법이 기술에 불가능한 숙제를 냈을 때
미국 유타주의 이른바 'VPN 법'을 두고 법원이 EFF(전자프런티어재단, 디지털 권리를 지키는 미국 비영리 단체)의 손을 들어줬어요. 핵심 논리는 간단해요. 이 법은 기술적으로 불가능한 일을 요구한다는 거예요.
배경부터 짚어볼게요. 미국에서는 최근 몇 년 사이 성인 콘텐츠 사이트 같은 곳에 연령 확인을 의무화하는 주법이 쏟아졌어요. 2025년에는 연방대법원이 텍사스의 연령 확인법을 합헌으로 판단하면서 이 흐름에 힘이 실렸죠. 그런데 연령 확인법에는 뻔한 구멍이 있어요. 그 주에 사는 사람이 VPN을 켜서 다른 지역에서 접속하는 것처럼 보이면 확인 절차를 그냥 피해 갈 수 있거든요. 유타주 법은 이 구멍을 막겠다면서, 사실상 사이트 운영자에게 VPN 뒤에 있는 사용자가 유타 주민인지까지 가려내라는 부담을 지웠어요. EFF는 바로 이 부분이 현실에서 불가능하다고 주장했고, 법원도 이 주장을 받아들였어요.
VPN은 어떻게 위치를 숨길까
VPN이 뭔지부터 쉽게 볼게요. 평소에는 내 컴퓨터가 웹사이트에 직접 접속하니까, 사이트는 내 IP 주소(인터넷 세상의 집 주소 같은 것)를 보고 대략 어느 지역에서 왔는지 짐작해요. VPN을 켜면 내 데이터가 암호화된 터널을 지나 VPN 서버로 먼저 가고, 그 서버가 대신 사이트에 접속해요. 사이트 입장에서는 VPN 서버 주소만 보일 뿐, 그 뒤에 누가 있는지 알 길이 없죠. 택배를 보낼 때 발신지를 대행업체 주소로 적는 것과 비슷해요.
'그래도 VPN은 탐지할 수 있지 않나요?'
개발자라면 이런 생각이 들 수 있어요. 실제로 VPN 탐지 기술은 있거든요. 상용 VPN 업체들이 쓰는 데이터센터 IP 대역 목록을 만들어 막거나, IP가 속한 네트워크(ASN)가 클라우드 업체 것인지 통신사 것인지 보거나, 브라우저의 시간대 설정과 IP 위치가 어긋나는지 확인하는 식이죠.
문제는 이게 확률적인 추정일 뿐이라는 거예요. 집 인터넷에 VPN 서버를 직접 세우면 평범한 가정용 IP처럼 보이고, 일반 가정 회선을 빌려 쓰는 '레지덴셜 프록시' 서비스도 흔해요. 반대로 회사 VPN으로 일하는 직장인이나, 공용 와이파이에서 보안 때문에 VPN을 켠 사람은 엉뚱하게 걸러지죠.
더 근본적인 문제도 있어요. 누군가 VPN을 쓴다는 사실을 알아내더라도 그 사람이 지금 유타에 있는지는 여전히 알 수 없어요. 뉴욕에서 접속했는지 유타에서 접속했는지 구분할 정보 자체가 패킷에 없거든요. 결국 사이트가 법을 확실히 지키는 방법은 두 가지뿐이에요. 전 세계 VPN 사용자를 몽땅 막거나, 모든 방문자에게 신분증이나 정확한 위치 정보를 요구하거나요. 어느 쪽을 택해도 유타 주민이 아닌 수많은 사람의 접근권과 프라이버시를 침해하게 돼요. 법원이 '기술적으로 불가능하다'는 논리를 받아들인 건 이런 구조 때문이에요.
전 세계가 같은 고민을 하고 있어요
이건 유타만의 이야기가 아니에요. 영국은 2025년 7월 온라인 안전법(Online Safety Act)에 따른 연령 확인을 본격적으로 시행했는데, 그 직후 VPN 가입이 폭증했다는 보도가 이어졌어요. 호주는 16세 미만의 SNS 이용을 막는 법을 시행했고, 미국 몇몇 주에서는 VPN 자체를 규제하자는 법안까지 나왔어요.
흐름을 정리하면 이래요. 규제는 '사용자가 어디 있는지, 몇 살인지'를 알아야 작동하는데, 인터넷은 원래 그런 정보를 확실하게 알려주도록 설계되지 않았어요. 그래서 규제가 강해질수록 우회가 늘고, 우회를 막으려는 규제는 더 많은 개인정보 수집을 요구하는 악순환이 생기죠. 이번 판결은 기술의 한계를 무시한 법이 어디서 막히는지 보여주는 선례라서 의미가 커요.
한국 개발자에게 주는 시사점
한국에서도 낯선 이야기가 아니에요. 우리는 휴대폰 본인인증으로 연령을 확인하는 데 이미 익숙하고, 2019년에 HTTPS 접속 때 노출되는 도메인 정보(SNI)를 이용한 차단이 도입되자 'VPN 쓰면 그만'이라는 반응이 쏟아졌죠. 청소년 게임 셧다운제가 부모 계정 도용 같은 우회 문제와 실효성 논란 끝에 2021년 폐지가 결정된 것도 비슷한 교훈을 줘요.
실무에서는 글로벌 서비스를 만드는 개발자에게 특히 중요해요. 국가나 지역별 규제에 맞추려고 GeoIP(IP로 위치를 추정하는 기술)를 쓰는 경우가 많은데, 이건 '대략 맞는 추정'이지 확실한 사실이 아니라는 점을 설계에 반영해야 해요. 정상 사용자를 잘못 막았을 때 풀어줄 경로를 마련해 두고, 규제 요건이 바뀌어도 대응할 수 있게 위치 판정 로직을 한곳에 모아두는 게 좋아요. 연령이나 위치 확인 때문에 수집하는 개인정보를 최소화하는 것도 개인정보보호법 관점에서 꼭 챙겨야 하고요.
마무리
한 줄 정리: VPN 뒤에 있는 사용자가 어디 있는지 확실하게 알아낼 방법은 없고, 법원도 이 기술적 현실을 인정했어요.
청소년 보호라는 목적과 프라이버시, 그리고 기술적 현실 사이에서 균형을 잡을 방법이 있을까요? 지역 규제 때문에 GeoIP나 VPN 차단 로직을 직접 만들어 본 적이 있다면, 어떤 문제를 겪었는지도 궁금해요!
🔗 출처: Hacker News