사실관계
메타의 새 개인정보처리방침은 회사 웹페이지에 따르면 2024년 6월 26일 시행되었다. 이에 따르면 브라질 이용자가 페이스북과 인스타그램에 공유한 사진·음성·이미지 속 정보를 포함한 콘텐츠가 메타의 생성형 AI 시스템을 학습시키고 개선하는 데 쓰일 예정이었다. 처리 대상에는 다른 사람이 올린 이미지나 녹음에 담긴 비이용자의 정보도 포함되었다. 처리에 반대할 수 있는 옵트아웃 절차는 찾기 어려웠고 여러 단계를 거쳐야 했다. 브라질 국가개인정보보호청(ANPD) 조사총괄국은 메타에 대한 조사 절차를 개시하고 이사회에 예방조치를 요청했다. 기술 검토 문서에 따르면 브라질의 페이스북 활성 이용자는 약 1억 200만 명이었다.
쟁점
이사회는 메타의 생성형 AI 모델 학습을 위한 개인정보 처리가, 조사가 끝나기 전에 예방조치로 중단시켜야 할 만큼 중대하고 회복할 수 없거나 회복이 어려운 손해의 임박한 위험을 초래하는지 판단해야 했다. ANPD는 브라질 개인정보보호일반법(LGPD) 위반 가능성을 네 가지로 보았다. 첫째는 민감정보가 처리될 수 있는데도 정당한 이익을 법적 근거로 삼은 점이다. 나머지는 처리방침 변경에 관한 투명성 부족, 정보주체의 권리 행사에 대한 과도한 제약, 아동·청소년 개인정보를 적절한 보호장치 없이 처리한 점이었다.
판단
이사회는 2024년 7월 2일, 추후 결정이 있을 때까지 메타의 새 개인정보처리방침 중 생성형 AI 학습을 위한 개인정보 이용 부분의 효력을 브라질에서 즉시 정지하도록 명했다. 비이용자의 정보를 포함해 모든 메타 제품에서 이루어지는 해당 목적의 개인정보 처리도 중단하도록 했다. 이를 이행하지 않으면 하루 5만 헤알의 벌금이 부과된다. 메타는 5영업일 안에 처리방침에서 해당 부분을 삭제했음을 보여 주는 자료와 처리 중단을 확인하는 서명된 확인서를 제출해야 했다. 이사회는 이번 판단이 예비적 검토에 따른 것이며 구체적인 위법 여부는 조사 절차에서 가려진다고 밝혔다.
의의
이 결정은 개인정보 감독기관이 긴급 예방조치로 대형 플랫폼의 AI 학습용 개인정보 처리를 멈춘 사례다. ANPD는 법적 근거, 옵트아웃 절차의 편의성, 아동 개인정보 처리를 함께 검토했다. ANPD는 이후 메타가 제출한 이행계획을 승인하고 예방조치의 효력을 정지했다. 이 계획에는 이용자 통지, 반대권 행사 절차 간소화, 미성년자 계정의 학습 제외가 담겼고, 조사 절차는 계속되었다.
관련 절차
이사회는 2024년 7월 9일 메타의 재검토 요청에도 조치를 유지하면서 처리 중단을 확인하는 서명된 확인서의 제출 기한을 5영업일 연장했다. 2024년 8월 말에는 메타의 수정 이행계획을 승인하고, 계획을 전부 이행하는 것을 조건으로 예방조치의 효력을 정지했다. 계획에 따르면 18세 미만 이용자 계정의 데이터는 학습에 쓰지 않으며, 처리를 시작하기 최소 30일 전에 이용자에게 통지해야 한다.