사실관계
미국 델라웨어주 법인인 클리어뷰 AI(Clearview AI Inc.)는 크롤러로 공개된 인터넷에서 사람의 얼굴 이미지를 수집하고, 알고리즘으로 얼굴 벡터를 만들어 수백억 장 규모의 검색 가능한 데이터베이스에 저장한다. 회사는 국가안보와 범죄 수사 분야의 공공·민간 고객에게 이 데이터베이스 이용권을 판매한다. 영국 정보위원회(ICO)는 2022년 5월 18일 GDPR과 영국 GDPR의 여러 조항을 위반했다고 보고 시정명령과 함께 7,552,800파운드의 과징금을 부과했다. 1심 심판소(First-tier Tribunal)는 선결 쟁점에 관해 2023년 10월 17일 해당 처리가 두 규정의 물적 적용범위 밖에 있으므로 ICO에 관할권이 없다고 판단했다. ICO는 이에 불복했다.
쟁점
상소심에서는 두 가지 관할 문제가 다투어졌다. 첫째는 GDPR 제2조 제2항 (a)호(영국 GDPR에서는 이에 대응하는 제2조 제1항 (a)호)가 EU법의 적용범위 밖에 있는 활동 과정에서 이루어지는 처리를 적용 대상에서 제외하는데, 이 예외가 외국 수사·안보기관에 서비스를 제공하는 민간 기업의 처리에도 미치는지였다. 클리어뷰는 자신의 처리가 고객의 본질적인 국가기능과 맞물려 있으므로 국가 간 예양(comity)에 비추어 규제 대상이 될 수 없다고 주장했다. 둘째는 영국에 사업장이 없는 기업이 영국 내 사람들의 행태 모니터링과 관련된 처리를 한다는 이유로 제3조 제2항 (b)호에 따라 규율되는지였다. 실제 검색은 고객이 한다는 점도 이 쟁점에 영향을 미쳤다.
판단
상급심판소는 2025년 10월 6일 ICO의 상소를 받아들였다. 제2조 제2항 (a)호의 예외는 회원국이 EU에 권한을 이양하지 않고 스스로 유보한 활동에만 적용되며, 고객의 국가기능과 맞물린 제3자의 처리까지 제외하지는 않는다고 보았다. 제3조 제2항 (b)호의 행태 모니터링은 넓게 해석해야 한다. 따라서 이후 다른 개인정보처리자가 프로파일링에 활용할 것을 염두에 두고 데이터를 자동으로 수집·분류·저장하는 수동적 활동도 여기에 포함될 수 있고, 사람의 능동적 감시는 필요하지 않다. ‘관련된’이라는 문언도 다른 처리자의 모니터링과 연결된 처리까지 포괄한다. 심판소는 1심 결정을 취소하고, ICO에 관할권이 있다는 전제에서 본안을 심리하도록 사건을 1심 심판소로 환송했다.
의의
이 결정은 영국 밖에 있고 외국의 국가안보·수사 분야 고객에게 서비스를 제공하는 안면인식 기업이라도 수집한 이미지 때문에 영국 개인정보 보호법의 적용을 받을 수 있음을 확인했다. 사람의 관찰을 요하지 않는 넓은 행태 모니터링 해석은 웹에서 개인정보를 수집하는 다른 인공지능 개발자에게도 의미가 있다. 다만 이번 결정은 관할 문제만 판단했으며, 위반 여부와 과징금의 적정성은 1심 심판소가 판단한다.
관련 절차
ICO에 따르면 상급심판소는 2025년 12월 19일 클리어뷰에 항소법원(Court of Appeal)에 상소할 수 있는 허가를 내주었다.