Jurisdiction as Structural Barrier: How Privacy Policy Organization May Reduce Visibility of Substantive Disclosures
이 논문은 실질적인 데이터 관행에 관한 세부 사항이 본문이 아닌 지역별 준수 섹션 내에 숨겨져 있어 규제 대상 관할 구역 외의 사용자들에 대한 가시성을 저하시키는 개인정보 처리방침의 구조적 패턴인 "관할권 격리형 공개(jurisdiction-siloed disclosure)"를 식별 및 분석하며, 실질적인 정보가 모든 영향을 받는 당사자에게 도달할 수 있도록 보장하기 위한 보편적 공개 표준을 제안한다.
원본 논문은 CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) 라이선스로 제공됩니다. 이것은 아래 논문에 대한 AI 생성 설명입니다. 저자가 작성하거나 승인한 것이 아닙니다. 기술적 정확성을 위해서는 원본 논문을 참조하세요. 전체 면책 조항 읽기
핵심 아이디어: "숨겨진 메뉴" 문제
식당에 저녁을 주문하러 갔다고 상상해 보세요. 당신은 메뉴판을 집어 들었습니다. 이 메뉴판은 주방에서 당신의 음식에 대해 무엇을 하고 있는지 정확히 알려주어야 합니다.
- 일반적인 메뉴: 메뉴의 메인 부분에는 "신선한 재료를 사용합니다", "셰프와 주문 내용을 공유할 수 있습니다"와 같이 모호하고 안전한 내용이 적혀 있습니다.
- "캘리포니아" 섹션: 메뉴 맨 뒷부분에 **"캘리포니아 주민 전용"**이라는 제목의 작고 별도된 페이지가 있습니다. 그 페이지를 넘겨보면 다음과 같이 굵고 구체적인 경고가 적혀 있습니다: "저희는 귀하의 개인 데이터를 광고업자에게 판매합니다."
만약 당신이 오하이오주에 살고 있다면, "캘리포니아 주민 전용"이라는 헤더를 보고 "이건 나를 위한 게 아니네"라고 생각하며 그 페이지를 건너뛸 것입니다. 당신은 집에 돌아가면서 "아, 그들은 그냥 셰프와 데이터를 공유하는구나"라고 생각하게 됩니다. 당신은 그들이 실제로 당신의 데이터를 판매하고 있다는 사실을 결코 알지 못합니다.
이것이 바로 이 논문에서 말하는 "관할권별 격리 공시(Jurisdiction-Siloed Disclosure)"입니다.
저자인 토마스 브래킨(Thomas Brackin)은 구글, 메타, 아마존과 같은 많은 대기업들이 자신의 데이터 활용에 관한 가장 중요하고 구체적인 비밀을 '캘리포니아', 'EU/영국', 또는 '일리노이'와 같이 특정 지역을 위해 라벨링된 섹션 안에 숨기고 있다고 주장합니다. 만약 당신이 그 지역에 살지 않는다면, 당신은 그 섹션들을 건너뛸 가능성이 높으며, 결과적으로 당신에게도 영향을 미치는 실제 관행들에 대해 알지 못한 채 정보로부터 소외됩니다.
발견 방법 (감사)
연구자는 123개의 주요 기업의 개인정보 처리방침을 조사했습니다. 그는 단순히 읽기만 한 것이 아니라, 탐정처럼 특정 패턴을 찾아내기 위해 스마트한 컴퓨터 시스템(AI)을 사용했습니다.
- 함정: 회사가 메인 텍스트에서 모호한 표현을 사용하는가? (예: "정보를 공유할 수도 있습니다")
- 폭로: 지역 섹션에서 매우 구체적이고 실질적인 내용을 말하는가? (예: "귀하의 생체 인식 데이터를 판매합니다")
결과:
- 이 "숨기기" 패턴이 123개 기업 중 77개 기업(약 62%)에서 발견되었습니다.
- 이러한 현상이 발생하는 282개의 구체적인 사례를 찾아냈습니다.
- 가장 확실하고 입증된 사례들만 따지더라도, 여전히 **44%**의 기업에서 이 현상이 나타납니다.
이것이 중요한 이유: 정보의 "냄새(Scent)"
이 논문은 **정보 채집(Information Foraging)**이라는 이론을 사용합니다. 이는 마치 음식을 찾는 개를 생각하면 쉽습니다.
- 개는 "냄새"를 따라갑니다. 냄새가 강하면 따라가지만, 그 냄새가 "다른 개를 위한 것"이라고 하면 멈춥니다.
- 인간도 웹사이트에서 똑같이 행동합니다. 우리는 헤딩(제목)을 훑어봅니다. 만약 **"귀하의 캘리포니아 개인정보 권리"**라는 헤딩을 보면, 우리 뇌는 "나는 캘리포니아에 살지 않아. 이 냄새는 나랑 상관없어"라고 판단하고 건너뜁니다.
논문은 기업들이 이러한 행동 방식에 의존하고 있다고 주장합니다. 그들은 무서운 구체적 진실을 "캘리포니아" 섹션에 넣어두고, 텍스주에 사는 사용자는 이를 건너뛸 것임을 알고 있습니다. 기업은 거짓말을 하는 것은 아닙니다(진실은 그곳에 있으니까요). 하지만 그들은 당신이 무시하도록 훈련된 장소에 그 진실을 숨기고 있습니다.
제안된 해결책: "보편적 실질 공시(Universal Substantive Disclosure)"
저자는 개인정보 처리방침이 어떻게 작성되어야 하는지에 대한 새로운 규칙을 제안합니다. 그는 이를 보편적 실질 공시라고 부릅니다.
이것은 시리얼 상자에 붙은 영양 성분표와 같습니다.
- 현재 시스템: 라벨 메인 박스에는 "설탕 함유"라고 적혀 있지만, 정확한 설탕 양은 뒤쪽에 "캘리포니아 주민용"이라고 적힌 아주 작은 스티커에만 적혀 있습니다.
- 제안된 시스템: 모든 사람을 위해 메인 박스에 **"설탕 15g 함유"**라고 명시해야 합니다. 그 뒤의 스티커에는 "캘리포니아 주민은 설탕이 마음에 들지 않을 경우 환불을 요청할 수 있습니다"라고만 적을 수 있습니다.
규칙:
- 그들이 하는 일 (사실): 만약 회사가 데이터를 판매하거나, 얼굴 스캔을 수집하거나, AI를 사용하여 결정을 내린다면, 이 사실을 누구나 볼 수 있도록 정책의 메인 부분에 명확하게 기재해야 합니다.
- 문제를 해결하는 방법 (권리): 지역 섹션에는 해당 지역의 사람들을 위한 "방법"에 대한 지침(예: "캘리포니아 거주자가 옵트아웃(거부)할 수 있는 링크는 여기입니다")만을 담아야 합니다.
논문에 등장하는 실제 사례들
논문은 이 방식이 어떻게 작동하는지 보여주는 다섯 가지 구체적인 이야기(사례 연구)를 제시합니다.
- Clearview AI (안면 인식): 메인 정책은 "페이스 벡터 데이터(face vector data)"와 같은 화려하고 혼란스러운 단어를 사용합니다. 하지만 "일리노이" 섹션에는 "우리는 생체 인식(biometric) 데이터를 수집한다"라고 명시되어 있습니다. 일리노이에 살지 않는다면, 당신은 "생체 인식"이라는 단어를 놓치고 그들이 당신의 얼굴을 스캔하고 있다는 사실을 깨닫지 못합니다.
- Grindr (데이팅 앱): 메인 텍스트는 "특정 지역에서 민감한 데이터를 수집할 수 있음"이라고 말합니다. 캘리포니아 섹션은 "네, 저희는 귀하의 성적 지향과 위치 정보를 수집합니다"라고 말합니다. 오하이오에 사는 사용자는 자신의 데이터가 수집되고 있다는 확인을 놓치게 됩니다.
- Roblox (게임): 메인 텍스트는 "광고를 개인화합니다"라고 합니다. "EU" 섹션은 "우리는 파트너 데이터를 사용하여 어떤 광고를 보여줄지 결정하고, 그 광고가 효과가 있는지 추적합니다"라고 합니다. 미국에 사는 어린이는 자신의 데이터가 파트너와 공유된다는 세부 사항을 놓칩니다.
- Thomson Reuters (데이터 기업): 메인 텍스트는 "일부 법률에 따라 데이터를 판매할 수 있음"이라고 합니다. 캘리포니아 섹션은 "우리는 10가지 카테고리에 걸쳐 데이터를 실제로 판매합니다"라고 합니다.
- Northrop Grumman (방위 산업): 미국 섹션은 "우리는 채용 결정에 AI를 사용하지 않습니다"라고 합니다. EU 섹션은 "우리는 후보자의 순위를 매기기 위해 AI를 사용합니다"라고 합니다.
저자가 말하고자 하는 것이 '아닌' 것
논문의 실제 주장과 일치하도록 주의해야 합니다:
- 기업이 당신을 속이기 위해 일부러 이렇게 한다고 말하는 것이 아닙니다. 저자는 기업들이 캘리포니아 법을 캘리포니아 상자에 넣으라고 지시하는 법적 템플릿을 단순히 따르고 있을 뿐이라고 시사합니다. 이는 악의적인 의도라기보다 구조적인 실수입니다.
- 이것이 인터넷상의 모든 웹사이트에서 일어난다고 말하는 것도 아닙니다. 그들은 123개의 크고 유명한 기업들만 조사했습니다.
- 사람들이 이 섹션들을 얼마나 건너뛰는지 정확히 측정했다고 말하는 것도 아닙니다. 그들은 기존 연구(사람들이 자신과 관련 없다고 생각하는 것은 건너뛴다는 연구)를 사용하여 사람들이 그렇게 행동할 것이라고 예측하고 있습니다. 그들은 이 행동을 증명하기 위해 더 많은 연구가 필요하다고 요청하고 있습니다.
결론
이 논문은 투명성이란 단순히 정보를 갖는 것뿐만 아니라, 그 정보를 어디에 두느냐의 문제라고 주장합니다.
만약 기업이 진실을 "당신을 위한 것이 아님"이라는 라벨이 붙은 상자에 넣어두고, 당신이 그 상자를 건너뛴다면, 기업은 기술적으로는 진실을 말한 것이지만 당신에게 **통지(Notice)**를 하는 데는 실패한 것입니다. 저자는 다음과 같은 규칙을 원합니다: "만약 어떤 관행이 모두에게 영향을 미친다면, 그 관행에 대한 진실은 모두를 위해 문 앞의 가장 잘 보이는 곳에 있어야 한다."
연구 분야의 논문에 파묻히고 계신가요?
연구 키워드에 맞는 최신 논문의 일일 다이제스트를 받아보세요 — 기술 요약 포함, 당신의 언어로.