맥도날드가 나에 대해 만든 515쪽 — 로열티 프로그램이라는 감시
맥도날드가 나에 대해 만든 515쪽 — 로열티 프로그램이라는 감시
맥도날드가 나에 대해 쌓은 515쪽은 ‘더 나은 서비스’를 위한 개인화인가, 아니면 할인 몇 푼과 맞바꾼 상시 감시의 출력물인가 — 그리고 그 파일이 맥도날드라는 사일로 밖으로 새어나가는 순간, 무엇이 달라지는가.
도입 — 데이터 사본을 요청했더니 515쪽이 왔다
와이어드(Wired)의 기자 리스 로저스(Reece Rogers)가 맥도날드에 자기 개인 데이터의 사본을 요청했다. 캘리포니아 주민에게 주어진 데이터 열람권을 행사한 것이다. 돌아온 것은 515쪽짜리 문서였다. 로저스가 그 안에서 발견한 것은 단순한 영수증 묶음이 아니라, 자신의 과거 행동으로부터 미래를 추정해 놓은 일종의 예측 도시에(dossier)였다. 앞으로 6주 동안 그가 맥도날드를 2.16회 방문할 것이고, 한 번에 평균 $13.49를 쓸 것이며, 이탈 가능성(attrition likelihood)은 0으로 매겨져 있었다. 그가 다시 오지 않을 확률은 없다고, 시스템은 판정하고 있었다.
이 기사가 던지는 힘은 숫자 하나하나가 충격적이어서가 아니다. 오히려 그 반대다. 여기 담긴 것은 대부분 로저스 자신이 앱을 쓰며 남긴 흔적이고, 기업이 고객생애가치(CLV)를 계산하는 일은 마케팅 교과서 첫 장에 나올 만큼 오래된 관행이다. 그런데도 이 515쪽이 불편한 것은, ‘할인’과 ‘편의’라는 이름으로 우리가 무엇을 상시로 넘겨주고 있는지를 인쇄물 한 뭉치가 눈앞에 들이밀기 때문이다. 이 글은 먼저 그 문서에 실제로 무엇이 담겼는지(팩트)를 정리하고, 그다음 그것이 왜 ‘감시’라는 단어를 부를 만한지, 그리고 정말로 위험한 지점은 어디인지(분석)를 갈라 읽는다.
515쪽에 실제로 담긴 것 — 예측이 된 구매 이력
먼저 팩트다. 로저스의 보도에 따르면, 515쪽 문서에는 수년치 구매 내역, 로열티 포인트 이력, 계정 활동, 그의 계정과 연결된 프로모션·쿠폰, 심지어 그가 맥도날드 모노폴리 게임에서 스캔한 코드까지 들어 있었다. 여기까지는 ‘내가 남긴 로그의 되감기’라고 부를 수 있다. 문제는 그 로그 위에 얹힌 해석의 층이다.
문서는 로저스를 몇 개의 행동 세그먼트로 분류해 두었다. ‘푸드 주도 오후 간식(Food-Led Afternoon Snack)’, ‘바쁜 와중의 이동 중 점심(On the Go Lunch in a Rush)’ 같은 이름표가 그의 방문 패턴에 붙었다. 그의 최상위 제품은 라지 다이어트 코크로 지목됐고, 시스템은 그가 다음에 무엇을 주문할지까지 추정해 두었다. 여기서 자주 인용되는 표현이 ‘마이너리티 리포트’다 — 아직 일어나지 않은 행동을 데이터가 미리 적어 두었다는 뜻에서다. 카네기멜런의 프라이버시 연구자 로리 크레이너(Lorrie Cranor)는 이 파일을 보고 로저스가 얼마나 자주 맥도날드에 가는지에 놀라며 “이 사람 맥도날드 정말 많이 먹네”라고 반응했다고 로저스는 전한다. 그의 상사는 이제 그만 먹으라고 했고, 로저스 본인도 동의했다는 대목은 이 기사가 가진 자기고백적 유머이자, 데이터가 사람의 행동을 얼마나 벌거벗기는지에 대한 삽화다.
규모의 맥락도 짚어 둘 필요가 있다. 이것은 한 사람의 별난 사례가 아니다. 포춘(Fortune)의 보도에 따르면 맥도날드는 로열티 프로그램의 활성 사용자를 2027년까지 1억 명 규모로 키우겠다는 목표를 내걸었다. 즉 515쪽은 예외적으로 두꺼운 파일이 아니라, 앱을 쓰는 사람 누구에게나 존재할 수 있는 프로파일의 한 견본일 뿐이다. 크레이너를 비롯해 로저스가 취재한 프라이버시 전문가들의 진단은 냉정하다. 이 정도의 상세함은 침습적으로 느껴질 수 있지만(may feel invasive), 미국의 대형 기업들이 로열티 프로그램을 운영하는 방식으로는 상당히 표준적(fairly standard)이라는 것이다. 다시 말해 놀라야 할 것은 맥도날드가 특별히 음험해서가 아니라, 이것이 이미 업계의 기본값(default)이라는 사실이다.
맥도날드 측의 설명도 기록해 둔다. 회사는 과거 구매 같은 정보를 활용해 더 몰입감 있고 개인화된 고객 경험 — 가장 관련성 높은 딜·오퍼·메시지를 전달하는 것 — 을 제공한다고 밝혔다. 이 문장은 그 자체로 거짓이 아니다. 다만 같은 문장을 뒤집으면, 관련성 높은 딜을 고르기 위해 필요한 것이 바로 이 515쪽의 관측이라는 뜻이 된다. 편의와 감시는 서로 다른 두 개의 기능이 아니라, 하나의 파이프라인의 앞면과 뒷면이다. 프라이버시 옹호자 제프 체스터(Jeff Chester)가 “맥도날드의 비밀 소스는 사실 상업적 감시(commercial surveillance)“라고 꼬집은 것도 이 지점을 겨눈다.
‘할인’과 맞바꾼 것 — 로열티라는 감시 경제
그렇다면 이것은 정말 ‘감시’라고 불러야 할까, 아니면 과장된 프라이버시 히스테리일까. 이 질문은 해커뉴스 토론에서 정확히 두 진영으로 갈렸다. 아래는 모두 축자 인용이 아니라 의역이며, 논객들의 해석이지 팩트가 아니다.
‘과장’이라는 쪽의 논리는 이렇다. 해커뉴스 토론에서는 이것이 수십 년 된 CLV 알고리즘일 뿐이고 프라이버시 함의는 미미한데, 마케팅 개론에서 배우는 세분화를 두고 호들갑을 떤다는 지적이 나왔다. 또 다른 논객은 515쪽이라는 두께가 무섭게 들릴 뿐 실체는 기본적인 거래 내역에 초보적 분석을 얹은 것이며, 정작 위치 추적처럼 진짜 충격적인 내용은 없어 보인다고 꼬집었다. 50년 전 동네 식당 주인도 단골이 언제 오고 무엇을 시키는지 알았다는 반론, 그리고 이 데이터 대부분은 그가 앱을 쓴 결과이므로 상당 부분 본인의 통제 아래 있었다는 지적도 같은 결이다. 요컨대 이들에게 문제는 ‘데이터가 존재한다’가 아니라 ‘그것이 어디까지 쓰이느냐’다.
그러나 바로 그 지점에서 반대 진영의 논리가 날카로워진다. 해커뉴스 토론에서 반복해 나온 핵심은 ‘사일로가 깨질 때’가 진짜 위험이라는 것이다. 맥도날드가 자기 사업에서 생긴 거래 데이터를 갖는 것 자체는 정당하지만, 그 파일이 데이터 공유 협약을 통해 타깃(Target) 같은 다른 소매업체의 구매 습관과 대조되거나, 신용 정보와 엮이는 순간 성격이 달라진다는 지적이다. 저장 비용이 거의 공짜인 시대에 데이터는 지워지지 않고 축적된다. 한 논객은 맥도날드가 이 데이터를 건강보험사에 판다면 문제가 된다고 선을 그었고, 또 다른 이는 보험사가 “일주일에 빅맥 두 개를 먹는 당신은 더 큰 리스크”라는 명분으로 보험료를 올리는 데 이런 데이터가 동원될 수 있다고 경고했다. 여기에 “보험은 정확한 리스크 가격 산정이 본질인데 식습관을 고려하면 왜 안 되느냐”는 반론이 붙자, “내가 스스로 넘기지 않은 데이터를, 내가 맥도날드에 준 데이터를 맥도날드가 보험사에 넘기는 것에 동의한 적이 없다”는 재반박이 이어졌다. 이 실은 결국 정보 비대칭(information asymmetry)의 문제다.
여기서부터는 나의 분석이다. ‘동네 식당 주인’ 비유는 규모(scale)를 지워서 성립한다. 식당 주인의 기억은 그 가게를 벗어나지 못하고, 그가 죽거나 은퇴하면 사라지며, 다른 가게의 기억과 자동으로 대조되지 않는다. 게다가 사람의 기억에는 자연스러운 마모와 망각이 있다. 해커뉴스 토론에 올라온 한 일화가 이 차이를 잘 보여 준다 — 한 논객은 자정 무렵 웬디스 드라이브스루에 들어섰다가 직원이 대뜸 이름을 부르며 “또 야근이네요, 늘 시키던 그거죠?”라고 맞이하자 소름이 돋아 그 뒤로 발을 끊고 타코벨 앱까지 지웠다고 적었다. 사람의 친절한 기억조차 임계점을 넘으면 감시처럼 느껴진다면, 지워지지도 잊히지도 않는 기계의 기억은 말할 것도 없다. 반면 로열티 파일은 영속하고, 복제 가능하고, 결합 가능하다. 바로 그 세 가지 성질 — 영속·복제·결합 — 이 ‘단골을 알아보는 정’과 ‘상업적 감시’를 가르는 경계선이다. 해커뉴스 토론에서 나온 다른 통찰도 이 경계를 보강한다. 데이터를 수집하는 자에게는 그것이 장차 어떻게 쓰일지 — 정부에 의해서든 기업에 의해서든 — 를 미리 고려할 의무가 있으며, 맥도날드가 이미 주문 화면을 게임화해 더 비싼 메뉴로 유도하는 다크 패턴을 쓰는 이상, 수집된 데이터가 결국 고객에게 불리하게 쓰이리라 가정하는 편이 안전하다는 것이다. ‘지금 당장은 무해해 보인다’는 관찰은 미래의 오용에 대한 면죄부가 아니다.
가장 정직하게 짚어야 할 것은 교환의 비대칭이다. 로열티 프로그램의 표면적 계약은 ‘데이터를 주면 할인을 준다’이다. 그러나 해커뉴스 토론의 한 논객이 냉소했듯, 앱을 쓰지 않으면 ‘호구 가격(sucker price)‘을 내야 하는 구조에서 그 ‘할인’은 선물이 아니라 정상가를 인질로 잡은 협상이다. 우리는 할인을 얻는 대신 영속·복제·결합 가능한 프로파일을 넘긴다. 이 거래의 양변은 처음부터 대칭이 아니다.
사일로가 깨질 때, 그리고 소비자가 할 수 있는 것
전망을 세 갈래로 나눠 본다. 낙관 시나리오에서 이 데이터는 맥도날드라는 사일로 안에 머문다. 회사는 그것으로 재고를 예측하고, 관련성 높은 쿠폰을 보내고, 지겨운 키오스크 대신 ‘늘 시키던 것’을 원클릭으로 제안한다 — 해커뉴스 토론에서도 이런 편의를 실제 이점으로 인정하는 목소리가 적지 않았다. 이 시나리오에서 515쪽은 대체로 무해하다.
비관 시나리오는 그 사일로가 새는 경우다. 로열티 데이터가 데이터 브로커를 거쳐 결합·판매되고, 건강·생명보험의 요율 산정이나 신용 판단, 혹은 정부의 조회에 스며든다. 2012년 타깃이 한 여성의 임신을 가족보다 먼저 추정해 낸 사례 — 해커뉴스 토론에서도 이 사건이 소환됐다 — 는 결합된 데이터가 사람의 은밀한 상태를 얼마나 정확히 역산하는지 보여 주는 고전이다. 문제는 이 유출이 조용히 일어난다는 점이다. 한 논객이 지적했듯, 사람들은 “프라이버시 침해 Y가 어차피 불가피하니 침해 X는 걱정하지 말라”는 식의 논리에 길들어 ‘정상적’ 침해를 받아들이도록 훈련된다. 무해함의 누적이 곧 정상화이고, 정상화된 침해는 아무도 읽지 않는 약관 속에서 발효된다.
가장 그럴듯한 현실 시나리오는 그 중간이다. 대부분의 데이터는 사일로 안에 머물지만, 경계는 조용히 흐려진다. ‘침습적이지만 표준적’이라는 전문가의 진단이 바로 이 회색지대를 가리킨다. 침습성과 표준성은 배타적이지 않다 — 이 관행은 둘 다다. 그리고 무언가가 표준이 되었다는 사실은, 그것이 옳다는 증거가 아니라 우리가 그것에 익숙해졌다는 증거일 뿐이다.
그렇다면 소비자가 실제로 할 수 있는 것은 무엇인가. 첫째, 로저스가 한 바로 그 행동 — 데이터 열람권의 행사다. 캘리포니아의 CCPA, 유럽의 GDPR은 기업이 나에 대해 무엇을 쥐고 있는지 사본을 요구할 권리, 그리고 삭제를 요구할 권리를 준다. 515쪽이라는 숫자가 세상에 알려진 것 자체가 이 권리 덕분이다. 열람은 삭제의 전제이고, 삭제는 결합의 재료를 줄인다. 둘째, 로열티라는 계약을 눈뜨고 맺는 것이다. 앱을 지우면 ‘호구 가격’을 낸다는 사실을 인지한 채, 그 할인이 영속·복제·결합 가능한 프로파일과 맞바꿀 값어치가 있는지를 품목이 아니라 관계의 차원에서 계산하는 것이다. 셋째, 개별 소비자의 선택만으로는 정보 비대칭이 교정되지 않는다는 점을 인정하는 것이다. 진짜 지렛대는 사일로 간 결합과 2차 판매를 규율하는 제도 — 목적 제한, 판매 옵트아웃, 브로커 등록제 — 에 있다. 개인의 앱 삭제는 자기 방어이지 구조의 교정이 아니다.
결론 — 두께가 아니라 결합이 문제다
리드의 질문으로 돌아가자. 515쪽은 개인화인가 감시인가. 정직한 답은 ‘지금은 대체로 개인화이지만, 그것을 감시로 바꾸는 스위치가 회사 쪽에 쥐어져 있다’이다. 이 문서가 불편한 진짜 이유는 두께가 아니다. 한 논객이 지적했듯 두께는 얼마든지 부풀릴 수 있고, 담긴 내용의 대부분은 우리가 스스로 남긴 것이다. 불편함의 진원지는 그 데이터가 가진 세 성질 — 영속하고, 복제되고, 결합된다는 것 — 이며, 그 세 성질이 언제든 사일로를 넘어설 수 있다는 잠재성이다.
그러니 이 사건에서 남길 교훈은 ‘맥도날드를 끊어라’가 아니다. 그것은 로저스의 상사가 한 말이지, 이 문제의 해법은 아니다. 남길 물음은 이것이다 — 나는 어떤 로열티 프로그램들에 나의 영속·복제·결합 가능한 사본을 넘겨 두었는가, 그중 몇 개에 대해 나는 데이터 열람과 삭제를 요구할 수 있음을 알고 있었는가. 감시는 카메라에서 시작되지 않는다. 그것은 ‘할인’이라고 적힌 버튼에서 시작된다.
출처: