미국과 유럽 사이 개인정보 이동의합법성 보장체계

• 영문명: Framework for Transatlantic Personal Data Flows
• 발행기관: 전남대학교 법학연구소
• 저자명: 이인호(Inho Lee)
• 간행물 정보: 『법학논총』제36권 제3호, 79~108쪽, 전체 30쪽
• 주제분류: 법학 > 법학
• 파일형태: PDF
• 발행일자: 2016.09.30

국문 초록

글로벌화된 세계경제에서 국가 간 개인정보의 이동은 국제무역의 한 형태이자 경제교역의 필수요소이다. 특히 최근의 클라우드 컴퓨팅, 빅데이터, 사물인터넷의 기술발전은 개인정보의 국가 간 이동을 급속도로 증가시키고 있다. 그렇지만 국가마다 개인정보를 보호하는 수준과 보호체계가 달라 개인정보의 국가 간 이동에 중대한 장애요인이 되고 있으며, 심지어는 무역장벽의 하나로 작용하고 있다. 일찍이 경제협력개발기구(OECD)는 이 문제를 해결하기 위하여 1980년에 「프라이버시 보호 및 개인정보의 국제적 유통에 관한 가이드라인」을 제시한 바 있다. 이 글에서는 미국과 유럽연합이 대서양을 오고가는 개인정보의 이동 문제를 어떻게풀어 가는지를 추적하면서 그 구체적인 내용들을 살펴보고자 한다. 우선 제2장(Ⅱ)에서는 유럽연합과 미국의 개인정보보호체계가 기본적으로 어떻게 다른지를 검토한다. 유럽연합의 개인정보보호의 접근방식을 ‘단일의 포괄적 보호체계’(one-size-fits-all approach)라고 할 수 있다면, 미국의 그것은 ‘부문별 개별적 보호체계’(sectoral patchwork approach)라고 할 수 있다. 그러나 양자는 서로 자신의 접근방식이 타당하다고 주장한다. 이어 제3장(Ⅲ)에서는 미국과 유럽연합이 2000년부터 15년 동안 협정의 체결을 통해문제를 풀어간 내력을 검토한다. 즉, 미국과 유럽연합은 ‘정보피난처 협정’(Safe Harbor Agreement)에 의한 합법성보장체계를 통해 대서양 사이의 개인정보 이동을 규율해 왔다. 그러나 2013년 6월에 미국 국가안보국(National Security Agency; NSA)의 감시프로그램(surveillance programs)이 스노든(Edward Snowden)에 의해 폭로되면서, 위 협정의타당성에 대해 유럽연합 측에서 의문을 제기하였고, 마침내 2015년 10월 유럽사법재판소(European Court of Justice; ECJ)는 이 ‘정보피난처 협정’이 무효라는 판결을 내린다. 제4장(Ⅳ)에서는 이 무효판결이 어떤 배경 하에서 생겨나 어떻게 전개되었으며 그 쟁점이 무엇인지, 그리고 그 판결의 요지를 살펴본다. 마지막으로 제5장(Ⅴ)에서는 위 무효판결 이후 미국과 유럽연합이 2016년 2월에 체결한 새로운 합법성보장체계, 즉 ‘프라이버시 방패 협정’(Privacy Shield Agreement)이 체결되는 배경과 그 기본내용 및 그 속에 담긴 이른바 ‘프라이버시 방패 원칙’(Privacy Shield Principles)의 구체적인 내용을 검토한다.

영문 초록

The transatlantic flow of personal data is a form of international trade and is of critical importance for the U.S. and European economies. The recent advancements of ICTs such as cloud computing, big data, and IoT are expanding the transborder flows of personal data at an alarming rate. But The level and legal frameworks of data protection vary widely worldwide. That is becoming a serious obstacle to the free transborder movement of personal data and even a trade barrier. In 1980, the OECD adopted the Guidelines on the Protection of Privacy and Transborder Flows of Personal Data in order to address this problem. The article explains and examines the way U.S. and EU manage to solve the problem of transatlantic flow of data. Both the United States and EU assert that they are committed to upholding individual privacy rights and ensuring the protection of personal data. Nevertheless, data privacy and data protection issues have long been sticking points in U.S.-EU economic and security relations, in large part due to fundamental differences between the United States and EU in their approaches to data protection and data privacy laws. Chapter Two covers the basic differences of data privacy frameworks between the EU and the United States. The EU framework can be called one-size-fits-all approach. The EU considers the privacy of communications and the protection of personal data to be fundamental human rights. In Europe, processing of personal data is prohibited unless there is an explicit legal basis that allows it. By contrast, the U.S. framework is referred to as sectoral patchwork approach. Unlike the EU, the United States does not have a single, overarching data privacy and protection framework. In the United States, collecting and processing of personal data is allowed unless it causes harm or is expressly limited by U.S. law. In Chapter Three, the article examines the background and content of the Safe Harbor Agreement through which the United States and the EU agreed on a mechanism that would allow U.S. companies to meet the “adequate level of protection” required by the EU Data Protection Directive of 1995. But the so-called “Snowden leaks” undermined the trust in the security of U.S.-EU data flows. Since then, on October 6, 2015, the Court of Justice of the European Union (CJEU) issued a decision that invalidated the Safe Harbor Agreement. Chapter Four considers the factual background, controversial issues and gist of the CJEU decision. The CJEU essentially found that Safe Harbor failed to meet EU data protection standards, in large part because of the U.S. surveillance programs. Lastly, Chapter Five covers the new EU-U.S. Privacy Shield Agreement adopted following the CJEU decision. The new framework is substantially longer and more detailed than Safe Harbor. The Privacy Shield principles entail seven distinct categories: notice, choice, accountability for onward transfer, security, data integrity and purpose limitation, access, and recourse, enforcement, and liability.

목차

Ⅰ. 머리말

Ⅱ. 미국과 유럽연합의 개인정보보호체계의 기본적 차이점

Ⅲ. ‘정보피난처 협정’(Safe Harbor Agreement)에 의한 합법성 보장체계

Ⅳ. 유럽사법재판소의 ‘정보피난처 협정’에 대한 무효판결

Ⅴ. 새로운 합법성 보장체계: ‘유럽연합-미국 프라이버시 방패 협정’

Ⅵ. 맺는 말

키워드

개인정보의 국경이동 개인정보보호체계 정보피난처 협정 프라이버시 방패 협정 프라이버시 방패 원칙 Transborder Flows of Personal Data Framework for Data Protection Safe Harbor Agreement Privacy Shield Agreement Privacy Shield Principles