KOSA의 안전 약속 뒤에 숨은 프라이버시 절충

마샤 블랙번 상원의원은 이번 주 오피니언 기고문을 통해 호주의 소셜 미디어 금지 조치가 실패한 지점에서 어린이 온라인 안전법(KOSA)이 성공한다고 주장했다. 그녀의 논리는 간단하다. 젊은 이용자들을 플랫폼에서 완전히 차단하는 대신, KOSA는 기술 기업들이 처음부터 더 안전한 제품을 만들도록 강제한다는 것이다. 표면적으로는 설득력 있는 제안이다. 그러나 플랫폼들이 실제로 그 약속을 어떻게 이행할 것인지에 대한 세부 사항은, 특히 아이들을 보호한다는 명목으로 얼마나 많은 데이터가 수집·저장·공유되는지 신경 쓰는 사람이라면, 오피니언 기사 제목이 허용하는 것보다 더 꼼꼼히 살펴볼 필요가 있다.

논쟁에 다시 불을 붙인 오피니언 기고문

블랙번 의원의 기고문은 호주의 접근 방식을 무딘 도구로 규정한다. 젊은 이용자들을 소셜 미디어에서 전면 금지하고 끝내는 식이라는 것이다. 그녀의 반론은 KOSA가 더 세심한 경로를 제시한다는 것이다. 플랫폼 접근성을 유지하면서도 기업들에게 젊은 이용자들의 웰빙을 염두에 두고 제품을 설계할 법적 의무를 부과한다는 것이다. 이러한 프레임 덕분에 KOSA는 지난 여러 입법 회기 동안 초당파적인 광범위한 지지를 얻을 수 있었다.

그러나 "주의 의무(duty of care)"라는 표현은 아무리 선의의 의도를 담고 있더라도, 이를 준수해야 하는 플랫폼 차원에서는 매우 구체적인 엔지니어링 요구사항으로 바뀌는 경향이 있다. 누군가는 누가 미성년자인지 판별해야 하고, 누군가는 해당 이용자들에게 특정 콘텐츠를 표시하거나 제한하는 시스템을 구축해야 하며, 누군가는 그러한 시스템이 제대로 작동하는지 문서화하고 보고해야 한다. 이 각 단계에는 데이터가 필요하다. 그리고 바로 이 지점, 대부분의 오피니언 기사가 멈추는 지점을 지나서야 비로소 프라이버시 논의가 시작된다.

연령 확인과 모니터링에 실제로 필요한 것들

플랫폼이 미성년자를 성인과 다르게 취급하도록 요구하는 법률은 먼저 누가 미성년자인지 신뢰할 수 있는 방법으로 알아내야 한다. 이는 듣기보다 훨씬 어려운 기술적 문제이며, 이미 실제 규제 분쟁에서 드러나고 있다. 영국에서는 Ofcom이 틱톡의 생체 인식 기반 연령 추론 도구를 조사하고 있는데, 이 시스템이 해당 국가의 온라인 안전법이 요구하는 기준을 신뢰성 있게 충족하지 못할 수 있다는 우려 때문이다. 이 사례는 시사하는 바가 크다. 풍부한 자금력을 갖춘 플랫폼이 목적에 맞게 구축한 연령 추정 기술조차 정확성과 프라이버시 문제로 규제 당국의 조사를 받고 있는 것이다.

KOSA는 이러한 광범위한 추세와 무관하게 작동하지 않는다. 플랫폼이 미성년자를 식별하고 그에 맞춰 경험을 조정하도록 기대하는 미국의 어떤 프레임워크든, 결국에는 영국 규제 당국이 현재 씨름하고 있는 것과 동일한 기로에 서게 될 것이다. 즉, 더 확실하게 연령을 확인하기 위해 더 많은 식별 정보(신분증, 생체 인식 스캔, 기기 지문)를 수집하거나, 오류가 발생하기 쉽고 우회하기 쉬운 추론 도구에 의존하는 것이다. 두 선택지 모두 프라이버시에 중립적이지 않으며, 동일한 인증 시스템에 휩쓸리게 될 성인들에게 의도치 않은 결과를 초래하지 않는 쪽도 없다.

암호화와 모니터링 문제

정치인들의 오피니언 기사에서 가장 주목받지 못하는 부분은 "주의 의무" 설계 요구사항이 암호화된 비공개 통신에 어떤 의미를 갖는지이다. 플랫폼이 미성년자에게 도달하는 유해 콘텐츠를 탐지하고 완화해야 할 법적 의무를 지게 되면, 콘텐츠를 더 면밀히 모니터링해야 한다는 엄청난 압박에 직면하게 되고, 이는 종단간 암호화와 직접적인 긴장 관계를 형성한다. 암호화 메시징이 작동하는 이유는 바로 플랫폼 자체가 통과하는 콘텐츠를 볼 수 없기 때문이다. 유해 자료를 식별하고 조치를 취하라는 법적 명령은 기업들이 암호화 전후에 콘텐츠를 스캔하도록 압박함으로써, 애초에 암호화가 제공하려는 프라이버시 보장을 약화시킨다.

이는 정부가 콘텐츠 조정 의무, 데이터 보관 규칙, VPN 같은 익명화 도구를 겨냥한 제한을 제안할 때마다 나타나는 동일한 긴장 관계다. 명시된 목표는 거의 항상 안전이다. 그러나 기술적 현실은 안전 의무와 프라이버시 보호가 종종 서로 반대 방향으로 당기며, 타협은 대개 모니터링을 더 강화하는 쪽으로 결론 난다는 것이다. 민감한 통신을 보호하기 위해 암호화된 메시징, 사생활 보호 브라우징, VPN 서비스에 의존하는 소비자들은 어떤 "어린이 안전" 법안이 플랫폼의 의무를 어떻게 정의하는지 주의 깊게 지켜봐야 한다. 실제 운영에서 그러한 의무가 미성년자에게만 좁게 범위가 제한되는 경우는 드물기 때문이다.

이것이 여러분에게 의미하는 바

부모라면, 오늘날의 플랫폼들이 설계 단계에서 안전을 충분히 확보하지 못하는 경우가 많으며, 입법적 압력이 기업들로 하여금 젊은 이용자들을 위한 더 나은 기본 보호 장치를 만들도록 밀어붙일 수 있다는 KOSA 지지자들의 주장은 옳다. 이는 원칙적으로 지지할 가치가 있는 정당한 목표다. 그러나 프라이버시를 중시하는 성인이거나 단순히 암호화된 통신을 가치 있게 여기는 사람이라면, 제목의 프레임 너머를 읽을 가치가 있다. 미성년자를 위해 구축된 연령 확인 시스템과 콘텐츠 모니터링 요구사항은 범위가 확장되고, 새로운 데이터 수집 지점을 생성하며, 같은 그물에 걸린 성인 이용자들에게 마찰을 일으킨 전례가 있다.

솔직한 답변은, 호주의 금지 조치가 단순히 장점 없이 실패한 안전 정책이 아니었던 것처럼, KOSA도 아무런 절충 없이 단순히 안전을 업그레이드하는 방안이 아니라는 점이다. 두 접근 방식 모두 실질적인 비용을 수반한다. 어린이 온라인 안전법 논쟁은 그 비용에 대한 정직한 설명을 요구할 자격이 있으며, 단순히 그 법안이 상대적으로 더 나아 보이는 하나의 대안과 비교해서 유리하게 보이도록 하는 프레임을 요구하지 않는다.

핵심 요점

• 어느 한쪽의 오피니언 기사 요약에 의존하지 말고 KOSA의 실제 법안 내용과 모든 수정안을 읽을 것.
• 본인이나 가족이 사용하는 모든 플랫폼에서 연령 확인이 어떻게 구현되는지, 그리고 그것이 신분증이나 생체 인식 추론에 의존하는지 주의를 기울일 것.
• 미성년자 보호를 목표로 하는 콘텐츠 모니터링 의무가 플랫폼 내 모든 사람의 암호화 보장을 약화시킬 수 있음을 이해할 것.
• 다른 지역의 규제 당국이 연령 확인 분쟁을 어떻게 처리하는지 지켜볼 것. 그 결과가 미국 플랫폼들이 유사한 법적 압력에 대응하는 방식을 좌우하는 경우가 많기 때문임.
• 플랫폼이 선택권을 제공할 때마다 중앙 집중식 데이터 수집보다는 기기 내 자녀 보호 기능과 같은 프라이버시 존중 안전 조치를 지지할 것.