미국 캘리포니아주에서 학생들의 개인정보를 수집하는 교육 기술 기업들을 대상으로 한 새로운 규제 법안이 추진되고 있다.

캘리포니아주는 온라인 시험 감독부터 과제 제출, 학교 스포츠팀 관리, 통학 버스 경로 안내, 학생 건강 기록 유지에 이르기까지 학생 생활의 모든 측면을 디지털화하려는 기술 기업들로 넘쳐나고 있다. 하지만 학생 데이터 보호를 위한 주법에 허점이 존재해 많은 기업이 학생 개인정보를 가공하고 판매할 수 있는 상황이라고 캘리포니아 기반 비영리 뉴스매체 칼매터스가 보도했다.

캘리포니아주 민주당 소속 던 애디스 하원의원은 올해 학생 보호를 강화하는 법안을 발의했다. 애디스 의원은 "트럼프 행정부가 캘리포니아 주민의 이민 신분, 성 정체성, 공공 복지 사용 등에 대한 데이터를 수집하려는 시도를 하고 있는 만큼 이 법안이 중요하다"고 말했다.

캘리포니아주는 2014년 기술 기업이 학생 데이터를 판매하거나 광고 타겟팅에 사용하는 것을 금지하는 획기적인 학생 개인정보 보호법을 통과시켰다. 2018년에는 모든 기업이 캘리포니아 사용자에게 데이터 수집 거부권과 일부 정보 삭제권을 부여하도록 요구하는 법안도 통과됐다.

그러나 기술이 진화하고 확산되면서 개인정보 보호법은 학생 보호에 반복적으로 실패했다고 애디스 의원은 설명했다.

애디스 의원이 발의한 법안 AB 1159는 인공지능(AI) 기업의 학생 데이터 사용을 제한하고 대학생을 위한 새로운 데이터 보호 장치를 만드는 내용을 담고 있다. 이 법안은 2014년 교육 개인정보 보호법의 특정 허점을 막는 것을 목표로 하지만, 전문가들은 기업의 학생 데이터 판매를 완전히 막기에는 부족할 수 있다고 지적했다.

스탠퍼드대 인공지능연구소의 개인정보 및 데이터 정책 연구원인 젠 킹은 기업이 사용자 데이터를 수집하고 거부를 방해하는 수법을 연구하고 있다. 그는 자신의 12세 아들이 소속된 크로스컨트리팀 코치들이 사용하는 팀스냅이라는 플랫폼에서 개인정보 요구를 받은 경험을 전했다.

킹은 "부모인 내 생년월일은 필요 없다"며 "일부 개인정보는 코치에게 유용할 수 있지만, 다른 질문들은 데이터 중개업체와 광고업체에 정보를 판매하기 위해 설계된 것으로 보인다"고 말했다.

팀스냅의 개인정보 보호 정책은 지난 12개월간 "금전적 대가를 받고 소비자 개인정보를 판매한 적이 없다"고 밝혔지만, "쿠키 및 기타 추적 기술 사용은 캘리포니아 개인정보 보호법상 개인정보 판매로 간주될 수 있다"고 인정했다. 광고업체와 마케팅업체에 판매된 정보에는 사용자 이름, 연락처, 구매 기록, 위치 정보가 포함됐다고 정책은 밝혔다.

캘리포니아 개인정보 보호법은 특정 대형 영리 기업이 16세 미만 사용자로부터 데이터를 수집할 때 동의를 받도록 요구한다. 하지만 교사나 코치가 학생에게 특정 웹사이트나 앱 사용을 지시하면 학생은 현실적으로 거부할 수 없다고 킹은 지적했다.

2014년 캘리포니아는 미국에서 처음으로 교육 기술 기업을 직접 규제했지만, 선구자가 되는 데는 단점이 있었다. 비영리단체 공익개인정보보호센터의 아멜리아 밴스 소장은 "우리에게는 모범 사례의 예가 없었다"고 말했다. 이 법은 "주로" 유치원부터 고등학교까지(K-12) 학교를 대상으로 하며 학생용으로 설계되고 마케팅되는 제품에만 적용된다.

많은 기술 기업은 자사 제품이 주로 학생용이 아니거나 적어도 학생용으로 설계·마케팅되지 않았다고 주장한다. 외국어 학습 앱 듀오링고는 학교용 버전이 있지만 성인에게도 인기가 있다. 과외 프로그램이나 스포츠팀을 위한 앱이나 기술은 교실용으로 설계·마케팅되지 않았거나 사용이 필수가 아니라고 주장할 수 있다고 밴스 소장은 설명했다.

애디스 의원의 법안은 주 학생 개인정보 보호법 적용 대상 교육 기술 기업 수를 확대하지만, 수업 외에 사용되는 앱이나 온라인 서비스에 대한 표현은 모호하다.

캘리포니아주립대 시스템은 지난해 챗GPT를 운영하는 오픈AI와 약 1700만 달러 규모의 계약을 체결하면서 해당 기업이 학생 데이터로 모델을 훈련하지 않도록 하는 합의를 포함시켰다. 법안 지지자들은 학생 학군이나 대학과 합의가 있든 없든 캘리포니아 학생 데이터에 접근하는 모든 AI 기업에 동일한 개인정보 보호 제한이 적용돼야 한다고 주장한다.

애디스 의원의 법안은 학생과 학부모가 특정 경우 개인정보 침해로 기술 기업을 고소할 수 있는 권리를 포함한다. 기업과 기술 단체들은 새 규제와 소송권이 AI 기반 학습 도구에 대한 투자를 위축시킬 것이라며 법안에 반대하고 있다.

캘리포니아 법무장관 롭 본타 사무실은 지난 11월 학생 진도를 추적·평가하는 데이터를 사용하는 교육 기술 기업 일루미네이트에 대해 코네티컷·뉴욕과 협력해 510만 달러의 합의금을 받아냈다고 밝혔다. 이 기업은 데이터 유출로 43만4000명 이상의 캘리포니아 학생의 민감한 정보를 노출시켰다.

이는 캘리포니아가 2014년 획기적인 교육 개인정보 보호법 위반으로 기업을 처벌한 첫 사례였다.

킹은 소비자에게 소송권을 부여하는 것이 집행을 강화하는 유일한 방법인 경우가 많다고 말했다. 그렇지 않으면 개별 소비자가 우려스러운 관행을 찾아 거부하려고 노력해야 한다는 것이다.

데이터 개인정보 보호 전문가임에도 불구하고 킹은 처음에 팀스냅 계정을 삭제하는 방법을 찾는 데 어려움을 겪었으며, 나중에야 회사에 이메일을 보내야 한다는 사실을 알게 됐다고 전했다. 그는 고객을 가두는 이런 전략을 학계에서는 "바퀴벌레 모텔"이라고 부른다며 웃었다.

"들어갈 수는 있지만 절대 나갈 수는 없다"고 그는 말했다.

한편 캘리포니아주 노동연맹은 이 법안을 지지하고 있으며, 캘리포니아 상공회의소와 많은 대형 기술 기업을 대표하는 업계 단체 테크넷은 반대하고 있다. 2024년 이 두 단체는 주 의원에 대한 선거 기부금이나 기타 정치 활동에 합쳐서 약 800만 달러를 지출했다고 칼매터스 디지털 민주주의 데이터베이스는 전했다.