Privacy Shield 2.0이란 무엇인가? EU·미국 간의 새로운 프라이버시 보호의 틀을 해설
미국과 EU는 3월말, 프라이버시 보호·데이터 전송에 관한 새로운 체계의 「원칙」에 대해 합의한 것을 공동으로 발표했다. 2020년 7월에 실효된 구 틀 「EU-US Privacy Shield(이하, Privacy Shield)」를 대체하는 「Privacy Shield 2.0」이라고도 하는 새로운 틀에 관한 진전이며, 해외 미디어는 GAFAM 등 기술 기업에 있어서 안심 재료가 될 것이라고 보도하고 있다. 이 새로운 틀이란 어떤 것인가.
<목차>
EU·미국 간 데이터 보호 틀
유럽 액티비스트 비판
새 틀에 대한 슐렘스 씨의 의견
미국서 틱톡 소송 불법 데이터 수집
● EU·미국 간 데이터 보호 틀
2022년 2월 해외에서는 메타가 유럽에서 페이스북과 인스타그램 사업을 철수할지도 모른다는 언론 보도가 나와 많은 주목을 받았다.
그 이유는 2020년 7월 실효된 EU 국가에서 미국으로 데이터 전송을 가능하게 했던 틀 'Privacy Shield'를 대체할 새 틀 도입이 늦었기 때문이다.
메타는 EU에서 미국으로의 데이터 전송을 가능하게 하는 새로운 틀이 시행되지 않을 경우 또 표준계약조항(SCCs)에 의존하지 못할 경우, 다른 수단으로 EU-미국 간 데이터 전송을 할 수 없을 경우, 페이스북이나 인스타그램을 포함한 주요 서비스를 제공하지 못하게 될 것이라고 밝혔다.
이 상황은 메타뿐만 아니라 GAFAM을 포함해 다수의 미국 기업에 영향을 줄 것으로 많은 이들이 그 향방을 지켜보던 곳이다.
이러한 가운데, 3월말에 미국과 EU는 데이터 전송에 관한 새로운 틀의 「원칙」에 대해 합의한 것을 공동으로 발표하였다. 해외 미디어는, 이 합의가 메타나 알파벳등의 기술 대기업의 우려를 불식시키게 될 것이라고 보고 있다.
● 유럽 액티비스트 비판
그러나 이번 발표는 원칙에 대한 합의뿐 세부규칙은 밝혀지지 않아 전문가들은 그 내용에 따라 실효성은 달라질 것으로 보고 있다.
영국 거점의 국제로펌 Linklaters의 데이터 보호를 전문으로 하는 파트너 변호사 기욤 카운슨은 CNBC의 취재에서 새로운 틀이 유럽의 감독기관이나 말하는 주주(액티비스트)들의 강도 높은 정밀조사를 견딜 수 있는지를 언급하는 것은 시기상조라고 지적했다.
기욤 카운슨도 언급하고 있지만 EU·미국 간 데이터 전송을 둘러싼 논의에서 무시할 수 없는 것이 액티비스트의 존재다.
EU 국가들로부터 미국으로 데이터 전송을 가능하게 하던 Privacy Shield이지만, 그 미비점을 지적해, 실효에 몰고 가는 것이 오스트리아의 변호사 겸 활동가 막스 슐렘스이다.
막스 슐렘스는 Privacy Shield 뿐만 아니라 그 전신인 틀 'International Safe Harbor Privacy Principle'의 실효 캠페인을 이끈 경력이 있는 인물이기도 하다.
인터네셔널 Safe Harbor Privacy Principle이란 1998~2000년 EU와 미국에서 민간기업이 소비자 데이터를 잘못 공개하거나 분실하는 경우로부터 소비자를 보호할 목적으로 도입된 틀이다.
막스 슐렘스는 이 틀에서는 개인정보가 충분히 보호되지 않는다며 페이스북이 유럽 거점을 두고 있던 아일랜드고등법원에서 이 회사를 상대로 소송을 제기했다. 그 후, 유럽사법재판소(ECJ)가 관여하게 되어, 2015년 10월 ECJ에 의해 이 틀은 실효가 되었다.
이 International Safe Harbor Privacy Principle을 대체할 새 틀로 2016년 7월 등장한 것이 Privacy Shield인 것이다.
이는 Notice(통지), Choice(선택), Accountability for Onward Transfer(데이터 전송 책임), Security(안전성) 등 7가지 원칙으로 구성된 틀이지만 도입 초기부터 슐렘스를 비롯한 각종 사생활 보호 강화를 내세우는 개인과 조직의 비판을 받아왔다.
2020년 7월 ECJ는 Privacy Shield 틀에서는 EU 시민의 개인정보가 적절히 보호되지 않는다며 같은 틀의 실효결단을 내렸다. 다만 Privacy Shield에 의해 단지 곧바로 EU·미국 간 데이터 전송이 정지된 것은 아니다. ECJ는 표준적 계약조항(SCCs)이라는 다른 수단의 이용을 인정하고 있다.
SCCs란 데이터 수출자와 데이터 수입자 간에 체결하는 계약. 마이크로소프트 등은 SCCs를 활용하고 있으며 Privacy Shield 실효의 영향은 받지 않았다는 성명을 발표했다.
BBC가 전한 영국 유니버시티 칼리지 런던의 조사에 따르면 Privacy Shield의 틀은 5,300개가 넘는 기업의 디지털 무역을 뒷받침하고 있었다. 이 중 65%는 중소기업이었다고 한다. Privacy Shield의 실효로 이들 기업은 SCCs 이용이 필수가 됐다.
● 새 틀에 대한 막스 슐렘스의 의견
International Safe Harbor Privacy Principle과 Privacy Shield라는 두 가지 틀의 미비를 지적해 실효로 몰고 간 막스 슐렘스. Privacy Shield를 대체할 2022년의 새로운 틀을 어떻게 보고 있는가.
그가 설립한 비영리 조직 「none of your business(noyb)」에서, 현상을 근거로 한 자신의 의견을 공개하고 있다.
우선 지적하고 있는 것은 이번 미국과 유럽의 공동발표는 원칙에 합의했다는 정치적 표명일 뿐 정밀조사 대상이 되는 문구는 존재하지 않는다는 점이다.
현재도 많은 변호사들이 ECJ가 문제라고 판단한 미비에 대해 해결책을 마련하고 있지만 완전한 해결책은 제시되지 않고 있다. 또 noyb가 입수한 정보에 의하면 미국측은 주요한 쟁점이 되고 있는 미국내의 보안관련법을 재검토하는 것은 검토하고 있지 않다고 한다.
이 상황을 감안하면 새 틀이 시행되기까지 최소 수개월이 소요된다는 것이다.
● 미국서 틱톡 소송 불법 데이터 수집
이와 같은 일련의 사건들은 유럽의 개인정보가 미국에서도 적절히 보호되도록 요구하는 움직임이다.
미국에서도 비슷한 움직임이 보고되고 있다. 최근 주목받은 것이 미국에서 틱톡을 상대로 한 집단소송이다.
미국에서는 기술 기업에 의한 개인정보 수집 수단의 고도화에 따라 개인정보를 보호하는 법률이 州 수준·연방 수준에서 확충되고 있다.
일리노이州에서 도입된 Biometric Information Privacy Act(생체정보 프라이버시법)는, 말 그대로 기업이 소비자의 생체정보 수집이용관리를 규제하는 법률이다. 기업이 생체정보를 수집하는 경우에는 소비자 동의를 얻어야 한다.
이 동의 없이 미국 내에서 생체정보를 수집하고 있었다가 집단소송을 받은 것이 틱톡이다. 보도에 따르면 틱톡은 이 회사의 프라이버시 정책을 은밀히 변경해 이용자들의 목소리와 얼굴 정보를 수집한 것으로 드러나 9,200만달러 규모의 집단소송으로 발전했다. 틱톡은 화해안에 합의하고 9,200만달러를 지급할 계획인 것으로 알려졌다.