이번 주, 잉글랜드 및 웨일스 항소법원은 Sky Betting & Gaming(SBG)이 진단된 도박 장애가 있는 이용자의 개인정보를 유효한 동의 없이 처리했다는 고등법원 판결을 뒤집었습니다. 2026년 4월 21일자 판결에서 법원은 데이터 처리 및 직접 마케팅에 대한 동의는 이용자의 심리 상태가 아니라 동의 당시의 관찰 가능한 행동을 기준으로 평가해야 한다고 밝혔습니다. 이번 판결은 온라인 도박 산업 전반에서 동의 판단 방식에 중요한 선례를 제시합니다.
문제성 도박, 쿠키 및 타겟 광고
익명 처리된 원고 RTM은 도박 장애 진단을 받은 이용자입니다. 그는 영국의 주요 도박 운영사 중 하나인 SBG를 상대로 자신의 개인정보가 불법적으로 처리되었다며 소송을 제기했습니다.
RTM은 SBG가 그의 기기에 쿠키를 설치하고 개인정보를 수집했으며, 동의 없이 개인화된 타겟 도박 광고를 발송했다고 주장했습니다. 그는 이러한 마케팅이 자신의 도박 장애를 악화시켜 상당한 금전적 손실과 정신적 고통을 초래했다고 주장했습니다. RTM은 2007년부터 2019년까지 SBG 플랫폼을 이용하면서 총 4만5천 파운드의 손실을 입었다고 밝혔으며, 다만 해당 플랫폼만을 이용한 것은 아니었습니다.
고등법원 판결
1심에서 Collins Rice 판사는 이를 ‘주관적 동의 테스트(subjective consent test)’로 판단했습니다. 그녀의 해석에 따르면 데이터 처리에 대한 유효한 동의는 단순히 체크박스를 클릭하는 형식적 행위만으로는 부족하며, 이용자의 실제 정신 상태를 기준으로 평가되는 “완전한 자율적 선택”이 필요합니다.
판사는 RTM이 형식적인 동의 절차는 수행했다고 인정했습니다. 그러나 그의 “도박 중독, 관련 취약성, 제한된 자율성”을 고려할 때 “동의의 자율적 성격이 상당히 훼손되었으며”, 해당 동의는 충분히 자유롭게 이루어진 것으로 보기 어렵다고 판단했습니다.
특히 RTM 본인은 이러한 자율성 제한 주장을 제기하지 않았으며, 해당 기준은 판사가 독자적으로 법적 분석에 도입한 것이었습니다. 이는 항소 이유 중 하나가 되었습니다. SBG는 두 가지 근거로 항소했습니다. 하나는 원고가 주장하지 않은 논리를 바탕으로 판결이 내려진 절차적 공정성 문제, 다른 하나는 동의 판단 기준 적용의 법적 오류였습니다. 영국 정보위원회(ICO)는 SBG를 지지하며 동의 기준은 전적으로 객관적이어야 한다고 주장하며 소송에 개입했습니다.
항소법원: 동의에 대한 객관적 기준
항소법원은 SBG와 ICO의 주장을 받아들였습니다. Warby 판사는 판결문에서 데이터 주체가 자신의 데이터 처리 또는 직접 마케팅에 대한 의사를 나타내기 위해 “명확한 긍정적 행동(clear affirmative action)”을 했는지가 핵심이라고 밝혔습니다.
“이러한 판단은 전적으로 객관적인 문제입니다”라고 Warby 판사는 강조했습니다. 해당 행동은 “체크박스를 클릭하는 것과 같은 단순한 행위”일 수 있습니다. 동의는 자유롭고 구체적이며 정보에 기반하고 명확해야 하지만, 이러한 기준 역시 모두 객관적으로 판단된다고 설명했습니다.
법원은 데이터 컨트롤러가 동의의 유효성을 입증하기 위해 해당 데이터 주체의 당시 “실제 생각 속에 무엇이 있었는지”를 확인할 필요는 없다고 판시했습니다. 또한 이용자의 취약성을 입증하거나, 완전한 자율적 의사결정 능력이 어느 정도로 저하되었는지를 평가할 의무도 없다고 밝혔습니다.
이에 따라 RTM의 도박 장애는 동의의 유효성과 무관한 요소로 판단되었습니다. 법원은 1심 판결을 “법리적으로 잘못된 접근”이라고 결론 내리고 항소를 인용했으며, 사건은 다시 고등법원으로 환송됩니다.
GDPR 및 도박 산업에서의 동의 요건
이 사건은 유럽 및 영국 데이터 보호법의 핵심 조항에 근거하고 있습니다. GDPR 제4조 11항은 동의를 “자유롭게 주어지고, 구체적이며, 정보에 기반하며, 명확하고 모호하지 않은 데이터 주체의 의사 표시”로 정의합니다. UK GDPR은 브렉시트 이후에도 이 정의를 그대로 유지하고 있으며, 개인정보 및 전자통신 규정(PECR)은 쿠키 및 직접 마케팅에 대해 추가적인 요건을 부과하고 있습니다.
도박 산업에서는 이러한 규정이 특히 중요합니다. 운영사들은 이용자 확보와 유지 과정에서 대규모 개인정보 처리를 기반으로 한 타겟 광고에 의존하기 때문입니다. 영국 도박위원회(UKGC)는 최근 몇 년간 취약 이용자 보호와 관련한 마케팅 규제를 강화해 왔지만, 이는 주로 광고 내용에 초점을 두고 있으며 데이터 처리의 법적 근거와는 구분됩니다.
| 법령 | 주요 동의 요건 |
| GDPR (제4조 11항) | 자유롭게 주어지고, 구체적이며, 정보에 기반하고, 명확하고 모호하지 않음 |
| UK GDPR | 명확한 긍정적 행동 (체크박스, 클릭) |
| PECR | 쿠키 및 직접 마케팅에 대한 구체적 요건 |
출: SiGMA News.
iGaming 관련 주요 데이터 보호 사례
RTM v SBG 판결은 도박 산업 내 일련의 데이터 보호 사건들과 함께 이해할 수 있습니다.
- Lloyd v Google (2021): 영국 대법원은 불법 쿠키 사용 관련 집단소송을 기각하며 손해액을 개별적으로 입증해야 한다고 판단, 대규모 데이터 보호 소송의 범위를 제한했습니다.
- Galvin v BGO Entertainment (2023): 자진 제외 등록 이용자에게 마케팅 메시지를 보낸 혐의로 540만 파운드 벌금이 부과되었습니다. 이 사건은 동의 문제가 아닌 명시적 금지 위반이 핵심이었습니다.
- 2024년 Entain 사건: 영국 도박위원회와의 합의로 1,750만 파운드를 지급했으며, 이는 주로 취약 이용자 보호 시스템 실패와 관련된 책임 문제였습니다.
도박 시장에 대한 시사점
항소법원의 판결은 운영사의 법적 입장을 상당 부분 명확히 했습니다. 이용자가 체크박스 선택, 버튼 클릭, 확인 링크 이동 등 동의를 나타내는 객관적 행동을 한 경우, 해당 동의는 이용자의 심리 상태나 도박 장애 여부와 무관하게 유효하다고 판단됩니다.
그러나 이는 운영사들이 추가적인 의무에서 자유로워진다는 의미는 아닙니다. 영국 도박위원회(UKGC)는 여전히 이용자 취약성을 고려해 마케팅 방식을 조정할 것을 요구하고 있습니다. GamStop 자진 제외 시스템, 입금 한도, AI 기반 행동 분석 등은 규정 준수(컴플라이언스) 프로그램의 필수 요소로 유지되고 있습니다.
영국 온라인 도박 시장은 유럽 최대 규모로, 연간 약 170억 파운드의 총게임수익을 창출하며 상당 부분이 디지털 마케팅과 연계되어 있습니다. ICO는 향후 온라인 도박 환경에서의 동의 기준에 대한 업데이트된 지침을 발표할 예정이라고 ICO 규제 리스크 담당 집행이사 Stephen Almond가 밝혔습니다. 한편 UKGC는 책임 있는 마케팅에 대한 규제를 더욱 강화해 나가고 있습니다.
이 기사는 2026년 4월 28일 러시아어로 처음 게재되었습니다.
SiGMA Top 10 뉴스 카운트다운과 세계 최대 iGaming 커뮤니티의 주간 인사이트를 통해 최신 산업 동향을 확인해 보세요. 구독 전용 혜택도 제공됩니다. 여기에서 지금 가입하세요.
