독일 연방카르텔청의 페이스북 사건
페이스북 개인정보 처리행위가 독일 경쟁법 상 착취 남용에 해당한다고 결정
(2019. 2. 28. 최종수정)
* 이 글은 고려대학교 ICR센터 유럽연합 경쟁법 동향 시리즈16의 내용을 기반으로 작성되었습니다.
* 인용시 출처를 표기해주시기 바랍니다. 예) 이상윤, '독일 연방카르텔청의 페이스북 사건: 페이스북 개인정보 처리행위가 독일 경쟁법 상 착취 남용에 해당한다고 결정', 2019. 2. 28 <https://brunch.co.kr/@lsangyun/4>
1. 개요
2019년 2월 7일, 독일 경쟁당국인 연방카르텔청(Bandeskartellamt, ‘BKartA’)은 소셜네트워크 시장의 지배적 사업자인 페이스북(Facebook)이 소비자의 개인정보를 착취하는 행위로 경쟁법(Gesetz gegen Wettbewerbsbeschränkungen, GWB)을 위반하였다고 결정하였다.
연방카르텔청은 페이스북이 실질적인 동의(voluntary consent)를 받지 않은 상황에서 제3자로부터 이용자들의 개인정보를 수집하고 이를 해당 이용자의 페이스북 계정에 연계 ⋅ 통합시켜 온 부분을 문제 삼으면서, 이러한 정보처리 행위는 개인정보보호법에 위반될 뿐만 아니라 착취적 거래조건 강제행위(exploitative business terms)로서 독일 경쟁법에도 위반된다고 판단하였다.
독일 연방카르텔청의 수장인 Andreas Mundt (Photo by Rolf Vennenbernd/picture-alliance/dpa/AP)2016년 초부터 독일 경쟁당국의 조사로 시작된 이번 사건은 회원국 내 사안임에도 불구하고 유럽연합은 물론 전 세계적으로도 주목을 받아왔으며(Schneider, 2018, pp.213-214), 특히 이번 결정은 유럽연합(EU) 주요 회원국에서 개인정보보호법 위반 행위에 대한 경쟁법 집행이 이뤄진 첫 사례는 점에서 중요한 의의를 갖는다. 또한 현재 페이스북은 결정에 불복하고 뒤셀도르프 고등법원에 항소할 계획을 밝힌 상황으로(Cunnane, 2019) 이번 사건은 앞으로도 디지털 시대 경쟁법 집행에 관한 수많은 논의를 불러일으킬 것으로 보인다.
이하에서는 연방카르텔청의 보도자료(BKartA, 2019a)와 보충 배경설명 자료(BKartA, 2019b)를 통해 이번 결정의 주요 내용들에 대해 살펴보고 또 이후 발표된 반응들을 중심으로 이번 사건의 의의와 시사점에 대해서도 간략히 살펴보도록 한다.
2. 결정의 주요 내용
2.1. 이 사건 행위
문제가 된 행위는 페이스북이 그동안 제3자로부터 페이스북 이용자들의 개인정보를 수집하고 이 정보들을 해당 이용자의 페이스북 계정에 연계 ⋅ 통합시켜 이용해온 행위다. 여기서 ‘제3자'란 페이스북 그룹의 자회사인 왓츠앱, 인스타그램뿐만 아니라 ‘좋아요’, ‘페이스북으로 로그인', ‘페이스북 애널리틱스' 등 페이스북의 ‘비지니스 툴’들을 이용하면서 페이스북의 API를 연동하고 있는 제3의 웹사이트를 모두 포함한다. 페이스북은 그동안 이들 웹사이트에 이용자가 접속하면 곧바로 이들의 정보가 페이스북에 제공되도록 하면서 이를 해당 이용자의 페이스북 계정과 통합시켜 이용해 왔는데(BKartA, 2019b, p.1), 이러한 행위를 경쟁법 위반으로 볼 수 있는지 여부가 이 사건의 핵심이었다.
참고로 페이스북이 자신의 웹사이트나 스마트폰 앱 내부에서 개인정보를 수집하고 활용하는 행위(및 자회사들이 자사 서비스에서 개인정보를 수집하고 활용하는 행위)는 문제가 되지 않았다. 연방카르텔청은 이에 대해 ‘이러한 정보처리는 데이터 기반 비지니스 모델의 필수적 요소에 해당하고 이용자들도 이를 충분히 인지하고 있었기 때문에 문제가 되지 않는다’고 설명하였다 (BKartA, 2019b, p.2).
(Image from iblogZone.com)2.2. 경쟁법 위반 여부
2.2.1 페이스북의 시장지배적 지위(dominance) 여부
연방카르텔청은 독일의 (일반) 소셜네트워크 시장을 관련 시장으로 획정하면서, 여기서 전체 이용자들의 80-90% 이상을 점유하고 있는 페이스북은 시장지배적 사업자에 해당한다고 판단하였다 (BKartA, 2019a).
* 관련 지리적 시장은 독일 이용자들이 주로 다른 독일 이용자들과 교류하기 위해 페이스북 서비스를 이용한다는 점을 근거로 독일 국내로 한정되었다(BKartA, 2019b, p.4).
페이스북과 유사한 사업자들(스냅챗(SnapChat), 유튜브(YouTube), 트위터(Twitter), 링크드인(LinkedIn), 씽(Xing) 등)은 관련 시장에 포함되지 않았는데, 그 이유로 연방카르텔청은 ‘이들이 제공하는 서비스는 부분적으로 특화된 소셜네트워크로서 페이스북과 직접적인 경쟁관계에 있지 않고 수요대체성이 충분히 크다고 볼 수도 없기 때문에 이들은 같은 관련 시장 안에 포함시킬 수 없다’고 설명하였다(BKartA, 2019b, p.4). 또 설사 이들을 같은 시장 안에 포함시킨다고 하더라도 페이스북 그룹은 자회사로 인스타그램(Instagram)과 왓츠앱(WhatsApp)을 보유하면서 거의 모든 서비스들에서 가장 많은 이용자 수를 보유하고 있기 때문에 충분히 지배력(dominance)을 갖는 것으로 볼 수 있다고 덧붙이기도 하였다 (BKartA, 2019b, p.4)
이용자 수에 기반한 높은 시장점유율 외에도 경쟁 관련 데이터에 대한 접근, 네트워크 효과에 기반한 규모의 경제, 이용자들의 소비 경향 (멀티호밍 여부와 전환 비용 등), 시장에서의 혁신 경쟁 압력 여부 등 다양한 사정들이 고려되었는데(BKartA, 2019b, pp.4-5), 이들은 2017년 제9차 개정을 통해 경쟁법(GWB)에 명문화된 고려사항들로서(이상윤, 2017), 온라인 플랫폼의 시장지배력 판단과 관련해 많은 시사점을 담고 있으므로 역시 중요하다고 볼 수 있다.
연방카르텔청은 먼저 페이스북의 시장지위가 이용자 수 증가에 따라 소비자들의 해당 서비스에 대한 수요가 더욱 증가하는 직접적 네트워크 효과(특히 ‘신원 기반의 직접적 네트워크 효과(identity-based direct network effects)’)로 인해 강화된다고 보았고(Sec.18(3a)(1), GWB). 또한 네트워크 효과에 내재된 기속효과(lock-in)로 인해 이용자들은 다른 경쟁서비스로 전환하기가 어렵고 같은 서비스 여러 가지를 동시에 이용하는 멀티호밍 현상도 발견되지 않는다는 점도 지적하였다(Sec.18(3a)(2), GWB). 그리고 소셜 네트워크 시장의 다른 측면인 광고 서비스 시장에서 발생하는 긍정적 간접 네트워크 효과(positive indirect network effects) 때문에 경쟁사업자들에게 높은 진입장벽이 발생하고 있다는 점에도 주목하였다. 즉, 페이스북은 소셜네트워크 측면의 이용자 수가 증가할수록 광고 측면의 수익이 증가하는 제3자 유인 플랫폼(‘audience providing platform’ 또는 ‘advertising platform’) 성격을 갖고 있기 때문에 광고시장의 측면에서 이용자의 수는 매우 중요한데 이러한 맥락에서 페이스북은 상당한 마켓파워를 갖고 있다고 본 것이다(BKartA, 2016, pp.19-30).
특히 흥미로운 부분은 페이스북이 지닌 이용자들의 개인정보에 대한 우월적인 접근성(superior access to data)도 시장지배력 판단요소로 고려되었다는 점이다(Sec.18(3a)(4), GWB). 연방카르텔청은, 소셜 네트워크 시장에서 데이터, 즉, 이용자들의 개인정보는 상품 설계와 수익화를 가능하게 해주는 경쟁의 필수 요소(essential facility)라고 보면서 이에 대한 제한적인 접근성이 경쟁사업자들에게는 추가적인 진입장벽으로 작용하고 있다고 설명하였다.
(Image from Tijana87/Istock.com)2.2.2. 남용성(abuse) 판단
남용성 판단을 위한 전제로 카르텔청은 먼저 페이스북의 광범위한 개인정보의 수집, 통합, 이용 행위가 개인정보보호법에 위반된다는 점을 확인하였다. 즉, 이 사건 정보처리 행위에 대해 페이스북 이용자들은 제대로 인지하지도 못하고 있었고, 또 이용자들은 이용약관상 위 조건에 동의하지 않으면 페이스북 서비스 자체를 이용할 수 없도록 되어 있었기 때문에, 자발적 동의(voluntary consent)가 보장되지 않은 한 위와 같은 개인정보의 수집 및 이용 행위는 유럽의 개인정보보호 관련 법제(General Data Protection Regulation, GDPR)에 위반된다고 판단한 것이다(BKartA, 2019a; BKartA, 2019b, pp.1-2).
카르텔청은 이러한 판단 위에서 페이스북이 그동안 위법한 정보처리 행위를 통하여 광범위한 정보들을 실질적으로 아무런 제한 없이 수집, 결합함으로써 이용자 개개인에 특화된 데이터베이스를 구축할 수 있었고 이를 통해 마켓파워를 얻게 되었다고 보고(BKartA, 2019a; BKartA, 2019b, p.1) 위와 같은 행위는 독일 경쟁법상 금지되는 착취남용에 해당한다고 결정하였다.
첫째로, 연방카르텔청은 먼저 이용자들(정보주체)의 개인정보 통제권(control)이 침해되었다는 점을 지적하였다(BKartA, 2019b, p.5). 즉, 페이스북 이용자들이 입은 금전적 손해는 없지만 대신 이용자들은 자신들의 개인정보가 어떻게 처리되는지에 대해 인지하지도 못하고 통제하지도 못하는 통제권 상실(loss of control)의 손해를 입었다고 보았다. 카르텔청은 이러한 손해가 단순한 이론적 위험성이 아닌 사실상의 ‘손해'라고 하면서, 페이스북이 자체 서비스 외 다른 경로로 수집한 정보를 페이스북 계정정보와 결합시키고 이를 이용자 개개인의 프로파일링에 활용하는 등 부당한 행위를 하였지만 소셜네트워크 이용자들은 페이스북의 마켓파워로 인해 이를 피할 수 없었다(have no option to avoid)고 설명하였다. 나아가 이 사건 행위로 인해 침해된 것은 헌법적인 보장을 받는 개인정보 자기결정권(constitutionally protected right to informational self-determination)임을 강조하기도 하였다.
둘째로, 페이스북이 이 사건 개인정보보호법 위반행위로써 서비스 이용자 측면과 광고 서비스 측면 양면에서 경쟁상 우위를 점하며 자신의 시장지배력을 강화해왔다는 점이 지적되었다(BKartA, 2019b, p.5). 즉, 한편에서는 (정보보호법을 위반하는 행위로 얻은) 이용자들의 개인정보를 결합시킴으로써 더 큰 직접적 네트워크 효과(identity-based network effects)와 기속효과(lock-in effect)를 누리며 경쟁 소셜네트워크들에 대한 우위를 점하고, 다른 한편에서는 이용자 프로파일을 활용해 타깃 광고의 품질을 높이면서 페이스북을 점점 더 필수불가결한(indispensable) 플랫폼으로 만들고, 이를 통해 소셜네트워크 광고시장에서의 지배적 공급자로서 광고업자들과 경쟁플랫폼들에 대한 경쟁상 위협(competitive harm)을 만들어왔다는 것이다.
위와 같은 전제에서 연방카르텔청은 시장지배적 사업자가 이용자들에게 개인정보 처리에 대한 포괄적인 동의(extensive permission)를 서비스 제공의 전제조건으로 제시하는 경우 이는 경쟁법상 남용행위의 한 유형인 “착취적 거래조건(exploitative business terms)”으로 볼 수 있다고 판단하였다.
(Imagae from MLL News)그런데, 이렇게 경쟁법 위반 여부를 판단하기 위해 개인정보보호법상의 원칙을 원용하는 것이 과연 적절한가? 이는 경쟁법과 개인정보보호법(나아가 소비자보호법 등 다른 유사한 모든 법)의 관계에 대한 물음으로 이번 사건에서 매우 중요한 의의를 갖는다.
연방카르텔청은 이에 대해 독일 연방대법원의 판례에 따르면 거래조건의 착취성을 판단하기 위해 민사법 원칙들(civil law principles)이 적용될 수 있다는 점을 언급하면서, 마찬가지로 페이스북 이용약관의 경쟁법 위반 여부를 판단하기 위해 개인정보보호법 원칙들이 적용될 수 있다고 설명하였다. 즉, 그동안 착취성을 판단하기 위한 기준으로 불공정한 계약에 관한 법률(legislation on unfair contract terms)이나 독일 헌법상의 법원칙들이 자주 원용되어 왔는데, 이러한 원용은 불균형한 협상 관계(imbalanced negotiation position)에 있는 계약 당사자를 보호하기 위한 다른 모든 법원칙들의 경우에도 마찬가지로 허용되며, 따라서 개별 정보주체들의 개인정보를 시장 반대편(에 있는 사업자 등 정보처리자)의 착취로부터 보호하는 데 목적을 두고 있는 개인정보보호법상의 법원칙들도 착취성 판단을 위한 기준으로 원용될 수 있다는 것이다(BKartA, 2019b, p.6).
연방카르텔청은 이러한 접근방식에 따라 2018년 5월부터 시행된 일반정보보호규칙(GDPR) 상의 원칙들을 (착취성 판단을 위한 기준으로) 적용하면서, 페이스북의 이 사건의 개인정보 처리행위(제3자로부터 이용자 개인정보를 수집하고 이를 이용자의 페이스북 계정에 결합시킨 행위)에는 유효한 정당화 사유가 없다고 판단하였다.
구체적으로 이 사건 개인정보 처리행위는 계약상 서비스 제공 의무를 수행하기 위해 반드시 필요한 것이 아니었으며, 페이스북의 이익이 이용자들의 이익보다 더 중요하다고 볼 근거도 없고, 또 이용자들로부터 (이 사건의 광범위한 정보처리에 대해) 유효한 동의(effective consent)를 받은 것도 아니기 때문에 정당화될 수 없다고 보았다. 그리고 이용자의 동의는 그것이 페이스북 서비스의 제공 여부와 결부되지 않을 때에만 유효한 것으로 볼 수 있다고 보았다 (BKartA, 2019b, p.6).
이와 관련 주의할 점은 연방카르텔청은 이번 결정에서 EU 경쟁법을 적용하지 않고 독일 경쟁법(제19조)만 적용했다는 사실이다. 연방카르텔청은 ‘시장지배적 사업자의 남용행위를 판단하기 위한 기준으로 헌법이나 다른 법의 원칙들을 고려하는 접근방식’은 오직 독일연방대법원에서만 확립된 판례이기 때문에 EU 경쟁법 상 시장지배적지위 남용행위 규정인 제102조 제a항의 규정(“불공정한 거래조건(unfair trading conditions)”)은 적용하지 않았다고 설명하였다(BKartA, 2019b, p.6).*
* EU의 각 회원국 경쟁당국은, 공동행위의 경우와는 달리, 단독행위에 대해서는 EU 경쟁법을 함께 적용할 의무를 갖지 않는다(시행규칙(Regulation 1/2003) 제3조 제2항).
페이스북 서비스의 초국경적 성격과 유럽의 일반정보보호규칙(GDPR)에 대한 판단이 전제된 사건이라는 점을 고려할 때, 비록 집행위원회 및 다른 경쟁당국들과 긴밀히 협의하였다고 밝히긴 하였으나, EU 경쟁법의 적용을 배제한 것은 특기할만 부분이다(Lamadrid, 2019 참고).
2.2.3. 개인정보보호법과 경쟁법의 관계
앞선 설명에도 불구하고, 개인정보 보호 이슈에 대한 경쟁 당국의 개입은 여전히 논란적인 부분이다. 연방카르텔청 역시 배경설명 자료에서 별도의 항목을 마련해 개인정보보호법과 경쟁법의 관계를 설명하면서 경쟁 당국의 개입을 정당화하고자 하였다(BKartA, 2019b, pp.6-7).
카르텔청은 먼저 ‘이용자들의 개인정보에 대한 접근이 사업자의 시장지위를 결정하는 데 있어 필수적인(essential) 요소가 되는 경우에는 해당 사업자가 이용자들의 개인정보를 어떻게 취급하는지 문제는 정보보호 당국뿐만 아니라 경쟁 당국도 관련이 있는 문제’라고 주장하면서, 이런 맥락에서 연방카르텔청은 관련 시장의 정보처리 측면에서 페이스북이 갖고 있는 거대한 개인정보 수집인으로서의 시장지위를 온라인 광고 측면에 대한 조사 결과의 프레임워크 안에서 면밀히 고려하였다고 밝혔다.
또한 개인정보에 대한 접근을 시장 지배의 관련 요소로서 명시하고 있는 독일 경쟁법 제18조 제3a항을 언급한 뒤, 디지털 경제에서는 개인정보의 수집과 처리 및 이와 관련된 거래조건들이 경쟁과 밀접하게 관련이 있는 사업행위에 해당한다는 사실을 법에 반영시키고자 한 것이 입법 의도라는 점도 덧붙였다.
연방카르텔청은 ‘시장지배적 사업자의 정보처리행위를 감시 ⋅ 감독하는 것은 정보보호 당국의 역할만으로는 해결되지 않는 경쟁 당국의 필수적인 임무이며 경쟁 당국은 시장지배적 사업자의 개인정보 수집 및 이용에 관한 약관이 문제 되는 경우 개인정보보호법 상의 원칙들이 고려해야만 하고 이 지점에서 경쟁법과 개인정보보호법의 교차점이 존재한다’고 밝혔는데 이러한 입장은 집행위원회와 다소간 차이를 보이는 것으로(Schneider, 2018, 215) 앞으로도 이에 대한 논란은 계속될 것으로 보인다.
2.2.4. 결정
앞서 살핀 점들을 고려하여 연방카르텔청은 페이스북의 행위에 대해 다음과 같이 결정하였다 (BKartA, 2019a):
(i) 페이스북이 소유한 왓츠앱이나 인스타그램에서의 개인정보 수집은 가능하지만 이들을 페이스북 이용자 계정에 연계시키는 것은 이용자의 자발적 동의(voluntary consent)를 받는 경우에만 가능하다. 동의가 없는 경우 해당 개인정보는 왓츠앱과 인스타그램 각각의 서비스와 관련된 목적으로만 이용되어야 하고 페이스북 개인정보와 결합하여 처리될 수 없다.
(ii) 제3의 웹사이트에서 개인정보를 수집하여 이들을 페이스북 이용자 계정에 연계시키는 행위 역시 이용자가 자발적 동의를 제공한 경우에만 가능하다.
이어 연방카르텔청은 페이스북이 위 의무들을 시행하기 위한 구체적인 계획(implementation plan)을 마련하여 제출해야 한다고 하면서, 연방카르텔청은 이에 대한 준수 여부를 확인하기 위하여 실제 데이터 흐름에 대한 기술적인 모니터링을 임의로 실시할 수 있다고 덧붙였다(BKartA, 2019b, p.8).
다만 별도로 과징금을 부과하지는 않았는데, 카르텔청은 그 이유로 ‘이번 결정의 목적은 사업자의 미래 행동을 경쟁자들 및 이용자들 모두에게 이로운 방향으로 변화시키고 이를 유지시키는 데 있기 때문이며 또한 이번 사건과 같이 복잡하고 수많은 법적 경제적 이슈들이 포함된 경우에는 시정조치(administrative proceedings)가 적절하기 때문’이라고 설명하였다(BKartA, 2019b, p.7).
독일 연방카르텔청(Bundeskartellamt) 청사 입구(Photo from Spigel Online)3. 의의 및 시사점
이번 연방카르텔청의 결정은 어느 정도 예견되었던 것으로 2017년 예비조사결과 발표를 전후해서 이미 많은 논의가 이뤄져 왔다. 예상대로 이 사건 결정 직후에도 다양한 반응들이 나왔으며 특히 관련시장 획정의 적절성, 페이스북의 시장지배력, 남용성 판단, 경쟁 당국 개입의 적절성 여부 등에 대해 의미 있는 비판들이 많이 제기되었다. 이번 항에서는 최근 언론과 인터넷 매체 등을 통해 발표된 내용들을 중심으로 몇 가지 중요한 논점에 대해 간략히 살펴보도록 한다.
3.1. 개인정보보호 이슈에 대한 경쟁법 집행의 적절성
주지하다시피 EU 집행위원회는 이미 여러 차례, 개인정보 보호 이슈는 경쟁법에서 다룰 문제가 아니라는 시각을 피력해왔다(Schneider, 2018; Kucharczyk, 2019).
예컨대 2014년 페이스북과 왓츠앱의 기업결합 사건 결정에서 “개인정보의 집중이 증가하면서 발생하게 되는 어떤 프라이버시 관련 이슈도 EU 경쟁법 규정의 범위에 포섭되지 않으며 이는 EU 개인정보보호법 규정의 범위에 포섭된다”라고 명시하였으며(Comp./M. 7217, para 164), 2016년 마이크로소프트(Microsoft)와 링크드인(LinkedIn)의 기업결합 사건에서도 두 당사기업의 데이터셋 통합으로 인한 개인정보의 수집, 처리, 보관, 이용 등에 관한 문제는 개인정보보호법 규정에 의해 다뤄져야 한다는 점을 분명히 하였다(Comp.M.8124, para 177). 또한 Margrethe Vestager 경쟁담당 집행위원도 최근 연설에서 개인정보보호법의 존재와 역할을 강조하면서 프라이버시 문제를 해결하기 위해 경쟁법을 집행하는 것은 고려하지 않고 있다고 언급하기도 하였다(Vestager, 2016). 유럽사법재판소(European Court of Justice) 역시 집행위와 마찬가지로 개인정보 관련 이슈는 개인정보 보호에 관한 법으로 규율되어야 한다는 입장을 밝힌 바 있다(C-238/05, para 63).
EU 집행위원회 Margrethe Vestager 경쟁담당 집행위원 (Photo by Aris Oikonomou/European Pressphoto Agency)이러한 시각은 경쟁법과 개인정보보호법의 구별이 필요하다는 관점에서 일견 타당하다고 볼 수 있다. 아무리 신중을 기한다고 하더라도 시장의 경쟁상황 등에 대한 고려가 이뤄지지 않는 다른 법 원칙을 경쟁법의 남용성의 판단에 끌어오는 것은 경쟁촉진적 행위에 대한 잘못된 판단으로 이어질 위험성이 있고 또한 개인정보 보호정책의 측면에서도 경쟁 당국의 프라이버시 이슈에 대한 개입이 반드시 효과적이라고 보기는 어렵기 때문이다.
이번 결정에 대해서도 회원국 경쟁당국들의 개입은 EU의 개인정보보호법인 일반정보호규칙(GDPR)의 통일적 해석을 더욱 어렵게 만들 위험이 있다는 지적이 제기되고 있다. 일반규칙(GDPR) 체제 하에서 현재 각 회원국은 개인정보보호법 위반행위에 대한 전문적인 판단을 내리는 정보보호 당국을 두고 있고, 특히 초국경적인 정보처리 행위에 대해서는 (원칙적으로) 정보처리자의 주된 사무소가 존재하는 곳의 정보보호 당국이 주 감독당국(lead supervisory authority)이 되어 법 위반 여부를 판단하도록 하고 있다(이른바 “one-stop-shop mechanism”) (Elshof & Es, 2018). 이런 메커니즘의 주목적은 단일 시장의 관점에서 EU 개인정보보호법(GDPR)의 통일적 해석을 위한 것으로 볼 수 있는데 각 회원국의 ‘경쟁’ 당국이 개인정보보호법(GDPR)의 위반 여부를 판단하기 시작하면 이러한 목적은 상당한 위협을 받게 될 수 있다(Manne, 2019; Kucharczyk, 2019; Cunnane, 2019).
보다 근본적인 문제는 개인정보보호법(GDPR)의 구체적인 내용들이 여전히 불명확한 상황에서 과연 경쟁 당국의 비전문적인 판단이 적절한 것인지 여부다(Manne, 2019). 비록 연방카르텔청이 이 사건 페이스북의 정보처리 행위가 유럽 개인정보보호법에 위반된다고 판단하면서 이를 위해 주요 정보보호 당국들과 긴밀히 협의하였다고 밝혔지만("closely cooperated with leading data protection authorities in clarifying the data protection issues involved", BKartA, 2019b, p.7) 문제는 그 어떤 '주요 정보보호 당국'도 페이스북 행위에 대한 공식적인 결정이나 판단을 내놓지 않고 있는 상황이라는 데 있다. 정보보호 당국이 보다 전문적인 판단으로 활동할 수 있는 여지가 아직 충분한 상황에서 권한과 전문성 모든 측면에서 부족한 경쟁 당국의 개입은 당연히 강한 비판의 대상이 될 수밖에 없다(Lamadrid, 2019).
이와 관련 최근 프랑스는 정보보호 당국(Commission nationale de l'informatique et des libertés, CNIL)이 구글의 개인정보 수집 및 이용행위에 대해 개인정보보호법 위반으로 판단하면서 5천 7백만 유로 상당의 과징금을 부과하였는데 좋은 참고 사례가 될 수 있다고 본다(CNIL, 2019). 이 사건에서 당국은 구글의 불투명한 개인정보 약관과 포괄적 동의 요구 관행 등이 일반정보보호규칙(GDPR)에 위반된다고 판단하였다. 동의권을 엄격하게 요구하는 방식이 정보주체의 자기결정권 보장에 실질적으로 얼마나 기여할 수 있는지 여부는 별론으로 하더라도(Solove, 2013), 논란이 될 수 있는 개인정보처리 행위에 대해서 권한과 전문성을 갖춘 정보보호 당국의 판단이 경쟁 당국의 판단보다 선행하는 것이 규제체계 측면에서 보다 바람직하다고 볼 수 있다.
한편 이탈리아 경쟁 당국(Autorita' Garante della Concorrenza e del Mercato, AGCM) 역시 최근 페이스북의 개인정보 관련 행위에 대해 위법으로 결정하고 1천만 유로의 과징금을 부과한 바 있는데, 경쟁법이 아닌 소비자보호법에 근거하여 위법 여부를 판단하였다는 점에서 독일과 다르다. 해당 사건에서는 구체적으로, 페이스북 가입 시 이용자들의 개인정보가 상업적 목적으로 쓰일 것이라는 사실을 적절한 방법으로 고지하지 않아 오인을 유발한 점(misleading) 및 적절한 사전 동의를 받지 않고 이용자들의 부지 중에 그리고 자동적으로 상업적 목적을 위하여 페이스북의 개인정보를 제3 웹사이트나 앱으로 (동시에 그 반대로도) 전송하면서 강압적 상거래행위(aggressive practice)로 소비자들에게 부당한 영향력을 행사한 점 등이 문제되었다(AGCM, 2018). 개인정보 이슈에 대한 전문적인 판단이 이뤄진 것으로 보기는 어렵지만, 경쟁법보다는 분명 논란이 더 적고 수월한 방식을 선택하였으며 참고할만한 사례로 생각된다.
물론 이번 연방카르텔청의 결정처럼 개인정보 보호와 경쟁 이슈를 분리하지 않고 통합적으로 보는 시각이 전혀 새롭거나 잘못된 시각이라고 볼 수는 없다. 주지하다시피 EU의 개인정보보호감독기구(European Data Protection Supervisor, EDPS)는 줄곧 개인정보 보호 이슈에 대한 통합적인 접근(holistic approach)을 강조해왔다(이상윤, 2016). 또한 프랑스와 독일 경쟁당국의 빅데이터에 관한 공동보고서 역시 ‘개인정보보호법과 경쟁법은 서로 다른 목적을 추구하고 있지만 프라이버시 이슈가 단지 그 이유만으로 경쟁법의 고려대상에서 제외되어야 하는 것은 아니’며 ‘프라이버시 정책이 경쟁에 영향을 미치는 경우, 특히 개인정보가 시장지배적 사업자의 상품과 서비스 생산에 있어 주요 투입물(input)로 기능하는 가운데 그의 프라이버시 정책이 문제 되는 경우에는 그러한 프라이버시 정책은 경쟁법의 관점에서 평가될 수 있다’고 언급하면서 EDPS와 같은 입장을 취한 바 있다(Autorité & BKartA, 2016, pp.23-24).
중요한 것은 규제의 주된 목표가 무엇이고(예컨대 정보주체의 권리 보장인지, 또는 남용행위를 이용한 시장지배적 사업자의 독점력 형성과 그에 따른 폐해를 해소하는 것인지) 그 목적을 어떻게 달성하는 것이 가장 효과적 ⋅ 효율적인지(개인정보호법, 소비자보호법, 또는 경쟁법, 어떤 법으로 접근하는 게 좋은 것인지)에 대한 판단으로, 이에 대해서는 앞으로도 계속 논란이 될 것으로 보인다.
3.2. 개인정보보호법 위반과 경쟁법 상 남용행위의 관계
프라이버시 이슈에 대한 경쟁 당국의 개입이 정당화될 수 있다고 하더라도 구체적으로 ‘어떻게’ 다뤄져야 할 것인지는 또 다른 문제다. 개인정보보호법 위반행위가 언제 어떻게 경쟁법 위반(남용행위)으로 평가될 수 있느냐에 대한 논란은 이 사건 결정 이후에도 여전히 진행 중이다.
주지하다시피, 시장지배적 사업자의 모든 부당한 행위가 곧바로 경쟁법상 남용행위가 되는 것은 아니다. 예컨대 착취남용의 다른 유형인 가격 남용의 경우, 경쟁가격 수준을 상회(또는 하회)하는 모든 가격이 부당(unfair)한 것이 아니고, 오직 그 차이가 상당하고(significant) 지속적(persistent)이어서 과도하다(appreciable)고 볼 수 있는 경우에만 경쟁법 위반인 남용(abuse)으로 인정된다(C‑177/16, paras 55-56; Wahl, 2017, paras 101-108).
부당한 거래조건 강제의 경우에도 마찬가지로서, 모든 부당한, 다른 법에 위반되는 행위가 경쟁법상 남용에 해당하는 것이 아니고 남용이 되기 위해서는 당연히 시장경쟁과 관련을 맺는(a link to competition) 추가적인 요소들이 고려되어야만 한다(Podszun, 2019; Schneider, 2018, pp.221 et seq.).
배경설명 자료에 따르면, 연방카르텔청은 주로 통제권의 상실과 시장지배력 강화를 남용성 판단의 근거로 고려한 것으로 이해되는데, 현재로서는 비판의 여지가 적지 않은 것이 사실이다.
대표적으로 Justus Haucap 교수는 통제권의 상실을 어떻게 경쟁법 위반이 되는지에 대해 여전히 설득력 있는 근거가 제시되지 않았다고 보면서, 특히 (집중된 시장의) 큰 사업자들이 (경쟁시장의) 작은 사업자들보다 더욱 체계적이고 계획적인 방법(systematic fashion)으로 개인정보보호법을 위반한다는 증거를 찾기 어렵다는 점을 지적하였다. (현재 개인정보보호법이 기대하고 있는 보호의 높은 수준을 고려할 때) 오히려 반대의 경우가 많다는 것이 직관에 부합하며, 따라서 개인정보보호법의 위반을 시장지배력 남용의 판단기준으로 보기는 어렵다는 것이다(Haucap, 2019). 다시 말해서 시장지배적 사업자가 부과한 거래조건이 착취남용으로 부당하다고 보기 위해서는 그것이 경쟁시장에서 형성되었을 가격 또는 거래조건(competitive level)보다 훨씬 높은 가격이거나 불공정한 거래조건임이 보여져야 하는데, 프라이버시의 경우에는 이러한 기준이 적용되기 어렵고 오히려 독점 사업자들보다 작은 사업자들에게서 프라이버시 침해가 발생할 가능성이 더 높은 문제가 있다는 것이다(Lamadrid, 2016).
또한 Haucap 교수는 연방카르텔청은 불투명성으로 인해 이용자들이 자신의 개인정보가 어떻게 수집 이용되는지에 대해 알지 못하는 상황을 문제 삼았는데, 이는 정보 불균형(asymmetric information)의 문제로서 정보 불균형은 경쟁시장에서도 발생하는 것으로 시장지배력과 필연적 관계가 없다는 점을 지적하기도 하였다(Haucap, 2019. See also, Lamadrid, 2016).
뒤셀도르프 하인리히 하이네 대학교(Heinrich-Heine-Universität Düsseldorf)의 Justus Haucap 교수 (Photo from dpa)물론 이와 반대로 보이는 견해도 찾을 수 있다. 예컨대 Rupprecht Podszun 교수는 (결정문에서는 좀 더 정교한 이론구성이 되어 있을 것으로 기대한다면서 현재까지 공개된 자료만으로는 설득력이 부족하다는 점을 인정하면서도) 일단은 연방카르텔청의 시도를 긍정적으로 평가하였다. 특히 그는 유럽 경쟁법상 “특별한 의무(special responsibility)”를 부담하는 시장지배적 사업자에게 기존 법을 준수하도록 하는 것은 최소한의 요구라고 보면서, 연방카르텔청과 마찬가지로 불균형한 협상 지위에 있는 일방 당사자를 보호하기 위한 법 원칙이 있는 경우 이를 무시하는 것은 남용행위가 될 수 있다고 보았다. 그리고 경쟁법의 관점에서 정보주체의 통제권 상실(loss of control)을 소비자의 협상력 상실(loss of bargaining power)로 정정한 뒤, 단순히 소비자들에 대한 착취를 막고 이들을 더 나은 협상 지위로 끌어올리는 것 역시 경쟁법의 정당한 역할이라는 전제 하에 이 사건 결정은 소비자의 시장지배적 사업자에 대한 협상력이라는 관점에서 이해할 수 있다고 평하였다.
그는 또 인과성(causation) 측면에서, 시장지배적 사업자가 불법적인 행위로 (예컨대 진입장벽을 높임으로써) 자신의 지위를 강화시킨다면 인과성은 그것으로 충분히 증명되는 것으로 보아야 한다고 언급하기도 하였는데, 이는 시장지배적 지위와 개인정보보호법 위반 행위 사이의 인과관계가 법원에서 엄격한 요건으로 다투어지는 상황을 우려한 것으로 보인다(인과성 요건에 대한 추가적인 설명은 다음 문헌 참조. Schneider, 2018, p.224).
한편 Ioannis Lianos 교수 역시, 과거 경쟁법은 전통적으로 사업자들이 자신의 지위를 이용하여 경쟁을 배제하고 가격을 올렸는지 여부에 집중해왔지만, “이번 사건은, 디지털 경제에서는 소비자에 대한 위해(harms to consumers)가 항상 높은 가격이나 혁신 저해의 형태로 나타나는 것은 아니며, 프라이버시권 침해(lower privacy)의 형태로도 나타날 수 있음을 보여주고 있다”며 긍정적인 반응을 보였다(Kottasová, 2019).
Andreas Mundt 연방카르텔청장(좌)과 Rupprecht Podszun 교수(우) (Photo from Heinrich-Heine-Universität Düsseldorf)3.3. 페이스북의 시장지배력
주지하다시피, 관련 시장을 좁게 획정할수록 사업자의 지배적 지위는 더욱 강하게 드러나게 되고 문제 된 행위의 남용성을 입증하는 것도 쉬워지기 때문에, 시장지배력을 판단하기 위한 전제로서 관련 시장의 획정은 매우 중요한 의의를 갖는다(Petit, 2018).
특히 페이스북과 같은 소셜 네트워크 서비스의 경우 시장의 동태적 성격과 무료로 제공되는 서비스의 특성, 네트워크 효과의 감소, 멀티호밍 가능성 등으로 인해 시장 획정에는 큰 어려움이 존재한다(Lamadrid, 2016). 같은 맥락에서 Jörg Witting은 ‘현재 시점의 시장 지위와 네트워크 효과 그리고 규모의 경제는 해당 산업의 역동적이고 젊은 소비층의 행동 변화에 굉장히 민감한 특성으로 인해 비교적 쉽게 도전받을 수 있다’는 점을 지적하면서 이를 고려하면 페이스북 서비스의 관련 시장은 너무 좁게 획정된 것으로 보인다는 비판적 견해를 밝히기도 하였다(Witting, 2019). 또 Alfonso Lamadrid는 연방카르텔청이 스냅챗, 유튜브 등을 관련 시장에서 배제하면서 기능적 차이(functional differences)를 근거로 든 점을 비판하면서 '현실 경제에서 기능을 차별화하는 것은 경쟁 압력을 피하는 것이 아니라 경쟁을 하는 한 방법이고, 서로 다른 비지니스 모델들도 같은 관련시장 안에서 상존하며 경쟁할 수 있다'고 지적하였다(Lamadrid, 2019).
한편 Justus Haucap 교수는 좁은 시장 획정을 문제 삼기보다는 어떤 방법을 선택하든 경쟁 당국의 관련 시장의 획정에는 일관성이 있어야 함을 강조하였다. 이는 이번 사건의 시장획정 방법과 최근 기업결합 심사 맥락에서 제시되고 있는 ‘주목(attention) 경쟁' 개념*의 모순성을 지적한 것이다. 즉, 디지털 플랫폼들이 이용자들의 주목(attention)을 차지하기 위해 경쟁한다는 관점에서 보면 페이스북과 왓츠앱, 인스타그램 서비스가 경쟁관계에 놓이고 이들의 결합을 통제하기가 용이해진다는 장점이 있으나, 이런 접근은 연방카르텔청이 이번 사건에서 제한된 수요대체성 등을 이유로 왓츠앱 등을 관련 시장에 포함시키지 않은 것과는 모순된다는 것이다. Haucap 교수는 바로 이 지점을 지적하면서 일관된 경쟁법 집행을 위해서는 경쟁당국이 어떤 방법이든 일관된 시장 획정 방법을 채택하는 것이 중요하다고 강조하였다.
* 집행위원회 수석경제분석관 Tommaso Valletti는 최근 발표한 논문에서 온라인 플랫폼들이 전통적 산업과 달리 이용 시간이나 트랙픽 등 이용자들의 ‘주목(attention)’을 더 많이 차지하기 위해 경쟁한다는 점을 지적하고 이러한 점을 기업결합 평가에서 고려해야 한다는 시각을 보인 바 있다(이른바 “markets for attention”)(Prat & Valletti, 2018).
EU 집행위원회 수석경제분석관 Tommaso Valletti (Photo from Chillin'Competition Blog)4. 결론
최근 EU에서는 일반정보보호규칙(GDPR)의 본격 시행과 함께 디지털 단일시장을 위한 경쟁 정책의 변화 움직임도 매우 활발하게 전개되고 있는 상황이다. 이번 결정에서 고려된 요소들과 법 위반의 근거로 제시된 법리들은 유럽연합은 물론 다른 경쟁 당국들에게도 적지 않은 영향을 미칠 것으로 보이며 이와 관련된 논의들에 대해서는 앞으로도 계속 주시할 필요가 있을 것으로 보인다.
참고문헌
이상윤, 독일 경쟁제한방지법(GWB) 9차 개정법의 주요내용, ICR센터 유럽연합 경쟁법 동향 시리즈8, 2017. 7. 5. <https://goo.gl/jdGR1k>
이상윤, EDPS, 빅데이터 시대 통일적 법집행에 관한 의견서 발표, ICR센터 유럽연합 경쟁법 동향 시리즈2, 2016. 11. 3. <https://goo.gl/Wm1G2g>
Advocate General Nils Wahl's Opinion of April 6, 2017, AKKA/LAA v Konkurences padome, Case C‑177/16, EU:C:2017:286 <http://curia.europa.eu/juris/document/document.jsf?text=&docid=189662&doclang=EN>
Autorita' Garante della Concorrenza e del Mercato, 'Press release: Facebook fined 10 million Euros by the ICA for unfair commercial practices for using its subscribers’ data for commercial purposes' (Dec 7, 2018)
Autorité de la concurrence and Bundeskartellamt, 'Competition Law and Data' (May 10, 2016)
<http://www.autoritedelaconcurrence.fr/doc/reportcompetitionlawanddatafinal.pdf>
Bundeskartellamt, 'Arbeitspapier – Marktmacht von Plattformen und Netzwerken, B6-113:15' (Jan 2016).
Bundeskartellamt, 'Background information on the Facebook proceeding' (Dec 19, 2017)
Bundeskartellamt, 'Press release: Bundeskartellamt prohibits Facebook from combining user data from different sources' (Feb 7, 2019a) <https://www.bundeskartellamt.de/SharedDocs/Meldung/EN/Pressemitteilungen/2019/07_02_2019_Facebook.html>
Bundeskartellamt, 'Bundeskartellamt prohibits Facebook from combining user data from different sources - Background information on the Bundeskartellamt's Facebook proceedings' (Feb 7, 2019b)
Commission nationale de l'informatique et des libertés, 'The CNIL’s restricted committee imposes a financial penalty of 50 Million euros against GOOGLE LLC' (Jan 21, 2019)
Cunnane, Yvonne, 'Why We Disagree With the Bundeskartellamt' (Facebook Newsroom, Feb 7, 2019)
<https://newsroom.fb.com/news/2019/02/bundeskartellamt-order/>
Elshof, Marc and Celine Van Es, 'GDPR Update: One Stop Shop' (mondaq, Jan 19, 2018)
<http://www.mondaq.com/x/665774/data+protection/GDPR+Update+One+Stop+Shop>
European Commission, Facebook/Whatsapp, 3 October 2014, Case N. Comp./M. 7217 <http://ec.europa.eu/competition/mergers/cases/decisions/m7217_20141003_20310_3962132_EN.pdf>
European Commission, Microsoft/LinkedIn, 6 Decmber 2016, Case N. COMP/M.8124 <http://ec.europa.eu/competition/mergers/cases/decisions/m8124_1349_5.pdf>
European Court of Justice Judgement of November 23, 2006, ASNEF-EQUIFAX, Case C-238/05, EU:C:2006:734
European Court of Justice Judgement of September 14, 2017, AKKA/LAA v Konkurences padome, Case C‑177/16, EU:C:2017:689
Haucap, Justus and Ulrich Heimeshoff, 'Google, Facebook, Amazon, eBay: Is the Internet Driving Competition or Market Monopolization?' 11(1) Int Econ Econ Policy 49 (2014)
<https://ec.europa.eu/futurium/en/system/files/ged/web_driving_competition_or_monopolization.pdf>
Haucap, Justus, 'The Facebook Decision: First Thoughts by Haucap' (D'Kart, Feb 8, 2019)
<https://www.d-kart.de/en/the-facebook-decision-first-thoughts-by-haucap/>
Kottasová, Ivana, 'Europe is beginning to break up Facebook's business' CNN Business (Feb 8, 2019)
<https://edition.cnn.com/2019/02/08/tech/facebook-european-regulators/index.html>
Kucharczyk, Jakob, 'The German FCO’s Facebook Case: Blurring The Line Between Competition And Data Protection Enforcement' (Disruptive Competition Project, Feb 8, 2019)
Lamadrid, Alfonso, 'Facebook, Privacy and Article 102- a first comment on the Bundeskartellamt’s investigation' (Chillin'Competition, Mar 2, 2016)
Lamadrid, Alfonso, 'The Bundeskartellamt's Facebook Decision - What's not to like? Well...' (Chillin'Competition, Feb 27, 2019)
Manne, Georffrey, 'Doing double damage: The German competition authority’s Facebook decision manages to undermine both antitrust and data protection law' (Truth on the Market, Feb 8, 2019)
<https://truthonthemarket.com/2019/02/08/doing-double-damage-bundeskartellamt-facebook/>
Petit, Nicolas, 'EU engaged in antitrust gerrymandering against Google' THE HILL (Jul 31, 2018)
<https://thehill.com/opinion/technology/399742-eu-engaged-in-antitrust-gerrymandering-against-google>
Podszun, Rupprecht, 'The Facebook Decision: First Thoughts by Podszun' (D'Kart, Feb 8, 2019)
<https://www.d-kart.de/en/die-facebook-entscheidung-erste-gedanken-von-podszun/>
Prat, Andrea and Tommaso M. Valletti, Attention Oligopoly (Jan 25, 2019) <https://ssrn.com/abstract=3197930>
Schneider, Giulia, 'Testing Art. 102 TFEU in the Digital Marketplace: Insights from the Bundeskartellamt’s investigation against Facebook', 9(4) Journal of European Competition Law 213 (Apr 2018) <https://academic.oup.com/jeclap/article/9/4/213/4903311>
Solove, Daniel J., 'Introduction: Privacy Self-Management and the Consent Dilemma' 126(7) Harvard Law Review 1880 (May 2013) <https://harvardlawreview.org/2013/05/introduction-privacy-self-management-and-the-consent-dilemma/>
Vestager, Margrethe, 'Competition in a big data world' (DLD 16, Munich, Jan 17, 2016)
