미국 유타주가 성인 웹사이트 이용자의 VPN 사용을 사실상 금지하는 법을 만들었다가 연방법원에서 제동이 걸렸다. 디지털 권리 단체 EFF(전자프런티어재단)가 “이 법은 기술적으로 불가능한 일을 요구한다”고 수개월간 문제 제기해온 끝에, 법원도 같은 결론을 내린 것이다. VPN은 국경을 넘나드는 인터넷 트래픽을 암호화하는 핵심 프라이버시 도구인 만큼, 이번 판결은 각국의 연령 인증 규제가 기술적 한계를 어떻게 다뤄야 하는지에 대한 중요한 선례가 될 전망이다.

유타주 SB 73은 어떤 법이었나

올해 서명된 유타주 SB 73은 성인 웹사이트 운영자에게 두 가지 중 하나를 강제했다. 방문자가 VPN 등으로 실제 위치를 가리는 경우 이를 탐지해 차단하거나, 모든 방문자의 실제 물리적 위치를 특정해 유타주 거주자를 걸러내야 한다는 것이다. 한발 더 나아가 이 법은 웹사이트가 “VPN을 이용해 연령 인증을 우회하는 방법”을 안내하는 것조차 금지했다. EFF에 따르면 VPN 사용 자체를 성인 인증 우회 수단으로 규정해 규제 대상으로 삼은 것은 미국에서 유타주가 처음이다.

이 법은 원래 2026년 5월 시행 예정이었지만, Pornhub 등을 운영하는 Aylo가 즉각 위헌 소송을 제기했다. 이후 유타주와 Aylo는 법원이 예비 금지명령 여부를 판단할 때까지, 또는 구체적인 시행 규칙이 확정될 때까지 집행을 유예하기로 합의했다. 유타주 소비자보호국은 지난 9월 1일 세부 시행 규칙(R152-78B)을 공개했고, EFF는 이에 반대하는 공식 의견서를 제출했다. 규칙은 10월 8일부터 시행될 수도 있었지만, 이번 법원 판결로 추가 결정이 나오기 전까지는 집행이 불가능해졌다.

법원이 지적한 “기술적 불가능성”

유타 연방법원의 바로우(Barlow) 판사는 지난주 SB 73의 VPN 관련 조항에 대해 예비 금지명령을 내렸다. 핵심 근거는 미국 수정헌법이 금지하는 “주 경계 밖 기업·개인에 대한 과도한 부담”이었다. 법원은 SB 73의 “실제 위치 확인” 조항이 사실상 전 세계 모든 방문자에 대해 연령 인증을 수행하도록 강제한다고 봤다. 단 한 명의 방문자라도 위치를 숨기고 있었다면 법 위반이 되기 때문에, 업체 입장에서는 유타주민 여부와 무관하게 모든 사용자를 검증해야 하는 셈이다.

판결문에서 바로우 판사는 “Aylo의 주장이 맞다. 개정된 법은 사실상 이용자 위치 판단과 관련해 Aylo 같은 사업자에게 무과실 책임(strict liability)을 지우고 있다”고 밝혔다. 이어 “SB 73은 Aylo 같은 사업자에게 완벽하게 이용자 위치를 특정하도록 요구하지만, 현재 기술로는 완벽한 지오로케이션(geolocation)이 불가능하다”고 지적했다. 법원이 “기술적으로 불가능한 일을 법으로 강제할 수 없다”는 원칙을 명시적으로 인정한 셈이다.

VPN이 왜 “완벽한 위치 확인”을 불가능하게 만드는가

EFF는 유타주 소비자보호국에 제출한 의견서에서 이 기술적 불가능성을 상세히 설명했다. VPN은 사용자의 웹 트래픽을 중간 서버를 거쳐 우회시켜 실제 IP와 위치를 가리는 방식으로 프라이버시를 보호한다. 이는 VPN 고유의 설계 목적이자 기능이기 때문에, 서비스 제공자가 VPN 사용자의 “진짜” 위치를 역으로 완벽하게 알아내는 것은 기술 구조상 모순에 가깝다. 지오로케이션 기술이 계속 발전하더라도, VPN·프록시·Tor 등 우회 기술 역시 함께 발전하기 때문에 “완벽한 탐지”라는 기준 자체가 성립하기 어렵다는 것이 EFF의 설명이다.

법원은 유타주가 미성년자의 성인 사이트 접근을 막을 다른 덜 침해적인 방법을 찾을 수 있다고 판단했다. 즉 전 세계 모든 이용자에게 신원·위치 확인을 강제하는 대신, 보다 정교하고 부담이 적은 규제 설계가 가능하다는 취지다. 다만 이번 소송은 SB 73의 모든 조항을 무력화한 것은 아니다. Aylo는 “VPN 사용법을 안내하는 것을 금지한 조항” 자체는 이번 소송에서 다투지 않았기 때문에, 해당 정보 공유 금지 조항의 위헌성 여부는 여전히 미확정 상태로 남아 있다.

한국 개발자와 서비스 운영자가 주목해야 할 지점

한국에서도 연령 인증, 지역 기반 콘텐츠 제한, VPN 차단 정책을 다루는 서비스가 적지 않다. 이번 판결은 해외 각국이 “이용자 위치를 100% 정확히 파악하라”는 식의 규제를 도입할 경우, 글로벌 서비스 운영자가 어떤 법적·기술적 리스크에 처할 수 있는지를 보여주는 참고 사례다. 특히 해외 이용자를 대상으로 서비스하는 한국 스타트업이나 콘텐츠 플랫폼이라면, 특정 국가의 지오로케이션·연령 인증 규제가 “기술적으로 실현 가능한 수준”인지, 아니면 사실상 전 세계 이용자에게 과도한 검증을 요구하는 구조인지 미리 검토할 필요가 있다.

또한 VPN은 검열 우회, 프라이버시 보호, 공용 네트워크 보안 등 다양한 목적으로 광범위하게 쓰이는 범용 기술이다. 특정 콘텐츠 규제를 이유로 VPN 사용 자체를 위법화하거나 안내를 금지하는 접근은, 이번 판결처럼 법원에서 “기술 현실을 무시한 입법”으로 제동이 걸릴 가능성이 있다는 점도 눈여겨볼 만하다. 다만 이번 사건은 미국 헌법의 주(州) 간 통상 조항을 근거로 한 판단이라, 한국이나 다른 국가의 법체계에 그대로 적용되지는 않는다는 점은 유의해야 한다.

원문: Court agrees with EFF: Utah’s VPN law demands a technical impossibility