제85조에 대한 좁은 해석

유럽사법재판소(CJEU)는 스웨덴이 언론 목적을 위해 GDPR 제85조에 따라 부여한 광범위한 면책이, 개인 데이터 접근 권한을 상업적 상품으로 판매하는 기업에는 적용되지 않는다고 판결했다. 2026년 7월 9일에 내려진 이 결정은, 단순히 언론 또는 편집 활동이라는 꼬리표를 붙여 특정 데이터 처리 관행을 GDPR의 완전한 심사에서 제외하려는 스웨덴의 시도를 차단한다.

GDPR 제85조는 회원국이 저널리즘, 학술 표현, 예술·문학 표현을 위한 면책을 규정할 수 있도록 허용하며, 엄격한 데이터 보호 규정이 때로 표현의 자유와 충돌할 수 있음을 인정한다. 스웨덴은 이 조항을 활용해 일부 기업이 GDPR 의무를 회피하는 근거로 삼았던 광범위한 면책을 정당화했다. 이번 CJEU 판결은 더욱 단호한 선을 긋는다. 이 면책은 진정한 저널리즘을 보호하기 위한 것이지, 상업적 데이터 운영에 무임승차를 허용하려는 것이 아니라는 점이다.

편집 정책에서 페이월까지

이번 판결의 핵심 사건에는 법원 판결문과 관련 개인 데이터를 페이월 뒤에서 판매한 기업이 연루됐다. 이 회사는 자사 활동이 스웨덴 국내 면책에 따라 저널리즘에 해당하므로 GDPR 의무에서 실질적으로 벗어난다고 주장했다. CJEU는 이에 동의하지 않았다. 구독 상품으로 개인 데이터 접근 권한을 재판매하는 행위는, 설령 회사가 편집 정책과 비슷한 체계를 갖추고 있더라도, 자동으로 보호받는 저널리즘 활동으로 변모하지 않는다는 결론을 내렸다.

이 구분이 중요한 이유는, 이전에 기각된 30만 스웨덴 크로나(SEK) 규모의 손해배상 청구가 되살아났기 때문이다. 문제가 된 면책 조항을 근거로 자신의 개인 데이터가 처리·판매된 개인이 이제 그 청구를 진행할 수 있게 됐다. 법원이 그 법적 방패를 좁혔기 때문이다. 이 판결이 스웨덴의 저널리즘 면책을 완전히 폐기하는 것은 아니지만, 더 이상 개인 데이터를 검색·구매 가능한 콘텐츠로 포장하는 모든 사업에 적용할 수는 없게 됐다.

법원이 답해야 했던 근본적인 질문은 의외로 단순했다. 편집 정책을 가졌다는 이유만으로 데이터 사업을 저널리즘으로 간주할 수 있는가? CJEU의 답변은, 활동의 실질이 기업이 스스로를 어떻게 설명하는지보다 더 중요하다는 점을 시사한다.

스웨덴을 넘어서는 의미

이번 판결은 스웨덴 법에 직접적으로 해당하지만, GDPR 조항을 해석하는 CJEU의 결정은 유럽연합 전체에 적용된다. 제85조에 따라 유사하게 광범위한 저널리즘 또는 편집 면책을 시행한 회원국이라면 이제 그 보호 범위가 어디까지인지 재검토해야 한다. 집계된 개인 데이터, 법원 기록, 신원 조회, 유사한 페이월 상품을 판매하는 기업들은 자신들의 서비스를 정보 제공 또는 편집 콘텐츠로 규정한다고 해서 GDPR의 범위 밖에 있을 거라고 더 이상 가정할 수 없다.

이는 유럽 법원과 규제 기관이 데이터 브로커와 2차 데이터 시장에 대한 단속을 강화하는 더 큰 흐름과 맞닿아 있다. 공공 법원 기록처럼 본래 특정 목적으로 수집·공개된 개인 정보가 중개인에 의해 재포장되고 재판매되는 사례가 늘고 있다. 유럽 전역의 규제 기관들은 면책 조항을 액면 그대로 받아들이기보다, 이러한 비즈니스 모델이 데이터 보호법을 준수하는지 시험하려는 의지를 점점 더 보여주고 있다.

이것이 의미하는 바

일반 사용자에게 이 판결은 단순하지만 중요한 사실을 재확인한다. 기업이 개인 데이터의 처리를 저널리즘이나 편집 작업으로 다시 꼬리표 붙인다고 해서 법적 보호가 사라지지 않는다는 점이다. 법원 기록, 공공 등록부 또는 다른 출처에서 비롯된 여러분의 개인 정보가 유료 데이터 상품의 일부로 판매된다면, 이러한 처리가 GDPR을 위반할 경우 이에 이의를 제기하고 손해배상을 청구할 수 있는 더 강력한 법적 근거를 갖게 된다.

이 판결은 또한 EU에서 활동하는 데이터 브로커와 집계 업체들에게 앞으로는 편집적 프레임만으로 규제 기관이나 법원을 만족시킬 수 없다는 신호를 보낸다. 제85조 유형의 면책에 의존하는 사업체들은 그들의 핵심 활동이 진정한 저널리즘인지, 아니면 편집이라는 꼬리표를 붙인 단순한 상업적 데이터 재판매인지 더욱 철저한 심사를 받을 것으로 예상해야 한다.

핵심 요약

  • CJEU는 스웨덴의 GDPR 제85조 저널리즘 면책을 좁혀, 페이월 뒤에서 개인 데이터를 판매하는 기업에는 적용되지 않는다고 판결했다.
  • 이 면책으로 인해 이전에 차단되었던 30만 SEK 규모의 손해배상 청구가 부활했다.
  • 편집 정책이 있다는 사실만으로는 상업적 데이터 운영을 저널리즘으로 인정하기에 충분하지 않다.
  • 이 결정은 EU 전역에 적용되는 논리를 담고 있어, 유사한 면책을 가진 다른 회원국들도 비슷한 법적 문제에 직면할 수 있다.
  • 자신의 개인 데이터가 의심스러운 면책 주장 아래 재판매 또는 처리되었다고 생각된다면, 이 판결은 GDPR 민원 제기나 손해배상 청구를 뒷받침하는 근거를 강화한다.

유럽 법원이 표현의 자유 보호가 끝나고 상업적 데이터 착취가 시작되는 지점을 계속해서 다듬어 나가는 가운데, 이 판결은 소비자들에게 개인 정보로 수익을 올리면서 전혀 다른 목적으로 설계된 면책 조항 뒤에 숨는 기업들에 맞설 수 있는 더 분명하고 예리한 도구를 제공한다.