미국 대법원의 최근 '트럼프 대 슬로터(Trump v. Slaughter)' 판결이 유럽연합(EU)과 미국 간의 개인정보 이전 합의에 중대한 불확실성을 던지고 있습니다. 이 판결로 미국 연방거래위원회(FTC)의 독립성이 약화될 수 있다는 우려가 제기되면서, EU 조약법이 요구하는 '독립적인 개인정보 보호 감독 기관'이라는 전제가 흔들리게 된 것입니다. 이는 2023년 발효된 'EU-미국 데이터 프라이버시 프레임워크(EU-US Data Privacy Framework)'의 핵심 근거를 위협하며, 유럽 기업들이 미국 클라우드 서비스를 이용하는 방식에 큰 변화를 가져올 수 있습니다.
EU는 2000년부터 미국을 개인정보 보호에 있어 '적정한' 국가로 인정하며 양측 간 자유로운 데이터 흐름을 허용해왔습니다. 이 과정에서 FTC의 독립성이 중요한 역할을 했습니다. 그러나 오스트리아의 개인정보 보호 옹호 단체인 노입(noyb)과 막스 슈렘스(Max Schrems)는 미국 대법원의 이번 판결이 FTC의 독립성을 훼손하여, 이전의 '세이프 하버(Safe Harbour)'와 '프라이버시 실드(Privacy Shield)' 합의가 무효화되었던 것과 같은 취약점을 2023년 새 프레임워크도 반복하고 있다고 주장합니다. 과거 유럽사법재판소(CJEU)는 미국 정부의 감시법과 사법적 구제 수단 부족을 이유로 이 합의들을 무효화한 바 있습니다. 바이든 행정부가 '데이터 보호 심사 법원(Data Protection Review Court)'을 설립했지만, 이는 법무부 내부 기관이며 대통령 행정명령에 의존해 독립성이 부족하다는 비판을 받고 있습니다.
이번 판결이 당장 모든 데이터 이전을 중단시키는 것은 아닙니다. 유럽 집행위원회(European Commission)가 철회하거나 유럽사법재판소가 무효화하기 전까지는 현재 프레임워크가 형식적으로 유효합니다. 그러나 표준 계약 조항(SCCs)이나 구속력 있는 기업 규칙(BCRs)을 사용하는 기업들도 미국 구제 및 감독 기관의 독립성에 대한 영향 평가를 다시 검토해야 할 수 있습니다. 노입은 유럽 집행위원회에 EU-미국 데이터 합의를 질서 있게 철회하라는 공식 서한을 보냈으며, 앞으로 몇 주 안에 유럽사법재판소에 현재 합의를 무효화해달라는 소송을 제기할 예정입니다. 이러한 소송은 최종 결정까지 보통 2~3년이 소요될 것으로 예상됩니다.
이러한 상황은 유럽 기업들에게 '디지털 주권(digital sovereignty)'에 대한 고민을 심화시키고 있습니다. 이미 일부 EU 회원국은 미국 서비스 제공업체와의 분리를 추진하며 자체적인 데이터 처리 방안을 모색하고 있습니다. 이는 유럽 기업들이 미국 클라우드 서비스 의존도를 줄이고, EU 내에서 데이터를 처리하거나 유럽 기반의 대안 솔루션을 찾도록 유도할 것입니다. 장기적으로는 글로벌 데이터 흐름의 복잡성을 가중시키고, 기업들이 데이터 저장 및 처리 전략을 재고하도록 만들 중요한 변곡점이 될 수 있습니다.