미국 유타주가 성인 사이트 이용자의 연령을 확인하겠다며 만든 법, SB 73에 연방 법원이 제동을 걸었다. 담당 판사는 이 법의 VPN 관련 조항에 대해 예비적 금지명령(preliminary injunction)을 내려 집행을 중단시켰다. 디지털 권리 단체 EFF는 앞서 유타주 상무부에 반대 의견서를 제출하며, 프라이버시 보호 도구를 탐지하고 차단하도록 플랫폼에 강제하는 방식이 전 세계 이용자의 보안과 사생활을 훼손하면서 동시에 기술적으로 불가능한 일을 요구한다고 지적해 왔다. 법원의 판단은 그 논리에 사실상 손을 들어준 셈이다.
법은 무엇을 요구했나
올해 초 서명된 SB 73은 성인 웹사이트가 VPN 이용자를 차단하거나, 트래픽을 가리는 도구를 쓰는 방문자의 실제 위치를 식별하도록 요구했다. 더 나아가 연령 확인 관문을 우회하는 VPN 사용법을 사이트가 안내하는 것 자체도 금지했다. EFF가 파악한 바로는, 법이 정한 연령 확인을 피하기 위한 VPN 사용을 겨냥해 입법한 것은 유타가 미국 내 첫 사례다. 당초 2026년 5월 시행 예정이던 이 법은 포른허브 등을 운영하는 모회사 Aylo의 즉각적인 위헌 소송을 불렀고, 주정부와 Aylo는 법원이 금지명령 신청을 심리하는 동안 혹은 세부 이행 규칙이 확정될 때까지 집행을 멈추기로 합의했다.
상무부 소비자보호국은 9월 1일 이행 규칙안(R152-78B)을 공고했고, 이 규칙은 2026년 10월 8일부터 효력을 가질 수 있었다. 그러나 발로(Barlow) 판사의 이번 결정으로 법원의 추가 조치가 있기 전까지는 집행할 수 없게 됐다.
핵심은 '완벽한 위치 추적'이라는 모순
법원이 문제 삼은 지점은 명확하다. 성인 사이트는 모든 방문자의 물리적 위치를 알아내 유타 이용자를 걸러내거나, 혹여 유타 이용자가 섞여 있을 가능성에 대비해 전 세계 모든 방문자의 연령을 확인해야 한다. 법원은 이 '실제 위치' 조항이 실무적으로는 어느 곳에서 접속하든 모든 이용자에게 연령 확인을 수행하도록 만든다고 봤다. 이용자 중 단 한 명이라도 위치를 숨기고 있으면 사업자가 법을 어기는 결과가 되기 때문이다. 발로 판사는 개정된 법이 Aylo 같은 사업자에게 이용자 위치 판별에 관한 한 사실상 무과실 책임(strict liability)을 지운다고 지적했다.
문제는 법이 '완벽한 지오로케이션'을 전제로 하지만 그런 완벽함은 현재 기술로 불가능하다는 데 있다. VPN은 웹 트래픽을 중간 서버로 우회시켜 사생활을 보호한다. 목적지 웹사이트는 VPN 서버의 IP 주소만 보기 때문에 접속자가 솔트레이크시티에 있는지 시애틀에 있는지 상하이에 있는지 신뢰할 만한 방법으로 구분할 수 없다. 결국 플랫폼에 남는 선택지는 전국의 모든 VPN 트래픽을 차단하거나 유타에서 아예 서비스를 철수하는 것뿐이다. 법원은 책임을 피하려면 Aylo가 2,800만 명에 이르는 이용자 전원을, 그들이 어느 도시에 있든 검증해야 할 것이라고 판시했다.
실무자가 눈여겨볼 지점
규칙안은 사업자에게 '상업적으로 합리적인 위치 은폐 탐지 시스템'을 구현하라고 요구했다. EFF는 이것이 불가능을 요구하는 지시라고 본다. 상무부가 제시한 탐지 휴리스틱, 이를테면 접속 지연시간(latency)이나 기기 시간대를 감시하는 방식은 신뢰도가 낮기로 악명 높고 일상적인 네트워크 상태만으로도 쉽게 왜곡된다. 이런 능동적 감시는 광범위한 오분류, 부당한 접근 차단, 그리고 유타 바깥 이용자에게까지 미치는 프라이버시 침해로 이어질 수밖에 없다. 연령 확인에 따른 침습적 데이터 수집을 피하려는 이용자에게, 법이 오히려 더 강한 감시로 응답하는 구조인 것이다.
법원은 유타가 전 세계 모든 이용자를 SB 73에 따르게 만드는 것보다 미성년자의 성인 사이트 접근을 막을 덜 부담스러운 수단을 갖고 있다고 봤다. 이번 판단은 주 경계 밖의 사업자와 사람에게 중대한 부담을 지우는 입법을 금지하는 헌법 원칙에 근거한다. 다만 한계도 있다. Aylo의 소송은 VPN 사용법 공유를 금지한 조항까지는 다투지 않았고, 이번 결정은 어디까지나 본안 판단에 앞선 예비적 금지명령이다. 유타 의원들은 다음 회기에 법을 수정하겠다는 뜻을 내비친 상태이며, 비슷한 반VPN 법안을 검토하는 다른 주들도 있다. 보안 도구를 규제 수단으로 삼으려는 시도가 당장 사라지지는 않는다는 의미다. 기술적으로 성립하지 않는 의무를 법으로 강제할 때 어떤 일이 벌어지는지, 이번 사례는 규제를 설계하는 쪽과 그 규제를 떠안아야 하는 플랫폼 양쪽 모두에게 참고가 될 만하다.