미국과 EU의 개인정보보호에 관한 법제 비교분석 = A Comparative Analysis of US and EU Data Privacy Laws

국문 초록 (Abstract)

현재 미국과 EU는 개인의 사생활보호 및 개인정보보호에 관한 법제를 마련함에 있어 여러 논의를 이어가고 있다. 이는 급속한 기술의 발전으로 기업 및 정부는 방대한 양의 개인정보를 수집, 저장하게 되었기 때문이다. 기업거래 측면에 있어서는 빅 데이터(big data) 또는 메타데이터(metadata)라는 용어를 사용하며 시장의 효율성 및 거래에 있어 낮은 장벽을 강조하고, 국가안보 측면에서 정부는 메타데이터를 이용하여 범죄수사를 하고 테러리즘 및 국제범죄로 야기되는 사회에 대한 중대한 위협에 대응하고 있다. 하지만 이와동시에 정보수집으로 인한 개인정보보호 및 개인의 사생활보호 권리 보호 문제도 점차 심각해지고 있다.
2014년 4월 유럽사법재판소(European Court of Justice)는 놀랄만한 판결을 하였다. Digital Rights Ireland에서 유럽사법재판소는 통신서비스사업자가 모든 EU시민의 이메일, 휴대전화 문자, 전화통화를 최대 2년까지 보관할 수 있게 하였던 EU 1995년 개인정보보호지침(1995년 지침)을 무효화하면서, 동 지침이 EU법에 따른 비례원칙을 충족하지 않았다고 하였다. 2015년 10월에는 Schrems v. Data Protection Commissioner에서 유럽사법재판소는 미국 정부가 적절한 보호 조치없이 인터넷서비스사업자로 하여금 EU시민에 관한 메타데이터를 제출하도록 한 것은 EU의 1995년 지침을 위반한 것이라고하면서 EU와 미국 간 세이프 하버 프레임워크는 무효라고 하였다.
EU 및 EU회원국들은 개인의 사생활권리 및 개인정보를 미국의 경우보다 강력하게 보호하고 있으며 개인정보를 EU비회원국으로 전송하는 것을 제한하고 있다. EU는 1995년 개인정보보호지침을 제정하였고 동 지침에서는 개인의 사생활보호 권리를 기본적 권리 및 자유로 기술하고 있는 데, 이는 인권과 기본적 자유의 보호를 위한 협약(Convention for the Protection of Human Rights and Fundamental Freedoms; 유럽인권보호조약)193)에서 기초한 것이다.
비록 미국과 EU가 개인의 사생활권리 보호에 대해 상이한 접근을 하고 있지만 개인들은 이름, IP주소, 건강 정보 등 자신의 정보를 다른 국가로 빠르게 전송하는 시대에 살고 있다. 따라서 개인정보보호에 관한 기준은 정보의 수집, 처리, 교환 등을 상세하게 규율하고 목적제한과 같은 실질적인 법원칙을 발전시키면서, 정보의 주체를 위해 권리 침해에 대한 법적 구제방법을 확립하여 절차 공정성(procedural justice) 문제를 강조하여 개인정보보호에 관한 법 발전에 기여하여야 한다.

다국어 초록 (Multilingual Abstract)

Disputes highlighting the tension between American and EU laws regarding privacy and Personal Information Protection are on the rise. This is largely due to rapid changes in technology over recent decades that allow businesses and governments to aggregate and store massive quantities of data that can reveal personal information. In the commercial context, businesses use big data and metadata, to increase market efficiency and lower barriers to trade. In the national security context, governments rely on metadata to conduct criminal investigations and combat grave threats to society, such as those posed by terrorism and transnational crimes. At the same time, the proliferation of data collection jeopardizes important privacy rights.
On April 2014, in Digital Rights Ireland, the European Court of Justice(ECJ) struck down the Data Retention Directive, an EU legislative act that allowed telecommunications service providers to retain metadata from every EU citizen"s emails, text messages, and telephone calls for up to two years, finding that it failed to meet the proportionality requirement under EU law. Similarly, on October 2015, in Maximillian Schrems v. Data Protection Commissioner, the ECJ struck down safe harbor agreements between the US and EU, finding that the US Government"s ability to require third-party ISPs to turn over metadata of EU citizens to the US Government without “adequate protection” violated rights protected by the EU Data Protection Directive. These decisions were the result of European courts balancing domestic privacy rights against global security concerns and market interests. As a similar balancing test, in Microsoft Corp. v. United States, the US Second Circuit decided that it is unlawful for a US magistrate judge to issue a warrant, pursuant to the Stored Communications Act(SCA), a domestic statute, to attain data exclusively stored abroad, and that it constitutes an unlawful extraterritorial application of the statute.
The priorities of EU member nations stand in stark contrast to those of the US. The EU takes a much stronger stance on privacy and data protection and restricts how companies transfer data to non-EU nations. In the EU"s Data Protection Directive(“Directive”), the right to privacy is described as a “fundamental right and freedom.” This sentiment is echoed in other landmark EU documents such as the Convention for the Protection of Human Rights and Fundamental Freedoms.
Despite the very different treatment of the right to privacy in the US and EU, individuals live in an era of lightning-quick information transfers and an interconnected global economy in which the sharing of private data across borders is essential. Therefore, the standards for personal information protection establish legal remedies for infringement of rights for data subject and contribute to the development of law on personal information protection by emphasizing procedural justice, while dealing with the collection, processing, and exchange of information and developing practical legal principles such as object limitation.

목차 (Table of Contents)

• Ⅰ. 서론
• Ⅱ. 미국에서의 개인의 사생활 및 개인정보 보호
• Ⅲ. Microsoft 이후 개인정보보호를 위한 미국과 EU의 국내적 및 국제적 법제
• Ⅳ. 미국과 EU의 개인정보보호 등 인권관련 법률의 역외적용에 관한 접근
• Ⅴ. 결론
• 참고문헌
• 국문요약
• Abstract

참고문헌 (Reference)

• 1 문재완, "유럽연합(EU) 개인정보보호법의 특징과 최근 발전" 법학연구소 40 (40): 1-18, 2016
• 2 권혁심, "유럽사법재판소의 Safe Harbor 무효판결의 의미 - 국외전송정보의 보호를 위한 정보보호위원회의 조사권과 개인정보침해에 대한 구제방법 -" 법학연구원 (81) : 77-126, 2016
• 3 조병선, "우리나라의 새로운 테러방지법의 적용과 그 한계에 관한 비교법적 검토 -정보기관의 테러관련 정보수집·추적 권한에 관한 ‘사법적 통제’와 ‘의회를 통한 통제’를 중심으로-" 한국형사정책학회 30 (30): 121-145, 2018
• 4 김재운, "미국의 클라우드법(CLOUD Act)상 대테러정책 연구" 한국테러학회 11 (11): 148-166, 2018
• 5 이주환, "미국 특허법 제271조(f)에 대한 법리의 전개과정과 연방대법원 Life Technologies 판결" 한국법학원 169 : 125-176, 2018
• 6 김석호, "미국 경쟁법상 '처벌법규'의 역외적용 -한국 경쟁법에 주는 의미를 고려하며-" 법무부 (75) : 10-47, 2007
• 7 송영진, "미국 CLOUD Act 통과와 역외 데이터 접근에 대한 시사점" 한국형사정책연구원 29 (29): 149-172, 2018
• 8 P. Sean Morris, "“War Crimes” against Privacy--the Jurisdiction of Data and International Law" 17 : 1-, 2016
• 9 Ned Schultheis, "Warrants in the Clouds: How Extraterritorial Application of the Stored Communications Act Threatens the United States' Cloud Storage Industry" 9 : 661-, 2015
• 10 Blake A. Klinkner, "Understanding the Changing Landscape of Data Protection Laws" 42 : 44-, 2019
• 11 Samantha Cutler, "The Face-Off between Data Privacy and Discovery: Why U.S. Courts Should Respect EU Data Privacy Law When Considering the Production of Protected Information" 59 : 1513-, 2018
• 12 Joy L. Backer, "Stop Waiting on the World to Change: Compelled Disclosure of Email Content under the Stored Communications Act" 48 : 379-, 2015
• 13 Griffin Drake, "Navigating the Atlantic: Understanding EU Data Privacy Compliance amidst a Sea of Uncertainty" 91 : 163-, 2017
• 14 Peter Swire, "How Both the EU and the U.S. are “Stricter” than Each Other for the Privacy of Government Requests for Information" 66 : 617-, 2017
• 15 Kurt Wimmer, "Free Expression and EU Privacy Regulation: Can the GDPR Reach U.S. Publishers?" 68 : 547-, 2018
• 16 차상육, "EU 개인정보보호법제의 최근 입법과 시사점" 한국정보법학회 21 (21): 141-171, 2017
• 17 Andrew Tyler Ohlert, "Appealing to Reasonable Expectations of Privacy: Increasing Appellate Review under ECPA" 66 : 1731-, 2015
• 18 Shelli Gimelstein, "A Location-based Test for Jurisdiction over Data: The Consequences for Global Online Privacy" 2018 : 1-, 2018
• 19 Eric C. Chaffee, "A Call for Legislative Reform: Expanding the Extraterritorial Application of the Private Rights of Action under Federal Securities Law while Limiting the Scope of Relief Available" 22 : 1-, 2017
• 20 Bryan R. Kelly, "#privacyprotection: How the United States can get its Head out of the Sand and into the Clouds to Secure Fourth Amendment Protections for Cloud Journalists" 55 : 669-, 2016