#내일상은AI학습용이아니다
– 개인정보위는 이용자 개인정보를 불법적으로 AI 학습 목적으로 처리한 메타, X를 조사하고 처벌하라
– 내 개인정보, AI 학습 거부 이용자 캠페인
- 오늘(2025년 4월 16일) 진보네트워크센터와 정보인권연구소, 그리고 메타와 X 서비스 이용자들은 법무법인 지향을 대리인으로 하여, 메타와 X가 적법한 근거 없이 이용자 개인정보를 AI 모델 학습의 훈련 데이터로 이용한 것과 동의 철회를 어렵게 한 것에 대해 개인정보보호법 위반으로 개인정보보호위원회에 신고하였다. 개인정보보호위원회는 조속히 메타와 X의 위법행위를 조사하고 시정명령과 과징금 처분을 내림으로써 이용자의 권리침해가 더 이상 지속되지 않도록 해야 한다.
- 페이스북, 인스타그램, X와 같은 SNS에는 길게는 십수년간의 내 삶의 기록이 담겨 있다. SNS 기록을 분석하면 나의 사회적 관계를 파악할 수 있고, 나의 성향, 관심사, 혼인여부, 위치와 이동경로 등을 알 수 있다. 정치적 성향, 노동조합 가입여부, 질병이나 성적 지향 등 민감한 정보가 포함되어 있을 수 있고, 다른 정보를 통해 추정할 수도 있다. 더구나 AI 학습 목적으로 사용된 데이터는 비단 누구나 접근할 수 있는 공개된 데이터만이 아니라, 내가 일부에게만 공개한 정보, 앱 사용 내역과 같은 서비스 이용기록, 심지어 해당 서비스 외의 제3자의 웹사이트나 앱에서 수집한 개인정보를 아우른다. 이 모든 데이터가 제대로 된 설명이나 선택권 없이 활용된다는 것은 명백히 문제다. AI 개발이라는 명분 뒤에 가려진 감시와 개인정보 침해를 그냥 받아들여서는 안된다.
- 메타는 이용자 개인정보를 AI 학습 목적으로 사용하는 것의 적법 근거가 ‘정당한 이익’이라고 주장한다. (반면, X의 경우 개인정보 처리의 적법 근거가 무엇인지 밝히고 있지 않은데, 이 역시 개인정보보호법 위반이다.) 개인정보보호법 제15조 제1항 제6호는 “개인정보처리자의 정당한 이익을 달성하기 위하여 필요한 경우로서 명백하게 정보주체의 권리보다 우선하는 경우(이 경우 개인정보처리자의 정당한 이익과 상당한 관련이 있고 합리적인 범위를 초과하지 아니하는 경우에 한한다)” 개인정보 처리를 인정하고 있지만, 메타가 AI 학습 목적으로 이용하는 것은 이 요건을 충족하지 못한다.
첫째, ‘정당한 이익’이 인정되기 위해서는 (i) 해당 이익이 합법적(lawful)이어야 하고, (ii) 이익은 명확하고 정확하게 표현되어야 하고(clearly and precisely articulated), (iii) 이익은 실제적이고 현존하고, 추측에 의한 것이어서는 안되는데(real and present, and not speculative), 메타나 X의 경우 ‘AI at Meta 개발 및 지원’, ‘기계학습 또는 인공지능 모델을 학습’ 등 포괄적으로 규정하고 있어 이 요건을 충족하지 못한다. 즉, 이는 모든 종류의 AI 모델, 기술, 시스템에 활용할 수 있다는 것으로, 다시 말하면 이용자 개인정보를 어떤 식으로든 맘대로 활용할 수 있도록 해달라는 것에 다름 아니며, 목적의 명확화를 요구하는 개인정보보호법의 취지에 부합하지 않는다.
둘째, 정당한 이익을 달성하기 위해 ‘필요한’ 것이어야 하는데, 이는 그 목적을 달성하는데 해당 처리 외에는 덜 침해적인 다른 방법이 없는 경우를 의미한다. 처리되는 개인정보는 “개인정보 최소화” 원칙과 함께 검토해야 하며, 개인정보는 “적절하고 관련성이 있으며 처리 목적과 관련하여 필요한 것”으로 제한되어야 한다. 그런데 메타나 X의 경우 이용자가 서비스를 사용하면서 생산하거나, 시스템에 기록된 모든 정보 뿐만 아니라, 제3자로부터 제공받은 개인정보까지 AI 학습 목적으로 사용하고 있다는 점에서 이러한 요건을 위반하고 있다.
셋째, 정당한 이익이 명백하게 정보주체의 권리보다 우선하는 경우여야 한다. 즉, 이익형량 기준을 충족해야 한다. 앞서 본 바와 같이 SNS 상의 개인정보는 매우 광범위하고 민감하며, 이를 적절한 고지와 동의없이 사용할 경우 정보주체의 기본권에 부정적인 영향을 미칠 수 있다. 이는 비단 사생활의 보호는 물론이고, 자유 및 안전에 대한 권리, 표현 및 정보의 자유, 사상, 양심 및 종교의 자유, 집회 및 결사의 자유, 차별 금지, 재산권 또는 신체적, 정신적 완전성에 대한 권리와 같은 모든 기본권과 자유에 관련된다. 예를 들어, 수집된 개인정보가 또 다른 목적으로 남용될 가능성, AI 시스템 작동 과정에서 발생할 수 있는 개인정보 침해, 명예훼손, 개인에 대한 배제나 차별과 같이 원하지 않는 방식으로 영향을 미칠 가능성 등이다. 특히 AI 시스템이 개인에게 미칠 부정적인 영향에 대한 연구가 아직 충분하지 않다는 점을 고려할 필요가 있다.
더구나 AI 학습에 사용되는 데이터의 양은 개인의 십수년 간의 삶을 아우를 정도로 방대하며, 개인의 민감정보가 포함될 수 있다는 점, 또한 더 이상 해당 SNS를 사용하지 않고 휴면 상태로 있는 이용자의 개인정보까지 포함된다는 점도 고려되어야 한다. 한번 AI 학습이 된 이후에 이를 되돌리는 것이 사실상 불가능하고, 그럼에도 사전에 동의를 철회하거나 거부할 수 있도록 제대로 고지가 되지 않았다는 점 등도 고려했을 때, 정당한 이익이 정보주체의 권리보다 우선한다고 보기 힘들다.
넷째, 이익형량에는 개인정보에 대한 안전조치 여부도 고려될 수 있으나, 메타나 X의 경우 이용자의 개인정보를 가명처리, 또는 익명처리를 했는지 여부에 대해서 밝히고 있지도 않다. 이러한 안전조치가 취해지지 않았다면 더욱 정당한 이익이 인정될 수 있는 여지가 없다.
다섯째, 앞서 언급했듯이, SNS에는 정치적 성향, 노동조합 가입여부, 질병이나 성적 지향 등 민감한 정보가 포함되어 있을 수 있고, 다른 정보를 통해 추정할 수도 있다. 민감정보의 경우 정당한 이익에 근거한 처리가 인정되지 않으며, 법률에 근거가 있거나 정보주체의 별도의 동의를 받은 경우에만 처리할 수 있다. 따라서 이러한 민감정보에 대해서 분리, 제거하는 처리를 하지 않았다면 개인정보보호법 위반이라고 볼 수 밖에 없다. 민감정보와 비민감정보가 분리할 수 없이 섞여있고, 동의자와 비동의자의 정보 역시 구분하기 힘든 SNS의 성격을 고려할 때, 과연 민감정보가 적법하게 처리되었을지 의문이다.
- 메타와 X는 이처럼 위법하게 개인정보를 처리하도록 개인정보 처리방침을 개정했음에도 불구하고 그 사실을 이용자에게 제대로 고지하지 않았다. 유럽에서는 이용자에게 고지한 것으로 보이나, 한국에서는 그조차도 하지 않았다. 이에 따라 이용자는 동의를 철회함으로써 자신의 개인정보가 AI 학습 목적으로 사용되는 것을 거부할 수 있는 기회를 갖을 수 없었다. 이미 AI 학습에 개인정보가 사용된 경우, 이를 사후적으로 삭제하는 것은 사실상 불가능하다.사후적으로 거부권을 행사하는 것도 쉽지 않다. 개인정보보호법 제37조는 이용자에게 자신의 개인정보에 대한 처리정지권을 보장하고 있기 때문에, 이용자는 메타와 X에 이를 요청할 수 있다. 현재 메타와 X는 옵트아웃 기능을 제공하고 있지만, 해당 기능을 찾아 몇 단계 클릭을 해야하기 때문에 이 권한을 행사하는 것이 사실상 쉽지 않다.
- 이러한 문제제기는 한국에서 처음 이루어진 것이 아니다. 메타는 6월 26일부터 개인정보 보호정책을 변경하여, 2007년 이후 수집한 이용자들의 공개 및 비공개 데이터를 ‘AI 기술’ 개발에 활용하겠다고 밝힌 이후인, 2024년 6월 6일, 유럽의 디지털 권리 옹호 단체인 NOYB는 이러한 메타의 행위가 유럽 개인정보 보호법(GDPR)을 위반한다고 주장하며, 오스트리아, 벨기에, 프랑스, 독일, 그리스, 이탈리아, 아일랜드, 네덜란드, 노르웨이, 폴란드, 스페인 등 11개국의 DPA에 긴급 절차를 통해 이 변경을 즉시 중단할 것을 요청했다. 이후 아일랜드 데이터보호위원회(DPC)는 페이스북과 인스타그램 등의 사용자가 공유하는 공개 콘텐츠를 사용한 대형언어모델(LLM) 훈련을 연기해 줄 것을 요청했으며, 이에 따라 메타는 훈련 계획을 중단하기로 결정했고 DPC는 이를 환영하였다.
NOYB은 X에 대해서도 유럽 연합 9개국에 신고하였고(오스트리아, 벨기에, 프랑스, 그리스, 아일랜드, 이탈리아, 네덜란드, 스페인, 폴란드), 현재 조사가 이루어지고 있다.브라질 개인정보 감독기구인 ANPD 역시 2024년 7월, 메타에 AI 학습을 중단하라고 명령했다. 이후 메타의 AI 학습을 위한 개인정보 사용을 조건부로 허용했는데, 페이스북과 인스타그램 사용자들에게 데이터 처리 사실과 이용자가 이를 거부할 권리가 있다는 점을 알리고, 데이터 사용이 시작되기 최소 30일 전에 이를 통지해야 한다. 또한 만18세 미만 미성년자의 데이터는 ANPD의 최종 결정이 나올 때까지 사용하지 못한다.아일랜드 DPC는 2024년 5월 7일부터 8월 1일까지 X가 이용자 개인정보를 AI 도구인 ‘Grok’ 학습 목적으로 처리한 것에 우려를 표명하며 아일랜드 고등법원에 긴급 신청을 통해 이러한 데이터 처리의 중단을 요구했다. 2024년 8월 8일, DPC는 X와 이를 중단하기로 합의하였다.영국에서도 2024년 7월 15일, 디지털 권리 단체 Open Rights Group이 개인정보 감독기구인 ICO에 메타를 신고했다. 캐나다 개인정보보호위원회(OPC)도 2025년 2월 27일자 보도자료를 통해 개인정보보호 및 전자문서법(PIPEDA) 위반에 해당한다는 신고에 따라서 X에 대해 조사를 하고 있다고 발표했다. - 우리 이용자들은 자신의 권리를 스스로 보호하기 위하여 메타와 X에 내 개인정보를 AI 모델 학습 목적으로 사용하지 말 것을 요구하는 캠페인에 돌입하고자 한다. X의 경우 옵트아웃 메뉴를 제공하고 있지 않지만, 그렇더라도 개인정보보호법에서 보장하는 이용자의 처리정지권이 없어지는 것은 아니다. 메타와 X가 경각심을 가질 수 있도록 많은 이용자들이 캠페인에 동참해줄 것을 호소한다. (캠페인 사이트 : https://act.jinbo.net/wp/ai-optout)
- 이처럼 위법행위가 명백한 만큼 개인정보보호위원회는 즉각 이를 조사하고 시정명령과 위법 행위에 상응하는 과징금 처분을 내릴 것을 촉구한다. 메타와 X는 지금이라도 위법한 관행을 중단하고, 이용자의 권리를 존중해야 할 것이다.
- 우리는 2022년 메타의 불법적인 개인정보 제3자 제공 행위에 대해 손해배상 소송을 제기한 바 있으며, 현재 소송이 진행 중이다. 빅테크의 AI 개발을 명분으로 한 불법적 개인정보 침해에 대해서도 해외 디지털 권리 단체와 국제 세미나를 개최하는 등 국제적인 연대 활동을 강화하고, 빅테크의 개인정보 남용에 대해 지속적으로 문제제기를 해나갈 것이다.
▣ 온라인 기자간담회 개요
제목 : #내일상은AI학습용이아니다 기자간담회
일시 : 2025.4.16(수) 오전 10시 30분
장소 : 온라인(줌) [기자회견 참여 신청자에게 줌 주소 발송]
사회 : 오병일 (진보네트워크센터 대표 )
1. 메타와 X가 개인정보보호법을 위반한 근거 / 이은우 (법무법인 지향 변호사)
2. SNS 이용자 발언/ 고아침 (AI 윤리 레터 운영진)
3. 정보인권 침해 비판 / 장여경 (정보인권연구소 상임이사)
4. “나는 동의한적 없다. 무단 AI 학습 거부한다!” 캠페인 소개 / 희우 (진보네트워크센터 활동가)
디지털 시민 권리 사업단
(진보네트워크센터X정보인권연구소X법무법인 지향)
* 디지털 시민 권리 사업단 : 빅테크의 영향력이 커지는 AI시대에 시민들의 권리침해를 구제하기 위하여 시민사회, 법률가가 함께 활동하는 연대사업단입니다.
