디지털 개인정보 보호를 둘러싼 싸움
세계 최대 기술 기업 중 하나에 대한 인도 대법원의 이례적인 질책으로, 왓츠앱은 사용자 데이터 처리 방식을 근본적으로 바꾸라는 명령을 받았다. 대법원은 메시징 대기업에 3월 16일까지 동의 기반 체계를 도입해 인도 내 8억5,300만 명의 사용자가 개인정보를 실질적으로 통제할 수 있도록 하라고 시한을 정했다. 이번 대립은 시민의 디지털 권리에 대한 주권을 주장하려는 각국 규제 당국과 글로벌 기술 대기업 간 갈등이 커지고 있음을 보여준다. 왓츠앱이 인도에서 가족 간 대화부터 사업 거래, 정부 서비스에 이르기까지 사실상 모든 소통의 기반으로 쓰이는 만큼, 이번 결정은 당사자들을 넘어선 파장을 낳을 전망이다.
이번 사건의 쟁점은 왓츠앱이 2021년 도입한 논란의 개인정보 처리방침 개정이다. 개정안은 서비스를 계속 이용하려면 메타 계열사와 데이터를 공유하도록 사용자에게 요구했다. 광고 목적의 정보 공유를 거부할 수 있었던 기존 약관과 달리, 새 정책은 약관에 동의하거나 서비스 이용을 완전히 중단하라는 최후통첩을 내놓았다. 인도 경쟁위원회(CCI)는 이를 강하게 비판하며 2021년 3월 조사에 착수했고, 결국 시장 지배적 지위를 남용한 혐의로 메타에 약 2,500만 달러(213억1,400만 루피)의 과징금을 부과했다.
이달 초 대법원은 플랫폼의 데이터 처리 관행을 신랄하게 비판했다. 수리야 칸트 대법원장은 왓츠앱이나 메타가 인도 국민의 기본적인 개인정보 보호 권리를 “가지고 놀거나” 헌법을 “조롱하도록” 내버려 두지 않겠다고 경고했다. 재판부는 강제적인 데이터 공유를 “개인정보를 훔치는 그럴듯한 방법”이라고 규정하며, 개인 통신 정보가 맞춤형 광고에 어떻게 이용되는지 모르는 “침묵하는 고객들”에 대한 우려를 제기했다.
논란에 불을 지핀 정책
논란은 2021년 1월 4일 왓츠앱이 서비스 약관과 개인정보 처리방침 개정안을 발표하면서 시작됐다. 개정안은 메시징 서비스와 모회사 간 관계를 근본적으로 바꿨다. 새 규정에 따라 사용자는 상업 광고와 마케팅을 위해 전화번호와 연락처를 포함한 계정 정보를 페이스북 및 그 자회사와 공유하는 데 동의해야 했다. 동의 시한은 당초 2021년 2월 8일이었으나, 이용자 반발과 규제 당국의 압박에 따라 5월 15일로 연기됐다.
법률 전문가들은 2021년 정책이 이전 개정안과 결정적으로 달랐던 점으로, 서비스 개선 목적의 데이터 공유와 상업 광고 목적의 공유를 사용자가 구분할 수 있게 했던 세분화된 동의 절차를 없앤 것을 꼽는다. 2016년 체계에서는 기존 사용자가 개인정보 설정을 유지할 수 있었고, 신규 사용자는 확대된 약관에 동의하도록 해 동의 체계를 차등 적용했다. 왓츠앱은 이 구분을 없애 메타 서비스 전반의 데이터 생태계를 사실상 통합했다. 이에 따라 메시지 이용 패턴에서 수집한 정보가 사용자가 인스타그램이나 페이스북을 직접 이용한 적이 없더라도 해당 플랫폼의 맞춤형 광고에 활용될 수 있게 됐다.
디지털 권리 옹호 단체들은 이 정책이 대법원이 2017년 역사적 판결에서 인정한 기본권인 개인정보 보호권을 침해한다며 델리 고등법원에 신속히 이의를 제기했다. 청구인들은 왓츠앱이 실효성 있는 규제 감독 없이 메타 서비스 간 개인정보를 공유해 포괄적인 사용자 프로필을 구축하고 있다고 주장했다. 소송에 의견서를 제출한 인터넷 자유 재단은 메타데이터 수집 자체도 심각한 개인정보 보호 우려를 낳는다고 강조했다. 메시지 내용이 암호화돼 있더라도 사용자가 누구와 얼마나 자주 대화하는지에 관한 정보만으로도 민감한 사생활을 드러낼 수 있다는 것이다.
경쟁법과 데이터 보호의 만남
2021년 3월 시작된 인도 경쟁위원회의 조사는 국가 반독점 감시기구가 개인정보 보호를 비가격 경쟁의 한 형태로 명시적으로 다룬 첫 사례였다. CCI는 2024년 11월 결정문에서 플랫폼의 개인정보 처리방침이 “모호하고 광범위하며 범위가 불분명”해 정보 비대칭을 만들고, 이용자에게 불리하게 작용해 대체 서비스를 충분히 알고 선택할 수 없게 했다고 판단했다. 위원회는 메타가 인도에서 약 8억5,300만 명의 사용자를 보유하고 있으며, 비슷한 도달 범위와 네트워크 효과를 갖춘 경쟁자가 없는 오버더톱 메시징 앱 시장의 지배적 사업자라고 결론 내렸다.
CCI는 해당 행위가 2002년 경쟁법 제4조 제2항 (a)(i), (c), (e)에 따른 착취적·배제적 시장 지배력 남용에 모두 해당한다고 판단했다. 플랫폼은 사용자에게 강압적이고 불공정한 조건을 부과해 경쟁법을 위반했으며, 온라인 디스플레이 광고 시장에서 경쟁자의 시장 진입을 막는 한편 메시징 시장의 지배력을 활용해 광고 사업을 보호했다고 봤다. 위반의 중대성을 반영해 213억1,400만 루피의 과징금을 부과하고, 왓츠앱에 5년간 메타 계열사와 사용자 데이터를 공유하지 말 것과 투명한 거부 절차를 마련할 것을 명령했다.
이번 접근은 데이터 보호와 반독점 우려를 별개로 다루던 “분리주의적” 관점에서 벗어나, 개인정보 보호 수준의 저하를 소비자 후생의 침해로 보는 “통합적” 체계로 나아가는 인도 경쟁법 집행의 중대한 변화를 보여준다. 이번 결정은 독일 연방카르텔청의 2019년 판단에서 영향을 받았다. 당시 독일 당국도 페이스북이 여러 서비스에서 과도하게 데이터를 수집해 시장 지배력을 남용했다고 판단했고, 이 결정은 2023년 7월 유럽사법재판소에서 확정됐다. 인도 규제 당국은 경쟁법 원칙에만 의존하기보다 2023년 디지털 개인정보 보호법의 구체적인 조항을 직접 적용해 향후 집행을 강화할 수 있다.
항소심을 거친 사법 절차
CCI 결정 이후 왓츠앱과 메타는 국가회사법항소심판소(NCLAT)에 이의를 제기했다. 심판소는 2025년 11월 의견이 갈린 판결을 내놓아 과징금은 유지했지만, 광고 목적의 데이터 공유를 5년간 금지한 조치는 취소했다. NCLAT는 일률적인 금지보다 이용자의 선택권을 회복해 착취를 막는 것이 “핵심 원칙”이라고 판시했다. 필수적이지 않은 광고용 데이터 수집은 사용자의 명시적이고 철회 가능한 동의가 있을 때만 가능하다고 밝혔다.
부분적인 구제에 만족하지 못한 메타와 왓츠앱은 2026년 1월 대법원에 상고해 남은 제재를 뒤집어 달라고 요청했다. CCI도 광고 목적의 데이터 공유를 계속 허용한 NCLAT 결정에 맞서 별도로 교차항소를 제기했다. 2026년 2월 3일 열린 심리에서 수리야 칸트 대법원장과 조이말야 바그치 대법관, 비풀 엠 판촐리 대법관으로 구성된 재판부는 플랫폼의 시장 지배력과 데이터 처리 관행에 심각한 우려를 표했다.
대법원은 플랫폼의 지배력이 사실상 이용자에게 협상할 수 없는 약관을 받아들이도록 강요해 개인정보를 오용하는 독점 구조를 만든다고 지적했다. 메타와 왓츠앱을 대리한 선임 변호사 카필 시발은 왓츠앱이 2026년 3월 16일까지 사용자 동의와 관련한 NCLAT 지시를 전면 준수하겠다고 재판부에 약속했다. 이에 따라 대법원은 심판소 결정의 효력 정지를 요청한 임시 신청을 종결하고, 두 회사에 CCI에 이행 진술서를 제출하라고 지시했다. 경쟁법 위반 판단의 적법성을 다투는 본안 항소는 대법원에 계류 중이다.
왓츠앱의 항변과 기술적 주장
소송이 진행되는 동안 왓츠앱은 자사의 메시징 서비스가 종단 간 암호화를 적용해 메타 직원이나 제3자가 개인 메시지 내용을 볼 수 없다고 주장해 왔다. 대법원에 제출한 진술서에서 회사는 사용자가 선택형 기능을 이용하기로 한 경우에만 광고 목적으로 다른 메타 계열사와 데이터를 공유하며, 해당 기능을 사용하지 않으면 정보 공유도 이뤄지지 않는다고 밝혔다.
회사는 사용자에게 데이터 공유 거부권을 안내하고, 앱 설정의 눈에 잘 띄는 탭에서 선택 사항을 검토하거나 변경할 수 있도록 하겠다고 강조했다. 진술서에는 왓츠앱 서비스를 제공하는 것 이외의 목적으로 사용자 데이터를 다른 메타 계열사와 공유하는 일을 인도 내 서비스 이용 조건으로 삼지 않겠다는 내용도 담겼다. 향후 정책 개정도 이 요건을 준수하겠다고 덧붙였다. 왓츠앱은 디지털 개인정보 보호법 준수를 위한 계획도 마련하기 시작했다고 밝혔다.
그러나 독립적인 관찰자들은 메시지 암호화 여부와 관계없이 메타데이터 수집만으로도 광범위한 프로파일링이 가능하다며 이런 주장을 면밀히 살펴야 한다고 지적한다. 인터넷 자유 재단은 소통 패턴과 단체 가입 정보, 상호작용 빈도를 보여주는 메타데이터가 이용자의 건강 상태와 인간관계, 정치 활동에 관한 민감한 정보를 드러낼 수 있다고 주장했다. 미국에서 최근 제기된 소송들도 암호화 관련 주장을 문제 삼았다. 특정 조건에서 메타 직원이 메시지 내용에 접근할 수 있다는 의혹이 제기되면서, 왓츠앱이 사용하는 시그널 프로토콜의 독립적인 감사를 요구하는 목소리도 나왔다.
디지털 경제를 둘러싼 엇갈린 시각
이번 사건은 글로벌 기술 플랫폼 규제를 둘러싼 근본적인 긴장을 드러냈다. 디지털 권리 옹호자들은 인도에서 사실상 필수 기반시설처럼 기능하는 왓츠앱 같은 지배적 서비스가 네트워크 효과를 이용해 실질적인 대안도 제공하지 않은 채 개인정보를 거둬들여서는 안 된다고 주장한다. 이들은 의료 상담과 금융 거래 등 필수 서비스에 플랫폼을 의존하는 취약계층이 강압적인 사업 모델로 특히 큰 피해를 본다고 지적한다.
반면 일부 업계 관계자들은 메타데이터와 맞춤형 광고를 통해 수익을 창출할 권리를 옹호한다. 디지털 권리 활동가 니킬 파화는 광고가 무료 인터넷 서비스를 유지하는 정당한 사업 모델이라고 말한다. 그는 데이터 공유를 원하지 않는 이용자는 시그널이나 텔레그램 같은 대안으로 옮길 수 있으며, 왓츠앱의 메타 계열사 데이터 공유를 막는다면 구글의 통합 서비스에도 비슷한 제한을 적용해야 한다고 주장한다. 다른 분석가들은 메타가 왓츠앱을 광고 없이 수익화하지 않은 채 무기한 운영하리라고 기대하는 것은 기본적인 사업 논리를 무시하는 것이라고 지적한다. 왓츠앱 인수는 자선 행위가 아니라 상업적 가치를 실현하기 위한 전략적 결정이었다는 것이다.
핵심 내용
- 왓츠앱은 2021년 정책 개정에 이의를 제기한 개인정보 보호 소송에서 대법원의 압박을 받은 뒤, 2026년 3월 16일까지 사용자 동의 체계를 도입하기로 했다.
- 인도 경쟁위원회는 강압적인 데이터 공유 약관으로 시장 지배력을 남용했다며 2024년 11월 메타에 213억1,400만 루피(2,500만 달러)의 과징금을 부과했다.
- 2021년 정책은 2016년 약관에 있던 데이터 공유 거부 선택권을 없애 인도 내 왓츠앱 사용자 8억5,300만 명에게 메타와 데이터를 공유하거나 계정 접근 권한을 잃도록 강요했다.
- 대법원은 이 정책을 개인정보를 “훔치는 그럴듯한 방법”이라고 비판하고, 데이터 공유의 영향을 모르는 사용자를 이용하지 말라고 경고했다.
- 이번 사건은 인도 경쟁 당국이 개인정보 보호를 비가격 경쟁 요소로 명시적으로 다룬 첫 사례다. 데이터 보호와 반독점법을 연계하는 통합적 접근을 취했다.
- 국가회사법항소심판소는 과징금을 유지했지만 광고 목적 데이터 공유를 5년간 금지한 조치는 취소하고, 일률적인 금지보다 이용자 선택권을 중시했다.
