자동차 업체, 수집한 운전 데이터, 제3자에 팔았다

인터넷에 연결되는 커넥티드카가 퍼지면서 자동차 업체가 위치 정보와 운전 상황 등 각종 데이터를 모아 제3자와 공유하는 문제가 도마에 올랐다. 제너럴모터스(GM)가 운전 데이터를 데이터 중개업체에 팔아 보험료 산정 등에 쓰인 사례는 앞서도 보도됐다. 보도에선 데이터 수집이 GM만의 문제가 아니라 자동차 업계 전체로 퍼져 있다고 지적했다.

커넥티드카는 사고 때 긴급 통보와 도난 차량 추적, 원격 잠금, 고장 진단 같은 기능을 제공하려고 GPS와 차량 센서에서 얻은 정보를 제조사나 서비스 사업자에 보낸다. 문제는 모은 정보가 차량 기능 제공 말고 다른 용도로도 쓰이는 경우가 있다는 점이다.

대표적인 게 GM 사례다. GM 커넥티드 서비스 온스타(OnStar)는 과속과 급가속, 급제동, 야간 운전 등을 기록하는 선택 기능 온스타 스마트 드라이버(OnStar Smart Driver)를 제공했다. GM은 모은 운전 데이터를 렉시스넥시스(LexisNexis)와 베리스크(Verisk) 같은 데이터 중개업체에 넘겼고 이 데이터는 보험사용 위험 평가 자료 작성 등에 쓰였다.

규제 당국도 움직였다. 미국 연방거래위원회(FTC)는 2026년 1월 GM이 이용자에게 충분히 설명하지 않고 명시적 동의도 받지 않은 채 위치 정보와 운전 행동 데이터를 수집·판매했다며 최종 명령을 내렸다. 최종 명령은 GM이 위치 정보와 운전 행동 데이터를 소비자보고기관에 제공하는 행위를 5년간 금지했다. 데이터를 수집·이용·공유하기 전에 이용자에게 명시적 동의를 받고 이용자가 데이터 사본이나 삭제를 요구할 수 있는 장치를 갖추라는 의무도 부과했다.

캘리포니아주에서도 GM이 2020년부터 2024년까지 주민 수십만명의 위치 정보와 운전 행동 데이터를 렉시스넥시스와 베리스크에 팔았다는 문제가 불거졌다. 두 업체는 보험사용 위험 분석 등을 다룬다. GM이 1,275만 달러(178억원대)를 내는 합의안이 2026년 5월 공개됐다.

데이터 수집은 GM만의 문제가 아니다. 혼다(Honda)와 기아, 현대차에서도 운전 데이터가 보험사 등에 공유된 사실이 드러났다.

모질라재단(Mozilla Foundation)이 2023년 주요 25개 브랜드 개인정보 처리방침을 조사한 결과 조사 대상 25개 브랜드 모두가 개인정보 보호 측면에서 문제 있다는 평가를 받았다. 컨슈머리포트(Consumer Reports)도 미국에서 자동차를 파는 거의 모든 제조사가 운전 행동 데이터를 모아 어떤 형태로든 다른 회사와 공유하고 있다고 보고했다.

자동차 개인정보 관리가 스마트폰보다 알아보기 어렵다는 점도 문제다. 스마트폰은 운영체제 설정 화면에서 위치 정보와 앱 권한을 확인할 수 있다. 반면 자동차는 차량 본체와 커넥티드 서비스, 스마트폰 앱, 할부 같은 금융 서비스에 각각 다른 약관이 있는 경우가 있다. 이용자가 어떤 정보를 수집당하는지 파악하기 어려운 이유다.

자동차 업체마다 데이터 수집 거부나 삭제를 신청할 수 있는 개인정보 페이지를 두고 있고 커넥티드카 앱에서 설정을 바꿀 수 있는 경우도 있다. 다만 보도에선 이 페이지가 방대한 약관과 법률 설명 속에 묻혀 있어 데이터 수집을 거부하는 방법을 찾는 일 자체가 어렵다고 지적했다.

미국에서는 차량 소유자가 자동차에서 생성되는 데이터에 실시간으로 접근하고 관리할 수 있게 하는 드라이버법(DRIVER Act)도 논의되고 있다. 한편 개인정보 보호 진영에서는 데이터 접근권이나 삭제권을 준다고 해서 자동차 업체의 대량 데이터 수집 자체를 막을 수는 없다는 우려가 나온다.

보도에선 자동차 업체가 이용자 데이터로 이익을 얻는 경제 구조가 남아 있는 한 스스로 데이터 수집을 그만둘 이유는 거의 없다고 지적했다. 정치적 벽을 넘어 드라이버법이 실제 정책으로 성립할지는 불투명하다고 말했다. 관련 내용은 이곳에서 확인할 수 있다.