디지털 연령 확인이란 무엇인가?

디지털 연령 확인(DAV)은 온라인 콘텐츠나 서비스에 대한 접근을 허용하기 전에 사용자가 최소 연령 기준을 충족하는지 확인하는 기술 시스템을 말합니다. 원래는 도박 및 주류 판매에 적용되었으나, 이 요건은 크게 확대되었습니다. 2026년까지 영국, 호주, 미국(주 단위), 독일 및 기타 여러 국가의 법률은 성인 콘텐츠 플랫폼, 일부 소셜 미디어 네트워크, 온라인 게임 서비스에 대한 연령 확인을 의무화하고 있습니다.

이 법률의 핵심 목표는 아동 보호입니다. 개인정보 문제는 이를 달성하기 위해 사용되는 방법에 있습니다.

이러한 시스템은 실제로 어떻게 작동하는가?

대부분의 연령 확인 시스템은 다음 몇 가지 유형 중 하나에 해당합니다:

  • 신용카드 또는 결제 데이터 확인 – 기존 카드를 성인 증명의 대리 수단으로 사용합니다. 이 방법은 브라우징 습관을 금융 신원과 연결합니다.
  • 정부 발급 신분증 업로드 – 사용자가 여권이나 운전면허증 스캔본을 제출합니다. 플랫폼 또는 제3자 처리 업체가 이 문서를 확인하고 저장합니다.
  • 안면 연령 추정 – AI 시스템이 셀피 또는 실시간 카메라 피드를 분석하여 해당 사람이 충분한 나이로 보이는지 추정합니다. 기술적으로 문서는 필요하지 않지만 생체 인식 데이터가 수집됩니다.
  • 이동통신사(MNO) 인증 – 사용자의 이동통신사가 계정 등록 데이터를 기반으로 연령을 확인하고, API 토큰을 통해 플랫폼에 전달합니다.
  • 디지털 신원 지갑 – 정부 발급 디지털 자격 증명이 추가적인 개인 정보를 노출하지 않고 연령을 확인하는 새롭게 부상하는 시스템입니다.

각 방법은 개인정보 스펙트럼의 서로 다른 지점에 위치합니다. 정부 발급 신분증 업로드는 가장 높은 위험을 수반합니다. 안면 추정은 생체 인식 처리를 포함합니다. MNO 인증은 데이터를 상업적 제3자와 공유합니다. 디지털 지갑은 올바르게 구현될 경우 가장 강력한 개인정보 보호를 제공하지만, 아직 일관성 없이 채택되고 있습니다.

데이터는 어디로 가는가?

중요한 질문은 연령이 확인되는지 여부가 아니라, 누가 확인에 사용되는 데이터를 처리하는가입니다. 대부분의 플랫폼은 연령 확인을 전문 제3자 제공업체에 위탁합니다. 신분증을 업로드하거나 셀피를 제출하면, 해당 데이터는 일반적으로 자체적인 데이터 보존 정책, 침해 이력 및 상업적 이해관계를 가진 별도의 회사로 전달됩니다.

2025년에는 두 개의 주요 연령 확인 제공업체가 수백만 명의 사용자에게 영향을 미치는 데이터 사고를 공개했습니다. 유출된 기록에는 정부 발급 신분증 스캔본, IP 주소, 브라우징 메타데이터가 포함되어 있었습니다. 이는 구조적 문제를 보여줍니다. 민감한 신원 데이터를 중앙화하면 악의적인 행위자들에게 고가치 표적이 됩니다.

또한 일부 제공업체는 규정 준수 목적으로 인증 기록을 보존한다는 사실을 공개적으로 밝히고 있습니다. 다양한 서비스에서 30일부터 수년에 이르는 보존 기간이 관찰되었습니다. 플랫폼이 신분증을 저장하지 않는다고 주장하더라도, 제3자 처리 업체는 자체 약관에 따라 보존할 수 있습니다.

연결 문제

연령 확인은 연구자들이 연결 위험이라고 부르는 문제를 만들어냅니다. 특정 웹사이트에 접근하기 위해 시스템이 신원을 확인하면, 실제 신원과 해당 사이트 방문을 연결하는 기록이 생성됩니다. 해당 기록이 이후 소환되거나, 침해되거나, 상업적으로 공유된다면, 접근한 콘텐츠의 내용이 개인 신원과 연결됩니다. 성인 콘텐츠, 건강 정보 또는 정치적 자료가 포함된 서비스의 경우, 이 연결은 실질적인 결과를 초래할 수 있습니다.

규제 프레임워크와 그 한계

영국의 온라인 안전법에 따른 연령 확인 요건은 Ofcom이 시행하며, Ofcom은 개인정보 보호 방식을 권장하는 기술 표준을 발표했습니다. EU의 디지털 서비스법(DSA)은 대형 플랫폼에 연령 보장 의무를 부여하며, 회원국마다 집행 방식을 다르게 해석하고 있습니다. 호주의 온라인 안전법 개정안은 플랫폼에 의무를 부과하지만, 인증 방법 선택은 대체로 자유롭게 열어두고 있습니다.

대부분의 프레임워크에서의 공백은 결과(연령 확인)만을 의무화하고, 개인정보 보호에 안전한 방법은 의무화하지 않는다는 점입니다. 이로 인해 데이터를 과도하게 수집하는 구현 방식이 시장의 기본값이 될 여지가 생깁니다.

노출을 줄이기 위한 실질적 조치

  • 가능한 경우 MNO 인증 또는 디지털 지갑 기반 확인을 지원하는 플랫폼을 사용하세요. 이러한 방법은 전체 신원 문서를 노출하지 않고도 연령을 확인할 수 있습니다.
  • 문서를 제출하기 전에 제3자 인증 제공업체의 개인정보 처리방침을 읽으세요. 특히 데이터 보존 기간과 마케팅 파트너에게 데이터가 공유되는지 여부를 확인하세요.
  • VPN은 연령 확인을 우회하지 않지만, 인증 과정에서 IP 주소 및 대략적인 지리적 위치와 같이 제3자에게 노출되는 메타데이터를 제한할 수 있습니다.
  • 규정이 허용하는 경우, 일부 서비스는 디지털 신분증 제출 대신 우편 또는 토큰 기반 대안을 제공합니다.
  • 콘텐츠를 접근하는 국가들이 거주 국가와 상호 데이터 공유 협정을 맺고 있는지 모니터링하세요.

앞으로의 전망

영지식 증명(zero-knowledge proof)과 선택적 공개 자격 증명을 활용한 개인정보 보호 연령 확인은 2026년에 기술적으로 실현 가능하며, 여러 EU 회원국에서 시범 운영 중입니다. 이러한 시스템은 추가적인 정보를 공개하지 않고도 사용자가 연령 기준을 충족한다는 것을 확인할 수 있습니다. 더 광범위한 채택은 규제 의무화와 상업적 인센티브에 달려 있으며, 어느 쪽도 단기적으로 사용자를 보호하기에 충분한 속도로 진전되지 않고 있습니다.