유럽연합(EU)의 일반 개인정보 보호법(GDPR)이 시행된 지 6년이 지났지만, 여전히 기술 업계에서는 GDPR이 기술 혁신을 저해하고 불필요한 규제라는 비판의 목소리가 높습니다. 특히 미국 기반의 기술 기업들은 규제보다는 적응과 혁신을 강조하며 GDPR을 비난하곤 합니다. 하지만 이러한 비판은 역설적으로 GDPR이 제대로 작동하고 있으며, 개인의 데이터 주권을 강화하고 기업의 무분별한 데이터 수집 관행에 제동을 걸고 있다는 증거로 볼 수 있습니다.
GDPR 비판의 핵심에는 흔히 '쿠키 배너'로 대표되는 웹사이트의 동의 팝업이 있습니다. 비평가들은 이를 정부 규제의 실패작으로 묘사하지만, 이는 마치 바퀴벌레 때문에 보건 위생 검사관을 탓하는 것과 같습니다. 쿠키 배너는 기업들이 의도적으로 설계한 '다크 패턴(dark pattern)'으로, 사용자가 동의 버튼을 누르기 전에 지치게 만들어 감시 시스템에 대한 정보를 얻지 못하게 하려는 목적이 있습니다. 그러나 아이러니하게도 이 배너는 비기술적인 사람들에게조차 "스포츠 점수 웹사이트가 996개의 파트너와 데이터를 공유한다"는 사실을 알려주며, 데이터 수집의 실태를 깨닫게 하는 교육적 역할을 수행했습니다. 마이크로소프트(Microsoft)의 브래드 스미스(Brad Smith) 사장과 애플(Apple)의 팀 쿡(Tim Cook) CEO가 GDPR 시행 직전 "프라이버시는 인권"이라고 발언한 것도 GDPR의 영향력을 보여주는 대목입니다. 이는 정보를 시장 문제로 보는 미국 법체계와 달리, 프라이버시를 근본적인 인권으로 보는 EU의 접근 방식과 대조적입니다.
GDPR은 유럽의 독자적인 발상이 아니라, 1970년 독일 헤세주의 세계 최초 데이터 보호법과 1980년 OECD가 제시한 데이터 보호 원칙에 뿌리를 두고 있습니다. '필요한 만큼만 수집하고, 목적을 명시하며, 안전하게 보관하고, 열람 및 수정 권한을 부여하며, 불쾌하게 사용하지 말라'는 이 원칙은 50년이 지난 지금도 유효합니다. GDPR 시행 당시 전 세계 126개국이 이미 어떤 형태로든 데이터 프라이버시 법률을 가지고 있었으며, 이는 GDPR이 추구하는 방향이 전 세계적인 공감대를 얻고 있음을 보여줍니다. 유럽이 규제하면 전 세계가 따르는 '브뤼셀 효과(Brussels Effect)' 덕분에 GDPR은 빠르게 글로벌 표준으로 자리 잡았고, 이는 개인정보 보호가 더 이상 특정 지역의 문제가 아닌 보편적 가치임을 의미합니다. 기업들이 GDPR을 싫어하는 것은 그만큼 GDPR이 그들의 무제한적인 데이터 활용에 제약을 가하고 있기 때문이며, 이는 결국 개인의 권리를 보호하는 긍정적인 신호입니다.