캘리포니아의 새로운 법은 소비자의 뇌 데이터를 보호하지만, 일부는 보호 수준이 충분하지 않다고 생각한다.
2) 참고자료(개정법): https://leginfo.legislature.ca.gov/faces/billTextClient.xhtml?bill_id=202320240SB1223
9월 28일, 캘리포니아는 주 법에서 정신적 프라이버시(mental privacy)의 중요성을 공식적으로 인정한 미국의 두 번째 주가 되었다. 두개골 아래에 있는 핑크색, 젤리 같은, 맥동하는 물질, 즉 뇌는 모든 생각, 기억, 아이디어를 담고 있다. 뇌는 우리의 감정과 행동을 조절한다. 뇌 활동을 측정하면 사람에 대해 많은 것을 알 수 있기 때문에 신경 데이터는 보호되어야 한다.
우리는 뇌 활동을 측정하는 다양한 기기로 이를 추적할 수 있으며, 뇌파를 측정하거나 전기 활동, 혈류를 추적하는 기기들도 있다. 과학자들은 이러한 데이터를 신호로 변환해 마비 환자들이 사지 움직임을 제어하거나 생각만으로 소통할 수 있도록 돕고 있다.
그러나 이러한 데이터는 의료 분야 외에도 여러 용도로 사용된다. 오늘날 소비자들은 뇌의 작동 원리를 이해하고 마음을 안정시키는데 도움을 주는 헤드셋을 구매할 수 있다. 고용주들은 직원들이 얼마나 주의하고 있는지를 모니터링하기 위해 기기를 사용하며, 학교에서는 학생들이 집중하고 있는지를 확인하는 데 이를 사용한다.
뇌 데이터는 매우 귀중하다. 생각 그 자체는 아니지만, 우리가 어떻게 생각하고 느끼는지를 파악하고 가장 내밀한 선호와 욕구를 드러낼 수 있다. 따라서 캘리포니아의 법이 정신적 프라이버시를 어떻게 보호할 수 있는지, 그리고 앞으로 나아갈 길이 얼마나 남았는지 살펴보는 것이 필요하다. 이번 법안은 2018년 「캘리포니아 소비자 프라이버시 보호법(California Consumer Privacy Act of 2018)」을 개정한 것으로, 이 법은 기업이 수집한 개인정보에 대한 소비자의 권리를 부여한다. 여기서 “개인정보”라는 용어는 이미 생체 데이터를 포함하고 있었으며(예: 얼굴, 음성, 지문), 이번 개정으로 신경 데이터도 명시적으로 포함되었다.
법안은 신경 데이터를 "소비자의 중추 또는 말초 신경계 활동을 측정하여 생성되는 정보로, 비신경 정보를 통해 추론된 것이 아닌 데이터”로 정의한다. 즉, 사람의 뇌나 신경에서 수집된 데이터를 의미한다. 이 법은 기업이 개인의 데이터를 판매하거나 공유하지 못하도록 하고, 데이터 익명화 노력을 기울여야 한다고 규정한다. 또한 소비자에게 수집된 정보에 대해 알 권리와 해당 정보를 삭제할 권리를 부여한다.
법안을 공동 발의한 뉴로라이츠 재단(Neurorights Foundation)의 법률 고문 재러드 겐서(Jared Genser)는 성명을 통해 “캘리포니아는 시작하기에 좋은 장소”라고 말했다. 캘리포니아주에는 많은 신경 기술 기업들이 있어 이 법안의 영향이 확산될 가능성이 크다는 것이다.
하지만 일부 정신적 프라이버시 보호론자들은 법이 신경 데이터를 보호하기에 충분하지 않다고 생각한다. “중요한 보호 장치를 도입했지만, 의미의 모호성 때문에 신경 데이터에서 추론되는 정보와 관련하여 사생활 보호를 약화시킬 수 있는 허점이 생길 수 있다”라고 뮌헨 공과대학의 윤리학자 마르첼로 이엔카(Marcello Ienca)는 지적했다.
결국, 감정을 드러내는 것은 뇌 활동만이 아니다. 예를 들어, 심박수의 증가가 흥분이나 스트레스를 나타낼 수 있다. 시선 추적 기기는 선택할 가능성이 있는 선택이나 구매할 제품 같은 의도를 드러내는 데 사용될 수 있다. 이러한 데이터는 이미 극도로 사적인 정보를 드러내는 데 사용되고 있다.1)
▣ 개정법의 주요 내용
「캘리포니아 소비자 프라이버시 보호법」은 소비자에게 정의된 바에 따라 기업이 수집한 개인정보에 대해 다양한 권리를 부여한다. 여기에는 기업이 소비자의 민감한 개인정보를 수집하는 경우, 소비자가 그 정보를 필요 최소한의 용도로만 사용할 수 있도록 제한할 권리가 포함된다.
이는 소비자가 요청한 상품이나 서비스의 제공에 합리적으로 기대되는 범위 내에서 사용되거나, 특정 규정에 따라 허용된 기타 서비스의 수행에 필요한 경우에 해당한다. 「캘리포니아 소비자 프라이버시 보호법」은 “민감한 개인정보”를 정의할 때, 소비자를 고유하게 식별하기 위해 처리되는 생체 정보를 포함한다. 이번 개정으로 소비자의 신경 데이터도 추가적으로 포함되며, “신경 데이터”는 소비자의 중추 또는 말초 신경계 활동을 측정하여 생성된 정보로, 비신경 정보로부터 추론되지 않은 데이터를 의미한다.2)