노르웨이 당국인 Datatilsynet은 해당 데이터에 사용자의 성정체성을 드러낼 수 있는 정보가 포함되어 있다고 주장했습니다. 최종 결정으로 노르웨이에서 6년 이상 진행되어 온 사건이 종결되었습니다.

Grindr 데이터가 수천 개의 입찰자에게 어떻게 유출되었는가

본 사안은 실시간 입찰(real-time bidding)과 관련이 있습니다. 이는 사용자가 앱을 열 때 밀리초 단위로 광고 공간을 판매하는 프로세스입니다. Datatilsynet에 따르면, 개인이 노르웨이에서 Grindr 앱을 실행하면 그들의 개인 데이터가 Xandr를 통해 전송되며, 잠재적으로 광고 업계의 수천 개 기업 및 기관과 공유됩니다. 이러한 기업들은 사용자에게 타겟팅된 광고를 제공하기 위해 경쟁했습니다.

Grindr는 게이, 바이섹슈얼, 트랜스젠더 및 퀴어 사용자를 대상으로 하기 때문에, 규제 기관은 앱 사용 기록만으로도 개인의 성정체성을 추론할 수 있다고 판단했습니다. 유럽의 데이터 보호 규정에 따라 이는 명시적인 동의 없이 처리할 수 없는 민감한 정보로 간주됩니다.

노르웨이 당국 은 Xandr가 필요한 동의를 얻지 못했다고 판시했습니다. 또한 해당 회사가 단순 중개자 역할을 하는 것이 아니라 Grindr와 함께 데이터 처리에 대한 공동 책임을 지고 있다고 규정했습니다. Xandr가 데이터 공유로부터 직접적인 금전적 이득을 본 점도 과태료 규모를 평가하는 데 중요한 요소였습니다.

앱을 비난하는 주장은 받아들여지지 않음

Xandr는 Grindr가 이미 사용자로부터 유효한 동의를 수집했다고 가정했다는 입장을 밝혔으나, 이 주장은 규제 기관에 의해 기각되었습니다.

“데이터 보호 책임은 타인에게 위임할 수 없다”라고 Datatilsynet 사무총장 Line Coll은 Tech Xplore가 인용한 당국의 성명에서 밝혔습니다. 각 회사는 자신이 확보한 데이터를 사용할 법적 근거를 독립적으로 확보하고 입증해야 한다고 주장했습니다.

Coll은 수천 명의 노르웨이 사용자의 민감한 개인 데이터가 불법적으로 공유되었다며, 이 위반 사례들이 특히 중대하다고 지적했다. PPC Land에 따르면, 데이터 공유는 2018년 7월부터 2020년 4월까지 진행되었으며, 당시 AppNexus로 알려졌던 해당 사업부가 Microsoft에 인수되기 전의 일이다. Xandr는 이제 상소심에서 이 판결에 이의를 제기할 수 있는 3주의 기간을 갖게 되었다.

노르웨이의 이번 결정은 2026년 초 프랑스에서 유사한 사건이 처리된 데 이어진 것이다. 프랑스 최고행정법원(Conseil d’Etat)은 리타겟팅 기업 Criteo에 대해 4,000만 유로의 벌금을 부과했으며, 동의 수집 책임이 파트너 웹사이트에 있다는 Criteo의 주장을 기각했다. 두 판결은 기업들이 데이터 보호에 대한 책임을 면제받을 수 없으며, 파트너사에 사용자 동의 수집을 의존할 수 없음을 명확히 한다.

2020부터 시작된 노르웨이에서의 불만

이 불만은 2020년 노르웨이 소비자위원회와 프라이버시 단체 noyb가 Grindr의 데이터 공유 관행에 대해 제기한 것이다. 이는 그해 접수된 세 건의 불만 중 하나로, 앱의 사용자 데이터 처리 방식과 이를 수신한 광고기술(adtech) 기업들을 모두 겨냥했다.

noyb의 데이터 보호 변호사 Felix Mikolasch는 이 판결이 종종 대중의 시야에서 벗어난 채 운영되는 Xandr와 같은 광고기술 기업들의 더 큰 책임성을 요구하게 될 수 있으며, 이는 유사 사례들에 있어 중요한 선례가 된다고 성명에서 설명했습니다.

노르웨이 소비자 협회의 디지털 정책 책임자 핀 뮈르스타드는 이번 결정이 사용자 추적을 의존하는 기업들에게 경고가 된다고 말했다. 이번 판결은 그라인드가 노르웨이에서 유사한 벌금을 faced던 이후 나온 것이다. 2025년, 노르웨이 법원은 해당 앱이 사용자의 민감한 개인정보를 불법적으로 공유했다는 이유로 6500만 크로네의 벌금 부과를 확정했다.

GuruFocus에 따르면, 이 과징금은 약 3조 9,700억 달러로 평가된 기업을 대상으로 합니다. 그러나 noyb는 유럽위원회가 제안한 디지털 오미버스(Digital Omnibus)가 GDPR의 온라인 추적 ID 처리 방식을 약화시킬 경우, 이 선례가 의도한 효과를 상실할 수 있다고 경고했습니다. 이 제안은 현재 유럽의회와 이사회에서 심의 중입니다.