동의 없이 위치 데이터 판매가 합법이라는 Verizon의 주장이 법원에서 기각됨

• 법원은 Verizon이 고객 동의 없이 위치 데이터를 판매한 것이 합법이 아니라고 판결함
• Verizon은 위치 데이터 범위에 대한 법적 해석을 주장했지만, 법원은 고객 네트워크 정보에 위치 데이터가 포함된다고 봄
• Securus Technologies가 법 집행기관에 동의 없는 위치 데이터를 부적절하게 제공한 사실이 2018년 드러남
• Verizon은 벌금을 납부하며 배심원 재판 권리를 포기했으며, 이에 대해 법원은 선택의 결과로 판시함
• 미국 통신법과 증권법의 차이에 따라 FCC의 처리 방식이 적법했다는 점이 강조됨

---

판결 개요

• 법원은 Verizon이 고객에게 고지를 하거나 직접 동의를 받는 대신, 계약을 통해 이 기능을 대부분 위임했다고 밝힘
• 2018년 뉴욕타임즈의 보도로 Verizon 등 주요 통신사의 위치기반 서비스 프로그램의 보안 결함이 드러남
• Securus Technologies는 교정시설 통신 서비스 업체로서, 법 집행 당국이 영장이나 법적 문서만 업로드하면 고객의 위치 데이터에 무단으로 접근할 수 있도록 부당하게 프로그램을 운영함
• 미주리 주의 한 보안관은 제출 서류에 대한 검토 절차가 없어, 법적 절차 없이 고객 데이터에 접근 가능했음

법적 쟁점 및 법원의 판단

위치 데이터의 법적 해석

• Verizon은 ‘통신법 222조’가 음성 통화 위치 데이터만을 포함한다고 주장했으나
• 법원은 고객의 ‘고유 네트워크 정보’ 규정에 위치 데이터도 포함됨을 분명히 함
• 고객이 통신사와의 관계를 통해서만 제공하는 데이터가 해당된다는 점에서, 디바이스 위치 데이터 역시 규정에 들어간다고 명시함

Verizon의 벌금 납부와 배심원 재판 권리

• Verizon은 FCC의 벌금에 대해 배심원 재판권 침해를 주장했으나, 벌금 납부를 선택함으로써 이에 대한 권리를 스스로 포기한 것으로 판결함
• FCC가 벌금 부과 과정에서 검찰, 배심, 판사 역할을 모두 수행해 위헌이라는 타 미국 판결(AT&T)에 대한 의견과 달리
• 2차 항소법원은 통신법과 증권법의 차이를 들어 FCC의 행정절차가 적법했음을 강조함

Jarkesy 판결과의 구분

• SEC v. Jarkesy 판결에서는 증권 사기 행정벌에 대해 배심원 재판권이 강제된 사례가 있음
• FCC는 벌금만으로 즉시 금전 집행이 불가능하며, 집행엔 별도의 소송 절차가 필요하므로, 행정 벌금 결정만으로는 제7차 수정헌법상의 문제가 없다고 판시함

요약

• 이번 판결로 미국 내 통신사가 고객 동의 없는 위치 데이터의 판매는 불법이라는 중요 메시지를 다시 환기함
• 벌금 납부 및 항소 방식에 따라 행정기관의 처분에 대해 배심원 재판권이 어느 정도 보장되는지 기준이 마련됨
• 통신사, 위치 데이터, 프라이버시, 법적 해석 등 데이터 관련 스타트업과 IT업계에 시사점이 큰 판례임

[GN⁺]

Hacker News 의견

• Verizon이 이번 벌금에 이의를 제기한 이유는 실제 타격 때문이 아니라, 앞으로 법적 문제 없이 이런 행동을 할 수 있을지 테스트해보고 싶었기 때문임을 추측함
  Verizon은 최근 분기에서 90억 달러 이상의 수익을 올렸으며, 4천만 달러 벌금은 사업 비용에 불과함
  하지만 이용자 동의 없이 데이터를 판매한 경우 집단 소송이 왜 진행되지 않는지 의문임
  피해를 본 당사자의 권리는 어디에 있는지 궁금함
  관련 참조

  • 범죄에 대한 처벌이 단순히 벌금일 경우, 그건 사실상 돈 많은 사람이 법을 어길 수 있게 해주는 구독 서비스에 불과함
    벌금을 400억 달러 수준으로 높이면 어떤 일이 벌어질지 궁금함
    더 강한 조치가 필요하다면, 1년 내 벌금을 납부하지 않으면 미국 내 영업권을 12개월간 박탈하는 등의 제재도 생각할 수 있음
    부드럽게 대응하되, 실제로 고통을 주는 방법을 고민해봐야 할 문제임

  • 최근 분기 전체 수익도 중요하지만, 정확히 위치 데이터를 판매해서 얼마를 벌었는지 궁금함

  • Verizon은 통신사라서 규제를 받는 업계임
    요금제(tariff)로 보호받기 때문에 웬만하면 소송 자체가 불가능함
    집단 소송도 이런 회사를 상대로는 원천적으로 제기할 수 없음

  • 실질적으로 입은 피해가 무엇이었는지 궁금함

• 이런 보호가 자동차 회사, 모바일 앱, 모바일 OS에도 적용될지 궁금함
  위치 데이터가 데이터 브로커에게 흘러가는 여러 경로를 이미 셀 수 없이 보았음

  • 사실상 이러한 보호는 큰 의미가 없음
    계약을 위해 동의해야 하는 50페이지짜리 이용약관에 한 줄 더 추가하는 수준임

  • 이번 판결은 오직 "통신 서비스"를 제공하는 통신사에만 적용되는 오래된 법에 따른 것임
    "통신 서비스"란 용어조차 음성 통화 서비스만을 의미하고, 모바일 데이터나 SMS는 해당되지 않음
    과거 FCC가 인터넷 접속을 통신 서비스로 재분류하려고 했지만 법원에서 번번이 막혔던 전력이 있음

• 법원은 Verizon의 동의 없는 위치 데이터 판매가 불법임을 인정했지만, 이런 행위가 수익성이 없어야 한다고 판결하지 않았을 것 같음
  2018년에 법을 어긴 후 벌금보다 훨씬 많은 이익을 이미 냈을 거라 생각함
  지금도 다른 방식으로 여전히 데이터를 판매하고 있을 것임
  사실상 법 집행기관에 데이터 제공은 멈춘 적이 없었고, 형식적인 법원 명령이나 소환장만 있으면 판매가 계속 이뤄지고 있음

• 나는 이 부분이 마음에 듦

Verizon은 연방법원에서 배심원 재판의 기회가 있었지만 포기했음

• 이는 꽤 현명한 법적 전략일 수 있음
  동의 없이 위치 데이터를 판매하는 건 분명 비윤리적이고 불법으로 규정되어야 할 일임
  배심원이 있으면 정의적으로 판단해 불리하게 나올 가능성이 높으니, 판사에게 맡기면 법률적 기교로 유리한 결과가 나올 수도 있다고 봄
  이 행위는 형사 처벌, 즉 회사와 임직원에게 실형 등 강한 처벌로 나아가야 한다고 생각함

• 경찰이 범죄자를 심문하듯 이 회사를 바라보게 됨
  "잘못이 없다면 왜 이렇게 수상하게 행동하지, Verizon?"

• 의견문 원문 링크
  PDF 원문

• Sprint, T-Mobile vs FCC 관련 의견문
  원문 링크

• 이번 사건에서 Verizon이 패소하면, 아마 곧 "비즈니스 계약 조건상 위치 데이터 판매를 강요"하는 방식으로 바꿀 것이라 예상함
  한숨이 나옴

• 이들이 데이터 판매로 얼마 수익을 냈는지, 벌금과 비교해 어떻게 되는지 궁금함
  요즘 벌금은 그냥 사업 비용 항목의 하나일 뿐임

• 동의 없이 위치 데이터를 공유하면 요금을 더 싸게 해주는 플랜을 Verizon이 내놓는다면, 위치 데이터를 독(가짜 정보)처럼 속이거나 위조하는 방법이 뭐가 있을지 궁금함

  • 아마 GPS 스푸퍼 같은 게 쓰일 수 있을 것임