AI 학습에 동의 안 하면 내 건강 데이터를 지운다고? — 삼성 헬스가 던진 '동의 아닌 협박'의 시대

내 심박수, 수면 패턴, 걸음 수, 생리 주기까지. 삼성 헬스는 우리 몸의 가장 내밀한 데이터를 쥐고 있는 앱입니다. 그런데 이 앱이 최근 이상한 선택지를 내밀었습니다. “AI 학습에 동의하세요. 아니면 데이터를 지우겠습니다.” 동의라는 단어를 붙였지만, 거절하면 그동안 쌓아온 기록이 사라진다면 그게 과연 진짜 선택일까요.

무엇이 문제가 됐나

핵심은 동의의 조건입니다. 일반적으로 AI 학습 동의는 부가 기능입니다. 거절해도 앱은 그대로 쓸 수 있어야 정상입니다. 그런데 이번 논란의 구조는 다릅니다. AI 학습에 동의하지 않으면 기존에 축적된 건강 데이터에 대한 접근이나 유지 자체가 위협받는 형태로 알려졌습니다.

쉽게 비유하면 이렇습니다. 은행이 “우리가 당신 거래 내역으로 새 상품을 개발하는 데 동의하세요. 안 하면 계좌를 닫겠습니다"라고 말하는 셈입니다. 서비스 이용과 데이터 활용 동의를 한 묶음으로 엮어버린 것이죠. 법적으로도 윤리적으로도 이건 다른 문제입니다.

‘자유로운 동의’라는 원칙이 흔들린다

개인정보 보호의 세계에는 오래된 원칙이 하나 있습니다. 동의는 자유롭게 이뤄져야 한다는 것입니다. 유럽의 GDPR은 이걸 아예 명문화했습니다. 서비스 제공을 동의의 대가로 걸면, 그 동의는 자유로운 것으로 보기 어렵다는 조항입니다.

여기서 등장하는 개념이 ‘강요된 동의’입니다. 영어로는 forced consent, 혹은 take-it-or-leave-it 방식이라고 부릅니다. 사용자에게 실질적인 대안이 없다면, 아무리 ‘동의’ 버튼을 눌렀어도 그건 진짜 합의가 아니라는 것이죠. 삼성 헬스의 이번 방식이 딱 이 지점을 건드립니다. 데이터 삭제라는 손실을 인질로 잡고 있으니까요.

왜 하필 건강 데이터인가

모든 데이터가 같은 무게는 아닙니다. 건강 데이터는 그중에서도 가장 민감한 축에 속합니다. 대부분의 개인정보 법제가 건강 정보를 ‘민감정보’ 혹은 ‘특별 범주 데이터’로 분류해 더 엄격하게 다룹니다. 이유는 단순합니다. 한번 유출되거나 오용되면 되돌릴 수 없기 때문입니다.

게다가 건강 데이터는 갈아탈 수가 없습니다. SNS는 싫으면 탈퇴하고 다른 걸 쓰면 그만입니다. 하지만 몇 년치 수면 기록, 운동 이력, 심박 변화를 다른 앱으로 그대로 옮기는 건 사실상 불가능합니다. 이 비대칭을 기업이 아는 순간, 사용자는 협상력을 잃습니다. 지우겠다는 위협이 실제로 아프게 다가오는 이유입니다.

AI 시대의 새로운 ‘기본 설정’

이 사건을 한 앱의 실수로만 보면 곤란합니다. 더 큰 흐름의 신호탄에 가깝습니다. 생성형 AI 경쟁이 격화되면서, 모든 플랫폼이 학습용 데이터에 목말라 있습니다. 그리고 가장 손쉬운 데이터 창고는 이미 자사 서비스에 쌓여 있는 사용자 기록입니다.

문제는 방식입니다. 예전에는 데이터 활용이 조용히 약관 속에 묻혀 있었습니다. 이제는 한발 더 나갔습니다. 동의를 구조적으로 유도하거나, 이번처럼 거절에 불이익을 붙이는 방향으로 진화하고 있습니다. 표면적으로는 “선택권을 드립니다"라고 말하지만, 실제 설계는 특정 답을 유도하도록 짜여 있는 것이죠. 이걸 다크 패턴이라고 부릅니다.

사용자가 지금 할 수 있는 것

당장 화만 낼 게 아니라 실용적으로 접근해봅시다. 첫째, 동의 화면을 꼼꼼히 읽으세요. “전체 동의"를 습관적으로 누르지 말고, AI 학습 항목과 기본 서비스 이용 항목이 분리되어 있는지 확인하는 겁니다.

둘째, 데이터 백업입니다. 삼성 헬스든 어떤 건강 앱이든, 정기적으로 데이터를 내보내(export) 두면 삭제 위협의 무게가 확 줄어듭니다. 인질이 없으면 협박도 성립하지 않으니까요. 셋째, 문제가 있다고 느끼면 개인정보 보호 관련 기관에 신고하는 통로도 열려 있습니다. 규제 당국이 움직이는 계기는 대부분 사용자들의 목소리에서 시작됩니다.

마무리

이번 논란의 진짜 쟁점은 삼성 하나가 아닙니다. “동의냐 삭제냐"라는 이분법이 업계의 새로운 표준이 되도록 놔둘 것인가, 하는 질문입니다. 편리한 서비스를 쓰는 대가로 우리는 어디까지 내줘야 할까요. 그리고 그 ‘대가’를 정하는 주체가 왜 늘 우리가 아니라 기업이어야 할까요. 다음에 어떤 앱이 동의 버튼을 내밀 때, 한 번쯤 이 질문을 떠올려 보시길 바랍니다.