자동차가 운전자에 관해 수집하는 정보의 양은 상상 이상이다. 그리고 그 정보 상당수는 제3자에게 팔린다. 올해 초 미국 연방거래위원회(FTC)는 제너럴모터스(GM)에 대해 이례적인 제재를 내렸다. 소비자 신용평가기관과 제3자 데이터 브로커에게 고객 데이터를 판매하지 못하도록 5년간 금지한 것이다. 스마트폰의 프라이버시 설정은 사용자가 비교적 쉽게 찾아 조정할 수 있지만, 자동차는 그렇지 않다. 데이터 수집이 차량과 커넥티드 서비스, 앱, 금융 서비스 등 여러 시스템과 정책에 흩어져 있어 무슨 일이 벌어지는지 파악하기가 훨씬 어렵다. 바로 이 불투명성이 문제의 핵심이다.
GM 사례가 드러낸 것
GM은 수년간 고객이 얼마나 자주 과속하는지, 야간 운전을 하는지 같은 정보를 수집해 왔다. 그리고 이를 보험업계와 협업하는 데이터 브로커 렉시스넥시스(LexisNexis)와 베리스크(Verisk)에 넘겼고, 이 데이터는 보험사를 위한 위험 프로필 생성에 쓰였다. 문제는 많은 운전자가 자신의 데이터가 이 정도로 수집·공유되는지 전혀 몰랐다는 점이다. 상당수는 온스타(OnStar) 커넥티드 서비스에 가입하면서 '스마트 드라이버(Smart Driver)'라는 기능을 무심코 활성화했고, 그것이 곧 데이터 수집 동의였다. 2024년 뉴욕타임스의 탐사보도에서는 이런 데이터 수집 탓에 보험료가 올랐다고 밝힌 운전자들도 등장했다. 가입 절차가 워낙 혼란스러워 자신의 데이터가 공유된다는 사실 자체를 몰랐던 것이다. FTC와의 합의에 따라 GM은 위치 추적을 더 쉽게 끌 수 있도록 하고, 운전자가 수집된 데이터에 접근·삭제할 수 있게 해야 한다.
하지만 이는 GM만의 문제가 아니다. 모질라 재단 연구팀은 2023년 보고서를 위해 수개월간 주요 자동차 회사들의 개인정보 정책을 조사했고, 결론은 '모든 회사가 끔찍한 프라이버시와 보안 수준'이라는 것이었다. 보고서 공동 저자인 젠 칼트라이더는 고객이 차량과 커넥티드 서비스, 스마트폰 앱, 대출을 받은 금융 서비스에 이르기까지 서로 겹치는 여러 정책을 강제로 수용해야 했다고 지적했다. 각 정책마다 데이터 수집 조항이 담겨 있어 무슨 일이 벌어지는지 이해하려는 시도 자체가 압도적이었다는 것이다. 컨슈머리포트도 지난해 자체 조사에서 '미국에서 차를 파는 거의 모든 자동차 회사가 이른바 운전 행태 데이터를 수집해 다른 기업과 공유하며, 이를 계속하고 있다'고 결론지었다.
규제는 왜 번번이 빗나가는가
GM 제재 이후 자동차 데이터 프라이버시 문제가 마침내 주목받기 시작했지만, 정책 대응은 종종 초점을 놓치고 있다. 지난해 12월 공화당 하원의원 세 명은 이른바 DRIVER 법안을 발의했다. '차량을 소유하면 그 차가 생성하는 데이터도 소유해야 한다'는 원칙을 재확인한다는 취지다. 그러나 이 법안은 차량 소유자에게 데이터에 대한 통제권을 다소 부여하면서도, 자동차 회사가 여전히 데이터를 수집해 제3자 브로커에게 판매하는 것을 허용한다. 프라이버시 옹호론자들이 받아들일 수 없는 이유다. 칼트라이더의 지적대로 접근·삭제 권한은 애초에 과도한 수집을 막는 것과 같지 않다. 회사가 방대한 정보를 수집한 뒤 소비자가 힘겨운 절차를 거쳐 무엇이 수집됐는지 확인하고 삭제를 요청해야 한다면, 부담은 여전히 개인에게 남는다.
이 사안은 이른바 마가(MAGA) 진영으로까지 번졌다. 지난해 7월 트럼프 행정부의 션 더피 교통장관은 향후 지상 교통 재승인 법안의 정책 우선순위를 담은 서한을 의회에 보냈는데, 여기에 '프리덤 카(Freedom Car)'라는 새로운 개념이 들어 있었다. 더피는 이를 미국인이 '연결되지 않고 자동화되지 않은' 차량을 몰 권리라고 설명했다. 이 구상은 정부가 차량에 자율주행 시스템 탑재나 무선 데이터 전송 능력을 의무화하지 못하도록 금지하겠다는 것인데, 사실 그런 의무화를 추진하는 주체는 확인되지 않는다.
실무자가 읽어야 할 지점
DRIVER 법안이든 프리덤 카든 워싱턴의 문턱을 넘어 실제 정책이 될지는 불분명하다. 분명한 것은 더 단순한 차량에 대한 수요가 상당하다는 사실이다. 사람들은 각종 센서와 데이터 수집 없이 그냥 차를 살 수는 없느냐고 묻고, 슬레이트 트럭 같은 미니멀한 콘셉트를 보며 더 기본에 충실한 차를 기대한다. 후방 카메라 같은 유용한 안전 장비는 받아들이더라도, 차량이 자신의 모든 행동을 추적하거나 화면에 광고가 뜨는 것은 원치 않는다는 것이다. 이는 데이터를 취급하는 IT 실무자에게 시사하는 바가 크다. 동의를 여러 정책에 흩뿌려 사실상 무의미하게 만드는 '동의 피로' 설계, 삭제권은 주되 수집 자체는 제한하지 않는 형식적 준수는 규제와 여론 양쪽에서 취약점이 된다. 데이터 최소화(data minimization)가 왜 사후 통제권보다 근본적인 원칙인지 GM 사례가 그대로 보여준다.
결국 자동차 회사가 데이터 수집을 멈추지 않는 이유는 단순하다. 거기서 돈이 나오기 때문이다. 데이터 경제 전반이 정보를 수집하고 수익화하는 기업에 보상을 주는 구조로 남아 있는 한, 자동차 회사가 자발적으로 이 관행을 포기할 유인은 거의 없다. 규제가 접근·삭제 권한이라는 손쉬운 타협에 머무는 대신 수집 단계 자체를 겨냥하지 않는다면, 부담과 위험은 계속 개인에게 전가될 수밖에 없다.