Mastercard는 우리의 데이터 판매를 중단해야 한다

• EFF는 U.S. PIRG 캠페인에 동참해 Mastercard가 카드 소지자 데이터 판매를 멈추고 수집 범위를 줄여야 한다고 요구함
• Mastercard는 결제 기술 기업이라는 위치 때문에 수백만 명의 금융 생활에서 나온 정보를 다룰 수 있어, 결제 데이터 수익화 논란의 중심에 있음
• 거래 금액·빈도·위치·날짜·시간 같은 정보는 쇼핑 성향과 소비자 유형을 추정하는 데 쓰이며, 익명화만으로 충분히 안전하다고 보기 어려움
• “big spender”나 “high-value” 같은 예측은 특정 사람을 겨냥해 더 많은 지출을 유도하는 데 활용될 수 있음
• 카드 사용자는 자신의 구매 프로필이 재가공·재포장되어 자신에게 불리하게 쓰일 가능성을 예상하기 어렵기 때문에 데이터 관행 변화가 필요함

---

EFF와 U.S. PIRG의 요구

• EFF는 U.S. Public Interest Research Group(U.S. PIRG)이 주도하는 캠페인에 참여해 Mastercard에 카드 소지자 정보 판매 중단을 요구함
• 핵심 요구는 데이터 수집을 제한하고, 카드 소지자가 맡긴 정보에 대한 신뢰를 Mastercard가 존중하는 것임
• Mastercard는 이용자가 결제 과정에서 맡긴 개인 데이터 판매로 이익을 얻는 기업 중 하나로 다뤄짐

Mastercard가 문제로 지목된 이유

• U.S. PIRG의 캠페인 보고서는 Mastercard가 글로벌 결제 기술 기업이라는 위치 때문에 수백만 명의 금융 생활에서 파생된 막대한 정보에 접근할 수 있다고 봄
• 보고서는 Mastercard의 수익화 전략을 “너무 멀리 간 데이터 경제”의 사례로 평가함
• 결제 데이터가 단순한 서비스 제공을 넘어 기업 수익 확대에 쓰이면, 그 비용은 프라이버시 침해 위험으로 돌아올 수 있음

거래 데이터로 만들어지는 소비자 추정

• 쇼핑 장소만으로도 개인에 대해 많은 것을 드러낼 수 있으며, 익명화된 데이터도 기대만큼 익명적이지 않을 수 있음
  • 관련 링크: Researchers Find ‘Anonymized’ Data Is Even Less Anonymous Than We Thought
• U.S. PIRG에 따르면 Mastercard는 거래의 금액과 빈도, 위치, 날짜, 시간을 분석함
• 이 분석은 카드 소지자 범주를 만들고, 어떤 유형의 쇼핑객인지에 대한 추정을 생성하는 데 쓰임
  • 예: “big spender”로 예측되는 사람
  • 예: Mastercard가 “high-value”라고 판단하는 카드 소지자
• 이런 예측은 특정 사람을 겨냥하고 더 많은 돈을 쓰도록 유도하는 데 사용됨

금융기관 신뢰와의 충돌

• Bank for International Settlements는 사람들이 전통 금융기관을 빅테크 기업, 정부 기관, 핀테크 기업보다 더 신뢰한다고 봄
  • 관련 문서: BIS Bulletin No 42
• Mastercard 카드를 받는 사람들은 자신의 구매 금융 프로필이 재가공·재포장되어 자신에게 불리하게 쓰이는 방식을 예상하지 않음
• 이런 데이터 활용은 카드를 발급한 회사에 대해 많은 사람이 가진 신뢰와 충돌함

바뀌어야 할 데이터 관행

• EFF는 Mastercard가 카드 소지자의 신뢰와 프라이버시를 존중해야 한다고 요구함
• Mastercard는 현재 데이터 관행을 바꿀 수 있고 바꿔야 한다는 입장임
• Visa가 광고주 대상 개인 데이터 사업을 중단한 사례도 함께 제시됨: Visa Is Shutting Down Its Personal Data Business for Advertisers

[GN⁺]

Hacker News 의견들

• 흥정으로 악명 높은 시장에 갔는데, 지갑을 판 회사가 내 모든 거래를 감시해 시장 상인 중 돈을 가장 많이 낸 쪽에 넘긴다고 상상해보면 됨
  이제 나는 털릴 준비가 된 살찐 닭임. 방금 망치를 샀으니 못이 필요하겠고, 소셜 미디어 흔적으로 내가 좀 어수룩하다는 것도 추론 가능함. “서두르세요, 이 지역에서 못 수요가 높습니다. 걱정 마세요, 앞으로 0.3시간 동안만 유효한 특별 제안입니다”
  사람들이 어떻게 이런 프라이버시 침식과 경제적 이익·주체성의 상실을 받아들이게 됐는지 이해가 안 됨. 조작적 사업자와 포획된 규제기관 아래에서 이런 사회적 퇴행을 허용하는 집단적 어리석음은 무엇인지, 원래 늘 이랬는지, 희망은 있는지 모르겠음

  • 더 심하게는 이제 전자잉크 가격표도 있음. 내가 다가가는 동안 가격표가 내게 팔 가격으로 실제로 바뀔 수 있음
    집어 들지 않고 지나가면 제안을 살짝 바꿀 수도 있음. 더 이상 “1+1”이 아니라 “2개 사면 1개 무료, X도 증정”이 되는 식임
    역겨움. 끓는 물에서 태어난 개구리는 그게 뜨겁다는 걸 모름. 지금 가처분소득이 가장 큰 연령대는 다른 세상을 모르고, 늘 그래 왔다고 여김
    예전부터 이랬던 건 아님. 기술이 훨씬 쉽게 만들었고, 지금은 표적화되고 자동화됐음. 역대 최악이고 계속 나빠지는 중임. 어느 나라 정치인도 고치려 하지 않음. 더 높은 가격에 더 많이 팔리면 세금도 늘어나니까. 기업 로비까지 더해지면 말할 것도 없음
  • 광고기술 업계 사람의 표준 답변은 이럴 것 같음. “못도 필요하다는 걸 광고가 알려주니 좋지 않나요? 광고기술의 도움 없이는 아무것도 지어지지 않았을 겁니다!”
  • 답은 아주 단순해 보임. 사람들은 이해하지 못하고, 이해하더라도 “뭐 어때, 이번 한 번 못 몇 개일 뿐인데”처럼 사소해 보이는 일이 집계된 데이터가 만들어내는 거대한 권력으로 이어진다는 걸 체감하지 못함
  • “원래 늘 그랬다”는 건 정말 형편없는 수사임. 얼버무림에 가깝고 실체가 없는, 사고를 멈추게 하는 상투어임
    솔직히 이런 상황은 암호화폐나 센서 차단 소재로 설계된 건물을 매력적으로 보이게 함. 데이터센터는 수동적으로 감시하기 어렵게 만들 수 있는데, 내 집·사무실·쇼핑몰이라고 달라야 할 이유가 없음
    권력자들은 우리에게 빠질 선택지를 준 적이 없고, 천천히 점진적으로 악화돼 왔음
    우리 자신의 데이터에 대해 흥정할 유인을 만들어야 함. 보이지 않고 알려지지 않은 내 데이터는 내 자산이고, 그 금전적 가치를 지켜야 함
    아무나 암호화폐 거래소 같은 걸 팔아넘기지 않으리라 믿을 수 없으니, 수동 암호화폐 거래소처럼 작동하는 기술을 만들어야 함. 돈이 보이는 순간 개발자가 비상줄을 당겨 기술을 파괴할 수 없게 해야 함
    핵심은 수동 소프트웨어임. 자동화되는 순간 기술 변화에 맞춰 누군가 개발자가 계속 붙잡고 있어야 함. 한 사람이 만들어 놓고 손을 뗀 뒤에도 존재하는 암호화폐 소프트웨어가 중요함
    그 위에 평범한 철학적·구조적·관계 관리 아이디어를 쌓을 수 있음
  • 평범한 사람은 현대의 글로벌 자본·데이터·무기 흐름을 이해할 희망이 거의 없음
    예전에는 동네 가죽 무두장이가 마을 상수원을 오염시키면 직접 가서 그만두라고 말할 수 있었고, 안 들으면 그다음 조치를 취할 수 있었음
    지금은 실제로 무슨 일이 벌어지는지 아는 사람들은 그 일에서 가장 많이 이익을 얻는 사람들이고, 멈출 유인이 없음

• 사실 현재의 카드 결제 사업자들은 전부 퇴출돼야 함. Mastercard와 Visa 두 회사가 전 세계 고객 지출을 사실상 장악하고 있음
  이들은 은행이 기술적으로 21세기를 따라잡는 것도 막았고, 아직도 즉시 온라인 결제가 제대로 없는 곳이 많음. 은행업의 많은 문제는 이 카드 결제 사업자들로 거슬러 올라갈 수 있음
  대안이 필요하고, 은행 수만큼 많아야 함. 모든 은행이 카드 결제 사업자이자 온라인 결제 게이트웨이 사업자가 되어야 함

  • 전 세계는 아니고, 이건 주로 미국 얘기에 가까움. 유럽은 말한 모습에 더 가까워서 은행이 카드 결제 사업자 역할을 하고, 거의 즉시 온라인 이체도 가능함. 여기서는 신용카드가 상대적으로 중요하지 않음
  • 은행은 이미 결제를 처리하고 있음. 은행 ATM에 신용카드를 넣으면 그 ATM은 은행이 관리하고, 은행 서버에 연결되어 승인과 처리가 은행에서 이뤄짐
    Visa와 Mastercard는 다른 은행과의 연결을 제공함. 다른 은행 ATM에 카드를 넣거나, 다른 은행과 연결된 가맹점에서 결제할 때 필요함
    Visa/Mastercard 독점을 없애려면 모든 은행이 모든 다른 은행과 연결해야 하는데, 은행들은 그렇게 하고 싶어 하지 않음. 행정 지옥이 될 테니 오래도록 이 둘을 받아들인 것임. 은행 입장에서 이들은 Google 같은 존재이고 편리함
    대안은 모든 은행의 합작회사 같은 형태일 수 있음. 은행 수수료는 줄겠지만 은행이 마진을 가져가므로 고객에게 이익은 없고, 여전히 프라이버시 지옥일 것임
    또 다른 대안은 공공 인프라임. 하지만 결제 데이터를 정부에 넘기는 것도 많은 사람에게 불편할 수 있음
  • 적어도 유럽에는 은행 간 즉시 온라인 이체가 있음. 그래도 양대 독점 구조는 나쁨. 물론 신용카드 회사의 프라이버시 상황은 미국만큼 나쁘지는 않음
    여기에는 더 많은 규제와 정부 감독이 필요하다고 봄. 유럽에서도 그렇고, 특히 “자유의 땅”에서는 더더욱 필요함
  • 인도에는 UPI, 중국에는 WeChat Pay와 AliPay, 러시아에는 MIR이 있고, 러시아는 5년쯤 전 국내 결제에서 Visa/MC를 사실상 몰아냈음. 더 얄미운 건 이 시스템들이 모두 즉시 온라인 결제를 지원한다는 점임
    일본에는 JCB도 있고, 아프리카와 라틴아메리카 국가들도 자체 시스템이 있다고 들었음. 여기서 말하는 “세계”는 꽤 좁은 세계임

• Mastercard의 거부 페이지가 여기 있음: https://www.mastercard.us/en-us/vision/corp-responsibility/c...

  • “데이터 분석 수행을 위한 개인정보 익명화에서 빠지려면 Mastercard 또는 Maestro 결제 카드 번호를 제공하라”는 문구가 있음
    이게 익명화 거부이지 개인정보 수집 거부는 아니라는 뜻인가? 표현을 확실히 개선해야 할 것 같음
  • 여기에도 “예, 하지만”이 있음
    “귀하가 이러한 권리를 행사한다고 해서 상품 또는 서비스 제공을 거부하거나, 다른 가격을 부과하거나, 다른 품질 수준을 제공하지 않습니다. 단, 다른 가격 또는 품질 수준이 귀하로부터 받는 데이터의 가치와 합리적으로 관련된 경우는 예외입니다. 경우에 따라 특정 권리를 행사하면 요청한 상품 또는 서비스를 제공하지 못할 수 있습니다”
  • 결국 my data 계정을 만들었음. 내가 가진 Mastercard 브랜드 카드 2장에 대해 MC가 무엇을 수집했는지 궁금함. 그중 하나는 사용자 프라이버시 보호를 광고하는 Apple Card임
    보고서를 받으면 삭제를 요청할 예정임
  • 이건 말도 안 됨. 발급사를 통해 처리되어야 함. Mastercard가 여러 장 있고, 온라인 지갑용 변형까지 있어서 카드 번호가 전부 다름
    기억으로는 내 Apple Card에도 최소 4~5개 번호가 연결돼 있음. iPhone, 웹 Apple Pay, Watch, 실물 카드, 아마 MacBook까지 있음
  • Visa도 같은 일을 하나? 거기도 거부 선택지가 있나?

• Mastercard가 Visa나 Discover보다 더 나쁜지 궁금함. 건강한 경쟁 시장은 아니지만 선택지는 있으니, 특정 회사를 쓰려고 노력해야 하는지 알고 싶음

  • 2018년쯤 Bloomberg 보도에 이런 내용이 있었음
    “지난 1년 동안 일부 Google 광고주는 온라인에 집행한 광고가 미국 오프라인 매장 판매로 이어졌는지 추적하는 강력한 새 도구에 접근할 수 있었다. 그 통찰은 Google이 비용을 지불한 Mastercard 거래 데이터 비축분 덕분이기도 했다…”
    “하지만 20억 명에 달하는 Mastercard 보유자 대부분은 이런 배후 추적을 알지 못한다. 두 회사가 이 합의를 대중에게 알리지 않았기 때문이다… 이전에 보도되지 않은 이 거래는 Google 같은 기술 기업이 얼마나 많은 소비자 데이터를 조용히 흡수하는지에 대한 더 넓은 프라이버시 우려를 낳을 수 있다”
    https://www.bloomberg.com/news/articles/2018-08-30/google-an...
    https://archive.vn/SLmFw

• 유럽에 있으면 이게 문제가 될까?
  그래도 일단 거부는 했음. 나에게는 적용되지 않을 수 있다는 언급이나, 아무 조치도 안 된다는 보장은 없었음

• 그래서 유럽이 데이터 프라이버시 법을 통과시킨 것임

  • GDPR뿐 아니라 결제 지침 PSD2도 있음

• 이 말은 Visa, AMEX, Discover는 우리 데이터를 팔지 않는다는 뜻인가?
  동의는 하지만, 특정 카드 회사를 선호해야 하는지 궁금함

  • 미국의 4대 결제망 중 데이터를 팔지 않는 곳은 없음
    쓰는 곳마다 거부 신청하는 게 최선임
  • 이 회사들에서 “언제 MC가 하는 걸 우리도 시작할 수 있을까”를 논의하는 회의가 없었거나 없다고 하면 놀랄 것 같음

• 공교롭게도 오늘 일회용 선불카드를 찾아보고 있었음. 100달러짜리 카드 몇 장을 사서 준익명 거래에 쓰면 되겠다고 생각했음
  그런데 찾을 수 있었던 건 나와 쉽게 연결될 수 있는 선불 “직불카드”나 특정 매장 “기프트카드”뿐이었음
  미국에서 쓸 만한 좋은 해결책이 있는지 궁금함

  • 대부분의 위협 모델에는 Visa Vanilla가 꽤 실용적임. 여러 매장의 보안카메라를 통해 광고 표적화를 더 하려는 조직들이 있다는 건 알지만, 현금으로 Visa Vanilla 기프트카드를 사고, 온라인으로 활성화한 뒤, 거의 모든 오프라인 매장과 많은 온라인 소매점에서 신용카드처럼 쓰는 데는 큰 문제가 없을 것임. 그 수준의 추적이 걱정되면 VPN 같은 걸 쓸 수 있음
    잠재적 결함은 몇 가지 있음. 예전에는 1~5% 정도 비용이 붙었는데 요즘은 모르겠음
    이건 철통 같은 익명성이 아님. 러시아를 방문하는 공개적인 게이 우크라이나 해커 활동가 기자 같은 상황이라면 쓰면 안 됨
    일부 조직은 합리적인 사람이 최초 거래에서 예상할 범위를 넘어서는 데이터를 빨아들일 수 있어야만 거래하려고 함. 많은 온라인 계정, 특히 한동안 Facebook은 선불폰으로 가입할 수 없었는데, 특정 후불 요금제가 아니면 주소와 기타 정보를 빨아들이기 어렵기 때문임. 카드 발급사로부터 주소와 구매 습관을 사려는 곳에서는 어떤 준익명 카드도 쓸 수 없을 수 있음
    privacy.com 같은 해결책은 여기에 해당할 수도 있음. 이름·주소 등을 실제로 익명화하면서도 그 데이터를 돈으로 만들려는 대부분 사이트를 쓸 수 있기 때문임. 하지만 근본적으로는 같은 데이터를 가진 중개자를 하나 더 만드는 것이고, 결국 언젠가 팔려나갈 것이라 예상함. 게다가 은행 계좌 원자료 접근권 등 넘기고 싶지 않을 수 있는 것들도 갖게 됨
  • Privacy.com이 이 용도로 꽤 괜찮음
  • 현금은 써봤나?

• 사람들은 할인과 맞바꾸는 순수한 데이터 제공 장치인 별도 포인트 카드도 기꺼이 씀. 그런 카드가 시간이 지나며 덜 인기 있어진 유일한 이유는 Mastercard, Visa, Amex가 그런 제품을 불필요하게 만들었기 때문임
  지금도 99%는 현금으로 결제할 수 있고, 이를 바꾸려는 시도는 가난한 사람이나 은행 계좌가 없는 사람을 차별한다는 이유로 상당한 정치적 저항을 받음. 그래서 “거래 조건이 싫으면 그냥 그 제품을 안 쓰면 되지 않나”라는 논리는 현재로서는 놀라울 정도로 강한 논리임
  사회가 진짜 무현금화되면 다시 다뤄도 됨. 지금은 내가 목숨 걸 언덕은 아님. Mastercard는 이 금광을 놓기 전에 피눈물을 흘릴 것임. 오히려 더 추악한 건 가맹점 수수료와 신용카드 회사들이 가진 사실상의 가상 독점매수력이라고 봄

  • 지난 주말에 Air Force Academy 축구 경기장에 갔음. 경기장 곳곳의 음성 안내와 표지판이 Falcon Stadium을 현금 없는 장소라고 알리고 있었음

• “Mastercard가 ‘고가치’로 판단하는 카드 보유자, 즉 특정 사람을 겨냥해 더 많은 지출을 유도하는 데 쓰이는 예측”이라는 부분이 이해가 안 됨
  영국에 있어서 그런지 모르겠지만, 내 은행이 Mastercard를 발급하므로 Mastercard와 직접 관계가 없음. 그들이 나를 어떻게 표적으로 삼을 수 있나?

  • 무언가를 결제할 때마다 Mastercard 결제망을 쓰고 있음. 그들은 내 모든 거래를 보고 기록함. Mastercard는 내 은행에 가맹점 은행으로 돈을 보내라고 알리는 주체임
  • 걱정되는 건 가맹점이 내 개인 데이터 평가에 따라 더 높은 가격을 제시하는 상황임
    예전에 휴가 예약을 할 때, 아내가 바로 옆에 앉아 노트북으로 같은 호텔을 보는데 더 높은 가격이 뜬 적이 있음. 쿠키를 지우자 깨끗한 컴퓨터에서 내가 받은 가격과 같아졌음
    몇 년 전 일이니 지금은 쿠키보다 브라우저 지문으로 잠재 고객을 식별할 가능성이 높고, 그래서 방어가 더 어려울 것임
    애초에 누가 자기 은행이나 결제망이 더 높은 가격 책정에 공모하길 바라겠나?