와이든 상원의원 서한, NSA가 데이터 브로커로부터 미국인의 데이터를 구매하고 있음을 확인

• Ron Wyden 상원의원이 공개한 문서로 NSA의 인터넷 기록 구매가 드러났고, 이 기록은 사용자가 방문한 웹사이트와 사용한 앱을 노출할 수 있음
• Wyden은 정보기관이 데이터 브로커에게서 미국인의 개인 데이터를 사는 관행을 중단하고, FTC 기준을 충족한 합법적 데이터 판매만 허용하라고 요구함
• NSA는 미국 내 휴대전화에서 수집된 위치 데이터 구매·사용은 부인했지만, 국내 인터넷 통신과 미국 IP가 포함된 해외 통신의 상업적 netflow 비콘텐츠 데이터 구매·사용은 인정함
• 이 정보가 공개되기까지 거의 3년이 걸렸고, Wyden이 NSA 국장 후보 지명에 보류를 건 뒤에야 공개 승인이 났음
• 데이터 브로커를 통한 정부의 개인 데이터 구매는 법원과 영장 요건을 우회할 수 있어, 미국인의 프라이버시와 국내 감시 통제를 약화시킴

---

NSA의 인터넷 기록 구매 확인

• Ron Wyden 상원의원이 공개한 문서에서 NSA가 미국인의 인터넷 기록을 구매한다는 사실이 확인됨
• 이 인터넷 기록은 사용자가 어떤 웹사이트를 방문하고 어떤 앱을 사용하는지 드러낼 수 있음
• Wyden은 Avril Haines 국가정보국장에게 보낸 서한에서, 정보기관이 데이터 브로커로부터 불법적으로 확보된 미국인의 개인 데이터를 사지 못하도록 정책을 채택하라고 요구함
• Wyden은 “미국 정부가 미국인의 프라이버시를 노골적으로 침해하는 그늘진 산업에 자금을 대고 정당성을 부여해서는 안 된다”고 밝힘

데이터 브로커가 만드는 영장 우회 경로

• 정부가 데이터 브로커에게서 국내 데이터를 구매하는 일은 이미 반복적으로 발생해 왔음
• 연방기관과 지역 법집행기관은 사기업이 제공하는 국내 데이터를 사들여 왔고, 이는 대법원이 세운 제약을 우회하는 방식으로 작동할 수 있음
• 정부는 제3자 원칙(Third Party Doctrine)을 적용할 수 있다고 보지만, 많은 앱과 서비스는 사용자가 충분히 인지하지 못한 상태에서 데이터를 수집함
  • 단순해 보이는 모바일 게임도 휴대전화 위치를 조회하고 이를 특정 기기 ID와 연결할 수 있음
  • 이런 수집은 이용약관 깊숙한 곳에 숨어 있을 수 있음

Wyden의 공개 과정과 요구사항

• Wyden은 NSA의 국내 인터넷 메타데이터 구매 정보 공개 승인을 받는 데 거의 3년이 걸렸다고 밝힘
• 국방부는 2021년 3월, 미국인의 개인 데이터를 구매하는 국방부 구성요소를 확인해 달라는 Wyden 측 요청에 정보를 제공함
• 이후 2021년 5월 Wyden이 비기밀 정보의 공개 승인을 요청했지만 국방부는 이를 거부함
• Wyden이 NSA 국장 후보 지명에 보류를 건 뒤에야 해당 정보가 공개 승인됨
• Wyden의 서한은 각 정보공동체(IC) 구성요소에 다음을 요구함
  • 데이터 브로커로부터의 데이터 구매 조사 개시
  • 데이터 브로커의 사업 관행에 대한 FTC 조사
  • 데이터 브로커로부터 구매한 개인 데이터 목록 제공

NSA가 부인한 것과 인정한 것

• NSA는 2023년 Wyden에게 보낸 서한에서 미국 내에서 사용되는 것으로 알려진 휴대전화에서 수집된 위치 데이터를 법원 명령 유무와 관계없이 사거나 사용하지 않는다고 밝힘
• 이 부인은 위치 데이터에 한정되며, Wyden이 우려한 인터넷 기록 구매 전체를 부인한 것은 아님
• 같은 서한에서 NSA는 상업적으로 이용 가능한 netflow 비콘텐츠 데이터를 구매·사용한다고 인정함
  • 전적으로 국내 인터넷 통신과 관련된 데이터
  • 한쪽이 미국 인터넷 프로토콜 주소이고 다른 한쪽이 해외에 있는 인터넷 통신 관련 데이터
• 이 인정은 NSA의 국내 감시 범위가 데이터 브로커 시장을 통해 넓어질 수 있음을 보여줌

Section 702와 국내 감시 우려

• NSA는 Section 702 수집을 통해 미국인의 데이터와 통신을 “부주의하게” 쓸어 담을 수 있는 기관으로 이미 알려져 있음
• FBI가 Section 702를 국내 감시에 반복적으로 남용해 왔다는 맥락도 함께 거론됨
• 이런 상황에서는 NSA가 데이터 브로커에게서 별도로 데이터를 구매할 필요가 있는지 의문이 남음
• 비판의 초점은 NSA가 입증된 국가안보 필요 때문이 아니라, 수집할 수 있는 경로가 생겼기 때문에 더 많이 모으는 것처럼 보인다는 데 있음
• 데이터 브로커를 통한 미국인 데이터 구매가 정부의 일상 업무처럼 굳어지면, 감시 권한에 대한 실질적 통제가 더 어려워짐

[GN⁺]

Hacker News 의견들

• 정부가 상당한 이유 없이 시민 정보에 접근하는 건, 구매를 통해서라도 수정헌법 4조의 문언까지는 아니어도 정신에는 어긋나는 것으로 보임
  현대에는 “수색과 압수” 없이도 개인에 대한 방대한 정보를 모을 수 있으니, 수정헌법 4조를 현대에 맞게 갱신하는 헌법 개정이 필요해 보임. 데이터 수집은 당대의 가장 큰 쟁점 중 하나지만, 적어도 정부가 우리의 세금이나 부채로 권리를 합법적으로 우회해서는 안 된다는 데는 대부분 동의할 것 같음

  • 이건 제3자 원칙으로 거슬러 올라감
    데이터를 제3자에게 넘긴 순간 더 이상 “합리적인 사생활 기대”가 없으므로 수색이 아니라는 전제임. 집 옆에 붙어 있는 쓰레기통은 아직 통제 아래 있으니 권리가 있지만, 수거차가 가져가도록 길가에 내놓는 순간 그 권리를 포기했다는 판례와도 비슷함. 이게 좋다는 뜻은 아니고, 오히려 싫지만 현재 미국 판례상 이렇게 작동함. 바꾸려면 의회가 새 법을 만들거나 헌법을 개정해야 하고, “어떻게 되어야 하는가”에 대한 생각은 법으로 뒷받침되지 않으면 의미가 작아짐
  • 이 데이터 수집과 활용의 대부분은 사실상 수색과 압수에 해당한다고 봄
    다만 정부가 아니라 민간 기업이 한다는 차이가 있고, 개인적으로는 오히려 정부만 하는 경우보다 더 나쁘다고 봄
  • 안타깝게도 수정헌법 4조는 꽤 좁게 해석됨
    더 구체적인 사생활권을 명시하는 추가 조항이 있으면 좋겠음. “불법” 수색을 막는다는 건 결국 사후에 법정까지 가야 한다는 뜻이라 거의 무의미에 가까움. 수정헌법 4조는 가져야 할 힘의 10% 정도밖에 없는 느낌임
  • 다른 사람이 경찰에 당신에 대한 정보를 자발적으로 제공하는 건 예전부터 합법이었고, 그 사람이 사업체를 운영하든 아니든 상관없음
    지금 당장 경찰에 전화해서 lumb63이 HN에 2024-01-30T14:14:13에 댓글을 달았다고 말할 수 있고, 더 자세한 정보를 알면 그것도 말할 수 있음. 경찰은 합법적으로 들을 수 있음. 내가 아는 누군가에 대한 무엇이든 말할 수 있는데, 왜 그게 불법이어야 하는지 모르겠음. 이 상황은 수정헌법 4조와 관련이 없고, 수정헌법 4조는 정부가 정보를 강제로 가져가는 것을 막는 조항임
  • “권리”는 권리장전에 들어 있는 것조차 매일 짓밟힘
    숨긴 총기를 들고 주 경계를 넘어 이동해 보거나, 탐지견이 반응한 뒤 K-9 경찰에게 차를 수색할 수 없다고 말해 보거나, 표현의 자유를 내세워 독설로 여겨질 말을 퍼뜨려 보면 됨. “권리” 같은 건 없고, 현재의 장소와 시간에서 개인이 방어할 수 있는 것만 있을 뿐임

• 기관들이 상업적으로 구할 수 있는 데이터를 사는 게 왜 그렇게 더 논란인지 잘 모르겠음
  애초에 그 데이터가 수집되고, 돈만 내면 누구에게나 제공되는 현실이 더 큰 문제 아닌가 싶음

  • 몇 가지 가능성을 생각해 볼 수 있음
    첫째, 보통 사람 입장에서는 기업이 이런 정보를 갖고 있는 것 자체가 본질적으로 괜찮지 않음. 둘째, 기관들은 납세자 돈으로 이 정보를 사므로 우리가 동의하지 않을 수 있는 시장을 키우는 셈임. 셋째, 정부 기관에는 규칙이 있고, 그 기관들이 규칙을 우회하거나 허점을 찾으면 기관의 신뢰에 악영향이 있음. 넷째가 가장 중요할 수 있는데, 정부 기관은 민간 기업이 못 하는 일을 할 권한과 힘이 있음. 수사 개시, 검사에게 법률 조언 받기, 기소, 영장 발부, 소환, 체포, 구금 등이 가능하고, 모두 침해적이고 비싸며 변호사 비용부터 징역까지 여러 나쁜 결과로 이어질 수 있음
  • 정부는 폭력의 독점을 갖고 있으므로 더 다르고 더 제한적인 규칙을 따라야 함
    NSA가 민간 데이터를 사는 게 법적으로 어떤지는 모르겠지만, 자국민을 감시하면 안 된다는 법의 정신에는 어긋나는 것처럼 느껴짐
  • 정부가 특별한 이유는 모두에게 영향을 주는 법을 만들 수 있는 광범위한 권력 때문임
    예를 들어 수정헌법 1조의 “의회는 표현의 자유를 제한하는 법을 만들 수 없다”는 정부에는 적용되지만, 초등학교 3학년 교실에서 욕설 금지 규칙을 두는 데는 적용되지 않음. 민간 집단이 특정 표현을 금지하는 건 싫으면 다른 곳으로 갈 수 있으니 합리적일 수 있지만, 법과 정부 행위의 영역에서는 훨씬 더 신중해야 함. 정부는 사회에서 무력 사용을 독점한 유일한 주체이고, 큰 힘에는 큰 책임이 따라야 함
  • 정부는 정보를 이용해 사람을 기소할 수 있지만 기업은 그럴 수 없음
    또한 정부는 주권면제와 공무원 면책 때문에 악의적 행동에 대해 기업보다 훨씬 덜 책임을 짐
  • 민간 기업은 정부의 축복 없이는 당신을 감옥에 보내거나 기본적 자유를 빼앗을 수 없지만, 정부는 가능함
    권리장전과 헌법은 대체로 민간인이 아니라 정부의 과잉으로부터 당신을 보호하려는 것이고, 민간인 사이의 문제는 주로 주·지방 차원의 일반 법률이 다룸. 미국에서는 늘 그런 법적 구분이 있었음

• 기사에서 NSA에 대해 “국내 감시를 할 능력이 충분하고 실제로도 자주 한다면, 왜 자체 대량 수집망에서 더 정당하게 얻을 수 있는 것을 굳이 사서 수집 기법 일부가 노출될 위험을 감수하느냐”고 했는데, 돈과 정보 교환이라는 기법을 적이 배울까 NSA가 걱정할 필요는 없다고 봄
  데이터 중개업자를 해킹하는 쪽이 독자적 기법 노출 가능성이 더 큼

• 미국에도 EU 같은 형태의 사생활 보호가 있었으면 좋겠음
  EU의 제도가 완벽하진 않지만 그래도 있었으면 함. 이해하기로는 Chuck Schumer 상원의원 한 명이 위원회에서 의미 있는 사생활 보호 법안을 막고 있음. 1인 사생활 파괴 공처럼 보임. 어디선가 그의 두 딸이 Meta와 Microsoft였던 것 같은 회사에서 고연봉 직장을 갖고 있다고 읽었음. 요점은 사생활 보호가 더 강하면 기업이 팔 수 있는 정보도 줄어든다는 것임

  • 그의 딸들이 그 요점과 무슨 관련이 있는지 모르겠음

• 시민권을 해치는 면이 있더라도, 기관들이 상업 데이터 중개업자를 전혀 감시하지 않게 둘 수는 없음
  적어도 국내에서의 범죄 활동 위험을 추정하고 예방할 수 있어야 하기 때문임

  • 그건 오히려 기능에 가까움
    가장 큰 로비 세력은 은행과 그런 데이터 중개업자를 쓰는 조직들임. 정부가 그들을 내버려 두기 때문에 정부도 그들을 쓸 수 있고, 법을 우회하는 방식이 됨

• 문제는 이게 NSA라는 점임
  NSA는 미국 시민을 수사하는 기관이 아니라 해외 신호정보를 담당해야 함. FBI나 CIA가 이런 일을 한다면 충분히 예상할 수 있고, 그게 잘못인지도 확신이 안 듦. 적어도 광고 목적으로 데이터를 사는 다른 주체들보다 더 잘못됐다고 보긴 어려움

  • 완전히 맞는 말은 아님
    CIA는 미국 밖의 정보 수집을 위해 만들어진 기관이라 이 데이터에 접근할 이유가 가장 적음. FBI는 법집행기관이므로 영장 없이 그 데이터를 건드리거나 볼 수 없고, 그러면 진행 중인 많은 사건의 데이터 수집이 무효가 될 수 있음. NSA는 미국으로 들어오고 나가는 통신 데이터를 수집하도록 되어 있음. 수십 년 전에는 이 구분이 완전히 명확했지만 지금은 덜함. 미국인에 대한 데이터 수집은 그 데이터로 무엇을 하느냐에 따라 불법이 아닐 수 있음. Snowden 폭로에서 가장 드러난 부분은 내부 위협이 미국인에 대해 수집된 NSA 데이터를 개인적 용도로 오용했다는 점이었음
  • 인터넷에서 해외가 대체 무슨 의미인지 모르겠음
    땅 조각 사이에 명확한 선이 있는 것도 아니고, 모든 것이 어디에나 있음
  • NSA가 미국인을 대규모로 감시한다는 사실은 2013년 Snowden이 폭로했음
    2024년에 와서 놀랄 핑계는 없음

• 애초에 데이터 중개업자들이 이 모든 정보를 팔 수 있다는 사실이 아니라, 이 일에만 화를 내는 건 상상하기 어려움

  • 둘 다 동시에 분노하지 않는 것도 상상하기 어려움
    다만 하나는 수백 또는 수천 개의 비도덕적이고 대체로 익명인 주체가 만든 수만 건의 작은 동의 위반이 쌓인 결과임. 다른 하나는 시민이 자신을 보호하고 봉사하라고 돈을 대는 정부 조직이 저지른 거대하고 노골적인 헌법 위반임. 둘 다 가장 엄격한 처벌을 받아야 함

• 데이터가 어떻게 현실 세계의 특정 인간과 연결되는지 이해가 잘 안 됨
  내 차를 예로 들면, 차는 내 소유지만 당신이 몰다가 과속하면 과속 딱지는 당신이 받음. 데이터도 마찬가지로 이 글이 내 이름으로 등록된 현실 세계의 기기에서 올라온 것은 맞을 수 있지만, 그걸 실제 현실 세계의 내가 사용했다는 뜻은 아님

  • 공인 IP 주소를 생각해 보면 됨
    위치 추정은 IP 주소를 국가처럼 부정확한 범위부터 도시처럼 더 정밀한 지역까지 연결할 수 있음. 대략적인 위치를 몇 가지 다른 데이터와 결합하면 특정 계정에 해당하는 현실 세계 후보를 크게 좁힐 수 있음 [1]. 한 주요 연구에 따르면 세 가지 특성만으로 미국 인구의 87%를 고유하게 식별할 수 있고, 다른 연구에서는 이 세 가지 사실만으로 미국 인구의 63%를 고유하게 식별할 수 있다고 함. 온라인 활동이 많다면 어떤 웹사이트에서 다른 사용자가 당신을 부르는 방식만으로 성별이나 나이가 드러날 수 있음. 어떤 웹사이트가 성별이나 생일을 수집한다면 그 정보를 데이터 중개업자와 공유하거나 팔 수도 있음. 경찰이 문제가 될 수 있는 온라인 행위의 위치를 한 가구로 좁히면, 영장을 들고 실제로 찾아와 그 시간에 집 안의 어느 컴퓨터를 누가 쓰고 있었는지 물을 수 있음.
    [1] https://www.eff.org/deeplinks/2023/11/debunking-myth-anonymo...
  • 여러 신호를 가로질러 상관관계를 잡는 방식이고, 여기 설명되어 있음 <a href="https://restoreprivacy[.]com/rtb-data-leveraged-for-user-surveillance-by-non-state-agencies/" rel="nofollow">https://restoreprivacy[.]com/rtb-data-leveraged-for-user-sur...</…;

• Facebook도 이런 일을 했음
  살 수 있는 웹사이트 데이터는 전부 샀고, 광고 집행에 쓸 수 있다는 걸 알았기 때문에 데이터 구매를 수익성 있는 일로 만들었음. 미국 정부나 정보기관이 똑같이 한다면 이것을 “불법”이나 잘못이라고 부를 수 있는지 의문임. 정부 권한을 크게 동원해 했다면 법 위반이겠지만, 이미 구할 수 있는 것을 사고 있는 것임

• 아이러니한 건 이 일을 한 게 중국이나 러시아가 아니라는 점임
  왜 자국 기관이 했을 때는 분노가 훨씬 적거나 거의 없어 보이는지 모르겠음

  • 당신의 세금이 중국의 감시 기구에 들어가는 건 아니기 때문임
    그들이 당신을 감시하는 건 당연하고, 그게 그들의 일임. 우리 나라는 적어도 겉으로는 시민을 적처럼 대하지 않는다는 점에서 그들과 다르다고 말해 왔음, 물론 어느 정도까지만 그렇지만 말임