유럽사법재판소의 ‘Safe-Harbor-Principal’의 무효 판결과 그 영향

Abstract

유럽연합과 미국사이의 상호 민간부분의 정보전송의 경우는 ‘safe-harbor’ 방식을 통해 이루어진다. 2015년 10월 6일 유럽사법재판소(EuGH/ECJ)는 그 safe harbor에 대한 2000년 유럽연합 집행위원회(European Commisson)의 결정에 대해 Richtlinie(Directive, 이하 준칙) 95/46/EG Art. 25 제6항에서 규정하고 있는 개인정보의 ‘적정한 보호수준(angemessenes Schutzniveau) 보장’이 안 되기에 무효이고, 유럽연합 각국의 개인정보호청은 완전히 독립성이 보장되는 상황에서 자국민의 개인정보가 미국으로 전송 시 유럽인만큼 적절한 보호수준을 누리는 지에 대한 독자적인 판단을 할 수 있다는 판결을 했다. 미국은 유럽사법재판소의 해당 판결에 대해 잘못이 있다고 주장하면서, 약 2년 전부터 진행해온 개정 작업의 구체적인 내용을 빠른 시기에 공개하겠다고 했다. 반면에 고위급 개인정보 실무전문가 모임인 유럽연합의 ‘Gruppe-29’(Arbeit Party 29)는 이후 유럽인 개인정보가 미국에서 적절하지 못한 보호수준에서 미국으로의 safe harbor에 근거한 정보 전체의 전송은 위법한 정보처리이며, 전송된 유럽인의 정보에 대해 무제한적인 미 공공기관의 감시를 억제하는 것은 유럽연합의 주요한 임무이기에 유럽사법재판소의 판단은 옳다고 지지입장을 밝히고 있다. 그 대안으로 각 국의 개인정보보호청의 독자적인 심사권 강화 및 유럽연합의 표준거래약관 및 의무적(규제적)인 자율규제(EU-Standardvertragsklauseln und Binding Corporate Rules)를 토대로 한 임시적인 전송허락을 주장하고 있다. 더불어 유럽연합 각 국의 개인정보보호청은 미국 기업들이 보유한 유럽인의 정보의 영구삭제는 반대하지만 비례성 및 투명성 확보나 보상 및 권리의 명시 등의 중심으로 실질적으로 적절한 보호수준 준수를 심사해야 한다고 보았다. 이 무효판결 후 safe harbor에 근거한 미국으로의 정보전송은 위법하다고 했다. 동시에 집행위원회는 2016년 말까지 미국과 판결에서 언급한 내용을 중심으로 새로운 규범체계를 만들어야 한다고 주장하고 있다. safe harbor에 대한 유럽사법재판소의 무효판결은 자국민의 정보를 국외에서 수집하면서 평가를 통해 영업수단으로 활용 혹은 감시 등의 정보처리를 하는 IT 민간기업의 규율에 대한 논의를 강하게 불러 올 것이다. 동시에 외국인에 대한 감시의 적법성 및 그 한계설정을 중심으로 한 국제적인 규범마련에도 영향을 줄 듯하다.