누가 GDPR을 싫어하는지를 보면 GDPR이 좋은 이유를 알 수 있습니다

AI 요약

이 글은 프랭클린 D. 루스벨트(Franklin D. Roosevelt)의 1936년 연설에서 출발합니다. 루스벨트는 자신을 증오하는 세력이 어느 때보다 단결했다면서 “나는 그들의 증오를 환영합니다”라고 말했습니다. 글쓴이는 이 태도를 어려운 일을 제대로 하고 있는지 판단하는 지표로 받아들입니다. 아무도 반대하지 않는다면 실제로 변화를 일으키고 있지 않을 가능성이 있으며, 특히 가장 강한 이해관계자들이 싫어한다면 그 정책은 중요한 지점을 건드리고 있다는 논리입니다. 글은 이 기준에 따르면 유럽연합의 일반 개인정보 보호법(General Data Protection Regulation, GDPR)이 매우 잘 작동하고 있다고 주장합니다.

■ 쿠키 배너는 GDPR의 실패가 아니라 산업의 저항입니다

기술 업계 온라인 담론에서는 GDPR을 관료들이 기술의 가능성을 이해하지 못한 채 만든 규제로 묘사하는 비판이 반복됩니다. 글은 미국 기반의 비판이 “규제할 시간이 없으니 변화에 적응해야 한다”는 사이버자유주의(cyberlibertarianism)의 익숙한 논리를 따른다고 봅니다. 그중에서도 가장 많은 비판을 받는 결과가 쿠키 동의 배너(cookie banner)입니다.

하지만 글쓴이는 쿠키 배너를 GDPR 탓으로 돌리는 것은 “보건 감독관을 바퀴벌레 탓으로 돌리는 것”과 같다고 말합니다. 사용자가 감시 기술과 데이터 공유 구조를 이해하기 전에 지치도록 만드는 복잡한 배너는 규제 자체의 필연적 결과가 아니라, 동의를 형식적으로만 받으려는 다크 패턴(dark pattern)이라고 설명합니다. 동시에 이 배너는 역설적으로 대중에게 감시 산업의 실체를 알리는 역할도 합니다. 비기술 사용자조차 “당신의 데이터가 996개 파트너와 공유됩니다”라는 문구를 보고 “스포츠 점수 웹사이트에서조차?”라고 묻게 된다는 예시를 듭니다.

글의 핵심은 동의가 자유롭게 제공되어야 하고 거부하기도 쉬워야 한다는 원칙입니다. 이 원칙이 지켜지면 사용자는 자신의 데이터가 누구에게 제공되는지, 얼마나 오래 보관되는지, 어떤 목적으로 수집되는지를 결정할 수 있습니다. 글쓴이는 바로 이 가능성이 Meta 같은 대형 플랫폼 기업을 불안하게 만드는 이유이며, 기술 업계가 GDPR을 시끄럽게 비판하는 이유도 여기에 있다고 주장합니다.

■ 개인정보 보호는 유럽의 특수한 발상이 아닙니다

글은 GDPR이 유럽만의 독특한 실험이라는 통념을 반박합니다. 독일 헤센주(Hesse)는 1970년 세계 최초의 데이터 보호법을 제정했으며, 해당 법은 개인정보와 데이터가 권한 없는 사람에게 조회·변경·추출·파괴되지 않도록 인력과 기술적 조치를 갖춰야 한다고 규정했습니다. GDPR이 발효될 당시에는 이미 126개 국가가 어떤 형태로든 개인정보 보호법을 보유하고 있었다고 설명합니다.

이 법률들은 1980년 경제협력개발기구(OECD)가 제시한 원칙과 연결됩니다. 필요한 정보만 수집하고, 수집 목적을 알리며, 안전하게 보관하고, 당사자가 자신의 정보를 열람하고 수정할 수 있게 하며, 개인정보를 부적절하게 다루지 말아야 한다는 원칙입니다. 글쓴이는 반세기가 지난 뒤에도 미국 인터넷 산업이 사실상 첫 번째 원칙, 즉 필요한 것만 수집하라는 요구조차 제대로 받아들이지 못하고 있다고 비판합니다. 따라서 GDPR의 확산은 유럽의 일방적인 규범 수출이라기보다, 이미 여러 나라가 공유하던 개인정보 보호 기준이 하나의 강력한 제도로 수렴한 결과라고 설명합니다.

■ 브뤼셀 효과와 GDPR의 국제적 확산

글은 아누 브래드퍼드(Anu Bradford)가 설명한 ‘브뤼셀 효과(Brussels Effect)’를 GDPR 확산의 핵심 개념으로 제시합니다. 유럽이 규제하면 세계가 따르는 이유는 유럽 시장이 기업이 쉽게 포기할 수 없는 규모이기 때문입니다. 기업이 유럽 시장에서 철수하면 규제를 피할 수 있지만, 실제로는 매출과 사업 기반을 잃게 됩니다. 또한 GDPR은 유럽연합(EU) 외부로 데이터가 이전되더라도 EU 거주자의 개인정보라면 규율 대상으로 삼기 때문에, 기업이 데이터의 국적을 단순히 분류해 규제를 피하기도 어렵다고 설명합니다.

EU에는 각 회원국의 데이터 보호 기관(Data Protection Authority)이 있습니다. 이 기관들은 개인의 권리 보호를 지원하고, 국내 입법기관에 기존 규제의 작동 방식을 조언하며, 법을 집행하는 역할을 맡습니다. 글은 EU가 미국보다 사전 예방적 규제(precautionary regulation)를 받아들이는 데 개방적이라고 비교합니다. GDPR에 이어 인공지능법(EU Artificial Intelligence Act)처럼 산업이 충분히 성장하기 전에 일정한 통제를 도입하려는 움직임도 같은 맥락으로 제시합니다.

글은 오스트리아의 법학도 막스 슈렘스(Max Schrems)의 사례를 GDPR의 집행력이 어떤 형태로 나타나는지 보여주는 대표적인 예로 듭니다. 슈렘스는 Facebook에 자신에 관한 모든 정보를 요청했고, 자신이 직접 제공하지 않았다고 생각한 정보가 포함된 1,200쪽 분량의 자료를 받았습니다. 그는 기숙사 방에서 민원을 제기했고, 4년 뒤 유럽연합 사법재판소(Court of Justice of the European Union)는 그 사건을 계기로 미국과 EU 사이의 데이터 이전 협정인 세이프 하버(Safe Harbor)를 무효화했습니다. 개인 한 명의 문제 제기가 대통령과 총리가 서명한 국제 협정을 흔들 수 있었다는 점이 GDPR 체계의 ‘이빨’을 보여준다는 설명입니다.

■ 일본과의 협정이 보여주는 규제의 영향력

글은 GDPR의 영향력을 일본과 EU 사이의 데이터 이전 협정에서도 찾습니다. 2019년 1월 23일 EU와 일본은 양 경제권 사이에서 개인정보가 자유롭게 흐를 수 있도록 합의했습니다. 이 과정에서 일본은 개인의 핵심 권리, 독립적인 감독기관에 의한 집행, 개인정보 보호를 포괄하는 법적 체계를 마련해야 했습니다. 글은 협상에 2년이 걸렸으며, 그 이전 일본의 개인정보 보호 체계는 민간 부문에 대한 규제가 약하고, 개인정보 이용과 공개에 관한 예외가 쉽게 조작될 수 있으며, 민감정보와 국외 이전에 대한 보호가 부족했다고 설명합니다.

이 사례에서 글쓴이는 브뤼셀의 협상 테이블과 오사카에 사는 은퇴자의 새로운 권리 사이에 직접적인 연결이 생긴다고 주장합니다. 일본의 데이터 브로커들이 이 변화를 싫어한다면, 그것은 규제가 제대로 작동하고 있다는 또 하나의 신호라는 것입니다. 반대로 미국이 EU와 같은 수준의 협정을 맺지 못하는 이유는 미국의 신청이 승인되기 어렵다는 사실을 관계자들이 알고 있기 때문이라고 말합니다. 글은 여기서 미국이 자국 기술 산업을 규제할 수 있는 법을 만들지 못하는 이유를 묻습니다.

■ 미국의 감시 자본주의와 규제 공백

후반부에서 글은 쇼샤나 주보프(Shoshana Zuboff)의 저서 『감시 자본주의 시대(The Age of Surveillance Capitalism)』를 통해 미국의 데이터 경제를 설명합니다. 글이 제시한 감시 자본주의의 핵심은 인간의 경험을 무료 원료로 삼아 데이터를 추출하고, 행동을 예측하며, 상업적 결과를 만들어내는 경제 질서입니다. 사용자는 더 이상 단순히 상품이 되는 것이 아니라, 행동을 바꾸기 위한 원료로 채굴됩니다. 기업은 사용자에 대해 방대한 정보를 축적하지만, 사용자는 기업이 무엇을 알고 어떻게 활용하는지 거의 알지 못한다는 비대칭이 형성됩니다.

글은 9·11 테러 이후 미국의 정책적 초점이 개인정보 보호보다 보안으로 이동하면서 국내 개인정보 규제의 흐름이 약화됐다고 주장합니다. 공공 정보기관과 실리콘밸리의 감시 자본주의 산업은 안전을 위한 감시라면 감시가 아니라 공공서비스라는 ‘감시 예외주의(surveillance exceptionalism)’를 만들었습니다. 이후 대형 기술 기업의 로비와 정부·기업 사이의 인력 이동이 연방 차원의 규제를 더 어렵게 만들었다고 설명합니다. 기업들은 사용자의 행동 데이터를 이용해 수익성 있는 방향으로 행동을 유도하고, 개인 기업은 먼저 무장 해제할 유인이 없기 때문에 법적 강제력을 가진 규제가 없으면 시장이 스스로 문제를 해결할 수 없다는 것이 글의 주장입니다.

■ 광고 생태계와 ‘이중 운동’

글은 Decrypt Ads를 활용해 The Verge의 광고 공급망을 분석한 사례도 제시합니다. 유료 구독 기반의 기술 매체라 하더라도 광고 시장에서는 수많은 기업이 웹사이트에서 발생한 정보를 거래하고, 판매하고, 입찰하는 구조에 참여하게 됩니다. ads.txt와 sellers.json은 광고 사기를 줄이기 위한 장치이지만, 역설적으로 광고 생태계에 어떤 기업들이 연결되어 있는지를 외부에서 볼 수 있게 해줍니다. 글은 The Verge에 59개의 파트너가 선언되어 있으며, 기술에 익숙한 운영진과 유료화 모델을 갖춘 웹사이트조차 이 구조에서 완전히 벗어나기 어렵다고 말합니다.

마지막으로 글은 경제사학자 칼 폴라니(Karl Polanyi)의 ‘이중 운동(Double Movement)’을 적용합니다. 시장이 토지·노동·화폐까지 상품화하는 첫 번째 움직임 뒤에는 최저임금, 노동권, 거래 규제처럼 피해를 줄이기 위한 두 번째 움직임이 따라왔습니다. 그러나 글쓴이는 감시 자본주의에서는 이 두 번째 움직임이 아직 제대로 시작되지 않았다고 봅니다. 일부 주정부가 규제를 시도하고 있지만, 주별로 인터넷을 규제하는 방식은 근본적인 해결보다 피해를 막는 수준에 머문다고 평가합니다.

결론에서 글은 GDPR의 확산을 유럽의 도덕적 우월성으로 설명하지 않습니다. 워싱턴이 행동하지 않기 때문에 브뤼셀이 행동하고, 유럽 시장을 포기할 수 없는 세계 기업들이 그 규칙을 따르며, 그 결과 세계의 기준이 바뀌었다는 것이 글의 정리입니다. 즉 GDPR의 역사는 유럽의 야심이라기보다 미국의 부재가 만든 결과이며, 개인정보 보호 규제는 산업이 자발적으로 회개해서가 아니라 실제 집행력을 가진 법이 시장의 계산을 바꾸기 때문에 결국 정착할 것이라고 주장합니다.

원문: Mat Duggan / 번역·요약: Trawling