FTC, 아동 연령확인 개인정보 예외 열었다

미국 연방거래위원회(FTC)가 아동 온라인 개인정보 규제에서 연령확인 목적의 개인정보 수집에 제한적 예외를 열었다. 소셜미디어 규제를 접은 조치라기보다, 아동 온라인 개인정보보호법(COPPA) 안에서 연령확인 기술을 쓰려는 사업자에게 한시적 비집행 조건을 제시한 성명이다.

FTC는 2026년 2월 25일 ‘연령확인 기술 채택 촉진을 위한 집행정책성명’을 내고 일반 이용자 대상 서비스와 혼합 이용자 대상 서비스가 사용자 나이 판별만을 위해 개인정보를 수집·이용·공개하는 경우 일정 조건 아래 COPPA 위반 집행에 나서지 않겠다고 밝혔다. COPPA는 13세 미만 아동의 개인정보를 수집·이용·공개하기 전에 부모에게 고지하고 검증 가능한 동의를 받도록 하는 미국 아동 온라인 개인정보 보호 규정이다.

FTC가 붙인 조건은 구체적이다. 사업자는 연령확인 외 목적으로 정보를 쓰거나 공개할 수 없고, 필요한 기간이 지나면 즉시 삭제해야 한다. 제3자에게 정보를 제공할 때는 비밀유지와 보안 역량을 확인해야 한다.

부모와 아동에게 명확히 고지하고 합리적 보안조치를 두는 것도 조건에 포함됐다. 연령 판별 수단이 합리적으로 정확한 결과를 내는지도 검증해야 한다. 예외의 초점은 개인정보 수집 허용이 아니라, 연령확인이라는 단일 목적에 맞춘 제한적 집행 유예에 놓여 있다.

이번 성명은 정식 규칙 개정이 아니다. FTC는 COPPA 규정의 연령확인 메커니즘을 다시 검토할 의향이 있다고 밝혔다. 성명은 관련 최종 개정안이 연방 관보에 실리거나 FTC가 철회할 때까지 효력을 유지하며, 표결은 2대 0으로 이뤄졌다.

시간 축을 보면 FTC는 2026년 1월 28일 연령확인 워크숍을 먼저 열었다. 규제기관, 학계, 산업계, 아동안전 기술업체 관계자가 참여했고 일정표에는 구글(Google), 메타(Meta), 애플(Apple), Yoti, SuperAwesome, Future of Privacy Forum, CATO Institute 관계자가 포함됐다. 이후 한 달가량 뒤 정책성명이 나왔다.

연령확인은 온라인 서비스가 이용자의 나이를 추정하거나 확인해 특정 기능 접근을 제한하는 절차를 말한다. 통상 생년월일 입력처럼 약한 방식부터 신분증, 얼굴 추정, 결제 정보, 제3자 검증업체 확인까지 여러 방식이 쓰인다. 문제는 정확도를 높일수록 더 민감한 개인정보를 요구할 가능성이 커진다는 점이다.

아동 보호 필요성을 앞세운 쪽은 연령확인이 현실적 수단이라고 본다. 커먼센스미디어(Common Sense Media)는 2026년 2월 9일 공개한 조사에서 성인 95%가 아동을 특정 온라인 콘텐츠와 기능에서 보호할 필요가 있다고 답했다고 밝혔다. 소셜미디어와 온라인 게임에 대한 연령확인을 지지한 응답자도 10명 중 6명 이상이었다.

다만 같은 조사에서도 우려는 함께 나타났다. 응답자 35%는 개인정보와 데이터 보안을 걱정했고, 약 3분의 1은 연령확인 우회 가능성을 지적했다. 아동 보호라는 목적에는 공감하더라도, 이를 구현하는 기술과 데이터 처리 방식에는 불신이 남아 있는 셈이다.

반대 쪽은 익명성과 표현의 자유 침해를 문제 삼았다. 아리 콘(Ari Cohn) FIRE 기술정책 수석변호사는 “연령확인은 신원확인”이라고 말했다. FIRE는 2026년 2월 27일 성명에서 이번 조치가 온라인 이용 과정에서 신원 확인을 요구하는 방식으로 이어질 수 있다고 비판했다.

법원 판단도 규제 논의의 변수로 제시됐다. 로이터는 버지니아주 연방법원이 2026년 2월 27일 아동 소셜미디어 보호를 명분으로 한 주법 집행을 막았다고 전했다. 이 법은 연령확인과 16세 미만 이용자의 하루 1시간 사용 제한을 담았다.

패트리샤 톨리버 자일스(Patricia Tolliver Giles) 미국 지방법원 판사는 성인과 아동, 구글·메타·넷플릭스·레딧·X 등을 회원으로 둔 NetChoice의 표현의 자유 권리 침해 주장이 받아들여질 가능성이 있다고 봤다. 연령확인 의무가 아동 보호 장치로 설계돼도, 실제 집행 과정에서는 성인의 접근권과 익명 이용까지 제한할 수 있다는 쟁점이다.

아동의 온라인 이용 실태는 규제 논의를 밀어 올리는 근거로 쓰이고 있다. Aura는 2025년 9월 공개한 보고서에서 13세 미만 아동 거의 5명 중 1명이 하루 4시간 넘게 소셜미디어를 사용한다고 밝혔다. 온라인 전체 이용시간이 아니라 소셜미디어 사용시간 기준의 수치다.

이번 성명은 미국 내 아동 온라인 안전 입법 흐름과도 맞물린다. 본지는 앞서 아동 온라인 안전법이 미 상원 상무위원회를 통과한 흐름을 전했다. 또 미 법무부와 FTC가 틱톡(TikTok)·바이트댄스(ByteDance)를 상대로 제기한 COPPA 위반 소송과 관련해 아동 개인정보 소송 합의 보도도 이어졌다.

한국 플랫폼과 블록체인 서비스에도 쟁점은 남는다. 미성년 이용자 확인, 개인정보 최소 수집, 제3자 검증업체 활용 방식은 서비스 설계 단계의 규제 리스크가 될 수 있다. 특히 지갑, 게임, 커뮤니티, 소셜 기능이 결합된 서비스는 연령확인과 개인정보 보호를 별도 절차가 아니라 기본 설계 요건으로 다뤄야 하는 환경에 가까워지고 있다.

FTC 성명은 현재로서는 COPPA 안에서 연령확인 목적 개인정보 수집을 제한적으로 허용한 집행정책성명이다. FTC가 예고한 COPPA 규정 검토와 향후 연방 관보 절차가 실제 적용 범위와 사업자 의무를 가를 예정이다.