숏 폼(short form) 모바일 영상 플랫폼인 TikTok을 제공하는 기업인 ByteDance는 일반 소비자 대상 앱(consumer apps)을 제공하는 중국 기업 가운데 “글로벌 성공”을 달성한 최초의 기업이라고 평가받는다. TikTok은 8억을 넘는 월간 활성 이용자(MAUs, Monthly Active Users)를 보유하고 있으며, ‘20년 2월엔 App Store와 Google Play에서 앱이 다운로드 된 총 횟수(lifetime installs)가 20억에 달했다. TikTok 이용자의 41%는 16세에서 24세 사이의 “젊은 이용자”이다. TikTok 이용자는 매일 52분가량을 TikTok 콘텐츠 소비에 사용한다. 하루에 소비되는(=시청되는) 영상은 10억 개가 넘는다. 코로나19가 맹위를 떨치기 전인 ‘19년도 1분기에는 App Store에서 총 3,300만 다운로드를 기록하여 ‘전 세계에서 가장 많이 다운로드 된 앱’이라는 기록을 세워 세계를 놀라게 했다. ‘20년 1월 기준으로 TikTok은 전 세계에서 가장 많이 사용되는 소셜 플랫폼 7위를 기록하고 있다.

전 세계 75개 이상의 언어로 155개가 넘는 나라에서 이용되고 있는데, WhatsApp, WeChat, Facebook Messenger 등 메신저 플랫폼을 제외하는 경우 Facebook, Youtube, Instagram에 이어 4번째로 많은 월간 활성 이용자를 보유한 플랫폼인 것이다.^(1)(2)(3)

그런데, TikTok이 “제2의 화웨이”가 될 수 있다는 논란에 휘말렸다. 미국 Trump 행정부의 타겟이 된 것이다. TikTok에 대한 미국의 공격은 초기에는 아동 개인정보 침해에 집중되었다가, 점차 미국의 안보 이슈로 이동했다. 지난 7월부터 시작된 Trump 행정부의 공격은 이제 TikTok을 비롯하여 WeChat 등 다수 중국 기반의 온라인 서비스로 확대되어 가고 있다. 그런데, 과연 이와 같은 미국의 공격은 현존하고 임박한 위험(present and imminent risk)에 기반한 것일까? 미국 이용자의 정보를 중국에 전송하여 중국 공산당의 전 지구적 감시체계에 기여하고 있다는 TikTok을 향한 비판은 정당한 것일까? 이에 대해 간략히 살펴보고자 한다.

TikTok을 향한 비난의 초점. 그 추이

TikTok 서비스를 제공하는 중국 기반의 기업인 ByteDance는 지난 ‘19년도 2월, FTC에 $5.7 million(한화 약 650억원)의 합의금을 지불한 바 있다. 이는 TikTok의 전신이었던 Musical.ly가 미성년자 개인정보를 불법적으로 수집한 혐의에 대한 합의 조건의 일환이었다. Musical.ly가 미국의 아동 온라인 개인정보보호법(the Children’s Online Privacy Protection Act, 이하 “COPPA”)을 위반하여, 만 13세 미만 아동의 이메일 주소, 이용자명, 성과 이름, 전화번호, 프로필 사진 및 바이오 등 개인정보를 수집하면서 부모의 동의를 구하지 않은 점을 문제로 삼은 것이다. TikTok은 이로 인해 상당한 금액의 합의금을 지불한 것에 더하여 ▲향후 COPPA를 지속적으로 준수할 것과 동시에, ▲13세 미만 아동이 생성한 모든 비디오를 서비스에서 제거하는 등의 요구사항을 담은 동의 판결(consent decree)에 동의하기도 하였다.⁽⁴⁾

이와 같은 사례 외에도 TikTok의 COPPA 위반 주장은 지속해서 제기되고 있다. 미국 Illinois 주에서는 FTC의 동의 판결을 기반으로 한 COPPA 위반 소송이 제기되어, ByteDance가 $1.1 million의 합의금을 지불하는 방식으로 사안을 종결하기도 하였다. 올해 5월엔 ‘디지털 민주주의와 상업적 목적에서 자유로운 아동다움을 위한 행동센터(the Center for Digital Democracy and the Campaign for a Commercial-Free Childhood)’를 비롯한 프라이버시 옹호 단체들이 “만 13세 미만 아동이 2016년도에 포스팅한 영상을 (TikTok에서) 발견했는데, 뿐만 아니라 ByteDance는 신규 이용자의 부모 동의를 획득하기 위한 절차를 엄수하지 않는다.”고 주장하며 FTC에 ByteDance를 고발하기도 하였다. 이와 같은 고발은 ByteDance가 지난 4월 TikTok에 ‘Family Pairing’이라는 기능을 도입하여, 부모가 아동의 계정을 연동하여 메시지 기능을 비활성화하거나, 열람 가능한 콘텐츠를 제한하거나, 앱 이용 시간을 제한하는 등의 부모 통제를 강화한 직후에 접수된 것이라서 TikTok의 고민을 더욱 깊게 하고 있다.^(5)(6)(7)

초기엔 TikTok의 아동 개인정보 수집에 관한 프라이버시 침해 이슈에 머물렀던 미국 당국의 초점은 점차 다른 영역으로 확대되었다. 2019년 5월, The New York Times는 중국 정부가 ‘디지털 파놉티콘(digital panopticon)’ 구축을 통해 중국 사회 및 소수 민족에 대한 감시와 검열에 나서고 있다는 내용으로 게시한 기사를 통해 TikTok의 중국 버전인 “Douyin(抖音, ‘shaking sound’라는 의미)”이 중국 당국에 의해 대규모로 검열되고 감시되고 있다는 점을 지적하는 동시에, 이를 통해 수집된 데이터가 머신러닝 알고리즘을 통해 위구르 민족을 탄압하는 도구로 사용될 수 있다는 가능성을 제기하기도 하였다. 다만, 중국 당국이 Douyin을 활용하여 국내외 통신을 검열, 감시하는 데 사용했다는 ‘명시적 증거’는 존재하지 않는다며 TikTok의 데이터가 중국 당국의 감시 및 검열 목적으로 사용되는지는 다소 유보적인 견해를 표하기도 하였다.⁽⁸⁾

미국 외의 국가에서도 TikTok은 여러 지점에서 공격받고 있다. 2020년 6월 10일, 유럽연합은 TikTok의 데이터 처리 행태에 대한 조사를 개시한다 밝혔다. 이는 네덜란드 개인정보보호 당국이 아동 개인정보 보호와 관련한 공식 조사를 개시한 직후의 일이다. 올해 6월 말에는 인도가 TikTok을 포함한 다수 중국 앱을 “국가 안보에 대한 우려”를 이유로 금지하였는데, 이는 인도와 중국 국경에서 발생한 분쟁과도 관련되어 있다. 이와 같은 인도의 조치는 ByteDance측에 매우 심각한 위협으로 다가왔는데, 전 세계에서 TikTok을 가장 많이 다운로드 한 국가가 바로 인도이기 때문이다.^(9)(10)

7월 초, 호주 정부가 TikTok에 대한 전면 금지를 포함한 다양한 제재방안을 검토하고 있다는 언론 보도가 다수 확인되었다. 결국 전면 금지까지는 이르지 못했으나, 호주 정보 당국이 TikTok을 조사하고 있다는 사실이 밝혀지면서 일부 국회의원들이 TikTok 전면 금지를 다시 요구하고 있는 상황이 이어지고 있다.⁽¹¹⁾

우리나라도 ByteDance가 정보통신망법을 위반했다며 올해 7월 15일에 1억 8천만 원의 과징금과 과태료 600만 원을 부과하였다. 법정대리인의 동의 없이 만 14세 미만 아동의 개인정보를 수집한 점이 문제가 되었다. 또한, 개인정보를 국외로 이전할 때 일정한 정보를 고지하거나 공개해야 하는 의무를 이행하지 않은 점도 문제가 되었다. 방송통신위원회는 시정명령을 부과하여 위법한 행위가 지속되지 않도록 조치를 취할 것을 요구하였다. 참고로, TikTok은 위반행위와 관련된 직전 3개 사업연도(’16~’18)의 매출액이 발생하지 않아, 정보통신망법 제64조의3제2항 단서에 따라 4억원 이하의 과징금 부과 대상으로 결정되었다. 특히, (과징금 부과) 기준금액을 산출할 때 ‘보통 위반행위’에 해당하는 2억을 기준으로 (추가적) 가중 및 감경을 거쳐 총 1억 8천만 원의 과징금이 결정되었다.⁽¹²⁾

미국 행정부의 본격적인 공격

지난 7월 6일, Fox News와의 인터뷰에서 Mike Pompeo 미국 국무장관은 “우리는 이를(TikTok을 이용한 중국정부의 감시활동을 의미함) 매우 심각하게 여기고 있으며, 사안을 살펴보고 있다.”라고 발언하였다. 그는 TikTok 이용자 데이터가 중국 공산당의 손에 넘어갈 수 있다는 점을 넌지시 내 비추기도 했다. 이와 같은 발언은 Fox News의 인터뷰어인 Laura Ingraham이 인도와 호주의 최근 TikTok 대응 근황을 언급하면서 “만약 중국 소셜 미디어 앱이 베이징(중국 본토)으로 정보를 전달할 수 있다면, TikTok을 비롯한 중국 소셜 미디어 앱에 대한 금지를 검토해야 하지 않느냐”고 질의한 것에 대한 답변으로 나온 것이다.

이와 같은 미국 국무장관의 언급에 대해 TikTok 대변인은 “TikTok은 미국인 대표가 운영하고 있으며, 안전, 보안, 제품, 공공정책 분야에서 수백 명에 달하는 임직원과 주요인물들이 미국 내에서 근무하고 있다.”며 “우리는 중국 정부에 이용자 데이터를 결코 제공한 적이 없으며, 만약 요청받게 되더라도 절대로 응하지 않을 것이다.”라며 즉각적인 사태 진화에 나섰다.^(13)(14)

위와 같은 미국 국무장관의 언급 이후, Trump 대통령은 TikTok 사용 금지를 통해 코로나바이러스 발생에 대한 중국의 책임을 물을 수 있을 것이라는 의도를 언급하며 TikTok을 압박하였다. 이후 호주와 일본에서는 정부 및 의회 관계자들이 TikTok의 사용을 제한해야 한다는 목소리를 내며 Trump 행정부의 TikTok 사용 금지 움직임에 힘을 실어주기도 하였다. 마침내, 7월 31일에 Trump 대통령은 “24시간 이내에 TikTok을 금지할 예정이다.”라고 기자들에게 공식 입장을 밝혔다. 그로부터 2일이 지난 8월 2일에 MS는 TikTok의 미국, 캐나다, 호주, 뉴질랜드 서비스 구매 가능성을 탐색하고 있다고 밝혀 TikTok을 둘러싼 논의 방향을 한 치 앞도 예상할 수 없게 만들었다. MS가 TikTok 구매 의사를 밝힌 그 이튿날 Trump 대통령은 “MS나 다른 미국 기업이 오는 9월 15일까지 TikTok을 구매하지 않는다면, TikTok을 미국에서 금지할 것이다. 미 재무부가 그 과정에서 매매 차익의 일부를 확보할 수도 있을 것이다.”라고 밝혀 전 세계를 놀라게 하기도 하였다.⁽¹⁵⁾

그런데 Trump 대통령은 이와 같은 일련의 진행 상황에 또 하나의 불확실성은 던져주었다. 8월 6일 자로 ‘미국 기업이 ByteDance와 거래하는 것을 금지하는 행정명령’에 서명을 한 것이다. 해당 행정명령은 서명 후 45일이 경과하면 발효하게 된다. 이 행정명령은 “TikTok은 방대한 분량의 이용자 정보를 자동으로 수집하는데, 여기에는 위치정보, 검색 및 브라우징 기록을 비롯한 인터넷 및 네트워크 활동 정보가 포함되어 있다.”며, “이러한 데이터 수집으로 인해 중국 공산당이 미국인의 개인자산 정보에 접근할 수 있으며, 중국이 미국 연방 정부의 임직원과 도급자의 위치를 추적하고, 협박(blackmail)에 필요한 개인정보를 대량으로 축적하며, 기업에 대한 첩보 활동을 수행할 수 있게 한다.”는 주장을 담고 있다. 더욱이, 이와 같은 위험은 실질적인 것이라며 미국 정부 당국 내에서의 TikTok 사용 금지만으로는 충분하지 않기 때문에 국가 안보를 위해 TikTok 금지 행정명령을 발동한다는 설명도 제시한다. 행정명령이 발효되면, TikTok과의 거래에 나서는 기업이나 개인은 위반행위당 $300,000의 벌금을 부과받을 수 있으며, “고의적” 위반자는 형사처벌을 받을 수도 있다.⁽¹⁶⁾

TikTok측은 해당 행정명령에 반발하여 Trump 행정부를 고소하는 방안을 검토하겠다고 밝혔다. TikTok 내부에서 행정명령을 검토한 결과, TikTok이 법적 존재를 유지하는데 필요한 예외를 규정하지 않은 점이나, 적절한 절차에 대한 권리를 보장하지 않은 점 등에 대한 문제를 제기할 수 있다는 것이다. 실제 TikTok은 8월 24일자로 트럼프 행정부를 대상으로 한 소송을 제기했다. 한 WeChat 이용자 단체는 트럼프 행정부의 이번 행정명령이 위헌적이라며 소송을 제기하기도 했다.^(17)(18)(19)

Trump 행정부의 압박은 점점 가중되고 있는데, 지난 8월 14일에는 TikTok 인수에 관한 행정명령을 추가로 발표하기도 했다. 여기엔 TikTok의 미국 내 사업체와 관련한 자산을 90일 안에 모두 매각하라는 내용이 담겨있다. 이 행정명령은 미국 재무부 산하 외국인투자심의위원회(CFIUS)의 심사 결과에 따른 조치로 알려지고 있다.⁽²⁰⁾

TikTok이 수집 전송하는 정보의 이해

지난 2013년에 설립된 스위스 기반의 Pronton Technologies AG가 제공하는 ‘보안 이메일’ 서비스인 ProntonMail은 종단간 암호화(End-to-End Encryption)를 비롯, 다양한 보안 기능을 제공하여 전 세계에서 가장 안전한 이메일 서비스의 하나로 꼽히고 있다. ProntonMail은 올해 7월 기업 블로그를 통해 TikTok 이용에 필요한 주의사항을 공개하였는데, ProntonMail측은 “우리는 TikTok이 중국 정부와 데이터를 공유할 가능성이 있는 ‘심대한 프라이버시 위협’에 해당한다는 점을 발견했다(After reviewing TikTok’s data collection policies, lawsuits, cybersecurity white papers, past security vulnerabilities, and its privacy policy, we find TikTok to be a grave privacy threat that likely shares data with the Chinese government.)”라며 TikTok으로 인한 프라이버시 관련 위험을 단언적으로 표현하기도 하였다. ProntonMail이 설명하는 TikTok이 수집, 전송하는 개인정보와 그로 인한 프라이버시 위험은 다음과 같다.⁽²¹⁾

TikTok 개인정보처리방침(Privacy Policy)에 의하면, TikTok은 앱을 내려 받았지만, 계정을 생성하지 않은 이용자를 대상으로 다음과 같은 정보를 수집하는 것으로 확인된다.

<TikTok 비로그인 이용자로부터 수집하는 정보>

⦁IP 주소

⦁검색 기록 (이용자가 TikTok에서 시청한 콘텐츠)

⦁이동통신사

⦁(모바일 기기를 사용하는 경우) GPS 좌표 및 WiFi, 이동통신사 셀타워 정보 등 위치정보

⦁TikTok에 접속하기 위해 이용자가 사용한 기기 정보(Android 기기의 경우 IMEI를 수집하며, IMSI를 수집할 수 있는 가능성도 존재)

계정을 개설하는 경우 TikTok은 이용자로부터 전화번호 내지 이메일 주소를 수집하며, 생일 정보도 수집한다. 여기에 더하여 트위터, 인스타그램, 페이스북 등 소셜 미디어 계정에 대한 접속 권한(permission)을 요구하며, 전화번호부 및 GPS 데이터에 대한 접속 권한도 요구한다. 계정 개설 후, TikTok을 이용하는 과정에서 다음과 같은 정보들을 이용자로부터 수집한다.

<계정 개설 후, 앱 사용시 수집하는 정보(로그)>

⦁업로딩한 모든 영상

⦁영상 시청 시간

⦁시청한 영상

⦁공유한 영상

⦁앱을 통해 교환한 메시지 일체

위와 별개로, 앱 내에서 사용되는 교환가치의 표식인 코인(coins)을 구매하는 경우, TikTok은 이용자의 구매정보를 모두 저장한다. 또한, TikTok은 검색 기록과 이메일 주소를 제3자와 공유하여 ‘맞춤형 광고(targeted advertising)’ 제공 목적으로 활용하도록 한다는 점을 숨기지 않는다.

그런데, 이와 같이 수집된 정보가 실제 중국 정부와 공유되는지 여부는 명확하게 밝혀진 바 없다. 다만, (1)지난 2017년에 통과된 중국 첩보법(National Intelligence Law)에 따라 중국 중부가 중국 기업으로 하여금 해외 시민에 관한 데이터를 포함하는 일체의 데이터를 제공하도록 요청할 수 있게 된 점, (2)중국 내 독립적 사법시스템의 부재로 인해 중국 정부가 기업에게 정보제공을 요청하는 경우, 개별 기업이 이에 대항할 수 없다는 점, (3)일정 규모 이상의 중국 기업은 중국 공산당의 강령 준수를 위해 ‘공산당 소 조직(Communist Party cell)’을 내부에 설립하도록 법적으로 요구 받는다는 점, (4)ByteDance가 지난 ‘18년도에 ‘부적절한 콘텐츠 확산’을 이유로 Neihan Duanzi라는 소셜 미디어 플랫폼의 운영을 중단한 이후, “중국 공산당과의 협력을 강화하겠다.”라고 선언한 점 등을 들어 TikTok 이용자의 정보가 중국 공산당과 공유되고 있지 않을까 추정하는 정도가 전부이다.

또한, 보안전문기업 Penetrum은 최근 공개한 백서를 통해 TikTok APK아 접속하는 IP 주소의 1/3 이상이 중국에 기반하고 있다는 점을 밝였다. 이들 IP 주소 대다수는 Alibaba가 호스팅 하는 서버와 관련 있는 것으로 확인되었는데, 이와 같은 사실에 기반하여 일부에서는 TikTok이 이용자 정보를 중국에 전송하고 있다고 주장하지만, Alibaba Cloud를 이용한다는 사실이 이용자 정보가 중국에 전송되어 중국 공산당과 공유되고 있다는 것을 의미하는 것은 아니란 점에서 이 또한 TikTok이 중국 정부의 감시활동에 협조하는 것에 대한 ‘스모킹 건’이라 할 수는 없다.^(22)(23)

이와 같은 주장들에 더하여, The Wall Street Journal은 올해 8월 11일에 게재한 단독기사를 통해 TikTok이 수백만에 달하는 모바일 기기의 식별자인 MAC Address를 수집해 왔으며, 이와 같은 행태는 MAC Address 수집을 TikTok이 중단한 작년 11월까지 지속되어 왔다는 점을 밝혔다. 해당 정보의 수집 기간은 최소 15개월 이상인 것으로 알려졌다. 특히, MAC Address를 수집하는 경우, 앱을 재설치하거나, 광고 식별자를 리셋하는 경우에도 특정한 이용자(기기)를 지속적으로 추적할 수 있는 식별자를 획득하는 것이라며 ‘옵트아웃이 가능하지 않다는 점(소위 ‘ID Bridging’)을 상세히 설명하여 MAC Address 수집의 위험성을 강조하였다. 특히, 이를 중국 정부가 획득하는 경우, 특정 개인을 대상으로 한 첩보활동이나 협박을 위한 ‘상세한 정보를 축적’할 수 있다며 은근히 중국 정부의 관련성을 내비쳤다. 여기에 더하여, Google이 정책적으로 금지하였음에도 불구하고 MAC Address를 수집한 점이 수상한 행위라는 점도 언급하였다.

그런데, 해당 기사는 MAC address를 다른 ‘기기 정보(device data)’ 함께 묶어서(bundled with) ByteDance로 전송한다고 설명하였는데, 이와 같이 여러 정보를 함께 묶어서 이용자(기기)를 추적하는 식별자를 생성하는 행태는 모바일 앱 서비스 제공자들이 드물지 않게 활용하는 방법이어서, 이와 같은 방식이 중국 정부의 이용자 추적을 용이하게 하려는 시도의 일환이라고 추정하는 데는 무리가 있다는 지적이 제기되고 있다.⁽²⁴⁾

나가며

위에서 살펴본 바와 같이, TikTok은 이용자로부터 다양한 정보를 수집하며, 여기에는 위치정보, 기기정보, 활동정보 등이 포함된다. 그리고 이와 같은 정보는 Alibaba Cloud에 전송되어 저장 등 처리된다. 이렇게 전송된 정보가 중국 내에 저장되는지, 중국 공산당이 이에 접근할 수 있는 권한을 보유하고 있는지는 확인되지 않는다. 다양한 ‘가능성’이 제기되고 있으나, 중국 공산당이 TikTok의 정보에 접근하여 이를 감시목적으로 활용하고 있다는 명백한 증거는 아직까지 제시된 바 없다. 다양한 추측만 제기되었을 뿐이다.⁽²⁵⁾

이와 같은 상황은 중국 당국이 WeChat의 대화를 엿보고, 콘텐츠를 검열하며, 필요한 경우 콘텐츠 유통을 차단하거나, (보다 덜 유해한 것으로 판단되는) 다른 콘텐츠로 대체하는 등의 명백한 검열에 나서는 것과 동일하게 평가할 수 없다.

현재까지의 상황은 오히려 중국의 배타적 인터넷 환경에 대한 일종의 보복으로 가해지는 정치적 공격이며, 국경 없는 온라인 서비스에 대해 중국이 Facebook, Google 등의 주요 미국 서비스를 차단한 것에 대해 “눈에는 눈, 이에는 이”의 방식으로 미국이 보복한 것으로 보는 것이 오히려 상황에 부합하는 추정이라 판단된다. 특히, 미국 정치가 대통령 선거라는 거대한 이벤트를 앞두고 있는 상황에서 미국 내 여론의 흐름을 기존의 권력(status quo)에 유리하게 작용하도록 판을 짜기 위한 의도에 기인한 것으로 보는 것이 그나마 합리적인 추정이 아닐까? 한 가지 분명한 점은, TikTok의 데이터에 대한 중국 당국의 접근에 대한 직접 증거는 아직까지 발견되지 않았다는 것이다.