기술 요약: 클릭에서 합의로 (From Clicks to Consent)

문제 정의

본 논문은 데이터 거버넌스의 글로벌 표준(예: GDPR 및 CCPA)으로 기능하고 있는 현재의 "고지 및 동의(notice and consent)" 패러다임의 치명적인 결함을 지적한다. 저자들은 이 개인주의적 모델이 다음과 같은 세 가지 주요 이유로 인해 근본적으로 무너졌다고 주장한다:

1. 개인적 동의의 불가능성: 공공장소, 스마트 홈, 또는 데이터가 상호 연결된 개인들을 포함하는 경우(예: 사진 속의 행인)와 같이 모든 데이터 수집 시나리오에 대해 의미 있는 동의를 얻는 것은 흔히 불가능하다.
2. 피해의 공동체적 성격: 데이터 처리는 데이터의 상호 연결된 특성으로 인해 공동체적 피해를 초래하는 경우가 많으며, 이는 개인적 동의 메커니즘으로는 해결할 수 없다.
3. 고지된 동의의 비현실성: 사용자들은 "동의 피로(consent fatigue)"를 겪으며, 이는 디지털 체념과 프라이버시 냉소주의로 이어진다. 법률 용어의 복잡성과 방대한 통지량은 사용자가 진정으로 정보를 파악하는 것을 방해하며, 결과적으로 동의를 의미 있거나 자율적인 것으로 만들지 못한다.

브라우저 수준의 제어(Global Privacy Control), "모두 거부(reject-all)" 확장 프로그램, AI 에이전트를 통한 예측적 동의와 같은 기존의 대안들은 불충분한 것으로 간주된다. 이러한 대안들은 집행력이 부족하거나, 세밀한 제어를 제공하지 못하거나, 새로운 프라이버시 위험(예측 모델링을 통한)을 도입하거나, 이해의 부담을 다시 사용자에게 전가한다.

방법론

본 논문은 새로운 프레임워크를 개념화하기 위해 **사변적 디자인(speculative design)**과 미래 역추적(future backcasting) 기법을 채택한다.

• 사변적 디자인: 표면적인 디자인 변경을 넘어 근본적인 시스템적 변화를 제안하기 위해, 동의의 대안적 미래를 구상하는 데 사용된다. 저자들은 숙의적 미니 퍼블릭(deliberative mini-publics)(정책 결정에 사용되는 무작위 선정 시민 의회)의 프레임워크를 데이터 거버넌스 영역에 맞게 변형하여 적용했다.
• 비네트(Vignettes): 제안된 프레임워크의 타당성을 테스트하기 위해 두 가지 구체적인 가상 시나리오를 개발했다:
  1. 고지 및 동의의 대체: 사용자 경험(UX) 개선을 위한 데이터 수집에 대한 기본 동의 문제를 다룬다.
  2. 생성형 AI 모델 학습: 이전에 수집된 사용자 데이터(이미지, 비디오)를 생성형 AI 모델 학습에 재사용하는 문제를 다룬다. 이는 개인적 동의가 사후적으로 불가능하거나 존재하지 않는 경우가 많은 시나리오이다.
• 미래 역추적: 저자들은 원하는 미래 상태(기능하는 집단적 동의 시스템)로부터 역산하여, 네 가지 이해관계자 그룹(규제 기관, 기업, 사회, 사용자)에 요구되는 현재의 변화를 식별했다.
• 전문가 검토: 제안된 비네트와 프레임워크 단계는 숙의적 미니 퍼블릭 전문가에 의해 검토되어 현실성과 구현 가능성을 검증받았다.

핵심 기여

본 논문은 데이터 거버넌스를 위한 새로운 운영 프레임워크로서 **집단적 동의 의회(Collective Consent Assemblies)**를 제안한다. 주요 기술적 및 개념적 기여는 다음과 같다:

1. 동의 의회 프레임워크: 인구 통계 및 프라이버시 선호도에 따라 무작위로 선정된 대표 시민 그룹이 더 넓은 인구를 대신하여 데이터 처리 관행에 대해 숙의하는 프로세스이다.

   • 구조: 프로세스는 숙의적 미니 퍼블릭을 모방한다: (1) 추첨(sortition)을 통한 구성원 초대 및 선정; (2) 다양한 이해관계자(산업계, 규제 기관, 전문가)를 대상으로 하는 학습 및 경청 단계; (3) 중립적인 촉진자에 의한 숙의 단계; (4) 권고안으로서의 결과 제시.
   • 층화(Stratification): 저자들은 인구 통계뿐만 아니라 프라이버시 선호도와 특정 취약성(예: 소수자의 이익 침해를 방지하기 위한 소외 계층이나 접근성 요구가 있는 집단을 위한 별도 의회 구성)에 따라 의회를 층화해야 함을 강조한다.

2. 운영 메커니즘:

   • 목적 기반 숙의: 의회는 특정 기업이 아닌 데이터 수집의 목적(예: UX 개선, GenAI 학습)을 기준으로 숙의해야 하며, 이를 통해 더 확장 가능한 거버넌스를 가능하게 한다.
   • 결과 유형: 의회는 세 가지 유형의 결정을 내릴 수 있다: 동의 수락(Accept Consent), 조건부 동의(보유 기간, 주체 또는 데이터 유형에 대한 특정 제약 포함), 또는 동의 거부(Reject Consent).
   • 동적 업데이트: 프레임워크에는 기술, 규제 또는 데이터 관행이 변경될 때 의회를 다시 소집하는 메커니즘이 포함되어 있어 동의가 최신 상태를 유지하도록 한다.

3. 비네트 결과:

   • UX 개선: 첫 번째 비네트에서 의회는 조건부 동의를 부여했다. 그들은 접근성 및 기능성을 향상시키는 UX 개선을 위한 기본 동의에는 동의했으나, 이 데이터를 온라인 연구 실험이나 중독성 있는 인터페이스를 만드는 데 사용하는 것에 대해서는 거부했다.
   • GenAI 학습: 두 번째 비네트에서 의회는 사용자가 업로드한 이미지를 GenAI 모델 학습에 재사용하는 것에 대해 동의를 거부했다. 그들은 원래의 동의가 이러한 예기치 못한 미래의 용도에 대해서는 유효하지 않다고 판단했으며, 정보에 입각한 선택의 결여에 대한 윤리적 문제를 제기했다.

4. 변화 경로: 역추적 분석은 다음과 같은 필수적인 변화를 식별한다:

   • 법률: 기존 규제(GDPR/CCPA)를 재해ка석하여 집단적 결정을 인식하도록 하고(예: 제40조 행동 강령을 통해), 의회 결정에 기반한 새로운 데이터 처리 법적 근거를 확립한다.
   • 비즈니스: 집단적 동의를 컴플라이언스 단순화의 관점으로 프레이밍하여, 개별적인 법적 해석의 필요성을 줄이고 '제로 데이터 수집'보다 지속 가능한 '기본값(default)'을 제공한다.
   • 사회: 데이터 거버넌스의 인식을 개인의 권리에서 디지털 노조 결성이나 민주주의와 유사한 공동체의 선(common good)으로 전환한다.

의의 및 주장

본 논문은 집단적 동의가 데이터의 공동체적 영향을 다룸으로써 실패하고 있는 고지 및 동의 모델의 실행 가능한 대안이 될 수 있다고 주장한다. 본 연구의 의의는 다음과 같다:

• 자율성 회복: 복잡한 결정을 대표적이고 정보에 밝은 그룹에 위임함으로써, 사용자는 끊임없이 정보가 결여된 선택을 해야 하는 인지적 부담에서 벗어나는 동시에, 집단적 결정에 대해 거부할 수 있는 능력을 유지한다.
• 확장성: 개별적 동의이 불가능한 시나리오(예: 행인의 프라이버시, AI를 위한 소급적 데이터 재사용)를 관리할 수 있는 메커니즘을 제공한다.
• 민주적 정당성: 데이터 거버넌스의 근거를 산업계의 자율 규제나 하향식 명령에만 의존하는 것이 아니라, 광범위한 인구의 가치와 우려를 반영하는 참여적이고 숙의적인 과정에 둔다.

저자들은 이것이 이론적 개념화임을 명시적으로 밝힌다. 그들은 작동하는 시스템을 구축했다고 주장하는 것이 아니라, 이 프레임워크가 향후 실증적 연구, 구현 연구 및 정책 개발을 위한 필수적인 토대를 제공한다고 주장한다. 또한, 개인의 자율성 감소 위험과 숙의의 시간 소모적 특성을 인정하며, 이를 강력한 거부(opt-out) 메커니즘과 원격/AI 지원 숙의 도구의 활용을 통해 완화할 수 있다고 제언한다.