유럽의 개인정보 보호법은 세계에서 가장 강력하기로 유명하다. 헬렌 딕슨 Helen Dixon이 이 법을 어떻게 집행하느냐에 따라, 페이스북, 구글 같은 미국 IT 대기업들은 큰 대가를 치를 수도 있다. By David Meyer

요즘 IT 대기업들은 한마디로 처분만 기다리고 있다. 심판자의 이름은 헬렌 딕슨이다.

세계에서 가장 강력한 인터넷 개인정보 보호법인 EU 일반개인정보보호법(General Data Protection Regulation · GDPR)이 도입된 지 16개월이 지났다. 하지만 새 법의 가장 명백한 적용 대상인 페이스북과 구글 등 미국의 대형 기술기업을 겨냥한 결정은 아직 내려지지 않았다. 이들의 미래는 아일랜드의 GDPR 집행기관인 아일랜드 개인정보보호위원회(Data Protection Commission · DPC)의 수장 헬렌 딕슨에게 상당 부분 달렸다.

아일랜드가 개인정보를 둘러싼 전쟁의 최전선이 된 것은 사실 우연이었다. 아일랜드의 법인세 기본 세율은 EU 평균인 22.5%보다 훨씬 낮은 12.5%에 불과하다. 이로 인해 구글, 애플, 페이스북, 트위터, 마이크로소프트 등 많은 다국적 기업이 아일랜드에 법인을 설립, 아일랜드 DPC의 관할 하에 놓였다. 아일랜드 DPC는 GDPR 위반에 관한 사례를 조사하고, 판결을 내릴 권한을 갖고 있으며, 친소비자적 성향이 강하다.

GDPR은 타인의 개인정보 취득·이용에 대해 해당 개인정보의 당사자가 갖는 권한을 확대하는 것을 골자로 한다. 작년 5월 GDPR이 발효되고 몇 시간도 지나지 않아, 개인정보 운동가들이 접수한 침해사례 민원이 물밀듯이 들어왔다. 그 중 상당수는 해당 기업의 주소지로 인해, 아일랜드 DPC가 맡게 됐다. 딕슨은 “이런 일을 하면 휴가 가기가 쉽지 않다”고 토로한다. 그녀는 아일랜드 DPC에 연말까지 1만 건 이상의 민원이 접수될 것으로 예상한다.

주요 대형 사례에서 미국 기업의 과실이 있다고 결정될 경우, 아일랜드 DPC는 글로벌 연매출의 4%까지 과징금으로 부과할 수 있다. 훨씬 더 큰 비용을 치러야 하는 민사소송에 추가로 직면할 수도 있다. 무엇보다, 개인정보—광고가 이끄는 현대 기술경제의 생명줄이다—를 습득·공유·이용하는 데 새로운 제약이 발생할지도 모른다(구글은 딕슨이 담당하는 사건에 대한 입장을 밝혀 달라는 요청에 응답하지 않았다. 페이스북과 트위터도 코멘트를 거부했다).

딕슨은 사실 뜻밖의 강경파다. 경제학을 전공했고, 공직 입문 전 시트릭스 Citrix 등 다국적 기술기업에서 기술지원 부문 관리자로 활동한 이력이 있기 때문이다. 딕슨은 2014년 DPC 위원장에 취임(최근 연임이 확정됐다)했는데, 이 무렵 온라인 개인정보보호 분야에서는 중대한 변화가 일어나고 있었다.

그로부터 한 해 전, 오스트리아인 법학도 막스 슈렘스 Max Schrems는 페이스북에 올린 자신의 개인정보가 미국 첩보기관에 유출됐다는 내용의 민원을 아일랜드 DPC에 제출했다. 국가 정보기관이 인터넷을 감시하고 있다는 에드워드 스노든 Edward Snowden의 폭로에 영향을 받은 행동이었다. 딕슨의 전임자는 미국과 EU 간 개인정보 공유 협정에 페이스북이 등록돼 있다는 이유로 수사를 거부했다. 그러나 2015년 유럽 최고법원이 ‘해당 협정을 이유로 근본적 권리의 침해에 대한 관계당국의 조사 활동을 막아서는 안 된다’는 판결을 내렸다. 또, 미국-EU 간 개인정보 공유 협정을 폐기할 것을 명령했다. IT업계는 충격에 빠졌다. 이후 2016년 GDPR이 완성되면서, 아일랜드 DPC는 새 법을 집행할 임무를 맡았다.

개인정보 관련 단체들은 딕슨이 소비자에게 유리한 판결을 내릴 것이라 예상하지만, 문제는 시점이다. 아일랜드 DPC는 최근 페이스북이 소유한 메신저 플랫폼 와츠앱 WhatsApp과 트위터가 연루된 두 건의 사례에 대한 보고서를 완성했다. 그러나 최종 결정은 올해 이후에 나올 예정이다. 딕슨은 다국적 기업의 아일랜드 투자와 관련해 정치적 압박을 받아서가 아니라(그런 일은 “전혀 없다”고 주장했다), 재심 가능성을 원천 차단하기 위해서라고 해명했다. 기술기업들이 자신들에 불리한 판정에 대해 제소할 가능성을 고려하면 “지름길을 택할 수 없다”는 것이다.

개인정보 보호 단체들은 이 점이 불만스럽다. 개인정보 운동가로 변신한 슈렘스는 새로운 법 영역에서 첫 주요 결정을 내릴 때 평소보다 시간이 오래 걸리는 현실을 인정하면서도, “근본적 권리이면서 [집행에] 2년이나 걸린다면, 그 권리는 현실에 없는 서류상 권리일 뿐”이라고 지적했다.

딕슨이 직면한 문제 중 하나는 인력과 자원 부족이다. DPC는 대기업이 연루된 소수의 대형 사건만 처리하지 않는다. 지역업체가 보유한 정보를 삭제하고 싶은 개인(GDPR이 보장하는 또 다른 권리다) 등 대량의 소규모 민원신고에도 대응해야 한다. 딕슨이 취임한 이후 아일랜드 DPC는 27명에 불과했던 직원 수를 140명 이상으로 대폭 늘렸다. 그러나 DPC의 시간과 자원 상당수는 브렉시트가 영국-아일랜드 간 데이터 흐름에 미칠 거대한 영향에 대응하는 데 투입될 것이다. 또한, 10월 초에 발표된 아일랜드의 내년도 예산안에서 DPC에 배정된 추가 재원은 요청한 액수의 3분의 1에 불과했다. 개인정보보호 시민단체 아일랜드 디지털권리(Digital Rights Ireland)의 안토인 오 라흐트나인 Antoin Ó Lachtnain 디렉터는 “현재의 광범위한 상황에 대응할 수 있을 만큼 조직을 키우려면 아직 갈 길이 멀다”고 지적한다.

딕슨은 법 환경의 빠른 변화 또한 큰 고민이라고 말한다. 그러나 그녀는 소비자를 위해 “공정을 추구하고자 노력한다”는 궁극적 목표 하에, “우리가 가진 권한과 기회가 무엇인지 인지하고 있다”고도 말했다. 아일랜드 DPC의 관할권에 속한 기업에 이 발언은 무슨 의미일까? 오 라흐트나인은 “꽤 세게 나올 것 같다”고 직설적으로 전망했다.

▲심판을 기다리는 기업들

아일랜드 DPC가 면밀히 조사 중인 대기업 일부를 소개한다.

-페이스북: 아일랜드 DPC는 타기팅 광고(특정 집단을 목표로 한다)를 위한 개인정보 사용에 동의해야만 페이스북을 이용할 수 있도록 강제했다는 민원에 따라, 회사를 조사 중이다. 페이스북은 DPC의 수사에 협조하고 있다고 밝혔다.

-구글: 구글은 광고 입찰제를 통해 광고주에게 개인의 정치성향·성정체성 등 민감한 개인정보를 공유했다는 의혹을 받고 있다. 회사 측은 이런 정보에 기반한 타기팅 광고를 자체적으로 금지한다고 해명했다.

-버라이존 미디어: 버라이존 미디어가 보유한 야후 뉴스와 허프포스트 등 웹사이트에서, 온라인 ‘쿠키’ 사용을 거부할 선택지를 제공하지 않아 사실상 쿠키 동의를 강제했다는 민원이 접수됐다. 버라이존의 대변인은 자사가 “고객 정보에 대한 의미 있는 통제권”을 보장한다고 해명했다.