누군가가 훔친 신용카드로 당신의 가게에서 결제합니다. 카드 소지자가 이를 알아채고 경찰 신고서를 작성한 뒤 당신에게 서면 요청을 보냅니다: 사기 거래에 대한 거래 기록 사본을 보내 달라고. 당신은 30일 안에 무료로 이를 제공해야 합니다. 영업일 기준 30일이 아닙니다. 변호사가 마음이 내킬 때로부터 30일이 아닙니다. 연방법에 따라 수령일로부터 30일이며, "프라이버시 문제"는 변명이 되지 않습니다. 법 조문이 이를 명시적으로 규정하고 있기 때문입니다.
이것이 바로 아마존이 위반한 규정이며, 그 위반이 너무도 철저했기에 미국 연방거래위원회(FTC)는 2026년 6월 아마존에 225만 달러의 민사 과징금을 부과했는데, 이는 해당 조항에 따른 역대 최대 규모의 과징금입니다. 그리고 이 조항은 아마존에 적용된 것과 똑같은 방식으로 당신의 사업에도 적용됩니다. 대가를 받고 재화나 용역을 판매한다면 — 즉, 사업을 운영한다면 — 공정신용보고법(Fair Credit Reporting Act, FCRA) Section 609(e)는 이미 당신을 명시적으로 지목하고 있습니다.
아마존이 실제로 잘못한 것
먼저 바로잡아야 할 점이 있습니다. 이 사건에 대한 여러 요약이 틀렸기 때문입니다: 이 과징금은 고용 배경 조회나 신용 심사와 아무 관련이 없습니다. 아마존은 FCRA Section 609(e)에 따라 처벌받았는데, 이는 신원 도용 피해자가 자신의 이름으로 이루어진 사기 뒤에 있는 신청서 및 사업 거래 기록을 입수할 권리를 부여하는 법 조항입니다.
FTC를 대신하여 법무부가 워싱턴 D.C. 연방법원에 제출한 소장에 따르면, 아마존은 "알면서도" 법을 위반했습니다. 계정이나 결제 카드의 사기에 관해 회사에 연락한 소비자들은 고객 서비스 담당자로부터 "보안" 또는 "프라이버시" 이유로 기록을 제공할 수 없다는 답변을 받았습니다. FTC 소비자보호국장이 "카프카적인 시련"이라고 부른 상황에서, 아마존은 피해자들에게 기록을 공개하기 전에 정보를 훔친 도둑이 누구인지 밝히라고 요구했습니다 — 한 사례에서는 소비자에게 사기 계정에 사용된 이름, 즉 신원 도용범이 사용한 이름을 추측하지 않으면 사기 계정에 관한 기록을 공유할 수 없다고 말했습니다. 그 소비자는 30번을 시도했지만 실패했습니다. 아마존은 또한 사기를 수사하는 법 집행 기관에도 기록 제공을 거부했습니다.
이 사건의 두 가지 세부 사항은 모든 소기업주가 명심해야 할 점입니다. 첫째, FTC 직원은 소비자 민원을 접수한 후 2023년 6월 이미 아마존의 변호사들에게 바로 이 조항에 대한 준수를 검토하라고 경고했습니다. 위반은 계속되었습니다. 둘째, 아마존은 FTC가 조사를 개시했다는 사실을 알게 된 후인 2025년 초까지 이러한 요청을 처리하기 위한 서면 절차를 전혀 갖추지 않았습니다. 절차의 부재는 변호가 되지 않았고, 오히려 사건의 일부였습니다. 합의의 일환으로 아마존은 신원 도용 피해자가 기록을 요청하는 방법을 설명하는 공개 공지를 자사 웹사이트에 게시해야 합니다.
2024년 FTC에 110만 건 이상의 신원 도용 신고가 접수되었고 2025년은 그보다 더 많을 것으로 예상되는 상황에서, 피해자의 요청이 당신의 받은편지함에 도착하는 것은 '만약'의 문제가 아니라 '언제'의 문제입니다. 요청이 도착했을 때 법이 당신에게 요구하는 것은 다음과 같습니다.
모든 사업자가 알아야 할 30일 규칙
Section 609(e)는 연방법 조문치고는 짧고 놀랍도록 명료합니다:
적용 대상. 타인의 신원을 무단으로 사용한 사람과 신용을 제공하거나, 재화나 용역을 판매하거나, 결제를 수락하거나, 그 밖에 대가를 받는 상거래를 체결한 모든 사업체. "무단으로 사용한 혹은"이라는 표현에 주목하십시오: 준수하기 전에 신원 도용이 실제로 일어났는지 판정할 권리는 당신에게 없습니다. 아래에 설명된 서류로 뒷받침된 피해자의 주장이 당신의 의무를 발생시킵니다.
제공해야 하는 것. 사기로 의심되는 거래를 입증하는, 당신이 통제하는 신청서 및 사업 거래 기록의 사본 — 그러한 기록을 직접 보관하든 다른 사람이 당신을 대신하여 보관하든 마찬가지입니다. 주문 기록, 계정 신청서, 인보이스, 영수증, 결제 승인, 거래와 연결된 배송 주소 등을 생각하십시오. 법은 당신을 대신하여 다른 사람이 보관하는 기록을 명시적으로 포함하며, 현대적 실무에서는 결제 처리업체, 이커머스 플랫폼, POS 시스템에 있는 기록이 이 목적상 당신의 것으로 간주된다는 뜻입니다.
받을 수 있는 사람. 피해자, 피해자가 요청서에 지명한 연방·주·지방 법 집행 기관 또는 담당관, 또는 피해자가 기록 수령을 승인한 도난 수사 법 집행 기관. 법 집행 기관과의 공유를 거부한 아마존의 행위는 그 자체로 별개의 위반이었습니다.
기한. 요청을 받은 후 30일 이내.
비용. 무료입니다. 법 조문은 기록이 "무료로 제공되어야 한다"고 규정합니다.
요청의 형식. 서면이어야 하며, 당신이 주소를 지정한 경우 그 주소로 우편 발송되어야 합니다 — 요청이 도착한 후가 아니라 지금 연락 지점을 지정해야 하는 또 하나의 이유입니다. 당신이 요구하는 경우, 피해자는 거래를 찾는 데 도움이 되는 관련 정보를 포함해야 합니다: 날짜, 계정 또는 거래 번호, 그 밖의 식별 세부 정보이되, 피해자가 알고 있거나 쉽게 입수할 수 있는 경우에만 해당합니다. 그 제한을 주의 깊게 읽으십시오: "알고 있는 경우"라는 표현이 실제로 중요한 역할을 합니다. 당신은 기록을 찾는 데 도움을 요청할 수 있습니다. 피해자가 세부 정보를 제공할 능력을 전제 조건으로 삼을 수는 없으며, 아마존이 그랬던 것처럼 도둑의 이름을 대라고 요구할 수는 더더욱 없습니다.
피해자가 당신에게 보여주어야 하는 것
법이 당신의 문을 활짝 열어놓는 것은 아닙니다. 무언가를 넘겨주기 전에 피해자는 당신이 선택한 형식으로 두 가지를 제공해야 합니다:
-
신분 증명. 당신의 선택에 따라: 정부 발급 신분증, 무단 사용자가 당신에게 제공한 것과 동일한 유형의 개인 식별 정보, 또는 신규 신청자나 신규 거래에서 당신이 통상 요구하는 유형의 식별 정보.
-
신원 도용 주장의 증명. 당신의 선택에 따라: 주장을 입증하는 경찰 신고서 사본과 적절히 작성된 표준화된 신원 도용 진술서 — FTC의 IdentityTheft.gov 절차를 통해 생성되는 종류 — 또는 당신이 수용 가능하다고 판단하는 다른 사실 진술서.
한 가지 예외: 피해자가 누구인지 이미 높은 확신을 가지고 있다면 검증을 생략할 수 있습니다. 실무적으로는 매번 표준 패킷을 요구하고, 요청서 자체와 함께 접수된 내용의 사본을 보관하십시오. 일관된 체크리스트는 양방향으로 보호합니다: 사칭자에게 정보를 공개하는 것을 막고, 모든 요청자가 동일한 대우를 받았음을 입증합니다.
통하지 않는 변명들
아마존 사건이 유용한 이유는 바로 225만 달러의 비용을 치르고 어떤 거부가 실패하는지를 보여주기 때문입니다:
"프라이버시와 보안상 공유할 수 없습니다." 법 조문은 이 반론을 예상하고 미리 무효화합니다: 통상적으로 제3자에게 고객 정보 공개를 제한하는 금융 프라이버시 규정은 피해자에 대한 공개를 거부하는 데 사용될 수 없습니다. 의회는 2003년에 자신의 이름으로 이루어진 사기에 관한 기록을 볼 피해자의 권리가 사업자의 프라이버시 본능보다 우선한다고 결정했습니다. 고객 이메일이나 전화에 응대하는 모든 사람에게 이 점을 특별히 교육하십시오. 그렇지 않으면 "프라이버시 이유로 계정 세부 정보를 공유할 수 없습니다"가 정확히 올바른 반사 신경처럼 보일 것입니다.
"먼저 누가 당신의 신원을 도용했는지 알려주십시오." 피해자는 거의 정의상 자신의 신원을 누가 도용했는지 모르는 사람입니다. 도둑을 밝히는 것을 공개의 조건으로 삼는 것은 30일 의무를 불가능한 의무로 바꾸는 것이며, 규제 당국이 그렇게 표현한 이유이기도 합니다.
"시간이 더 필요합니다." 수령일로부터 30일이 기한입니다. 차지백, 처리업체 분쟁, 내부 사기 검토는 각자의 일정으로 진행되며, 어느 것도 이 기한을 멈추지 않습니다.
"기록 수수료가 있습니다." 사본은 무료입니다. 조사 수수료, 복사 수수료, 행정 수수료는 없습니다.
"그 기록은 우리가 아니라 처리업체가 보관합니다." 당신을 대신하여 다른 사람이 보관하는 기록은 명시적으로 포함됩니다. 당신의 거래 데이터가 Stripe, Square, Shopify 또는 은행의 가맹점 포털에 있다면, 이를 검색하는 것은 당신의 일입니다.
거절이 허용되는 경우
법은 절대적이지 않으며, 경계를 아는 것은 의무를 아는 것만큼 중요합니다. 사업자는 선의로 다음과 같은 경우 거절할 수 있습니다: 해당 조항이 실제로 공개를 요구하지 않는 경우, 검증 자료를 검토한 후에도 요청자의 신분에 대해 여전히 높은 확신을 가질 수 없는 경우, 요청이 사실의 허위 진술에 근거한 경우, 또는 요청된 자료가 거래 기록이 아닌 인터넷 탐색 데이터 — 누군가의 웹사이트나 온라인 서비스 방문에 관한 브라우징 기록 — 인 경우.
법 조문에 명시된 적극적 항변도 있습니다: 집행 조치로 이어질 경우, 당신이 이용 가능한 사업 기록에 대해 합리적으로 성실한 검색을 수행했고 요청된 기록이 존재하지 않거나 합리적으로 이용 가능하지 않음을 입증하면 청구를 물리칠 수 있습니다. 그 항변이 무엇을 보상하는지 주목하십시오: 문서화된 진정한 검색입니다. "우리는 찾아본 적이 없다"와 "우리는 찾아보는 절차가 없다"는 그 반대입니다.
선의로 준수하는 사업자를 보호하는 두 가지 방패가 있습니다. 첫째, 어떤 사업자도 이 조항에 따른 선의의 공개에 대해 어떤 법에 따라서도 민사 책임을 지지 않습니다 — 따라서 프라이버시 걱정은 정확히 잘못된 방향으로 향합니다. 준수는 보호받고, 거부는 처벌받습니다. 둘째, 이 조항은 새로운 기록 보관 의무를 창설하지 않습니다: 정상적인 사업 과정이나 다른 법률에 따라 보관하지 않을 기록을 입수, 보유 또는 유지하도록 요구하지 않습니다. 이미 가지고 있는 기록만을 규율합니다.
요청이 도착하기 전에 절차를 구축하십시오
아마존에서 가장 이전 가능한 교훈은 가장 저렴한 것입니다: 지금 절차를 문서화하십시오. 한 페이지짜리 절차가 225만 달러의 즉흥 대응을 이깁니다. 당신의 절차는 최소한 다음을 포함해야 합니다:
- 지정 주소와 담당자. 서면 요청을 보낼 곳 — 우편 주소 또는 모니터링되는 받은편지함 — 을 공개하고, 이를 처리할 책임자를 지정하십시오. 법은 요청을 우편으로 보내야 하는 주소를 지정할 수 있게 하지만, 실제로 지정한 경우에만 그렇습니다.
- 검증 패킷. 정부 발급 사진 신분증, 경찰 신고서, 작성 완료된 신원 도용 진술서를 매번 동일한 방식으로 요청하십시오.
- 30일 시계. 각 요청이 도착한 날짜를 기록하고 기한을 달력에 표시하십시오. 영업일이 아닌 역일 기준입니다.
- 검색 지도. 거래 기록이 어디에 있는지 — 처리업체 대시보드, 이커머스 백엔드, POS 내보내기, 회계 파일 — 시스템별로 기록하십시오. 검색 지도가 있으면 당황스러운 수색이 10분짜리 작업이 됩니다.
- 대응 기록부. 무엇이 요청되었고, 무엇이 검증되었고, 무엇이, 언제, 누구에게 발송되었는지. 규제 당국이 언젠가 물어본다면, 이 기록부가 합리적 성실성의 증거입니다.
- 무조건 규칙. 수수료 없음, 피해자에게 도둑을 밝히라는 요구 없음, 검증된 피해자나 그들이 지명한 법 집행 기관에 대한 "프라이버시" 거부 없음.
백업 절차를 검토하듯이 이 페이지를 1년에 한 번 검토하십시오. 신원 도용 건수는 계속 증가하고 있으며, FTC는 이제 609(e) 사건을 기록적 과징금까지 끝까지 가져갈 것임을 보여주었습니다.
당신의 장부가 곧 컴플라이언스 파일입니다
이것이 당신의 부기와 직접적으로 맞닿는 부분입니다: 위의 검색 지도는 기반 기록만큼만 유용합니다. 609(e) 요청은 특정 거래를 입증하는 모든 기록을 제출하라고 요구합니다 — 즉, 거래 데이터가 몇 달 후에도 주문, 계정, 고객, 날짜별로 검색 가능해야 한다는 뜻입니다. 장부가 개별 주문과 연결되지 않은 처리업체 지급 내역의 잡동사니 상자에 불과한 사업자는 아무리 의지가 있어도 30일 안에 답할 수 없습니다.
이것이 처리업체 대시보드를 장부로 취급하지 않고 자체 원장을 유지해야 하는 조용한 이유 중 하나입니다. 각 판매가 주문 식별자와 채널을 메타데이터로 기록되면, 분쟁 거래의 전체 기록을 추출하는 것은 발굴 작업이 아니라 단일 쿼리가 됩니다. Beancount에서 거래 메타데이터는 정확히 이 역할을 합니다:
2026-01-02 open Assets:Checking:Operating USD
2026-01-02 open Income:Sales:Online USD
2026-01-02 open Expenses:Chargebacks:Fraud USD
2026-03-14 * "Online order #48210" "Card payment - J. Rivera"
order-id: "48210"
channel: "online-store"
Assets:Checking:Operating 189.99 USD
Income:Sales:Online -189.99 USD
2026-03-20 * "Chargeback - order #48210" "Issuer fraud dispute"
order-id: "48210"
Assets:Checking:Operating -189.99 USD
Expenses:Chargebacks:Fraud 189.99 USD판매와 이후 차지백 모두에 주문 식별자가 있으면, 하나의 쿼리로 완전한 증빙 흐름 — 판매, 취소, 날짜, 금액 — 을 몇 초 만에 드러낼 수 있습니다. 이것이 609(e) 대비 기록의 형태입니다: 모든 거래가 원본 문서로 추적 가능하고, 모든 취소가 원래 거래와 연결됩니다. 현재 장부가 이를 수행할 수 없다면, 해결책은 컴플라이언스 이익이 있는 부기 프로젝트이지 그 반대가 아닙니다. 작동 방식을 원하는 독자는 /docs/에서 쿼리 문서를 찾을 수 있습니다.
또 다른 FCRA 의무: 고용 배경 조회
이 사건이 너무 자주 잘못 설명되기 때문에, 구직자에 대해 배경 조회나 신용 조회를 실시하는 고용주를 위한 간단한 설명을 덧붙입니다: 그것은 실제 FCRA 의무이지만 법의 다른 부분에 속하며 Section 609(e)와는 전혀 다르게 작동합니다. FTC와 EEOC의 공동 고용주 지침에 따르면, 배경 정보 수집 사업을 하는 회사로부터 보고서를 입수하기 전에, 보고서가 입수될 수 있다는 명확한 서면 고지 — 독립된 문서로 — 를 지원자에게 제공하고 서면 승인을 받아야 합니다. 그런 다음 보고서에 근거하여 불리한 조치를 취하는 경우, 예컨대 지원자를 채용하지 않는 경우, 먼저 보고서 사본과 FCRA 권리 요약이 포함된 불리한 조치 사전 통지를 제공하고, 합리적인 기간을 기다린 후 보고 회사의 연락처 세부 정보와 지원자의 이의 제기 권리 진술이 포함된 최종 불리한 조치 통지를 보내야 합니다.
하나의 법률, 두 가지 의무, 반대 방향: Section 609(e)는 사기 피해자에게 제공하는 기록에 관한 것이고, 고용 조항은 지원자에 관해 입수하는 보고서에 관한 것입니다. 하나를 다른 하나를 인용하여 충족하지 마십시오.
피해야 할 실수
- 피해자의 요청을 고객 불만으로 취급하는 것. 그것은 30일 시계가 있는 연방법 요청이지 지원 티켓이 아닙니다. 도착한 날 지정된 담당자에게 라우팅하십시오.
- 최전선 직원이 답변을 즉흥적으로 하도록 두는 것. "프라이버시 이유로 공유할 수 없습니다"는 자연스러운 응답이자 불법적인 응답입니다. 직원에게 스크립트를 주십시오: 확인하고, 검증 패킷을 요청하고, 날짜를 기록하십시오.
- 자체 시스템만 검색하는 것. 당신을 대신하여 보관되는 처리업체, 플랫폼, POS 기록이 포함됩니다. 검색 지도에 그것들이 포함되어야 합니다.
- 법 집행 기관의 요청을 미루는 것. 피해자가 지명하거나 피해자가 승인한 기관은 피해자의 입장을 대신합니다. 그들을 거부하는 것은 피해자를 거부하는 것입니다.
- 소기업이 면제된다고 가정하는 것. Section 609(e)에는 회사 규모에 관한 내용이 없습니다. 카드를 받는 동네 가게도 조 달러 규모의 소매업체와 동일한 의무를 집니다 — 이번에는 그 소매업체가 그 사실을 증명하기 위해 비용을 치렀습니다.
마지막으로 유용한 단계는 작은 것입니다: 빈 페이지를 열고, 절차 섹션의 여섯 가지 항목을 당신 사업의 실제 이름과 주소로 채워 작성한 뒤, 봉투가 도착했을 때 찾을 수 있는 곳에 저장하십시오. 30일은 수령 시점에 시작되며, 어려움을 겪는 사업자는 결코 준비한 사업자가 아닙니다.
