‘프라이버시 실드(Privacy Shield)’ 협정 무효화

유럽연합(EU) 최고법원인 유럽사법재판소(ECJ)가 지난 2016년 체결한 유럽과 미국 간 데이터 전송 합의인 ‘프라이버시 실드(Privacy Shield)’ 협정을 무효 판결(7.16)

 - 미국 정부가 국가 안보를 이유로 소비자 정보에 대한 접근권을 요구할 수 있으나 페이스북 등 미국 기업이 유럽 사용자 개인정보를 제대로 보호하지 못할 가능성이 있어 미국의 유럽 사용자 개인정보 침해 우려

 - 또한 유럽이 아닌 국가 또는 유럽 사용자의 데이터를 해외로 이전하려는 기업이 유럽 데이터 법률과 동등한 수준의 보호를 보장해야한다고 주장

 - 유럽에서 미국으로 전송되는 개인정보 보호를 위해 더욱 강력한 조치가 필요하다고 지적

 - 특히 이번 판결은 유럽 최고법원인 유럽사법재판소의 결정인 만큼 항소가 불가능한 판결

 - 규제기관은 유럽인의 개인정보 보호를 위해 어떠한 새로운 데이터 전송에 대해서도 유럽의 엄격한 개인정보 보호법 기준에 따라 심사가 가능하며 해외로 데이터 전송을 금지할 수 있는 권한이 부여

 - 이번 판결은 페이스북, 구글 등 미국 IT 기업이 내부적인 이유로 유럽 내 거주자의 데이터를 미국 내 서버로 전송하는 경우에 적용

 - 반면 유럽에 있는 사람이 미국 거주자에게 이메일을 보내거나 미국 웹 사이트에서 비행기･호텔 예약을 하면서 정보를 입력하는 경우엔 미적용

 - EU 집행위원회는 유럽사법재판소의 판결에 대해 신중히 살펴보고 미국 측과 데이터 전송 활성화 방안을 모색할 계획

한편, 이번 소송은 2013년 미국 정보기관이 유럽인의 개인정보를 열람했다는 스노든의 폭로가 나온 후 오스트리아의 활동가 막스 슈렘스가 아일랜드 데이터보호위원회에 미국으로 개인 데이터를 보내면 안 된다고 민원을 제기하면서 본격화

 - 막스 슈렘스는 미국의 경우 개인 데이터 보호가 유럽에서처럼 강력하지 않기 때문에 미국으로 개인 데이터를 보내면 안 된다며 페이스북을 상대로 소송을 제기

주요 IT 기업 비즈니스 활동에 파장을 미칠 것으로 예상

유럽사법재판소의 이번 판결로 페이스북, 구글 등 미국 글로벌 IT 기업을 비롯해 소규모 금융 회사는 유럽에서 미국으로 데이터 전송이 까다로워져 기업 활동에 타격이 불가피할 전망

 - 앞으로 미국 기업이 유럽에서 제 3국으로 개인정보를 전송할 때 유럽과 동일한 수준으로 정보를 보호하고 있다는 점을 입증 필요

 - 그렇지 않을 경우 미국 기업은 유럽으로 데이터 센터를 이전하거나 유럽에서의 사업을 철수해야하는 상황이 발생할 수 있을 것으로 예측

한편, EU 집행위원회의 표준 계약 조항(SCC)*으로 데이터 전송 개별 협약을 체결하는 경우에는 유럽에서 미국으로 데이터 전송이 가능하기 때문에 유럽의 SCC가 더욱 면밀하게 검토될 것이라는 관측도 제기

  * 표준 계약 조항(SCC: Standard Contractual Clauses)은 EU집행위에 의해 승인된 표준양식의 정보 이전 계약서로 계약을 체결하는 것

 - SCC로 협약을 할 경우에 포괄적 조항인 프라이버시 실드와 달리 정보주체 동의 절차와 함께 일시적 전송 등의 까다로운 조건을 부여하기 때문에 데이터 전송 절차는 훨씬 복잡