보라빛 소를 만나기 위한 도약

모든 ICT 서비스의 기본 요건이 될 일반정보보호규정(GDPR) 발효.pdf

[ 요 약 ]

[ 본 문 ]

◾ 유럽연합이 기업의 개인정보보호 의무를 대폭 강화시킨 ‘일반정보보호규정(GDPR)’이 발효된 첫날부터, 구글과 페이스북 등 주요 기업들에 대한 제소가 줄을 이었음

▸ 오스트리아 소재 디지털 권리 보호 비영리단체인 ‘Noyb(None of your business)’는 구글, 페이스북, 인스타그램, 왓츠앱 등이 GDPR을 위반했다고 주장하며, 이들 기업을 프랑스, 독일, 오스트리아, 벨기에 등에서 제소하였음

▸ Noyb는 GDPR이 서비스 이용에 필요한 개인정보 수집을 ‘반드시 필요한 수준’으로 제한하고 있으나, 구글과 페이스북 등은 광고를 위해 이용자가 개인정보 사용에 동의하도록 사실상 강제하고 있다며 제소 이유를 밝혔음

▸ 페이스북과 구글은 EU의 GDPR의 가이드라인 준수를 위해 1년여 넘게 최선을 다해 준비해 왔으며, 개인정보보호 규정을 지킬 것이라 약속해 왔음에도 불구하고 제소를 피하지 못했는데, Nyob 외에도 다수의 단체에서 GDPR 규정 위반을 지적하고 있음

▸ 한편 일부 미국 기업들은 이 같은 피소 사태를 우려해서인지 GDPR 발효 첫날에 아예 유럽 국가에서 서비스를 차단하기도 했는데, 특히 LA타임스, 시카고 트리뷴, 리 엔터프라이즈 등 언론사들이 웹사이트 접속을 중단시켰음

<자료> SXM IslandTime

[그림 1] 5월 25일 발표된 EU의 GDPR

◾ 규정 발효 첫날 벌어진 이러한 사태는 GDPR의 가장 무서운 점은 기업에 미치는 영향을 가늠할 수 없는 ‘불확실성’에 있다는 분석을 실제로 확인시켜 주었음

▸ GDPR은 EU의 데이터 보호법을 현대화하려는 노력의 일환으로 5년 이상의 작업을 거쳐 2016년 4월에 채택되었으며, EU 거주민의 개인정보를 취급하는 경우, 그 데이터가 처리되는 장소가 어디든 상관없이 적용되는 말 그대로 ‘장난 아닌’ 규정임

▸ GDPR은 또한 감독 기관에 강력한 힘을 부여하고 있으며, 무엇보다 규정을 위반한 기업이나 단체에 거액의 벌금을 부과하는데, 최대 2000만 유로 혹은 전년도 ‘글로벌 매출’의 4% 중 ‘더 높은’ 금액을 부과하도록 되어 있음

▸ 사이버 보안과 정보위험관리에 초점을 둔 글로벌 비영리 정보보호 기구인 ISF(Information Security Forum)는 GDPR이 기업들에게 치명적인 이유는 규정 위반이 언제든 발생할 수 있으나 그 발생 시기를 가늠할 수 없다는 데 있다고 보고 있음

▸ ISF에 따르면 그동안 기업의 관행을 GDPR 조항과 비교할 때 규정 위반이 될 가능성이 높은데, 문제는 GDPR의 지속적인 준수를 위해 요구되는 기업의 근본적인 변화가 단기간에 달성되기 어렵다는 데 있음

▸ 기업들로서는 서비스 접속 자체를 아예 중단하거나 아니면 서비스를 유지하되 최단 기간 내에 비즈니스 시스템을 규정에 맞도록 변화시켜야 하는데, 후자의 경우 패러다임 전환 완료 전까지 언제든 규정 위반 처분을 받을 수 있는 불확실성이 상존하게 됨

▸ 반면 딜로이트 컨설팅은 자체 정보망을 통해 규제 당국이 조사를 완료하기까지는 시간이 좀 걸릴 것이며, 규제 처분이 나오기까지는 6~8개월이 걸릴 것이기 때문에, 실제 사건이 발생하기 전까지는 문제가 없을 것이라는 분석을 내놓은 바 있음

▸ 이 말은 GDPR 준수 프로그램을 기업 내부적으로 마련하는데 좀 늦었다 하더라도, 조사에 시간이 걸리기 때문에 지금이라도 시작하는 게 낫다는 권고의 의미를 담고 있는 것이었는데, 발효 첫날 벌어진 상황은 예상보다 시간이 훨씬 부족할 수 있음을 시사

◾ 비즈니스 불확실성 제거를 위한 신속한 GDPR 대응 시스템의 구축은 규정에 대한 이해에서부터 시작해야 하는데, GDPR은 다음 6개 원칙에 따른 개인 데이터 처리를 규정하고 있음

[표 1] GDPR의 개인 데이터 처리 6원칙

<자료> IITP 정리

▸ 한마디로 GDPR은 유럽인의 개인 데이터를 보유하고 있는 조직이 그 데이터를 합리적인 방식으로 사용하는 동시에, 그 개인 데이터의 선한 관리인이 될 것을 강제하는 규정임

▸ GDPR은 유럽 시민이 기대하는 바와 일치되도록 기업과 조직이 개인 데이터를 사용할 것을 확실히 하기 위한 것이었으나, 최근에는 GDPR의 컨셉이 비단 유럽뿐만 아니라 예상을 뛰어 넘어 전세계적으로 확산되어 가는 움직임이 나타나고 있음

▸ 가령 GDPR의 개념은 현재 아시아 지역의 규제 기관들에 의해서도 도입되고 있으며, 자국민의 데이터를 처리하고 사용하는데 있어 하나의 기준점이 되고 있음

▸ 이에 따라 현재 누구나 다 GDPR 준수를 준비하고 있는데, 기업들은 데이터 주권의 관점에서 그 데이터가 물리적으로 어디에서 나온 것인지 주의를 기울일 필요가 있으며, 금융기관, 의료기관, 심지어 석유와 가스 회사들도 GDPR에 대응하고 있음

◾ 아직 GDPR 준수 프로그램을 도입하지 않은 기업은 자신들이 적용 대상인지 여부를 신속히 검토할 필요가 있는데, EU 지역에 사업장이 없어도 대상이 될 수 있다는 것이 포인트

▸ ISF의 ‘GDPR 구현 가이드(Implementation Guide)’에 따르면 다음과 같은 기업이나 단체는 모두 GDPR이 적용 대상이 됨

▸ ① EU 역내에 본사를 둔 기업이나 단체, ② EU 역외에 본사를 두지만 EU 역내의 데이터 주체를 상품과 서비스의 대상으로 하고 있는 기업이나 단체, ③ EU 역외에 본사를 두지만 EU 역내 개인의 행동을 파악하거나 추적하고 있는 기업이나 단체

▸ 여기서 주의 깊게 볼 것은 GDPR의 보호 대상은 EU 시민의 개인 데이터라는 점이며, 이러한 데이터를 취급하는 기업이라면 사업장 소재지와 상관없이 GDPR을 준수할 의무가 있다는 사실

▸ 가령 미국의 호텔이 EU 역내에 사는 숙박자의 정보를 보유하는 경우나, 미국의 병원이 유럽에서 치료를 받기 위해 건너온 환자의 상태 정보를 주기적으로 모니터링 하는 경우에도 GDPR의 적용 대상이 된다는 것임

▸ 유럽 시민이 관련된 비즈니스를 하는 기업은 그 사업 내용이 무엇이든 GDPR에 단단히 주의를 기울일 필요가 있다는 것인데, 이는 사람의 이동이 자유화되고 글로벌화 된 이런 시대에는 사실상 모든 기업이 잠재적 대상이 될 수 있음을 의미함

▸ IT 엔지니어들의 커뮤니티를 운영하는 스파이스웍스는 GDPR에 대해 아직 잘 모르겠다며 대응에 손을 놓고 있는 기업이 많은데, 아직 준비를 시작하지 않은 기업들은 지금이라도 관심을 갖고 더 많은 주의를 기울여야 한다고 권고하고 있음

◾ GDPR의 적용 대상이 되는 기업이나 단체는 우선 EU 역내의 주요 감독 기관이 어디인지를 확인할 필요가 있는데, ISF의 GDPR 구현 가이드에 따르면 확인 방법은 다음과 같음

▸ EU 역내에 설립된 기업이나 단체는 본사 소재지를 기준으로 자신들의 주요 감독 기관이 어디인지 확인해야 함

▸ 본사가 EU 역내에 없는 경우, 데이터 주체의 대부분이 존재하거나 개인 데이터 처리가 이루어지는 EU 회원국의 감독 기관이 주요 감독 기관이 되어야 함

▸ EU 지역에 거점이 없는 기업이나 단체가 GDPR의 적용 대상이 되는 개인 데이터를 처리하는 경우, 데이터 주체의 대부분이 존재하거나 개인 데이터의 처리가 이루어지는 EU 회원국 내에 반드시 대리인을 선임해야 함

◾ 기업 차원에서 GDPR 준수 프로그램의 첫 단계는 ‘발견(discovery)’하는 것인데, 자신들이 처리하는 개인 정보의 범위와 본질적 특성을 명확히 확인할 필요가 있음

▸ GDPR 규정에 따르면 식별된 또는 식별 가능한 자연인(데이터 주체)과 관련된 ‘어떤 정보(any information)’라도 모두 개인 데이터(personal data)가 됨

▸ 또한 특별 카테고리에 속하는 개인 정보로 ‘① 인종 또는 민족적 배경, 정치적 견해, 종교적 또는 철학적 신념, 노동조합원 자격 등을 드러내는 데이터, ② 자연인은 고유하게 식별하기 위해 처리하는 유전자 혹은 생체 데이터, ③ 건강에 관한 데이터, ④ 자연인의 성생활 또는 성적 취향에 관한 데이터' 등을 규정하고 있음

◾ 다음 단계로는 모든 개인 데이터 처리에 관해 최신의 정확한 세부 내역을 제공할 수 있도록 관련 기록을 유지하는 것인데, 이 요구사항은 다음의 경우에 적용됨

▸ 기업이나 조직의 직원 수가 250명 이상인 경우

▸ 기업이나 조직의 직원이 250명 미만이더라도, ① 그 개인 데이터의 처리가 데이터 주체의 권리와 자유에 위험을 초래할 수 있는 경우, ② 데이터 처리가 간헐적으로 발생하는 것이 아니라 정기적으로 발생하는 경우, ③ 데이터 처리가 개인 데이터의 특별 카테고리를 포함하거나 전과 기록 및 범죄와 관련된 경우

◾ GDPR의 요구 사항은 기업이나 단체가 개인 데이터의 ‘관리자(controller)’인지 ‘처리자 (processor)’인지에 따라 달라지기는 하나, 많은 기업이 양자 모두에 해당함

▸ 관리자는 개인 데이터 처리의 목적과 수단을 결정하는 개체를 말하며, 처리자은 관리자를 대신하여 개인 데이터를 처리하는 개체를 의미함

▸ 일반적으로 GDPR은 동의의 취득, 동의 철회 관리, 개인 데이터에 접근할 수 있는 권리의 활성화와 관련된 사항에서는 데이터 관리자에게 책임을 부과하고 있으며, 따라서 데이터 관리자는 GDPR을 충족하는 데이터 처리자를 선택할 책임이 있음

◾ GDPR의 대상이 되는 데이터를 식별하고 보존할 필요가 있는 기록과 데이터를 어디서 어떻게 처리할 지를 결정한 다음에는 GDPR의 요구 사항 ‘갭(Gap) 분석’을 실시해야 함

▸ 갭 분석은 기업이나 조직의 현재 GDPR 준수 상태를 정확히 평가하는 것으로, 이 작업은 GDPR 준수 프로그램의 범위의 식별과 목표에 도달하기 위해 실행해야 하는 핵심 조치들을 식별하는 데 도움을 줌

▸ ISF는 GDPR 구현 가이드에서, GDPR 준수 갭 분석을 통해 식별한 과제를 해결하기 위한 우선순위를 결정할 때 고려해야 할 4가지 요소를 다음과 같이 제안하고 있음

[표 2] GDPR 준수를 위한 기업의 실행 우선순위 결정시 주요 고려 요소

<자료> ISF GDPR Implementation Guide, IITP 정리

◾ GDPR 요구사항의 대부분은 오랜 시간동안 논의되어 온 것이므로 가장 주의 깊게 볼 부분은 새롭게 등장한 요구사항인데, 대표적인 것이 ‘개인 데이터 처리 인벤토리(inventory)’임

▸ 딜로이트 컨설팅은 GDPR 중에는 오래 전부터 적용되어 온 내용도 많다는 점을 지적하며 GDPR의 전신인 ‘1995년 EU 데이터 보호 지침’을 기반으로 발전시켜 오다, 보호 지침을 대체하기에 이른 것이라 보고 있음

▸ 따라서 딜로이트는 이전 보호 지침에 없었던 새로운 요구사항에 주목하는데, 기업이 가장 크게 우려해야 할 내용으로 ‘개인 데이터 처리 인벤토리’를 꼽고 있음

▸ 인벤토리에는 기업이 EU 시민으로부터 모은 모든 정보, 그것을 어떻게 사용했는지, 누구와 공유했는지, 어떻게 전송했는지, 어떻게 보호하고 있는지가 모두 기록되어야 함

▸ 또한, 데이터 이동성(portability) 및 제거에 대한 요구사항도 큰 위험요소인데, EU 시민의 요구가 있다면 기업은 의무적으로 자신들이 보유하고 있는 그 시민에 관한 모든 개인 데이터를 하나의 데이터 파일로 생성해야만 함

▸ 이 파일은 다른 주체에 양도 가능해야 하고, 요청이 있을 경우에는 그 시민의 개인 정보 일체를 제거

할 수 있어야 하는데, 여기에는 서비스 이용자뿐 아니라 기업 및 조직의 직원 데이터도 포함됨

▸ 즉, 직원 한 명이 회사에 대하여, 회사가 자신에 대해 어떤 데이터를 보유하고 있는지를 물어보고, 그 데이터의 삭제를 요청하며, 삭제했다는 증거를 보여 달라고 할 때 기업은 이에 응해야 할 의무가 있다는 것임

◾ 이러한 상황을 종합해볼 때, 딜로이트 컨설팅은 기업의 CIO와 최고 정보보안책임자(CSO)가 GDPR 준수를 위해 고려해야 할 4가지 핵심 사항으로 다음의 4가지를 제시하고 있음

[표 3] GDPR 준수를 위한 IT 설계시 CIO와 CSO가 고려해야 할 요소

◾ 한편 GDPR은 일견 사람과 무관해 보이는 IoT(사물인터넷) 서비스와도 매우 깊은 관계가 있기 때문에, 이 분야 사업을 준비하는 기업들도 면밀한 검토와 대응을 할 필요가 있음

▸ 앞서 살펴보았듯 GDPR은 다양한 장면에서 발생할 수 있는 개인정보 데이터를 보호하는 데 목적이 있으므로, 사람을 직접 대상으로 하지 않는 비즈니스를 영위하는 기업이라도 자신들의 데이터가 개인정보와 연관될 관련성에 대한 검토가 필요함

▸ 전문가들은 스마트홈 등 가정에서의 IoT 서비스는 결국 일상생활의 편리함을 목적으로 하는 것이며, 이 편의성은 어느 정도 개인정보 공여를 전제로 하기 때문에 IoT는 본질적으로 GDPR의 주요 대상이 될 가능성이 아주 높다고 보고 있음

▸ 또한 개인정보 데이터와 무관하더라도 IoT 데이터의 분석을 통해 얼마든지 개인정보를 유추할 수 있는 가능성이 있기 때문에, 기본적으로 사업을 하려면 GDPR 규정은 무조건 준수해야 한다는 입장을 견지하는 것이 필요할 수 있다고 조언하고 있음

◾ 개인정보와 무관한 IoT 데이터가 GDPR을 위반할 가능성이 발생할 수 있는 대표적인 예로는 스마트 미터( smart meter) 서비스가 꼽힘

▸ 현재 전력, 가스, 수도 등의 공급 회사들은 스마트 미터를 통해 이용자의 사용량을 측정하여 네트워크를 통해 기업에 전송하고 있는데, 스웨덴이나 이탈리아 등에서는 스마트 미터가 주택의 100% 가까이 보급되어 있음

▸ 스마트 미터를 설치하면 이용자와 기업 모두 아무것도 할 필요가 없는데, 이용자는 스마트폰 앱으로 사용량을 실시간으로 확인할 수 있고, 기업은 조사원을 보낼 필요가 없으며 요금이 자동으로 계산되어 청구서를 보내고 받을 수 있음

▸ 그런데 스마트 미터는 주택과 연결되어 있고, 따라서 주택 거주자의 데이터와 연결될 수밖에 없는데, 자동화 서비스가 작동하려면 기업의 빌링 시스템에서 관리하는 개인 데이터와 스마트 미터로 계측한 데이터가 상호 연결되어 있어야 함

▸ 따라서 만일 대시보드가 해킹 당한다면 중대한 개인 정보가 누출될 수 있는데, 가령 여느 때는 전기와 가스 사용량이 많은 집에서 사용량이 확 줄어든 현상이 나타난다면, 여행 등을 갔기 때문에 집에 부재중일 것이란 사실을 쉽게 짐작할 수 있게 됨

▸ 집을 비운다는 사실은 개인에게는 아주 기밀에 해당하는 것이지만, 결과적으로 스마트 미터 데이터를 통해 손쉽게 빈집털이 피해를 당할 가능성이 생길 수 있는 것임

▸ 만일 이런 상황이 발생한다면 영락없이 범죄에 악용될 소지가 있는 프라이버시 침해이기 때문에 GDPR과 무관할 수 없게 되는데, 유럽에서 빠르게 보급되고 있는 스마트 미터는 절대적으로 GDPR 준수 의무를 지켜야 할 IoT 사업 분야라 할 수 있음

▸ 스마트 미터의 사례는 사용자의 주행기록을 통해 운전자의 취미와 취향, 경우에 따라서는 종교와 같이 개인 데이터의 특별 카테고리 정보까지 높은 확률로 추측할 수 있는 커넥티드 카에도 해당되는 것이며, AI 스피커 서비스 등에도 해당될 수 있는 것임

▸ 아마존의 경우 AI 가상비서 알렉사의 개인정보보호 설정 기능을 두고 있지만, 트레이드-오프 관계에 있는 프라이버시와 기능성 사이에서 GDPR을 어떻게 준수해 나갈 지에 대한 새로운 고민을 부여받고 있음

<자료> Paul Coulton

[그림 2] 아마존 알렉사의 프라이버시 설정

◾ 이렇듯 GDPR이 비즈니스에 상당한 위험요인인 것은 사실이나, 어차피 준수해야만 하는 상황이므로, 데이터 관리 개선의 전기로 삼아 신속한 대응에 나설 것이 요구되고 있음

▸ IBM이 5월 17일 발표한 자체 조사 결과에 따르면 전세계 기업의 약 60%는 GDPR을 단순히 규정 준수의 문제나 위험 요소로 보지 않고, 개인정보 및 보안 데이터 관리를 개선 할 수 있는 기회, 혹은 새로운 비즈니스 모델의 기폭제로 파악하고 있음

▸ 이번 조사는 IBM이 2018년 2월부터 4월에 걸쳐 34개국 15개 산업에 속하는 1,500개 기업의 최고 개인정보보호 책임자 및 최고 데이터 책임자, 법률 고문, 최고 정보보안 책임자, 정보보호 담당자 등을 대상으로 실시하였음

▸ 조사 결과 발효일인 5월 25일까지 GDPR을 완전히 준수할 수 있다고 생각하는 응답자는 전체의 36%에 그쳤지만, 84%의 응답자는 GDPR 준수가 소비자에게 플러스 요인이 될 것이라 생각하고 있음

▸ 또한 76%의 응답자는 GDPR 의해 데이터 보호와 관련해 개인과 기업간 신뢰 관계 강화가 가능하다고 답변했으며, 많은 기업이 관리하는 데이터의 양을 전체적으로 감소시킬 기회로 GDPR을 활용하고 싶어 한다는 점도 드러났음

▸ 70% 이상의 응답자는 보유 중인 개인 데이터의 양을 줄이거나 개인 데이터에 접근할 수 있는 권한을 가진 사람의 수를 줄이거나, 필요 없는 데이터를 폐기하겠다고 밝혔으며, GDPR의 시행을 기다리지 않고 수집·관리하는 데이터의 범위를 줄이겠다는 기업도 다수 있었음

▸ 이는 그 동안 마케팅과 영업, 광고 비즈니스 등을 위해 기업들이 최대한 많은 고객 데이터의 확보를 위해 갖은 애를 썼지만, 이러한 관행은 최소한 기업의 IT 부서와 보안 부서에는 적잖은 업무 부담이었음을 시사함

▸ 기업들에게 GDPR 준수 의무는 현재 비즈니스 관행에 비추어 과도하게 느껴질 수 있겠으나, 규정의 발효 배경이 바로 그간 비즈니스 관행에 의해 피해를 호소한 시민들의 요구를 배경으로 한 것임을 감안할 때 기업들로서도 재정비 시간을 마련할 필요가 있음

▸ 그 간의 관행이 소비자뿐 아니라 기업 내부적으로도 상당한 부담을 야기하고 있었다면 개선의 전기를 마련하는 것이 당연하며, 또한 AI나 IoT, 자율주행차 등 미래 산업이 제대로 꽃피우게 하기 위해서라도 GDPR에 능동적으로 대응해 나갈 필요가 있음

페이스북 사태의 배후, 사람보다 정확한 컴퓨터의 성격 판단 기술.pdf

[ 요 약 ]

[ 본 문 ] 

ž 페이스북은 최근 이용자 개인정보를 부정하게 관리했다는 강한 의혹을 받고 있는데, 특히 미 대선에 영향을 미쳤을 가능성 때문에 정보 관리 책임을 엄격히 추궁당하고 있음

Ø 페이스북이 맞이하고 있는 창사 이래 최대의 위기는, 미 대선 당시 트럼프 캠프의 캠페인을 담당했던 데이터 분석 기업 ‘케임브리지 애널리티카(Cambridge Analytica)’가 페이스북 계정 5,000만 개의 개인 정보를 비밀리에 입수해 활용했다는 보도로부터 시작되었음

Ø 보도에 따르면, 케임브리지 대학의 알렉산드르 코건 교수는 2014년에 ‘디스이즈유어디지털라이프(thisisyourdigitallife)’라는 페이스북 앱을 만들었는데, 간단한 심리 테스트에 참여하여 개인정보와 심리 상태에 정보를 제공하면 돈을 받을 수 있는 앱이었음

Ø 이 앱은 사용자뿐만 아니라 사용자의 친구 데이터까지 수집할 수 있었다고 하는데, 코간 교수는 앱을 통해 모은 고객 정보를 상업적 목적으로 활용할 수 없다는 페이스북 규정을 어기고 심리 테스트 결과로 획득한 데이터를 케임브리지 애널리티카에 판매하였음

Ø 앱 사용자는 약 27만 명이었으나 실제로 코간 교수가 데이터를 획득한 계정은 8,700만 개였고, 이를 사들인 케임브리지 애널리티카가 데이터를 분석해 고도로 표적화된 선거 캠페인을 전개했다는 것이 의혹의 골자임

Ø 페이스북이 2015년에 데이터의 삭제 요청을 했음에도 불구하고 2017년까지 여전히 삭제되지 않았다고 하는데, 이는 2016년 대선에서 이 데이터들의 분석 결과가 확실히 사용되었음을 의미함

Ø 보도 직후 파장이 커지자 페이스북은 자사 플랫폼 내에서 사용자 정보의 유용을 막기 위한 6가지 대책 방안을 발표하며 무마에 나섰지만, 대책 방안의 내용이 그 동안 데이터 관리가 얼마나 허술했는지를 반증하는 것이어서 사용자 반발이 쉬 사그러들지 않고 있음

Ø ‘#deletefacebook’이라는 해시태그와 함께 페이스북 계정 삭제 운동이 이어지고 있으며, 실제 일론 머스크가 테슬라와 스페이스X의 페이스북 페이지를 모두 삭제하는 등 ICT 업계 내부에서도 강한 비판이 쏟아지고 있음

ž 논란의 출발점이 된 케임브리지 애널리티카는 런던 소재 스타트업으로 데이터 사이언스 기법으로 소비자와 유권자의 성향을 파악하는 ‘심지(心誌) 분석’ 기술을 개발하였음

Ø 케임브리지 애널리티카는 현재 두 개의 솔루션을 제공하고 있는데, 광고 마케팅 기업에게는 소비자를 대상으로 한 타깃 광고 도구를, 선거 관계자들에게는 유권자 성향을 분석하는 선거 도구를 제공하고 있음

Ø 이 기업은 페이스북의 개인 정보를 사들여 유권자의 정치 성향을 파악한 것으로 의심받고 있는데, 소비자와 유권자를 분석 할 때 ‘Psychographic Analysis(심지 분석, 사이코그래프)'라는 기술을 사용한다고 함

Ø 사이코그래프(Psychograph)는 개성의 각 측면을 나타내는 몇 가지 항목을 선정해 특정 개인에 관해 그 항목마다 특성을 평가해 그래프로 나타낸 것으로 ‘심지(心誌)’ 또는 ‘인격 프로필’이라 번역됨

Ø 케임브리지 애널리티카는 페이스북의 프로필 정보를 심지 분석 기술을 사용해 분석하여 각 이용자의 성격 특성을 도출했다는 것인데, 특히 이용자의 ‘Like(좋아요)’ 버튼 클릭 정보를 토대로 성격을 파악할 수 있다고 함

ž 심지 분석 모델에 따르면 ‘좋아요’를 누르는 패턴과 개인의 성격 사이에 강한 상관관계가 있다고 하며, 이를 근거로 공화당과 민주당 지지자를 비교적 정확히 구분할 수 있다고 함

Ø 케임브리지 애널리티카가 사용한 심지 분석 모델의 알고리즘은 화가 살바도르 달리(Salvador Dalí)를 좋아하는 사람은 개방적인 성격으로, 조깅을 취미로 하는 사람은 꼼꼼한 성격으로 판정한다고 함

Ø 또한 애니메이션이나 만화를 좋아하는 사람은 사교성이 없다고 진단하는데, 이러한 개성 분류 정보는 선거에 응용할 수 있는 다양한 인사이트를 제공할 수 있음

Ø 이 심지 분석 모델은 공화당 지지자와 민주당 지지자를 정확하게 판정 할 수 있고, 공화당 지지자 중에서도 ‘폐쇄적이며 사소한 일에 걱정이 많은 성격’의 유권자를 식별함

Ø 알고리즘은 이 폐쇄적이고 기우가 심한 사람들의 그룹을 트럼프의 핵심 지지층으로 알려진 저학력 고령의 남성 공화당 지지자로 추정한다고 함

ž 케임브리지 애널리티카의 심지 분석 알고리즘은 ‘컴퓨터 기반의 개성 판단’ 기법에 이론적 근거를 두고 있는데, 컴퓨터의 판단이 사람의 판단보다 정확하다고 보고 있음

Ø 심지 분석 기법의 기반이 되는 이론은 케임브리지 대학 심리학과와 스탠퍼드 대학 컴퓨터 공학과 연구팀이 공동으로 개발하였음

Ø 이 이론을 이용자의 성격이 5가지 요소, 즉 Openness(개방성), Conscientiousness(양심), Extraversion(외향성), Agreeableness(어울림), Neuroticism(노이로제)로 구성되어 있다고 보며, 이들 요소가 어떤 비중으로 구성되느냐에 따라 사람의 성격이 결정된다고 봄

Ø 양 대학은 사이코그래프 분석에 대한 논문 ‘Computer-based personality judgments are more accurate than those made by humans(컴퓨터 기반의 개성 판단이 사람의 판단보다 정확하다)’를 통해 자신들이 연구한 기술 내용에 대해 발표하였음

Computer-based personality judgments are more accurate than those made by human.pdf

Ø 이들은 방법은 두 단계로 이루어지는데, 우선 70,520 명의 피험자를 대상으로 Personality Test(성격 진단 테스트)를 실행해 성격을 판정하며, 성격은 앞서 언급한 5가지 요소로 구성되며, Personality Test에 의해 5개 요소의 가중치가 결정됨

Ø 다음으로 피험자의 페이스북 개인 프로필 정보를 참조하는데, ‘좋아요’ 버튼을 누른 대상이 무엇인지(예: Running, Ford Explorer, Barak Obama 등)를 파악하여 피험자가 어떤 항목에 관심을 나타내고 있는지를 식별하려 하였음

Ø 연구팀은 필요한 개인 정보를 수집하기 위해 ‘myPersonality’라는 앱을 개발했는데, 이용자가 이 앱으로 Personality Test를 해볼 수 있게 하는 대신, 이용자의 허락 하에 또한 학술 연구만을 위해 이용된다는 조건 하에 ‘좋아요’를 눌렀을 때 그 정보가 수집되도록 하였음

Ø Personality Test와 ‘좋아요’ 클릭 정보가 모이고 나며, 데이터 간의 관련성을 선형회귀분석(Linear Regression) 기법으로 도출하였음

Ø 성격과 ‘좋아요’ 클릭 사이의 관련성을 정의하는 변수를 도출한 것인데, 가령 외향성이 강한 사람은 Running, Ford Explorer, Barak Obama 등의 항목을 각각 어떤 패턴으로 좋아하는지를 추정하였음

Ø 이런 과정을 통해 나온 결정 모델을 이용해 실제 판정을 실시했는데, Personality Test를 받지 않은 피험자라도, ‘좋아요’를 누른 정보를 이 모델에 입력하기만 하면 개인의 성격을 판정하도록 하였음

Ø 판정 결과는 위의 5 가지 구성 요소가 각각 어떤 비율인지를 추정하는데, 이 모델은 ‘좋아요’ 클릭 정보 만으로 그 사람의 성격을 추정할 수 있음을 제시하였고, 그 판정이 사람이 직접 성격을 판정하는 것보다 정확하다고 주장한 점에서 주목을 받았음

ž 케임브리지 애널리티카는 미국 대선을 앞두고 새로운 선거 캠페인 모델을 개발하고자 했으며, 두 대학이 심지 분석 기술과 유사한 기법으로 모델을 개발하였음

Ø 당초 케임브리지 애널리티카는 ‘좋아요’ 심지 분석 기술을 개발한 케임브리지 대학 연구팀에 협조를 요청했으나 이루어지지 못했고, 대신 이 연구에 정통한 같은 대학의 알렉산드르 코건 교수에 도움을 요청했고, 코건은 동일한 방법에 기반한 모델을 개발하였음

Ø 코건 교수는 위에서 소개한 두 대학 연구팀의 ‘myPersonality’ 앱을 모방한 성격 진단 테스트 앱으로 ‘thisisyourdigitallife’를 개발했으며, 페이스북 이용자 27만 명이 이를 이용했음

Ø 이용자는 이 앱을 통해 자신의 성격을 알 수 있었으며 소정의 돈도 받았으나, 동시에 앱이 개인 정보에 접근하는 것을 허용해 프로필 데이터가 수집되도록 하였음

Ø 또한 이 앱이 사용자의 친구의 프로필 정보에 접근하도록 요청했기 때문에, 코건 교수는 5천만 명 분의 개인 정보를 입수할 수 있었고, 이들 데이터에 대상으로 심지 분석을 수행하였으며 3천만 명의 성격을 추정하였음

Ø 코건 교수는 이렇게 분석한 정보를 케임브리지 애널리티카에 판매한 것인데, 2014년 당시 페이스북은 이용자의 허가를 획득하면 제삼자가 개인 정보를 수집하는 행위는 인정했으나, 그렇게 수집한 정보를 다시 다른 사람에게 넘기는 것은 금지하고 있었음

Ø 이 부분이 문제의 핵심으로 케임브리지 애널리티카는 페이스북의 규정을 위반하며 개인 정보를 부정하게 입수한 것인데, 자신들은 몰랐다고 부정하고 있지만 애초 코건 교수에게 도움을 요청해 시작된 일이기 때문에, 영국 정부는 데이터 남용 혐의로 수사에 착수했음

ž 케임브리지 애널리티카에 전달된 개인 정보가 어떤 식으로 사용되었는지 정확히 조사 결과는 아직 발표되지 않았지만, ‘가짜뉴스’ 발송에 적용했다는 내부 증언이 나오고 있음

Ø 선거용 분석 도구를 제공하고 있는 기업이기 때문에 사이코그래프를 선거전에 적용하려 했음은 불문가지인데, ‘좋아요’ 누르기 정보를 통해 유권자의 성격과 정치적 성향을 파악할 수 있다면 고도로 타게팅이 가능한 최적의 캠페인을 전개 할 수 있기 때문

Ø 그러나 케임브리지 애널리티카의 전 직원 크리스 와일리가 영국 의회 청문회에 출석해 이 분석 모델을 미국 대통령 선거에 어떻게 적용했는지에 대해 증언한 내용은 가히 충격적인데, 일반적인 선거 캠페인의 목적을 넘어서 사용했음을 폭로하고 있음

Ø 증언에 따르면 케임브리지 애널리티카는 유권자의 심리적, 정신적인 취약점을 찾아낼 목적으로 이 분석 모델을 사용했으며, 또한 그 약점을 자극하는 가짜 뉴스를 타깃 전송함으로써 유권자를 특정 방향으로 경도되게 하고 트럼프 후보에 투표하도록 독려했다고 함

Ø 이런 의혹에 대해 ‘심지 분석’은 특별한 것이 아니고, 소비자의 특성을 파악하여 최적의 광고 메시지가 전달할 수 있다는 가능성 때문에 이미 타깃 광고에서 많이 사용되고 있으며, 넷플릭스 등은 시청자가 선호하는 영화 추천에도 이 모델을 사용한다는 반론도 있음

Ø 또한 선거 전문가들일수록 유권자의 마음을 움직이는 것은 어려운 일이기 때문에 심지 분석 기술이 유권자에게 얼마나 영향을 미치는지는 의문이며, 케임브리지 애널리티카가 대통령 선거에 실제 미친 영향은 제한적이었을 것이라는 견해를 내놓고 있음

Ø 그러나 실제 목적을 달성하지 못했거나 영향력이 작다고 해서 불법적인 시도를 용인할 수는 없는 것이며, 심지 분석을 페이스북의 최대 폐해 중 하나로 지적되고 있는 ‘가짜뉴스’ 유통에 이용하려 했다는 점 만으로도 케임브리지 애널리티카는 비난을 면치 못하고 있음

ž 케임브리지 애널리티카에 대한 비난은 미국뿐 아니라 영국, 프랑스 등 다른 나라에서도 거세게 일고 있는데, 주로 극우파에 유권자 분석 도구를 제공했다는 의혹을 사고 있음

Ø 크리스 와일리의 폭로 이후 영국 고등법원은 케임브리지 애널리티카에 대한 수색 영장을 발부해 압수 수색을 했는데, 케임브리지 애널리티카가 2016년 브렉시트(영국의 EU 탈퇴) 국민투표 여론전에도 관여했다는 추가 폭로가 나왔기 때문

Ø 추가 폭로의 근거로 제시된 것은 케임브리지가 애널리티카가 작성한 문서로 ‘EU 탈퇴 국민투표를 위한 빅데이터 솔루션’이라는 제목을 달고 있으며, 유권자, 정치인, 언론인들 중에 브렉시트 찬성자가 누군지 구분해 낼 수 있다는 내용을 담고 있음

Ø 케임브리지 애널리티카는 즉각 브렉시트 투표 과정에서 부정한 일을 하지 않았다고 부인했지만, 투표 결과가 예상 외로 탈퇴 찬성이 4% 포인트 더 높게 나왔기 때문에, 탈퇴 반대 진영에서는 가짜뉴스 등에 의한 여론이 호도되었을 가능성을 강하게 의심하고 있음

Ø 한편 케임브리지 애널리티카는 브렉시트 외에도 프랑스의 극우정당인 민족전선의 마린 르펜의 선거 운동에도 관여한 것으로 알려지고 있으며, 올 4월 초에는 나이지리아 정부가 2015년 자국 선거에 개입한 협의로 케임브리지 애널리티카에 대한 조사를 시작하였음

Ø 케임브리지 애널리티카가 미국 대선을 비롯 여러 나라의 선거에서 극우파의 여론전을 지원한 것 아니냐는 의혹이 나오고 있는 배경에는 이 기업과 관련된 인사들이 주로 극우적 성향을 가지고 있고 서로 연관이 되어 있기 때문임

Ø 케임브리지 애널리티카에는 트럼프 대통령의 후원자이자 헤지펀드 억만장자인 로버트 머서가 1,500만 달러를 투자했는데, 이는 이 기업 지분의 90%에 해당하는 것임

Ø 한편 전 백악관 고문으로 트럼프의 오른팔로 불렸던 스티브 배넌 역시 케임브리지 애널리티카의 부사장을 맡은 바 있으며, 이 기업에 의해 벌어진 여론 조작 과정의 배후로 지목되고 있음

Ø 스티브 배넌은 영국의 브렉시트를 주도한 애런 뱅크스와 관련을 맺고 있는 것으로 알려져 있으며, 브렉시트 선거를 앞두고 벌어진 각종 토론회에서 케임브리지 애널리티카는 애런 뱅크스와 자리를 함께 한 바 있음

Ø 이런 배경 때문에 케임브리지 애널리티카 스캔들은 단순히 페이스북의 이용자 정보를 불법적으로 획득해 선거 캠페인에 이용했다는 차원의 문제가 아니라, 극우 정치세력의 여론 조작이라는 의혹을 받고 있으며, 진상 조사 결과에 국제적 관심이 쏠리고 있는 것임

ž 한편 케임브리지 애널리티카의 불법 행위 유무와 관계없이 페이스북은 이번 사태의 본질적인 원인 제공자로 개인 데이터 관리의 책임을 엄격하게 추궁당하고 있음

Ø 사태가 터지고 난 후 페이스북은 정보 유출 사실을 부인하다가 문제가 커지자 유출 사실을 인정하고 조치를 취하겠다고 발표함으로써 화를 키웠다는 비판을 받고 있음

Ø 페이스북은 현재 일련의 개인정보보호 대응을 진행하고 있으며, 지금까지 20개 화면에 분산되어 있던 개인 정보 설정을 하나의 화면으로 통합하여 프로필 설정 방식을 알기 쉽게 했고 정보 관리를 용이하게 하였음

Ø 또한 제삼자가 생성하는 분석 데이터의 제공도 중단시켰는데, 데이터 분석 기업인 Experian(익스피리언)과 Acxiom(액시엄) 등은 오프라인 데이터를 분석하여 이를 광고주에게 제공하고 있었는데, 이를 중단한다고 발표하였음

Ø 이번 사태에서 이용자들이 가장 크게 충격을 받은 것은 페이스북의 서드파티 앱이 이용자 프로필뿐 아니라 그 친구들의 정보까지 접근할 수 있었다는 것이고, 놀랍게도 이런 정보 수집은 당시 페이스북의 서드파티 앱 이용 정책 하에 허용되는 행위였다는 사실임

Ø 또한 플랫폼 운영업체들이 그 어느 때보다도 데이터 보호의 중요성을 외치고 있음에도 불구하고, 평균적인 데이터 유출 사건의 규모와 영향력은 점점 커지고 있는데, 5천만 명의 데이터가 유출된 이번 페이스북 사태는 이러한 경향성을 다시 한번 확인해 주었음

ž 사실 이런 문제는 페이스북을 포함해 모든 플랫폼 업체가 안고 있는 근본적인 딜레마에서 비롯되기 때문에 어쩔 수 없는 측면이 있고 또한 근원적 해결도 쉽지 않음

Ø 모든 플랫폼들은 사용자들의 데이터를 보호해야 한다는 의무와, 이 데이터를 이용해 돈을 벌고자 하는 욕망 사이의 충돌에서 외줄타기를 할 수밖에 없음

Ø 페이스북을 비롯한 플랫폼들의 자산은 이용자 기반, 다시 말해 사용자 데이터이며 플랫폼은 이 데이터를 서드파티 개발자들에게 어떻게든 홍보를 해야만 하는 입장에 있음

Ø 사용자 데이터를 서드파티 앱에서 사용하도록 제공한다면, 더 많은 개발자들이 자신들의 플랫폼을 이용하게 될 것이고, 플랫폼의 영향력은 더욱 커질 것이며, 개별 사용자들의 성향에 맞춘 광고를 게재함으로써 더 높은 수익을 얻을 수 있기 때문임

Ø 페이스북이 이용자들의 비난이 원체 거세자 우선 모면을 위해 서드파티 앱의 접속을 제한하고 있지만, 한 켠에서는 이런 조치가 기업 마케터들과 개발자에게 치명적이며 페이스북의 마케팅 가치를 하락시킬 것이라는 전망이 나오는 것은 이런 이유에서임

Ø 따라서 이번 페이스북의 조치들을 통해 사용자들의 데이터가 안전하게 보호될 수 있을 것이란 기대는 섣불리 할 수 없으며, 사용자의 데이터를 보다 교묘하게 이용할 수 있는 새로운 방법이 마련될 것이라 보는 것이 보다 현실에 가까운 전망일 것임

ž 그러나 페이스북 사태의 파장이 원체 큰 탓에 당분간은 GDPR 등 데이터 보호가 강조될 것으로 전망되며, 반면 ‘개인 데이터=돈’이라는 사실도 보다 명확해질 것으로 보임

Ø 대규모 개인 데이터 유출 사태가 터지자 소비자들의 사생활을 보호받을 권리에 관해 명쾌한 기준을 제시하고 있는 유럽연합의 GDPR(General Data Protection Regulation, 보편적 데이터 보호 규제) 등이 해결책으로 제시되고 있음

Ø GDPR은 올해 5월 25일부터 시행되는 EU의 정보보호 규약으로, 규제 내용 가운데 가장 널리 알려진 것은 ‘잊힐 권리(the right to be forgotten)'임

Ø EU와 관계를 맺고 있는 전 세계 모든 기업은 EU의 사용자가 자신의 데이터를 삭제해 달라고 요구하면 이에 응해야 하며, 사용자는 자신의 데이터를 ‘널리 이용되는 기기에 의해 판독이 가능한’ 형식으로 인도받을 수도 있음

Ø 페이스북의 서드파티 앱 제한이 지속되고, GDPR(General Data Protection Regulation, 보편적 데이터 보호 규제) 등이 강화된다면, 현재 사용하는 앱이 제대로 작동하지 않을 것이기 때문에 마케터들과 개발자들은 물론 이용자들의 불만의 목소리도 나올 가능성이 있음

Ø 그러나 데이터 보호 전문가들은 불편함을 감수하고서라도 사용자들이 제로 트러스트(zero trust), 즉 모든 정보에 대한 접속을 차단한 상태에서 앱의 정보 수집 메커니즘을 정확히 살펴보고, 안전하고 필요한 경우에만 접속을 허용하는 훈련을 해야 한다고 조언하고 있음

Ø 한편 GDPR과 같은 규정의 강화되고, 제로 트러스트에서 시작하는 소비자들은 많아 진다면, 소비자들의 데이터가 곧 돈이라는 것이 보다 명확해지며, 돈으로 개인 데이터를 사는 것이 보편화될 가능성도 있음

Ø 지금은 익명의 빅데이터 분석이라는 논리 하에 불특정 다수의 데이터가 수집되는 경우도 많지만, 이런 경우에도 비용을 지급하는 관행이 마련되고, 비용 지급을 중개하는 에이전트들의 출현하는 것도 예상해 볼 수 있음