내 차가 길 안내와 사고 신고를 해주는 동안, 동시에 나의 이동 경로와 운전 습관을 보험용 데이터 상품으로 바꾸고 있었다면 어떻게 봐야 할까. 커넥티드카의 편의는 이제 단순한 기능 문제가 아니라, "차량 데이터의 소유권과 통제권이 누구에게 있는가"라는 문제로 옮겨가고 있다.
GM은 캘리포니아 조사에서 온스타 가입자의 위치·운전 데이터를 데이터 브로커에 불법 판매했다는 의혹을 해소하기 위해 1,275만 달러를 내기로 했다. 합의안은 법원 승인 대상이며, GM은 일정 기간 운전 데이터 판매 제한과 개인정보 관행 개선 의무를 지게 된다.1 중요한 점은 금액보다 선례다. 이번 합의는 캘리포니아 소비자프라이버시법(CCPA) 위반 관련 최대 규모 제재로 평가되고, '데이터 최소화' 원칙 집행의 신호탄으로 읽힌다.2
온스타 사건은 '동의 UI'보다 큰 문제다
확인된 내용은 이렇다. GM은 온스타와 Smart Driver 기능을 통해 이름, 연락처, 주소, GPS 위치, 속도, 급가속·급제동 같은 데이터를 수집했고, 이 중 일부를 LexisNexis Risk Solutions와 Verisk Analytics 같은 데이터 브로커에 제공한 것으로 조사됐다.1
문제는 단순히 "개인정보 처리방침을 잘못 썼다"가 아니다. 운전 데이터는 매우 높은 해상도의 생활 기록이다. 집, 직장, 병원, 종교시설, 야간 이동 패턴까지 추론할 수 있다. 스마트폰 위치정보와 달리 자동차 데이터는 '운전'이라는 행위와 결합돼 보험, 신용, 가격 책정으로 이어지기 쉽다.
실무적으로 보면, 이 사건은 커넥티드 제품을 운영하는 기업에 세 가지 질문을 던진다.
서비스 제공에 꼭 필요한 데이터인가
이용자가 합리적으로 예상할 수 있는 사용처인가
나중에 다른 수익 모델로 전환해도 되는 데이터인가
캘리포니아 당국이 문제 삼은 핵심도 여기에 가깝다. 데이터를 한 번 수집했다고 해서, 몇 년 뒤 전혀 다른 목적의 상품으로 재활용할 권리가 자동으로 생기지는 않는다는 것이다.
보험료 인상 논란이 보여준 데이터 브로커의 힘
GM 데이터는 보험사와 연결될 수 있는 소비자 보고 생태계로 흘러갔다. FTC는 앞서 GM과 온스타가 운전자의 정밀 위치와 운전 행동 데이터를 충분한 고지나 동의 없이 수집·판매했다는 의혹을 제기했고, GM이 일정 기간 소비자보고기관에 관련 데이터를 제공하지 못하도록 하는 명령을 냈다.3
여기에는 반론도 있다. 운전 습관 데이터는 이론적으로 안전 운전자에게 보험료 할인 혜택을 줄 수 있다. 실제로 텔레매틱스 보험은 "위험을 더 정확히 측정한다"는 명분을 갖는다.
하지만 이번 사건의 쟁점은 데이터 기반 보험 자체가 아니다. 이용자가 안전 기능이나 운전 습관 개선 도구라고 이해한 서비스가, 자신도 모르게 보험 리스크 평가 재료로 바뀌었다는 점이다. 특히 캘리포니아 운전자는 주법상 이런 데이터가 보험료 산정에 쓰이지 못해 직접적인 보험료 인상 피해는 없었다고 당국은 설명했다.2 반대로 말하면, 주별 규제가 약한 지역에서는 같은 데이터 흐름이 훨씬 직접적인 경제적 피해로 이어질 수 있다.
기업이 배워야 할 교훈: 수집보다 보관과 재사용이 위험하다
합의 조건도 시사적이다. GM은 캘리포니아 온스타 고객과 관련해 일정 기간 소비자보고기관에 운전 데이터를 판매하지 못하고, 보유 중인 운전 데이터를 180일 내 삭제해야 하며, 브로커들에게도 삭제를 요청해야 한다.4
이는 프라이버시 리스크가 "수집 순간"에만 생기지 않는다는 뜻이다. 오래 보관된 데이터는 조직 내부에서 새로운 사업 기회로 보이기 쉽다. 하지만 규제 관점에서는 바로 그 지점이 위험하다. 최초 목적과 다른 사용, 불명확한 제3자 제공, 이용자 기대와 다른 수익화가 한꺼번에 발생하기 때문이다.
자동차 회사뿐 아니라 앱, IoT, 헬스케어, 스마트홈 기업도 같은 압박을 받게 된다. "동의 받았다"는 문구보다 중요한 것은 동의의 맥락이다. 사용자가 사고 신고 서비스를 켰다고 해서, 보험 리스크 점수화까지 허락했다고 보기 어렵다.
지금 운전자와 제품팀이 봐야 할 것
소비자라면 차량 앱과 온스타 같은 연결 서비스의 데이터 공유 설정을 확인해야 한다. 특히 보험료가 갑자기 올랐거나, LexisNexis·Verisk 같은 소비자 보고기관에 운전 기록이 있는지 궁금하다면 자신의 데이터 보고서를 요청해볼 필요가 있다.
제품팀과 법무·보안팀이라면 이번 사건을 "자동차 업계 특수 사례"로 넘기면 안 된다. 센서가 붙은 모든 제품은 언젠가 데이터 브로커가 될 유혹을 받는다. 판단 기준은 단순하다. 사용자가 그 데이터 사용을 예상할 수 있는가. 서비스 제공에 필요한 최소 범위인가. 제3자 제공이 사용자의 실질적 선택권 아래 있는가.
GM 합의의 핵심은 벌금 액수가 아니라 방향이다. 커넥티드카 시대의 경쟁력은 더 많은 데이터를 몰래 모으는 능력이 아니라, 데이터를 어디까지 쓰지 않을지 설명하고 지키는 능력으로 이동하고 있다.
참고
2GM just paid a record penalty for breaking California privacy law
3FTC bans GM from sharing driving data to settle claims that the automaker sold data without consent
4General Motors to pay $12.75M to settle consumer protection lawsuit
이 노트는 보도·비평·교육·연구 목적으로 작성되었습니다. 저작권 문의가 있으시면 에서 알려주세요.