[뉴스스페이스=이은주 기자] 2025년 8월 1일(현지시간), 메타(구 페이스북)가 생리 추적 앱 ‘플로(Flo)’를 이용해 여성 수백만명의 민감한 건강정보를 불법적으로 수집한 행위에 대해 샌프란시스코 연방 배심원단이 캘리포니아 개인정보보호법을 위반했다고 평결했다.

 

Bloomberg Law, FTC 공식보도, Law360, EuropeanBusinessMagazine 등의 자료와 보도에 따르면, 이번 판결로 빅테크와 디지털 헬스 데이터의 프라이버시를 둘러싼 법적 기준이 새롭게 제시됐다.

 

사상 첫 빅테크 여성건강정보 대형 소송, ‘메타만 남았다’

약 3800만명 규모의 집단소송에서 플로 헬스(Flo Health)와 구글(Google)은 중도에 별도합의(비공개 금액)로 퇴장했고, 플로는 잘못을 인정하지 않는 조건으로, 남은 피고 메타만이 배심원 평결을 오롯이 감당하게 됐다.

 

플로는 이미 2021년 미국 연방거래위원회(FTC)와의 합의에서 향후 데이터 공유 전 사용자 명시 동의 의무 등의 조치가 내려진 바 있으며, 이후에도 “건강정보 마케팅 목적 미공유 및 '익명모드' 등 개인정보보호 조치”를 도입했음을 강조했다.

 

 

어떤 데이터가, 어떻게 수집됐나?

 

법원에 따르면, 2016년 11월~2019년 2월 사이 Flo 앱 내 탑재된 메타의 소프트웨어 개발 키트(SDK)가 사용자들의 월경 주기, 기간, 임신 계획 여부 등 민감한 건강데이터를 자동 전송해왔다. 핵심 증거였던 ‘12개의 커스텀 이벤트’(예: 직접 월경일 기록, 임신 테스트 결과 입력 등) 데이터는 실시간 또는 일정 주기마다, 사용자의 의사와 무관하게 전송된 것으로 밝혀졌다.

 

피해 추정 규모와 손해배상액

캘리포니아 사생활 침해 방지법(CIPA, 1967년 제정)에 따라, 개별 피해당 최대 5000달러의 법정벌금 부과가 가능하다. 미국 전역 3000만~3800만명(집단소송 기준)이 대상으로, 만약 전부 인정될 경우 잠재적 손해배상액은 수십억~수백억 달러에 달할 수 있다는 평가다.

 

실제 플로의 FTC 합의 당시에도 1인당 1000달러의 법정 최소 피해액 책정 요구가 있었으나, 이번 메타 판결은 그 이상의 금액이 논의될 가능성이 높다.

 

메타, 끝까지 데이터 수령 부인…"페이스북, 기밀통신 받은 적 없다"

메타 측은 “페이스북이 원고의 기밀 건강통신을 받거나 도청·녹음한 적이 없다”며 일관되게 혐의를 부인했다. 이번 재판에서도 메타 측 변호사 미셸 존슨(Michelle Johnson)은 “우리는 민감 정보 수취도, 도청 기록도 한 적이 없다”고 주장했으나, 배심원단의 평결은 달랐다.

 

 

왜 이 재판이 역사적인가

 

미국 내 빅테크가 여성의 건강 등 극히 사적인 정보를 대규모로 수집하다 개인정보법 위반으로 유죄 판결을 받은 첫 사례로 기록됐다. 또 2022년 미 연방대법원 ‘낙태권’ 판례 파기 이후, 여성 헬스 데이터 보호 논란과 맞물려 사회적 파급력, 법적 기준 모두 새 이정표를 세웠다는 평가다.

 

이번 판결은 캘리포니아 프라이버시법(CIPA)이 1960년대 도청 시대에서 디지털 데이터 시대에 적용된 첫 실전 판단이라는 점에서 미국 및 글로벌 프라이버시 법제와 업계 실무에 지대한 영향을 끼칠 전망이다.

 

오래된 의혹과 ‘이중 합의’, 글로벌 후폭풍

 

2019년 월스트리트저널(WSJ) 보도 이후 FTC가 플로를 겨냥한 조사를 즉각 개시했고, 2021년 FTC-플로 합의에서 향후 타사 데이터를 공유 전 사용자 동의 및 알림, 제3자 공유 중단 등 엄격한 조치가 마련됐다.

 

이번 소송에는 구글·메타·앱스플라이어 등도 함께 연루, 모두가 집단소송 피고로 지명됐다가, 거래·합의 등으로 메타만 단독으로 심판대에 올랐다.

 

법원은 “플로, 메타, 구글이 모두 사용자의 명시적 동의 없이 생리 및 임신 정보 등 건강 데이터 앱을 통해 제3자에 공유함으로써 프라이버시권, 공정위반 등 각종 주 법령 및 계약 위반에 해당한다”는 원고 주장을 대체로 받아들였다.

 

 

전망 및 시사점

이번 판결은 모든 디지털 헬스케어·라이프스타일 앱, 그리고 전세계 빅테크가 ‘프라이버시 보호·동의 체계’를 한층 강화하도록 강제하는 신호탄이 될 전망이다. 

캘리포니아 도청법(CIPA)이 처음으로 디지털 데이터 프라이버시 영역에 전면 적용됨으로써, 향후 유사 분야 소송의 ‘법리 기준점’이 될 것으로 보인다.

 

아울러 한국 등 국내외 개인정보보호법에도 유사한 소송과 규제의 물꼬를 트는 사례가 될 수 있다는 분석이 나온다.