By VARSHA BANSAL, WIRED UK

뉴델리 공공 정책 컨설턴트인 프라산토 K. 로이(Prasanto K. Roy)에게는 걱정거리가 있다. 로이는 2017년, 온라인 거짓 정보 확산 억제 노력을 펼치는 인도 사실 검증 기관인 알트뉴스(Alt News)에 정기 기부금을 보내기 시작했다. 그러나 알트뉴스는 7월 5일(현지 시각) 자로 기부금 이체 지원 서비스로 선택한 인도 결제 플랫폼 라조르페이(Razorpay)가 2022년 6월, 알트뉴스 공동 창립자 모하메드 주바이르(Mohammed Zubair)를 체포 당시 뉴델리 경찰국에 기부자 데이터를 공유한 사실을 공지했다.

이제 로이는 라조르페이 사용을 망설인다. 그는 자신을 포함한 라조르페이의 사용자 데이터를 관리하는 여러 테크 기업이 당사자 동의 없이 법률 집행 기관에 사용자 데이터를 건넬 것을 우려한다고 밝혔다. 이어, “결제 서비스 기업이 경찰의 과도한 요구에 따라 기부자 데이터베이스를 경찰에 넘긴다면, 경찰이나 사용자 데이터베이스에 접근할 수 있는 여러 법률 집행 기관이 악용할 수 있다. 인도는 아직 프라이버시 보호법도 확실히 갖추지 않았다”라고 설명했다.

라조르페이가 경찰과 공유한 사용자 데이터 범위는 여전히 불확실하다. 알트뉴스는 기부자 정보 중 연락처와 이메일 주소, 세금 식별 번호 등이 포함되었다고 공지했다. 어느 한 경찰 관계자는 현지 매체인 힌두스탄타임스에 뉴델리 경찰이 알트뉴스 데이터를 재확인하려 여러 은행 기관을 통해서도 기부자 데이터를 수집했다고 밝혔다.

뉴델리 경찰의 알트뉴스 기부자 데이터 조사는 알트뉴스가 해외에서 기부금을 받은 적이 있는지 확인할 목적으로 진행 중인 철저한 수사 과정의 일부로 드러났다. 알트뉴스 모기업이 파키스탄과 시리아 등 일부 국가에서 기부금을 받았다는 뉴델리 경찰국의 주장 때문이다. 6월 27일(현지 시각), 알트뉴스 공동 창립자인 주바이르는 2018년에 종교적 정서에 해를 가한 트윗을 게재한 적이 있다는 혐의로 체포됐다. 또, 주바이르는 비영리단체가 해외 기부금을 받는 것을 제한하는 인도 해외 기부 규제법(Foreign Contribution Regulation) 시행 당시 규정을 위반했다는 혐의로도 조사를 받고 있다.

주바이르 체포 소식 이후 많은 인도인이 경찰의 인터넷 자유 억압을 우려하는 가운데, 세계 최대 규모 민주주의 국가인 인도의 개인 프라이버시 보호 법률 망이 제한되었다는 사실도 강조하였다. 현재 인도에는 종합 데이터 보호법이 없다. 여가와 커뮤니케이션, 상거래 등 여러 목적으로 인터넷을 사용하는 시민이 증가하는 가운데, 위험성이 더 커지는 상황이다. 보스턴 컨설팅 기업(Boston Consulting Group)은 2026년이면, 이미 3조 달러 가치를 기록한 인도 디지털 결제 시장이 10조 달러 규모로 성장할 것으로 전망한다.
 
라조르페이는 알트뉴스에 먼저 알리지 않고 경찰에 기부자 데이터를 넘긴 탓에 SNS에서 대중의 집단 반발과 보이콧 위협을 직면했다. 로이는 “다수 기부자와 펀드 지원 기관이 라조르페이를 다시 사용하지 않을 것이라고 선언했다. 나도 사실을 알게 된 후 가장 먼저 라조르페이를 사용하지 않겠다는 의사를 밝혔다”라며, 다른 기업도 경찰의 압박 때문에 데이터 보호 관행이 무너졌을 가능성을 언급했다.

라조르페이가 트위터를 통해 공개한 공식 성명은 알트뉴스를 언급하지 않았다. 이어, 경찰국과의 데이터 공유는 “수사 진행 범위 내에서만 제한적으로 이루어졌다”라고 밝혔다. 라조르 페이 CEO 하실 마투르(Harshil Mathur)는 경찰이 해외 기부자가 있는지 확인하려 했으며, 기부자의 세금 식별 번호와 주소는 공유하지 않았다고 주장했다. 라조르페이는 와이어드의 의견 공유 문의에 답변하지 않았다. 알트뉴스 공동 창립자 프라틱 신하(Pratik Sinha)는 인터뷰 요청을 거절했다.

인도 경찰은 형사절차규정(Criminal Procedure Code) 제91조에 따라 라조르페이의 데이터를 확보했다. 해당 규정을 이용해 법률 집행 기관 당국 관료가 현재 진행 중인 수사와 관련된 문건이나 데이터를 찾을 수 있다. 그러나 다수 형사법 전문 변호사는 와이어드에 형사 절차 규정의 유연한 권리를 상당 부분 부여해, 과도한 정보 사용이나 악용 사례가 발생할 여지가 있다고 설명했다.

뉴델리 형사법 전문 변호사 아브히나브 세키리(Abhinav Sekhri)는 “경찰은 형사 절차 규정 제91조를 근거로 형사 사건 질의 도중 누구에게나 어떠한 정보든 요청할 수 있다. 표준 수사 수단이기도 하다”라며, “많은 기업이 경찰의 데이터 공유 요청을 받는 것이 일상이 되었다. 경찰의 데이터 공유 요청을 거부한다면, 상당한 대가가 따르므로 어쩔 수 없이 경찰이 요구하는 데이터를 넘겨줄 수밖에 없다”라고 설명했다. 세키리 변호사는 경찰의 요구 거부 시 발생하는 여파 중 하나는 기업 경영진의 형사 대응 직면과 징역형 선고 가능성 등이라고 덧붙여 전했다.

반면, 금융 기술 전문가 다수는 라조르페이가 경찰의 알트뉴스 기부자 데이터 공유 요청을 거부해도 뉴델리 경찰국이 결제 시스템 생태계 내 다른 기업을 통해 데이터를 손에 넣었을 확률이 높다고 본다. 인도 소비자의 디지털 결제 인식 연구 협동 기관인 캐시리스 컨슈머(Cashless Consumer)를 운영하는 연구원 스리칸트 락쉬마난(Srikanth Lakshmanan)은 “결제 출처와 최종 전송 기관 정보 모두 결제 생태계 체인 전 영역에 걸쳐 보관하게 된다. 라조르페이 이외에도 카드 발급 기관과 인수은행, 결제 네트워크 기업 등도 알트뉴스 기부자 정보를 보관한다”라고 말했다.

경찰의 광범위한 데이터 수집 및 공유 관행 탓에 인도 디지털 결제 프라이버시 보호가 거의 불가능하다. 락쉬마난 연구원은 “인도 디지털 결제 서비스 업계의 프라이버시 보호는 존재하지 않는다”라고 언급했다. 외부 공유와 유출 데이터를 손쉽게 택할 수 있어, 전 세계 프라이버시 보호가 매우 어려운 상태가 된다. 그러나 락쉬마난 연구원은 인도의 중앙화 생체 신원 시스템인 아드하르(Aadhaar) 때문에 프라이버시 보호 수준이 더 취약해질 수 있다고 지적했다. 그는 “데이터세트 전체가 상호연결돼, 개인 프로필 생성 정보가 더 풍부한 인도에서는 더 많은 개인 정보를 찾기 쉽다”라고 말했다.

** 위 기사는 와이어드UK(WIRED.co.uk)에 게재된 것을 와이어드코리아(WIRED.kr)가 번역한 것입니다. (번역 : 고다솔 에디터)

<기사원문>
A Privacy Panic Flares Up in India After Police Pull Payment Data