사실관계
이탈리아 개인정보보호청(Garante)은 2023년 ChatGPT에 일시적 처리 제한 조치를 내리고 조사를 시작했다. 보호청은 2024년 11월 2일 제755호 결정으로 OpenAI에 1,500만 유로의 과징금을 부과하고, 라디오·TV·신문·인터넷에서 6개월간 홍보 캠페인을 하도록 명령했다. 보호청은 2023년 3월의 개인정보 유출을 신고하지 않은 점, 모델 학습을 위한 적절한 법적 근거가 없었던 점, 투명성 의무를 위반한 점, 13세 미만 아동을 보호할 연령 확인 장치가 없었던 점을 위반으로 인정했다. OpenAI는 로마 지방법원에 불복 소송을 제기했다. 법원은 2025년 3월 21일 결정으로, OpenAI가 과징금 전액에 대해 청구 즉시 지급하는 보증(first-demand guarantee)을 제공하는 것을 조건으로 과징금 집행을 정지했다.
쟁점
핵심 쟁점은 이탈리아 보호청이 2024년 11월 최종 결정을 내릴 관할을 여전히 가지고 있었는지였다. OpenAI의 아일랜드 법인은 2024년 2월 15일 EU 내 주 사업장으로 인정되었다. OpenAI는 그 시점부터 국경 간 처리에 EU 일반개인정보보호규정(GDPR) 제55조, 제56조, 제60조의 원스톱숍 메커니즘이 적용되어 아일랜드 개인정보보호위원회(DPC)가 선도 감독기관이 된다고 주장했다. 이탈리아 보호청은 이미 종료된 위반에 대해서는 자신의 관할이 유지된다고 맞섰다.
판단
법원은 OpenAI의 첫 번째 불복 사유를 받아들여 부수 제재인 홍보 캠페인 명령을 포함한 제755호 결정을 취소했다. 법원은 위반이 언제 발생했는지가 아니라 주 사업장이 인정된 시점에 행정절차가 계속 중이었는지가 결정적이라고 보았다. 절차 진행 중 EU 내에 주 사업장 또는 단일 사업장이 설립되면 개인정보처리자는 원스톱숍 메커니즘의 적용을 받고 관할은 선도 감독기관으로 넘어간다. 법원은 종료된 위반과 계속 중인 위반을 구별하는 주장을 받아들이지 않았다. 위반 여부의 실체는 판단하지 않았으며 소송비용은 각자 부담하도록 했다.
의의
이 판결로 생성형 AI 사업자에게 부과된 가장 큰 규모의 국내 GDPR 과징금 가운데 하나가 실체 판단 없이 취소되었다. 조사 진행 중에 EU 역외 사업자가 EU 내 주 사업장을 두면 각국 감독기관의 관할이 종료될 수 있음을 보여준 것이다. 모델 학습의 법적 근거와 연령 확인 등 실체적 쟁점은 판단되지 않은 채 남았다. 계속 중인 위반 가능성은 선도 감독기관인 아일랜드 개인정보보호위원회의 소관이다.
관련 절차
이탈리아 보호청은 2024년 12월 20일 보도자료에서 계속 중인 위반에 관해서는 사건을 아일랜드 개인정보보호위원회로 이송했다고 밝혔다. 홍보 캠페인 명령은 불복 소송이 제기되면서 자동으로 정지되었다. 로마 법원의 판결은 1심 판결이며, 2026년 9월 현재 보호청이 대법원(Corte di Cassazione)에 상고했다는 정보는 없다.