캘리포니아, 오픈소스 OS를 연령 인증 의무에서 제외하다

캘리포니아 주의회가 오픈소스 운영체제를 연령 인증 의무 대상에서 빼는 법안 AB 1856을 통과시켰다. 상원은 8월 21일 법안을 수정한 뒤 26일 39대 0의 만장일치로 가결했고, 하원은 다음 날 이 수정안을 그대로 받아들였다. 법안은 원래의 디지털 연령 보증법(Digital Age Assurance Act)에 서명했던 개빈 뉴섬 주지사에게 넘어간 상태다. 모법은 2027년 1월 1일부터 시행될 예정이며, 이번 개정으로 리눅스 배포판과 SteamOS 등이 윈도우·macOS·iOS·안드로이드처럼 계정 설정 단계에서 사용자 연령 데이터를 수집해야 하는지를 둘러싼 근 1년간의 불확실성이 일단락됐다.

무엇이 어떻게 제외되나

개정안의 핵심은 '운영체제 제공자' 정의를 손본 데 있다. 수령자가 소프트웨어를 복제·재배포·수정할 수 있도록 허용하는 라이선스 조건으로 OS나 애플리케이션을 배포하는 주체는 이 정의에서 빠진다. GPL, MIT, BSD, Apache 라이선스가 모두 이 요건을 충족하므로 데비안, 페도라, 우분투, 아치, 그리고 BSD 계열이 법의 적용 범위 밖으로 나간다.

두 번째 제외 조항은 '커버드 앱스토어를 통해 독립 실행형 애플리케이션으로 소비자에게 제공되지 않는' 소프트웨어 구성 요소를 애플리케이션 정의에서 배제한다. apt나 pacman 같은 패키지 관리자로 배포되는 라이브러리와 의존성이 여기에 해당한다. 법이 저장소는 앱스토어가 아니라고 명시하지는 않지만, 스토어의 주요 의무가 사용자의 OS 제공자로부터 연령 신호를 받아 개발자에게 전달하는 것인데, 적용에서 빠진 오픈소스 OS는 애초에 그런 신호를 만들어내지 않는다. 세 번째 조항은 호스트 애플리케이션 안에서만 작동하는 확장·부가 기능을 배포하는 스토어를 제외해, 브라우저 확장 프로그램 스토어도 범위 밖으로 뺐다.

원안의 허점도 정리

이번 개정은 조문 자체의 결함도 손봤다. 원안의 '사용자' 정의는 '기기의 주 사용자인 아동'으로 되어 있어, 사실상 캘리포니아의 모든 기기 소유자를 아동으로 분류하는 문제가 있었다. 이 법의 신호 체계는 성인이 계정 설정 시 자신의 연령을 선언해 기기가 만 18세 이상으로 표시되는 구조인데, 원래 정의대로라면 누구도 성인으로 표시될 수 없었다. 개정안은 이 정의를 삭제했다.

또한 법으로 요구되는 경우가 아니라면 누구도 OS 제공자나 앱스토어에 연령 신호를 요청하지 못하도록 하는 조항이 새로 들어갔다. 연령 인증이 필요하지 않은 상황에서도 연령 API가 범용 데이터 수집 통로로 악용될 소지를 차단하려는 조치다. 플랫폼과 개발자에게는 잘못된 신호에 대한 선의의 면책(safe harbor)이 주어져, 연령 게이팅 신호가 부정확할 때 책임에서 보호받는다.

남는 회색 지대

윈도우, macOS, iOS, 안드로이드는 여전히 전면 적용 대상이다. 2027년 1월 1일부터 계정 설정 시 연령 수집이 요구되며, 그 이전에 설정된 기기에는 2027년 7월 1일이라는 후속 기한이 적용된다. SteamOS의 위치는 아직 분명하지 않다. 아치 기반 시스템 구성 요소는 오픈소스지만, 밸브가 독점 소프트웨어인 스팀 클라이언트와 함께 이미지를 배포하기 때문이다. 반면 오픈소스 MIT·Apache 라이선스로 배포되는 GrapheneOS는 3월에 연령 인증 의무를 따르지 않겠다고 밝힌 바 있는데, 이번 개정으로 법의 범위에서 완전히 벗어났다. 다만 브라질의 디지털 ECA는 여전히 적용된다.

디지털 연령 보증법과 AB 1856 수정안을 모두 작성한 버피 윅스 의원은 리눅스 개발자들과 전자프런티어재단(EFF)의 비판을 받은 뒤 2월에 이 예외 조항을 발의했다. 한국 실무자 관점에서 이 개정은 단순한 지역 규제 이슈를 넘어, 연령 인증 같은 규제가 오픈소스 배포 모델과 정면으로 충돌할 때 라이선스 성격 자체를 규제 면제의 기준선으로 삼는 하나의 선례를 보여준다. 사용자 신호를 강제하는 규제 API가 의도치 않게 상시 데이터 수집 창구로 변질될 위험, 그리고 SteamOS처럼 오픈소스와 독점 요소가 뒤섞인 제품이 겪는 분류의 모호함은 앞으로 유사한 입법이 늘어날 때 반복적으로 부딪힐 지점이다.