2026-08-22

사진 메타데이터를 지우는 것은 합법일까? DMCA 제1202조와 사진가들이 낸 두 건의 소송이 실제로 말하는 것

이 블로그의 다른 글들은 모두, 이런저런 방식으로, 파일이 기기를 떠나기 전에 메타데이터를 지우라고 권합니다. 그렇다면 한 번쯤 질문을 뒤집어 볼 만합니다 — 메타데이터를 지우는 것 자체는 언제나 허용되는 일일까요? 스크러버가 삭제하는 바이트가 감시용 데이터인 것만은 아닙니다. 일하는 사진가에게는 바로 그 내장 필드들이 파일에 자신의 이름과 저작권 표시, 라이선스 조건을 실어 보내는 수단이고, 미국 저작권법에는 1998년 DMCA의 일부로 만들어진, 바로 그런 정보의 제거를 정면으로 다루는 조항이 있습니다. 이 글은 법률 자문이 아닙니다 — 그 조항이 실제로 무엇이라 말하는지, 그리고 사진 메타데이터를 둘러싼 두 건의 연방 항소법원 판결이 실제로 어떻게 판단했는지를 있는 그대로 읽어보는 글입니다.

같은 바이트가 두 가지 역할을 한다

이 블로그의 프라이버시 글들은 JPEG의 메타데이터를 위험으로 다룹니다 — GPS 좌표, 기기 모델명, 타임스탬프. 하지만 전문 사진 워크플로와 언론사들이 쓰는 IPTC 사진 메타데이터 표준은 대체로 정반대의 이유로 존재합니다. IPTC의 공식 사용자 가이드는 사진가의 이름이 들어가는 Creator(작성자) 필드와, 현재 권리를 보유한 사람을 선언하는 Copyright Notice(저작권 표시) 필드를 크레딧·라이선스 필드들과 나란히 설명합니다. 이 모든 것이 같은 파일 안, 메타데이터 스크러버가 지우는 바로 그 EXIF·IPTC·XMP 블록에 실려 다닙니다. 누군가에게는 프라이버시 유출인 것이 다른 누군가에게는 소유권 표식이고, 그 둘은 같은 파일의 같은 세그먼트를 타고 이동합니다.

제1202조가 실제로 금지하는 것

해당 조항은 미국 저작권법 제1202조(17 U.S.C. § 1202), "저작권 관리 정보의 무결성"입니다. 그 (b)항은 누구도 "저작권자 또는 법의 권한 없이" 저작권 관리 정보(CMI)를 고의로 제거하거나 변경해서는 안 되고, CMI가 제거된 저작물을 그 사실을 알면서 배포해서도 안 된다고 말합니다 — 그리고 이는 그 행위가 침해를 "유도, 가능, 조장 또는 은폐"하리라는 것을 알거나 "알 만한 합리적인 근거가 있는" 경우에 적용됩니다. (c)항은 저작권 관리 정보를 넓게 정의합니다 — 저작물의 제목, 저작자의 이름, 저작권자의 이름, 저작물 이용의 조건, 그리고 그런 정보를 가리키는 식별 번호나 링크까지. 반면 저작물 이용자의 개인 식별 정보는 명시적으로 제외합니다. 걸려 있는 것도 실제적입니다 — 제1203조(c)(3)(B)에 따라 법원은 위반 건당 2,500달러에서 25,000달러의 법정 손해배상을 명할 수 있습니다.

스크러버를 손에 쥔 사람에게는 이 조문에서 두 가지가 중요합니다. 첫째, 금지는 "저작권자의 권한 없이"라는 말로 시작합니다 — 저작권자 자신의 권한은 규칙 안에 처음부터 새겨져 있습니다. 둘째, 제거 그 자체가 위반이 아닙니다. 법원들은 나머지 요건을 "이중 인식(double scienter)" 요건이라 부릅니다 — 제거가 고의적이어야 하고, 그 행위가 침해로 이어진다는 것을 알거나 알 만해야 합니다. 이 두 요건 모두 법정에서 시험대에 올랐고, 두 사건은 정반대의 결론에 이르렀습니다.

스티븐스 대 코어로직 — 자동화된 제거만으로는, 그 사실관계에서는, 부족했다

제9연방항소법원의 Stevens v. CoreLogic 판결(사건번호 16-56089, 2018년 6월 20일 선고)은 연방 항소법원이 메타데이터 스크러버가 하는 일 바로 그것에 대해 판단한 것에 가장 가까운 사례입니다. 로버트 스티븐스와 스티븐 밴델은 부동산 중개인들을 위해 주택을 촬영하고 파일에 자신들의 CMI를 심었습니다. 중개인들은 그 사진을 코어로직(CoreLogic)의 소프트웨어로 운영되는 부동산 매물 시스템(MLS)에 올렸는데, 그 소프트웨어는 표시용으로 이미지를 축소하면서 EXIF를 읽지도 쓰지도 못하는 이미지 라이브러리를 썼고, 축소된 사본은 그냥 메타데이터 없이 나왔습니다. 사진가들은 제1202조(b)를 근거로 소송을 제기했습니다.

그들은 패소했고, 그 이유가 시사적입니다. 법원은 원고가 피고에게 제거가 침해로 이어질 가능성이 크다는 것을 알았거나 알 만한 합리적 근거가 있었음을 — 단순한 가능성이 아니라 구체적인 "행위 패턴" 같은 것을 — 입증해야 한다고 판시했습니다. 판결문의 표현을 빌리면, "사진가들은 부동산 사진에서 CMI 메타데이터가 제거되는 것이 침해 감시 활동을 저해하리라는 구체적인 증거를 전혀 제시하지 못했다"는 것입니다. 법원은 이 블로그의 플랫폼 조사 글들이 프라이버시 방향에서 확인한 것과 공명하는 관찰도 남겼습니다 — "저작권 있는 사진을 들키지 않고 쓰려는 자는 스스로 어떤 CMI 메타데이터든 제거할 수 있고, 그러면 메타데이터 검색을 통한 적발은 불가능해진다." 내장된 크레딧은 자물쇠가 아니라 표식이며, 악의적인 이용자는 그것을 직접 지울 수 있습니다 — 법원들이 일상적인 자동화된 제거를 DMCA 위반으로 다루기 전에 추론이 아닌 증거를 요구한 이유가 바로 여기에 있습니다.

망고 대 버즈피드 — 제1202조가 실제로 무는 순간

2년 뒤 제2연방항소법원은 Mango v. BuzzFeed 판결(970 F.3d 167, 2020년 선고)에서 이 조항의 다른 얼굴을 보여주었습니다. 프리랜서 사진가 그레고리 망고는 사진 한 장을 뉴욕포스트에 라이선스했고, 신문은 이미지 바로 아래 "거터 크레딧(gutter credit)"에 그의 이름을 실어 게재했습니다. 그 뒤 버즈피드가 같은 사진을 허락 없이 — 망고의 크레딧을 지우고 다른 출처 표기를 대신 달아 — 게재했습니다. 버즈피드는 같은 조문을 붙들고 다퉜지만 매 단계에서 졌습니다. 법원은 사진 옆에 인쇄된 거터 크레딧이 파일 안에 내장되어 있지 않아도, 심지어 망고가 직접 붙인 것이 아니어도 저작권 관리 정보에 해당한다고 판단했습니다. 그리고 인식 요건에 관해 제2항소법원은 제1202조(b)(3)이 미래의 제3자가 오인하리라는 증명까지 요구하지는 않는다고 — 자기 자신의 침해를 알면서 은폐하는 것으로 충분하다고 — 판시했습니다.

두 판결을 나란히 놓으면 조항의 윤곽이 분명해집니다. 침해와의 연결 증거 없이 부수적으로 메타데이터를 지운 자동화 파이프라인은 살아남았습니다. 남의 사진을 허락 없이 쓰면서 크레딧을 바꿔치기한 매체는 살아남지 못했습니다. 이 법이 겨누는 것은 지우는 행위가 아니라, 지움이 가려주는 가져다 쓰는 행위입니다.

자기 파일을 지우는 것은 조문이 처음부터 비켜 세워둔 경우다

이제 NearScrub 사용자가 실제로 하는 일로 돌아옵니다. 일상적인 경우 — 내 휴대폰 사진, 내 이력서, 내가 쓴 PDF — 는 문제의 저작물에 대해 내가 저작권자인 경우입니다(내가 찍은 사진, 내가 작성한 문서 — 직무저작 같은 고용 상황은 별론으로 하고요). 제1202조(b)의 금지는 "저작권자 또는 법의 권한 없이" 이루어지는 제거에 적용되고, 인식 요건의 양쪽 모두 그 제거가 누군가의 침해를 향한다는 것을 전제합니다. 게시하기 전에 내 파일에서 내 GPS 흔적과 내 이름을 지우는 것은, 조항이 처음부터 새겨둔 바로 그 권한을 저작권자가 행사하는 일이며, 그림 어디에도 침해는 없습니다. 이건 빈틈이 아니라, 조문이 쓰인 그대로 작동하는 모습입니다.

손대지 말아야 할 경우 — 다른 사람의 작업물

파일이 내 것이 아닌 순간 그림은 뒤집힙니다. 온라인에서 발견한 사진가의 이미지, 게시만 허락받은 라이선스 사진, 다른 사람의 일러스트 — 그런 파일 속 Creator와 저작권 표시 필드는 제1202조가 보호하는 저작권 관리 정보 바로 그것이고, 그런 파일을 스크러버에 돌린 뒤 다시 게시하는 것은 휴가 사진 패턴이 아니라 망고 사건의 패턴입니다. NearScrub은 건네받은 파일이 누구 것인지 분간하지 못합니다. 파일을 떨어뜨리는 사람은 분간할 수 있습니다. 이 도구의 용도를 정직하게 말하면 이렇습니다 — 내가 지워도 되는 내 파일을, 기기를 떠나기 전에 정리하는 것. 남의 작업물에서 크레딧을 세탁해 내는 것이 아니라요. 그리고 반대편에서 읽고 있는 사진가들에게 스티븐스 판결은 그것대로 차분한 교훈을 남깁니다 — 법원들도 내장된 크레딧은 누구나 지울 수 있다는 것을 알고 있으니, IPTC 필드는 그 자체로 보호 장치가 아니라 권리 행사를 뒷받침하는 표식으로 다루라는 것입니다.

도구의 작동 방식에서 따라 나오는 구조적인 사실이 하나 있습니다. NearScrub은 메타데이터를 블록 통째로 제거합니다 — JPEG에서는 EXIF APP1 세그먼트 전체(세로 사진이 눕지 않도록 방향 플래그 하나만 다시 넣습니다), XMP 세그먼트 전체, IPTC/포토샵 APP13 블록 전체, 그리고 코멘트 세그먼트를 지우고, PNG에서는 텍스트·타임스탬프 청크를, PDF에서는 Info 딕셔너리와 XMP 스트림을, Office 파일에서는 docProps 파트를 지웁니다. 블록 안의 개별 필드를 파싱하지 않기 때문에, 저작권 표시는 남기고 GPS만 지우는 모드는 없습니다 — 저작권 필드들이 바로 그 제거되는 세그먼트 안에 살고 있기 때문입니다. 프라이버시 용도로는 이 통째 제거가 핵심입니다. 남는 것도, 놓치는 것도 없어야 하니까요. 다만 그 말은 스크럽의 결과물이 소유권 표식까지 사라진 파일이라는 뜻이기도 합니다. 배포할 사본에 자기 이름이 남아 있기를 바라는 사진가라면, 그 사본에 쓸 도구로 스크러버는 틀린 선택입니다 — 그리고 이건 일이 벌어진 뒤가 아니라 그 전에 알아둘 가치가 있는 사실입니다.

버튼은 같다 — 판가름하는 것은 파일이다

그래서, 사진의 메타데이터를 지우는 것은 합법일까요? 이 도구가 상정하는 파일 — 어디로 가기 전에 스스로의 프라이버시를 위해 정리하는 내 파일 — 에 대해서는 조문 자신의 첫 구절이 답을 주고, 이를 뒤집는 판례는 없습니다. 남의 작업물을 크레딧을 지운 채 허락 없이 다시 게시하는 경우에 대해서는 연방 항소법원이 이미 책임을 확정했고, 법정 손해배상은 위반 건당 2,500~25,000달러입니다. 지우는 버튼은 어느 쪽이든 같습니다. 법이 갈라 보는 것은 그 위에 떨어뜨린 파일이 누구 것인가입니다. 이 글의 어느 것도 법률 자문이 아니며, 메타데이터와 저작권을 둘러싼 실제 분쟁에 놓인 사람이라면 자신의 구체적 사실관계를 살펴줄 변호사와 상담해야 합니다 — 다만 규칙의 윤곽은 공개되어 있고, 의도적으로 메타데이터를 지우는 사람이라면 알아둘 가치가 있습니다.