5월 25일, 유럽연합(EU)의 '일반개인정보보호법(GDPR)', 이른바 "받은편지함에 수백만 통의 읽지 않은 이메일이 쌓이게 만든 장본인"이 공식 발효되었습니다. 이 법안은 유럽 인터넷 사용자의 데이터가 동의 없이 도용되거나 활용되는 것을 막기 위해 마련되었지만, 유럽인과 거래하는 모든 기업 역시 준수 의무가 있기 때문에 전 세계 사용자의 메일함이 초토화된 것입니다.
GDPR이 최종 사용자에게 실제로 어떤 영향을 미치는지는 대체로 유럽에 거주하는지 여부, 그리고 개인정보 보호에 얼마나 관심을 두는지에 따라 달라집니다. 대부분의 경우 특별히 할 일은 없지만, 자주 사용하는 서비스에서 보낸 이메일을 훑어보며 중요한 내용이 있는지 확인해 두는 것이 좋습니다.
긍정적인 변화
EU 법률인 만큼 가장 눈에 띄는 변화는 유럽 국가들에서 나타납니다. 브렉시트(Brexit) 상황 속에서도 영국은 여전히 EU 회원국이며, 탈퇴 이후에도 유럽 대륙과의 거래가 많을 것으로 예상되므로 여기에 포함됩니다. 가장 큰 변화는 소비자에게 잘 보이지 않는데, 암호화 방식이나 저장 프로토콜처럼 데이터 처리의 백엔드 영역에 주로 적용되기 때문입니다. 다만 유럽 거주자라면 다음과 같이 눈으로 확인할 수 있는 변화들을 경험하게 됩니다.
- 사전 동의(Informed Consent): 기업들이 더 많은 항목에 대해 허락을 구해야 합니다. 쉽게 말해, "이 회사가 내 데이터를 이런 방식으로 사용하는 데 동의합니다"라는 체크박스를 더 많이 클릭하게 된다는 뜻입니다.
- 망각권(Right to Erasure): 처음 정보를 제공한 웹사이트는 물론, 그곳에서 정보를 공유받은 모든 사이트에서 자신의 데이터를 영구 삭제할 수 있습니다. 더 이상 기록에 남고 싶지 않다고 회사에 통보하면, 해당 기업은 당신에 대해 알고 있는 모든 정보를 잊어버릴 법적 의무를 집니다.
- 열람권(Right to Access): 기업이 보유한 자신의 정보를 직접 확인할 수 있습니다. 이론적으로 기업이 알고 있는 모든 정보에 접근할 수 있으며, 위의 망각권에 따라 해당 정보의 삭제도 요구할 수 있습니다. 장기적으로는 한 서비스(예: 페이스북)에서 다른 서비스로 데이터를 옮길 수 있는 '데이터 이동권' 향상으로도 이어질 수 있습니다.
- 고객 대응 의무: "고객이 아니라면 곧 상품이다"라는 말은 더 이상 정확하지 않습니다. 기업이 자신의 데이터를 처리하는 방식이 마음에 들지 않거나 정보가 부정확하다면, 불만에 대해 반드시 답변하도록 의무화되었습니다.
부정적인 측면
- 높은 비용: 기업들은 제품을 재설계하고 새로운 인력을 고용해야 하며, 광고 수익 감소도 감수해야 합니다.
- 서비스 종료 사례: 비용이 많이 들고 복잡한 시스템 개편에 직면한 일부 기업은 아예 문을 닫는 선택을 했습니다. 지금까지 가장 주목할 만한 폐업(물론 GDPR만이 원인은 아닙니다)은 소셜미디어 분석 기업 클라우트(Klout)입니다.
- 유럽 접속 차단: LA타임스(LA Times)와 NPR 같은 미국 언론 사이트들은 유럽 사용자의 접속을 아예 차단하거나 축소된 버전으로 리디렉션하고 있습니다. 이메일 구독 정리 서비스 언롤미(Unroll.me), 온라인 게임 라그나로크 온라인, 핀터레스트 계열의 인스페이퍼(Instapaper) 등도 유럽 시장에서 철수했으며, 일부는 일시적, 일부는 영구적입니다.
- 넘쳐나는 이메일: 지겨울 정도지만, 기업들이 새 규정에 계속 적응하는 동안 이메일은 앞으로도 더 도착할 수 있습니다. 아이러니하게도 프라이버시 보호 브라우저 확장 프로그램인 고스터리(Ghostery)는 개인정보 보호 안내 메일을 발송하다가 수천 개의 이메일 주소를 실수로 노출하기도 했습니다. 완전히 순탄했던 과도기는 아니었던 셈입니다.
- 하지만 앞으로는 이메일이 줄어들지도: 받은 이메일 중에는 "5월 25일까지 옵트인하지 않으면 메일링 리스트에서 삭제하겠다"는 내용도 있었을 겁니다. 이제 늦었지만, 오랫동안 '고양이 팩트' 뉴스레터를 받지 못했다면 그것은 GDPR 덕분일지도 모릅니다.
세계 다른 지역은 어쩌나?
엄밀히 따지면 유럽에 거주하지 않는 한 GDPR은 적용되지 않지만, 너무 많은 기업이 하나 이상의 유럽 연결고리를 갖고 있어 세계 대부분의 지역이 어떤 식으로든 영향을 받습니다. 기업 입장에서는 일부 지역만 변경하는 것보다 전체 시스템에 변경 사항을 적용하는 편이 더 쉽기 때문에, 전 세계 사용자가 더 엄격한 데이터 기준을 경험하게 되는 것입니다.
페이스북 같은 일부 기업은 이미 위치와 무관하게 모든 사용자에게 GDPR 준수 수준의 서비스를 제공하겠다고 밝혔습니다. 반면 앞서 언급한 기업들은 유럽 시장 참여를 포기하기로 했습니다. 유럽 외 지역 사용자라면 중대한 변화를 단행하는 기업은 많지 않을 겁니다. 장기적으로 보면, 지금 GDPR을 준비하는 기업들은 다른 국가들이 EU를 따라 움직이기 시작할 미래를 위해 미리 시간을 벌어두는 셈일지도 모릅니다.
맺음말: 올바른 방향인가?
데이터 보호는 매우 복잡한 문제이며, 최근에야 이렇게 큰 규모의 이슈로 부상했습니다. GDPR은 현재 시장의 몇 가지 결함을 해소하지만, 동시에 상당한 비용도 요구합니다. 블록체인 기반의 탈중앙화 신원(decentralized identity) 같은 다른 해결책이 미래에는 더 나은 대안이 될 수 있겠지만, 당장은 온라인 세상이 조금 더 안전해졌다는 점, 그리고 우리 모두가 읽기 어려운 사용자 약관을 한층 더 많이 갖게 됐다는 점만은 분명합니다.