좋아하는 팀이 World Cup에서 경기 종료 직전 믿기 어려운 결승골을 넣었다고 상상해 보자. 다른 팬들과 함께 기뻐하려고 온라인에 접속한다. 하지만 평소 글을 올리던 소셜 미디어 플랫폼은 이미 수집해 둔 당신의 데이터를 바탕으로 당신이 16세 미만이라고 잘못 추정하고, 제3자 인증 앱으로 가서 얼굴 이미지나 정부 발급 신분증을 제출하라고 요구한다. 당신은 그 인증 앱이 어떤 곳인지, 어느 나라에 기반을 두고 있는지, 당신의 정보가 어떻게 처리되는지, 해커나 데이터 유출로부터 보호받을 수 있는지 잘 모른다. 마음에 들지는 않지만 여권 사진을 넘기고, 나중에 문제가 되어 돌아오지 않기만을 바란다.

이제 스포츠에 대해 글을 올리는 대신, 영향력 있는 정치인을 비판하거나, 학대나 중독을 겪은 경험을 이야기하거나, 자신이 겪고 있는 민망한 의료 문제를 논의한다고 상상해 보자. 인터넷에 이런 “신분증 제시” 방식을 적용하는 일이 갑자기 훨씬 더 침해적으로 들리지 않는가? 안타깝게도 우리는 모두 그 방향으로 가고 있다. 미국에서도 마찬가지다. 그리고 나이 인증이라는 명목으로 이용자 프라이버시를 희생하려는 전 세계적 경쟁을 경계해야 할 충분한 이유가 있다.

호주에서는 어떻게 작동했나, 혹은 작동하지 않았나?

호주의 16세 미만 소셜 미디어 금지는 2025년 12월 시행됐고, 현재 여러 나라가 비슷한 규제를 만들 때 참고하는 중요한 기준이 됐다. 먼저 짚어야 할 점은 이 법이 의도대로 작동하지 않고 있다는 것이다. 정부 자체 조사에서도 금지 시행 몇 달 뒤에도 아이들 10명 중 약 7명이 여전히 소셜 미디어를 사용하고 있다는 결과가 나왔다. 또 British Medical Journal에 막 발표된 연구는 “16세 미만 청소년이 보고한 소셜 미디어 사용에서 즉각적이고 실질적인 감소가 있었다는 증거는 거의 발견되지 않았다”고 밝혔다. 둘째, 호주 학교에서는 이미 휴대전화가 금지되어 있다. 따라서 이 금지는 수업 시간 중 아이들의 인터넷 사용이 아니라, 자유 시간에 인터넷에서 무엇을 하는지를 겨냥한다.

그렇다면 이 법은 정확히 무엇을 의무화하는가? 학교 수업 시간에는 의미가 없어지고, 학교 밖에서도 제대로 작동하지 않는 이 법 말이다. 답은 앞서 설명한 가상 사례와 거의 같다. 다만 이제 그것은 전혀 가상이 아니다.

호주 법은 소셜 미디어 회사들에 막대한 벌금 위험을 부과하면서, 16세 미만 이용자가 로그인 상태를 유지하지 못하도록 충분한 조치를 취할 의무를 지운다. 그 결과 회사들은 이용자로부터 생체 정보, 정부 발급 신분증 또는 다른 데이터를 수집해야 한다. 일부 경우 플랫폼은 계정이 충분한 기간 동안 열려 있었는지처럼 이미 보유한 이용자 데이터를 사용해 나이를 확인할 수 있다. 그러나 많은 경우에는 더 많은 이용자 데이터를 모아 독립적으로 확인해야 한다. 여기서 제3자 인증 도구가 등장한다.

Snapchat을 예로 보자. Snapchat은 싱가포르에 기반을 둔 회사 k-ID를 사용하며, 은행 연결, 정부 신분증 스캔, 또는 회사가 연령대를 산정하는 데 사용하는 셀피를 통해 인증할 수 있게 한다. 이는 이용자에게 상당한 신뢰를 요구한다. 이런 제3자 회사들은 데이터를 어떻게 보관하고 보호하는가? 해외에 있는 이런 회사들에는 어떤 법이 적용되는가? 다른 나라에 있는 회사가 현지 또는 외국 정부의 검열적 요구에 더 취약한가?

호주는 나이 인증을 위해 수집한 개인정보가 “모든 목적이 충족되면 파기되어야 한다”고 명령한다. 하지만 그 목적에는 이의 제기와 민원이 포함된다. 따라서 잘못된 나이 분류에 이의를 제기한 이용자의 데이터가 정확히 얼마나 오래 보관될지는 불분명하다. 우려스럽게도 금지가 시행되기 전에 호주의 Age Assurance Technology Trial이 수행한 연구는 “구체적 지침이 없는 경우, 서비스 제공자들이 향후 조사에서 개인정보를 제공해야 할 규제 당국의 필요를 과도하게 예상하고 있다는 우려스러운 증거를 일부 발견했다. 이는 불필요하고 불균형적인 데이터 수집과 보관으로 인해 프라이버시 침해 위험을 높일 수 있다”고 밝혔다.

정보가 더 오래 보관될수록, 그리고 인증을 위해 더 많은 정보가 수집될수록, 이용자 프라이버시를 위협하는 유출이나 해킹 위험은 커진다. 이제 그 개인별 위험에 수백만 명을 곱해 보라.

앞으로 이런 공격은 더 늘어날 것이다.

데이터 유출과 해킹으로 인한 새로운 위험을 도입하는 데 더해, 호주 정부는 의무적 나이 인증이 금지를 둘러싼 혼란을 악용하려는 사기범의 피싱 시도에도 새로운 위험을 만든다고 인정한다. 하지만 정부는 인증 절차를 이용자에게 이해시키는 책임의 상당 부분을 소셜 미디어 플랫폼에, 사기를 당하지 않기 위해 내용을 읽어 확인하는 책임을 이용자에게 떠넘긴다.

우리는 21세기의 상당 기간 동안 기술 기업과 어떤 관계를 맺어야 하는지, 그리고 우리가 알게 모르게 개인 생활과 세부 정보를 어느 정도까지 넘겨도 괜찮은지를 두고 충분히 타당한 논쟁을 해 왔다. 각국 정부는 기술 기업 CEO들을 불러 개인 데이터 수집에 대해 추궁하기도 했다. 그런데 이제 호주 같은 나라는 기업들에 데이터를 수집하라고 의무화하고, 따르지 않으면 처벌하겠다고 한다.

호주 인권위원회가 설명하듯, 일부 이용자 계정이 결국 나이 확인을 피해 가더라도 이는 사람들이 인터넷을 사용하는 방식의 더 넓은 변화를 보여 준다.

eSafety Commissioner의 지침은 우리를 안심시키려 한다. ‘아니요, 플랫폼에 다른 정확한 데이터가 있다면 모든 계정 보유자가 나이 확인 절차를 거치지는 않습니다.’ 하지만 그것이 실제로 감시를 피한다는 뜻은 아니다. 플랫폼이 이미 당신에 대해 알고 있는 정보를 사용해 판단한다는 뜻일 뿐이다. 바로 이것이 지금 일어나고 있는 진짜 변화다. 우리는 참여하기 위해 법이 당신에 대한 프로파일링을 요구하는 세계로 이동하고 있다.

우리가 향해 가는 온라인 세계는 “신분증 제시”의 세계다. 이제 중요한 공적 토론의 장은 온라인 익명성을 없앨 수 있는 정보를 기술 기업과 그들이 사용하는 제3자 인증 앱, 그리고 그 정보 수집을 의무화한 정부에 맡기려는 사람들에게만 열릴 수 있다.

많은 이용자는 로그인하고 친구 및 가족과 계속 소통하는 데 필요한 정보를 제공할 가능성이 매우 높다. 하지만 어쩌면 자신이 무엇을 말하고 행동할지 다시 생각하게 될 것이다. 인터넷의 이 새로운 시대가 아이들에게 훨씬 더 안전한 환경을 만들 가능성은 낮다. 그러나 모두에게 훨씬 덜 자유로운 환경을 만들 것이다.

영국의 나이 인증 계획은 더 나쁜가?

영국도 프랑스, 스페인, 아랍에미리트, 인도네시아, 말레이시아, 그리스, 덴마크, 노르웨이, European Union과 함께 자체적인 16세 미만 금지를 추진하고 있다는 이야기를 이미 들었을 것이다.

집행 방식과 인증 방법의 정확한 세부 내용은 아직 공개되지 않았지만, 금지는 시행될 예정이다. 다만 영국은 호주의 실패를 피하려 한다. 그래서 Keir Starmer 총리는 이달 영국판 제도가 “Australia-plus”가 될 것이라고 약속했다. 영국은 “호주의 경험에서 교훈을 배우고”, “아이들이 안전장치를 우회하기 훨씬 어렵게 만들” 계획이기 때문이다. Starmer는 이후 총리직에서 물러났지만, 현재 이 정책에 대한 정부 계획이 바뀔 것이라는 조짐은 없다.

영국 시민들은 걱정할 이유가 있다. 호주의 16세 미만 금지 집행은 이용자 프라이버시에 많은 위험을 가져온다. 그런데 정부 관계자들이 더 강력한 집행을 의도한다고 신호를 보내는 것은 프라이버시 위협이 오히려 더 커질 가능성을 시사한다.

아마 가장 걱정스러운 대목은 인증 회피를 단속하기 위해 virtual private network를 겨냥하는 데 정부 관계자들이 공개적으로 관심을 보인다는 점이다. 지난해 영국의 비슷하게 난맥상을 보인 Online Safety Act가 시행된 뒤 VPN 사용이 늘었다. 인터넷 이용자들이 온라인 “위해”에 대한 정부의 차단을 피하려 했기 때문이다. Online Safety Act 시행 후 영국 관계자들은 “VPN 사용에 관한 정보를 수집하고 있다”고 밝혔다. 그리고 내가 지난주 Persuasion에서 설명했듯:

인터넷 제한을 옹호하는 사람들이 마주한 한 가지 문제는 virtual private network(VPN)의 존재다. VPN은 트래픽을 우회시켜 이용자가 방화벽이나 차단 뒤에서도 금지된 콘텐츠나 사이트에 접근할 수 있게 한다. 영국 정부는 VPN이 16세 미만 금지에 제기할 수 있는 어려움을 잘 알고 있으며, Technology Secretary Liz Kendall은 이번 주 정부가 “7월에 VPN에 관해 추가 발표를 할 것”이라고 발표했다. Children’s Minister Josh MacAlister는 “VPN 사용에 나이 제한을 둘 수 있는지에 관한 선택지가 있고, 그것은 정말 환영할 만한 일”이라고 말했다.

많은 영국 시민들은 자녀가 인터넷과 소셜 미디어를 경험하는 방식에 대해 타당하고 합리적인 우려를 갖고 있을 것이다. 하지만 영국 관계자들이 문제를 해결하려면 필요하다고 주장하는 권한과 통제의 규모에는 충격을 받고 놀랄 수 있다. 영국 관계자들이 VPN 사용을 겨냥하는 길로 들어선다면, 자신들이 중국, 이란, 러시아 같은 나라들과 더 가까운 위치에 서 있음을 발견하게 될 수 있다. 좋은 동행은 아니다.

미국도 같은 길을 따르고 있는가?

불안하게도 그렇다. First Amendment의 나라가 인터넷의 “신분증 제시” 시대를 받아들이는 길 위에 있으며, 이미 몇 년째 그쪽으로 조금씩 움직여 왔다.

여러 주가 법안을 만들고 통과시키고 있으며, 그중 상당수는 소송에 직면해 있다. 이 법안들은 국제적 맥락에서 제기한 것과 같은 우려를 많이 낳는다. 최소 19개 주가 미성년자의 소셜 미디어 또는 “중독성” 피드 접근을 다루는 법을 통과시켰지만, 일부는 집행 가능하고, 일부는 집행이 금지됐으며, 일부는 아직 시행되지 않았다. 또 20개가 넘는 주가 성인 콘텐츠 웹사이트에 대한 나이 인증법을 제정했으며, 그중 상당수는 2025년 연방대법원의 Free Speech Coalition v. Paxton 판결 이후 법적 안정성이 더 높아졌다. 별도로, 앱스토어 나이 보장 법률은 Texas와 Utah 같은 주에서 소송 중이다.

주 차원에서 이런 일이 진행되는 동안, 연방 차원에서도 여러 제안이 검토되고 있다. 여기에는 이른바 “Kids Online Safety Act”, 즉 KOSA가 포함된다. KOSA는 하원의 더 넓은 KIDS Act 패키지에 포함됐고, 상원과 White House 사이의 협상 대상이 되어 왔다. 하원안과 상원안은 약간 다르지만, 둘 다 소셜 미디어 웹사이트와 다른 플랫폼이 사실상 이용자 나이 인증을 하도록 강제하는 규제를 부과한다. 그리고 이것은 연방법이기 때문에, 자유롭고 열린 인터넷을 유지하려는 주들의 정책은 무력화된다. 온라인에서 말하기 전에 온 나라가 자신의 신원과 데이터를 공개하도록 강요받게 된다.

이것이 미국인들에게 의미하는 바는 주정부와 연방정부가 인터넷을 이용하는 모든 단계에서 당신에 관한 정보 수집을 의무화할 수 있다는 것이다. 곧 앱스토어에서 앱을 내려받는 일부터 계정을 만드는 일, 사진을 올리는 일까지 온라인에서 하는 모든 행동에 나이 보장이나 인증 요소가 붙을 수 있다. 게임을 하려는 14세든, 요리법에 대해 글을 올리는 40세든 마찬가지다. 논쟁은 비디오 게임과 AI 챗봇까지 포함하는 방향으로 빠르게 확대되고 있다.

그리고 이는 데이터 유출, 과도하게 넓은 데이터 수집과 보관, 수집된 데이터에 대한 검열적 법적 요구, 기업과 정부의 부정행위, 자기검열 압박, 어쩌면 노골적인 First Amendment 위반까지 많은 위험을 만든다. 새로운 층이 하나 생길 때마다, 새로운 의무가 하나 추가될 때마다 위험 가능성도 늘어난다. 지난 여러 해 동안 안타깝게도 여러 차례 보았듯, 고위 정부 관료를 포함한 사람들은 비판자들의 신원을 악의적으로 파헤치려 할 것이다. 따라서 온라인 발언에서 우리가 보존할 수 있는 익명성의 층은 많을수록 좋다.

미국인들은 온라인에서 아이들을 보호해야 할 필요를 진지하게 받아들이면서도, 오늘 제시되는 많은 정책과 입법 해법이 인터넷에서 자유롭고 익명으로 말할 수 있는 능력에 감당하기 어려운 부담을 만들고 있다는 사실을 인정할 수 있다. 현실적으로 나이 인증은 상당 부분 신원 확인을 요구한다. 그리고 우리는 온라인 표현 활동을 정부가 의무화한 나이 및 신원 인증과 이렇게 긴밀히 묶은 일을 후회하게 될 것이다. 일단 이런 감시의 입법 인프라를 만들고 나면, 그것을 허물기는 매우 어려울 수 있다.

^source^{https://expression.fire.org/p/the-papers-please-era-of-the-internet}

HN에서는 이 법안을 단순한 아동 보호 장치로 보지 않았다. 많은 댓글이 나이 확인이 신원 확인으로 굳어지고, 결국 인터넷에서 말하거나 접근하려면 먼저 자신을 증명해야 하는 구조로 이어질 수 있다고 우려했다. 이미 정부와 대형 플랫폼이 많은 정보를 갖고 있으니 변화가 크지 않다는 반응도 있었지만, 바로 그 이유 때문에 법으로 식별 절차를 더 얹어서는 안 된다는 반론이 더 날카롭게 나왔다.

기술적 대안을 찾으려는 논의도 있었다. 익명 자격 증명이나 공개키 기반 확인처럼 서비스에는 “기준 연령 이상”이라는 사실만 알려주고, 반복 접속이나 실제 신원을 연결하지 못하게 하자는 제안이다. 하지만 이런 방식도 발급기관, 감사 체계, 토큰 회수 권한을 누가 갖느냐에 따라 다시 중앙화된 추적 인프라가 될 수 있다는 의심을 받았다. 그래서 문제를 순수한 암호기술 설계가 아니라 권한과 집행의 문제로 봐야 한다는 지적이 이어졌다.

아이들의 인터넷 사용을 줄여야 한다는 문제의식 자체를 부정하는 반응은 많지 않았다. 오히려 소셜미디어와 휴대폰 사용이 아이들에게 해롭다는 데 공감하면서도, 그 해결책이 모든 이용자에게 신분증, 얼굴, 생체정보 제출을 요구하는 방식이어야 하느냐가 쟁점이었다. 부모의 기기 관리, 운영체제 수준의 보호 기능, 사이트 등급 표시처럼 더 좁은 범위의 장치를 먼저 강화해야 한다는 의견이 나왔다. 반대로 지금의 인터넷 환경이 이미 충분히 해롭기 때문에 사회적 개입을 피할 수 없다는 주장도 있었다.

현실적으로 따져볼 기준은 “나이만 확인한다”는 문구 너머에 있다. 누가 자격을 발급하고, 어떤 정보가 남으며, 서비스들이 같은 이용자를 다시 알아볼 수 있는지 확인해야 한다. 유출, 내부 남용, 수사 요구가 생겼을 때 신원이 드러나는 경로도 중요하다. 이 논쟁의 핵심은 아이들을 보호할지 말지가 아니다. 그 명분 아래 성인까지 포함한 인터넷 발언과 접근의 기본 조건을 신원 제시로 바꿀 것인지에 있다.

인터넷의 ‘신분증 제시’ 시대는 당신의 프라이버시를 무너뜨릴 것이다