캠브리지 애널리티카가 남긴 질문, 내 정보로 돈 버는 플랫폼의 책임은 어디까지일까

핵심 요약

• 2018년 불거진 캠브리지 애널리티카 사건은 페이스북 이용자 정보가 외부 업체로 넘어간 문제를 드러냈습니다.
• 당시에는 외부 앱이 앱을 사용한 사람뿐 아니라 친구의 일부 정보도 수집할 수 있었습니다.
• 이용자에게 설명한 정보 사용 범위와 실제로 데이터가 오간 경로가 맞아떨어지는지 따져봐야 합니다.
• 플랫폼의 책임을 평가하려면 정보를 제공한 과정부터 외부 업체가 그 정보를 어떻게 쓰고 삭제했는지까지 살펴봐야 합니다.

성격 퀴즈를 푼 건 나인데 친구의 정보까지 외부 업체로 넘어갈 수 있었습니다. 2018년 불거진 페이스북·캠브리지 애널리티카 사건에서는 이런 데이터 접근 구조가 문제가 됐습니다. 개인정보를 바탕으로 광고와 추천을 제공하는 서비스를 쓰는 우리도 내 정보가 어디까지 넘어가는지 알아야 합니다.

퀴즈에 참여하지 않은 친구도 연결돼 있었습니다

이 사건은 성격 퀴즈 앱에서 시작됐습니다. 앱에서 모은 페이스북 이용자 정보가 정치 컨설팅 업체인 캠브리지 애널리티카로 넘어갔습니다.

문제는 친구의 정보까지 수집할 수 있었다는 데 있습니다. 당시 페이스북은 일정한 조건에서 외부 앱이 사용자의 친구 정보 일부에도 접근하도록 허용했습니다. 내가 앱을 쓰지 않아도 친구가 참여하면 내 정보까지 수집될 수 있었습니다.

개인정보 보호 이야기에는 “동의하기 전에 잘 읽어보라”는 조언이 자주 따라옵니다. 하지만 다른 사람이 누른 동의 버튼 때문에 내 정보가 넘어갈 수 있다면, 나 혼자 조심해서 막기는 어렵습니다. 서비스가 그렇게 작동하도록 만든 설계부터 살펴봐야 합니다.

‘동의했습니다’와 ‘알고 선택했습니다’는 다릅니다

서비스를 쓰면서 동의 버튼을 누르는 데는 몇 초면 충분합니다. 하지만 그 뒤에 내 정보가 어디로 넘어가는지까지 알기는 훨씬 어렵습니다.

예를 들어 이용자는 성격 분석에 쓸 정보라고 생각하고 제공했을 수 있습니다. 그런데 그 정보를 정치 성향을 추정하거나 특정 메시지를 전달하는 데 쓴다면, 이용자가 예상했던 서비스와 실제 쓰임새는 크게 어긋납니다.

이용자 기만 여부를 따지려면 서비스가 무엇을 약속했고, 이용자는 그 설명을 어떻게 받아들였는지 살펴봐야 합니다. 실제로 정보를 쓴 방식이 그 약속에 들어맞았는지도 확인해야 합니다.

약관이 있다는 사실만으로는 답이 되지 않습니다. 저는 동의 버튼이 있는지보다 선택에 필요한 설명을 충분히 했는지가 중요하다고 봅니다. 누구에게 어떤 정보를 주는지 알아야 동의할지 거절할지도 스스로 정할 수 있습니다.

외부 업체에 넘긴 뒤에도 플랫폼의 역할은 남습니다

정보를 부적절하게 쓴 외부 업체가 무엇을 했는지는 당연히 따져야 합니다. 그 업체의 정보 접근을 허용한 플랫폼이 서비스를 어떻게 설계하고 관리했는지도 함께 살펴봐야 합니다.

플랫폼은 외부 개발자에게 어떤 정보를 열어줄지, 어떤 조건에서 접근을 허용할지 정합니다. 규칙을 어긴 앱의 권한을 끊을 수도 있습니다. 정보 접근을 이렇게 통제할 수 있다면, 제대로 관리했는지에 대해서도 책임을 물을 수 있습니다.

다만 접근 차단과 이미 전달된 정보의 삭제는 다릅니다. 수도꼭지를 잠가도 이미 흘러나간 물은 돌아오지 않습니다. 데이터를 내려받아 보관한 업체가 있다면, 이후의 접근을 막는 것만으로 문제가 해결되지는 않습니다.

플랫폼이 제대로 대응했는지 보려면 다음을 확인해야 합니다.

• 외부 앱에 목적에 필요한 정보만 제공했습니까?
• 약속과 다른 사용을 발견했을 때 중단할 수 있었습니까?
• 이미 전달된 정보가 삭제됐는지 확인할 수 있었습니까?

이 질문들만으로 특정한 법적 결론을 내릴 수는 없습니다. 이용자가 서비스의 관리 수준을 판단할 때 살펴볼 기준으로 삼을 수는 있습니다.

이용자를 속였는지와 선거를 바꿨는지는 다른 질문입니다

캠브리지 애널리티카 사건은 정치와 얽혀 있어 더 큰 관심을 받았습니다. 다만 개인정보를 어떻게 다뤘는지와 선거에 어떤 영향을 미쳤는지는 따로 살펴봐야 합니다.

이용자가 예상하지 못한 방식으로 정보를 수집·전달했다는 주장과, 그 정보를 활용한 활동이 선거 결과를 바꿨다는 주장을 뒷받침하려면 각각 다른 증거가 필요합니다. 정치적 영향력을 과장하다 보면 정작 정보가 넘어가는 과정에서 무슨 일이 있었는지 놓치기 쉽습니다.

개인정보 침해가 얼마나 중요한 문제인지 선거 결과만으로 가늠할 수도 없습니다. 내 정보가 누구에게 전달되는지 결정할 기회를 잃었다면, 선거 결과와 별개로 선택권의 문제를 따져야 합니다.

플랫폼을 평가할 때는 광고 효과나 맞춤 추천의 편리함과 함께 이 선택권도 살펴봐야 합니다. 이용자가 정보의 쓰임새를 이해하고 거절할 수 있어야 서비스를 믿고 쓸 수 있습니다.

캠브리지 애널리티카 사건에서 플랫폼의 책임을 물으려면, 개인정보로 수익을 얻는 플랫폼이 그 정보가 옮겨가는 과정을 어디까지 관리해야 하는지 따져야 합니다. 서비스가 “개인정보를 소중히 다룹니다”라고 말할 때는 외부 업체에 넘어간 정보까지 그 약속에 포함하는지 살펴봐야 합니다.