사실관계
미국 연방거래위원회(FTC)의 소장에 따르면 약국 체인 라이트에이드(Rite Aid)는 2012년부터 2020년까지 수백 개 매장에서 절도 가능성이 있다고 본 고객을 식별하기 위해 인공지능 기반 안면인식 기술을 사용했다. 시스템은 잘못된 일치 결과를 냈고, 그중에는 수천 마일 떨어진 곳의 사건 때문에 데이터베이스에 등록된 사람과 일치한다고 본 경우도 있었다. 직원들은 이런 경보에 따라 고객을 매장에서 따라다니고, 몸을 수색하고, 퇴장을 요구하고, 경찰을 부르고, 때로는 가족이나 친구 앞에서 공개적으로 절도범으로 지목했다. 라이트에이드는 이 기술을 사용한다는 사실을 고객에게 알리지 않았다. FTC는 회사가 2010년 FTC 데이터 보안 명령도 위반했다고 주장했다.
쟁점
FTC는 소장에서 라이트에이드가 소비자 피해를 막기 위한 합리적 조치 없이 안면인식 기술을 사용한 행위가 FTC법상 불공정 행위에 해당한다고 주장했다. 소장은 회사가 예견 가능한 피해를 막기 위한 합리적 절차를 갖추지 않았고 고객에게 이를 알리지 않았다는 점을 근거로 삼았다. 또한 흑인과 아시아계 주민이 다수인 지역의 매장에서 백인이 다수인 지역보다 오탐지가 더 자주 발생했다고 주장해, 사건에는 차별 문제도 포함되었다. 사건이 당사자들이 합의한 명령(stipulated order)으로 마무리되었기 때문에 이 주장들은 법원에서 판단되지 않았고, 라이트에이드는 이를 인정하지도 부인하지도 않았다.
판단
FTC는 소장과 함께 합의명령안(stipulated order)을 미국 펜실베이니아 동부 연방지방법원에 제출했고, 위원회는 3대 0으로 제소를 의결했다. 이 명령은 심리를 거친 판결이 아니라 당사자들이 합의한 명령으로, 2024년 2월 법원의 승인을 거쳐 사건 기록에 등록되었다. 명령은 라이트에이드가 5년간 감시 목적으로 안면인식 기술을 사용하는 것을 금지한다. 회사는 수집한 이미지와 이를 바탕으로 개발한 알고리즘을 삭제하고, 소비자의 생체정보가 데이터베이스에 등록되거나 소비자에게 불리하게 사용될 때 이를 통지하며, 불만에 서면으로 답하고, 매장에 안면 감시에 관한 명확한 안내를 게시해야 한다. 생체정보는 최대 5년까지만 보관할 수 있고, 외부 평가를 받는 정보보안 프로그램을 운영하며 최고경영자가 매년 준수 여부를 확인해야 한다.
의의
FTC는 소매업체의 안면인식 프로그램에 불공정 행위 규제 권한을 적용했고, 차별적인 오류율을 소비자 피해의 일부로 다루었다. 조치는 구조적 성격을 띤다. 일정 기간 기술 사용을 금지하고, 수집한 이미지에서 파생된 모델을 삭제하게 하며, 향후 자동화된 생체인식 시스템을 사용할 때의 조건을 정했다. 이 조건은 생체인식 감시를 활용하는 기업에 FTC가 기대하는 시험과 모니터링 수준을 보여 준다.
관련 절차
라이트에이드가 파산(Chapter 11) 절차 중이었으므로 합의명령은 먼저 2024년 1월 23일 뉴저지 연방파산법원의 승인을 받았다. 펜실베이니아 동부 연방지방법원의 켈리 B. 호지(Kelley B. Hodge) 판사는 2024년 2월 23일 명령에 서명했고, 명령은 2024년 2월 26일 사건 기록에 등록되었다(Dkt. 19). FTC는 2024년 3월 5일 2010년 데이터 보안 명령을 갱신했다. 라이트에이드는 2025년 5월 5일 두 번째로 Chapter 11 파산을 신청했고, 이후 모든 매장을 폐쇄했다.