회사가 망하면 내 개인정보는 경매에 나옵니다

여러분이 어떤 서비스에 가입할 때 읽지도 않고 체크한 그 약관에는 보통 이런 문장이 숨어 있습니다. “회사의 합병, 인수, 자산 매각 시 개인정보가 이전될 수 있습니다.” 평소엔 아무 의미 없어 보이는 한 줄인데요. 회사가 파산하는 순간 이 한 줄의 뜻이 완전히 달라집니다. 여러분의 이름, 이메일, 여행 기록, 결제 이력이 법원이 감독하는 경매장에 매물로 올라간다는 뜻이거든요.

이 이야기의 사실관계부터 정리합니다

지금 온라인에서 도는 이야기는 이렇습니다. 파산한 스피릿항공의 고객 데이터베이스가 자산 경매에 나왔고, 구글이 이를 AI 학습용으로 사들였다는 겁니다.

솔직하게 말씀드리면, 이 건은 확인된 커뮤니티 논의나 신뢰할 만한 1차 보도를 찾지 못했습니다. 레딧에서도 관련 스레드가 잡히지 않았고요. 그래서 저는 이 글에서 “구글이 샀다"는 부분을 사실로 전제하지 않으려고 합니다. 특정 기업 이름이 붙은 구체적 거래라면 확인부터 해야 합니다.

다만 여기서 글을 끝내면 안 되는 이유가 있습니다. 이 이야기가 이렇게 빨리 퍼지고 듣자마자 “아 그럴 수 있겠다” 싶은 이유는 구조 자체가 실제로 존재하기 때문입니다. 파산 절차에서 고객 데이터가 팔리는 건 가설이 아니라 이미 여러 번 벌어진 일이에요. 개별 거래의 진위보다, 이런 소문이 왜 그럴듯하게 들리는지를 봐야 합니다.

파산법은 개인정보를 ‘재산’으로 봅니다

미국 파산법은 아주 단순하게 봅니다. 파산한 회사가 가진 모든 것은 채권자에게 돌려줄 자산입니다. 비행기도 자산이고 게이트 사용권도 자산입니다. 브랜드도 그렇습니다. 고객 데이터베이스도 마찬가지고요.

이게 왜 문제냐면, 회원가입할 때 여러분이 동의한 상대는 그 회사였지 낙찰자가 아니기 때문입니다. 저가 항공사에 준 정보와 검색 광고 회사에 주는 정보는 완전히 다른 의미인데요. 파산 절차는 이 차이를 잘 따지지 않습니다. 데이터는 그냥 목록의 한 줄로 넘어갑니다.

실제 사례도 있습니다. 2015년 미국 전자제품 유통업체 라디오쉑이 파산하면서 6,500만 건가량의 고객 이메일과 구매 이력을 매각하려 했습니다. 주 검찰이 집단으로 반대해 결국 상당 부분을 제한하는 합의로 끝났지만, 뒤집어 보면 검찰이 나서지 않았다면 그대로 팔렸을 거라는 뜻이기도 합니다. 2000년 장난감 쇼핑몰 토이스마트 사건에서도 똑같은 충돌이 있었습니다. “절대 제3자에게 안 팝니다"라고 약속해놓고 파산하자 고객 명단을 매물로 내놓은 거죠.

패턴이 보이시나요. 프라이버시 약속은 회사가 살아 있을 때만 유효합니다.

항공사 데이터가 유독 탐나는 이유

여기서 왜 하필 항공사냐는 질문이 나올 수 있는데요. 항공사 데이터는 데이터 시장에서 값이 꽤 나가는 편입니다.

이름과 이메일만 있는 게 아니거든요. 항공권 예약 기록에는 언제 어디로 갔는지, 누구와 함께 예약했는지, 좌석은 어떤 등급을 골랐는지, 얼마를 썼는지가 다 들어 있습니다. 여권 정보나 생년월일까지 들어 있기도 하고요. 여기에 마일리지 프로그램 이력이 붙으면 한 사람의 수년치 이동 궤적과 소비 성향이 통째로 나옵니다.

이건 연락처 목록과 급이 다릅니다. 같은 항공편을 반복 예약한 두 사람이 어떤 관계인지, 특정 도시를 분기마다 찾는 사람이 무슨 일을 하는지까지 추론해낼 수 있습니다. 광고 타겟팅에 쓸 수도 있고 AI 모델 학습에 쓸 수도 있습니다. 다른 데이터셋과 결합하면 훨씬 정밀한 프로파일이 되고요.

AI 시대가 이 구조를 훨씬 위험하게 만듭니다

과거에 고객 명단을 사는 이유는 대체로 명확했습니다. 마케팅 메일을 보내려고요. 목적이 좁으니 피해도 제한적이었습니다.

지금은 다릅니다. AI 학습 데이터 수요가 폭발하면서 데이터의 값을 매기는 기준 자체가 바뀌었습니다. 예전에는 “이 목록으로 뭘 팔 수 있나"를 따졌다면, 이제는 “이 데이터로 모델을 얼마나 개선할 수 있나”를 따집니다. 후자는 상한선이 훨씬 높습니다.

문제는 학습에 들어간 데이터를 사실상 회수할 수 없다는 겁니다. 마케팅 DB에서는 내 정보를 지워달라고 요청할 수 있습니다. 하지만 이미 모델 가중치에 녹아든 정보를 골라내는 건 전혀 다른 난이도의 문제고요. 삭제권이 기술적으로 무력해지는 지점입니다.

그래서 “파산 자산 경매에서 AI 회사가 데이터를 샀다"는 이야기가 사람들에게 즉각 설득력 있게 들리는 겁니다. 실제로 그럴 동기가 충분하니까요.

한국은 조금 다르지만, 안심할 수준은 아닙니다

한국 개인정보보호법은 이 부분을 미국보다 명확하게 다룹니다. 영업양도나 합병으로 개인정보를 이전할 때는 정보주체에게 알려야 하고, 이전받은 쪽은 원래 목적 범위 안에서만 써야 합니다. 이전 사실을 통지받은 이용자는 동의를 철회할 수 있고요. 파산관재인이 마음대로 최고가 입찰자에게 넘기기는 어려운 구조입니다.

하지만 현실은 조금 다릅니다. 통지가 제대로 이뤄지는지, 이전받은 회사가 실제로 목적 범위를 지키는지는 사후 감독에 달렸거든요. 회사가 이미 사라진 뒤에 누가 책임을 추궁할지도 애매합니다. 게다가 국내 이용자가 쓰는 서비스 상당수는 해외 사업자이고, 그쪽 파산 절차는 그 나라 법을 따릅니다.

법조문은 있는데 회사가 소멸한 뒤의 집행력이 여전히 약합니다.

그래서 우리는 뭘 할 수 있을까요

솔직히 개인이 할 수 있는 일은 많지 않습니다. 그래도 몇 가지는 의미가 있습니다.

쓰지 않는 서비스는 그냥 방치하지 말고 탈퇴하는 게 낫습니다. 계정이 살아 있으면 데이터도 자산 목록에 남아 있는 거니까요. 서비스마다 다른 이메일 별칭을 쓰면 나중에 내 정보가 어디서 흘러나왔는지 추적할 수 있습니다. 재무 상태가 불안한 회사에 여권 번호나 생년월일 같은 민감 정보를 굳이 더 넣지 않는 것도 방법이고요.

더 근본적인 건 제도 쪽입니다. 파산 절차에서 개인정보를 일반 자산과 똑같이 취급하지 않도록, 매각할 때 이용자 통지와 목적 제한을 강제하는 장치가 있어야 합니다. 미국에서는 파산 사건에 프라이버시 전문가를 지정해 검토하게 하는 제도가 실제로 작동한 전례가 있습니다.

이번 구글-스피릿 이야기는 확인되지 않았습니다. 하지만 이 소문이 그럴듯하게 들렸다는 것 자체가 더 중요한 신호입니다. 우리는 이미 개인정보가 파산 자산으로 팔릴 수 있는 세상에 삽니다. 그걸 대부분 알면서도 매번 약관에 체크하고요.

여러분이 지난 10년간 가입한 서비스 중 지금 존재하지 않는 곳이 몇 개나 되나요. 거기 남긴 정보는 지금 누구 손에 있을까요. 저는 이 질문에 자신 있게 답할 수가 없습니다.