미 캘리포니아주, 운전면허 정보 전국 데이터베이스에 올린다...민간 운영 '스펙스'에 통합 결정...주지사·연방 압박에 반대 거두고 '안전장치' 달았지만, 시민단체 "영장 통해 연방이 빼갈 수 있어" 반발

[한국정보기술신문] 미국 캘리포니아주가 주민들의 운전면허증과 신분증 정보를 전국 규모의 민간 데이터베이스에 올리기로 했다. 미국 시민단체 '신원 프로젝트(The Identity Project)'는 현지시간 6월 27일 자체 매체 '페이퍼스, 플리즈!(Papers, Please!)'를 통해, 캘리포니아주 의회가 주가 발급한 모든 운전면허증·신분증 정보를 민간단체 미국자동차행정관협회(AAMVA)가 운영하는 전국 신원 데이터베이스 '스펙스(SPEXS)'에 올리도록 예산을 배정하고 관련 주법을 고치기로 합의했다고 전했다. 이 합의에는 정보를 보호하기 위한 '안전장치(가드레일)'가 포함됐으며, 6월 29일 오전 주 상원 예산위원회 심의를 앞두고 발표됐다.

스펙스는 미국 각 주의 운전면허 행정기관이 서로 면허 정보를 대조할 수 있게 해 주는 전산 시스템이다. AAMVA의 설명에 따르면, 스펙스가 받쳐 주는 '주간 대조(State-to-State·S2S)' 서비스는 한 주가 면허를 새로 발급할 때 신청자가 다른 주에서 이미 면허나 신분증을 갖고 있는지 전자적으로 확인하는 수단이다. 한 사람이 여러 주에서 중복으로 면허를 발급받는 것을 막기 위한 장치로, 이 시스템은 2015년 7월 가동을 시작했다.

AAMVA는 미국 각 주 운전면허 기관장들이 회원으로 참여하는 민간 비영리 단체로, 정부 기관이 아니다. 스펙스에 올라가는 정보는 이름과 생년월일, 면허번호, 사회보장번호(SSN) 끝 다섯 자리 등으로 알려져 있다. AAMVA는 스펙스 참여 자체가 연방 '리얼 아이디(REAL ID)법' 준수를 의무화하는 것은 아니지만, 한 주가 리얼 아이디법을 따르기로 하면 연방 국토안보부(DHS)가 통상 스펙스 참여를 준수 계획의 일부로 본다고 설명한다.

리얼 아이디법은 2005년 제정된 연방법으로, 주가 발급하는 운전면허·신분증이 일정 보안 요건을 갖추도록 하고, 이를 충족한 신분증만 항공기 탑승 등 일부 연방 목적에 쓸 수 있게 한 제도다. 이 법은 또한 준수를 택한 주가 다른 모든 주에 자기 주의 면허 정보를 전자적으로 제공하도록 요구한다.

신원 프로젝트는 '주간 대조'라는 이름이 실제 작동 방식을 가린다고 지적해 왔다. 정보가 주와 주 사이에 곧바로 오가는 것이 아니라, AAMVA라는 중앙 허브를 거쳐 모이고 공유되는 구조이기 때문이라는 것이다. 또 각 주가 스펙스에 올려야 하는 정보 항목은 AAMVA가 내부적으로 정하며, 앞으로 더 늘어날 수 있다는 것이 이 단체의 설명이다. 스펙스 데이터는 마이크로소프트의 클라우드 환경에서 운영되는 것으로 알려져 있다. 이 단체는 이처럼 전국 신원 데이터베이스의 운영을 정부가 아닌 민간단체에 맡긴 구조 자체에 문제가 있다고 본다.

신원 프로젝트에 따르면, 캘리포니아주 의회는 앞서 이 사안에서 입장을 바꿨다. 이 단체는 6월 15일 보도에서 캘리포니아주 의회가 주지사 예산안에서 리얼 아이디법 준수 관련 항목을 빼냈다고 전한 바 있다. 그러나 이번에는 개빈 뉴섬(Gavin Newsom) 주지사의 막후 압박과 연방 국토안보부의 위협 속에 반대를 거두고, 데이터 업로드를 승인하는 쪽으로 돌아섰다는 것이 단체의 설명이다.

신원 프로젝트는 지난밤 발표된 주지사와 의회의 예산 합의에 면허·신분증 정보를 보호하기 위한 안전장치가 담겼다고 전했다. 다만 이 단체는 6월 29일 오전 예산위원회 심의 전까지 의원들이 이 안전장치가 실효성이 있는지 따져 볼 시간이 부족하다고 주장했다.

쟁점은 이 안전장치가 실제로 정보를 지켜 줄 수 있느냐다. 신원 프로젝트에 따르면, 예산 부수 법안 요약본은 해당 조치가 "연방법이 요구하는 범위로만 데이터 공유를 제한한다"고 설명하고 있다. 그러나 이 단체는 이 설명이 사실과 다르다고 반박했다. 리얼 아이디법 준수는 캘리포니아를 비롯한 어느 주에도 의무가 아니라 선택 사항이며, 연방법이 주에 AAMVA 같은 민간단체와 데이터를 공유하도록 강제하지 않는다는 것이다.

이 단체는 리얼 아이디법이 주에 직접 어떤 행위를 강제할 수 없고, 준수 여부는 각 주가 정할 문제라는 입장을 일관되게 밝혀 왔다. 다만 국토안보부는 준수하지 않는 주의 주민이 공항에서 신분 확인에 어려움을 겪을 수 있다고 압박해 왔다.

신원 프로젝트가 가장 우려하는 대목은 정보가 민간단체인 AAMVA로 넘어간 뒤의 통제 문제다. 이 단체는 데이터가 AAMVA로 이전되면 국토안보부나 다른 연방·주 수사기관이 법원 명령을 통해 AAMVA로부터 정보를 넘겨받을 수 있다고 주장했다. 이때 발부되는 소환장이나 영장에 AAMVA가 그 사실을 캘리포니아주나 정보 당사자에게 알리지 못하도록 하는 함구 명령이 함께 붙을 수 있다는 것이다. 소환장은 자료 제출을 요구하는 법적 명령을, 영장은 압수·수색 등을 허가하는 법원의 문서를 말한다.

이 단체는 그 결과 캘리포니아주도, 개별 주민도 자신의 정보가 넘어갔다는 사실조차 모른 채 이를 막을 수 없게 된다고 우려했다. 또 이렇게 넘어간 정보가 여러 방식으로 오·남용될 수 있으며, 특히 이미 연방 기관 등의 표적이 되고 있는 이민자와 트랜스젠더 주민에게 불리하게 쓰일 수 있다고 주장했다. 이 같은 우려는 앞서 이민·인권 단체들도 제기한 바 있다.

운전면허 정보를 전국 데이터베이스로 모으는 것을 둘러싼 논란은 다른 주에서도 이어져 왔다. 올해 1월에는 미국 오클라호마주 의원 34명이 주민 정보를 스펙스에 올리는 것을 막아 달라며 주 대법원에 소송을 내기도 했다. 한편 국토안보부는 공식적으로는 리얼 아이디법이 전국 데이터베이스를 만드는 것이 아니라는 입장을 고수하고 있다. 캘리포니아주의 주간 대조 시스템 준수 예정일은 2027년 2월 16일로 알려져 있다.

신원 프로젝트는 캘리포니아가 연방의 위협에 성급히 굴복하지 말고 이를 거부할 수 있고 또 그래야 한다고 주장했다. 주 법무장관을 통해 국토안보부나 교통안전청(TSA)의 부당한 간섭에 맞서 주민이 자유롭게 이동할 권리를 지킬 준비를 해야 한다는 것이다.