미국 연방통신위원회(FCC)가 최근 인터넷 서비스 제공업체(ISP)가 고객 정보를 수집·판매하는 것을 막는 규정안을 의결했습니다. 개인 정보 보호를 위해 노력해 온 이들에게는 분명한 승리처럼 들리지만, 실제로 이 규정이 우리를 얼마나 보호해 줄 수 있을까요?
예상할 수 있듯이 이번 규정은 상당히 복잡합니다. 따라서 이것이 개인 정보를 얼마나 확실하게 지켜 줄지 판단하기란 쉽지 않습니다. 이 글에서는 규정의 구체적인 내용, 기업들이 해야 할 일, 그리고 기업들의 예상 반응까지 짚어보겠습니다.
규정의 핵심 내용
모르고 지나치기 쉬운 사실이지만, FCC에 따르면 "소비자들은 단순히 서비스를 이용하는 것만으로도 매일 매우 민감한 정보를 포함한 개인 정보를 ISP에 넘기고 있습니다." 방문하는 웹사이트, 사용하는 소프트웨어, 검색 습관, 인터넷으로 주고받는 모든 데이터는 다른 곳에 도달하기 전에 반드시 ISP를 거쳐갑니다.
그런데 이 규정이 시행되기 전까지 ISP는 고객의 동의 없이도 이런 정보를 마음대로 판매할 수 있었습니다. VPN을 사용하지 않는다면 지금 이 순간에도 ISP가 여러분의 검색 기록을 광고주에게 팔고 있을 가능성이 높습니다. 물론 방문하는 웹사이트 역시 정보를 판매하고 있겠지만, 그 사이트를 이용하지 않으면 되니 어느 정도 선택권이 있는 셈입니다. 반면 ISP는 선택의 여지가 거의 없습니다(적어도 미국에서는요).
옵트인과 옵트아웃
이제부터 ISP는 일부 정보의 수집과 판매에 대해 고객의 동의를 받아야 합니다. 구체적으로 민감 정보를 수집하거나 제3자와 공유할 때는 옵트인(opt-in), 즉 명시적 동의를 받아야 하며, 해당 정보는 다음과 같습니다.
- 정확한 위치 정보
- 아동 관련 정보
- 건강 정보
- 금융 정보
- 사회보장번호(SSN)
- 웹 검색 기록
- 앱 사용 기록
- 통신 내용
ISP가 위 정보 중 하나라도 수집하려면 반드시 먼저 허락을 구해야 하며, 고객이 거부하면 수집할 수 없습니다. 아주 단순한 원칙입니다.
반면 민감하지 않은 정보에는 옵트아웃(opt-out) 방식이 적용됩니다. 즉, ISP 계정 설정에서 직접 해당 옵션을 찾아 수집·판매를 거부해야 합니다. 그렇다면 '민감하지 않은 정보'란 무엇일까요? FCC는 이를 "그 외 모든 개인 식별 가능 고객 정보(예: 요금제 등급 정보)"로 정의합니다.
이 외에도 ISP는 별도의 동의 없이 일부 목적으로 정보를 활용할 수 있습니다. FCC의 설명은 다음과 같습니다.
다음과 같은 목적에는 고객 동의가 있는 것으로 간주됩니다.
- 고객이 가입한 초고속 인터넷 서비스와 함께 일반적으로 제공·판매되는 서비스 및 장비를 공급하고 홍보하기 위한 비민감 정보의 이용 및 공유
- 초고속 인터넷 서비스 제공, 요금 청구 및 수납
- 통신망의 부정 사용으로부터 사업자와 고객을 보호하기 위한 목적
이 세 가지 등급의 보호 체계가 FCC 신규 규정의 골격입니다. 여기에 더해 FCC는 정보 공유를 거부했다는 이유로 서비스 가입을 거부하는 행위, 익명화된 데이터를 재식별하는 행위, 보안 사고 통보를 미루는 행위도 금지했습니다.
전반적으로 개인 정보 보호 측면에서 한 걸음 나아진 조치임은 분명합니다. 일부 활동가들이 더 강력한 규정을 바랐다는 점을 감안하더라도 말입니다.
업계의 반응
예상대로 ISP들은 이번 규정에 크게 반발하고 있습니다. 고객 정보 판매는 이들에게 중요한 수익원이며, 소비자가 판매를 막을 수 있게 되면 수익에 적지 않은 타격이 될 수 있기 때문입니다.
버라이즌, 컴캐스트, AT&T 같은 사업자들을 특히 불편하게 만드는 문제 중 하나는 인터넷 기업에는 이런 규정이 적용되지 않는다는 점입니다. 페이스북, 구글, 이베이 등은 원하는 대로 정보를 판매할 수 있습니다. 반면 ISP는 '전기통신사업자'로 분류되어 FCC의 관할 대상이 됩니다(이는 미국 네트워크 중립성 논의의 핵심이기도 합니다). 인터넷 기업은 연방거래위원회(FTC)의 규제를 받습니다.
AT&T와 구글은 이미 이 결정에 대해 항의했으며, 앞으로 반발은 더욱 거세질 것으로 보입니다. 다수의 ISP가 내년에 FCC를 상대로 소송을 잇달아 제기할 것으로 예상됩니다. 규정이 너무 새로 나온 터라 어떤 전략을 쓸지는 알 수 없지만, 법정 공방은 오랫동안 이어질 것이 분명합니다.
그렇다면, 내 개인 정보는 안전할까?
FCC의 새 규정이 개인 정보 보호에 도움이 될까요? 적어도 단기적으로는 '그럴 가능성이 높다'가 답입니다. 옵트인·옵트아웃 의무는 "연방 등록부(Federal Register)에 명령 요약본이 게재된 후 약 12개월"부터 시행되므로, 사업자들이 준수해야 할 때까지 최소 1년의 유예 기간이 주어집니다. 규정이 그 전에 법원에서 뒤집히지 않기를 바랄 뿐입니다. 소규모 사업자에게는 추가로 12개월의 유예가 주어집니다.
이 규정의 실효성은 FCC가 법정에서 자신의 결정을 얼마나 잘 방어하느냐에 크게 좌우될 것입니다. AT&T, 버라이즌, 컴캐스트는 어마어마한 로비 역량을 갖춘 기업들입니다. AT&T의 타임 워너 인수와 버라이즌의 야후! 인수가 완료되면 이들의 영향력은 더욱 커질 것이고, FCC 입장에서도 긴장할 수밖에 없는 상황입니다.
다만 FCC는 네트워크 중립성을 위해 ISP를 전기통신사업자로 분류하면서 이들 기업과 맞서 승리한 경험이 있습니다. ISP들은 소비자의 이익과 자신들의 이윤 사이에서 지긋지긋하고 긴 공방을 벌일 가능성이 높습니다.
이번에는 우리의 이익이 승리하기를 바랄 뿐입니다.
새로운 FCC 규정에 대해 어떻게 생각하시나요? FCC가 이런 종류의 문제를 규제해야 할까요? ISP가 소비자 보호를 받아들일까요, 아니면 법정에서 뒤집힐까요? 아래 댓글로 의견을 나눠주세요!