펜실베이니아 SB 603 연령 확인 법안, 상원 위원회 통과

콜롬비아 SIC 개인정보보호 과징금, 월 최저임금의 2,000배에 달해

랜드 폴 상원의원(R-KY)이 9월 30일 수요일, 아동 온라인 안전법(KOSA)의 신속 통과 시도를 저지했다. 이 사건이 프라이버시를 중시하는 독자들에게 중요한 이유는, 이 법안이 기록 표결을 받을 수 있을지 여부를 결정지었기 때문이다. **랜드 폴이 KOSA 표결** 지름길을 차단하자, 의원들은 이름을 공식 기록에 남기거나 법안을 교착 상태에 두어야 했다. ## 랜드 폴이 차단한 것과 그 이유 Reclaim The Net에 따르면, NaturalNews.com을 통해 전해진 바와 같이, 폴은 공식 롤콜 표결 없이 KOSA를 통과시키려 했던 만장일치 동의 요청에 반대했다. 이 요청은 법안의 초당파적 발의자인 리처드 블루멘탈 상원의원(D-CT)과 마샤 블랙번 상원의원(R-TN)으로부터 나왔다. 만장일치 동의는 상원의 지름길이다. 어떤 의원도 반대하지 않으면, 기록 표결이 요구하는 시간과 본회의 토론 없이도 법안이 진행될 수 있다. 또한 단 한 명의 반대만으로도 이를 막을 수 있다. CT Public의 보도도 같은 점을 지적한다: 만장일치 동의 요청을 차단하는 데는 상원의원 한 명이면 충분하다. 출처 보도는 폴의 이유에 대해 자세히 다루지 않는다. Reason의 논평을 포함한 다른 보도들은 특히 법안의 "주의 의무(duty of care)"를 둘러싼 표현의 자유 우려에 초점을 맞춘다. 우리는 이전 보도들에서 절차와 표현 논쟁 모두를 다루었으며, 이 글 끝에 링크를 걸어두었다. ## KOSA가 플랫폼에 요구할 사항 KOSA는 온라인에서 아동을 보호하기 위해 오랫동안 추진되어 온 법안으로, 양당의 지지를 받아왔다. 이 보도에 사용 가능한 출처 자료는 법안의 전체 텍스트를 제시하지 않으므로, 여기서 말할 수 있는 것과 없는 것을 정확히 하는 것이 중요하다. 비판자들이 가장 자주 돌아오는 법안의 부분은 "주의 의무"이다. Reason이 표현하듯, 그 개념은 플랫폼이 아동 보호라는 명분 아래 합법적 표현을 억제하도록 압박할 수 있다. 실제로 법적 의무는 기업이 책임 문제를 고려하게 만든다. 책임이 모호하면, 기업은 과잉 교정을 하는 경향이 있어 법이 엄격히 요구하는 것보다 더 많은 콘텐츠를 삭제하거나 제한한다. 지지자들은 같은 감독을 법안의 핵심으로 본다: 플랫폼의 제품이 어린 사용자에게 미치는 영향에 대해 책임을 묻는 것이다. 두 관점 모두 논쟁의 일부이며, 독자들은 어떤 단일 요약보다 최종 법안 텍스트에 비추어 이를 저울질해야 한다. ## 비판자들이 제기하는 프라이버시와 표현 우려 Reclaim The Net을 요약한 NaturalNews 보도는 비판자들이 KOSA를 연령 확인의 수단으로 본다고 지적한다. 이것이 VPN 및 프라이버시 사용자들에게 가장 관련 있는 각도이다. 연령 확인 시스템은 일반적으로 사용자가 누구인지 또는 나이가 몇 살인지 확인할 방법을 요구한다. 프라이버시 옹호자들은 종종 이것이 더 많은 개인 데이터 수집, 유출될 수 있는 새로운 데이터베이스 생성, 익명 브라우징 능력 감소를 의미한다고 우려한다. 출처 자료가 그렇게 말하지 않으므로, 우리는 KOSA가 특정 확인 방법을 의무화한다고 주장하지 않는다. 우려는 법적 위험에 직면한 플랫폼이 스스로를 보호하기 위해 그러한 시스템을 자체적으로 도입할 수 있다는 것이다. 두 번째 우려는 표현이다. 플랫폼이 광범위한 주의 의무에 대응하여 공격적으로 필터링하면, 미성년자뿐 아니라 성인도 합법적 콘텐츠에 접근하지 못할 수 있다. 이것이 Reason이 폴의 반대에 관한 논평에서 제시한 논거이다. ## 법안의 향후 전망 반대함으로써 폴은 상원이 제대로 된 표결 없이 KOSA를 통과시키는 것을 막았다. 이는 법안을 정규 절차로 되돌리며, 지지자들이 법안을 진전시키려면 본회의 시간과 기록 롤콜을 확보해야 한다. 우리의 관련 보도 중 하나는 상원이 휴회에 들어가면서 지지자들이 이제 또 다른 입법 경로를 모색해야 한다고 지적한다. 출처 기사는 새로운 표결 날짜를 제시하지 않으며, 우리도 추측하지 않을 것이다. 그것이 확립하는 것은 지름길이 실패했다는 것, 그리고 향후 통과는 의원들이 가시적인 입장을 취해야 할 가능성이 높다는 것이다. ## 이것이 당신에게 의미하는 것 오늘 당신의 온라인 접근에 변하는 것은 없다. KOSA는 통과되지 않았고, 폴의 반대로 9월 30일 상원을 통과하지 못했다. 그러나 이 논쟁은 연령 확인과 플랫폼 책임이 일상적인 인터넷 사용을 어떻게 재편할 수 있는지 보여주는 예고편이다. 연령 확인이 보편화되면, 이미 사용하는 사이트에서 신원이나 나이를 증명하라는 요구가 더 많아질 것으로 예상하라. VPN은 그러한 요구를 없애주지 않으며, 서비스가 어떤 데이터를 수집하는지 이해하는 것을 대체하지도 않는다. 프라이버시는 각 플랫폼에서 당신이 내리는 선택과, 플랫폼이 당신에게 무엇을 요구할 수 있거나 요구해야 하는지를 규정하는 법률에 달려 있다. ## 핵심 요점과 다음 단계 - **법안의 진행 상황을 주시하라.** 예정된 롤콜 표결이 있는지 지켜보라. 그것이 각 의원의 입장을 보여줄 것이기 때문이다. - **헤드라인이 아니라 텍스트를 읽어라.** 주의 의무와 연령 관련 조항이 프라이버시와 표현 문제가 있는 곳이다. - **자신의 데이터 노출을 점검하라.** 어떤 계정이 당신의 나이, 신분증 또는 기타 민감한 정보를 보유하는지 확인하고, 가능한 곳에서는 공유하는 정보를 제한하라. - **상원의원에게 연락하라.** 만장일치 동의 시도는 법안이 얼마나 빠르게 움직일 수 있는지 보여준다. 유권자 피드백은 표결 후가 아니라 표결 전에 가장 유용하다. 절차적 조치에 대한 더 많은 내용은 [랜드 폴이 상원에서 KOSA 만장일치 동의 추진을 차단한 방법](/en/rand-paul-blocks-kosa-unanimous-consent-push-in-senate)에 관한 우리의 보도를 읽어라. 반대 뒤에 있는 표현의 자유 논거에 대해서는 [폴이 표현 위험을 이유로 신속 KOSA 표결을 차단한 이유](/en/rand-paul-blocks-fast-track-kosa-vote-over-speech-risks)에 관한 우리의 보도를 참조하라. 우리는 앞으로 몇 주 동안 법안이 진행되거나 교착되는 대로 계속 보도할 것이다.

2026년 GDPR 벌금 및 제재: 등급, 귀책사유, 그리고 Uber의 8억 2,500만 유로

2026년 8월 21일, 네덜란드 개인정보보호청(네덜란드 DPA)은 우버에 대해 운전자와 관련된 특정 완전 자동화 의사결정 금지 규정을 위반한 혐의로 8억 2,499만 유로의 과징금을 부과했다고 발표했습니다. 우버 GDPR 자동화 의사결정 과징금은 개인의 개인정보가 사람의 개입 없이 중대한 결정을 내리는 시스템에 입력되는 모든 이들에게 주목할 만한 사건입니다. 이 글에서는 규제 당국이 무엇을 발표했는지, "완전 자동화 의사결정"이란 쉬운 말로 무엇을 의미하는지, 또 누가 영향을 받을 수 있는지, 그리고 VPN이 어디에 도움이 되고 어디에 도움이 되지 않는지를 설명합니다. ## 네덜란드 DPA가 우버에 과징금을 부과한 이유 발표에 따르면, 네덜란드 DPA는 우버가 운전자와 관련된 완전 자동화 의사결정에 대한 GDPR의 제한을 위반했다고 제재했습니다. 과징금 총액은 8억 2,499만 유로입니다. 이 사건을 다룬 보도들은 이 분쟁이 운전자 계정을 정지하거나 비활성화하는 데 사용된 자동화 시스템에 초점을 맞추고 있다고 설명하며, 이번 제재가 GDPR에 따라 부과된 역대 최대 규모 중 하나로 꼽힌다고 전했습니다. 보도에 따르면 우버는 이번 조사 결과에 이의를 제기하며 자사의 비활성화 절차가 법을 준수한다고 주장했습니다. 회사의 입장과 향후 항소는 지켜볼 가치가 있는데, 결정의 세부 사항이 추가로 검증될 수 있기 때문입니다. 이 판결 자체에 대한 더 자세한 내용은 기존 vpn.social 보도인 [네덜란드 DPA, 운전자 GDPR 위반으로 우버에 8억 2,500만 유로 과징금 부과](/en/dutch-dpa-fines-uber-825m-over-driver-gdpr-breach)를 참조하세요. ## "완전 자동화 의사결정"이란 쉬운 말로 무엇인가 GDPR(제22조)은 자동화 처리에만 기반한 결정이 법적 또는 이와 유사하게 중대한 영향을 미치는 경우, 그러한 결정의 대상이 되지 않을 권리를 사람들에게 부여합니다. 간단히 말해: 소프트웨어가 당신의 삶이나 생계에 심각한 영향을 주는 결정을 내리고, 어떤 사람도 실질적으로 이를 검토하지 않는다면, 특정 조건이 충족되지 않는 한 이는 EU 법률상 문제가 됩니다. 세 가지 개념이 이를 구체적으로 이해하는 데 도움이 됩니다: - **완전 자동화:** 실질적인 인간의 개입이 없음. 알고리즘의 결과를 변경할 능력이나 권한 없이 단순히 도장만 찍는 사람은 의미 있는 감독으로 간주되지 않을 수 있습니다. - **중대한 영향:** 결과가 중요함. 생계를 제공하는 계정에 대한 접근을 잃는 것은 규제 당국이 우려하는 영향의 명확한 예입니다. - **안전장치:** 자동화 의사결정이 허용되는 경우, 사람들은 일반적으로 인간의 개입을 받고, 자신의 의견을 표현하며, 결과에 이의를 제기할 방법이 필요합니다. 이 사건은 규제 당국이 대형 플랫폼에 대해 이러한 제한을 시행하고, 매우 큰 제재를 부과할 의지가 있음을 보여줍니다. ## 우버 운전자 외에 누가 영향을 받는가 이 판결은 우버 운전자에 관한 것이지만, 그 원칙은 훨씬 더 넓게 적용됩니다. 자동화 시스템은 이미 다음과 같은 결정에 영향을 미치고 있습니다: - 계정 정지 및 급여를 포함한 긱 및 플랫폼 노동자. - 자동화 도구로 심사되는 구직자. - 자동화 사기 표시, 계정 폐쇄 또는 신용 관련 결과에 직면한 고객. - 알고리즘이 계정 접근을 제한할 수 있는 모든 서비스의 사용자. 원문 자료는 이 결정이 다른 기업에 어떻게 적용될지에 대해서는 언급하지 않으므로, 그 영향 범위를 과장하는 것은 잘못된 일이 될 것입니다. 그럼에도 불구하고, EU에서 자동화 의사결정에 의존하는 모든 조직은 이제 실질적인 인간의 감독이 존재하는지, 그리고 영향을 받는 사람들이 결과에 이의를 제기할 수 있는지를 검토해야 할 중요한 이유를 갖게 되었습니다. ## VPN이 알고리즘 프로파일링에 대해 하는 것과 하지 않는 것 VPN은 기기와 VPN 서버 사이의 트래픽을 암호화하고, 방문하는 사이트로부터 IP 주소를 숨깁니다. 이는 공용 네트워크에서의 개인정보 보호와 일부 위치 기반 추적 제한에 유용합니다. 그러나 로그인한 서비스에 의한 알고리즘 프로파일링을 막지는 못합니다. 플랫폼에서 운전을 하거나, 계정으로 쇼핑을 하거나, 포털을 통해 구직을 한다면, 회사는 이미 당신이 제공한 데이터와 당신의 활동으로 생성된 데이터를 보유하고 있습니다. 그 데이터를 사용해 당신에 대한 결정을 내리는 자동화 시스템은 당신의 연결이 VPN을 통해 이루어지는지 여부에 영향을 받지 않습니다. 요컨대, VPN은 네트워크 개인정보 보호를 위한 도구입니다. 불투명한 자동화 의사결정에 대한 보호는 법적 권리와 규제 당국에서 비롯되며, 이 사건이 바로 그것을 보여줍니다. ## 이것이 당신에게 의미하는 것 EU에 거주하거나 EU 규제를 받는 회사와 거래한다면, 당신의 GDPR 권리는 실용적인 도구입니다: - **질문하세요.** 회사가 보유한 당신의 개인정보와 그것이 결정에 어떻게 사용되는지에 대한 정보를 요청할 수 있습니다. - **인간의 검토를 요청하세요.** 자동화 의사결정이 당신에게 중대한 영향을 미친다면, 사람이 이를 검토했는지 물어보고, 그렇지 않다면 검토를 요청하세요. - **기록을 보관하세요.** 정지 또는 거절에 관한 통지, 이메일, 스크린샷을 저장하세요. - **어디에 불만을 제기할지 알아두세요.** 개인정보보호 당국은 불만을 접수하며, 이 사건과 같은 사례가 시작되는 방식입니다. EU 밖에서는 보호 수준이 다르지만, 이 사건은 규제 당국이 나아가고 있는 방향을 보여줍니다. ## 핵심 요점 우버 GDPR 자동화 의사결정 과징금은 알고리즘 의사결정에 대한 제한이 문서에만 쓰여 있는 것이 아니라 시행되고 있음을 보여줍니다. 자동화 의사결정에 대한 자신의 권리를 이해하고, 시스템이 당신의 소득이나 서비스 접근에 영향을 미칠 때 이를 사용하며, VPN은 프로파일링에 대한 해결책이 아니라 네트워크 개인정보 보호의 한 계층으로 취급하세요. 판결의 전체 세부 사항은 [네덜란드 DPA의 우버 과징금](/en/dutch-dpa-fines-uber-825m-over-driver-gdpr-breach)에 관한 기존 보도를 참조하세요.

GDPR vs CCPA vs DPDPA: 델라웨어, EU, 캘리포니아의 권리

Meta 합의 이후의 아동 온라인 안전법: 코네티컷 어머니의 촉구

인도 대법원이 소셜 미디어 사용자가 계정을 만들려면 18세 이상이어야 한다는 법적 framework를 검토하도록 중앙정부에 요청했습니다. Storyboard18이 보도한 이 요청은 플랫폼이 인도에서 어떻게 규제될 수 있는지의 중심에 연령 기준을 놓고 있습니다. 이는 또한 법정 훨씬 너머에서 중요한 실질적 질문을 제기합니다: 온라인에서 어떻게 나이를 증명할 수 있으며, 이를 위해 무엇을 제공해야 하는가? 인도 소셜 미디어 연령 인증 프라이버시를 주시하는 사람이라면, 이는 면밀히 지켜볼 가치가 있는 발전입니다. ## 대법원이 중앙정부에 요청한 것 보도에 따르면, 대법원은 소셜 미디어 계정을 보유하기 위한 최소 연령을 18세로 설정하는 법적 규칙을 검토하도록 중앙정부에 요청했습니다. 여기서 "법적(statutory)"이라는 단어가 중요합니다. 이는 기업이 느슨하게 해석할 수 있는 자발적 플랫폼 정책이나 지침이 아니라, 법에 근거한 규칙을 가리킵니다. 입수 가능한 보도는 짧기 때문에 여러 세부 사항이 아직 불분명합니다. 법원이 염두에 두고 있는 집행 메커니즘이 무엇인지, 어떤 플랫폼이 적용 대상이 될지, 중앙정부에 주어진 일정이 무엇인지는 명시되지 않았습니다. 현 단계에서 법원은 최종 규칙을 발표한 것이 아니라 검토를 요청한 것입니다. 독자들은 이를 완성된 명령이 아니라 정책 과정의 시작으로 받아들여야 합니다. ## 18세 이상 인증이 실제로 어떻게 작동할 수 있는가 법적 연령 제한은 이를 집행하는 방법만큼만 강력합니다. 원문 기사는 인증이 어떻게 이루어질지 명시하지 않으므로, 다음은 발표된 어떤 계획에 대한 설명이 아니라 플랫폼이 일반적으로 저울질하는 옵션에 대한 일반적 맥락입니다. - **자기 신고:** 사용자가 생년월일을 입력합니다. 간단하고 수집하는 데이터가 적지만 위조하기 쉽습니다. - **문서 확인:** 사용자가 정부 발급 신분증을 업로드합니다. 더 신뢰할 수 있지만 플랫폼이나 제3자 인증 기관과 민감한 신원 데이터를 공유해야 합니다. - **얼굴 연령 추정:** 셀카나 영상을 분석하여 나이를 추정합니다. 신분증 문서를 피할 수 있지만 생체 인식 데이터를 포함합니다. - **부모 또는 제3자 증명:** 신뢰할 수 있는 당사자가 사용자를 대신하여 나이를 확인하며, 이는 데이터 문제를 제거하기보다는 전가합니다. 신규 및 기존의 모든 계정에 적용되는 18세 이상 규칙은 이러한 확인이 매우 큰 사용자 기반에 도달할 수 있음을 의미합니다. 바로 그 규모가 아동 안전 조치를 더 광범위한 데이터 처리 문제로 바꾸는 것입니다. ## 연령 확인의 프라이버시 및 데이터 보안 위험 핵심 긴장은 단순합니다: 성인임을 증명하는 것은 보통 당신이 누구인지에 대한 무언가를 드러내는 것을 의미합니다. "이 사람이 18세 이상인가?"라는 질문에만 답하도록 설계된 확인조차도 이름, 생년월일, 신분증 번호 또는 얼굴 이미지를 수집할 수 있습니다. 이로부터 여러 위험이 따릅니다: - **데이터 집중:** 저장된 신분증 문서와 생체 인식 데이터는 매력적인 표적을 만듭니다. 범죄자들은 도난당한 신원 기록으로 이익을 얻기 위해 정교한 도구가 필요하지 않으며, 빠르게 움직이는 공격은 반복되는 주제입니다. 이는 [Spirals 랜섬웨어가 24시간 이내에 피해자를 암호화한 방법](/en/spirals-ransomware-encrypts-victim-in-under-24-hours)에 대한 우리의 보고서에서 볼 수 있습니다. - **활동에 대한 신원 연결:** 계정이 검증된 신원과 연결되면 익명 또는 가명 발언이 더 어려워집니다. 이는 내부고발자, 언론인, 민감한 주제를 논의하는 사람들에게 영향을 미칩니다. - **기능 확장(function creep):** 연령 확인을 위해 수집된 데이터는 규칙이 보존 및 사용을 명확히 제한하지 않는 한 나중에 다른 목적으로 사용될 수 있습니다. - **피싱 및 사칭:** 사용자가 일상적으로 신분증 업로드를 요구받을 때, 가짜 인증 요청은 쉬운 미끼가 됩니다. 국가 연계 행위자들은 이미 대규모로 구인 themed 미끼를 사용합니다. 이는 [국방 근로자를 표적으로 한 Lazarus Group 캠페인](/en/lazarus-group-s-windows-zero-day-hits-defense-workers)에서처럼, 대규모 인증 시행이 사기꾼들에게 설득력 있는 새로운 구실을 제공할 수 있습니다. 이 중 어느 것도 연령 확인이 책임감 있게 설계될 수 없다는 것을 의미하지는 않습니다. 예/아니오 결과만 확인하고, 원본 문서를 신속히 삭제하며, 플랫폼이 보관할 수 있는 것을 제한하는 접근 방식은 노출을 줄일 것입니다. 인도 규칙이 그러한 보호 조치를 요구할지는 미해결 질문입니다. ## 이것이 당신에게 의미하는 바 인도에서 소셜 미디어를 사용한다면, 오늘 당장 달라지는 것은 없습니다. 법원은 중앙정부에 규칙을 검토하도록 요청했을 뿐, 새로운 요건을 시행한 것이 아닙니다. 하지만 진행 방향은 대비할 수 있을 만큼 충분히 명확합니다. - 결국 나이를 확인하라는 요청을 받을 수 있으며, 문서나 얼굴 스캔이 필요할 수 있습니다. - 부모는 십대 자녀가 플랫폼에 접속하는 방식과 누가 나이를 검증하는지에 대한 새로운 질문에 직면할 수 있습니다. - 익명성을 중시하는 성인은 실명으로 무엇을 공유하는지 재고해야 할 수 있습니다. VPN은 이것을 해결하지 못합니다. IP 주소를 숨길 수는 있지만 계정에 연결된 신원 확인을 우회할 수는 없으며, 법적 요건에 대한 회피 수단으로 취급되어서는 안 됩니다. ## 사용자와 플랫폼이 다음으로 주시해야 할 것 여러 세부 사항이 이것이 프라이버시 친화적 보호 조치가 될지 대규모 데이터 수집 작업이 될지를 결정할 것입니다: 1. **중앙정부의 대응:** 새로운 법률, 규칙 또는 기존 framework에 대한 개정을 제안하는지 여부. 2. **인증 방법:** 프라이버시 보존 옵션을 허용하는지, 아니면 신분증 업로드에 의존하는지 여부. 3. **데이터 보호 제한:** 인증 데이터의 보존, 삭제 및 공유에 대해 규칙이 무엇을 말하는지. 4. **범위:** 어떤 플랫폼이 적용 대상이며 기존 계정이 어떻게 처리되는지. 5. **책임:** 인증 데이터가 유출될 경우 플랫폼 또는 제3자 인증 기관이 책임을 지는지 여부. ## 핵심 요점 대법원의 요청은 초기 단계이지만, 인도 소셜 미디어 연령 인증 프라이버시를 정책 논쟁의 중심으로 이동시킵니다. 규칙이 작성될 때까지 채택할 수 있는 현명한 습관이 있습니다: - 중앙정부가 어떻게 대응하는지 주시하고, 제안된 규칙이 발표되면 읽어보세요. - 어떤 플랫폼에든 신분증 문서나 얼굴 스캔을 업로드하기 전에 비판적으로 생각하세요. 무엇이 저장되는지, 얼마나 오래 저장되는지, 누가 접근할 수 있는지 물어보세요. - 링크를 통해 "나이를 인증하라"고 요청하는 원치 않는 메시지를 경계하세요. 대신 공식 앱이나 사이트로 이동하세요. - 나중에 검증된 신원과 연결될 수 있는 계정에는 강력하고 고유한 비밀번호와 2단계 인증을 사용하세요. 젊은 사람들을 보호하는 것과 모든 사람의 데이터를 보호하는 것 사이의 균형은 세부 사항에서 결정될 것입니다. 지금 정보를 파악해 두면 그러한 세부 사항이 도착했을 때 판단할 수 있는 더 나은 위치에 있게 됩니다.

연령 확인법 해설: 25개 주와 법정 다툼

EU 규제 당국, 더 일관된 GDPR 과징금 검토