체르 스칼렛(Cher Scarlett)은 자신의 가문 족보를 조사하면서 테일러 스위프트가 두 세대에 걸쳐 연락이 끊긴 자신의 11번째 사촌이라는 사실을 발견했다. 그러나 스칼렛은 테일러 스위프트와의 관계가 족보 확인 중 알게 된 가장 충격적인 사실이 아니라고 말한다. 워싱턴 커클랜드 지역에 거주하는 소프트웨어 엔지니어이자 작가인 스칼렛은 “족보와 관련하여 조상이 없었더라면 알지 못했을 기이하면서도 이상한 사실을 여럿 접할 수 있다. 나는 어머니의 조부모의 출신 지역도 모른다”라고 밝혔다.
스칼렛은 족보를 조사할 때 미국의 대표적인 족보 조사 기업인 앵세스트리(Ancestry) 웹사이트에만 의존하지 않았다. 2022년 2월, 스칼렛은 안면 인식 검색 엔진 핌아이스(PimEyes) 웹사이트에서 자신의 동의 없이 얼굴이 분명하게 드러난 19세 시절의 사진을 보유한 사실이 드러나자 수십 년 동안 겪어온 후유증이 재발했다고 전했다. 스칼렛은 인터넷에서 이미지를 마구 수집하여 개인의 생체 안면 데이터를 생성한 핌아이스 플랫폼에서 자신의 사진을 삭제하고자 했다. 이후 스칼렛은 핌아이스 웹사이트에 자신의 사진이 다시 등장하지 않도록 여러 차례 확인했다.
2023년 1월, 스칼렛은 핌아이스에 앵세스트리 웹사이트에 등록된 아동 사진으로 보이는 사진 여러 장이 다시 등록된 것을 확인했다. 스칼렛은 실험 목적으로 핌아이스 플랫폼에서 자신의 신생아 시절 흑백 사진 중 한 장을 검색했다. 이후 검색 결과로 어머니가 신생아 시절일 때 조부모의 팔에 안긴 채로 촬영한 사진 한 장을 발견했다. 이때 스칼렛은 어머니의 옛 사진이 앵세스트리 웹사이트에 게재되었을 것이라고 판단했다. 더 깊이 파고들자 앵세스트리가 출처인 것으로 추정되는 다른 친척의 사진도 여러 장 발견했다. 스칼렛이 발견한 사진 중에는 1800년대 촬영한 듯한 고조할머니의 증조할머니 모습이 담긴 흑백 사진과 2018년, 30살에 사망한 스칼렛의 언니 사진도 있었다. 모두 스칼렛의 디지털 추모 웹사이트인 앵세스트리와 앵세스트리가 소유한 공동묘지 기록 검색 웹사이트인 파인드 어 그레이브(Find a Grave)가 사진 출처인 듯했다.
스칼렛은 핌아이스가 자사 데이터베이스의 더 풍부한 검색 결과를 목적으로 고인의 사진을 수집했다고 주장한다. 핌아이스 알고리즘은 고인의 얼굴 특징 정보를 나열하고, 조상과의 관계를 통해 살아있는 가족의 사진을 찾아내도록 한다. 이 때문에 윤리적 문제는 물론이고 프라이버시와 데이터 보호 우려가 제기되었다.
스칼렛은 “언니는 고인이 되었다. 언니는 핌아이스의 사진 수집과 사용에 동의하거나 번복할 수 없다”라고 말했다.
앵세스트리 대변인 캐서린 와일리(Katherine Wylie)는 와이어드와의 인터뷰에서 앵세스트리 고객이 가계도를 포함한 개인 데이터 소유권과 관리 권한을 유지한다고 전했다. 또, 앵세스트리의 사용 약관에는 “앵세스트리의 웹사이트와 서비스에 등록된 사진을 포함한 데이터 수집은 물론이고, 앵세스트리에서 발견한 콘텐츠나 정보 재판매, 재생성, 게재 행위 모두 금지한다”라는 조건이 명시되었다고 설명했다.
핌아이스 책임자 조지 고브로니즈(Giorgi Gobronidze)는 와이어드에 “핌아이스는 이미지 수집을 공식 허가한 웹사이트에서만 이미지 데이터를 수집한다. 핌아이스 데이터 수집 담당자가 규정을 위반했다는 보도 내용은 불쾌하다”라고 주장했다. 고브로니즈는 핌아이스가 앵세스트리의 도메인을 차단하고, 그와 관련하여 나열된 정보를 삭제했다고 덧붙여 전했다.
앵세스트리의 데이터베이스는 갈수록 범위가 확장되는 족보학 업계의 최대 데이터베이스이다. 앵세스트리는 사진과 공공 기록 문서를 포함한 기록 총 300억 개 이상 보유했으며, 2,000만여 명의 데이터를 제공한다. 사용자는 가계도 제작 목적으로 앵세스트리의 데이터 기록을 사용할 수 있다. 사용자가 앵세스트리에 가계도를 공개할 때마다 앵세스트리에 등록한 사용자 누구나 가계도에 포함되는 후손의 사진을 볼 수 있다. 다만, 가계도 제작자가 특정 계정의 접근을 허용하기 전까지 가계도 구성원 중 살아있는 이의 사진을 볼 수는 없다. 사용자는 프로필 정보 중 공개 대상과 비공개 대상을 직접 지정할 수 있다. 프로필 정보 중 공개한 정보는 앵세스트리 구성원이 검색할 수 있다.
핌아이스는 자사 서비스를 사용자가 온라인 존재를 확인할 수 있는 수단이라고 주장한다. 사용자에게 플랫폼 내 사진 검색 서비스 비용 20달러를 청구하며, 여러 차례 검색하고자 할 때는 월 청구 금액을 30달러로 인상한다. 또, 미래 검색 결과에서 특정 사진을 제외하고자 할 때는 월 청구 금액을 80달러로 대폭 인상한다.
[사진=Freepik]
핌아이스는 과거에는 SNS에서 이미지를 검색했으나 지금은 공개적으로 접근할 수 있는 출처에서만 이미지를 수집한다. 또, 아동 사진 수집으로 비판 대상이 되기도 했다. 또, 스토킹과 학대가 수월해지도록 일조한다는 점에서 비난 대상이 되었다. (2022년 1월 자로 핌아이스를 인수한 고브로니즈는 비판 여론 모두 자신이 핌아이스를 인수하기 전 형성되었으며, 인수 후에는 정책을 변경했다고 강조했다.)
디지털 권리 단체 액세스 나우(Access Now)의 수석 정책 애널리스트 다니엘 로이퍼(Daniel Leufer)는 “핌아이스가 종류를 떠나 모든 임의의 웹사이트에서 이미지를 마구 수집한다는 점은 분명하다. 특히, 고인의 사진을 수집하는 관행은 매우 암울하다”라고 말했다.
일반적으로 고인은 프라이버시 법률 보호 대상에 해당하지 않는다. 그러나 옥스퍼드 인터넷 연구소(Oxford Internet Institute)의 기술 및 규제 교수 샌드라 워처(Sandra Wachter)는 고인의 이미지와 데이터 처리는 자동으로 공정한 관리 대상에 적용되지 않는다고 말한다. 워처 교수는 “고인의 데이터 소유권을 보유한 이가 없다는 이유는 자동으로 누구나 데이터를 사용할 수 있다는 뜻이 아니다. 데이터 소유권자가 사망했다면, 사망 후 데이터 소유권을 물려받을 이를 찾아야 한다”라고 설명했다.
영국 뉴캐슬대학교 법률, 혁신, 사회학 교수 릴리안 에드워드(Lilian Edwards)는 유럽인권협약(European Convention of Human Rights)이 고인의 사진은 살아있는 이의 프라이버시 이익이 인정된다고 판결한 사실을 언급했다. 또, 에드워드 교수는 웹에서 당사자 동의 없이 살아있는 이의 사진을 수집하여 사용하는 행위가 유럽연합의 개인정보보호 규정(GDPR) 위반 사항에 해당한다고 지적했다. GDPR은 당사자 동의 없이 신원을 식별할 목적으로 생체 데이터를 처리하는 행위를 금지한다.
에드워드 교수는 “고인의 사진이 살아있는 이의 신원을 식별하는 결과로 이어질 확률이 있다면, GDPR 보호 대상이 될 수 있다”라고 설명했다. 이어서 GDPR 적용 대상에는 핌아이스가 수집한 사진 데이터와 앵세스트리의 정보 모두 해당한다고 덧붙여 전했다. 핌아이스는 유럽에서 서비스를 제공할 수 있다고 밝혔다. 따라서 GDPR 적용 대상에 해당한다.
스칼렛은 핌아이스의 기술이 누군가의 신원을 식별한 뒤 악의적인 개인 정보 유출이나 희롱, 학대에 악용될 위험성을 우려한다. 바로 복수 인권단체가 우려를 표한 부분이기도 하다. 스칼렛은 이미지 검색 과정을 반대로 적용하고 앵세스트리에서 수집한 가족사진을 세 번 클릭한 뒤 어머니의 성명과 주소, 연락처 모두 확인할 수 있었다고 밝혔다.
핌아이스는 자사 플랫폼이 프라이버시 툴임을 주장하지만, 사용자가 타인의 얼굴을 임의로 검색하는 행위를 중단할 방법은 거의 없다. 핌아이스의 홈 화면에는 사용자 본인의 얼굴만 검색할 의도로 설계되었음을 시사하는 안내 사항이 거의 없다.
고브로니즈는 와이어드에 핌아이스가 사용자의 불특정 다수 얼굴 검색 혹은 아동 이미지 검색을 막고자 2023년 1월 9일 자로 ‘다중 보안 프로토콜’을 적용했다고 전했다. 그러나 특정 비영리단체 여러 곳을 포함한 핌아이스의 협력 기관 모두 무제한 검색 허용 명단에 포함되었다. 고브로니즈는 핌아이스가 지금까지 차단한 계정 수는 총 201개라고 밝혔다.
그러나 와이어드가 당사자의 허락을 구한 뒤 스칼렛과 스칼렛의 어머니의 얼굴을 검색했을 때, 별다른 문제없이 같은 사진을 찾을 수 있었다. 또한, 온라인 메시지 게시판의 구독 서비스 사용자가 타인에게 온라인에서 발견한 여성 사진 검색을 요청한다는 증거도 발견했다.
고브로니즈는 핌아이스의 시스템이 여전히 훈련 과정을 진행 중이라고 주장했다.
스칼렛은 워싱턴주에서 지역 검찰에 핌아이스의 문제와 관련하여 소비자 불만을 제기했다. 스칼렛은 2022년 3월과 자신의 사진을 핌아이스 플랫폼에서 다시 발견한 2022년 10월, 총 두 차례에 걸쳐 사용자의 데이터를 핌아이스 시스템에서 제거한다고 두 차례 약속한 ‘배제’ 양식을 통해 데이터 삭제를 요청했다.
스칼렛의 어머니도 2023년 1월, 핌아이스에 데이터 삭제를 요청했다. 그러나 와이어드 조사 결과, 스칼렛과 스칼렛의 어머니 사진 모두 3월 1일까지 핌아이스 플랫폼 검색 결과에 등장한 사실을 확인했다.
고브로니즈는 스칼렛의 첫 번째 데이터 삭제 요청 이후 데이터 검색 결과 22건을, 두 번째 요청 이후에는 검색 결과 400건을 삭제했다고 주장했다. 또, 스칼렛이 삭제를 요청한 사진을 이용해 검색했을 때 핌아이스 데이터베이스에 스칼렛의 사진이 전혀 없다는 사실을 확인했다고 전했다. 그러나 사용자가 특정 사진 삭제를 요청한다면, 다른 사진이 등장할 수도 있다. 고브로니즈는 “삭제 엔진이 항상 100% 효율적으로 작업을 처리하는 것은 아니다”라고 덧붙여 말했다.
안면 데이터 사용 목적으로 웹 수집을 통해 데이터베이스를 구축하는 AI 기업 대상 법적 검토가 강화되는 추세이다. 주로 법률 집행 기관에 안면 인식 서비스를 판매하는 기업인 클리어뷰 AI(Clearview AI)는 일리노이즈주에서 집단 소송을 직면했으며, 영국을 포함한 유럽 전역에서는 데이터 보호 법률 위반 사항이 인정돼 벌금형을 선고받았다. 또, 영국 독립 감시 기구인 정보위원회(ICO)는 클리어뷰 AI에 영국 모든 거주자의 데이터 삭제 명령을 내렸다. 클리어뷰 AI는 법률 위반 사항을 부인하며, 유럽 데이터 보호법 적용 대상과 ICO의 사법 관할 대상 모두 해당하지 않는다고 주장했다.
2022년 11월, 영국 권리 단체 빅브라더워치(Big Brother Watch)는 ICO에 시민 데이터 불법 처리 문제를 제기하며, 핌아이스 고발장을 제출했다. 독일 데이터 보호 위원회는 핌아이스의 생체 데이터 처리 방식 소송 절차를 시작했다. 고브로니즈는 핌아이스가 ICO에 정보를 적극적으로 제출해왔다고 주장했다.
고브로니즈는 핌아이스 데이터베이스로 개인의 신원을 확립하는 일이 절대적으로 불가능하다고 주장한다. 그는 “핌아이스는 사진을 개인이 아닌 사진이 게재된 웹사이트 URL 주소와 연결하는 인덱스 데이터를 수집한다”라고 말했다. 또, 핌아이스 측은 사진 정보를 나열하지만, 이미지 자체를 저장하지는 않는다고 주장했다. 고브로니즈는 핌아이스가 사진 데이터를 처리하여 사진 속 인물의 신원 정보를 확립하지 않고 웹사이트 주소만 찾아낸다고 덧붙였다. 그는 “핌아이스는 인간의 정보를 식별하지 않고 URL만 확인한다”라고 강조했다.
그러나 로이퍼는 “핌아이스는 사진을 기반으로 개인의 신원 식별 과정이 가능하도록 하는 동시에 신원 확립이 수월해지도록 한다”라며, “핌아이스가 자체 웹사이트를 통해 직접 개인의 신원 정보를 제공하지 않는다는 주장은 맞지만, 웹사이트에서 제공하는 URL 링크를 클릭한다면, 사진 속 인물의 이름을 찾을 수 있다. 상당수 사례를 보면, URL 목록으로 사진 속 인물의 신원을 확인할 수 있을 것이다”라고 말했다.
스칼렛은 핌아이스 사진의 URL 링크 때문에 가족 전체가 프라이버시 위반 행위에 노출될 것을 우려한다.
스칼렛은 “그동안 앵세스트리가 설명한 목적인 나의 족보를 찾는다는 목적에 따라 앵세스트리 서비스를 사용했다. 나와 가족의 사진이 무단으로 수집돼 신원 정보를 발견하기 전까지는 앵세스트리 서비스가 흥미롭다고 생각했다. 앵세스트리에 사진을 등록하는 사용자 중 당사자도 모르는 사이에 혹은 무단으로 안면 인식 소프트웨어의 생체 식별 정보로 등록될 것을 아는 이는 없다. 프라이버시 위반 문제가 심각하다고 생각한다”라고 말했다.
** 위 기사는 와이어드UK(WIRED.co.uk)에 게재된 것을 와이어드코리아(WIRED.kr)가 번역한 것입니다. (번역 : 고다솔 에디터)
![[사진=Freepik]](/news/photo/202303/4639_6100_4613.jpg)
뉴스레터 신청