지난주 다수의 윈도우 11 사용자들이 시작 메뉴에서 설치한 적 없는 앱을 발견했다. 원드라이브 포토라는 이 사진 관리 프로그램은 사용자 동의 없이 설치됐으며, 안면인식으로 수집하는 얼굴 데이터를 어디서 처리하는지도 확인되지 않았다. 원드라이브 포토는 윈도우 11에 기본 탑재된 이미지 뷰어 마이크로소프트 포토와는 별개의 프로그램이다.
원드라이브 포토는 로그인 절차 없이 실행돼 로컬 드라이브의 사진을 곧바로 화면에 띄운다. 7월 29일 공개된 윈도우즈레이티드(Windows Latest)의 실사용 테스트에서 마이크로소프트 계정이 연결되지 않은 상태에서 이 앱이 로컬 사진 라이브러리를 감지해 표시하는 것이 확인됐다. 원드라이브를 사진 관리용으로 써본 적 없는 사용자라도, 존재조차 몰랐던 이 앱이 이미 자신의 사진을 얼굴별로 분류해 놓았다.
이 앱만 따로 지우는 방법은 없다. 삭제하려면 원드라이브 프로그램 자체를 제거해야 한다. 소프트웨어 인벤토리 도구에도 잡히지 않는다. 원드라이브 포토는 원드라이브 앱의 실행 파일 하위에서 구동되는 방식이어서, 마이크로소프트 인튠(Intune) 같은 IT 자산관리 시스템의 신규 설치 항목으로 등록되지 않는다.
기업 IT 부서가 관리 대상 기기 전체에 이 앱이 깔려 있어도 디바이스 준수 대시보드에서 그 사실을 확인하지 못할 수 있다는 뜻이다. 앱 안의 ‘사람’ 섹션은 사용자 사진 라이브러리 전반에서 유사한 얼굴을 자동으로 묶어준다. 마이크로소프트는 이 기능을 켜기 전 동의를 요구하며, 동의 창에는 해당 데이터가 “일부 지역에서는 생체 데이터로 간주될 수 있다”는 경고가 담겨 있다. 마이크로소프트 공식 지원 문서는 이 기능이 “얼굴 스캔과 생체 정보를 수집, 사용, 저장한다”고 명시한다. 이 얼굴 데이터가 실제로 어디서 처리되는지는 확인되지 않았다.
다만 정황은 서버 처리 쪽을 가리킨다. 마이크로소프트의 현재 문서와 프리뷰 빌드 관련 보도에 따르면 사용자는 ‘사람’ 기능을 끌 수 있지만, 연간 3회까지만 가능하다는 제한이 걸려 있다. 윈도우즈포럼닷컴(WindowsForum.com)의 커뮤니티 분석은 이 제한이 사용자가 기능을 반복적으로 켜고 끌 때마다 마이크로소프트 서버에서 생체 데이터를 삭제하고 재생성해야 하는 연산 비용을 반영한 것일 수 있다고 지적한다.
데이터 삭제와 재생성이 서버에서 이뤄진다면, 이는 곧 처리 자체도 서버에서 이뤄진다는 뜻이 된다. 마이크로소프트는 ‘사람’ 기능이 개인 사용자에게만 표시되고, 얼굴 분류 데이터는 제3자와 공유되거나 회사의 AI 모델 학습에 쓰이지 않으며, 기능을 끄면 30일 안에 데이터가 영구 삭제된다고 밝혔다. 이런 약속에도 불구하고 처리 위치 자체에 대한 답은 제공하고 있지 않다.
마이크로소프트의 설명은 정작 가장 중요한 질문에서 비어 있다. 신경망 처리장치(NPU)가 탑재된 코파일럿+ PC에서는 안면 분석이 기기 내부에서 이뤄질 가능성이 높은 반면, NPU가 없는 대다수 기업용 PC에서는 처리가 마이크로소프트 클라우드에서 이뤄질 가능성이 높다는 것이 커뮤니티 분석이다.
처리가 클라우드에서 이뤄진다면 사진이나 그로부터 추출된 얼굴 형태 데이터가 기기를 벗어나 마이크로소프트의 서버로 이동하게 된다. 이 사안을 질의 받은 마이크로소프트 대변인은 슬래시닷(Slashdot)에 “원드라이브는 해당하는 경우 마이크로소프트 365와 셰어포인트로부터 개인정보 보호 기능과 설정을 물려받는다”고 답했을 뿐, 여전히 구체적인 처리 위치는 밝히지 않았다.
비교하자면 애플은 포토 앱의 안면인식을 모든 사용자를 대상으로 기기 내부에서 전적으로 수행한다. 아이클라우드 동기화를 켜도 원본 이미지가 아닌 암호화된 얼굴 형태 메타데이터만 기기 밖으로 나간다. 마이크로소프트는 원드라이브 포토에 대해 이런 수준의 확인도, 부인도 하지 않고 있다. 이 설명 공백은 단순한 궁금증에 그치지 않는다. 원드라이브 포토는 마이크로소프트가 사전 공지나 명시적 동의 없이 윈도우 11에 소프트웨어를 배포해 온 반복된 패턴의 연장선에 있기 때문이다.
2025년 말 마이크로소프트는 365 데스크톱 소프트웨어 사용자 기기에 컴패니언 앱 모음을 자동 설치해 IT 관리자들의 반발을 샀고, 2026년 초 항의로 일시 중단했던 365 코파일럿 앱 강제 설치는 표준 업데이트 차단과 별도인 오피스 클릭투런 채널을 통해 6월 재개됐다. 화면을 지속적으로 캡처해 검색 이력을 만드는 AI 기능 리콜은 개인정보 보호 반발 이후 지연되고 다시 설계돼 기본값이 옵트인으로 바뀐 바 있다. 매번 외부 연구자나 언론이 먼저 문제를 확인한 뒤에야 공개 설명이 뒤따랐다.
이 문제는 법적 쟁점으로 이어진다. EU GDPR 9조는 개인을 고유하게 식별할 목적의 생체 데이터를 가장 엄격한 특별 범주로 분류하며, 이를 처리하려면 일반 동의보다 훨씬 높은 기준인 “자유롭게 주어지고, 구체적이며, 정보에 근거하고, 명확한” 동의가 필요하다. EU 규제 당국은 개인이 스스로 설치를 선택하지 않은 인터페이스 안에 담긴 동의 요청이 이 기준을 충족하지 못한다고 판단해 왔다. 거부할 경우 원드라이브 동기화 전체를 삭제해야 하는 불균형한 비용이 발생한다는 점이 ‘자유롭게 주어진’ 동의라는 조건 자체를 흔들기 때문이다.
연간 3회로 제한된 기능 철회 옵션 역시 규제 당국이 GDPR 위반 사례로 지목해 온 유형의 제약이다. 처리 구조가 불투명한 상태로는 기업이 GDPR 35조에 따른 개인정보 영향 평가(DPIA)도 완료할 수 없다. 이 평가는 생체 데이터의 대규모 처리처럼 위험도가 높은 활동을 시작하기 전에 의무적으로 거쳐야 하는데, 처리가 기업이 관할하는 기기에서 이뤄지는지 제3자 클라우드에서 이뤄지는지조차 모르는 상태에서는 평가 자체가 불가능하다.
미국에서는 일리노이주 생체정보프라이버시법(BIPA)이 얼굴 형태 스캔을 포함한 생체 식별자 수집 시 사전 서면 통지와 서면 동의서 확보를 의무화하고 있다. 이 법은 유사한 사실관계의 기업들로부터 거액의 합의를 이끌어낸 전례가 있다. 구글은 2022년 구글 포토의 얼굴 분류 기능과 관련한 BIPA 집단소송을 1억 달러(약 1,390억 원)에 합의했고, 메타는 2020년 사진 태그 기능과 관련해 6억 5,000만 달러(약 9,030억 원)를 지불했다.
마이크로소프트는 2026년 2월 제기된 별도의 BIPA 집단소송에서 마이크로소프트 팀즈가 요구되는 서면 동의 없이 일리노이 사용자들의 음성 정보를 수집 및 저장했다는 혐의를 받고 있으며, 2022년 제기된 또 다른 소송에서는 기존 마이크로소프트 포토 앱이 얼굴 분류 기능을 켜기 전부터 모든 이미지에 대해 안면인식을 수행해 “얼굴이 어디 있는지 파악”했다는 혐의가 제기됐다. 원드라이브 포토는 사용자 선택 없이 배포된 새 앱을 통해 동일한 기능을 다시 도입한 것이다.
