글로벌 칼럼 | 구글 ‘시크릿 모드’ 소송 합의를 둘러싼 오해와 진실

최근 웹사이트를 돌아다니는 데 많은 시간을 보냈다면 인터넷 검색 기록에 대해 약간의 불안감을 느낄 수 있다. 지난 며칠 동안 구글의 크롬의 시크릿 모드와 관련해 공개된 새로운 법적 합의가 화제가 되고 있어서다.
 

이 소식에 대한 가장 일반적인 오해를 정확하게 반영해 말하자면, "구글이 사용자의 계정을 완전히 감시하고 있다. 시크릿 모드에서 하는 모든 행동이 계정에 기록되고 광고에 몰래 사용되고 있으며, 사용자의 가장 깊고 어두운 웹 브라우징의 비밀은 이미 다른 개인정보 수집 회사에 팔렸을지도 모른다."

황당하게 들릴지 모르지만, 필자는 셀 수도 없이 많은 뉴스 기사와 블로그, 소셜 미디어에서 이런 과장된 결론을 다루는 것을 봤다. 물론 사실 자체만을 다루고 사안에 대한 미묘한 차이와 덜 충격적인 현실을 설명하며 이런 결론에 반박하는 곳도 있다. 

인터넷과의 모든 연결을 끊고 브라우저를 산산조각 내고 가까운 사이버 벙커로 피신하기 전에, 이 사건을 바라보는 올바른 관점을 제시한다. 

크롬 시크릿 모드와 관련한 '법적 합의'는 무엇인가?

먼저 크롬 시크릿 모드와 관련된 논란과, 정확히 어떤 일이 벌어졌는지 알아본다. 

지난 1일, 구글이 크롬 시크릿 모드가 완전히 '비공개'이며 모든 사람에게 보이지 않는다고 믿게 만들어 시크릿 모드의 본질에 대해 사용자를 오도했다고 주장하는 소송에 합의했다는 사실이 법적 서류를 통해 알려졌다. 

구글은 시크릿 브라우징과 관련된 "수십억 개의" 데이터 기록을 삭제하고, 크롬의 시크릿 모드가 실제로 어떻게 작동하는지 설명하는 내용을 더 상세하게 공개하며, 시크릿 모드 활성화 시 서드파티 쿠키를 기본적으로 차단하기로 합의했다. 이런 변경 사항은 최소한 향후 5년 동안 유지될 예정이다. 또한 구글은 사용자가 시크릿 모드를 사용하는 시점을 감지하고 이를 기록할 수 있는 내부 시스템 사용을 중단하기로 합의했다. 이것이 요점이다.

이런 법적 서류를 보고 많은 사람들, 심지어 저명한 뉴스 웹사이트는 구글이 시크린 브라우징 활동에 대한 모든 종류의 세부 정보를 수집하고, 이런 정보를 사용자의 광범위한 구글 광고 프로필과 연결한 다음, 이를 판매하거나 다른 회사와 직접 공유했다는 결론을 내리고 있는 것이다.

놀랄 만한 이야기일 수 있지만, 어떤 것도 정확하지 않은 듯하다. 지금까지 알려진 모든 정보를 종합하면 이 사건에 관한 대부분 우려는 웹 작동 방식에 대한 오해, 성급한 결론에서 비롯한 것으로 보인다. 

비밀을 풀다

브라우저의 시크릿 모드(혹은 프라이빗 모드)는 사용자의 활동이 브라우저 자체 또는 관련 프로필에 로그인되지 않도록 하는 기능이다. 즉, 시크릿 모드로 전환하면 방문한 사이트가 로컬 브라우저 기록이나 구글 계정과 연결된 기록에 저장되지 않는다. 실제로 크롬 및 다른 대부분 브라우저의 시크릿 모드는 항상 이런 방식으로 작동해 왔다. 

구글 대변인의 공식 성명을 통해 이를 명시적으로 확인할 수 있다. 몇몇 저명한 매체에서 모순된 결론과 함께 언급된 바 있는 해당 성명서에는 크롬 시크릿 모드에서 수집된 "기술적 데이터"가 "개인과 연관된 적이 없으며, 어떤 형태의 개인화에도 사용되지 않았다"라고 언급돼 있다. 이런 표현은 이번 '오해'의 실체를 파악하는 데 있어 매우 중요한 사실이다. 

구글이 "최고 입찰자에게 사용자의 비밀을 판매한다"라는 오해는 사실 수 년 전으로 거슬러 올라간다. 그리고 항상 그래왔듯이 사실과 전혀 다르다.
 

구글이 다른 기업에 사용자의 개인정보를 공유하거나 기타 유사한 행위를 몰래 하고 있다는 증거는 없다. 그렇게 하지 않는다고 구글은 항상 명확히 밝혀왔다. 고객 데이터는 자동화 시스템의 일부로 내부적으로만 사용된다. 사용자가 오랜 시간 조회한 내용을 기반으로 관련성이 높고 흥미로울 것으로 생각되는 광고를 선택하도록 프로그래밍된 시스템이다. 사용자의 관심사와 전혀 상관없는 무작위 광고 대신 이런 방식을 사용하는 이유는 (1) 흥미와 잠재적 유용성이 훨씬 떨어지고 (2) 성과 측면에서 효과적이지 않을 가능성이 높기 때문이다. 

물론, 이것은 구글 비즈니스 모델의 핵심이다. 그리고 구글이 구글 검색 자체는 말할 것도 없고 지메일, 문서도구, 포토와 같은 뛰어난 서비스를 (적어도 기업용이 아닌 핵심적인 형태로) 사용료를 받지 않고 제공할 수 있는 이유이기도 하다.

그럼에도 불구하고 현 상황에 대해 불안감을 느끼는가?  

크롬 합의, 가까이서 살펴보기

필자는 놓친 것이 없는지 확인하기 위해 합의와 관련한 두꺼운 법률 문서를 자세히 살펴봤다. 난해한 법률 용어는 리눅스 설명서만큼이나 이해하기 어렵지만, 안에 담긴 실제 메시지는 매우 명확했다. 내용은 다음과 같다. 
 

• 사용자가 크롬의 시크릿 모드에 있는 동안 수집된 데이터는 시크릿 모드에서 봤음을 알 수 있는 표시와 함께 일종의 '고유 식별자'를 보유하고 있었다.
• 그리고 구글 직원들은 시크릿 모드와 관련한 폭로가 사용자에게 혼란을 줄 수 있으므로 개선해야 한다는 데 동의했다(이미 개선한 바 있다).
• 하지만 합의 문서 어디에도 데이터가 특정 사용자 프로필이나 구글 계정과 어떤 식으로든 연관되어 있었다거나, 광고 타겟팅에 사용됐다는 사실을 암시하는 내용은 없다. 
• 또한 구글이 보유한 사용자 데이터를 외부와 공유하거나 어떤 방식으로든 판매한 적이 있다는 내용도 전혀 없다. 

누군가가 사용자에 대한 모든 정보에 액세스한 다음, 모든 변수를 세심하게 정렬해 퍼즐을 맞추면 이론적으로는 크롬 시크릿 모드에서의 활동과 관련한 데이터를 사용자와 연관 지을 수 있다. 하지만 누군가 그렇게 했다는 증거도, 구글이 이런 데이터를 광고 타겟팅의 일부로 사용하려고 시도했다는 증거도 없다. 이런 데이터가 구글 외부로 공유되거나 악의적인 방식으로 사용됐다는 증거 역시 없다.

이번 합의로 드러난 사실과 관련한 실질적인 우려는 대부분 웹의 작동 방식에 대한 오해에서 비롯된 것으로 보인다.

크롬 시크릿 모드에서 웹을 탐색한다고 해서 브라우저 설정에 따라 웹 사이트의 다양한 추적 메커니즘이 마술처럼 제거되는 것은 아니다. 따라서 해당 모드에 있는 동안에도 기술적으로 어느 정도의 활동이 추적될 수 있으며, 해당 시점에 로그인하거나 표준 구글 프로필에 연결되어 있지 않더라도 궁극적으로 모든 활동이 IP 주소로 역추적될 수 있다.

크롬뿐 아니라 다른 모든 브라우저에서도 마찬가지다. 그렇기 때문에 개인정보를 보호하고 활동이 추적되지 않도록 하려는 사람은 브라우저의 로컬 수집 상태에서 로그아웃하는 것 외에 가상 사설망 또는 VPN으로 실제 IP 주소와 고급 스크립트 차단 메커니즘을 숨긴다. 물론 이런 수단을 사용하더라도 법 집행 기관이나 다른 동기를 가진 당사자의 의지만 있다면 모든 것을 조합해 활동을 추적할 수 있다.

어느 것도 철저히 비밀로 유지되는 것은 없다. 언제든지 전체 구글 광고 프로필을 확인해 구글이 사용자 프로필과 관련한 모든 온라인 활동을 기반으로 알고리즘이 사용자가 관심 있다고 판단한 내용, 즉 사용자에 대해 정확히 알고 있는 정보를 확인한 다음, 이를 제어해 부정확하거나 원치 않는 정보를 삭제하고 표시되는 광고 유형을 정확하게 맞춤 설정할 수 있다. 

현대 기술 시대에서 온라인 개인정보 보호는 복잡하고 섬세하며 매우 상대적으로 다뤄야 할 주제다. 언제나 그렇듯이 약간의 논리, 관점, 냉철한 평가가 큰 도움이 된다.
editor@itworld.co.kr