COPPA(Children's Online Privacy Protection Act, 아동 온라인 개인정보 보호법)는 만 13세 미만 아동의 개인정보를 보호하기 위해 마련된 미국의 데이터 보호법입니다.
COPPA가 등장하기 전에는 온라인 프라이버시 관련 법률이 나이와 상관없이 모든 사람을 똑같이 취급했습니다. 그러나 이 법이 시행되면서 미성년자에게는 추가적인 보호 장치가 마련되었습니다.
그렇다면 COPPA는 구체적으로 어떤 방식으로 작동하며, 실제로 효과가 있을까요?
왜 COPPA가 만들어졌을까?
COPPA는 1998년에 제정되었지만, 2000년에야 본격적으로 법으로 시행되었습니다. 당시 인터넷 마케팅 기법이 점점 더 아동을 주요 타깃으로 삼는 상황이 늘어나면서, 이에 대응하기 위해 만들어진 법입니다.
그 당시에는 대부분의 웹사이트에 개인정보 처리방침이 없었습니다. 그 결과 아동을 대상으로 하는 웹사이트들은 보호자의 동의 없이 아동의 개인정보를 수집할 수 있었습니다. 전문가들은 아동이 자신의 정보가 어떻게 악용될 수 있는지 충분히 이해하기 어렵기 때문에, 스스로 유효한 동의를 할 능력이 없다고 지적했습니다.
COPPA에 따라 현재 기업이 아동의 개인정보를 수집하려면 반드시 사전에 부모(보호자)의 동의를 받아야 합니다.
COPPA의 적용 대상은 누구인가?
미국 연방거래위원회(FTC)에 따르면, 다음 중 하나라도 해당된다면 COPPA의 적용을 받습니다.
- 만 13세 미만 아동을 대상으로 하는 웹사이트나 온라인 서비스를 운영하면서, 해당 아동들의 개인정보를 수집하는 경우
- 일반 대중을 대상으로 하는 웹사이트나 서비스를 운영하면서, 만 13세 미만 아동의 개인정보를 수집하고 있다는 사실을 실제로 알고 있는 경우
- 광고 네트워크를 운영하면서, 만 13세 미만 아동 대상 웹사이트나 서비스를 방문하는 이용자의 개인정보를 수집하는 경우
COPPA 준수란 무엇인가?
기업이 COPPA를 준수하는 것으로 인정받으려면 여러 가지 의무 사항을 지켜야 합니다. 주요 내용은 다음과 같습니다.
- 명확한 개인정보 처리방침 게시: 아동의 개인정보를 수집하기 전에, 어떤 데이터를 수집하는지 구체적으로 설명하는 개인정보 처리방침을 공개해야 합니다. 이 페이지에는 부모의 동의가 법적 필수 요건이라는 안내 문구도 함께 포함되어야 합니다.
- 검증 가능한 부모 동의 획득: 개인정보 수집 전에 부모로부터 확인 가능한 동의를 받아야 합니다. 예를 들어 동의서에 서명을 하거나, 지식 기반 질문에 답하는 방식 등이 활용될 수 있습니다.
- 동의 철회 권한 보장: 부모는 언제든지 동의를 철회할 수 있어야 하며, 철회 방법도 명확하게 안내되어야 합니다.
- 데이터 보안 절차 마련: 아동의 개인정보를 수집하는 기업은 해당 데이터가 도난당하거나 불필요하게 오래 보관되지 않도록 하는 절차를 갖춰야 합니다. 이후 그 데이터를 넘겨받는 제3자에게도 동일한 의무가 적용됩니다.
웹사이트는 COPPA를 준수하고 있을까?
COPPA가 등장하기 전에는 대부분의 웹사이트가 아동의 데이터 프라이버시를 깊이 고려하지 않았습니다. 위반해도 뚜렷한 제재가 없었기 때문입니다.
그러나 법이 시행되면서 수많은 웹사이트는 기존의 데이터 수집 정책을 완전히 손질해야 했습니다. 현재 만 13세 미만 방문자가 있는 웹사이트 대부분은 COPPA를 준수하고 있으며, 아예 13세 미만 사용자의 가입 자체를 금지하는 사이트도 많습니다.
FTC에 따르면 COPPA 요건을 위반하면 건당 최대 43,280달러의 벌금이 부과될 수 있습니다.
그럼에도 불구하고 고액의 소송 리스크에도 일부 기업은 COPPA를 무시해 왔으며, 그 증거로 유명한 적발 사례들이 여러 건 존재합니다.
실제로 이 법에 따라 제재를 받은 기업으로는 2014년에 45만 달러의 벌금을 낸 Yelp와, 2019년에 570만 달러의 벌금을 물은 TikTok이 있습니다.
YouTube는 COPPA를 준수할까?
COPPA의 영향을 가장 크게 체감할 수 있는 곳은 단연 YouTube입니다. 2019년 FTC는 Google에 1억 7천만 달러의 벌금을 부과했는데, 이는 COPPA 시행 이래 역대 최대 규모의 벌금입니다. 이 합의에는 Google이 플랫폼 전반을 개선하기로 하는 내용도 포함되어 있었습니다.
당시 FTC는 Google이 부모의 동의 없이 아동의 개인정보를 고의적으로 수집해 왔다고 주장했습니다.
새로운 규칙에 따라 모든 콘텐츠 크리에이터는 자신의 콘텐츠가 아동을 대상으로 하는지 여부를 밝혀야 합니다. 이 답변은 영상별로 또는 채널 단위로 선택할 수 있습니다. 영상이나 채널이 '아동 대상'으로 지정되면, YouTube는 시청자로부터 수집하는 개인정보의 양을 크게 줄입니다.
여기서 중요한 점은, 이 정책이 시청자의 실제 나이와 상관없이 적용된다는 것입니다.
그 결과 YouTube와 아동 대상 콘텐츠를 제작하는 크리에이터 모두 광고 수익이 크게 감소했습니다. YouTube는 타겟형 광고에 크게 의존해 수익을 창출하는데, 개인정보 수집이 제한되면 타겟 광고 자체가 사실상 불가능해지기 때문입니다.
COPPA에 대한 비판
물론 COPPA가 비판 없이 통과된 것은 아닙니다. 이 법은 '위헌적'이며 '비효율적'이라는 평가를 동시에 받고 있습니다.
위헌 논란의 핵심은 이렇습니다. COPPA 시행 이후 많은 웹사이트가 만 13세 미만 사용자의 가입 자체를 차단하는데, 이런 조치가 해당 연령대 사용자의 표현의 자유를 침해할 수 있다는 지적입니다.
비효율적이라는 평가에는 여러 이유가 있습니다.
- 모호한 법 문구: 법의 표현이 추상적이라 해석의 여지가 큽니다. 예컨대 특정 웹사이트가 실제로 아동을 겨냥한 것인지 판단하기가 쉽지 않아, 기소 자체가 어려운 경우가 종종 발생합니다.
- 허위 동의의 한계: 부모 동의를 확인하는 절차가 조작하기 쉬워, 실제로는 많은 아동이 나이를 속이고 성인인 것처럼 가입합니다.
- 더 위험한 곳으로의 이동: 특정 웹사이트가 아동의 가입을 막으면, 아동은 규제가 더 허술하고 잠재적으로 위험한 다른 사이트로 옮겨갈 가능성이 높습니다.
- 시대에 뒤떨어진 규정: 이 법이 처음 만들어질 당시의 인터넷은 지금과 완전히 달랐습니다. 그 당시 YouTube조차 존재하지 않았는데도, COPPA는 그동안 거의 개정되지 않았습니다.
COPPA는 충분히 효과적일까?
온라인 데이터 수집이 가져오는 문제점은 이제 널리 알려져 있습니다. COPPA의 등장은 만 13세 미만 아동을 이러한 위험으로부터 보호하는 중요한 첫걸음이었고, 덕분에 인터넷은 아동에게 한층 더 안전한 공간이 되었습니다.
그럼에도 불구하고, 이 법이 잠재력에 걸맞은 효과를 내지 못하고 있다는 사실 또한 부정하기 어렵습니다. 그렇지 않았다면 이렇게 많은 대형 위반 사례가 나오지 않았을 것이고, 오늘날까지도 일부 웹사이트는 아무런 제재 없이 이 법을 무시하고 있기 때문입니다.