[FAQ] 검색엔진의 프라이버시 보호「어디까지?」

최근 미 법무부와 대립 양상으로 치닫고 있는 구글의 법적 분쟁은 검색 엔진 업체가 사용자의 어떤 기록을 보관해야 하는지에 대해서뿐만 아니라 온라인 프라이버시 보호에 대한 연방 법의 미비점까지 전면적으로 부각시키고 있다.다른 변호사들이 특정 사용자의 모든 검색 기록을 요청하고, 이에 대해 소환장을 발부하는 상황이 벌어지기 전까지는 이 문제는 시간 문제일 뿐이다. 이러한 종류의 사건은 민사뿐 아니라 형사 기소 차원에서도 모두 일어날 수 있다.피싱 탐지 유형은 법적으로는 웹 메일 제공업체들에게 허가되지 않고 있다. 그러나 검색 엔진은 컴퓨서브(CompuServe)와 게시판 시스템을 운영하던 과거 시대의 낡은 법 조항인 1986년의 전자 커뮤니케이션 프라이버시법(Electronic Communications Privacy Act)에 의해 완벽하게 보호받지 않기 때문에 검색엔진 사용자들은 기존 법에 의해 보호받는 사용자들과 동일한 수준의 프라이버시를 보장받지 못한다.지금은 볼더의 콜로라도 대학에서 컴퓨터범죄법을 가르치고 있는 전직 법무부 변호사 폴 옴은 “당시에는 서비스 제공업체들이 지금과는 전혀 다른 양상이었다”고 밝혔다. 두 가지 솔루션이 가능하지만 실제로 실행될 수 있을 것 같지는 않다. 첫째는 검색 엔진이 자발적으로 혹은 법 규정에 의해 고객이 반대하지 않을 경우 몇 개월 후에 검색 기록을 삭제하는 것이다. 그리고 두 번째 방법은 인터넷 접속 창으로 역할하는 검색 엔진이 전면적으로 보호받을 수 있도록 연방 법의 관련 조항을 명확하게 수정하는 것이다. CNET 뉴스닷컴이 검색엔진 업체들의 프라이버시 보호 활동을 알아보기 위해 구글, MS, 야후, AOL을 대상으로 한 조사를 기반으로 궁금한 내용을 FAQ로 정리했다.구글은 사용자가 로그인 상태에 있지 않더라도 모든 사용자의 검색 키워드를 수집해 기록하나?그렇다. 구글은 사용자들의 검색 결과를 보존해 대조한다고 이번 주에 분명히 밝혔다. 이는 구글이 법원 명령이 있으면 이러한 기록을 제출하도록 강요받을 수 있다는 것을 의미한다. 구글이 이러한 자료를 어떻게 사용하는지는 이 문제와는 별개다.최근 미 법무부가 구글에 소환장을 발부했기 때문에 경찰뿐 아니라 심지어는 민사 사건(이혼 변호사, 분리 분쟁) 변호사들까지도 구글, MS, 야후, AOL 등 검색엔진 업체들에게 사용자의 검색 기록을 요청하게 될 수도 있을 것이다. 이와 비슷한 사례가 전에도 있었나?거의 유사한 사례가 있었다. 북캘리포니아의 한 남자가 자신의 아내가 살해당하기 전에 구글에서 ‘목’, ‘잡아채다’, ‘부러뜨리다’ ‘매달다’ 등의 단어를 검색했다는 이유로 지난 11월 살인죄로 기소됐다. 그러나 이러한 검색 키워드는 구글에서 직접 입수한 것이 아니라 로버트 페트릭의 컴퓨터에서 발견된 것이다. 또 변호사들도 이미 구글, 야후, 알타비스타 등의 검색 결과를 증거로 제출하기 시작했다.대부분의 사람들이 검색 엔진을 사용할 때 프라이버시라고 생각하는 수많은 검색 키워드를 입력하는데. 이럴 경우는 어떻게 되나?다음 항목에서 이 문제에 대해 구체적으로 다룰 것이다. 그러나 간단히 답변한다면 사기업이 거의 모든 미국인들의 검색 내용이 담긴 수많은 데이터를 수집하고, 정부와 호기심 많은 변호사가 별다른 문제 없이 이러한 데이터를 취득할 수 있게 되면 커다란 문제가 야기된다. 검색엔진은 사용자들의 개인 생활을 들여다볼 수 있는 단초를 제공할 수 있기 때문에 프라이버시가 보호되지 못할 수도 있다.사용자를 보호할 수 있는 프라이버시 관련법이 전혀 없나?꼭 그렇지는 않다. 전자 커뮤니케이션 프라이버시법이라는 연방법이 있기는 하다. 그러나 이 법은 정치인들이 인터넷을 알기 이전인 1986년에 발효됐고, 검색엔진을 겨냥한 경찰과 변호사들에 대한 방어 장치는 언급돼 있지 않다. 정치인들은 이 법을 기술에 의해 발전할 수 있는 좀더 유연한 접근방식이 아닌 인터넷 이전의 용어인 ‘프로세싱 서비스’의 의미와 결부된 기술적인 측면에 국한시켰다. 일부 주에서는 이보다 더 적절한 법 제도를 갖고 있을 수도 있다.구글이 사용자의 검색 기록을 보관하는 이유는 무엇인가?구글에게 굳이 이러한 정보를 삭제하라고 요구하는 법이 존재하지 않으며, 어떤 측면에서는 정보를 유지하는 데 대한 사업적인 정당성도 존재한다.예를 들어, 상세 정보를 보존하면 클릭 사기(경쟁업체의 광고 단가를 높이기 위한 웹 광고 허위 클릭) 파악과 물리적으로 다른 지역에서의 검색 결과 최적화에 도움이 될 수 있다. 사용자의 프로파일 수집은 구글 개인화 검색(Google Personalized Search)과 같은 서비스의 검색 결과를 제공하는 데 도움이 된다. 또한 디스크 스토리지의 가격이 저렴하고, 엔지니어들은 대부분 데이터의 삭제보다는 저장을 선호하는 경향이 있다. 그러나 고객이 개인화 등 자발적으로 선택하는 옵션이 없는 한 검색엔진 업체가 몇 개월 이상이나 기존 데이터를 유지하는 데 대한 명분은 분명하지 않다.구글이 개인의 검색 결과간 연관관계를 취합하는 기술적인 능력을 갖고 있고, 법적인 요청이 있으면 이러한 정보를 제공할 수도 있다는 말인가?그렇다. 구글은 자사 FAQ에서 인터넷 주소, 날짜, 시간, 브라우저 유형, 운영체제, 쿠키 ID 등에 관한 기록을 보관한다고 밝히고 있다.작가이자 기업가인 존 배틀레는 이번 주에 구글이 2개의 중요한 매치 유형을 수행할 수 있다는 통보를 구글로부터 받았다. 이 사실은 구글의 확인을 거친 것이며, 다음 질문에도 계속 이어진다. 첫째는 구글이 수많은 검색 키워드를 기반으로 해당 키워드를 검색한 사람들(인터넷 주소나 쿠키로 확인된)의 리스트를 생성할 수 있다. 그리고 두 번째는 인터넷 주소를 수집함으로써 구글이 해당 주소의 사용자가 검색한 검색어 리스트를 만들 수 있다. 이러한 자료를 통해 개인의 전자적인 활동을 효과적으로 생성할 수 있다.다른 검색엔진은 어떤가?이번 조사에는 AOL, MS, 야후도 포함됐다. MS와 야후는 구글과 마찬가지의 답변서를 제출했다. AOL의 답변은 약간 달랐다. 대변인 앤드류 웨인스테인은 AOL이 사용자가 입력한 검색 키워드 리스트를 제공할 수 있다고 밝혔다. 그러나 AOL은 어떤 사용자가 어떤 검색 키워드를 입력했는지를 파악하는 반대 매핑을 적절히 수행하는 시스템을 갖고 있지 않다. 웨인스테인은 또 AOL은 30일이 지나면 개인의 신분을 파악할 수 있는 검색 데이터를 삭제한다고 밝혔다. 이는 이번에 우리가 조사한 다른 검색엔진 업체들과는 다른 정책이다.사용자의 검색엔진 결과 리스트 클릭에 대해서는 어떤가? 이런 정보도 마찬가지로 제공 가능한가?제공될 수 있다. 야후와 AOL은 재직접(redirection)이라는 프로세스를 통해 사람들이 클릭하는 링크를 기록한다. 이들 기업이 이러한 정보를 폐기하지 않는다면 구글과 마찬가지로 소환장을 받게 될 것이다.부시 행정부가 구글에서 ‘마리화나 재배법’이나 ‘소득세 탈루법’ 등을 입력한 사람의 이름이나 인터넷 주소 정보를 얻고자 한다고 가정해보자. 이런 상황도 발생할 수 있나?가능할 수도 있을 것이다. 전자 커뮤니케이션 프라이버시법이 적용되지 않는다면 이러한 정보를 얻기 위해 필요한 것은 검사의 소환장뿐이다. 판사로부터 사전 승인을 얻지 않아도 된다. 하버드의 한 법학 교수는 소환장 권력을 ‘백지 수표나 마찬가지’라고 표현했다.콜로라도 대학 법학 교수 폴 옴은 “최소한의 기준 법칙은 관련성”이라며, “관련성은 상당히 광범위하게 해석된다. 어떤 것이 하나의 사건이나 범죄 수사와 관련돼 있다는 것을 보여줄 수 있는 한은 소송 당사자들간 논쟁이 더 발전할 수 있을 것이라고 생각한다”고 밝혔다.옴은 ‘메탐페타민(각성제) 제조법’ 혹은 ‘대통령 살해법’ 등을 검색한 누군가를 찾아내는 방법을 사용한다면 검사들이 “이러한 정보가 수사와 관련이 있다는 것을 주장할 수 있게 될 것”이라고 말했다.그렇다면 검색엔진에서 개인의 프라이버시는 어떻게 보호받을 수 있나?첫째는 자신의 컴퓨터에 누군가 침입했을 경우 브라우저 히스토리(혹은 개인 데이터)를 삭제하면 프라이버시를 보호할 수 있다. 파이어폭스에서는 툴 메뉴에서 이 옵션을 선택해 브라우징 히스토리를 삭제하고, 형식 정보를 저장할 수 있다.애플 컴퓨터의 사파리도 히스토리 메뉴에 이와 비슷한 옵션을 갖고 있다. OS X의 파일볼트(FileVault)나 PGP의 홀 디스크 인크립션(Whole Disk Encryption)을 통해 하드 드라이브를 암호화하는 것도 좋은 방법이다.두 번째는 검색엔진에 의해 설정된 쿠키를 삭제하는 것이다. 파이어폭스의 경우 인터넷 옵션에서 프라이버시를 선택하면 된다. 쿠키를 삭제할 수 있는 옵션이 있고, 특정 사이트의 경우 다시는 쿠키가 설정되지 못하도록 할 수도 있다. 하지만 구글닷컴을 리스트에 추가하면 개인화나 지메일(Gmail) 등의 옵션을 사용하지 못할 수도 있다는 사실도 염두에 두기 바란다. 세 번째는 개인 정보 누출에 상당히 민감한 사람이 사용할 수 있는 방법이다. 어내니마이저닷컴(Anonymizer.com)에 가서 익명 브라우징 옵션(기본으로 윈도우 사용자가 설정돼 있다) 중 하나에 서명하면 된다. 또다른 옵션으로는 토(Tor)도 있다.대니 설리반이 서치엔진와치닷컴(SearchEngineWatch.com)에 이보다 더 고가의 몇 가지 권고 리스트를 올려놓았다.의회가 어떤 조치를 취할 것인가?메사추세츠 민주당 대표 에드 마키(Ed Markey)는 ‘합리적인 시간을 경과한’ 검색 키워드의 저장을 금지하는 법안을 제출하겠다고 공약했다.이러한 접근 방법에는 몇 가지 정치적, 현실적 문제가 존재한다. 첫째는 마키가 공화당원들이 주도하는 지역의 자유 민주당원이라는 점 때문에 그의 제안이 먹혀들지 않을 수 있다는 점이다. 두 번째는 이러한 종류의 법안이 광범위한 분열로 이어질 수 있다는 점이다. 이는 집단 소송 전문 변호사들이 데이터 보존 기간이 ‘합리적이지’ 않다는 점을 내세워 IT 기업들을 소송함으로써 막대한 이득을 챙길 수 있게 된다는 의미다. 마지막으로는 부시 행정부가 이런 법안을 채택할지 분명하지 않다는 점이다. 검색 키워드는 범죄 수사에 유용하게 활용할 수 있으며, 법무부가 검색엔진 업체들로부터 이러한 정보를 얻으려고 하는 것 같다.인터넷 주소는 어떻게 제공되나? 사용자들의 인터넷 주소가 언제나 동일한가?상황에 따라 다르다. DSL과 케이블 모뎀 서비스 업체들은 자신들이 필요할 때만 DHCP와 PPPoe 등의 방법으로 인터넷 주소를 할당한다. 이런 IP 주소는 수시로 변경될 수 있다.다른 IP 주소들은 고정적인 경우가 많다. 대학의 교수진과 직원, 기업의 종업원들은 대부분 고정 IP 주소를 사용한다.한 가지 예를 들어보자. 사용자가 역동적으로 할당되는 인터넷 주소를 사용하고 있다는 사실을 구글이 알고 있다고 가정하자. 그런데 하루는 192.1.1.1에, 다음날은 192.2.2.2에, 그리고 다음날은 192.3.3.3에 접속된다. 이 경우 구글이 해당 사용자의 관련 자료를 생성하려면 검색 질의어를 어떤 방식으로 연계시키나?그 부분이 바로 ‘쿠키’의 역할이다. 쿠키는 사용자가 다음번에 재차 해당 웹사이트를 검색할 때 해당 사용자를 인식하기 위해 존재하는 간단한 디바이스다. 구글, 야후, AOL, MS가 모두 쿠키를 기본으로 설정한다. MS는 2016년, 야후는 2010년, 구글은 2038년이 만료일이며, AOL은 2011년에 만료되는 서드파티 쿠키를 설정한다.위 사례에서 구글닷컴은 첫날 192.1.1.1 인터넷 주소에 접속된 누군가의 쿠키를 설정하고, 동일한 웹 브라우저가 이어지는 이틀 동안 192.2.2.2와 192.3.3.3에 접속됐다는 사실을 알게 된다. 만약 이 사용자가 구글 계정으로 접속하면 이 프로세스를 파악하기가 더욱 용이하다.검색엔진 업체조차도 이 사용자의 인터넷 주소를 192.1.1.1로 알고 있고, 이전 검색 기록들과 연계한다면 검색엔진 업체나 정부가 어떻게 사용자의 이름, 집주소 및 기타 정보까지 얻을 수 있나?만약 사용자가 지메일, 구글 그룹, 개인화 검색 혹은 구글 얼러츠 등에 구글 계정을 갖고 있다면 구글은 다른 3자로부터 제공을 요구받을 수 있는 사용자의 이메일 주소와 기타 개인 정보를 파악할 수 있다. 웹 출판인이 광고 매출을 위해 구글 애드센스(Google AdSense)에 서명한다면 구글은 해당 출판인의 실명, 메일링 주소, 사회보장 번호 등을 확보하게 된다.구글의 서비스를 아예 사용하지 않는 사람이라면 구글이 소환장에 대해 제공할 수 있는 정보는 해당 사용자의 인터넷 주소밖에 없다. 이렇게 되면 사용자 정보를 요청한 사람은 이 사용자에게 인터넷 서비스를 제공하는 업체에 빌링 정보를 요구하는 두 번째 소환장을 발부할 것이다. 이 방법은 미 음반협회(RIAA : Recording Industry Association of America)가 수천 명에 달하는 파일 공유 소송건을 제기할 때 사용했던 방법이다.누군가의 검색 키워드를 조사하기 위해 검색엔진 업체에 소환장이나 다른 종류의 법적 요청서를 발송한 적이 있나?잘 모르겠다. 구글과 야후는 이에 대한 법적 문제가 전혀 없음에도 불구하고 이 문제에 대한 답변을 거절했다. AOL은 전자 커뮤니케이션 프라이버시법이 적용될 것이라고만 밝혔다.현재로서는 MS가 가장 준비된 기업이다. 지난해 검색 키워드(사용자 확인은 배제)에 대한 법무부의 소환장에서 제외된 MS는 “MSN 검색 데이터와 관련한 형사 혹은 민사상의 어떤 요청도 받은 적이 없다”고 밝혔다.MS는 또한 검색 키워드를 입력한 사용자 리스트 생성을 요청하는 “형사 혹은 민사상의 요청을 받은 적이 없다”고 덧붙였다. 이상한 일이기는 하지만 다른 검색엔진 업체들은 여기에 대해서는 거의 오픈하지 않았다.검색엔진 업체들이 사용자의 검색 키워드를 보관하는 기간은?MS, 구글, 야후는 필요하다고 판단되는 한 데이터를 계속 보관한다고 밝혔다. 이는 영원히 보관할 수도 있다는 의미다. MS는 사용자들에게 자신의 검색 히스토리를 삭제할 수 있는 옵션을 제공하는 방법을 찾고 있다고 덧붙였으며, 야후도 이와 유사한 입장을 밝혔다.이에 비해 AOL은 30일이 경과하면 특정인임을 판별할 수 있는 데이터를 삭제한다고 답했다.@Expand/Contract window검색엔진에서의 프라이버시 보호는 최소한 가까운 미래에는 고전적인 방법이자 거의 해석이 어려운 법적 문구인 ‘프로세싱 서비스’를 기준으로 삼게 될 것이다.변호사들은 일반적으로 해당 데이터가 자신이 맡은 소송과 관련이 있을 경우 기업에 대해 관련 기록을 요청하는 소환장을 발부할 수 있다. 그러나 1986년 제정된 전자 커뮤니케이션 프라이버시법은 ‘프로세싱 서비스’를 제공하는 원격 컴퓨터 사용자들에 대해 추가적인 보호장치를 제공한다.구글의 언어 번역 서비스가 이런 사례가 될 수 있다. 그러나 검색엔진이라면 어떨까? 검색엔진에 대해서는 명확한 정의가 어렵고, 법원은 그동안 이 문제를 인터넷에 적용하는 데 거의 도움을 주지 못했다.지금은 조지 워싱턴대학에서 법학 교수를 맡고 있는 전직 검사 오린 커(Orin Kerr)는 의회에서 해당 언어는 아웃소싱에 대한 적용을 의미한다고 밝혔다.그는 지난 2004년 법 검토라는 글에서 “e베이가 자사의 고객들에게 ‘프로세싱 서비스’를 제공하는가?”라는 문제를 제기하며, “이에 대한 답은 ‘아니오’다. 이 법의 제정 역사를 보면 ‘프로세싱 서비스’는 아웃소싱 기능을 의미한다. 스프레드시트 이전 시대에는 한 기업이 원격지의 컴퓨팅 서비스에 기본 데이터를 전송해 자사의 급여를 정산해달라고 요청했을 수도 있다”고 밝혔다.• 검사들의 인터넷 주소 추적연방법(18 U.S.C. 2703)에서는 명시되지 않았던 변화가 발생하면서 검사들이 다른 방법보다 검색 키워드를 근거로 인터넷 주소를 확보하는 것이 더욱 쉬워진다.이 법은 상당히 관대하다. 이 법에 따르면 ‘정부 기관’은 판사의 사전 검토조차 거치지 않은 종이쪽지에 불과한 소환장만으로도 검색 엔진 사용자들에 대한 정보 제공을 요청할 수 있다. 이런 방식으로 요청될 수 있는 정보에는 사용자 접속시 이름, 주소, 인터넷 주소 등이 포함될 수 있으며, 필요하다면 신용카드 번호도 요청할 수 있다.검사들은 해당 정보가 “현재 진행중인 범죄 사건 수사와 관련이 있고, 중요하다면” 이러한 정보를 요구할 수 있다. 그러나 검색엔진 업체가 거부하면 해당 요청사항이 “너무 방대하거나 이러한 명령에 따를 경우 부당한 부담을 야기할 수 있다”고 판단될 경우 판사가 해당 요청의 범위를 축소할 수는 있다. 검사들의 검색 키워드 추적법무부가 이미 누군가의 인터넷 주소를 확보한 후 이들의 검색 기록을 조사하고 있다면 위의 사례와는 다소 다른 절차를 밟게 된다.이 경우 검사들은 판사에게 실제 법원 명령을 사전에 요청해야 하며, 검색 결과가 “현재 진행중인 범죄 사건 수사와 관련이 있고, 중요하다”는 점을 주장해야 한다.이는 물론 실행 과정에서 극히 까다로운 일은 아니다.이러한 차이점은 검색 키워드가 연방법에서 “해당 커뮤니케이션의 내용, 취지, 혹은 의미”에 관한 정보로 정의하는 ‘콘텐츠’라는 데 있다. 만약 그렇지 않다면 법원 명령도 필요 없고, 소환장만 있으면 된다.• 민사 소송건에 대한 변호사들의 기록 추적또 다른 일련의 규제는 정부기관에 근무하지 않는 민사 소송 관련 변호사들에게 적용된다.그러나 이 규제는 검색엔진 업체들에는 거의 적용되지 않는다. 이러한 규제는 이메일 보호와 유사한 서비스 제공업체들(이 법안은 컴퓨서브, BIX, 더 소스 시대에 제정됐다는 사실을 다시 한 번 기억하라)이 자사 고객들의 개인 정보를 서드파티 업체와 공유하지 못하도록 하기 위한 것이다.해석 : 호기심 많은 이혼 변호사가 구글에 소환장을 보낼 필요가 생겼다. 샌프란시스코의 디지털 권리 그룹인 전자프론티어재단 변호사 리 티엔은 “이 법 조항들은 상당히 오래전에 제정됐다. 일부 사항은 세심하게 규정한 측면이 있지만 새롭게 제기된 다른 문제들은 그렇지 않다”고 밝혔다.