16세 미만 겨냥한 자동 재생·중독성 피드 제한
2026년 9월 미국 캘리포니아주가 통과시킨 아동 온라인 안전 법안은 스마트폰 사용 시간을 줄이자는 캠페인 수준의 조치가 아니다. 핵심은 플랫폼이 16세 미만 이용자에게 중독성 기능(addictive feature)을 제공하지 못하도록 막고, 이를 위해 연령 확인을 제도화한다는 점이다.
2027년 1월 1일부터 발효될 Assembly Bill 1709는 자동 재생(auto-play), 끝없이 이어지는 피드처럼 이용자의 체류 시간을 늘리는 설계 자체를 법의 대상으로 삼았다. 캘리포니아는 아이에게 책임을 묻던 디지털 안전 논의를 플랫폼 설계 책임으로 옮겼다.
이 변화는 한국의 학부모와 교사, 청소년 이용자에게도 멀리 있는 미국 주법 이야기에 그치지 않는다. 글로벌 사회관계망서비스(SNS), 동영상 플랫폼, 게임형 콘텐츠 서비스는 캘리포니아 같은 대형 시장의 규칙을 기준으로 기능을 재설계할 가능성이 크기 때문이다. 법무법인 Davis Wright Tremaine가 The National Law Review에 2026년 11월 13일 게재한 보고서에 따르면, 캘리포니아 법은 위반 사업자에게 고의 위반 시 피해 아동 1명당 최대 5만 달러, 과실 위반 시 2만 5천 달러의 민사 벌금을 부과할 수 있다.
숫자는 작지 않다. 피해 아동 1명 단위로 계산하는 벌금 구조는 대형 플랫폼에 이용자 규모가 곧 규제 리스크로 바뀐다는 메시지를 보낸다.
그동안 청소년의 온라인 과몰입 문제는 주로 가정의 훈육, 학교의 디지털 리터러시 교육, 개인의 자제력 문제로 다뤄졌다. 그러나 AB 1709는 다른 질문을 던진다. 아이가 짧은 영상 하나만 보려다 30분, 1시간을 넘기는 상황이 단순한 의지 부족인지, 아니면 서비스를 오래 보게 만드는 화면 배치와 추천 구조의 결과인지 묻는다.
법안이 겨냥한 중독성 피드와 자동 재생은 이용자가 다음 행동을 결정하기 전에 콘텐츠를 계속 밀어 넣는 방식이다. 본지 분석에 따르면, 이 지점이 이번 법안의 가장 큰 사회적 의미다.
규제의 초점이 청소년의 손가락에서 플랫폼의 설계표로 이동했다.
광고
연령 확인 의무는 두 번째 축이다. 플랫폼은 디지털 연령 확인 법(Digital Age Assurance Act)에 따라 이용자의 나이를 확인해야 하며, 16세 미만 이용자에게 중독성 기능을 제공하지 않도록 합리적인 조치를 취해야 한다.
단순히 가입 화면에 생년월일을 적게 하는 방식만으로 충분한지, 신분 확인이나 제3자 인증 같은 방식이 필요한지는 서비스별로 다르게 판단될 수 있다. Davis Wright Tremaine 보고서는 구체적 인증 기술을 확정적으로 제시하지 않았으므로, 특정 방식이 법적으로 의무화됐다고 단정할 수는 없다. 다만 연령 확인이 플랫폼 운영의 선택 사항에서 준법 비용의 핵심 항목으로 이동한 점은 확인된 사실이다.
이 지점에서 개인정보 보호의 긴장이 생긴다. 아이를 보호하려면 나이를 알아야 하지만, 나이를 확인하려면 이용자에 관한 정보를 더 모아야 할 수 있다.
캘리포니아가 같은 시기에 데이터 프라이버시와 인공지능(AI) 감독 관련 법안을 함께 처리한 이유도 여기에 있다. 아동 보호라는 명분만 앞세워 신분 정보 수집을 무제한 허용하면 또 다른 감시 구조를 만들 수 있다. 따라서 앞으로의 쟁점은 연령 확인을 하느냐 마느냐가 아니라, 어떤 데이터를 얼마나 적게 수집하고 얼마나 빨리 지우느냐로 좁혀질 가능성이 크다.
연령 확인 의무가 플랫폼 설계를 바꾸는 이유
AB 1709가 16세 미만 사용자에게 중독성 기능을 제공한 경우 계정과 관련 개인정보 삭제 의무를 둔 점도 눈여겨볼 대목이다. 이는 단순한 기능 차단보다 강한 조치다. 플랫폼은 미성년자 계정을 발견한 뒤에도 같은 방식으로 서비스를 계속 제공할 경우 사후 벌금만 감수하면 되는 구조가 아니다.
해당 계정과 개인정보를 정리해야 하는 운영 부담을 떠안는다. 클라우드 스토리지, 상업 거래, 소비자 리뷰를 위한 피드를 운영하는 웹사이트와 서비스는 제외 대상에 들어갔다.
캘리포니아가 모든 피드를 동일하게 보지 않고, 이용자를 계속 붙잡아 두는 소비형 피드와 거래·저장 목적의 기능을 구분했다는 뜻이다. 광고 규제 역시 일상에 영향을 미칠 수 있다.
캘리포니아 프라이버시 보호국(CalPrivacy Board)은 옵트아웃 선호 신호(Opt-Out Preference Signal) 규정 개정안을 통해, 기업이 해당 신호를 받으면 제3자의 교차 문맥 행동 광고(cross-context behavioral advertising)를 위한 쿠키 동기화(cookie syncing)를 중단해야 한다는 점을 명확히 했다.
광고
이용자가 추적 거부 의사를 브라우저나 기기 설정으로 표시했는데도 여러 사이트와 광고 기술 업체가 쿠키를 맞춰 이용자를 따라다니는 관행을 제한하겠다는 취지다. 한국 독자에게 익숙한 표현으로 바꾸면, 한 쇼핑몰에서 본 상품이 다른 앱과 웹사이트 광고칸에 반복해서 따라오는 구조 일부가 규제 대상에 가까워진다.
이 조치는 아동만의 문제가 아니라 성인 이용자의 개인정보 주권과도 연결된다. 반론도 있다. 연령 확인을 강화하면 성인 이용자까지 신분 확인 절차를 거쳐야 하고, 작은 스타트업은 준법 비용을 감당하기 어렵다는 주장이다.
이 우려는 가볍지 않다. 특히 개인정보를 적게 모으는 서비스일수록 새 인증 절차가 오히려 데이터 수집을 늘리는 역설을 만들 수 있다. 그러나 이 반론이 놓치는 부분이 있다.
지금까지 플랫폼은 추천 알고리즘과 자동 재생으로 얻는 체류 시간의 이익을 누리면서, 청소년 보호 비용은 가정과 학교에 상당 부분 넘겨왔다. 캘리포니아 법은 그 비용을 설계자에게 되돌리는 첫 단계에 가깝다. 한국이 이 흐름을 그대로 베끼기는 어렵다.
주민등록번호 체계, 본인확인 관행, 개인정보보호법 환경, 청소년 보호 정책의 역사 모두 미국과 다르다. 그럼에도 참고할 대목은 선명하다. 첫째, 청소년 보호 법제는 유해 콘텐츠 차단을 넘어 서비스 설계 규칙까지 다뤄야 한다.
둘째, 연령 확인은 개인정보 최소 수집 원칙과 함께 설계해야 한다. 셋째, 위반 벌금은 회사 전체 매출이나 단일 사건 기준만으로 볼 게 아니라 피해 아동 수와 연결할 때 플랫폼의 계산 방식을 바꾼다. Davis Wright Tremaine 보고서가 확인한 피해 아동 1명당 최대 5만 달러라는 벌금 구조는 바로 그 계산법을 압박한다.
광고
한국 가정·학교·기업이 봐야 할 다음 규칙
가정의 체감 변화는 기능의 작은 차이에서 시작될 가능성이 크다. 본지 정책 효과 분석에 따른 가능한 방향으로, 16세 미만 계정에서는 자동 재생이 기본값으로 꺼지거나, 끝없는 피드 대신 일정 시간이 지나면 멈춤 화면이 나타나는 방식이 거론될 수 있다.
원본 자료가 구체적 사용자환경(UI) 변경안을 제시한 것은 아니므로 이는 본지의 분석에 따른 전망이다. 다만 플랫폼이 법적 위험을 줄이려면 미성년자 계정과 성인 계정의 경험을 다르게 설계할 수밖에 없다. 부모가 아이의 스마트폰 시간을 일일이 감시하는 방식보다 서비스가 애초에 덜 빨려 들어가게 만드는 방식이 정책의 중심으로 이동한다는 뜻이다.
기업 입장에서는 미국 한 주의 규제가 글로벌 제품 전략을 흔드는 장면을 다시 보게 됐다. 캘리포니아는 인구와 시장 규모, 기술 기업 생태계 때문에 단일 주 이상의 영향력을 행사해 왔다.
이번에도 글로벌 플랫폼은 캘리포니아 이용자만 별도로 분리할지, 전 세계 미성년자 계정 정책을 같은 방향으로 조정할지 선택해야 한다. 본지 분석에 따르면, 지역별 기능 분리는 비용이 크고 운영 오류가 발생하기 쉽다. 그래서 대형 서비스는 강한 규제가 있는 시장의 기준을 넓게 적용하는 방식을 택할 유인이 있다.
한국 청소년 계정의 화면 변화가 캘리포니아 법에서 출발할 가능성을 배제하기 어렵다. 이번 법안의 핵심은 금지 목록의 확대가 아니라 책임 위치의 재배치다. 아이에게 스마트폰을 덜 보라고 말하는 정책만으로는 추천 시스템과 광고 수익 구조를 상대하기 어렵다.
플랫폼이 이용 시간을 수익으로 바꾸는 한, 아동 보호는 서비스 설계와 분리할 수 없다. 물론 법은 완벽한 해법이 아니다. 연령 확인 기술의 부작용, 표현의 자유 논쟁, 중소 서비스의 부담은 앞으로 구체적 시행 과정에서 다시 부딪힐 것이다.
그럼에도 청소년의 주의력을 수익화하는 구조에 공적 기준을 세우는 방향은 피하기 어렵다. 아이의 손에서 휴대전화를 빼앗는 논의에 머물지, 아이를 붙잡아 두도록 만든 화면의 규칙을 바꾸는 쪽으로 나아갈지, 그 선택은 한국 사회에도 열려 있다.
광고
※ 이 기사는 Davis Wright Tremaine가 The National Law Review에 2026년 11월 13일 게재한 캘리포니아 아동 안전·데이터 프라이버시·인공지능(AI) 감독 입법 관련 보고서를 참조하여 작성했다. 보고서 개별 기자명 및 제목은 원천 자료에서 확인되지 않는다.
FAQ
Q. 캘리포니아 법이 한국 이용자에게 바로 적용되나
A. 캘리포니아 주법은 원칙적으로 캘리포니아 이용자와 해당 시장에서 서비스를 제공하는 사업자를 대상으로 한다. 한국 이용자에게 자동으로 같은 의무가 적용된다고 볼 수는 없다. 다만 글로벌 플랫폼이 지역별로 다른 기능을 운영하는 비용을 줄이기 위해 미성년자 보호 설정을 넓게 바꿀 가능성은 있다. 한국 이용자는 향후 자동 재생, 추천 피드, 광고 추적 설정에서 간접적인 변화를 경험할 수 있다.
Q. 연령 확인이 강화되면 개인정보가 더 위험해지나
A. 위험이 커질 수 있는 지점은 분명히 있다. 나이를 확인하려면 생년월일, 인증 정보, 기기 정보 같은 데이터 처리가 필요할 수 있기 때문이다. 그래서 핵심은 연령 확인 자체보다 개인정보 최소 수집과 보관 기간 제한을 함께 설계하는 데 있다. 이용자는 서비스가 어떤 정보를 요구하는지, 인증 뒤 해당 정보를 보관하는지 약관과 개인정보 처리방침에서 확인해야 한다.
Q. 한국 기업은 무엇을 먼저 준비해야 하나
A. 한국 기업이 캘리포니아 이용자를 대상으로 서비스를 제공한다면 2027년 1월 1일 발효 일정과 16세 미만 이용자 관련 의무를 검토해야 한다. 특히 자동 재생, 무한 스크롤형 피드, 개인화 추천처럼 체류 시간을 늘리는 기능이 아동 계정에 어떻게 적용되는지 점검할 필요가 있다. Davis Wright Tremaine 보고서에 따르면 클라우드 스토리지, 상업 거래, 소비자 리뷰 목적 피드는 제외 대상이지만, 각 서비스가 실제로 예외에 해당하는지는 법률 검토가 필요하다. 국내 시장만 겨냥한 기업도 청소년 보호와 개인정보 최소 수집을 함께 반영한 설계 기준을 미리 세우는 편이 안전하다.
▶ 법률 고민이 있다면 → 변호사 오경석 법률사무소 바로가기
){kind=small}
){kind=small}
){kind=small}
){kind=small}