스페인 유튜버 Carles Tamayo가 특유의 편안하고 유쾌하면서도 날카로운 스타일로 다시 한번 사람들의 신경을 건드렸습니다. 2026년 4월 스페인 공영 방송에서 첫 방송된, “손을 떠나버렸다”라는 뜻의 다큐멘터리 시리즈 Se nos ha ido de las manos의 마지막 에피소드에서 그는 기업이 개인 데이터를 사고파는 방식을 들여다봅니다.

El activo eres tú, 즉 “당신이 자산입니다”라는 제목의 이 에피소드는 불편한 질문을 던집니다. 누가 우리의 데이터를 갖고 있으며, 그 데이터로 무슨 일이 벌어지고 있을까요? 그리고 무언가를 공짜로 얻겠다는 약속 대가로 우리는 무엇을 기꺼이 포기할 의향이 있을까요? 자신에 대해 너무 많이 알고 있는 기업들로부터 스팸 전화를 받은 뒤, Tamayo는 개인 데이터가 어떻게 수집되고 거래되는지 내부에서 직접 살펴보기 위해 자신의 제작사를 데이터 브로커로 탈바꿈했습니다.

데이터 브로커 사업이 어떻게 운영되는지, GDPR(일반개인정보보호규정)이 당신에게 어떤 권리를 주는지 살펴보세요.

데이터 브로커란 무엇이며 어떻게 돈을 버는가

데이터 브로커는 사람과 조직에 관한 정보를 수집, 분석, 판매하는 기업입니다. 이 정보가 구매자에게 가치 있는 이유는 정보를 결합하고 분석할 수 있기 때문입니다. 습관, 관심사, 위치 데이터 및 기타 신호는 점점 더 AI의 도움을 받아 하나로 엮여 쓸모 있는 무언가로 만들어질 수 있습니다. 데이터 브로커는 거의 모든 사람의 프로필을 만들 수 있게 해주는 원료를 판매합니다.

예를 들어 Tamayo의 보도에서 한 데이터 브로커는 최근 아기를 낳은 사람들에 대한 정보를 그에게 제공합니다. 이 신생아 부모들은 신생아용 제품 경품 추첨에 응모하는 대가로 병원에서 자신의 세부사항을 넘겼습니다.

데이터 브로커는 일반적으로 이메일 주소, IP 주소(새 창), 대략적인 위치, 온라인 구매 내역, 인터넷 검색, 앱 안에서 선택한 관심사, 그리고 누군가 사용하는 기기를 수집합니다.

전화 회사나 다른 기업에서 전화를 받고 그들이 어디서 당신의 번호를 얻었는지 궁금했던 적이 있나요? 생각보다 간단합니다. 쿠키, 모바일 앱, 온라인 양식이 당신의 정보를 수집해 데이터 브로커에게 넘길 수 있습니다. 멤버십 카드, 경품 추첨, 공공 기록 같은 오프라인 출처도 마찬가지입니다.

쿠키란 무엇이며 어떤 용도로 쓰이는가

방문하는 모든 웹사이트에서 한 번쯤 보셨을 겁니다. 쿠키를 수락할지 거부할지 묻는 작은 팝업 말이죠. 아마 대충 훑어보고 쿠키를 수락(새 창)한 뒤 넘어가면서, 쿠키가 실제로 무엇인지(새 창) 혹은 기업이 당신의 데이터로 무엇을 하도록 허용했는지 묻지도 않았을 겁니다.

쿠키는 웹사이트가 방문 정보를 기억하기 위해 브라우저에 저장하는 작은 파일입니다. 데이터 브로커가 관심을 두는 것은 행동 프로필을 만들고 맞춤형 광고를 제공하도록 설계된 광고 쿠키입니다.

하지만 이제는 쿠키를 훨씬 뛰어넘는 방법으로 추적될 수 있습니다. 예를 들어 브라우저 핑거프린팅은 기기의 특성으로 고유한 서명을 만들고, 교차 사이트 추적은 웹사이트 사이를 이동할 때 당신의 활동을 따라갑니다. 모바일에서는 광고 ID가 당신의 행동을 지속적인 식별자에 연결해 비슷한 일을 합니다.

쿠키를 거부하면 개인정보 보호에 도움이 되지만 완전히 보장되지는 않습니다. 그리고 당신의 데이터가 어디로 가는지, 누가 보유하는지, 어떻게 사용되는지 묻기 시작하면, 당신의 데이터를 거래하는 것이 과연 합법인지라는 질문과 마주치게 됩니다.

GDPR이 당신을 보호하는 방법

GDPR은 EU에 있는 모든 사람의 개인 데이터를 조직과 기업이 어떻게 수집, 사용, 공유, 저장하는지 규율하는 유럽연합의 규정집입니다. EU 밖에 본사를 두고 EU 사람들을 대상으로 하는 기업에도 적용됩니다. 스페인에서는 스페인 개인정보보호청(AEPD)이 준수 여부를 감독하며, 기업이 이러한 권리를 침해할 때의 불만도 처리합니다.

GDPR은 다음과 같은 몇 가지 기본 권리를 정립합니다.

접근권: 기업이 당신에 대해 보유한 개인 데이터가 무엇인지, 무엇에 사용하는지, 누구와 공유했는지, 어디서 얻었는지 확인하세요. 사본을 요청할 수도 있습니다.

정정권: 부정확하거나 오래된 정보를 정정받을 수 있습니다.

삭제권: “잊힐 권리”로도 알려진 이 권리를 통해 기업이 더 이상 데이터가 필요하지 않을 때, 동의를 철회하거나 사용에 반대할 때, 또는 데이터가 불법적으로 처리되었을 때 데이터 삭제를 요청할 수 있습니다.

반대권: 광고에 당신의 데이터를 사용하는 것과 같은 특정 처리에 반대할 수 있습니다. 직접 마케팅의 경우 이 권리는 절대적입니다. 한 번 반대하면 기업은 중단해야 합니다.

데이터 이동권: 기업에 제공한 개인 데이터를 구조화되고 일반적으로 사용되며 기계가 읽을 수 있는 형식으로 받아 다른 서비스 제공업체로 옮길 수 있습니다. 이는 기업이 동의 또는 계약을 근거로 자동화된 방식으로 당신의 데이터를 처리할 때 적용됩니다.

GDPR은 벌금으로 뒷받침되는 집행 가능한 권리를 사람들에게 부여하지만, 많은 사람은 이러한 권리를 무료로 행사할 수 있다는 사실을 모릅니다. 기업은 요청이 명백히 근거가 없거나 과도한 경우에만 수수료를 부과하거나 요청을 거부할 수 있습니다.

Tamayo의 보도에서 보여주듯이, 법이 제공하는 보장과 일반 시민이 자신의 개인정보를 보호하는 방법에 대해 알고 있는 것 사이에는 큰 격차가 있습니다. 이 격차 때문에 사람들은 이용 가능한 법적 수단을 사용하고 자신의 데이터에 대한 통제권을 되찾기가 더 어렵습니다.

데이터 브로커를 상대로 GDPR 권리를 행사하는 방법

위의 권리는 실제로 행사할 때만 효력이 있습니다. 이 중 어느 것도 변호사나 특별한 양식이 필요하지 않습니다. 기업의 개인정보 보호 담당자에게 이메일을 보내면 충분합니다.

데이터의 출처를 물어보세요. 기업이 당신에게 연락했는데 당신이 세부사항을 제공한 적이 없다면, 그 기업에 출처를 물어보세요. 접근권에 따라 기업은 이를 알려야 하며, 그 답은 흔히 데이터 브로커로 곧장 이어집니다.

접근 요청을 보내세요. 기업이나 브로커가 당신에 대해 보유한 데이터가 무엇인지, 무엇에 사용하는지, 누구와 공유했는지 물어보고 사본을 요청하세요. 요청은 무료이며, 기업은 한 달 이내에 답장해야 합니다. 복잡한 요청의 경우 두 달 더 연장할 수 있지만, 그 사실을 알려야 합니다.

반대하고 삭제를 요청하세요. 같은 이메일에서 마케팅에 당신의 데이터가 사용되는 것에 반대하고 삭제를 요청할 수 있습니다. 기업은 또한 데이터를 공유한 모든 사람에게 삭제 사실을 전달해야 하며, 불가능하거나 과도한 노력이 드는 경우는 예외입니다.

Lista Robinson에 가입하세요. 스페인에서는 직접 마케팅을 보내는 기업이 당신에게 연락하기 전에 이 광고 수신 거부 목록을 확인해야 합니다. 가입은 무료입니다.

AEPD에 불만을 제기하세요. 기업이 당신을 무시하거나 타당한 이유 없이 거부하거나 기한을 넘기면, 스페인 개인정보보호청에 무료로 불만을 제기할 수 있습니다.

데이터 브로커의 데이터 수집을 애초에 제한하기

GDPR 권리는 이미 유통되는 데이터를 정리합니다. 몇 가지 간단한 습관이 데이터 브로커에게 도달하는 새 데이터의 양을 줄여줍니다.

앱 권한을 검토하세요. 앱이 작동하는 데 필요하지 않은 접근 권한은 모두 끄세요. 특히 위치, 연락처, 사진에 접근하는 권한은 더욱 그렇습니다.

필수적이지 않은 쿠키를 거부하세요. EU 웹사이트에서는 거부가 수락만큼 쉬워야 하며, 거부하면 행동 프로필에 정보를 공급하는 광고 쿠키가 차단됩니다.

단순히 둘러볼 때는 웹사이트와 서비스에서 로그아웃 상태를 유지하세요. Google, YouTube, Amazon 또는 뉴스 사이트에 로그인되어 있으면 검색하고, 시청하고, 읽고, 구매하는 모든 것이 계정에 연결됩니다. 로그아웃 상태로 탐색하면 기업이 당신과 연결할 수 있는 정보가 줄어듭니다.

개인정보 보호에 중점을 둔 브라우저를 사용하세요. 예를 들어 Firefox나 Brave는 기본적으로 많은 트래커를 차단합니다. 개인정보 보호에 중점을 둔 유럽의 대체 웹 브라우저도 살펴볼 수 있습니다.

Proton Mail로 전환하세요. Proton Mail은 비공개적이고 안전한 이메일 서비스로, 이메일을 읽을 수 없고 광고, 추적, 감시를 위해 받은 편지함을 스캔하지 않습니다. 또한 마케터가 메시지를 열었는지 확인하는 데 흔히 사용하는 추적 픽셀과 기타 지표도 차단합니다.

웹사이트, 앱, 광고 네트워크에서 IP 주소를 숨기려면 VPN(새 창)을 사용하세요. 그러면 이들이 IP 주소를 이용해 당신의 위치를 추정하거나 웹사이트 전반의 활동을 연결할 수 없습니다. Proton VPN에는 NetShield라는 기능도 있어 광고와 트래커가 로드되기 전에 차단합니다. 독립적으로 감사받은 노로그 방침(새 창)을 따르므로 온라인에서 하는 일을 기록으로 보관하지 않습니다.

암호화된 비밀번호 관리자를 사용해 강력하고 고유한 비밀번호를 만드세요. 그러면 하나의 계정이 침해당해도 나머지 계정이 노출되지 않습니다. Proton Pass는 뉴스레터, 경품 추첨, 온라인 상점을 위한 hide-my-email 별칭도 제공합니다. 별칭 중 하나에 스팸이 오기 시작하면 누가 이를 공유하거나 유출했는지 확인한 뒤 해당 별칭을 비활성화할 수 있습니다.

Tamayo의 보도에서 분명히 드러나듯이, 데이터 브로커는 우리의 데이터 위에 세워진 비즈니스 모델의 일부입니다. 하지만 GDPR과 우리의 개인정보를 보호하는 도구는 통제권을 되찾을 방법을 제공합니다. 목표는 인터넷에서 사라지는 것이 아니라 누가, 어떤 이유로 우리의 데이터에 접근할 수 있는지 의도적으로 정하는 것입니다.