당신의 차가 당신의 데이터를 팔고 있다 — FTC의 GM 제재와 자동차 데이터 중개 산업

본문

스마트폰보다 프라이버시 통제가 훨씬 어려운 기기가 이미 우리 곁에 있습니다. 바로 자동차입니다. The Verge의 Andrew J. Hawkins가 운영하는 주간 칼럼 The Stepback은 이번 호에서 많은 차량이 수집하고 제3자에게 판매하는 운전자 데이터의 규모가 '어마어마한' 수준이라는 문제를 다뤘습니다.

어떻게 시작됐나: GM과 FTC의 전례 없는 제재

올해 초 미국 연방거래위원회(FTC)는 General Motors(GM)에 대해 전례 없는 제재를 내렸습니다. 소비자 보고 기관과 제3자 데이터 브로커에게 고객 데이터를 판매하는 것을 5년간 금지한 것입니다. GM은 수년간 고객의 과속 빈도나 야간 운전 여부 같은 데이터를 수집해 브로커에게 판매했고, 이 데이터는 보험사의 리스크 프로필 작성에 활용됐습니다. 대부분의 운전자는 자신의 데이터가 어느 정도까지 수집되는지 몰랐고, 상당수는 OnStar 커넥티드 서비스에 가입하면서 Smart Driver라는 운전 데이터 수집 기능을 자신도 모르게 동의한 상태였습니다. GM은 이 데이터를 보험 업계와 협력하는 두 데이터 브로커, LexisNexis와 Verisk에 공유했습니다. 2024년 The New York Times의 탐사 보도에서 일부 운전자는 이 데이터 수집 때문에 보험료가 올랐다고 증언했습니다. 가입 절차가 지나치게 혼란스러워 차주 상당수가 데이터 공유 사실 자체를 몰랐다는 것입니다. FTC와의 합의에 따라 GM은 위치 추적을 끄기 쉽게 만들고, 수집된 데이터에 대한 접근·삭제 권한도 제공해야 합니다.

문제는 GM만의 일이 아닙니다. Mozilla Foundation 연구팀은 2023년 보고서를 위해 주요 완성차 업체 전부의 개인정보 처리방침을 몇 달간 검토했고, 공동 저자 Jen Caltrider는 '모든 업체가 끔찍한 프라이버시와 보안' 수준이었다고 결론 내렸습니다. 게다가 소비자는 차량, 커넥티드 서비스, 스마트폰 앱, 대출 금융 서비스까지 겹쳐진 복수의 정책을 받아들여야 했고, 각각에 데이터 수집 조항이 들어 있었습니다. Consumer Reports도 지난해 미국에서 차를 파는 거의 모든 완성차 업체가 이른바 '운전자 행동 데이터'를 다른 회사와 수집·공유하고 있으며 지금도 계속되고 있다는 조사를 내놨습니다. 스마트폰은 사용자가 설정을 찾아 조정할 수 있지만, 차량은 수집이 여러 시스템과 정책에 흩어져 있어 파악 자체가 어렵다는 점이 더 큰 문제로 꼽힙니다.

현재 상황: 겨냥을 빗나간 규제안들

GM 제재 이후 자동차 데이터 프라이버시 문제는 드디어 조명을 받기 시작했지만, 정책 입안자들이 지점을 빗나가고 있다는 지적입니다. 지난해 12월 공화당 하원의원 세 명은 DRIVER Act(Data Rights for Information and Vehicle Electronics in Real-time)를 발의했습니다. '차를 소유한다면 그 차가 생성하는 데이터도 소유해야 한다'는 원칙을 내걸었지만, 이 법안은 소유자에게 약간의 통제권을 줄 뿐 완성차 업체가 데이터를 수집해 제3자 브로커에 파는 행위는 계속 허용합니다. Caltrider가 지적하듯 접근·삭제 권한은 과잉 수집 자체를 막는 것과 다릅니다. 수집된 내용을 찾아내고 삭제를 요청하는 번거로운 절차의 부담이 여전히 개인에게 남기 때문에, 프라이버시 옹호자들은 처음부터 그렇게 많이 수집하지 않는 구조를 원합니다.

이 문제는 정치권 전반으로 퍼졌습니다. 지난 7월 Sean Duffy 교통부 장관은 의회에 보낸 서한에서 'Freedom Car'라는 개념을 제시했습니다. 미국인이 '연결되지 않고 자동화되지 않은' 차를 운전할 권리를 보장하고, 정부가 차량에 자동운전 시스템이나 무선 데이터 전송 기능을 요구하는 것을 금지한다는 내용인데, 기고자는 그런 요구를 하는 주체가 애초에 없다고 꼬집었습니다.

앞으로 일어날 일

DRIVER Act나 Freedom Car가 실제 정책이 될지는 불분명합니다. 분명한 것은 더 단순한 차에 대한 수요가 상당하다는 점입니다. 사람들은 센서와 데이터 수집이 빠진 차를 왜 살 수 없는지 묻고 있고, Slate Truck 같은 저렴한 콘셉트를 보며 더 기본적인 차를 원합니다. 후방 카메라 같은 유용한 안전 장비는 받아들여도, 모든 행동을 추적하거나 차량 화면에 광고를 띄우는 것(BMW), Flock 카메라로 이동을 추적당하는 것은 원치 않습니다. 그러나 데이터 경제가 정보 수집과 수익화에 보상을 주는 한, 완성차 업체가 자발적으로 이 관행을 포기할 이유는 없습니다.

기사는 부록으로 각 제조사의 프라이버시 페이지에서 수집 거부(opt out) 요청이 가능하지만 법률 문서 산에 묻혀 있다는 점, 커넥티드카 앱에서 설정을 바꾸는 것이 상대적으로 쉽다는 점을 짚었습니다. 또 Edmunds와 Consumer Reports가 업체별 정책을 조사한 결과, 그리고 Reddit 사용자들이 2019년 이후 디지털 연결 없는 신차 목록을 크라우드소싱 중인데 '꽤 짧은 목록'이라는 사실도 덧붙였습니다.

Reddit 반응

• @peepdabidness — 곧 우리의 모든 보험 정책이 우리가 운전하는 방식에 기반하게 될 겁니다. 그런데 안전하게 운전한다고 더 낮은 가격을 받게 되지도 않을 겁니다.
• @djliquidice — 제 차는 아무것도 팔지 않습니다. 파는 건 자동차 제조사죠. 더 나은 제목은 '당신의 차는 프라이버시 악몽이다'입니다.
• @gathond — 저는 2011년식 Toyota Yaris를 몰고 있으니, 조금 무리해서 말하자면 제 차는 아닙니다.
• @0xBA7TH — 이 스레드에서 사람들은 똑같은 진부한 농담을 되풀이하면서 핵심을 완전히 놓치고 있습니다.
• @wrxninja — 제조사의 프라이버시 정책을 확인하고 수집 거부가 가능한지 보세요. 저는 Subaru를 샀을 때 그렇게 해서 법적으로 팔 수 없게 했습니다. 안 하면 팔아버리니까요. Life360 같은 앱도 자동차 보험사에 데이터를 팝니다.

원문: The Verge / 번역·요약: Trawling