유엔 인권 전문가들이 분명한 메시지를 내놓았다. 종이 위의 프라이버시 법만으로는 충분하지 않다는 것이다. 제네바에서 발표된 성명에서 전문가들은 데이터 보호 기관의 독립성과 법원에 대한 실효적 접근이 프라이버시 권리 보호에 필수적이며, 특히 강력한 기술 기업들이 관련된 경우에는 더욱 그렇다고 밝혔다. 개인 데이터가 기업 데이터베이스에 저장되어 있는 모든 사람에게 이는 실질적인 문제다. 독립적인 데이터 보호 기관과 프라이버시 권리는 서로 불가분의 관계에 있으며, 한쪽이 약해지면 다른 쪽도 타격을 입는다.
감독과 정의에 관해 유엔 전문가들이 한 말
유엔 인권최고대표사무소(OHCHR)가 발표한 이 성명은 단순한 원칙에 초점을 맞추고 있다. 전문가들의 표현에 따르면, "프라이버시 권리는 법만으로는 보호될 수 없다." 발표문의 공개된 발췌본은 짧기 때문에, 우리는 이 보도를 전문가들이 직접 진술한 내용, 즉 감독 기관은 독립적이어야 하며 사람들은 자신의 권리가 침해될 때 법원에 접근할 수 있어야 한다는 점으로 한정한다.
이는 함께 작동하는 두 가지 별개의 안전장치다. 데이터 보호 기관은 민원을 조사하고, 조직을 감사하며, 제재를 부과할 수 있다. 법원은 개인이 구제를 구하고 기업이나 심지어 규제 기관 자체의 결정에 이의를 제기할 수 있는 경로를 제공한다. 둘 중 어느 층이든 없거나 훼손된다면, 데이터가 오용된 사람은 의미 있는 도움을 받을 곳이 없을 수 있다.
강력한 기술 기업을 상대로 법만으로 실패하는 이유
대부분의 국가는 이제 어떤 형태로든 데이터 보호 법제를 갖추고 있다. 그러나 법은 이를 집행하는 제도만큼만 강력하다. 대형 기술 기업들은 막대한 양의 개인 정보를 보유하고 있으며 상당한 법적·재정적 자원을 갖고 있다. 그중 하나와 맞서는 개인 사용자는 불균형한 위치에 놓인다.
이러한 불균형이 바로 전문가들이 독립성과 사법 접근성을 강조한 이유다. 정치적 또는 상업적 압력을 받는 규제 기관은 대기업을 추적하는 데 소극적일 수 있다. 적절한 권한이나 자원이 없는 규제 기관은 그렇게 할 수 없을 수도 있다. 그리고 법원이 너무 비싸거나 느리거나 접근하기 어렵다면, 개인은 법이 자기 편에 있더라도 권리 집행을 그냥 포기할 수 있다.
실제로 이는 프라이버시 법의 조문이 이야기의 일부만을 말해준다는 것을 의미한다. 누가 규제 기관을 임명하는지, 어떻게 자금이 조달되는지, 정부와 기업 모두에 대해 조치를 취할 수 있는지, 그리고 사람들이 그 결정에 항소할 수 있는지가 모두 현실에서 얼마나 많은 보호가 존재하는지를 결정한다.
규제 기관이 독립성을 결여할 때: 인도 DPDP법 사례
인도의 디지털 개인 데이터 보호법(Digital Personal Data Protection Act)은 이러한 우려가 왜 중요한지를 보여주는 유용한 사례 연구를 제공한다. 2023년 이 법이 통과되었을 때, 대중 논의의 상당 부분은 기업에 대한 침해 통지, 제재, 동의 요건에 집중되었다. 법이 투명성 규칙과 어떻게 상호작용하는지에는 관심이 덜 쏠렸다. 인도 DPDP법 제44조 제3항이 RTI법에 따른 접근권에 어떻게 영향을 미치는지에 관한 우리의 해설은 하나의 조항이 대중의 정보 획득 능력을 어떻게 좁힐 수 있으며, 그로 인해 데이터 처리 방식에 대한 감시가 제한되는지를 살펴본다.
이 교훈은 유엔 전문가들의 경고와 맞아떨어진다. 데이터 보호 체계가 동의 규칙과 제재를 포함하더라도, 면제 조항이 책임성을 약화시키거나 감독에 독립성이 결여된다면 여전히 공백이 남을 수 있다. 어느 나라의 논쟁을 따르든 독자들은 같은 질문을 활용할 수 있다. 규제 기관은 감독 대상 기관으로부터 분리되어 있는가? 시민들이 결정에 이의를 제기할 수 있는가? 투명성을 감소시키는 예외 조항이 있는가?
이것이 당신에게 의미하는 것
당신은 국가가 규제 기관을 어떻게 구성하는지 통제하지 못할 수 있지만, 기존 보호 장치가 실제로 작동하도록 만드는 조치를 취할 수는 있다.
- 법적 권리를 행사하라. 거주 지역에 따라, 기업이 보유한 자신에 관한 데이터에 대한 접근을 요청하고, 정정이나 삭제를 요구하며, 특정 이용에 반대할 수 있을 것이다. 이러한 요청들은 나중에 민원을 제기해야 할 경우 기록으로도 남는다.
- 담당 규제 기관을 파악하라. 어떤 데이터 보호 기관이 자신을 관할하는지, 그리고 어떻게 민원을 제기하는지 알아두라. 민원은 규제 기관이 문제를 인지하는 주요 경로 중 하나다.
- 기록을 보관하라. 데이터가 잘못 처리되었다고 생각될 때 프라이버시 고지, 서신, 스크린샷을 저장하라. 분쟁이 규제 기관이나 법원에 이르렀을 때 유용하다.
- 면제 조항에 주목하라. 새로운 프라이버시 법이 제안되거나 통과될 때, 헤드라인에서 강조되는 보호 조치 너머를 살펴보라. 면제 조항과 취약한 집행 조항이 종종 그 법이 얼마나 잘 작동하는지를 결정한다.
- 방어층을 겹쳐라. 법적 권리는 데이터가 수집된 이후에 작동한다. 기술적 도구는 그 이전에 작동한다. 암호화, 강력한 고유 비밀번호, 2단계 인증, 그리고 네트워크 트래픽이 드러내는 정보를 제한하는 VPN은 애초에 노출되는 데이터의 양을 줄일 수 있다. VPN은 법적 보호를 대체하지 않으며, 법적 보호도 좋은 보안 습관을 대체하지 않는다.
핵심 요점
유엔 전문가들의 성명은 프라이버시가 기술적 문제이자 제도적 문제라는 점을 상기시켜 준다. 독립적인 데이터 보호 기관과 프라이버시 권리는 서로에게 의존한다. 강력한 법에는 압력 없이 행동할 수 있는 규제 기관이 필요하고, 개인에게는 현실적으로 접근할 수 있는 법원이 필요하다.
독자들에게 가장 유용한 대응은 접근 방식을 결합하는 것이다. 접근·삭제·민원 권리를 행사하고, 암호화와 프라이버시 도구를 사용해 데이터 노출을 줄이며, 법이 어떻게 작성되고 집행되는지에 주의를 기울이라. 취약한 감독과 면제 조항이 실제로 프라이버시와 투명성을 어떻게 침식할 수 있는지 확인하려면, 인도 DPDP법과 RTI 접근권에 미치는 영향에 관한 우리의 사례 연구를 읽어 보라.
