Doctissimo, 동의 없이 건강 퀴즈 진행하고 MD5 비밀번호 사용 — CNIL이 38만 유로 벌금 부과

Doctissimo는 의학 기사와 활발한 포럼으로 알려진 프랑스에서 가장 많이 방문되는 건강 사이트 중 하나다. 2020년 6월 활동가 단체 프라이버시 인터내셔널(Privacy International)은 이 사이트의 데이터 관행이 '특히 중대하고 체계적'이라고 신고했다. CNIL이 조사에 착수해 관련 EU 규제기관들의 주도 감독기관 역할을 했고, 2023년 5월 17일 당시 Reworld Media 소유였던 이 사이트에 38만 유로의 벌금을 부과했다. GDPR 위반에 28만 유로, 쿠키에 10만 유로였다.

핵심 문제는 대장암과 자궁내막증 같은 주제에 관한 사이트의 대화형 퀴즈였다. 그중 약 5퍼센트에서는 건강 데이터가 GDPR상 '특히 민감한' 정보임에도 사용자의 건강 관련 답변이 아무런 경고나 동의 절차 없이 수집되었다. 퀴즈 답변을 24개월간 보관한 것은 과도하고 정당화될 수 없는 것으로 판단되었으며, 3년간 비활성 상태인 계정도 익명화 없이 그대로 보관되었다.

익명화 자체도 허상이었다. Doctissimo는 호스팅 하청업체에 퀴즈 데이터를 익명화하도록 요청했고, 그 업체는 IP 주소를 해싱 키 없이 SHA-256으로 해시하여 '익명화'했다. CNIL은 단순한 해시는 익명화가 전혀 아니라고 판단했다. 보안도 나을 것이 없었다. 사이트는 여전히 암호화되지 않은 HTTP로 페이지를 제공했고, 비밀번호는 MD5로 해시하여 저장했는데, 규제기관은 이 알고리즘이 2004년부터 구식이 되었고 보안 용도로 금지되었다고 지적했다.

각각의 실패는 같은 결정으로 이어진다. 건강 미디어 브랜드를 데이터 컨트롤러보다 광고 기계로 먼저 취급한 것이다. 쿠키는 CNIL의 2021년 4월 거부 버튼 기한이 지난 몇 달 후에도 거부할 방법 없이 홈페이지에 설치되었고, 가장 사적인 퀴즈 답변에 대한 동의는 애초에 설계되지 않았다. 벌금은 크지 않았지만, 이 심의 결정은 기준점이 되었다. 소금 없는 해시는 익명화하지 못하며, 건강 기능에는 건강 등급의 동의 흐름이 필요하다.

38만 유로 벌금(GDPR 28만 유로 + 쿠키 10만 유로), 약 5퍼센트의 퀴즈에서 동의 없이 수집된 건강 답변, MD5로 저장된 비밀번호

퀴즈 제품은 규정 준수가 아니라 도달 범위를 위해 만들어졌다. GDPR이 건강 데이터를 특히 민감한 정보로 분류함에도 약 5퍼센트의 테스트에서 동의 절차 없이 건강 답변이 수집되었다.

보관 기간은 넉넉하게 설정되었고 다시 검토되지 않았다. 퀴즈 답변의 24개월 보관은 '과도하고 정당화될 수 없는' 것으로 판단되었고, 휴면 계정은 익명화 없이 보관되었다.

가명화가 익명화로 오인되었다. 하청업체는 IP를 소금 없는 SHA-256으로 해시했는데, CNIL은 이것이 데이터를 익명으로 만들지 않는다고 판결했다.

보안 부채는 눈에 보였고 고치기 쉬웠다. 암호화되지 않은 HTTP 탐색과 2004년부터 구식이 된 MD5 비밀번호 해싱이 민감한 데이터를 다루는 사이트에 계속 남아 있었다.

쿠키 장벽은 알려진 기한을 무시했다. CNIL의 2021년 4월 1일 준수 기한이 지난 몇 달 후에도 두 개의 쿠키가 거부 옵션 없이 방문 즉시 설치되었다.

건강 콘텐츠는 건강 데이터다. 암에 관한 퀴즈는 트래픽 유도 수단이 아니라 민감 데이터 처리다. 그리고 '해시됨'은 '익명'이 아니다. 소금 없는 해시는 규제기관이 간파할 수 있는 가명일 뿐이다.

벌금과 공개된 심의 결정은 2023년 5월 17일에 나왔으며, CNIL은 이 사이트를 이용한 거주민이 있는 다른 EU 규제기관들을 위한 주도 감독기관으로서 역할했다. 프라이버시 인터내셔널은 이 결정을 환영하며 의료 사이트들이 민감 데이터에 대해 완전히 투명하게 공개하고 사용자에게 공유에 대한 통제권을 주어야 한다고 촉구했다. Doctissimo는 Reworld Media 아래에서 계속 운영되고 있지만, 이 심의 결정은 헤드라인보다 오래 남았다. 이제 이 결정은 소금 없는 해시가 왜 익명화가 아니며 건강 기능에 왜 건강 등급의 동의 설계가 필요한지에 대한 프랑스어 표준 참고 자료가 되었다.