미국 최대 유통기업 월마트(Walmart)가 고객센터 전화 통화 과정에서 인공지능(AI) 기술을 활용해 고객의 음성지문(Voiceprint)을 무단으로 수집·보관했다는 이유로 집단소송을 당했다.
미국 일리노이주 주민인 캐롤 크룹케(Carol Krupke)와 잔 토마스(Jeanne Thomas)는 월마트가 고객센터 상담 전화 과정에서 인공지능으로 고객의 음성 틀을 생성해 생체정보를 불법 수집했다며 미국 일리노이 북부연방법원에 집단소송을 제기했다고 블룸버그 로(Bloomberg Law)가 8월 6일 전다. 월마트는 미국 아칸소주에 본사를 둔 세계 최대 규모의 오프라인 유통 체인 기업이다.
원고 측은 월마트가 사기 예방 등 경영상 목적으로 고객 음성지문(AI 기술로 개인의 음성 특징을 추출해 본인을 식별하는 고유 생체 정보)을 수집하면서 사전 서면 동의 절차를 거치지 않았다고 지적했다. 이는 일리노이주 생체정보보호법(BIPA·Biometric Information Privacy Act, 개인의 지문·음성 등 생체 식별 정보를 수집할 때 사전 서면 통지 및 동의를 의무화한 법률)을 위반했다는 주장이다. 월마트는 2026년 6월 18일 개정한 개인정보 처리방침에 고객 서비스 통화 시 녹음 기술로 음성지문 등 개인정보를 수집한다고 명시했다. 하지만 원고 측은 이 방침만으로는 법률이 요구하는 구체적인 사전 서면 동의 요건을 충족하지 못한다고 밝혔다.
법적 동의 없는 AI 생체정보 수집… 위반당 최대 5000달러 배상 청구
일리노이주 생체정보보호법에 따르면 기업이 개인의 생체 식별 정보를 수집하거나 보관하려면 수집 목적과 보관 기간을 서면으로 통지하고 당사자의 서면 서명을 받아야 한다. 커트하우스뉴스(Courthouse News)에 따르면 이를 이행하지 않고 생체정보를 수집할 경우 위반 건당 1000달러(약 138만 원)에서 고의성이 인정될 경우 최대 5000달러(약 690만 원)의 법정 손해배상금을 지급해야 한다. 원고 측은 음성 데이터베이스가 해킹이나 유출 사고에 노출될 경우 소비자가 신원 도용 위험에 무방비로 직면하게 된다고 경고했다.
개정 BIPA 법안 적용 여부도 쟁점
이 사건은 과거 패스트푸드 체인 화이트캐슬(White Castle)의 생체정보 유출 소송 판결 이후 개정된 일리노이주 생체정보보호법의 적용을 받는 주요 사례가 될 전망이다. 앞서 2023년 일리노이주 대법원은 직원들이 지문 스캔을 할 때마다 개별 위반이 성립한다고 판결했고, 화이트캐슬은 939만달러(약 129억 원)의 합의금을 지급한 바 있다.
그러나 일리노이주 의회는 2024년 법을 개정해 동일인에 대한 생체정보 무단 수집 손해배상 청구 범위를 원고 1인당 단 1회의 위반으로 제한했다. 미국 연방법원 제7순회항소법원은 지난 4월 이 개정법이 기존 계류 중인 사건에도 소급 적용된다고 확인한 바 있어, 이 규정이 월마트에 대한 손해배상금 규모 산정에 어떠한 영향을 미칠지가 주요 법적 쟁점으로 떠오르고 있다.
[Q&A] 기사 관련 주요 질문과 답변
Q1. 월마트가 고객의 음성지문을 수집한 목적은 무엇인가요? A1. 월마트의 개인정보 처리방침에 따르면 사기 예방 및 고객 서비스 품질 향상 등 경영상 목적을 위해 고객센터 전화 통화 중 AI 기술을 활용하여 음성지문(음성 틀)을 수집 및 보관했습니다.
Q2. 원고들이 월마트를 상대로 소송을 제기한 법적 근거는 무엇인가요? A2. 일리노이주 생체정보보호법(BIPA)을 근거로 삼고 있습니다. 이 법은 기업이 개인의 음성, 지문 등 생체식별 정보를 수집할 때 수집 목적과 기간을 서면으로 통지하고 반드시 서면 동의를 받도록 규정하고 있습니다.
Q3. 일리노이주 생체정보보호법(BIPA) 위반 시 기업이 부담해야 하는 손해배상 액수는 얼마인가요? A3. BIPA 규정에 따라 위반 건당 1000달러(약 138만 원)에서 고의적이거나 무모한 위반일 경우 최대 5000달러(약 690만 원)의 법정 손해배상금이 부과될 수 있습니다.
Q4. 과거 패스트푸드 체인 화이트캐슬 사건과 이번 월마트 소송의 차이점은 무엇인가요? A4. 2023년 화이트캐슬 사건 당시에는 지문을 스캔할 때마다 각각 별개의 위반으로 인정되어 939만달러(약 129억 원) 규모의 합의금이 부과됐습니다. 그러나 2024년 법이 개정되면서 동일인에 대한 위반 배상 청구가 1회로 제한되었습니다.
Q5. 개정된 일리노이주 생체정보보호법이 월마트 소송에 미칠 영향은 무엇인가요? A5. 지난 4월 미국 연방법원 제7순회항소법원이 개정 BIPA법의 소급 적용을 인정함에 따라, 월마트가 패소하더라도 원고 1인당 수천 번의 통화에 대해 각각 배상하는 대신 1회 위반 기준의 배상금만 부담하게 될 가능성이 큽니다.
