김경환 변호사

법무법인 민후

2014 ISACA Korea Conference 안전한 사회 구현을 위한 – 감사∙통제 그리고 Cyber Security

개인정보보호의 국제동향 - 잊혀질 권리 -

잊혀질 권리의 역사

• 70년대 독일 판례 등에서 인정된 형기를 마친 범죄자의 권리

• 2009년 프랑스 Code of Practice : le droit àl’oubli (right of oblivion)

• 2009년 5월, 조지타운 법대교수인 Franz Werro는 ‘the right to be forgotten’를 언급함

• 2011년 7월, 유럽의회는 ‘잊혀질 권리’의 입법 필요성을 강조

• 2012년 1월 25일, ‘General Data Protection Regulation’에서 법제화 추진

잊혀질 권리의 개념

• 해당 정보가 처리 목적에 비추어 더 이상 필요하지 아니한 경우, 정보주체가 처리에 대한 동의를 철회하는 경우 또는 동의한 보유기간이 만료한 경우로서 해당 정보의 처리 근거가 더 이상 존재하지 아니하는 경우, 정보주체가 개인정보의 처리를 거부하는 경우 등에 있어서 정보주체는 개인정보처리자로 하여금 정보주체와 관련된 개인정보를 삭제하고 해당 개인정보의 추가적인 전파를 방지하도록 요구할 권리(GDPR, 제17조 제1항)

• 적법한 게시글에 대하여 처리자에게 요구하는 권리

잊혀질 권리의 존재이유

• 개인적 관점 : 의도하지 않은 정보 확산에 대하여 정보주체의 통제권을 강화하기 위하여 개인정보의 생성, 유통, 저장 등의 과정에서 정보의 유효기간을 설정하고 수정 또는 삭제를 요구할 수 있는 하는 개인적 의미의 권리

• 사회적 관점 : 한 개인의 부정적인 기록을 삭제함으로써 ‘새로운 출발(clean state)’을 가능하게 할 수 있음. 예컨대 한 개인을 낙인지울 수 있는 부정적인 기록, 파산 기록, 전과기록, 청소년 보호처분 기록 등을 삭제함으로써 한 개인의 새로운 출발을 도울 수 있음

잊혀질 권리의 법제화 과정 (1)

• Article 29 Working Party의 1차 검토(2012년 1월) : 제3자의 게시글 삭제 등과 관련하여 잊혀질 권리의 실현가능성에 문제점이 있다는 의견 제시

• Article 29 Working Party의 2차 검토(2012년 8월) : 잊혀질 권리 및 정보처리자의 의무의 내용을 명확하기 하기 위한 조치, 법적 구속력을 강화하기 위한 조치가 필요하다는 의견 제시

• Philipp Albecht 의원의 수정안(2013년 1월) : 잊혀질 권리 내용을 제한하는 한편 표현의 자유 보장을 강조

잊혀질 권리의 법제화 과정(2)

• EU의회의 수정제안(2013년 11월)

- 잊혀질 권리(right to be forgotten)에서 삭제권(right to erasure)으로 개명

- 몇 가지 예외사유를 추가하여 권리 범위를 제한하고 있음

o 공공기관이 보유한 정보

o 정보 보유가 계약 이행에 필수적인 경우

o 정보 보유가 법에 의무로 되어 있는 경우

잊혀질 권리의 최초 판례

• 유럽사법재판소의 마리오 곤잘레스 사건(2014. 5. 13.)

- 1998년 스페인의 변호사 곤잘레스는 부채 때문에 생긴 부동산 압류 기사에 대한 삭제를 언론사 및 구글에 요청하였으나 거절당하여 스페인정보보호청에 신청을 함

- 스페인정보보호청은 구글에 대한 링크 삭제만을 결정하였으나 구글은 불복하여 스페인 법원에 소송을 제기하였으나 스페인 법원은 유럽사법재판소에 소송을 넘김

- 유럽사법재판소는 곤잘레스의 손을 들어 줌

다섯 가지의 쟁점

• 검색엔진이 개인정보처리인지 여부

• 구글이 개인정보처리자인지 여부

• 구글에 대한 스페인법 적용 여부

• 검색엔진 운영자의 책임 범위

• 잊혀질 권리의 인정 여부

제1쟁점 : 검색엔진이 개인정보처리인지 여부

• 구글의 주장 : 검색엔진이 개인정보와 다른 정보의 선택 없이 인터넷에서 이용가능한 모든 정보를 처리하기 때문에 검색엔진의 활동은 검색결과 목록에 표시된 제3자의 웹페이지에 나타난 데이터의 처리로서 간주될 수 없다. (번역문의 출처 : 박노형 교수님, 이하 같음)

• ECJ의 판단 : 구글의 검색엔진은 정보를 수집, 저장, 분류, 노출, 이용하고 있는바 따라서 검색엔진은 개인정보처리에 해당함

제2쟁점 : 구글이 개인정보처리자인지 여부

• 구글의 주장 : 검색엔진 활동이 개인정보 처리로 분류된다고 하여도 검색엔진의 운영자는 처리되는 개인정보를 알지 못하고 동 개인정보에 대하여 관리하지 않기 때문에 동 처리(processing)에 관하여 처리자(controller)로서 간주될 수 없다

• ECJ의 판단 : 검색엔진 운영자는 자신의 활동 목적과 수단을 결정하고 따라서 그 활동 체제 내에서 수행하는 개인정보 처리의 목적과 수단을 결정하기 때문에 개인정보 처리에 관하여 ‘처리자’로 간주되어야 한다.

제3쟁점 : 구글에 대한 스페인법 적용 여부

• 구글의 주장 : Google Search를 운영하는 Google Inc.가 Google Spain의 개입 없이 개인정보를 처리하고, Google Spain의 활동은 검색엔진과 별개의 광고활동의 지원에 제한된다.

• ECJ의 판단 : 검색엔진의 운영자가 회원국에서 광고면을 홍보하고 판매하도록 의도되고 동 회원국 주민들을 상대로 활동을 하는 지사 또는 자회사를 설립할 때 회원국 영토에서의 관리자의 ‘시설’(establishment)의 활동 맥락에서 수행된다는 의미로 해석되어야 한다.

제4쟁점 : 검색엔진 운영자의 책임 범위

• 구글의 주장 : 구글은 정보에 대한 비접근의 가장 효과적이고 가장 덜 제한적인 수단을 가지고 있기 때문에 해당 정보의 제거는 동 웹사이트 발행자에게 요청되어야 한다.

• ECJ의 판단 : 검색엔진의 운영자가 사람의 이름에 기초한 검색으로 표시된 결과의 목록에서 제3자가 발행하고 동 사람에 관련된 정보를 가지는 웹페이지에 대한 링크를 제거하여야 할 의무를 가진다.

제5쟁점 : 잊혀질 권리의 인정 여부

• 구글의 주장 : 해당 정보가 정보주체에게 해로울 수 있거나 일정한 시간이 지나서 잊혀지길 원한다는 경우의 잊혀질 권리에 대하여 부정적

• ECJ의 판단 : 잊혀질 권리의 명문 규정이 없는 95년 지침을 근거로 잊혀질 권리를 인정하였으며, 잊혀질 권리의 대상은 ‘시간 경과에 따른 부적절한 데이터’, ‘목적을 고려한 부적절한 데이터’를 지적. 잊혀질 것인지의 판단방법은 정보주체의 이익과 그 정보에 접근하는 일반대중의 이익을 비교형량하여 결정함.

ECJ 판결 및 잊혀질 권리에 대한 찬반 의견

• 찬성의견

- 개인정보자기결정권의 확장

- 고통받거나 새로운 출발을 저해받는 사람들의 고민을 해결

- 공익과 무관한 내용을 삭제하므로 알권리 침해 우려 없음

• 반대의견

- 표현의 자유나 알권리 침해

- 새로운 형태의 인터넷 검열

- 포털이 삭제 여부를 결정하는 것은 부당

ECJ 판결 이후 구글의 조치 (1)

• ‘잊혀질 권리’ Webform을 제공 시작 (2014. 5. 30.)

• 대상국 : EU 28개국 + 아이슬랜드, 리텐슈타인, 노르웨이, 스위스

• 소명 : 대상 URL를 거론하고 삭제 이유(“irrelevant, outdated, or otherwise inappropriate”)를 소명하여야 함

• 케이스별로 심사를 하고, 만일 삭제가 되지 않을 경우 해당 국가의 개인정보보호 당국에 불복할 수 있다고 안내되고 있음

ECJ 판결 이후 구글의 조치 (2)

• 삭제 결과는 해당 국가만 적용되는 것이 아니고, 유럽 대상 국가 전부(Google.fr, Google.de, Google.co.uk 등 ) 에 서 반 영 됨 ( 다 만 Google.com에서는 삭제되지 않음)

• 삭제 처리는 불법저작물의 처리와 유사할 것으로 예상되며, 마찬가지로 삭제결과는 삭제된 불법저작물과 유사하게 공지됨

• 삭제 결과는 게시자와 해당 국가의 개인정보보호 당국에게 통지됨

• 시행지침을 정할 전문가 자문회의를 구성함

ECJ 판결 이후 다른 검색엔진의 조치

• 마이크로소프트 Bing : 잊혀질 권리를 수용하여 삭제 개시

• 일본 야후 : 사이버상조 서비스 개시

* 참고로 우리나라의 경우 수개의 디지털세탁소가 성행 중이고, 기업, 연예인, 정치인, 취업준비생 등의 의뢰가 많다고 함

ECJ 판결 이후 각 국의 조치

• 독일 : 잊혀질 권리와 관련해 인터넷 기업과 개인 이용자의 분쟁을 해결할 권한을 갖는 특별사법기구 ‘사이버 법정’이나 제3의 중재기구 설치 등을 검토 중

• EU : 실무그룹(The Article 29 Working Party)이 가을 즈음에 잊혀질 권리에 관한 통일적인 지침을 제정하여 발표할 예정. 2014. 9. 18. 보도자료를 발표하고, 11월말까지 가이드라인을 발표할 예정임

• 한국 : 방송통신위원회는 2014. 8. 법제화 방안 검토 발표하고, 현재 연구반이 운영되고 있음

감사합니다

(oalmephaga@minwho.kr)