틱톡이 2019년 합의서를 지우려고 1억 달러를 더 얹었다

합의문에서 먼저 눈에 걸리는 건 4억 달러가 아니다. 그 돈이 한 번에 나가지 않는다는 조건이다.

1억 달러는 옛 명령서가 지워지는 날 나간다

미국 법무부는 2026년 8월 21일 틱톡·바이트댄스와 4억 달러에 합의했다고 발표했다. 3억 달러는 곧바로 내고, 남은 1억 달러는 법원이 뮤지컬리를 상대로 내려져 있던 기존 동의명령을 취소하는 결정을 내렸을 때 낸다. 뮤지컬리는 틱톡의 전신이 된 립싱크 앱이다. 2019년 2월 미국 연방거래위원회와 570만 달러에 합의하면서 아동 계정 처리에 관한 명령을 함께 받았고, 그 명령이 아직 살아 있다.

동의명령은 재판으로 시비를 가리는 대신 회사가 특정 조치를 이행하겠다고 법원 앞에서 약속하는 문서다. 한번 걸리면 그다음부터는 성격이 달라진다. 같은 항목에서 문제가 생겼을 때 법 위반인지부터 따지는 게 아니라 약속한 걸 안 지켰다는 쪽으로 넘어간다. 회사 장부에서 이 문서 한 장이 남아 있는 것과 지워지는 것의 차이가 이번 합의에서 1억 달러로 값이 매겨졌다.

취소 결정은 아직 나오지 않았다. 조건이 걸린 돈이라 문서상으로는 실제 지급이 3억 달러에서 멈출 여지도 있다. 사건은 캘리포니아 중부연방지방법원에 걸려 있고, 법무부 민사국 집행소송부가 연방거래위원회로부터 넘겨받아 맡았다.

570만 달러에서 4억 달러까지, 같은 법 같은 회사

두 숫자를 나란히 놓으면 배수가 70이다. 2019년 570만 달러, 2026년 4억 달러. 근거 법률은 둘 다 COPPA다. 미국의 아동 온라인 프라이버시 보호법으로, 만 13세 미만 이용자의 개인정보를 모으려면 부모 동의를 먼저 받으라는 게 뼈대다.

법무부가 2024년 8월 2일 소장을 내면서 주장한 위반 기간은 2019년부터였다. 앞선 합의로 명령을 받아 둔 상태에서 흘러간 시간이 그대로 위반 구간으로 계산됐다는 뜻이다. 규제 비용을 계산할 때 흔히 빠뜨리는 자리가 여기다. 처음 걸렸을 때 낸 금액을 상한처럼 기억해 두지만, 실제 값은 그 뒤로 몇 년이 더 지났는지에 따라 다시 매겨진다.

국내 기준도 같이 확인해 둘 만하다. 개인정보 보호법은 만 14세 미만 아동의 개인정보를 처리하려면 법정대리인 동의를 받도록 한다. 미국은 13세, 한국은 14세다. 두 시장에 같은 앱을 내놓으면 연령 구간이 하나가 아니라 둘이 되고, 가입 화면이 아니라 데이터 보관 정책 쪽에서 먼저 어긋난다.

소장이 지목한 자리는 가입 화면이 아니었다

2024년 소장의 주장은 세 갈래다. 첫째, 2019년부터 만 13세 미만 아동이 일반 계정을 만들어 성인과 영상·메시지를 주고받게 두었고 부모에게 알리거나 동의를 받지 않은 채 개인정보를 모아 보관했다. 둘째, 13세 미만용으로 따로 만든 키즈 모드에서도 이메일 주소를 비롯한 개인정보를 모아 남겼다. 셋째, 부모가 자녀 계정을 찾아 삭제해 달라고 요청해도 자주 처리하지 않았고, 아동이 만든 계정을 찾아 지우는 내부 절차 자체가 부실했다.

앞의 둘은 제품 설계 이야기로 읽힌다. 금액을 키운 쪽은 세 번째다. 연령 확인 화면은 스크린샷 한 장으로 설명이 되지만 삭제 요청 큐는 그렇지 않다. 언제 요청이 들어왔고 며칠 뒤에 무엇이 지워졌는지가 티켓 시스템에 날짜째로 남아 있고, 그 기록이 곧 상대편 증거가 된다. 법무부는 회사가 아동인 줄 알고 있던 이용자의 계정과 정보조차 지우지 않았다고 적었다. 이 문장에서 다투기 어려운 대목은 아동이었는지가 아니라 알고 있었는지다.

가입 정책을 바꾼 이력도 항목에 들어갔다. 이용자가 가입 연령에 맞는지 판단하기 더 어려워지는 방향으로 등록 절차를 바꿨다는 주장이다. 성장 지표를 올리려고 가입 마찰을 줄인 변경이 몇 년 뒤 소장의 한 줄로 돌아온 셈이다.

삭제 요청이 들어온 뒤 며칠이 걸리는지 세어 보자

미성년 이용자가 들어올 수 있는 서비스를 굴린다면 지금 뽑아 볼 숫자가 있다. 계정·데이터 삭제 요청의 처리 소요일 분포다. 평균값 말고 가장 오래 걸린 5%를 본다. 소송에서 인용되는 건 평균이 아니라 최악의 사례이고, 그 5%가 몇 건인지도 같이 세어 둔다.

그다음은 인지 시점의 기록이다. 어떤 계정이 미성년일 수 있다는 정보가 회사에 들어온 경로가 고객문의든 사내 신고든 자동 탐지든, 그날짜가 남는지 확인한다. 남아 있으면 그때부터 며칠 만에 처리했는지를 설명할 수 있고, 안 남아 있으면 언제부터 알고 있었는지를 상대가 정한다.

연령 관련 화면이나 정책을 바꿀 때는 변경 사유를 한 줄이라도 적어 둔다. 전환율 실험으로 생년월일 입력 단계를 빼는 결정은 대시보드에서는 개선으로 보이고 소장에서는 다르게 보인다. 두 해석이 갈리는 자리에 남는 건 그때 적어 둔 한 줄뿐이다.

옛 시정명령이나 합의서가 회사에 남아 있다면 그 문서를 다시 펼쳐 보는 것도 포함이다. 이번 건에서 그 한 장을 지우는 값이 1억 달러였다.

법무부는 발표문에서 2024년 소장을 낸 뒤 틱톡의 소유 구조와 경영진, 컴플라이언스 조직과 프라이버시 관행이 크게 바뀌었고 미성년 보호 장치도 실제로 강화됐다고 적었다. 합의 금액에 그 개선이 반영됐다는 뜻으로 읽힌다. 동시에 같은 문서는 이번에 정리된 청구가 주장일 뿐이며 책임이 확정된 바 없다고도 밝혔다. 남은 1억 달러가 언제 움직이는지는 뮤지컬리 동의명령을 취소하는 결정이 실제로 나오느냐에 달려 있고, 그 결정은 아직 없다.