케임브리지 애널리티카·페이스북 개인정보 유출 스캔들

2014년 6월 무렵 케임브리지대 심리학 강사 알렉산드르 코건은 자신의 회사 글로벌사이언스리서치(GSR)를 통해 '디스이즈유어디지털라이프'라는 성격 진단 설문 앱을 페이스북 플랫폼에 배포했다. 이용자들에게 1~2달러의 대가를 지급하며 참여를 유도한 이 앱은 약 30만명이 직접 내려받았지만, 당시 페이스북의 느슨한 개인정보 정책 탓에 이용자의 '친구' 정보까지 수집할 수 있었던 덕분에 실제로는 약 8700만명에 달하는 방대한 규모의 개인정보가 긁어모아졌다. 코건은 이렇게 수집한 데이터를 페이스북 이용 약관을 위반해 정치 컨설팅 업체 케임브리지 애널리티카에 판매했으며, 이는 훗날 발각 시 페이스북으로부터 즉각 계정 정지 조치를 받게 되는 결정적 근거가 됐다. 이 데이터는 이후 '사이코그래픽 프로파일링' 기법을 통해 유권자 성향을 세밀하게 분석하는 데 활용됐다. 이 사실은 약 4년 가까이 외부에 알려지지 않다가 2018년 3월 내부 고발로 세상에 드러나게 된다.

2018년 3월 16일 페이스북은 케임브리지 애널리티카와 그 모회사인 SCL그룹, 그리고 데이터를 넘긴 알렉산드르 코건의 계정을 자사 플랫폼에서 정지시켰다. 이 조치는 영국 옵서버(가디언 자매지) 기자들이 취재 확인을 위해 페이스북에 관련 사실을 문의한 지 나흘 만에 이뤄진 것으로, 언론 보도를 앞두고 선제적으로 책임을 회피하려는 방어적 조치라는 지적을 받았다. 페이스북은 성명에서 코건이 부적절하게 데이터를 공유했으며 이는 명백한 이용 약관 위반이라고 밝혔지만, 정작 자사의 허술한 데이터 접근 정책이 이런 대량 수집을 가능케 했다는 근본 원인은 짚지 않았다는 비판이 뒤따랐다. 이 조치는 이튿날 터질 대형 특종 보도의 전조였으며, 페이스북 경영진은 이후 며칠간 침묵을 지키며 대응 전략을 고심하게 된다. 이 시점부터 페이스북 주가는 서서히 하락 압력을 받기 시작했다.

2018년 3월 17일 영국 가디언과 미국 뉴욕타임스는 케임브리지 애널리티카 전 직원인 내부고발자 크리스토퍼 와일리의 증언을 바탕으로 이 회사가 페이스북 이용자 수천만명의 데이터를 부정 취득해 도널드 트럼프 대선 캠페인 등을 위한 유권자 성향 분석에 활용했다고 대대적으로 보도했다. 와일리는 이 데이터로 만들어진 '사이코그래픽' 프로파일이 특정 유권자 집단에 맞춤형 정치 콘텐츠를 노출시키는 방식으로 2016년 미국 대선과 브렉시트 국민투표 캠페인(리브닷EU)에 활용됐다고 폭로했다. 이 보도는 순식간에 전 세계로 확산되며 빅데이터 시대 개인정보 보호와 선거 개입 우려에 대한 대대적인 공론화를 촉발했다. 페이스북은 사태 초기 8700만명이 아닌 5000만명 규모로 피해 범위를 축소해 발표했다가 추후 정정하는 등 초기 대응에서도 신뢰를 잃었다. 이 보도를 계기로 페이스북에 대한 규제 당국과 의회의 조사가 본격화됐다.

보도 직후인 2018년 3월 19~20일 사이 소셜미디어에서는 '#DeleteFacebook(페이스북삭제)' 해시태그 운동이 급속히 확산됐으며, 왓츠앱 공동창업자 브라이언 액턴 등 실리콘밸리 인사들까지 동참하며 페이스북에 대한 신뢰 위기가 커졌다. 같은 시기 영국 정보위원회(ICO)는 케임브리지 애널리티카 런던 사무실에 대한 압수수색 영장을 법원에 신청했으며, 이는 이후 실제 현장 조사로 이어지게 된다. 페이스북 주가는 이 며칠 사이 10% 안팎 급락하며 시가총액 수백억달러가 증발했고, 투자자들 사이에서는 규제 리스크에 대한 우려가 급격히 커졌다. 미국과 영국 의회에서는 즉각 마크 저커버그 최고경영자(CEO)의 공개 증언을 요구하는 목소리가 터져 나왔다. 그러나 저커버그는 사태 초기 닷새 가까이 공개 발언을 하지 않아 '침묵'에 대한 비판을 자초했다.

2018년 3월 21일 마크 저커버그 페이스북 CEO는 스캔들이 불거진 지 닷새 만에 자신의 페이스북 계정을 통해 첫 공식 입장을 내고 '이런 일이 다시 일어나지 않도록 하는 것이 우리의 책임'이라며 재발 방지 대책을 발표했다. 그는 제3자 앱의 데이터 접근 권한을 대폭 제한하고, 과거 대규모로 데이터를 수집한 앱들을 전수조사하며, 이용자들이 자신의 정보에 어떤 앱이 접근할 수 있는지 손쉽게 확인·차단할 수 있는 도구를 마련하겠다고 약속했다. 그러나 성명에서 개인적 사과나 책임 인정 표현이 부족했다는 점에서 진정성 논란이 뒤따랐고, 왜 닷새나 침묵을 지켰는지에 대한 의문도 해소되지 않았다. 같은 날 미국 하원 에너지통상위원회는 저커버그에게 공개 청문회 출석을 공식 요청했다. 이는 이후 4월 초 미 의회 청문회로 이어지는 결정적 전환점이 됐다.

2018년 4월 10일 마크 저커버그는 미국 상원 법사위원회와 상무위원회가 공동 개최한 청문회에 출석해 약 5시간에 걸쳐 44명의 상원의원으로부터 질의를 받았다. 그는 이 자리에서 페이스북이 케임브리지 애널리티카 사태를 막지 못한 데 대해 개인적으로 책임을 통감한다고 밝히며 거듭 사과했지만, 다수 의원들이 던진 데이터 관리·독점·알고리즘 관련 기술적 질문에는 제대로 답하지 못해 준비 부족이라는 지적을 받기도 했다. 일부 고령 의원들이 인터넷과 소셜미디어의 기본 작동 방식조차 제대로 이해하지 못한 채 질의해 오히려 화제가 되기도 했다. 이 청문회는 실리콘밸리 빅테크 최고경영자가 데이터 프라이버시 문제로 미 의회에 소환된 초유의 사례로 기록되며 전 세계에 생중계됐다. 저커버그는 이튿날 하원에서도 다시 한번 청문회에 출석해야 했다.

2018년 4월 11일 마크 저커버그는 미국 하원 에너지통상위원회 청문회에 출석해 재차 증언했으며, 이 자리에서 페이스북은 케임브리지 애널리티카에 유출된 이용자 정보가 애초 알려진 5000만명 규모가 아니라 최대 8700만명에 이른다는 사실을 공식 확인했다. 이는 사태 초기 페이스북이 밝혔던 피해 규모를 크게 웃도는 수치로, 회사가 사고 초반 문제의 심각성을 축소하려 했다는 의혹에 힘을 실었다. 의원들은 페이스북의 광범위한 데이터 수집 관행과 이용자 동의 절차의 허점을 집중적으로 추궁했으며, 향후 유사 사태 재발 방지를 위한 연방 차원의 프라이버시 규제 입법 필요성이 본격 논의되기 시작했다. 이 청문회를 계기로 페이스북에 대한 미 연방거래위원회(FTC)의 정식 조사도 속도를 내게 된다. 이틀간의 의회 증언으로 저커버그는 실리콘밸리를 대표해 빅테크 책임론의 상징적 인물이 됐다.

2018년 5월 2일 케임브리지 애널리티카는 자사가 파산 절차를 밟으며 즉각 영업을 종료한다고 발표했다. 회사 측은 스캔들 이후 고객사들이 잇달아 이탈하고 소송 대응 비용이 눈덩이처럼 불어나면서 더 이상 정상적인 사업 운영이 불가능해졌다고 설명했다. 이는 스캔들이 폭로된 지 불과 두 달 만에 나온 결정으로, 한때 세계 각국 선거 캠페인에 데이터 분석 서비스를 제공하며 급성장했던 회사가 순식간에 문을 닫는 극적인 몰락을 상징했다. 회사의 폐업에도 불구하고 미국과 영국 규제 당국의 관련 인물들에 대한 조사와 소송은 이후로도 수년간 이어졌다. 알렉산더 닉스 전 최고경영자를 비롯한 핵심 인물들은 이후 각국 조사에서 추가 증언을 요구받게 된다.

2019년 7월 24일 미국 연방거래위원회(FTC)는 페이스북이 2012년 체결한 기존 동의명령을 위반해 이용자에게 개인정보 통제 권한을 제대로 보장하지 않았다며 사상 최대 규모인 50억달러의 과징금을 부과한다고 발표했다. FTC는 이와 별도로 케임브리지 애널리티카와 전 CEO 알렉산더 닉스, 앱 개발자 알렉산드르 코건에 대해서도 기만적 수법으로 이용자 정보를 수집했다며 법 집행 조치를 취했다. 이번 합의에는 페이스북 이사회 산하에 독립적인 개인정보보호위원회를 신설하고, 이 위원회 임원은 3분의 2 이상의 찬성이 있어야 해임할 수 있도록 하는 등 향후 20년간 회사의 프라이버시 의사결정 구조를 전면 개편하는 내용이 담겼다. 마크 저커버그는 개인적으로도 회사의 규정 준수 여부를 분기·연간 단위로 FTC에 직접 인증해 보고해야 하는 의무를 지게 됐다. 이는 빅테크 기업에 부과된 개인정보 관련 제재 중 역사상 최대 규모로 기록됐다.

2019년 10월 30일 페이스북은 영국 정보위원회(ICO)와 합의하고 2018년 부과받았던 50만파운드(약 8억원)의 과징금을 위법 인정 없이 납부하기로 하면서, 양측이 각자 제기했던 항소를 모두 철회하기로 했다. ICO는 앞서 2018년 10월 '디스이즈유어디지털라이프' 앱을 통해 최대 8700만명의 전 세계 이용자 정보가 수집돼 케임브리지 애널리티카의 모회사인 SCL 일렉션스 등 제3자에 넘어갔다며, 옛 영국 데이터보호법상 부과 가능한 최고 한도액인 50만파운드를 매겼다. 액수 자체는 페이스북의 매출 규모에 비하면 상징적 수준에 그쳤지만, 영국 규제당국이 페이스북에 부과한 최초의 정식 제재라는 점에서 의미가 있었다. 이 합의를 끝으로 케임브리지 애널리티카 스캔들을 둘러싼 주요 규제 조치들이 사실상 마무리됐으며, 이후 각국은 이 사건을 계기로 한층 강화된 개인정보 보호 입법을 추진하게 된다. 이로써 2018년 3월 폭로 이후 약 1년 7개월간 이어진 스캔들의 공식적 매듭이 지어졌다.