[침해사례] 디스코드, GDPR 위반으로 80만 유로 벌금

게임 메신저로 유명한 Discord가 GDPR 위반으로 프랑스 개인정보보호 감독 기구(CNIL)로부터 800,000유로의 벌금을 부과 받았어요. 그 이유를 자세히 알아보면:


• 데이터 보존 정책의 부재 – 비활성화 상태가 3년 이상인 계정 240만 개 확인되었고, 5년이 넘은 계정은 58,000개가 확인되었어요.
• 데이터 보호 영향 평가 미수행
• 데이터를 보호하지 않는 기본 설정 – 인터넷 창을 닫을 때는 ‘X 버튼’을 클릭하시죠? 그만큼 ‘X’를 누르면 현재 화면이 종료될 것이라 생각할텐데요. 하지만 디스코드에선 채팅 종료를 생각하고 ‘X 버튼’을 클릭하면 채팅이 종료되는 것이 아니라, 백그라운드로 이동되어 계속 실행되었어요. 목소리가 여전히 녹음되거나 방송된다는 사실에 대한 안내도 없었고요.
• 비밀번호 설정 규칙의 단순함 – 규칙이 ‘문자와 숫자가 혼합된 6글자’로 너무 단순했어요. GDPR에서는 강력한 보안을 위해 문자, 숫자, 대문자, 특수문자를 조합한 8자 이상을 권고하고 있어요.


주목할 점은 CNIL이 조사를 시작한 이유가 ‘데이터 유출’이 아닌, 기본적인 ‘데이터 보호 정책이 미흡’했기 때문이라는 점이에요. 이제 개인정보가 유출된 기업만이 아닌, 일반 기업도 언제든지 조사할 수 있다는 의미죠. 특히 디스코드는 미성년자 이용자가 유독 많아 조사 대상이 되었다고 해요.