프라이버시 워킹그룹, 오는 13일 건국대에서 콜로키움 개최

[사례 15] 휴대전화 위치가 도로안전정비 정책을 지원한다

교통부는 다양한 경로로 움직이고 있는 휴대전화 – 종국적으로는 이들을 탑재한 교통수단 – 의 속도를 계산하기 위해서 휴대전화 위치정보를 사용할 수 있는지 통신사에 문의해 왔다. 휴대전화 데이터는 특정 도로 구간에서 속도가 보편적이라는 사실을 드러낸다. 따라서 이 정보들은 도로안전 정책을 수립하는 데 사용될 수 있는데, 이런 정책은 나중에 해당 지역에서 도로교통 사망사고 발생을 유의미하게 감소시키는 결과를 낳을 것으로 보인다. 정보주체가 재식별화될 위험성을 최소화하기 위해, 휴대전화 데이터는 교통부에 제공되기 전 효과적으로 익명화시킨다. 세심한 영향평가가 이루어지고, 침투테스트가 수행되고, 이해당사자들이 자문한다. 이런 시나리오에 대해 우리는 모든 요소들이 재식별화의 위험성을 매우 낮추거나 최소화시킬 것이고 정보주체에게 영향이 있더라도 비교적 낮은 영향을 미칠 것이 확실하다고 추정한다.

이 시나리오는 세부적인 부합성 평가를 요구한다. 처음에 특정한 목적으로 수집되는 통신 데이터는 이제 (도로교통 관련) 다른 목적으로 사용된다. 대부분의 사람들은 자신의 데이터가 다른 방식으로 사용될 것이라고 일반적으로 예상하지 않는다. 이는 [개인정보 수집의] 목적에 부합할 수 없다는 강력한 초기 표지가 될 수 있다. 수집된 휴대전화의 위치정보에 대한 관계적 감수성 또한 이런 평가를 지지할 수 있다.

그러나 이 경우, 이차적 목적으로 사용/제공되기에 앞서, 데이터는 효과적으로 익명화된다는 가정이 있다. 그러므로 두 가지 목적이 다르다 하더라도, 익명화가 완벽하게 적절하다는 가정에서라면(그래서 그 정보가 더이상 개인정보로 간주되거나, 재식별화될 위험성이 매우 낮은 회색지대에 떨어진다면) 이는 [목적에] 부합하지 않는 처리에 대한 우려를 감소시킬 것이다. 그럼에도 불구하고, 처리의 완전한 투명성과 같은 추가적인 보호수단이 여전히 권장된다. 특히, 완벽한 익명화가 보장될 수 없거나 [재식별화] 위험성이 남아 있다면, 이런 문제점을 공개해야 한다. [유럽 개인정보보호 디렉티브] 13조의 예외가 적용될 수 없다면, 그에 대한 규칙으로서 충분한 정보에 입각한 동의를 받아야 할 것이다.   ☞ 본문으로

[사례 9] 구매습관을 통해 소비자의 임신을 예측하는 비밀 알고리즘

한 백화점이 고객들의 구매습관을 분석하고 새로운 마케팅 트렌드를 알아보고 고객들에게 특가판매와 할인쿠폰을 제공하기 위해 포인트적립카드 데이터를 사용한다. 백화점에서 사용한 혁신적인 분석 소프트웨어는 여성 고객이 임신했을 가능성과 몇개월인지를 높은 확률로 예측한다. 이 정보는 고객들의 프로파일에 맞춰 마케팅을 조정하기 위해 사용된다. 고객들이 포인트적립카드에 가입할 때는 [이런 상황에 대한] 구체적인 정보가 제공되지 않는다. 상세 계약조건(백화점 웹사이트에서 볼 수 있는)에는 단지 ‘포인트적립카드 데이터는 고객들에게 특가판매나 할인쿠폰을 제공하는 등 마케팅 목적으로 사용될 수 있습니다’라고만 언급하고 있다. 이 백화점은 한 십대소녀 아버지로부터 항의를 받는다. 이 소녀는 집 우편함으로 다량의 임신 관련 광고가 도착된 사실에 대해 추궁받았고 결국 임신 3개월이라는 사실이 발각되었다.

위 시나리오는 바로 명백한 프라이버시 문제를 제기하고 있다. 어떤 임산부들, 특히 임신 초기의 임산부들은 임신 소식을 본인만 알고 있거나 아주 밀접한 가족친지들에게만 알리고 싶어할 수 있다. 프로파일링이 (임신을 예측하기 위한 비밀 알고리즘을) 수행한 방식은 분명 다수 고객들이 기대하지 않았고, 부적절했고 무례한 것이었다. 문제는 (그 자체로는 침해성이 적은) 본래 수집된 데이터의 속성으로 인한 것이 아니다. 은밀하고 불쾌한 알고리즘을 사용하여 전반적인 프로파일(임신이나 그 개월수)을 예측하기 위해 데이터를 결합하고 추가적으로 처리하고 이용한 방식에서 발생한 것이다.

이 사례가 제기하는 다른 모든 이슈들을 차치하고 위 사실들을 종합해 보면, 우선적으로 데이터가 처리되는 방식과 보호수단(투명성 뿐 아니라 진실하고 충분한 정보에 기반한 동의 등)의 부족 때문에 [목적에] 부합할 수 없다는 강력한 지표가 존재한다. 이 사례는 다음 사례와 대비되는데, 이 사례 역시 고객 프로파일링에 대한 것이지만 보다 사회적으로 수용가능한 방식이다.

[사례 10] 잔디깎는 기계에 대한 특가판매

원예용품과 DIY 장비를 판매하는 전국적인 대형매장이 고객들에게 보통 수준의 연간회비를 받고 포인트적립카드를 제공하며, 이 카드를 사용한 모든 구매액의 10% 에 대해 할인을 제공한다. 회사 웹사이트는 유익한 프라이버시 고지를 게시하고 있으며, 포인트적립카드에 가입하는 고객을 위해 선택사항을 명시한 단축본도 제공한다.

고지사항은 무엇보다도 명확히 서술 및 언급하기를, 고객이 ‘맞춤 할인을 제공받을 수 있도록 본인의 구매이력을 온라인으로 저장하고’ 이 구매이력이 ‘구매양식을 분석하여 단골고객을 위한 맞춤 특가판매를 제공’하는 데 사용될 수 있다는 선택사항(옵션A)을 옵트인으로 선택할 수 있다. 혹은, 고객들이 자신의 포인트적립카드를 스스로 보관하고 여전히 10% 할인(또는 다른 일반적인 할인)을 제공받을 수 있다(옵션B)고 고지문은 설명한다. 즉 ‘나는 나의 세부적인 프라이버시가 지켜지기 바라며 일반적인 할인만을 제공받겠다’는 옵션을 선택함으로써 고객은 프로파일링되지 않고 맞춤 제공이나 할인을 받지 않을 수 있다. 보다 상세한 내용은 온라인과 오프라인으로 찾아볼 수 있다.

어느 봄날 단골 고객이자 열정적인 정원사가 맞춤 할인을 선택하였고, 우편으로 특가할인을 안내받았다. 자신의 낡은 잔디기계가 막 말썽을 피우기 시작할 때 보다 저소음이고 에너지효율이 높은 신상품을 30% 할인한다는 소식이다.

이 고객은 흥미가 생겨 보다 자세한 사항을 알고자 온라인을 방문한다. 각각의 카드 소지자는 맞춤 추천상품과 특가에 대한 정보를 받을 수 있을 뿐 아니라 지난 5년간의 구매이력, 즉 해당 상점이 기본 설정에 따라 보유하고 있는 정보에 접근할 수 있다. 그 사이트는 구매를 분석하고 고객이 좋아할 만한 다른 상품을 추가적으로 추천하기 위해 이용자친화적인 많은 기능들을 가지고 있다. 또 원예 상점에서 이용하는 분석 소프트웨어가 작동되는 방식에 대해 매우 특징적인 정보도 게시하고 있는데, 이는 해당 산업의 공통된 관행에 초점을 둔 것이다. 예컨대 고객이 과거 구매했던 상품에 대한 특가판매는 자신의 구모델을 대체할 생각을 하기 시작할 때쯤 제공된다고 설명하고 있다.

또 이 게시글은 할인 적용이 다양한 요소들에 기반하여 최적화될 것이라고도 설명한다. 상점에서 고객이 월평균 지출한 금액(더 많이 지출할수록 할인폭이 커진다), 과거 특가구매 경력, 그밖의 여러 유사한 지표들이 그런 요소들로, 투명하고 상세하게 설명되어 있다. 진작부터 이런 투명성은 웹사이트의 ‘자유게시판’ 에서 잔디깎는 기계들이 고장나는 평균시간에 대한 농담, 그리고 어떻게 시스템을 ‘속여’ 더 많은 할인을 받을 것인가에 대한 공유 전략과 팁으로 이어져 왔다. 예를 들어, 최근에는 많은 소비자들이 웹사이트에서 자신이 쇼핑하고 있음을 드러내기 위해 일부러 할인 상품을 클릭하고, 더 높은 할인율에 더 잘 반응하겠다는 의사를 내비치곤 한다.

이 사이트는 또한 고객의 구매 이력을 평균 양식으로 다운로드할 수 있도록 허용한다. 예컨대 일부 고객들은 자신의 개인 재정을 계획하고 분석하기 위해 이 정보들을 자신이 사용하는 (별도의) 소프트웨어에 통합시켜 버릴 수도 있다.

임신 예측과 관련하여 위에 거론된 사례처럼, 이 경우에도 세부사항에 대한 복잡한 분석을 요구하며, 간략한 요지만으로는 물론 설명될 수 없다. 그럼에도 불구하고 두 가지 사례를 비교하는 것은 가치가 있다. 많은 유사성이 있지만 많이 다르기도 하다. 두 사례 모두 마케팅 목적으로 고객 프로파일링을 포함하였지만, 상식적으로 볼 때 첫번째가 대다수에게 불쾌함을 줄 것이 자명한 반면 두번째는 훨씬 덜 문제시될 것이다.

결국 첫번째 사례에서 가장 중요한 요소는, 겉보기에는 무해한 구매 데이터에서 임신을 예측하는 알고리즘의 이상한 능력이 [정보주체/소비자의] 기대에서 어긋낫다는 사실이다. 반대로, 원예상점은 고객을 훨씬 더 예측가능하고 (심지어 편리하고) 합리적인 방식으로 프로파일한 것으로 나타났다. 구모델을 교체해야 할 때쯤 새로운 잔디깎는 기계를 할인해주는 방식으로 말이다. 특가판매를 제공하거나 회사가 제공시기를 계산하는 방식은 놀랍거나 불쾌한 일이 아니다. 결정적인 차이는 알고리즘이 설계되는 방식에 있다. 일반적으로 합리적인 대중의 기대에 부합하는지 여부 혹은 불쾌하거나 부당한 일이 있는지 여부 말이다.

이러한 관점에서, 마케팅 목적으로 추적하거나 프로파일링하는 것은 보통, 진실하고 명확하고 자유롭고 충분한 정보에 입각한 동의 등 법적 근거가 있을 때에만 목적부합적 사용으로 인정된다는 사실을 강조하고자 한다. 두번째 사례에서 원예상점은 고객들에게 투명성을 보장하고 선택권을 제공하기 위해 중요한 노력을 취한 것으로 보인다. 이런 보호수단은, 결국 예측성에 기여하고 합리적인 기대성을 확실히 할 수 있다. 전반적으로 공정함을 보장하고 정보주체가 예측못한 불쾌한 영향을 최소화할 수도 있다. 참으로, 회사가 그 의사결정 기준 – 프로파일링 알고리즘 – 을 공개한다면 부당하거나 불쾌한 방법을 사용하는 일이 적을 것이다.

마지막으로, 데이터의 속성도 [목적부합성] 평가에서 고려사항이 될 수 있다. 원예도구와 원예용품 구매의 세부 양식이 개인에 대한 중요한 정보로 드러났음에도 불구하고, 전반적으로 볼 때 이 정보들은 사람들이 방문하는 웹사이트, 대여/구입하는 도서나 영화, 또는 약국에서 구매하는 약품을 알아내는 것처럼 사생활을 침해하는 유형의 민감한 정보는 아닐 것이다.    ☞ 본문으로