유럽사법재판소 ‘Schrems II’ 판결의 한국 GDPR 적정성 평가에 대한 시사점 – 공공기관의 개인정보처리에 대한 제한 중심으로 – = Implications of CJEU’s Schrems II Decision for South Korea GDPR Adequacy Decision

다국어 초록 (Multilingual Abstract)

The General Data Protection Regulation (“GDPR”) adequacy decision for South Korea was adopted on December 17, 2021 with immediate effect. This decision allows personal data of EU data subjects to be transferred to South Korea without the need to take additional measures such as receiving the data subject’s consent or adopting standard data protection clauses. The decision will be re-examined within three years from adoption, and thereafter at intervals not to exceed four years. It is also possible for the European Commission to initiate procedures to suspend, repeal or amend the adequacy decision if it finds significant issues with the level of protection afforded to EU data subjects by the data protection laws of South Korea.
A critical issue in maintaining the adequacy decision will be whether the South Korean data protection laws provide sufficient safeguards concerning the processing of personal data for law enforcement or national security purposes. The Schrems II decision of the Court of Justice of the European Union (“CJEU”) is particularly pertinent for this purpose. Schrems II, which invalidated the EU-US Privacy Shield, followed on the CJEU’s Schrems I decision, which invalidated the EU-US Safe Harbour agreement, showing that the CJEU is not shy about nullifying international agreements of considerable commercial importance if it finds that the agreement is insufficiently protective of EU individuals’ fundamental rights. The South Korean adequacy decision cites principles derived from Schrems II in assessing the adequacy of safeguards applicable to the processing of personal data for law enforcement and national security purposes. While South Korea passed this test the first time around, it will be important during subsequent examinations to demonstrate that the level of protection provided to EU data subjects does indeed meet the Schrems II standard. This paper identifies some of the issues that may be raised from an enforceability perspective, in hopes of facilitating dialogue on necessary enhancements in legislation and enforcement practice.

국문 초록 (Abstract)

한국에 대한 유럽연합의 GDPR 적정성 결정은 2021. 12. 17. 채택 및 발효되었다. 적정성 결정에 따라 EU 정보주체의 동의, 정보보호 표준조항(standard data protection clauses) 사용 등 추가 조치 없이 EU 정보주체의 개인정보를 한국으로 이전할 수 있게 되었다. 적정성 결정은 3년 이내에 재평가 대상이 되고 그 후에도 최대 4년 주기로 재평가를 시행하게 되며, 주기적인 재평가 외에도 한국의 개인정보보호 법제에 대한 중대한 문제가 제기될 경우 언제든지 적정성 결정의 유예, 철회 또는 수정을 위한 절차가 개시될 수 있다.
적정성 결정 유지를 위한 주요 고려사항 중의 하나는 수사기관 등이 형사적 법 집행이나 국가안보 목적으로 개인정보를 처리함에 있어 적법절차의 원칙을 준수하는 등 충분한 안전장치(safeguard)가 적용되는지이다. 유럽 사법재판소(CJEU)는 2015년 이른바 “Schrems I” 판결에서 EU-미국 간 세이프 하버 협약을 무효화한 것에 이어 2020년에 다시 “Schrems II” 판결을 통해 세이프 하버의 후속으로 채택된 프라이버시 실드 협약도 무효화하였다. Schrems II 판결은 한국의 적정성 결정을 위한 협상에도 큰 영향을 주었고 최종 채택된 적정성 결정은 Schrems II 판결로부터 도출된 비례의 원칙 등을 공공기관의 형사적 법 집행·국가안보 목적을 위한 개인정보 처리의 주요 심사기준으로 인용하고 있다. 이 글에서는 Schrems II 판결 및 한국 적정성 결정문 등의 분석을 바탕으로 Schrems II 기준 충족을 위한 개선과제를 모색하였다.

참고문헌 (Reference)

• 1 개인정보보호위원회, "한국, EU 「개인정보보호 적정성 결정」 최종 통과"
• 2 정인섭, "조약의 국내법적 효력에 관한 한국 판례와 학설의 검토" 서울국제법연구원 22 (22): 27-63, 2015
• 3 민혜진, "유럽진출 스타트업에 GDPR 적정성 탈락이 미칠 영향"
• 4 권혁심, "유럽사법재판소의 Safe Harbor 무효판결의 의미 - 국외전송정보의 보호를 위한 정보보호위원회의 조사권과 개인정보침해에 대한 구제방법 -" 법학연구원 (81) : 77-126, 2016
• 5 차상육, "세이프하버협정 무효판결 이후 EU 일반개인정보보호규정(GDPR)의 내용과 우리 개인정보보호법제상 시사점- 개인정보의 국외이전에 관한 비교법적 연구를 중심으로 -" 법학연구소 36 (36): 211-249, 2019
• 6 임규철, "사물인터넷과 블록체인 시대에 있어 개인정보보호법제의 최근 동향과 과제 ― 국내의 개인정보보호법과 GDPR을 중심으로 ―" 미국헌법학회 29 (29): 195-239, 2018
• 7 이해원, "개인정보 보호법의 적용범위에 관한 연구 – 인적(⼈的), 물적(物的), 지리적(地理的) 범위와 관련하여" NAVER
• 8 개인정보보호위원회, "개인정보 보호 법령 및 지침·고시 해설서"
• 9 European Parliament, "The CJEU judgment in the Schrems II case"
• 10 김영수 ; 장항배, "EU적정성 결정이 GDPR 대상기업에 미치는 영향에 관한 탐색적 연구" 아이씨티플랫폼학회 9 (9): 32-41, 2021
• 11 김현경 ; 이경준, "EU의 'GDPR 적정성결정을'을 위한 입법과제" 법학연구원 31 (31): 1-56, 2019
• 12 이정은, "EU 일반개인정보보호법(GDPR)에 대한 일본정부의 대응 및 평가" 19 (19): 2019
• 13 박효주 ; 양진홍, "EU 개인정보보호 적정성평가 이슈와 정책 대응 방안" 한국통신학회 44 (44): 983-991, 2019
• 14 Ireland Data Protection Commission, "Draft Decision of the Data Protection Commissioner Ref. 3/15/766 (2016. 5. 24)"
• 15 "Court of Justice of the European Union, The Court of Justice invalidates Decision 2016/1250 on the adequacy of the protection provided by the EU-US Data Protection Shield” (2020. 7. 16.)"
• 16 "Court of Justice of the European Union, Case C-362/14, Maximilian Schrems v. Data Protection Commissioner (Schrems), ECLI:EU:C:2015:650"
• 17 "Court of Justice of the European Union, Case C-311/18, Facebook Ireland and Schrems (Schrems II), ECLI:EU:C:2020:559"
• 18 European Commission, "Commission Implementing Decision (EU) 2016/1250 of 12 July 2016 pursuant to Directive 95/46/EC of the European Parliament and of the Council on the adequacy of the protection provided by the EU-U.S. Privacy Shield"
• 19 European Commission, "Commission Decision 2010/87/EU of 5 February 2010 on standard contractual clauses for the transfer of personal data to processors established in third countries under Directive 95/46, as amended by Commission Implementing Decision(EU) 2016/2297 of 16 December 2016"