미국의 렉시스넥시스, ‘뒤섞인 파일’ 때문에 과도한 보험료뿐 아니라 대출·취업에서도 불이익 따르지만 수정 잘 받아들이지 않아

토머스 톨버트는 모터사이클을 갖고 있지 않다. 하지만 그에 따르면 올해 초 자동차보험회사를 바꿨을 때 자신이 소유한 것으로 된 모터사이클 사고 때문에 보험료가 거의 두 배로 올랐다. 톨버트는 그 잘못된 정보의 출처가 미국 전국 데이테베이스 시스템으로 관리되는 보험보상기록(Comprehensive Loss Underwriting Exchange: CLUE) 자동차 보고서라고 말했다. 자동차보험회사가 고객과의 거래에 동의하고 보험료를 책정하는 데 사용하는 데이터다. CLUE 보고서는 글로벌 데이터업체 렉시스넥시스 리스크 솔루션스(LexisNexis Risk Solutions, 이하 ‘렉시스넥시스’)가 취합하고 판매한다.

미국 소비자는 에퀴팩스(Equifax), 엑스페리언(Experian), 트랜스유니언(TransUnion)이라는 3대 신용평가기관의 신용 보고서에서 오류를 자주 확인하도록 권고받는다. 하지만 이젠 거기에 렉시스넥시스도 추가해야 할 듯하다.

렉시스넥시스는 소비자 데이터를 취합해 판매한다. 일반인의 경우 약 150가지 보고서를 만들어낼 수 있다. 데이터 업체는 대개 고유한 분야를 갖는다. 예를 들어 신용이나 보험 둘 중 하나다. 하지만 렉시스넥시스 보고서는 소비자 재정생활의 다양한 면을 아우른다. 그 데이터는 다른 기업이 특정 고객과의 보험을 재계약할지, 대출을 승인할지, 채용할지 등을 결정하는 데 중요한 자료가 된다. 게다가 3대 신용평가기관의 신용 보고서처럼 렉시스넥시스의 데이터에도 오류가 있을 수 있다. 특히 유효기간이 지난 정보나 다른 사람에 관한 데이터가 뒤섞인 경우 등은 개인금융에 아주 불리하게 작용할 수 있다.

톨버트의 보고서는 그와 아들이 운전하는 자동차 두 대를 대상으로 했지만 거기에는 동명이인인 토머스 톨버트가 관련된 것으로 보이는 모터사이클 사고 기록도 들어 있었다. 보고서에 따르면 그 두 명의 톨버트는 모두 플로리다주에 살고 있으며, 한때 같은 보험회사를 사용했다. 미들네임(성과 이름 사이에 쓰는 가운데 이름) 이니셜과 주소는 다르다. 렉시스넥시스는 업계 전문가들이 흔히 말하는 ‘뒤섞인 파일(mixed file)’에 의한 잘못된 톨버트 데이터를 갖고 있었을 가능성이 크다.

톨버트는 오랜 시간이 걸려 자신의 CLUE 보고서를 수정할 수 있었다. 그러나 보험회사로부터 보험료 인하를 승인받기엔 너무 늦어 보험회사를 다시 바꾸려 했다. 새 보험회사는 첫 견적에서 한 달에 납부할 자동차보험료가 약 370달러라고 했다가 곧바로 약 620달러로 견적을 수정했다. 그에 따르면 또다시 똑같은 동명이인과 데이터가 뒤섞였기 때문이었다. 톨버트는 그 때문에 어쩔 수 없이 보험 적용 범위를 줄이고 한동안 보험 없이 지내야 했다고 알려줬다. 톨버트는 ‘뒤섞인 파일’을 두고 씨름하느라(마치 두더지 잡기 게임처럼 느껴질 수 있다) 본업인 부동산 일에 전념하지 못했다. 그는 일을 못 하고 보낸 시간과 높은 보험료가 “내 지갑에서 돈을 빼간다”고 하소연했다.

미국 워싱턴 D.C. 소재 전자개인정보센터(EPIC)의 앨런 버틀러 선임고문은 소비자 보고서의 오류는 상당히 심각한 문제라고 지적했다. “그 부담이 궁극적으로 소비자에게 돌아가기 때문이다. 일이 그렇게 돌아가선 안 된다.”

소비자는 들어보지도 못한 회사에 의해 자신의 평판이 손상당할 수 있다. 미주리주 캔자스시티에서 활동하는 소비자 전문 변호사 마이클 랩에 따르면 대부분의 경우 소비자는 피해가 실제로 나타날 때까지는 자신의 기록에서 뭔가 잘못된 사실조차 모른다. 그는 자신의 법률회사가 10년 이상에 걸쳐 렉시스넥시스나 그런 부류의 회사를 상대로 한 수십 건의 소송을 맡았다고 말했다. “이것이 바로 소비자가 전혀 알 수 없는 가장 큰 문제다.”

렉시스넥시스의 제니퍼 그리가스 리치먼 대변인은 자사의 데이터 처리 수준이 업계의 평균 수준과 같거나 더 높다며 규제당국의 요건도 철저히 따른다고 말했다. “다시 한번 강조하지만 우리는 정확성을 가장 중시한다.” 그러나 소비자 전문 변호사와 개인정보 보호권 옹호론자들은 ‘뒤섞인 파일’ 등의 데이터 오류와 관련된 문제가 더 심해질 수 있다고 우려한다. 미국 연방의회 산하 회계감사원(GAO)의 2013년 보고서는 소비자 데이터를 수집하고 판매하는 회사(흔히 ‘데이터 브로커 업체’라고 부른다)의 수와 형태에서 “큰 증가”가 있다며 의회가 그 업계(렉시스넥시스 포함)를 더 엄격하게 규제하는 방안을 검토해야 한다고 촉구했다. 그러나 그로부터 거의 6년이 지나도록 규제는 거의 달라지지 않았고 업계는 계속 몸집을 키우며 진화했다.

랩 변호사는 요즘 미국 소비자가 렉시스넥시스만이 아니라 다른 여러 데이터 브로커의 추적을 피하기는 거의 불가능하다고 말했다. “지갑을 갖고 다니는 사람이면 누구나 데이터를 수집당한다.” 샌타클래라대학의 데이터 보호법 전문 교수로 이베이와 페이팔 등의 개인정보보호 문제를 다뤄온 리디아 데 라 토레는 많은 종류의 소비자 데이터를 두고 데이터 브로커 업체들이 “법적인 진공상태에서 영업한다”고 지적했다. 의회가 최근 소비자를 데이터 브로커 업체로부터 보호하기 위한 연방 차원에서 여러 규제 조치를 제안했지만 데 라토레 교수는 그중 어느 하나도 조만간 통과될 가능성이 희박하다고 본다.

렉시스넥시스는 법원과 정부기관의 문서 등 공공 기록을 통해 데이터의 많은 부분을 수집한다. 주택 매입, 결혼, 사업자 등록 등은 전부 공공 문서에 기록되며, 따라서 그 정보는 렉시스넥시스 파일로 흘러 들어간다. 하지만 그런 활동을 하지 않는 사람도 평범한 일상생활 속에서 렉시스넥시스가 수집할 수 있는 데이터를 만들어낼 수 있다. 대학 진학, 전문업 면허 취득, 휴대전화 가입, 유권자 등록, 이메일을 통한 웹사이트 등록 등이 그 일부의 예일 뿐 다른 활동도 수없이 많다. 렉시스넥시스는 2억8200만 건의 ID에 관한 공공 기록 830억 건을 보유한다고 홈페이지에서 밝힌다. 평균으로 보면 ID 하나당 약 290건의 기록이 있다는 뜻이다.

리치먼 대변인에 따르면 렉시스넥시스는 공공 기록만이 아니라 민간 자료에서도 데이터를 수집한다. 일부 소비자 보고서의 경우 그런 출처에는 보험회사도 포함된다고 업계 전문가들은 말한다. 버지니아주 페어팩스의 소비자법 전문 변호사로 렉시스넥시스의 ‘뒤섞인 파일’ 소송 여러 건을 담당한 적 있는 크리스티 켈리는 “그들은 마음만 먹으면 특정인이 아침 식사로 무엇을 먹는지도 알 수 있을 것”이라고 말했다.

무디스 인베스터스서비스의 에드 드포레스트 부사장에 따르면 렉시스넥시스 같은 데이터 브로커 업체는 사실상 ‘정보의 쇼핑몰’이다. 주택담보 대출, 보험 등의 상품을 제공하는 업체들은 소비자 고객의 적격성 여부를 판정하기 위해 렉시스넥시스에서 보고서를 구입할 수 있다.

이처럼 정보 공유가 쉽게 이뤄져 승인 절차를 간소화하는 장점은 있다. 그러나 다른 한편으로 데이터 오류에서 발생하는 피해가 더 심해질 수도 있다. 일단 오류가 만들어지면 렉시스넥시스를 통해 고객에게로 자연스럽게 이전될 수 있다. 그 고객 중에는 소비자 데이터를 수집하고 판매하는 다른 업체도 포함된다. 게다가 그런 이전과 거래는 대부분 비공개로 이뤄진다. 본인이 모르는 사이에 일파만파로 퍼져나간다는 뜻이다. 도널드 제인스는 거의 20년 동안 도널드 화이트헤드라는 남자를 찾는 전화와 그의 이름으로 된 우편을 받았다고 말했다. 업체들이 밀린 납입금을 받으려고 그에게 연락하려 했다. 제인스는 1997년 자동차를 임대하면서 신용조사를 받았는데 자신이 다른 누군가와 혼동되고 있다는 사실을 처음 알았다고 돌이켰다.

제인스는 3대 신용평가기관 전부에 그 문제를 제기했다. 그러자 엑스페리언은 기록을 수정했다고 회신했다. 제인스는 다른 신용평가기관에서는 회신을 받았다는 기억이 없다고 말했다. 그는 다른 사람에게 온 전화와 우편을 자신이 받기 시작하자 자신에게 연락한 채권자들을 추적해 그 정보의 출처를 알아내려고 수백 시간을 할애했다. 결국 제인스는 그 문제가 렉시스넥시스에서 비롯됐다는 사실을 확인하고 그 회사에 이의를 제기했다. 그에 따라 2016년 도널드 화이트헤드 앞으로 오는 전화와 우편이 중단됐다고 그는 말했다. 그러나 일시적이었을 뿐이었다. 그는 마침내 문제를 완전히 해결했다고 믿었지만 지난 8월 화이트헤드를 찾는 전화를 다시 받았다.

인디애나주에 살며 회계사로 일하는 제인스는 자신의 신용평가가 좋은 수준이지만 그처럼 ‘뒤섞인 파일’에서 비롯되는 혼동으로 일자리를 찾거나 금융거래를 할 때 문제 되지 않을까 우려스럽다고 말했다. 나중에 그는 수금회사 직원으로부터 자신의 사회보장 번호가 도널드 화이트헤드와 한자리만 다르다는 사실을 알게 됐다.

제인스와 톨버트는 생면부지의 사람과 혼동되는 문제를 겪었지만 그들과 달리 가족과 정보가 뒤섞이는 소비자도 있다. 프리랜서 작가이자 디지털 제품 영업자인 파라 파드는 개인 보안 정보가 쌍둥이 동생의 것으로 돼 있어서 여러 차례 온라인 뱅킹을 거부당했다. 그녀는 렉시스넥시스가 그 은행 보안정보의 출처라는 사실을 알아냈다고 말했다. “그런 실수를 바로잡으려는 우리 같은 사람에겐 그 피해가 실시간으로 발생하는데도 문제를 지적하면 ‘아 잘못됐군요… 실수할 수도 있지요’라는 식으로 행동하는 회사가 신물이 난다.” 렉시스넥시스의 리치먼 대변인은 서면 답변을 통해 사생활 보호를 위해 파드나 다른 사람의 문제도 논평할 수 없다고 밝혔다.

‘뒤섞인 파일’은 렉시스넥시스가 보험회사 등에서 수집한 데이터가 틀렸을 때 생길 수 있다. 자동차보험회사가 정보를 공유할 때 두 운전자를 혼동하는 경우가 그런 예다. 그러나 렉시스넥시스에 제공된 정보가 올바를 때도 그런 혼동이 일어날 수 있다. 예를 들어 토머스 톨버트 두 명 모두를 담당한 적 있는 보험회사는 그 두 사람의 데이터가 뒤섞이지 않았다는 것을 보여주는 문서를 증거로 제시했다.

보험회사의 데이터가 정확하다면 그런 혼동이 왜 생겼을까? 펜실베이니아주 필라델피아의 소비자 전문 변BANK호사 존 수밀라스에 따르면 렉시스넥시스가 조사를 진행할 때 특정인에 관해 충분한 정보를 갖고 있지 않거나 있더라도 제대로 사용하지 않을 경우 여러 사람의 데이터가 한 사람의 보고서에 섞일 수 있다. 그는 렉시스넥시스를 상대로 한 소송 여러 건을 대리했다. 예를 들어 수밀라스의 법률회사는 2014년 데이비드 스미스를 대리한 소송에서 승소했다. 미시간주에 사는 스미스는 신원조회에서 동명이인의 범죄 기록이 나타나 취업할 수 없었다. 소송 재판의 판결에 따르면 렉시스넥시스는 고용주에게 미들네임 제공하라고 요구하지 않았다.

렉시스넥시스의 변호사들은 이 판결에 이의를 제기했다. 그런 관행이 문제가 될 수 있다는 통보를 받은 적이 없으며, 본인의 정보임을 확인하는 다른 합리적인 대안도 없다는 주장이었다. 배심원은 스미스에게 37만5000달러를 배상하라는 평결을 내렸지만 그가 나중에 받은 배상금은 약 7만5000달러였다. 1심 법원이 배심원 평결의 배상금이 과도하다고 판단했기 때문이었다. 항소심에서도 1심의 배상금을 확정하면서 렉시스넥시스가 의도적으로 의무를 다하지 않은 건 아니라고 판결했다.

그러나 수밀라스 변호사는 “사회보장 번호나 생년월일, 또는 미들네임 등이 확인 가능하다면 그런 식별 사항을 사용하지 않을 정당한 이유가 없다”고 지적했다. 버지니아주의 소비자 전문 변호사 켈리에 따르면 경험으로 볼 때 렉시스넥시스는 이름이 일치하지 않는 정보도 포함하는 경우가 있다.

켈리 변호사는 최근 자신의 고객을 대리해 렉시스넥시스와 합의를 봤다. 렉시스넥시스가 그녀 고객의 신원조회 보고서에 다른 4명의 교통사고와 보험금 청구 기록을 포함해 보험료가 턱없이 높아졌기 때문이었다. 그 다른 사람들은 이름 철자가 다르고, 생년월일과 사회보장 번호도 전부 다 달랐다고 켈리 변호사는 말했다.

렉시스넥시스를 포함해 데이터 브로커 업체에선 주로 흔한 이름이 ‘뒤섞인 파일’의 대상이 될 가능성이 크다. 켈리 변호사에 따르면 영어식이 아닌 이름도 그렇다. 업체들의 확인 알고리즘에 맞지 않기 때문이다. 수밀라스 변호사의 동료 제임스 프랜시스도 지난 20년 동안 렉시스넥시스를 비롯한 여러 데이터 업체와 관련된 소송을 맡았다. 그는 특히 렉시스넥시스가 정확성 보장 의무를 등한시하는 것 같다고 지적했다. 렉시스넥시스의 리치먼 대변인은 특정 정책과 프린시스 변호사의 언급에 관한 논평을 거부하면서 법률 이행 여부를 확인하기 위해 자주 내부 감사를 한다고만 밝혔다.

오류가 어떻게 시작되든 렉시스넥시스의 신원조회 보고서가 널리 사용된다는 사실을 고려하면 소비자는 한시바삐 그런 오류를 반드시 바로잡아야 한다. 그러나 일부 소비자가 깨달았듯이 잘못된 데이터를 바로잡는 일은 절대 쉽지 않다. 렉시스넥시스는 자신의 파일에서 틀렸거나 불완전한 정보를 발견한 소비자와 관련된 분쟁처리 절차를 갖고 있다. 켈리 변호사가 대리한 자동차보험료 관련 의뢰인은 이의 제기 후 몇 주 만에 자신의 기록에서 잘못된 데이터를 바로잡을 수 있었다.

렉시스넥시스의 리치먼 대변인은 “우린 정보의 정확성을 보장하기 위해 소비자에게 자신의 데이터에서 잠재적인 오류를 발견하면 곧바로 이의를 제기하도록 권장한다”고 밝혔다. 그러나 일부 사례를 보면 그 절차가 그리 간단치 않다. 자신의 신원조회 보고서 사본을 요청하는 것이 첫 단계다. 프리랜서 작가인 파드는 그 사본을 받으려고 8개월에 걸쳐 3차례 발급을 요청해야 했으며, 고객서비스부로부터 이의 신청이 가능한지를 두고 번번이 상충하는 답변을 들었다. 제인스도 자신의 보고서 사본을 받아보는 데 그와 비슷하게 어려움을 겪었다고 말했다.

파드는 마침내 자신의 신원조회 보고서 사본을 받았을 때 자신의 정보와 쌍둥이 여동생, 그리고 그녀의 남자친구 데이터가 뒤섞여 있는 것을 발견했다. 보고서에는 자신의 동생 이름이 들어 있었지만 주소는 자신의 것으로 돼 있었다. 파드는 “렉시스넥시스에 있는 나의 기록이 공유되고 이전되는 과정에서 오류가 눈덩이처럼 불어난 듯하다”고 말했다. 그녀는 지난해 3월 렉시스넥시스에 데이터 오류를 수정해달라고 요청했지만 지난 8월까지 답변을 듣지 못했다.

취업이나 보험 가입이 시급한 소비자로선 렉시스넥시스의 분쟁처리 절차가 순조롭게 진행된다고 해도 너무 오래 걸려 답답할 수 있다. 켈리 변호사의 의뢰인에 따르면 그는 자동차보험료로 6개월 동안 1500달러 이상을 납부해야 했다. 시장 기준의 4배 이상이다. 수밀라스 변호사의 의뢰인 스미스는 법원에 제출된 증거에 따르면 엉뚱한 사람의 범죄 기록이 섞이는 바람에 한동안 실업자 신세로 전락해 공과금 등 각종 요금조차 납부할 수 없었다.

톨버트처럼 데이터 오류를 수정했지만 그 보고서가 수정된 상태로 유지되지 않는 듯하다. 그를 대리하는 랩 변호사는 “담당자를 직접 만나 실제 기록을 서로 확인하지 않고선 오류를 완벽하게 바로잡기는 상당히 어렵다”고 말했다. 데이터 브로커 업체가 서로 정보를 공유하는 경우가 많다는 사실도 오류 수정을 더욱 어렵게 만든다. EPIC의 버틀러 고문은 잘못된 신원조회 보고서를 배포한 업체도 그 정보의 출처를 모를 수 있다고 말했다. 렉시스넥시스는 지금까지 확인된 ‘뒤섞인 파일’이 몇 건이나 되는지 밝히지 않는다. 스미스의 소송 재판에서 렉시스넥시스는 최근 5년 동안 생성된 2400만 건의 소비자 신원조회 보고서에서 이의 제기 비율이 0.2%에 불과했다고 진술했다. ‘뒤섞인 파일’을 포함한 오류가 그 기간에 약 4만8000건이라는 계산이 나온다. 그 소송 재판을 담당한 항소 법원은 2016년 판결에서 그 비율을 두고 “아주 낮다”고 표현했다.

렉시스넥시스의 리치먼 대변인은 추가적인 세부 사항을 밝히지 않았지만 잘못된 데이터가 포함된 보고서는 “상당히 드물다”고 말했다. 그러나 프랜시스 변호사는 그 수치가 문제의 심각성과 실상을 제대로 반영하지 못한다고 지적했다. “실제로 생성된 잘못된 데이터의 건수가 아니라 소비자가 직접 이의를 제기한 건수를 가리킬 뿐이다. 상황을 모르거나 다른 이유로 이의를 제기하지 않는 소비자도 많다.”

미국 연방거래위원회(FTC)의 2004년 보고서에 따르면 엑스페리언·에퀴팩스·트랜스유니언의 신용평가 보고서에서 사회보장 번호 한두 자리가 틀리는 경우는 약 1~2%다. 그 후 2012년의 후속 보고서에 따르면 이의가 제기된 보고서의 경우 해당 소비자 자신의 데이터가 아닌 오류의 비율이 84%였다. 그 소비자 중 약 40%는 이의 제기 후에도 문제를 해결할 수 없었다고 FTC는 지적했다. 지난해 발표된 보고서에 따르면 미국 소비자금융보호국(CFPB)에 접수된 신용평가 또는 소비자 보고서 민원의 절반 이상이 데이터 오류와 관련된 문제였다.

게다가 켈리 변호사가 데이터 브로커 업체와 관련된 소송에서 흔히 보는 것이 ‘뒤섞인 파일’ 문제였다. 그녀는 “의뢰인 다수가 렉시스넥시스를 포함해 똑같은 소비자 보고서 서비스 업체를 똑같은 문제로 연거푸 고소한다”고 말했다. “오류가 계속 수정되지 않기 때문이다.” 게다가 소비자 데이터에 관한 연방정부 차원의 규제가 없다는 것이 문제를 더 복잡하게 만든다. 무료 보고서 사본 발급과 분쟁의 신속한 해결을 명시한 공정신용정보법(FCRA)은 렉시스넥시스가 서비스하는 보고서 전체가 아니라 그중 일부에만 적용된다. 데이터 브로커 산업 전체에 적용할 수 있는 포괄적인 연방정부 규제는 없다. 일부 주법과 연방 법규가 특정 형태의 소비자 데이터를 규제하지만 대부분은 1990년대와 그 이전에 만들어져 현실성이 떨어진다.

연방의회가 지난해 데이터 브로커 업체에 적용될 수 BANK있는 연방정부 차원의 규제를 제안했다. 보호 대상을 확대하고, 규정을 위반하는 업체의 임원을 더욱 엄격히 처벌하는 내용이다. 그러나 샌타클래라대학의 데 라 토레 교수는 그 분야가 정부의 우선순위가 아니기 때문에 조만간 그 법안이 통과될 가능성은 희박하다고 지적했다. 프랜시스 변호사는 “현재로선 많은 업체가 무법천지와 같았던 개척시대의 미국 서부 같은 환경에서 영업하면서 무엇이든 원하는 대로 한다”고 말했다.

그는 FCRA의 적용을 받는 보고서의 경우에도 업체들의 데이터 수집과 확인 관행이 기준에 부합하지 않을 수 있다고 지적했다. “그 기준은 신용평가 보고서 서비스 업체에 ‘가능한 최고 수준의 데이터 정확도’를 유지할 것을 요구하지만 업체가 그 기준에 미치지 못한다.” 그러나 렉시스넥시스의 리치먼 대변인은 자사가 FCRA의 기준을 철저히 지킨다고 반박했다. “우리는 가능한 최고 수준의 데이터 정확도를 유지하려고 최선을 다한다.”

스미스 소송 건의 2016년 항소심 판결에서 재판부는 “합리적인 배심원이라면 렉시스넥시스가 스미스의 미들네임을 요구하지 않은 부주의함으로 FCRA 기준을 위반했다고 결론지을 수 있다”고 지적했다. 렉시스넥시스의 책임이 “아주 크다”고 판결한 1심 재판부의 의견을 추인한 것이다. 그러나 렉시스넥시스의 데이터 확인 절차가 업계 기준에 맞거나 더 높다는 증거가 있다며 스미스에게 지급할 배상금 액수는 1심 판결보다 크게 줄였다.

EPIC의 버틀러 고문은 “대기업이 관련 기준을 따르기 위해 투자를 많이 한다는 것은 인정한다”고 말했다. “하지만 여전히 중대한 오류가 발생하고 있다면 그런 투자도 별 위안이 되지 않는다. 게다가 실제로 알려진 오류는 빙산에 일각에 불과하다.”

톨버트는 렉시스넥시스와 또다시 지루한 분쟁 처리 과정을 시작하기보다 얼마 전 소송을 제기하겠다고 통보했다고 말했다. “난 이 문제가 완전히 해결되고 다시는 재발하지 않기를 원한다. 렉시스넥시스가 이런 일을 저지르고는 그냥 슬쩍 넘어갈 수 없다는 사실을 깨달을 수 있도록 끝까지 물러서지 않겠다.”

- 앨리스 홀브룩



※ [필자는 개인금융 전문 웹사이트이자 콘텐트와 도구, 소비자 조언을 제공하는 앱 너드월렛(Nerd-Wallet)의 기자다. 이 글은 너드월렛 웹사이트에 먼저 실렸다.]

ⓒ이코노미스트(https://economist.co.kr) '내일을 위한 경제뉴스 이코노미스트' 무단 전재 및 재배포 금지