요약

  • FTC는 1998년 GeoCities가 개인정보 안내에서 밝힌 목적보다 넓게 회원 정보를 사용하고 제3자에게 공개했다고 주장했다.
  • 1999년 최종 동의 명령은 수집자와 수신자를 알리고, 어린이 정보에 부모 동의를 받으며, 접근과 삭제를 제공하고, 외부 수신자에게도 사본 제거를 요청하도록 했다.

체크박스 뒤에 광고 시장이 있었다

가입 신청서의 기본값은 사용자의 선택을 대신했다. 회원이 바꾸지 않으면 특별 제안을 받도록 설정돼 있었다. 양식에는 교육 수준, 소득, 결혼 여부, 직업과 관심사도 있었지만 GeoCities는 이 항목들을 ‘선택’으로 표시했다. FTC가 문제 삼은 대목은 체크박스 하나만이 아니었다. 사용자가 자기 정보를 어디까지 넘기고 있다고 이해했는지가 핵심이었다.

FTC의 1998년 8월 고소장은 GeoCities의 회원이 180만 명을 넘고, 사이트가 40개 주제별 동네로 나뉘어 있었다고 적었다. 1998년 5월 18일 기준 13세 미만 회원은 약 5만 명으로 집계됐다. 이 규모에서 가입 양식은 단순한 계정 생성 화면이 아니었다. 이름과 주소를 모으고 광고 수신 선택을 만들며, 그 기록을 어느 쪽이 다루는지 정하는 입구였다.

GeoCities는 광고 공간을 팔고 회원의 관심사나 선택한 동네를 활용해 상품을 홍보했다. 고소장에 따르면 회원 신청서의 개인정보는 회원이 요청한 특정 광고나 상품 제공에만 쓰인다고 안내했고, 선택 정보는 허락 없이 제3자와 공유하지 않겠다고 했다. FTC는 실제로는 정보가 판매·대여·공개돼 허락받지 않은 광고에 쓰였다고 주장했다. 이는 고소장의 주장이다. 동의 합의는 그 사실을 법정에서 확정한 판결이 아니었다.

화면의 동네와 자료를 가진 사람이 달랐다

어린이 대상 활동에서는 이 간극이 더 선명했다. GeoKidz Club과 대회는 Enchanted Forest라는 GeoCities 어린이 공간에서 홍보됐다. 가입하려면 GeoCities 회원이 돼 이름, 나이, 이메일 주소, 개인 홈페이지 주소, 성별을 제출해야 했다. FTC는 사이트가 활동 주체처럼 보였지만 실제로 클럽과 대회를 운영한 Community Leaders가 아동의 정보를 모으고 보관했다고 주장했다.

회원이 본 것은 하나의 공동체였다. 뒤에서는 호스팅 사업자, 자원봉사 운영자, 광고주가 각각 다른 역할을 맡을 수 있었다. 개인정보 안내가 어느 정보를 누가 수집하고 어디로 보내는지 밝히지 못하면, 삭제를 요구할 대상도 불분명해진다. FTC의 주장은 그런 구조의 틈을 겨눴다.

1998년 8월 13일 FTC는 GeoCities가 혐의를 해결하기 위한 합의안에 동의했다고 발표했다. 그 문안은 60일 동안 공개 의견을 받았다. GeoCities가 인정한 것은 위원회 관할권에 관한 사실이었고, 합의서는 혐의가 사실이거나 법 위반이 있었다는 인정은 아니라고 명시했다. 최종 조치는 재판의 사실 판단이 아니라 합의에 따른 명령이었다.

위원회는 1999년 2월 5일 결정과 명령을 발행했다. FTC는 2월 12일 의견 수렴을 거쳐 최종 확정됐다고 알렸고, 표결은 4대 0이었다. 최종 문서에는 1998년 아동 온라인 개인정보 보호법이 허용하는 범위에서 어린이 정보를 수집하거나 사용할 수 있다는 조항이 들어갔다.

명령은 개인정보 안내를 실제 입력 지점에 붙였다. GeoCities는 홈페이지와 개인정보를 수집하는 위치마다 눈에 띄는 안내를 제공해야 했다. 무엇을 수집하는지, 사용 목적은 무엇인지, 어느 제3자가 받는지, 당사자는 어떻게 열람하고 삭제를 요청하는지, 삭제에는 어떤 한계가 있는지 설명해야 했다. 정책 페이지가 존재한다는 사실보다 신청 화면에서 그 정책을 바로 찾을 수 있는지가 중요했다.

12세 이하 어린이 정보에는 수집과 사용 전에 부모의 명시적 동의를 받는 절차가 요구됐다. 아이와 보호자를 확인하기 위한 제한된 선별 정보는 허용됐다. 20일 안에 동의가 오지 않으면 GeoCities는 자료를 지워야 했고, 다시 승인 없이 가입하려는 시도를 막는 데 필요한 최소 정보만 남길 수 있었다.

이미 모은 정보에는 별도 절차가 있었다. CMG Information Services에 정보가 전달된 12세 초과 소비자는 통지와 삭제 방법을 받아야 했다. 1998년 5월 20일 전에 수집된 어린이 자료는 부모에게 별도 통지했다. 20일 안에 부모가 계속 보관·공개하는 데 명시적으로 동의하지 않으면 GeoCities는 사용을 멈추고 열흘 안에 삭제해야 했다. 어린이의 홈페이지와 이메일 계정도 포함될 수 있었다. 회사는 자료를 받은 제3자에게 연락해 추가 공개를 중단하고 사본을 지우라고 요청해야 했다.

이 지점에서 사이트는 자기 서버만 정리하면 끝나는 것이 아니었다. 명령은 GeoCities가 제3자와 Community Leaders에게 서면으로 의무를 확인하도록 했다. 조건을 어기는 제3자와 거래를 끊거나 Community Leader 자격을 종료해야 하는 상황도 있었다. 클럽에 자기 이름과 호스팅을 제공한 사이트가 자료를 보관한 사람을 모른 척할 수 없게 한 것이다.

FTC 기록은 GeoCities가 제3자에게 무엇을 요청해야 했는지 보여 주지만, 각 수신자가 나중에 실제로 사본을 삭제했는지는 추적하지 않는다. 수신자의 이행 기록이 있으면 그 부분을 확인할 수 있다.

그렇다고 모든 백업이 즉시 사라지는 것은 아니었다. 시스템 유지보수, 파일 백업, 미승인 어린이 등록 차단, 법적 절차를 위해 일부 기록을 오프사이트 백업에 둘 수 있었다. GeoCities는 그 보관 방식을 안내해야 했고, 법 집행기관이나 법원의 요청 외에는 백업 자료를 제3자에게 공개할 수 없었다. 삭제 명령은 잔존 사본의 경계도 설명하도록 했다.

개인정보 안내는 수신자까지 설명해야 했다

FTC는 이 사건을 자사의 첫 인터넷 프라이버시 사건이라고 불렀다. 역사적 의미는 ‘프라이버시’라는 단어보다 확인 가능한 질문에 있다. 어떤 자료를 모으고, 왜 쓰며, 누구에게 건네고, 당사자가 어떻게 열람하거나 없앨 수 있는지. 그 질문이 양식과 광고주, Community Leaders, 삭제 요청까지 이어졌다.

Orson Swindle 위원은 이 사건의 최종 명령에 찬성하면서도, 그 표가 모든 상업 사이트에 같은 의무를 법이나 규정으로 부과하는 데 찬성한다는 뜻은 아니라고 밝혔다. FTC가 GeoCities에 확정한 것은 사건별 동의 명령이었고, 인터넷 전체의 규칙을 둘러싼 논의는 별도로 남았다.

GeoCities는 회원들이 자기 이름 아래에서 경험한 서비스에 답해야 했다. 브라우저의 동네는 입구였지만, 명령은 정보가 간 방까지 따라갔다. 플랫폼이 이용자를 모으고 공간을 제공하고 브랜드를 빌려줬다면, 누가 정보를 만졌는지 밝히고 그들에게 삭제 요청에 답하게 해야 했다.

출처