디지털 자본주의와 데모크라시, Big Tech와의 싸움 ⑧
- 암약하는 Data Broker

(WWW.SURPRISE.OR.KR / 김종익 / 2022-09-29)

우치다 쇼코內田聖子
비영리법인 아시아태평양자료센터 공동 대표. 자유 무역․투자 협정 감시, 정부와 국제기관에 대한 제언 활동 등을 한다. 『자유 무역은 우리를 행복하게 할까?』 『철저 해부 국가 전략 특구 ― 우리의 삶은 어떻게 될까?』 『일본의 상수도를 어떻게 할까? ― 민영화인가 공공의 재생인가』 등의 저서가 있다.

“미국 가톨릭교회 간부 사제 Jeffrey Burrell이, 동성애자용 만남 앱 사용과 게이바 출입이 발각되어 사임”

2021년 7월, 미국 언론이 일제히 보도한 이 사건은 커다란 화제가 되었다. 가톨릭교회가 동성애에 관용적이지 않다는 것은 주지의 사실이지만, 사제의 행동이 스마트폰 앱을 통해 추적되어, 세간에 노출된 것에, 많은 사람이 위화감과 공포를 느꼈다.

사건의 경위는 이렇다. 미국 가톨릭계 언론 『The Pillar』(https://www.pillarcatholic.com/)가 동성애자를 대상으로 한 교류․만남 앱 ‘Grindr’의 이용 이력에서, 사제가 교회 소유의 주거 등에서 동 앱을 사용한 사실을 알아냈다. 그러나 사제는 앱 사용 후는 반드시 이용 이력을 스마트폰에서 삭제했다. 그런데도, 왜 정보가 유출되었을까. 그 이유는 ‘Data Broker’로 불리는 중개업자가 Grindr(게이와 양성애자 남성을 위한 소셜 네트워킹 서비스 애플리케이션 – 역주)에서 구입한 이용 정보를 『The Pillar』에 판매하고 있었기 때문이다. 『The Pillar』에 따르면, 입수할 때의 자료는 사제의 스마트폰과 연관되어 있지 않았지만, 컨설팅 회사에 분석을 의뢰하자 간단히 특정할 수 있었다고 한다.

이런 일련의 흐름 속에, 두 가지 논점이 새삼스럽게 제기되었다. 하나는, 자료를 매매하는 ‘Data Broker’라는 존재, 또 하나는, ‘개인이 특정되지 않고’ 판매되는 자료인데도, 분석․처리를 하면 누가 어디서 뭐를 하고 있었는지가 쉽게 특정되어 버린다는 실태다.

■ Data Broker란

Data Broker란, 사람들의 정보(원자료)를 수집․구입해, 그것을 다른 기업이나 조직 등 제3자에게 판매하는 일로 이익을 얻는 기업을 가리킨다.

일본에서는, 이른바 ‘자료상’에 해당하지만, 앞에서 소개한 사례는, 일본에서도 발생하고 있다. 예를 들면 2014년, 대량의 개인 정보 누설이 발각된 Benesse Holdings 사건이다. 보도에 따르면, 용의자인 남성(Benesse 자회사의 업무위탁시스템 개발 회사 사원)은 모두 15회에 걸쳐 Benesse에서 개인 정보를 가지고 나와, 자료상에게 250만 엔을 받고 넘기고 있었다. 유출된 정보는 주로 Benesse의 통신 교육을 수강하는 어린이와 보호자에 관한 것으로, 누설 건수는 약 350만 건에 달했다. 사건 발각 후, 용의자는 부정경쟁방지법 위반(영업 비밀 복제) 혐의로 체포되었다. 자료가 건너간 곳은 당초에는 3개 회사였지만, 자료는 반복해 전매되어 최종적으로는 적어도 95개 회사에 자료가 건너간 것으로 보인다.

Benesse 사건에서는 자료를 유출한 사람이 고발되고, 집단 소송도 이루어지는 등 그 위법성을 문책했다. 그러나 모든 Data Broker 기업이 법을 어기고 있는 것은 아니다. 일반적으로는, 대부분의 Data Broker 기업은, 각국의 법률에 따라 합법적으로 자료를 입수하고, 그것을 타자에게 판매한다. 요 몇 해, 미국을 중심으로 상장 기업이나 벤처 기업이 거대한 자본을 투입해 Data Broker 비즈니스를 하고 있다.

미국 아칸소주에 본사를 둔 Acxiom사(https://www.acxiom.com/)는, 연 매출이 1억 달러인 대형 Data Broker 기업이다. 일본에도 Acxiom Japan사가 영업을 하고 있다. 자료 수집과 판매, 분석과 마케팅 조사 등 다양한 서비스를 고객에게 제공하며, “세계 25억 명의 자료를 소유하고 있다”고 강조한다. 또 CoreLogic과 Epsilon, LexisNexis 등도 대형 Data Broker지만, GAFA 만큼 이름이 알려진 것은 아니다.

그 비즈니스 모델은 이렇다. 먼저 Data Broker 기업은, 타사(신용카드 회사 등)에서 자료를 구입하는 외에, 공표된 각종 자료를 수집한다. 예를 들면, 주소가 기재된 선거인 명부, 차량 등록부, 부동산 가격이나 저당권 정보가 기재된 부동산등기부 등 개인을 특정할 수 있는 자료다. 미국에서는, Acxiom 같은 기업이, 공개 정보에서 자료 수집을 행하는 것이 인정되고 있다. 나아가 인터넷상의 공개 정보원(인스타그램, 페이스북 등)에서 자료를 얻는 경우도 있다. 예를 들면 웹사이트를 볼 때, “제3자와 자료를 공유하지 않는다.”라는 칸이 나오는 일이 있는데, 여기에 사용자가 깜빡하고 체크하지 않는 경우, 쿠키를 포함한 자신의 열람 이력은 그 사이트에서, ‘제3자’ 바로 Data Broker 기업에 판매될 가능성도 있다. 이미 우리는 자신의 개인 정보를 인터넷상에 자진해서 공개하고 있다. 예를 들면 SNS 프로필 난의 거주지와 학력, 직업․직장, 가족 구성, 취미, 기혼/미혼 따위다. Facebook 등이 이 정보들을 자사에서 수집해, 표적 광고에 이용하는 것은 지난 연재에서 소개했지만, 사실은 이 기업들만이 아니라, Data Broker 기업도 공개된 개인 정보를 매일 수집하기 마련이다. 대부분의 경우, 이것은 합법적인 수단으로 여겨지고 있다.

이렇게 수집한 자료를, Data Broker 기업은 속성별로 데이터베이스에 등록한다. Acxiom의 경우, ‘세대 구성’이나 ‘고용과 수입’, ‘라이프 스타일과 관심’ 등 12개 분야 밑에 750개나 되는 항목이 있다고 알려졌다. 가령, 개인에 관한 원자료가 얼마 안 되더라도, Data Broker 기업은 독자적으로 개발한 알고리즘(계산식) 등의 수법으로, 개인의 재산 상황이나 인간관계, 개인적 취미와 구매 경향 등을 결합해, 상세한 예측도를 조립해 간다고 한다.

이 데이터베이스에서, 고객의 요망에 응해 자료 세트를 작성하고, 판매하는 것이다. 예를 들면, 어떤 기업이 “캘리포니아주에 거주하는, 40대 남성으로, 연소득이 6만 달러 이상, 대학 졸업으로 자가용차를 갖고 있는” 사람에 광고를 하고 싶다고 하면, 그 표적군의 자료를 판매한다. 조금 복잡한 자료 세트로는, 예를 들면, 생명 보험 회사가 “사람들의 취미, 흥미, 재무 자료 등의 정보를 사용해, 건강 위험 예측 점수를 요망한다.”고 요청하면, 그것을 생성하고, 판매하는 것도 가능하다. 자료를 구입하는 것은 기업만이 아니다. 미국 국토안전보장保障부는 불법 입국한 어린이들의 구속과 강제 송환을 목적으로, 수백만 명분의 미국 국민의 휴대전화 위치 정보와 자택 주소 정보를 구입하고 있다. 수사 목적으로는, 전기와 가스, 수도 등 인프라 이용 정보도 입수하고 있다. 이렇게 하여 Data Broker 업계에는, 소비자와 시민의 상세한 개인 정보 판매로 수십억 달러가 흘러들고 있다.

■ 감시 자본주의를 추진하는 Data Broker

Big Tech와 AI로 우리의 행동은 쉽게 예측되게 되었다. 이 중대한 시스템은 ‘감시 자본주의’로 불리며, 그 주요한 담당자는 미국의 거대 IT, GAFA지만, Data Broker는 여기서 ‘중간업자’로 큰 역할을 수행한다. GAFA 주변에서, 자료를 매점하고, 판매함으로써, 감시 자본주의의 생태계를 한층 강화하고 있는 것이다. 그런데 이런 실태와 비즈니스 관행은 속속들이 안 드러나 있다. GAFA에 대한 규제와 비판이 고조되는 가운데, Data Broker 기업은 같은 비판을 잘 빠져나가고 있다고 해도 좋을 것이다. 여기에 합법적으로 행해지는 비즈니스의 어둠이 있다.

예를 들면, 교외에 사는 빈곤 가정을 대상으로 고금리 대출 광고를 하고 싶은 기업이 있다고 하자. 이 기업은, Data Broker에 “교외에서 빠듯이 살아가는 사람들”의 자료 세트를 의뢰하고, 구입한다. 혹은 경제적으로 불안정한 층을 인종별로 특정하고 싶은 경우는, 다른 Data Broker가 가지고 있는 ‘대도시권 인종적 소수파로 경제 빈곤자’ 자료 세트를 구입한다. 이 자료에 기초해 고금리 대출 회사가 빈곤층을 표적으로 광고를 하면, 생활에 시달리는 사람들이 대출 지옥에 빠질 위험이 있다. 게다가 그 사람들 자신은, “왜 나에게 이런 광고가 보일까” “내 자료가 어떻게 수집․분석될까”에 대해, 아무런 통지도 받지 못한 상태다.

2017년 파이낸셜타임스지紙의 유럽 테크놀로지 담당 기자인 Madhumita Murgia는, Data Broker의 실태를 밝히기 위해, 자신의 개인 정보가 어디까지 수집되고, 그 정보들이 통합되어 자신이 어떻게 profiling되어 있는지를 조사했다.

“‘Data 추적 회사(Data Broker의 한 형태)’로 불리는 기업이 행한 나에 대한 분석은, 나라는 인간을 상당히 충실하게 정의하고 있었어요. ‘26살의 아시아계 영국인 여성으로, 미디어 관련 직업을 가지고, 주거는 런던 남서 지역. 과거에 서섹스 두 곳의 주소와 런던 북동 지역 두 곳의 주소에 거주, 어린 시절을 켄트에 있는 단층집에서 가족과 보내고, 매년 휴가로 인도를 방문했다. 가족은 구매 물건 대부분을 온라인 Ocado에서 결제하며, 타이 요리와 멕시코 요리를 좋아하고, 자선 사업에 기부도 한다. 영화와 벤처 기업에 관심이 있으며, 금요일에는 일을 끝내고 돌아와 pub에 많이 간다. 과거 12개월 동안 휴가를 다섯 번 얻었고, 연간 수입은 3~4만 파운드…’”

Murgia는, 자신에 관한 profiling 결과에 충격을 받았다고 한다. Google Map, 검색 이력, Facebook 교환, 신용카드 결제 이력 등 인터넷을 이용할 때마다 행동 이력이 하나하나 기록되고 있는 것은 알고 있었지만, 그 ‘파편’들을 서로 연결하면, 이렇게까지 통합적인 분석이 가능해져 버린다.

“이윤 추구 시스템에 대해 불안이 더욱 고조되었어요. 구매 행동과 위치 정보 등이 공적 정보(토지 등기와 주민세, 유권자 등록 등)와 짜 맞추어지면, 별거 아닌 정보가 많을 것을 드러내기 시작해요. 예를 들면 Fitbit라는 건강 앱은, 심장 박동과 걸음걸이를 측정해 기록해요. 이 자료가 제3자에게 제공되면, 키, 몸무게, 체중, 성별까지 특정하는 것이 가능해요. 우리의 생활은, 이런 자료 제품으로 포장되어 매물이 되는 거죠. 말하자면 우리 자신이 ‘제품’인 셈이에요.”

■ 빈번히 매매되는 위치 정보

물론 영국과 일본, 그리고 많은 나라에서, 공식적으로 우리는 개인정보보호법 등의 법령으로 보호되고 있다. 예를 들면 영국 법률에서는, 이용자의 정보를 제3자와 공유․판매하는 경우, 성명과 국민보험번호 등 개인을 특정할 수 있는 정보를 제거해야 한다. 그러나 그렇게 처리되어, 단편화된 정보라도, Data Broker에 의해 간단히 재통합되는 사례가 다수 보고된다.

‘The Markup’의 조사에 따르면, 미국에서는 개인이 주택 임차를 거부당한 경우 가운데, 심사 기업이 잘못된 정보를 이용한 탓에 생긴 사례가 다수 보고되었다. 이런 경우, 정보는 Data Broker와 개인 정보 검색을 중개하는 사이트에서 구입한 것이 많고, 부정확한 정보에 기초한 신원 조사 탓에 집을 빌릴 수 없게 되고, 취직을 할 수 없었던 사람들이 이미 생기고 있다. 이리하여 빈곤층과 마이너리티 등의 약점을 이용해, 표적 광고가 마음대로 행해지면, 빈곤과 차별은 한층 강화되고 만다. 게다가 아이러니하게도, 우리는 자신의 ‘이름’을 가장 중요한 개인 정보라고 이해하는 경향이 있으며, 사실 그렇다. 그러나 감시 자본주의에서, 개인의 이름은 거의 의미를 형성하지 못한다. 기업 입장에서는, 그 사람이 무엇을 구입할 가능성이 높은지, 얼마큼의 대출을 감당할 수 있는지와 같은 정보 쪽이 의미를 갖는다. 그리고 이 정보는, 인터넷이라는 바다에서 쉽게 건져 낼 수 있다.

또한, 구매 이력 등 다양한 정보에서도, 중요성을 더해 가는 것이 개인의 위치 정보다. 앞의 가톨릭 사제 건도, 앱에서 취득한 위치 정보로 거주지와 드나드는 장소가 측정되었다. 앞에서 말한 Acxiom사는, ‘개인 위치 베이스 단말 데이터’를 다루는 것을 내걸고 있다. 마찬가지로 Data Broker의 큰손 LexisNexis사는, 최근의 운전면허증 기록을 사용해 “개인의 현재 거주지를 밝힐 수 있다”고 주장한다. Experian사는 모바일 단말기의 위치 정보를 제공할 수 있다고 명기하고, Oracle사도 사용자의 실시간 위치 정보를 바탕으로 한 마케팅 서비스를 팔고 있다. 위치 정보 그 자체는 ‘개인 정보’에 해당하지 않고, 위치 정보에 성명과 속성 정보가 결합된 경우에 ‘개인 정보’로 취급된다. 기업이 취득․이용할 경우에는 ① 개인 동의 필요(제3자에 제공할 경우에는 별도) ② 개인이 특정되지 않도록 자료 가공을 한다, 등의 방법이 취해지고 있다. 그러나 실제 우리는 Data Broker에 의한 분석과 판매에 대해 이해할 뿐만 아니라 주의 깊게 ‘동의’하고 있는 것일까? 또한 자료 가공이 되어도, 앞에서 말했듯이, 재차 통합․분석하면 개인이 특정될 위험은 남는다.

Murgia는, “제가 밝혀낸 것은, 온라인상의 익명성 따위는 존재하지 않는다는 사실입니다. Data Broker 기업은, 제 이름을 알지 못해도, 저에 대해 잘 알고 있어요.”라고 한다.

■ 감시받아야 하는 대상은 우리가 아니라 기업

유럽과 미국에서는 Data Broker 기업에 대한 우려의 목소리는 2015년 전후부터 나오기 시작했다. 2014년 5월, 미연방거래위원회는 「Data Broker : 투명성과 설명 책임 요구」라는 제목의 보고서를 발표했다. 9개사의 Data Broker에 대해 조사해, 소비자의 상세한 profile을 온라인․오프라인의 다양한 정보원으로부터, 본인이 모르는 사이에 거의 모든 미국 소비자의 정보를 수집하는 실태를 밝혔다. 동시에 Broker에 의한 자료 수집법과 자료의 용도․판매에 대해, 또 그것들을 수정, 삭제하는 방법에 대해, 보다 간단히 소비자가 알 수 있는 법의 필요성도 제기했다. 이 위원회 대표 Edith Ramirez는, 보고서 발표 때에 이렇게 진술한다.

“Data Broker는, 당신이 사는 장소, 구입하는 것, 수입, 당신의 민족, 자녀의 나이, 건강 상태, 그리고 당신이 흥미를 가진 것과 취미에 대해 알고 있습니다. 이 업종은 어둠 속에서 활동하고 있으며, 거기서 다뤄지는 정보의 방대함은 놀랍습니다.”

그러나 Data Broker에 대한 규제는, 어느 나라에서도 큰 진전은 보이지 않는다. 규제의 어려움은, 정치적인 이유도 있다. 미국 시민단체 ‘The Markup’의 조사에 따르면, 2020년, Data Broker 기업에 의한 연방 정부 로비 비용은 합계 2,900만 달러(25개 회사의 합계)였다. 참고로 Facebook은 단독으로 쳐도 연간 약 1,900만 달러를 로비 비용으로 사용했다. 여기에 미치지 못하지만, Data Broker 기업에 의한 로비 비용은 해마다 증가하고 있으며, GAFA 기업에 필적할 기세라고 The Markup은 분석한다.

Data Broker를 규제하는 주된 방법은 두 가지로 보인다. 하나는, 판매할 수 있는 자료의 종류를 제한하는 방법이며, 또 하나는 자료 판매처를 규제하는 방법이다. 그러나 이미 여러 방면에 걸친 자료가 다양한 경로로 매매되고, 또 기존의 개인정보보호법령과의 정합성 등, 규제안은 복잡하고 시간도 걸린다. 그 사이에, 우리의 정보는 Broker에 의해 잇달아 마케팅 시장으로 보내질 것이다. 앞에서 말한 Murgia 씨는, 자신의 profiling을 밝힌 후 피난책으로, 다음과 같이 경험담을 이야기한다.

“모든 것을 그만두는 따위는 현실적으로 무리예요. SNS와 검색, 경로 검색 앱은, 모두 제가 친숙하고 필요로 하는 생활의 일부이니까요. 그런 것이 아니라, 지식 그 자체가 힘이 될 수 있는 것을 깨달았어요. 내 정보가 공유되고, 수집되는 다양한 방법을 앎으로써, 어디에 정보를 보일까에 책임을 집니다. 예를 들면 ‘무료’를 주장하는 서비스에 등록을 하지 않습니다. 앱을 다운로드할 때는, 어떤 정보의 이용 허가를 주고 있는가를 반드시 확인하고, 위치 정보 등 불필요한 것은 제거합니다. 자신의 자료가 남는 족적에 신경 쓰기 시작하는 사람이 늘어나면, 이러한 자료의 보호와 관리를 기업에 요구할 수 있겠지요. 기업이 경솔하게 개인 정보를 구하러 다니고 보관하고, 무작위로 판매하는 것이 비용을 초과하는 날도 옵니다.”

우선은 Data Broker의 비즈니스 모델을 드러내 보이고, Broker가 우리의 정보에 무슨 짓을 하고 있는가를 밝히는 일이 중요하다.
(『世界』, 202208월호에서)