자동차가 스마트폰처럼 진화하면서 차량이 수집하는 위치·주행정보도 급증했지만, 개인정보 동의 체계는 여전히 차주를 중심으로 설계돼 있다. 차주는 개인정보 수집에 동의했을 수 있어도 차주가 아닌 운전자는 동의하지 않은 셈이다. 관련 제도를 정비해야 한다는 목소리가 커지고 있다.
커넥티드카는 인터넷 등 네트워크와 연결돼 데이터를 주고받는 자동차다. △원격 제어 △음성 인식 △AI(인공지능) 서비스 △실시간 내비게이션 등 기능이 제공된다. 자동차가 하나의 거대한 스마트폰처럼 작동하다 보니 이용자의 데이터를 수집·활용하게 된다. 완성차 제조업체는 각자 개인정보 처리방침과 이용약관을 두고 이용자의 동의를 받는다.
문제는 계약자(차주)와 실제 운전자가 다를 때 발생한다. 개인정보 수집·활용에 동의한 건 차주인데 수집하는 데이터는 실제 운전자로부터 나오다 보니 괴리가 발생하는 것. 부부나 가족이 같은 차량을 이용하거나 대리운전·발레파킹 서비스를 이용하는 경우 등이 이에 해당한다.
커넥티드카는 빠르게 확산하는 추세다. 과학기술정보통신부의 '무선통신서비스 가입 현황'에 따르면 지난 6월 차량 관제 회선 수는 총 1104만개였다. 인터넷 회선이 연결된 차량이 1100만대를 넘어섰다는 뜻이다. 전년 동월(1003만개) 대비 10.1%, 2023년 6월(746만개) 대비 48.1% 증가했다. 지난 5월 국토교통부에 등록된 총 차량 대수가 2664만대임을 감안하면 약 40% 이상이 커넥티드카인 셈이다. 커넥티드카의 '개인정보 사각지대'를 신속히 해소해야 한다는 주장이 나오는 이유다.
하반기 '지커 7X' 기종 출시를 시작으로 한국 시장에 진출하는 중국 전기차 브랜드 지커(Zeekr)에 시장의 우려가 쏟아진다. 국내 운전자의 실시간 차량 위치, 주차 위치, 주행 경로, 주행거리 등 이동 데이터 전반을 중국 본사와 모회사 지리(Geely) 그룹에 제공하기 때문이다. 개인정보위 관계자는 지커코리아의 개인정보처리방침을 두고 "이 조항이 적용되는 게 사실인지 의문"이라고 말했다.
현대차나 기아, 제네시스 등 국내 완성차 기업은 이런 방식을 개인정보 처리방침과 이용약관에 명문화했다. 이들은 "(여러 운전자가) 동일한 차량 및 단말장치로 서비스를 공동 사용하는 경우, 수집되는 운행·위치 정보가 누구 것인지를 명확하게 구별하기 어렵다"며 현실을 인정했다. 이어 "수집·생성된 정보는 단말 장치에서 선택한 운전자를 기준으로 추정하며, 운전자 선택이 없는 경우 정회원의 정보로 추정한다"고 기재했다.
벤츠는 다른 이용자에게 차량을 제공하는 경우 디지털 서비스 관련 정보를 수집한다는 사실과 비활성화 방안을 고지하도록 규정했다. 다른 차량 이용자의 남용 등을 방지하기 위해 제3자 계정의 접속을 해제하거나 디지털 서비스를 비활성화할 의무도 있다. 이 경우 차주가 주행 전 디지털 서비스 관련 기능이 활성화돼있는지 확인할 것을 권장한다.
해외 차량 제조사의 국내 진출이 늘어나고 커넥티드카(무선 네트워크를 사용해 각종 정보에 접근이 가능한 차량)처럼 민감 정보를 사용하는 차량이 증가하면서 제조사의 개인정보 처리·이전 방식이 새 이슈로 떠올랐다. 지커가 국내 이용자의 개인정보를 중국으로 이전한다고 규정해 개인정보보호위원회의 검토 대상이 된 가운데 같은 논란에 휩싸였던 중국 브랜드인 BYD가 문제를 해결한 사례가 관심을 끌고 있다.
BYD는 지난해 1월 한국 진출 당시 개인정보를 중국 본사로 넘길 수 있다는 의심을 받았다. 이에 개인정보보호위원회는 같은 해 3월 BYD에 사실 관계를 문의했다. BYD는 "개인정보 처리방침과 이용자 매뉴얼 등의 개선작업에 이미 착수했으며 국내 제품 출시 전까지 개인정보 보호법을 충실히 반영할 계획"이라고 응답했다.
BYD는 같은 해 4월 차량 개인정보처리방침에 △'개인정보 안전성 확보 조치' △'개인정보 3자 제공 상세 현황' 등을 마련해 투명성을 강화했다. "국내 이용자의 개인정보는 한국 소재 텐센트 클라우드에 저장되며, 중국 텐센트 클라우드는 해당 정보에 접근할 수 없다"고 명시한 것이 대표적이다.
BYD가 중국으로 이전하는 정보도 일부 있다. 대신 △보증 청구 △리콜 이행 △정비 이력 관리 △품질 개선 △커넥티드 서비스 활성화 등 이전 목적을 명시했다. 이전 정보도 이름·차량번호·차대번호·이메일로 제한적이다. 이용자로부터 인도 확인서 서명을 받은 뒤 사설전용네트워크(VPN)를 이용해 원격지로 전송하는 방식이다.
가장 민감한 위치정보는 국내 법인인 'BYD코리아오토'가 수집해 'BYD코리아'에 위탁 처리하도록 했다. 위치정보서비스이용약관에는 서비스센터 예약, 원격 모니터링 등 서비스를 위해 위치정보를 수집한다는 내용만 있을 뿐 중국 등 국외로 이전한다는 내용은 없다. 서비스센터 예약용으로 수집한 위치정보는 요청 처리 후 즉시 삭제한다. 원격 모니터링용 개인위치정보도 실시간 처리 후 저장하지 않는 게 원칙이라고 한다.
최근 한국에 진출한 지커도 비슷한 문제에 직면했다. 지커는 국내 운전자의 △실시간 차량 위치 △주차 위치 △주행 경로 △주행거리 등 이동 관련 데이터를 중국 계열사와 모회사 지리(Geely) 그룹 등에 이전할 수 있다고 규정한다. 이전 목적도 플랫폼 구축·운영·유지보수 등 커넥티드 서비스의 유지·수행·관리·개선 등으로 폭넓게 설정돼있다.
한국 시장 진출을 앞둔 지커는 개인정보 처리 구조가 국내 법규와 이용자 눈높이에 맞는지 검증을 받기 시작했다. 업계 관계자는 "한국 소비자 입장에서 자신의 개인정보가 중국으로 넘어가는지 여부를 신경쓸 수 밖에 없다"며 "사전 예약에서 합격점을 받은 지커가 첫 시험대에 오른 셈"이라고 밝혔다.