위치 데이터를 '팔지 마라': 버지니아가 감시 광고 경제에 그은 첫 금지선

여러분의 스마트폰은 지금 이 순간에도 여러분이 어디 있는지 기록하고 있습니다. 문제는 그 기록이 어디로 팔려 나가는지 아무도 정확히 모른다는 겁니다. 그런데 미국 버지니아주가 최근 흥미로운 결정을 내렸습니다. 위치 데이터를 ‘파는’ 행위 자체를 법으로 금지한 겁니다. 동의를 받으면 팔아도 된다는 기존 규칙에 처음으로 선을 그은 사건인데요. 오늘은 이 조용하지만 묵직한 변화를 뜯어보겠습니다.

무엇이 바뀌었나

핵심부터 짚겠습니다. 버지니아는 위치 데이터의 판매(sale)를 원칙적으로 금지했습니다. 그동안 미국의 주 단위 프라이버시 법들은 대부분 ‘동의를 받으면 된다’, 혹은 ‘옵트아웃 버튼을 제공하면 된다’는 방식이었습니다. 사용자가 알아서 거부하지 않으면 데이터는 계속 흘러갔습니다.

이번 조치는 그 전제 자체를 뒤집습니다. 동의 여부와 관계없이, 정밀 위치 데이터를 돈 받고 넘기는 거래 자체를 막겠다는 겁니다. 프라이버시 규제의 무게중심이 ‘사용자가 거부할 권리’에서 ‘기업이 애초에 할 수 없는 일’로 옮겨간 셈입니다.

여기서 정밀 위치가 핵심 개념입니다. 대략적인 도시 단위가 아니라, 특정 개인이 어느 건물, 어느 병원, 어느 집회 장소에 있었는지 특정할 수 있는 수준의 좌표를 말합니다. 이 데이터가 왜 위험한지는 조금 뒤에서 설명하겠습니다.

왜 하필 ‘판매’ 금지인가

기존 프라이버시 법의 허점은 ‘동의’라는 단어에 있었습니다. 앱을 깔 때 나오는 그 긴 약관, 여러분 중에 끝까지 읽는 분 얼마나 될까요. 사실상 아무도 안 읽습니다. 그런데 그 안에는 ‘위치 정보를 제3자와 공유하는 데 동의합니다’라는 문장이 들어 있는 경우가 많습니다.

이걸 업계 용어로 동의 피로라고 부릅니다. 선택지가 너무 많고 복잡해서, 사용자가 사실상 무방비로 ‘예’를 누르게 되는 상태입니다. 형식적으로는 동의를 받았으니 합법이지만, 실질적으로는 아무도 제대로 된 선택을 하지 못했습니다.

버지니아의 접근은 이 문제를 정면으로 겨냥합니다. 동의를 아무리 잘 받아도 판매는 안 된다면, 복잡한 약관 게임 자체가 무의미해집니다. 개인에게 방어 책임을 떠넘기는 대신, 위험한 거래 자체를 봉쇄하는 방식입니다. 규제 철학의 전환이라고 볼 수 있는 대목입니다.

위치 데이터 브로커라는 그림자 산업

이 법이 겨냥하는 실제 표적은 데이터 브로커입니다. 이름도 들어본 적 없는 회사들이, 수억 대의 스마트폰에서 흘러나온 위치 정보를 수집하고 가공해서 되파는 산업이 존재합니다.

작동 방식은 이렇습니다. 날씨 앱, 게임, 쿠폰 앱 같은 무료 앱들이 광고 수익 외에 데이터 판매로도 돈을 법니다. 앱이 수집한 위치 좌표가 광고 네트워크를 거쳐 브로커에게 넘어가고, 브로커는 이걸 묶어서 마케팅 회사나 심지어 정부 기관에까지 판매합니다. 사용자는 자기 동선이 이렇게 유통되는지 전혀 알지 못합니다.

이게 왜 심각한 문제일까요. 익명화됐다고 해도 위치 데이터는 사실상 익명이 아니기 때문입니다. 밤마다 머무는 곳은 집, 낮에 오래 있는 곳은 직장입니다. 이 두 점만 있으면 대부분의 사람은 특정됩니다. 여기에 병원 방문 기록, 종교 시설 방문, 시위 참가 같은 정보가 붙으면 한 사람의 삶이 통째로 드러납니다.

감시 광고 경제에 그어진 첫 선

이 지점이 이번 사안의 진짜 의미입니다. 지난 십수 년간 인터넷 경제를 떠받쳐온 것은 감시 광고 모델이었습니다. 사용자를 최대한 정밀하게 추적하고, 그 데이터로 맞춤 광고를 파는 구조입니다. 위치 데이터는 이 모델에서 가장 값비싼 재료 중 하나였습니다.

버지니아의 조치는 이 재료의 유통망 한 갈래를 법으로 끊었습니다. 규모가 큰 캘리포니아나 유럽의 GDPR이 먼저 떠오르겠지만, 그 법들조차 ‘판매 자체 금지’까지는 나아가지 않았습니다. 대부분 옵트아웃 권리를 보장하는 선에 머물렀습니다.

물론 한 개 주의 법이 미국 전체를, 나아가 글로벌 광고 산업을 하루아침에 바꾸지는 못합니다. 기업들은 ‘판매’의 정의를 두고 법정에서 다툴 것이고, 데이터를 ‘판매’가 아닌 ‘라이선스’나 ‘공유’로 포장하려는 시도도 나올 겁니다. 규제와 회피의 술래잡기는 계속될 겁니다.

그럼에도 상징적 의미는 큽니다. ‘동의만 받으면 팔 수 있다’는 오랜 전제에 처음으로 ‘아니, 이건 애초에 팔면 안 되는 것’이라는 반론이 법의 형태로 등장했으니까요. 참고로 이번 주제는 온라인 커뮤니티에서의 논의가 아직 활발하지는 않습니다. 법조계와 프라이버시 전문가 사이에서 먼저 주목받는, 이제 막 퍼지기 시작한 이야기라는 뜻입니다.

마무리

버지니아의 위치 데이터 판매 금지는 작아 보이지만, 프라이버시 규제의 문법을 바꾸는 실험입니다. ‘사용자가 알아서 지켜라’에서 ‘위험한 거래는 아예 막는다’로의 이동이죠. 다른 주들이 이 모델을 따라갈지, 아니면 업계의 로비에 밀려 흐지부지될지가 앞으로의 관전 포인트입니다. 여러분은 어떻게 생각하시나요. 내 위치 정보를 지키는 책임은 나에게 있어야 할까요, 아니면 애초에 팔지 못하게 막는 것이 맞을까요.