소셜미디어 연령 인증, 프라이버시를 침해하는 '함정'...메타·틱톡·유튜브도 예외 없어

연령 제한법이 강화될수록 플랫폼의 생체정보 수집이 늘어나 개인정보 보호와 충돌

[한국정보기술신문] 소셜미디어 이용 연령을 제한하기 위한 각국의 입법 움직임이 오히려 이용자의 개인정보를 대규모로 수집하도록 플랫폼을 강제하는 '연령 인증 함정'에 빠지고 있다는 분석이 제기됐다. IEEE 스펙트럼은 최근 AI 거버넌스 및 규제 설계 전문 연구자 웨이델 카르발류의 기고를 통해, 연령 인증 시스템이 구조적으로 데이터 프라이버시와 충돌하는 메커니즘을 상세히 분석했다.

현재 세계 각국 정부는 청소년의 강박적 소셜미디어 사용, 유해 콘텐츠 노출, 정신건강 악화 등을 이유로 소셜미디어 최소 이용 연령을 13세 또는 16세로 설정하는 법률을 잇달아 도입하고 있다. 문제는 연령 제한을 실질적으로 집행하려면 이용자가 누구인지를 확인하는 개인정보 수집이 불가피하고, 규제 기관에 이를 증명하기 위해서는 해당 데이터를 장기 보존해야 한다는 데 있다.

연령 인증의 두 가지 기술적 방법과 그 한계

연령 인증의 기술적 방법은 크게 두 가지로 나뉜다. 첫째는 신분증 기반 인증이다. 이용자에게 정부 발급 신분증 사진 업로드나 디지털 신원 연동을 요구하는 방식이다. 그러나 많은 국가에서 16세 미만 청소년은 신분증을 보유하지 않으며, 신분증이 있더라도 디지털화되지 않은 경우가 많다. 신분증 사본이 플랫폼 서버에 저장된다는 점에서 보안 위협과 오남용 위험도 뒤따른다.

둘째는 추론 기반 방식이다. 이용자의 행동 패턴, 기기 신호, 셀카 영상을 활용한 얼굴 나이 추정 등 생체정보를 AI로 분석하여 연령을 간접적으로 파악하는 방법이다. 이 방식은 신분증 직접 수집을 피할 수 있지만, 정확한 판단 대신 확률적 추정에 의존하기 때문에 오류가 빈번하다. 실제로 플랫폼들은 두 방식을 혼합하여 사용한다. 자기신고 연령을 바탕으로 추론 시스템이 보조하고, 신뢰도가 낮으면 신분증 확인으로 단계가 높아지는 구조다. 일회성 체크포인트로 시작된 절차가 시간이 지남에 따라 지속적인 감시 체계로 변모하는 셈이다.

메타·틱톡·유튜브가 이미 도입한 얼굴 인식 시스템

현재 주요 플랫폼들이 이미 이 방향으로 움직이고 있다는 점이 주목된다. 메타는 인스타그램에서 제3자 파트너를 통해 짧은 셀카 동영상 촬영을 유도한 뒤 AI가 나이를 추정하는 방식을 여러 시장에 도입했다. 시스템이 미성년으로 판단하면 계정을 잠그고, 이의신청 시 추가 검증으로 이어진다. 오분류 사례도 빈번하게 발생하고 있는 것으로 알려졌다.

틱톡은 공개 영상을 스캔해 나이를 추론한다고 공식 확인했으며, 유튜브와 구글은 시청 이력과 계정 활동을 분석하는 행동 신호에 크게 의존하다가 불확실할 경우 신분증이나 신용카드를 요구한다. 신용카드는 성인임을 대리 증명하는 수단으로 쓰이지만, 실제로 누가 계정을 사용하는지는 알 수 없다는 맹점이 있다. 게임 플랫폼 로블록스는 최근 새로운 나이 추정 시스템을 도입했지만, 성인 이용자가 아동 연령 계정을 구매해 연령 제한 구역에 접근하는 사례가 발생하는 등 허점이 드러났다고 IT 매체 와이어드가 보도하기도 했다.

연령 인증 오류와 프라이버시 침해의 악순환

연령 인증 시스템은 예측 가능한 방식으로 실패한다. 동안인 성인, 가족 공용 기기 사용자, 비정형적인 이용 패턴을 보이는 이용자가 미성년으로 오분류되어 며칠씩 계정이 잠기는 사례가 반복된다. 반대로 청소년들은 빠르게 우회 방법을 익혀 타인의 신분증을 빌리거나, 계정을 돌려 사용하거나, VPN을 활용해 인증을 피한다.

이의신청 과정 자체도 새로운 프라이버시 위험을 만든다. 플랫폼은 규제 기관에 인증 노력을 증명하기 위해 생체정보, 신분증 이미지, 인증 로그를 장기 보존해야 한다. 보존된 데이터는 잠재적인 보안 침해 대상이 된다. 수백만 명의 이용자 규모로 확대되면 이 프라이버시 위험은 플랫폼 운영 구조 자체에 내재화된다.

현대 개인정보 보호법과의 정면 충돌

이 지점에서 연령 인증 정책과 기존 개인정보 보호법이 정면으로 충돌한다. 유럽 GDPR을 비롯한 현대 개인정보 보호 체계는 공통적으로 필요한 데이터만 수집하고, 정해진 목적에만 활용하며, 필요한 기간만 보유할 것을 원칙으로 한다. 연령 인증 집행은 이 세 가지 원칙을 모두 무너뜨린다. 플랫폼 입장에서는 연령 미인증 방치보다 개인정보 과다 수집이 법적으로 더 방어하기 쉽다는 현실적 판단이 작용하기 때문이다.

개발도상국에서 이 문제는 더욱 심각하다. 브라질은 아동청소년 보호 의무와 데이터 보호법이 동시에 적용되지만, 신원 인프라가 불균형하고 기기 공유가 일반화되어 있어 플랫폼들이 얼굴 추정과 제3자 검증 업체에 더 크게 의존한다. 나이지리아의 경우 공식 신분증이 없는 이용자가 많아 플랫폼이 행동 분석, 생체 추론, 해외 인증 서비스로 공백을 채운다. 결과적으로 행정 역량이 부족한 국가일수록 연령 인증이 더 많은 감시를 낳는 역설이 발생한다.

규제 당국의 기대와 현실의 괴리

일부 정책 입안자들은 수단을 명시하지 않고 결과만 요구하는 포괄적 기준이 기술 중립성을 보장한다고 주장한다. 그러나 실제 집행 현장에서 규제 기관이나 법원이 따지는 것은 단순하다. 미성년자가 여전히 쉽게 접근할 수 있는가, 없는가다. 그 답이 '그렇다'면 더 강력한 조치를 요구받게 된다. 시간이 지날수록 합리적 조치의 기준은 더 침습적인 방향으로 올라가고, 데이터를 덜 수집하는 플랫폼은 오히려 규정 미준수 기업처럼 보이게 된다.

이 패턴은 온라인 판매세 집행 사례에서도 확인된다. 법원이 대형 플랫폼에 판매세 징수 의무를 부과하자, 플랫폼들은 거래 목적지와 고객 위치 신호를 지속적으로 추적하고 저장하는 시스템을 구축했다. 연령 인증도 같은 경로를 밟고 있다. 일회성 확인으로 시작된 절차가 점진적으로 이용자 단위의 데이터를 기록, 보존, 상관분석하는 상시 증거 시스템으로 발전한다.

선택을 회피하는 사이 커지는 위험

카르발류 연구자는 이 모든 논의가 아동 온라인 보호에 반대하는 것이 아님을 분명히 했다. 그가 지적하는 것은 실질적인 트레이드오프를 인정하지 않는 태도다. 프라이버시를 보전하는 연령 증명 기술이 논의되기도 하지만, 이 역시 신원 인프라가 부족한 국가에서는 법적으로 충분히 성인인 이용자를 배제하거나 모든 이용자를 감시하는 선택을 강요한다.

연령 인증 함정은 기술적 오류가 아니다. 규제 당국이 연령 집행을 필수 의무로, 프라이버시를 선택 사항으로 취급할 때 필연적으로 발생하는 구조적 결과다. 소셜미디어 연령 제한 정책을 설계하는 이들은 이 근본적 긴장을 직시해야 한다는 것이 전문가들의 공통된 지적이다.

한국정보기술신문 정보보안분과 안서진 기자 news@kitpa.org