메타는 이용자가 서비스 약관에 동의했고 음성 데이터의 식별·광고 활용 가능성을 개인정보 고지에서 알렸다는 이유로, 캘리포니아 데이터 접근법(CDAFA)에 따른 음성 데이터 수집 소송을 각하받았다. 이 판결은 가입 동의와 기술의 실제 작동 방식이 일치하는지가 웹 추적 소송의 핵심 쟁점이 될 수 있음을 보여준다.
캘리포니아 북부지방법원은 로빈슨 대 메타 플랫폼(Robinson v. Meta Platforms, Inc., No. 3:26-cv-01616-CRB, 2026 WL 2722540 (N.D. Cal. Sept. 15, 2026)) 사건에서 메타의 CDAFA 청구 기각 신청을 받아들였다. 법원은 다른 쟁점은 판단하지 않고, 메타가 허가 없이 데이터를 사용한다는 사실을 알았다고 원고가 주장하지 못했다는 점에 근거해 청구를 기각했다.
CDAFA는 컴퓨터에서 데이터를 고의로, 허가 없이 취득·복사·사용하는 행위를 금지한다. 법원은 ‘고의로’라는 요건이 위반의 각 요소에 적용되므로, 처음부터 허가를 받은 경우에는 법 위반이 성립하지 않는다고 봤다. 원고는 메타 서비스 약관에 동의한 사실을 인정했다. 약관은 개인정보 고지와 지역별 보충 고지를 포함했고, 이 문서들은 음성 녹음이 이용자 식별과 맞춤형 광고에 쓰일 수 있다고 알렸다.
법원은 고지가 여러 문서에 나뉘어 있어도 문제가 되지 않는다고 판단했다. 온라인 약관은 다른 문서를 참조해 포함할 수 있으며, 동의를 얻는 데 여러 단계와 웹 탐색이 필요하더라도 동의가 무효가 되는 것은 아니라고 봤다. 고지가 원고가 사용한 용어와 달랐다는 주장에도, 계약 조항은 범위가 넓다는 이유만으로 모호해지지 않는다고 설명했다. 또 원고가 동의를 특정 목적에만 한정하거나 철회한다고 메타에 알렸다는 주장도 없었다고 지적했다.
법원은 구글의 ‘시크릿 모드’ 관련 소송인 Brown v. Google LLC와도 구별했다. 해당 사건에서는 구글이 개인정보 보호를 약속하면서 이용자의 선택을 우회하는 스크립트를 사용했다는 주장이 제기됐다. 반면 로빈슨 사건에서는 데이터 사용이 고지됐고, 메타가 이를 은밀하게 실행했다는 주장도 없었다. 이후 앱에서 표시된 권한 팝업에 해당 데이터 사용이 언급되지 않았다는 점도 앞선 서비스 약관 동의를 무효로 하지는 않는다고 봤다. 원고 측 변호인이 심리에서 동의가 인정되면 청구를 수정해도 이를 해결할 수 없다고 인정해, 법원은 수정 기회를 주지 않고 사건을 각하했다.
캘리포니아의 웹 추적 소송에서는 그동안 도청 관련 CIPA 조항과 CDAFA 청구가 함께 제기되는 경우가 많았다. 2026년 9월 30일 개빈 뉴섬 주지사가 서명한 SB 690은 웹사이트·온라인 앱·모바일 앱을 근거로 한 CIPA § 638.51 청구의 사적 소송권을 없애며, 2027년 1월 1일부터 시행된다. 2025년 1월 1일 이후 제기된 소송에도 적용된다. 다만 CIPA § 631, 연방 도청법, CDAFA는 이 개정의 영향을 받지 않는다. 이에 따라 원고 측은 픽셀 관련 주장을 CIPA § 631과 CDAFA에 다시 제기하고 있다고 이 글은 설명한다.
다른 판결도 동의와 기술 작동 방식의 관계를 드러낸다. Tsering v. Meta Platforms, Inc.에서는 이용자가 동의하지 않았다는 사실을 메타가 알았다는 주장이 부족해 SDK의 위치정보 수집 관련 CDAFA 청구가 기각됐다. 반면 In re Meta Android Privacy Litigation에서는 메타의 수정된 픽셀이 안드로이드 샌드박스 보호를 우회해 웹 탐색 정보를 로그인 계정과 연결했다는 주장이 제기됐다. 법원은 개인정보 고지로 이용자가 예상할 수 없는 행위였고 비밀스러운 실행 방식이 인식 가능성을 뒷받침한다며, 소송 초기 단계의 기각 신청을 받아들이지 않았다.
이 판결의 동의 방어는 이용자가 가입·결제·계정 생성 과정에서 명시적으로 동의하고, 약관이 개인정보 처리방침과 쿠키 고지를 분명히 포함하며, 고지가 수집 정보·공유 대상·사용 목적을 실제 관행에 맞게 설명할 때 힘을 얻는다. 반대로 기술이 고지에서 합리적으로 예상할 수 없는 방식으로 작동하거나 브라우저·플랫폼 보호를 우회하면 방어가 약해질 수 있다. 이용자가 동의를 제한하거나 철회했다는 사실을 업체가 알게 된 경우도 마찬가지다.
다만 로빈슨의 원고는 가입 과정에서 약관에 동의한 등록 이용자였다. 계정을 만들지 않고 상품 페이지를 보거나 채팅을 시작한 방문자에게는 이런 동의 기록이 없을 수 있다. 이 경우 쿠키 배너나 동의 관리 플랫폼을 통한 동의가 필요하며, 페이지가 열리자마자 픽셀을 실행하고 푸터의 링크에 기대는 방식은 ‘처음부터 허가받았다’는 주장을 뒷받침하기 어렵다고 글은 지적한다.
기업이 취할 수 있는 조치로는 픽셀·태그·SDK·챗봇·세션 재생 스크립트의 목록을 만들고, 각 기술이 무엇을 언제 수집해 어디로 보내는지 기록하는 방법이 제시됐다. 글은 태그 관리 설정이 바뀔 수 있으므로 분기마다 목록을 갱신하라고 권고한다. 약관에서 개인정보 처리방침과 쿠키 고지를 명시적으로 참조하고, 가입·결제·채팅·양식 제출 과정에서 동의를 기록하는 것도 중요하다. 비필수 스크립트는 동의 전까지 차단하고, 이용자의 거부와 Global Privacy Control 신호를 존중해야 한다.
또한 고지는 실제 수집·공유 방식에 맞춰 작성하고, 새 태그나 맞춤형 픽셀 이벤트가 기존 고지와 브라우저·플랫폼 보호에 부합하는지 배포 전에 확인해야 한다. 기업은 약관과 고지의 각 버전을 보관하고 추적 기술 업체와 데이터 이용 제한 및 동의 수집 책임을 계약으로 정리할 수 있다. SB 690 시행 뒤에는 계류 중인 CIPA § 638.51 청구를 재검토하고, CIPA § 631 및 CDAFA 청구에 대비하라는 권고도 담겼다.
이 글은 프라이버시 전문 변호사 데이비드 오벌리(David J. Oberly)가 작성했다.
댓글 (0)
로그인하면 이 기사에 내 생각을 남길 수 있어요