페이스북이 우리에 대해 어떤 데이터를 수집하는지 불안해하는 사람들이 많습니다. 우리가 자발적으로 정보를 제공하기는 하지만, 소셜 네트워크가 수집하는 정보의 범위는 상상을 초월할 수 있습니다. 게다가 우리가 내어준 정보만으로 얼마나 많은 세부 사항을 유추해낼 수 있는지도 놀라운 일이죠.
실제로 '디지털 섀도우(Digital Shadow)' 같은 분석 프로그램을 프로필에 적용해보면, 정교한 알고리즘이 비밀번호마저 상당히 정확하게 추측해낸다는 사실을 알게 됩니다.
하지만 글로벌 거대 기업을 상대로 한 개인정보 보호 전쟁은 조금씩 승기를 잡아가고 있습니다. 적어도 유럽에서는요. 페이스북이 벨기에에서 비회원 추적을 48시간 안에 중단하라는 명령을 받았기 때문입니다.
벨기에가 페이스북을 상대로 소송 중?
놀라시겠지만 사실입니다. 페이스북은 비회원까지 추적합니다.
소셜 미디어 열풍에 빠져들었든, 아니면 그것을 거부했든 상관없습니다. 인터넷을 사용한다면 — 지금 이 글을 읽고 계시니 사용 중이시겠죠 — 페이스북은 여러분을 추적할 수 있습니다.
페이스북은 '섀도우 프로필(shadow profile)'이라는 방식으로 이를 수행합니다. 페이스닷컴 도메인(팬 페이지, 기업·정당 홍보 페이지, 개인정보 설정이 허술한 프로필 등)을 방문하거나, '좋아요' 버튼 같은 소셜 플러그인이 삽입된 사이트를 방문할 때 방문자에 대한 대략적인 추정 정보를 구축하는 것입니다. 특히 소셜 플러그인은 1,300만 개가 넘는 웹사이트에서 사용되며, 추적 쿠키를 읽어 그 정보를 페이스북에 전송합니다.
벨기에 개인정보보호위원회(CPVP/CBPL)는 페이스북이 유럽 개인정보법을 '유린'한다고 판단했습니다. 반면 페이스북은 유럽 본사가 더블린에 있으므로 아일랜드 법의 적용만 받는다고 주장합니다. 위원회는 이렇게 경고했습니다.
"[소셜 플러그인을 통한 사람 추적]은 페이스북 사용자에게만 영향을 미치는 것이 아니라, 벨기에와 유럽의 사실상 모든 인터넷 사용자에게 영향을 미칩니다."
결국 11월 10일, 벨기에 법원은 페이스북에게 사이트를 방문하는 비회원에 대한 추적을 48시간 내에 중단하라고 명령했습니다. 이행하지 않으면 하루 최대 25만 유로(약 26만 7천 달러)의 벌금을 물 수 있다는 조건이 붙었습니다.
그 이유는 무엇일까요? 법원은 페이스북이 개인 데이터를 수집하려면 해당 방문자의 동의가 반드시 필요하다고 판단한 것입니다. 페이스북 대변인은 다음과 같이 밝혔습니다.
"우리는 지난 5년 이상 datr 쿠키를 사용해 전 세계 15억 명의 페이스북 보안을 지켜왔습니다… 우리는 이 결정에 불복해 항소할 것이며, 벨기에 이용자들의 페이스북 접근에 방해가 최소화되도록 노력할 것입니다."
페이스북 최고 보안 책임자 알렉스 스타모스(Alex Stamos)에 따르면, 이 쿠키는 주로 가짜 계정과 스팸 계정 생성을 차단하고 사기 활동 위험을 낮추는 데 쓰인다고 합니다.
"예를 들어, datr 쿠키 기록상 어떤 브라우저가 지난 5분 동안 수백 개의 사이트를 방문했다면, 컴퓨터로 제어되는 장치(봇)를 다루고 있다는 강력한 신호입니다. 반대로 며칠에 걸쳐 일관되게 사용된 흔적이 있다면 정상적인 브라우저일 가능성이 높습니다. 우리는 보안 목적으로 브라우저에 대한 집계·통계 정보를 활용할 뿐, datr 쿠키가 생성한 로그는 10일 후 철저히 삭제합니다."
더 복잡해지는 상황
공정하게 말하자면, CPVP/CBPL은 쿠키 데이터가 타겟 광고 제작에 사용된다는 혐의(쿠키가 흔히 쓰이는 대표적인 이유 중 하나)에 대해서는 철회해야 했습니다. 스타모스는 또한 이렇게 덧붙였습니다.
"누군가 단순히 좋아요 버튼이 달린 페이지를 열 때는 datr 쿠키를 설정하지 않습니다."
그러나 2011년 월스트리트저널(WSJ)은 페이스북의 쿠키가 바로 그런 역할을 한다고 보도한 바 있습니다. 이 쿠키는 여전히 논란의 대상입니다. 본질적으로 이용자의 무지나 무반응을 '동의'로 간주하기 때문입니다.
많은 사람들이 계정이 없어도 추적당한다는 사실 자체를 모릅니다. 알고 있는 사람들조차 대다수는 아무런 조치도 취하지 않죠. 개발자이자 전직 보안 컨설턴트인 닉 크브릴로빅(Nik Cubrilovic)은 이렇게 말합니다.
"페이스북은 추적할 수밖에 없습니다. 이후 요청 시 브라우저가 쿠키를 함께 전송하기 때문입니다. 그들은 쿠키를 읽음으로써 동일한 방문자임을 알 수 있습니다… [광고 등의 목적으로] 페이스북이 사용자를 추적하고 그 데이터를 분석한다고 결론 내리는 것은 결코 큰 도약이 아닙니다."
오스트리아의 활동가 막스 슈렘스(Max Schrems)는 소셜 미디어상 개인정보 보호 권리를 위해 싸우는 단체 '유럽 대 페이스북(Europe v Facebook)'을 설립했고, 실제로 페이스북을 상대로 소송을 제기했습니다.
그러나 지난 7월 빈 지방법원은 이 사건을 기각했습니다. 마르고트 슬룬스키요스트(Margot Slunsky-Jost) 판사는 슈렘스가 집단 소송으로 얻은 언론의 주목을 데이터 보호 관련 저술 활동과 개인정보 운동가로서의 명성 쌓기에 이용했다고 지적했습니다. 슈렘스는 아이리시타임스에 이렇게 답했습니다.
"판결에 만족하지 않지만 더 상급 법원에 갈 것입니다. 법원은 그저 뜨거운 감자를 넘기고 있을 뿐입니다."
여러분은 트위터에서 '유럽 대 페이스북' 운동을 팔로우할 수 있고, 그들의 투쟁을… 음, 페이스북에서 공유할 수도 있습니다.
어머.
비회원 추적 중단 명령에 대한 페이스북의 대응은 슈렘스의 사건은 물론, 쿠키 데이터 수집에도 사전 동의가 필요하다고 주장하는 독립 규제 기구 '제29조 실무그룹(Article 29 Working Party)'의 사건에도 상당한 영향을 미칠 전망입니다.
이 결정이 여러분에게 미칠 영향
이 결정이 관철되지 않을 가능성도 있습니다. 페이스북은 현재 항소 중입니다. 만약 원심대로 확정된다면 하루 25만 유로의 벌금이 벨기에 개인정보보호위원회에 부과됩니다.
어느 쪽이든, 이 사건이 만들어낸 언론 보도는 더 많은 사람들이 잠재적인 개인정보 침해를 인식하는 계기가 될 것입니다. 직접적인 영향권은 벨기에 거주자지만, 그 파급력은 훨씬 광범위할 수 있습니다.
페이스북은 벨기에에서는 비회원 추적을 중단하면서 다른 국가, 특히 유럽 내에서는 계속 추적하는 결정을 정당화해야 하는 딜레마에 빠집니다. 거의 불가능한 과제처럼 들리지만, 스타모스는 이미 datr 쿠키를 전면 유지해야 하는 이유를 주장하는 글을 올렸습니다.
"실제로 이는 벨기에에서 우리 서비스로 들어오는 모든 방문을 신뢰할 수 없는 로그인으로 취급하고, 이용자가 계정의 정당한 소유자임을 증명하도록 다양한 추가 검증 절차를 도입해야 한다는 뜻입니다. 동시에 벨기에 기기들은 스패머나 지하 포럼에서 해킹된 계정을 거래하는 세력에게 더 매력적인 표적이 될 것입니다."
사람들은 당연히 보안을 걱정하며, 아마 자신의 개인정보보다 더 크게 걱정할 것입니다(스누퍼 헌장(Snooper's Charter) 같은 입법이 제안되는 이유이기도 합니다). 그래서 이 논리는 분명 설득력이 있습니다.
물론 여러분이 할 수 있는 일도 있습니다. 쿠키를 삭제하고 개인화 광고를 거부(opt-out)할 수 있고, 추적을 차단하는 브라우저 확장 프로그램을 활용할 수도 있습니다. 사실 온라인 개인정보를 되찾기 위해 단 한 시간이면 충분한 방법들이 많습니다.
그럼에도 불구하고 우리는 이 사건이 어떻게 전개될지 주목할 필요가 있습니다.
페이스북의 쿠키 사용이 걱정되십니까? 아니면 더 큰 안전을 위한 불가피한 선택이라고 생각하십니까? 개인 데이터를 지키기 위한 여러분만의 팁이 있다면 공유해 주세요.