TikTok, "어린이 개인 정보"로 4억 달러 합의, 일본도 무관하지 않은 "16세 미만 데이터 보호"의 전환점

TikTok을 둘러싸고, 세계의 SNS 사업자들에게 무시할 수 없는 거액의 합의가 성립되었다.

미국 법무부는 2026년 8월 21일, TikTok, ByteDance 및 관련 기업과의 사이에서, 아동의 온라인 프라이버시 보호를 둘러싼 소송에 대해 4억 달러의 합의에 도달했다고 발표했다.

금액만 봐도 크다. 미국 법무부에 따르면, 이 합의는 아동의 프라이버시를 보호하는 미국법 "COPPA"에 관련된 사건으로, 과거 최대급의 회수액 중 하나가 된다.

그러나, 이 문제의 본질은 4억 달러라는 금액이 아니다.

문제시되는 것은, 스마트폰과 SNS가 아동의 일상생활에 깊이 스며든 시대에, "기업은 아동에 대해 어디까지 정보를 수집해도 되는가", "아동 본인의 동의만으로 충분한가", "연령 확인을 어디까지 엄격히 해야 하는가"라는 문제다.

그리고 이는 미국만의 이야기가 아니다.

일본에서도 2026년 7월에 개정 개인정보 보호법이 공포되어, 16세 미만 아동의 개인정보에 대해 법정 대리인의 관여와 아동의 "최선의 이익"을 중시하는 방향으로 제도가 움직이기 시작하고 있다.

TikTok의 4억 달러 합의는, 일본에 있어서도 "해외에서 일어난 SNS 기업의 불상사"로 끝낼 수 없는 사건인 것이다.

문제가 된 것은 13세 미만 아동의 데이터

이번 소송의 배경에 있는 것은, 미국의 Children's Online Privacy Protection Act, 즉 COPPA다.

COPPA에서는 원칙적으로, 13세 미만 아동으로부터 온라인 서비스가 개인정보를 수집할 경우, 보호자에 대한 통지나 동의 취득 등이 요구된다.

미국 법무부와 미국 연방거래위원회(FTC)는 2024년, TikTok과 ByteDance를 제소했다.

정부 측이 문제시한 것은, 단순히 "13세 미만의 사용자가 TikTok을 사용하고 있었다"는 것만이 아니다.

소장에 따르면, TikTok에서는 13세 미만 아동이 일반 계정을 생성하고, 동영상을 제작·시청·공유하거나, 다른 사용자와 교류할 수 있는 상태가 있었다고 한다.

더 나아가, 13세 미만을 대상으로 준비된 "Kids Mode"에서도, 이메일 주소를 포함한 개인정보가 수집·보유되고 있었다고 미국 정부는 주장했다.

보호자가 아동의 계정을 발견하고 삭제를 요구해도, 반드시 적절히 계정이나 정보가 삭제되지 않았던 사례가 있었다고도 지적되고 있다.

SNS 기업에게 연령 확인은 매우 어려운 문제다.

이용 시작 시 생년월일을 입력하게 하는 것만으로는, 아동이 나이를 속이는 것은 쉽다. 한편, 연령 확인을 엄격히 하려다가 신분증이나 얼굴 이미지, 생체 정보를 요구하면, 이번에는 연령 확인 자체가 새로운 프라이버시 문제를 일으킬 수 있다.

"아동을 보호하기 위해, 더 많은 개인정보를 수집한다"는 모순이 발생할 수 있는 것이다.

이번 사건은, 바로 이 어려움을 상징하고 있다.

TikTok에게는 "처음의 경고"가 아니었다

문제를 더 무겁게 하는 것은, TikTok의 전신인 Musical.ly를 둘러싼 과거의 경위다.

미국 정부는 2019년에도, Musical.ly에 대해 COPPA 위반을 둘러싼 조치를 취하고 있다.

그 후, 동사에는 아동의 프라이버시 보호에 관한 일정한 대응이 요구되었다.

그럼에도 불구하고, 미국 법무부와 FTC는 2024년, 2019년 이후에도 문제가 되는 행위가 계속되었다고 TikTok 측을 제소했다.

즉, 미국 정부 측에서 보면, 이번 소송은 "신흥 SNS 기업이 규칙을 몰랐다"는 단순한 사례가 아니다.

이미 한 번, 아동의 개인정보에 대해 규제 당국으로부터 지적을 받은 기업 그룹이, 그 후 어디까지 실효성 있는 대책을 취했는지가 물어졌던 사건이었다.

4억 달러의 내역은 "3억 달러＋1억 달러"

미국 법무부의 발표에 따르면, TikTok 측은 우선 3억 달러를 지불하고, 더 나아가 Musical.ly에 관련된 과거의 동의 명령이 취소되는 것을 조건으로 1억 달러를 추가로 지불한다.

합계 4억 달러가 된다.

다만, 여기서 주의해야 할 점이 있다.

이번 합의는, 법원이 TikTok의 불법 행위를 최종적으로 인정한 판결이 아니다.

미국 법무부 자신도, 합의에 의해 해결되는 정부 측의 주장은 어디까지나 "allegations", 즉 제기된 내용이며, 법적 책임에 대한 인정은 이루어지지 않았다고 하고 있다.

따라서, "TikTok이 4억 달러를 지불했으니, 정부 측의 주장이 모두 재판에서 사실로 인정되었다"고 이해하는 것은 정확하지 않다.

한편, 기업 측이 거액의 지불로 장기 소송을 종결시키는 판단을 한 것 자체는, 아동의 데이터 보호가 거대 플랫폼에 있어서 중대한 경영 리스크가 되었다는 것을 보여준다.

미국 법무부는 TikTok 측의 개선도 평가

흥미로운 것은, 미국 법무부가 합의 발표 중에, TikTok을 일방적으로 비판하는 것만이 아니라, 2024년의 제소 이후에 이루어진 개선에 대해서도 언급하고 있다는 점이다.

법무부에 따르면, TikTok에서는 소유 구조나 경영, 컴플라이언스 기능, 프라이버시 대응 등에 큰 변화가 있었고, 젊은 이용자를 보호하는 시스템이나 연령에 관한 관리, 보호자에 의한 감독 기능 등도 강화되었다고 한다.

TikTok 자신도 지금까지, 보호자와 10대 이용자의 계정을 연계할 수 있는 "Family Pairing"을 비롯해, 이용 시간의 제한, 프라이버시 설정, 콘텐츠 제한 등을 확충해왔다.

최근에는 보호자가 자녀의 팔로우·팔로워 상황을 확인할 수 있는 기능 등도 추가되어, 안전·프라이버시 기능을 늘리고 있다.

중요한 것은, 이번 문제를 "TikTok에는 안전 기능이 없다"는 단순한 이야기로 만들어버리지 않는 것이다.

오히려 과제는, 안전 기능이 존재하더라도, 연령 판정이나 데이터 수집, 삭제 요구에 대한 대응 등을 포함하여, 거대한 플랫폼 전체에서 제도가 실제로 기능하고 있는지 여부에 있다.

규약에 "13세 미만 금지"라고 쓰는 것만으로는 불충분하다.

SNS에서는 "4억 달러도 사업 비용일 뿐"이라는 냉소적인 반응

발표 직후, 해외 SNS나 게시판에서는 다양한 의견이 나왔다.

특히 Reddit의 기술 관련 커뮤니티 등에서 두드러진 것은, "4억 달러라는 금액이 정말로 거대 플랫폼의 행동을 바꿀 만큼의 제재인가"라는 의문이다.

어떤 이용자는, 거액 기업에게 벌금이 단순히 "사업을 계속하기 위한 비용"이 되어버리는 것이 아닌가 하는 취지의 의문을 제기하고 있다.

다른 이용자에게서는, "돈을 지불하는 것보다, 실제로 아동을 보호하기 위해 서비스가 어떻게 변하는지가 중요하다"는 목소리도 나왔다.

"아동의 프라이버시에 4억 달러라는 가격을 붙인 것에 불과한 것이 아닌가"라고 받아들이는 엄격한 의견도 확인할 수 있다.

이러한 반응의 배경에는, 거대 IT 기업에 대한 벌금이 반복되어도, 이용자 측에서 보기에 서비스의 구조가 크게 변화하고 있는 것처럼 느껴지지 않는다는 불신감이 있다.

매출이나 기업 가치가 매우 큰 기업의 경우, 수억 달러 규모의 지불조차, 경영 자체를 흔들 제재가 되지 않을 가능성이 있기 때문이다.

한편, 연령 확인을 더욱 엄격히 하는 것에 대한 경계감도 SNS에서는 보인다.

아동을 판별하기 위해, 모든 이용자에게 신분증 제출이나 얼굴 인식을 요구하게 되면, "아동의 프라이버시를 보호하기 위해, 어른도 포함하여 더 많은 개인정보를 기업에 제공해야 한다"는 상황이 될 수 있다.

이 문제에는 단순한 정답이 없다.

"더욱 연령 확인을 엄격히 해야 한다"는 요구와, "플랫폼에 더 이상 개인정보를 제공하고 싶지 않다"는 요구를 동시에 충족시킬 필요가 있기 때문이다.

덧붙여, 발표 직후 공개 검색에서 확인할 수 있는 범위에서는, 일본어권에서 이번 4억 달러 합의 그 자체에 대한 대규모 논의는 아직 제한적이다.

따라서, 여기서 소개한 반응은 주로 영어권 SNS·게시판에서 확인된 것이며, SNS 이용자 전체의 의견을 통계적으로 나타내는 것은 아니다.

일본에서는 "13세"가 아닌 "16세 미만"이 중요한 숫자로

이번 뉴스를 일본에서 보는 데 있어서, 매우 중요한 움직임이 있다.

2026년 7월, 일본에서는 개인정보 보호법 등의 일부를 개정하는 법률이 공포되었다.

이 개정에서는, 아동의 개인정보 보호에 대해 큰 변화가 포함되어 있다.

개인정보 보호위원회가 공표한 자료에서는, 16세 미만의 본인에 대해, 개인정보의 이용 목적의 통지나 일정한 동의 취득 등에 법정 대리인을 관여시키는 구조가 제시되어 있다.

더 나아가, 미성년자의 연령이나 발달 정도에 따라, 그 "최선의 이익"을 우선적으로 고려하고, 권리 이익을 해치지 않기 위해 필요한 조치를 강구하도록 요구하는 방향이 되고 있다.

즉, 일본에서도, 지금까지처럼 "이용 규약에 동의 버튼이 있으니 좋다", "본인이 클릭했으니 동의 완료"라는 발상만으로는, 아동의 데이터를 다룰 수 없는 시대로 나아가고 있다.

개정법은 일부를 제외하고, 공포 후 2년 이내의 정령으로 정하는 날에 시행되기 때문에, 상세한 정령이나 가이드라인 정비는 앞으로 진행된다.

그럼에도 불구하고 기업에게 준비 기간은 이미 시작되었다고 할 수 있다.

TikTok의 미국 소송은, 일본 기업에게도 몇 년 후의 리스크를 미리 보여주는 것처럼 보인다.

일본의 아동은 이미 "자신 전용 스마트폰"이 당연하게

일본에 있어서 이 문제가 중요한 것은, 아동의 인터넷 이용이 특수한 행동이 아니라, 완전히 일상화되고 있기 때문이다.

아동가족청이 공표한 레이와 7년도 "청소년의 인터넷 이용 환경 실태 조사"에서는, 스마트폰을 이용하고 있는 청소년 중, "자신 전용의 것을 사용하고 있다"고 답한 비율은, 초등학생에서 74.9％, 중학생에서 95.4％, 고등학생에서는 99.1％였다.

중고생이 되면, 스마트폰은 거의 완전한 "개인 단말"이라고 할 수 있다.

부모와 자녀가 같은 컴퓨터를 공유하던 시대와는 상황이 다르다.

보호자가 화면을 항상 확인하는 것은 어렵고, SNS, 동영상, 게임, 검색, 채팅 등이 아동 한 명 한 명의 단말 내에서 완결된다.

그렇기 때문에, 아동의 안전을 가정만의 책임으로 하는 것에도 한계가 있다.

동 조사에서는, 가정에서 인터넷 이용에 관한 규칙을 정하고 있는 보호자의 쪽이, 규칙을 정하지 않은 가정보다 필터링을 이용하고 있는 비율이 높다는 결과도 나왔다.

가정에서의 교육이나 규칙 만들기는 여전히 중요하다.

그러나, 그것만으로는 부족하다.

플랫폼 측의 연령에 따른 초기 설정, 데이터 수집의 최소화, 이해하기 쉬운 설명, 확실한 삭제 절차, 보호자용 관리 기능 등이 세트가 되지 않으면, 아동의 프라이버시를 보호하는 것은 어렵다.

"무엇을 게시했는가"뿐만 아니라 "무엇을 보았는가"도 데이터가 된다

일본의 보호자가 특히 의식할 필요가 있는 것은, "개인정보"라는 말에서 이름이나 주소, 전화번호만을 상상하지 않는 것이다.

현대의 SNS에서 이용자를 이해하는 재료가 되는