미국 뉴멕시코주가 페이스북(현 메타)을 상대로 벌인 케임브리지 애널리티카 관련 소송에서 250억 달러(약 36조 원)의 민사 벌금 명령을 받아냈다. 라울 토레즈 뉴멕시코주 법무장관은 법원이 주(州) 불공정거래행위법(Unfair Practices Act) 위반을 이유로 페이스북에 이 금액의 납부를 명령했다고 발표했다. 이는 미국 역사상 기업에 부과된 가장 큰 규모의 벌금 가운데 하나다.
벌금 규모보다 먼저 주목할 것은 그 산정 근거다. 재판 1단계에서 뉴멕시코주 배심원단은 페이스북이 주 법을 4천389만9천725회 위반했다고 평결했다. 4천400만 건에 육박하는 위반 횟수는 주 인구를 훌쩍 넘어서는 수치인데, 이는 개별 소비자나 개별 게시물이 아니라 법에서 정한 위반 행위의 '건수'를 누적 집계한 결과로 보인다. 배심원단의 평결이 책임의 존재(liability)를 확정했고, 이후 법원의 벌금 명령이 그 행위에 대한 금전적 책임의 크기를 결정하는 2단계 구조로 진행됐다.
스캔들을 넘어선 쟁점
이 사건은 2018년 전 세계의 이목을 끌었던 케임브리지 애널리티카 사태에서 출발했다. 플랫폼을 통해 수집된 개인정보가 오·남용된 사건이다. 다만 뉴멕시코주의 소송은 그 스캔들 자체에만 머무르지 않았다. 주 정부는 페이스북이 자사의 데이터 처리 방식에 대해 소비자에게 어떻게 설명해 왔는지, 그리고 허위정보와 혐오 표현에 대응하겠다고 공언한 내용이 실제 관행과 일치했는지를 함께 문제 삼았다.
재판은 세 축을 중심으로 진행됐다. 이용자 프라이버시에 관한 회사의 발언과 실제 관행, 제3자가 개인정보에 접근할 수 있었던 구조, 그리고 유해 콘텐츠 처리 방식이다. 핵심 논리는 '데이터가 유출됐다'가 아니라 '회사가 소비자에게 한 약속과 실제 행동이 어긋났고, 그 간극 자체가 기만적 거래행위에 해당한다'는 것이었다. 개인정보 보호를 유출 사고의 관점이 아니라 소비자 기만의 관점에서 접근했다는 점이 이 판결의 특징이다.
연방이 아닌 '주' 차원의 집행
실무적으로 눈여겨볼 대목은 뉴멕시코주가 다른 주들과 함께 다자 합의(multistate settlement)로 사건을 마무리하지 않고 독자적으로 재판까지 끌고 갔다는 점이다. 합의로 금액을 정하고 끝내는 대신, 법정에서 주장을 검증받고 배심 평결을 받아냈다. 그 결과 연방 차원의 포괄적 규제가 아니더라도 개별 주의 소비자보호법이 거대 기술기업을 상대로 실질적인 집행 수단이 될 수 있음을 보여줬다. 미국에서 주 법무장관의 독립적 집행 권한이 디지털 경제의 규율 공백을 메우는 방식을 상징적으로 드러낸 사례다.
한국 IT 실무자 입장에서 이 사건이 주는 함의는 제도의 세부가 아니라 리스크의 성격에 있다. 개인정보 관련 법적 위험이 '유출 여부'만이 아니라 '고지한 내용과 실제 처리의 일치 여부'에서 발생한다는 점이다. 개인정보처리방침, 약관, 제3자 제공·위탁 고지, 안전성 확보 조치에 관한 대외 설명이 실제 데이터 흐름과 어긋나면, 그 불일치 자체가 기만으로 평가될 수 있다. 특히 위반 '건수'가 누적 집계되는 산정 방식에서는 소규모 불일치도 대규모 이용자 기반과 결합할 때 천문학적 책임으로 번질 수 있다.
남는 한계와 불확실성
다만 이 벌금이 그대로 확정되고 집행될지는 현재로서 단정하기 어렵다. 이번 발표는 주 법무부 측 자료로, 메타의 입장이나 반론, 항소 여부는 담겨 있지 않다. 미국에서 거액의 민사 벌금은 상급심에서 적정성(비례성) 심사를 거치며 감액되거나 다퉈지는 경우가 적지 않다. 위반 1건당 금액을 어떻게 산정했는지, 250억 달러가 어떤 계산식에서 나왔는지에 대한 세부도 공개된 내용만으로는 확인되지 않는다.
그럼에도 분명한 흐름은 읽힌다. 데이터 처리에 관한 기업의 '말'과 '실제'를 법정에서 정면으로 검증하고, 그 괴리에 금전적 대가를 매기는 집행 모델이 자리를 잡아가고 있다는 것이다. 규제가 느슨해 보이는 영역이라도 소비자에게 한 약속은 법적 구속력을 가진 진술로 취급될 수 있으며, 그 약속을 설계하고 운영하는 개발·법무·정책 조직의 책임은 그만큼 무거워진다.