미국에서 개인정보 보호 논의는 연방통신위원회(FCC)가 마련한 규정을 중심으로 진행되고 있습니다. 2016년 10월 27일 FCC는 인터넷 서비스 제공업체(ISP)가 앱 사용 기록, 검색 패턴 등 사용자 정보를 수집·저장하기 전에 반드시 사전 동의를 받도록 의무화하는 규칙을 승인했습니다. 이 조치들은 전반적으로 기존의 소비자 보호 규정들과 방향을 같이하지만, 우리가 충분히 던지지 못한 질문이 하나 있습니다. 이러한 조치가 과연 웹 사용자 모두의 개인정보를 실질적으로 보호해 줄 수 있을까?
ISP들은 데이터를 판매하고 있을까?
FCC 조치의 실효성을 평가하려면 먼저 그 조치가 다루려는 현상이 실제로 일어나고 있는지 확인해야 합니다. 결론부터 말하면, 실제로 일어나고 있습니다. 미국에서 가장 큰 문제의 핵심 중 하나는 AT&T입니다. 아이러니하게도 AT&T는 미국 정부에 데이터를 넘겨온 것으로 알려져 있습니다. 이 회사를 둘러싼 데이터 수집 스캔들이 대부분 정부와 관련된 것이기는 하지만, AT&T의 개인정보 처리방침에는 계좌 정보나 네트워크 사용 정보 등을 활용해 더욱 정교한 타깃 광고를 집행할 수 있도록 허용하는 조항도 포함되어 있습니다.
다만 FCC의 결정이 모든 형태의 데이터를 포괄하는 것은 아닙니다. 예컨대 AT&T가 계좌 정보나 청구 정보의 저장을 중단할 수는 없습니다. 이번 조치가 주로 영향을 미치는 대상은 개인 및 민간 기업과 관련된 데이터입니다.
FCC 개인정보 보호 조치, 좀 더 자세히
새 FCC 규정의 핵심은 데이터 수집·저장 범위를 제한하는 것이지만, 해당 행위 자체를 완전히 금지하는 것은 아닙니다. 기존에는 옵트아웃(opt-out) 방식, 즉 사용자가 거부하거나 비용을 지불하기 전까지 ISP가 데이터를 수집하는 구조였다면, 이제는 옵트인(opt-in) 방식으로 전환되어 명시적인 동의를 받기 전까지는 데이터 수집이 불가능해집니다.
물론 ISP가 고객 개인정보를 침해하는 것을 막으려는 시도는 이전에도 여러 차례 있었습니다. 하지만 이번 규정을 차별화하는 요소는 통신사업자에게 판매 시점에 고객의 승인을 요청하고, 무엇을 요구하는지 알리도록 의무화했다는 점입니다(제3장 D절 3항, 즉 제221조).
개인정보에는 어떤 영향을 미칠까?
그 결과는 아마 ISP들이 잠재 고객에게 "데이터 수집은 서비스 개선을 위한 분석 목적"이라고 설명하는 형태로 나타날 가능성이 높습니다. 이것이 반드시 거짓말은 아니며, 최소한 광고주에게 데이터를 파는 일은 줄어들 것으로 보입니다. 하지만 모든 사람이 기본적으로 옵트아웃 상태가 되기 때문에, ISP가 기본 요금을 높게 책정한 뒤 데이터 수집·저장에 동의하는 고객에게만 할인된 요금을 제공하는 방식까지는 막지 못할 것입니다.
역사적으로 FCC가 만든 규칙들은 민간 기업으로부터 고객 데이터를 보호하기 위해 ISP에 특정 조치를 요구해 왔습니다. 그러나 이는 국가 기관이 통신 사용자의 데이터에 접근할 때 벌어질 수 있는 일(국가안보국(NSA)의 PRISM 프로젝트가 대표적)에 비하면 터무니없이 작은 수준이며, 이 부분에서는 거의 진전이 없습니다. 국가 기관이 광고주보다 개인에게 훨씬 큰 피해를 줄 수 있다는 점은 굳이 언급할 필요도 없습니다.
참고: 이 규정은 이후 2017년 미국 의회가 심의철회법(Congressional Review Act)을 통해 폐기를 승인하면서 실제로 시행되지 않았습니다. 이후 미국의 ISP 개인정보 보호는 주(state) 단위 입법과 연방거래위원회(FTC)의 규제에 크게 의존하고 있습니다.
여러분은 어떻게 생각하시나요? FCC가 고객의 이익을 보호하기 위해 ISP 규제를 더 강화해야 할까요? 아니면 시간 낭비일까요? 댓글로 의견을 남겨주세요!