새로운 보고서에 따르면 페이스북(Facebook)이 사용자의 동의 없이 사람들을 추적하고 있는 것으로 나타났습니다. 놀랍게도 페이스북을 전혀 사용하지 않는다 해도 예외는 아닙니다. 이번 논란이 무엇을 의미하는지, 그리고 우리가 어떤 조치를 취할 수 있는지 하나씩 살펴보겠습니다.
물론 페이스북의 개인정보 보호 설정은 2004년 서비스 출범 이래 줄곧 우려의 대상이었고, 설정이 자주 바뀔 때마다 새로운 문제 제기가 이어져 왔습니다. 하지만 정작 우리는 스스로 온라인에 정보를 쏟아붓고 있습니다. 사진, 개인 메시지, 위치 정보까지 — 많은 사람들이 페이스북과 트위터를 통해 자신의 일상을 기록하며, 트윗을 모아 책으로 출판하는 경우도 있습니다.
페이스북이 왓츠앱(WhatsApp)을 인수했을 때에도, 메신저 서비스의 프라이버시마저 위협받는다는 우려가 컸습니다.
여기에 불길을 더하듯, 벨기에 개인정보보호위원회(CPVP/CBPL)는 페이스북이 "유럽 개인정보 보호법을 짓밟고 있다"고 공식적으로 밝혔습니다.
페이스북은 구체적으로 무엇을 하고 있나?
대학 간 연구센터인 EMSOC/SPION이 프랑스, 스페인, 네덜란드, 독일의 연구기관들과 공동으로 발표한 보고서를 근거로, 위원회는 다음과 같이 지적했습니다.
"연구 결과는 우려스럽습니다. 페이스북은 여러 방면에서 유럽 및 벨기에의 개인정보 보호법을 무시하고 있습니다. 소셜 플러그인을 통한 사용자 추적은 페이스북 사용자에게만 영향을 미치는 것이 아니라, 벨기에와 유럽의 사실상 모든 인터넷 사용자에게 영향을 미칩니다."
이 소셜 네트워크 거인은 계정이 필요 없는 Facebook.com 도메인의 트래픽, 즉 팬 페이지나 개인정보 설정이 느슨한 프로필까지 추적함으로써 EU 법률을 사실상 무시해 온 것으로 보입니다. 더욱 심각한 문제는, 1,300만 개가 넘는 웹사이트에 설치된 '좋아요' 버튼용 소셜 플러그인이 추적 쿠키를 읽어 그 데이터를 페이스북으로 전송한다는 점입니다.
결국 페이스북 계정이 있든 없든, 그들은 여전히 당신을 추적할 수 있습니다.
계정이 있다면 상황은 더욱 불리합니다. 세션 쿠키(session cookie) 때문에 로그아웃한 후에도 방문한 웹사이트들을 계속 추적당할 수 있기 때문입니다.
EU 개인정보 보호법은 추적 쿠키를 사용하기 전에 반드시 사용자의 동의를 받아야 한다고 명시하고 있습니다. 단, 서비스 연결에 필수적이거나 사용자가 요청한 콘텐츠 제공에 필요한 쿠키는 예외입니다. 웹사이트가 EU 방문자에게 첫 접속 시 쿠키 사용 사실을 알려야 하는 이유가 바로 이 때문입니다.
어떻게 문제없이 넘어갈 수 있나?
페이스북 대변인은 이렇게 해명했습니다.
"CBPL과 직접 만나 의견을 나눌 때 밝혔듯이, 우리에게는 사용자의 프라이버시보다 더 중요한 것은 없으며, 사람들이 무엇을 누구와 공유할지 스스로 통제할 수 있도록 노력하고 있습니다. 페이스북은 이미 유럽에서 규제를 받고 있고 유럽 데이터 보호법을 준수하고 있기 때문에, CBPL 활동의 적용 범위는 불분명합니다. 다만 권고안을 받으면 유럽 규제 기관인 아일랜드 데이터보호위원회와 함께 검토할 것입니다."
이것이 페이스북 주장의 핵심입니다. 유럽 본사(프랭크 게리가 설계한, 탁자 테니스대와 영감을 주는 포스터, 거대한 우주비행사 벽화까지 갖춘 세련된 건물)가 더블린에 있기 때문에 아일랜드 법의 적용만 받는다는 논리입니다.
한편 '섀도우 프로필(shadow profile)', 즉 서비스를 사용하지 않는 사람들에 대한 정보 수집이라는 개념 자체는 새로운 것이 아닙니다. 오스트리아의 활동가이자 Europe v Facebook 창립자인 막스 슈렘스(Max Schrems)는 오래전부터 페이스북이 유럽 법률을 무시한다고 지적해 왔으며, 2011년에는 이렇게 말했습니다.
"이제 우리는 아일랜드 당국이 페이스북에 상당한 변화를 요구할 것이라고 확신하고 있습니다. 당국과의 인터뷰를 보면 이 문제를 매우 심각하게 받아들이고 있는 것으로 보입니다."
개인정보보호위원회에는 과징금을 부과할 권한은 없지만, 소송 절차를 개시할 수는 있습니다.
EU 제29조 워킹파티도 목소리를 높이다
벨기에 개인정보보호위원회만 추적 쿠키를 문제 삼는 기관은 아닙니다. 독립 데이터 규제 기관인 제29조 워킹파티(Article 29 Working Party) 역시 소셜 플러그인이 쿠키를 전송하기 전에 사용자의 허락을 받아야 하며, 페이스북에서 로그아웃하면 세션 쿠키가 만료되어야 한다고 밝혔습니다.
소셜 네트워크의 광고용 추적은 옵트아웃(opt-out)으로 거부할 수 있지만, 유럽법 블로그(European Law Blog)에 기고하는 브렌던 반 알세노이(Brendan Van Alsenoy)는 가디언(The Guardian)지에 이렇게 말했습니다.
"페이스북은 사용자의 무대응, 즉 제3자 웹사이트를 통해 옵트아웃하지 않는 것을 동의로 간주해서는 안 됩니다. 비사용자의 경우, 페이스북의 현재 추적 관행을 정당화할 법적 근거는 전혀 없습니다."
지난달 페이스북은 비사용자를 추적한 사실을 인정했지만, 현재 수정 중인 버그 때문이라고 해명했습니다.
그럼 우리는 무엇을 할 수 있을까?
먼저 페이스북이 제공하는 개인화 광고를 거부할 수 있습니다. 당신의 관심사를 드러내는 맞춤형 광고를 끄는 것만으로도 노출을 줄일 수 있습니다. 또한 Disconnect 같은 추적 차단 브라우저 확장 프로그램을 활용하는 방법도 있습니다. 다만 이런 확장 프로그램은 댓글 작성 등 일부 기능에서 가끔 불편을 초래할 수 있습니다. 그 외에도 크롬의 Edit This Cookie 같은 확장 프로그램으로 어떤 쿠키를 허용할지 직접 세밀하게 설정할 수 있습니다.
그리고 앱 권한 설정도 점검하는 것을 잊지 마세요. 생각보다 많은 앱이 불필요하게 많은 정보에 접근하고 있습니다.
소셜 네트워크에 답답함을 느끼기 쉽지만, 개인정보가 걱정된다면 유럽 집행위원회(EU)의 권고도 참고할 만합니다. 유럽에서 미국으로 개인 데이터 전송을 허용하는 세이프 하버(Safe Harbour) 프레임워크 관련 청문회(막스 슈렘스가 촉발)에서 EU 법률 고문 베른하르트 시마(Bernhard Schima)는 이렇게 말했습니다.
"계정이 있다면 페이스북 계정을 삭제하는 것을 고려해 볼 수도 있습니다."
이것이 너무 과하다고 느껴진다면, 일단 계정을 임시 비활성화해 보는 것도 좋은 방법입니다. 하지만 페이스북이 당신의 데이터로 하는 일에 근본적으로 회의적이라면, 계정을 완전히 삭제하는 선택도 얼마든지 가능합니다.
페이스북을 떠날 생각을 해본 적이 있습니까? 그 이유는 무엇입니까? 아니면 이미 네트워크를 떠나셨다면, 돌이켜보면 좋은 선택이었다고 생각하십니까? 아래 의견으로 알려주세요.