유럽사법재판소의 Safe Harbor 무효판결의 의미 - 국외전송정보의 보호를 위한 정보보호위원회의 조사권과 개인정보침해에 대한 구제방법 -
Significance of Safe Harbor Invalid Judgement of Court of Justice of Europe Union
권혁심(민사집행법학회)
81호, 77~126쪽
초록
미국과 유럽간의 개인정보 전송체제는 대서양을 가로지르는 양안의 상거래, 특히 소셜미디어나 클라우드 컴퓨팅과 같은 새로운 디지털산업에 중요하면서도 필수적이다. 지난 2000년을 전후하여 유럽의회와 이사회는 EU 개인정보 보호지침 제25조 6항에 의거한 Decision 2000/520에서 미국기업이 Safe Harbor 원칙을 준수하면 유럽시민의 개인정보를 미국으로 전송할 수 있는 법적 근거를 마련하였고, 미국 상무부와 연방거래위원회는 Safe Harbor Privacy Principles이라는 개인정보 보호기준을 정하고 이에 관한 유권해석을 FAQs에서 밝혔다. 그러나 2013년 에드워드 스노든의 폭로에 근거하여 오스트리아 청년 Maximillian Schrems는 유럽에서 사업을 하는 미국기업이 EU법상의 적절성 판정 기준을 준수하였는지 여부에 대하여 아일랜드 정보보호위원회를 거쳐 아일랜드 고등법원에 소를 제기하였다. 고등법원이 사법재판소에 선결적부탁절차를 신청한데 대하여 2015년 10월 사법재판소는 정보보호위원회가 기본권을 수호하여야 할 헌장상의 기관으로서 조사권과 전송중지권을 행사하여야 한다는 것을 확인하였다. 나아가 Decision 2000/520의 타당성 문제에 대하여는 미국의 국가정보기관이 기본권제한의 예외규정에 적용되어야 할 필요최소한 제한의 원칙을 무시하고 대량의 무차별적 접근의 통로로써 이용한 Decision 2000/520, 즉 Safe Harbor 체제는 무효임을 판결하였다. 한편 스노든의 폭로 이후에 진행된 양안의 협상결과는 사법재판소의 무효판결 이후에 일련의 법제도로써 발표되었다. 그간의 EU 정보보호지침을 대체하는 일반정보보호규정을 제정하여 2018년 발효될 것이며, 미국은 개인정보침해를 입은 유럽시민을 구제할 수 있는 사법배상법을 제정하였고,사이버보안정보공유법에 의하여 기업과의 정보공유를 법제화하였다. 또한 Privacy Shield라는 자율정보전송체제가 2016년 6월 출범할 것이다. 개인정보의 전송체제를 둘러싼 미국과 유럽간의 법적 다툼과 협상을 통하여 디지털정보시대의 개인정보의 보호는 기본권적 가치를 가지며 이를 수호하여야 할 정보보호위원회의 역할과 비중이 커지고 있음을 알 수 있다.
Abstract
Safe Harbor Framework was declared to be invalid by the Judgement of Court of Justice of European Union. The Judgement of the Court came from the complaints of Max. Schrems and the finding of Snowden’s revelation on the access of NSA to servers of organizations in U.S. Max. Schrems who was a student of Law School in Austria brought this revelation into the Judge of history. The Judgement answered the questions referred by the Irish High Court as follows: Article 28 of Directive 95/46/EC on the protection of individuals with regard to the processing of personal data and on the free movement of such data, and Articles 7 and 8 of the Charter of Fundamental Rights of the European Union empowered a national supervisory authority to investigate a complaint alleging an inadequate level of protection of the personal data transferred and to suspend the transfer of that data. Article 25(6) of Directive 95/46/EC requires of condition that a third country ensures an adquate level of protection, within the meaning of Safe Harbor Principles and Q&As and enforcement. European Commission made a Commission Decision 2000/520/EC of 26 July 2000 pursuant to that Directive, which gave a birth of Safe Harbor Framework. However, in the fourth paragraph of Annex I to that decision, titled derogation, open the door to the United States authorities’ use of personal data of EU citizen. And their misuse of derogation was contrary to Articles 7, 8 and 52(1) of the Charter since it does not pursue an objective of general interest defined with sufficient precision and the proportionality of the interference. Therefore that Decision 2000/520, and provided by the safe Harbor privacy principles declared to be invalid.
- 발행기관:
- 법학연구원
- 분류:
- 법학