사실관계
보도에 따르면 2023년 9월 스페인 알멘드랄레호(Almendralejo)에서 여학생들의 사진을 AI로 조작해 얼굴을 나체 이미지에 합성한 사진이 SNS로 퍼졌다. AEPD 결정은 공개된 정보를 근거로 이미지가 일부 인터넷 포털에도 게시된 것으로 알려졌다고 적고 있다. AEPD는 2023년 9월 20일 사전조사에 착수했고, 같은 해 10월 2일 관련 정보주체 중 한 명이 민원을 제기했다. AEPD는 검찰로부터 받은 정보를 토대로 메시징 그룹을 통한 유포에 가담한 사람들을 특정했다. 보도에 따르면 이 사건은 바다호스 소년법원에서도 다루어졌고, 법원은 미성년자 15명의 책임을 인정해 1년의 보호관찰을 명했다. AEPD는 2025년 3월 17일 그중 한 명에 대한 제재 절차를 개시했다.
쟁점
쟁점은 AI로 조작한 사진을 유포하는 행위가 EU 일반개인정보보호규정(GDPR)상 개인정보 처리에 해당하는지였다. 먼저 알아볼 수 있는 얼굴이 담긴 조작 이미지가 개인정보에 해당하는지가 문제 되었다. 다음으로 메시징 그룹에서 이러한 이미지를 공유한 사람을 개인정보처리자(controller)로 볼 수 있는지가 검토되었다. 마지막으로 GDPR 제6조 제1항의 적법 근거 가운데 해당하는 것이 있는지, 그리고 처리 대상이 강화된 보호를 받는 사람들이라는 점을 어떻게 고려할지가 문제 되었다.
판단
AEPD는 특정인을 식별하거나 식별할 수 있게 하는 이미지는 개인정보이며, AI로 조작한 사진을 유포하는 것은 GDPR 제4조 제2호의 처리에 해당한다고 보았다. 메시징 그룹에서 이미지를 공유한 사람은 그 활동의 목적과 수단을 결정했으므로 개인정보처리자에 해당한다. 이 처리에는 제6조 제1항의 적법 근거가 전혀 없었고, 제83조 제5항에 따라 2,000유로의 과징금이 예정되었다. 처리자의 법정대리인은 2025년 4월 5일 과징금을 납부했고, 이는 책임을 인정한 것으로 처리되었다. 20%씩 두 차례 감경이 누적 적용되어 최종 금액은 1,200유로가 되었다. AEPD는 위반을 확인하고 절차를 종결했으며, 이 결정은 행정 절차상 확정되었다.
의의
이 결정은 AI로 만든 성적 합성 이미지의 유포를 형사법뿐 아니라 개인정보 보호법의 문제로도 다루었다. AEPD는 특정인을 알아볼 수 있게 하는 AI 조작 이미지를 개인정보로 보았고, 메시징 그룹을 통한 유포에 가담한 사람을 개인정보처리자로 보았다. 언론은 이를 개인정보 감독기관이 이러한 이미지 유포에 과징금을 부과한 첫 사례 가운데 하나로 보도했다. 이 결정은 GDPR이 이런 콘텐츠를 퍼뜨린 개인 이용자에게도 적용될 수 있음을 보여 준다.
관련 절차
보도에 따르면 AEPD는 사건에 관련된 다른 미성년자 최소 한 명에게도 과징금을 부과했고, 그 변호인은 같은 행위를 소년법원과 행정 절차에서 이중으로 처벌할 수 없다며 이의를 제기했다. 반면 이 항목의 사건에서는 과징금이 납부되었고 행정상 불복은 포기되었다.