이충수 개인정보 보호책임자의 디지털 시대의 새로운 에티켓, 개인정보 보호
사설 한 편, 하루 만의 결정
1969년 6월 10일, 프랑크푸르트에서 발행되는 신문 프랑크푸르터 알게마이네 차이퉁(FAZ)에 짧은 사설 하나가 실렸다. 제목은 “컴퓨터의 함정들”. 기자 한노 퀴너트가 쓴 이 글은 행정기관이 시민 정보를 컴퓨터로 처리하기 시작하면서 벌어질 수 있는 문제들을 지적한, 당시로서는 다소 이례적인 내용이었다.
그런데 이 사설을 읽은 사람 중에 헤센주 총리 게오르크 아우구스트 친이 있었다. 그리고 그날, 바로 친은 국무처장이던 빌리 비르켈바흐에게 법안을 만들라고 지시했다고 전해진다. 사설이 실리고 법안 작업 지시가 떨어지기까지 걸린 시간은 채 하루가 되지 않았다.
지금 기준으로 보면 이상하리만치 빠른 반응이다. 컴퓨터가 사무실에 막 들어오기 시작하던 시절, 신문 사설 한 편에 주 정부가 이렇게까지 신속하게 움직인 이유는 무엇이었을까.
헤센주는 당시 병원 여러 곳을 새로 짓고 있었고, 그 병원들에는 대규모 전산 시스템이 함께 들어설 예정이었다. 즉 추상적인 걱정이 아니라, 코앞에 닥친 현실이었다. 행정기관이 시민 개개인에 대한 방대한 정보를 컴퓨터 안에 쌓아두게 되는 시대가, 이미 시작되고 있었던 것이다.
“세계 최초”라는 말의 진짜 의미
그로부터 1년 4개월 뒤인 1970년 10월 7일, 헤센주의회는 헤센주 데이터보호법을 통과시켰다. 법은 그해 10월 13일부터 시행됐다. 세계 최초로 의회가 정식 입법 절차를 거쳐 제정한 데이터보호법이었다. 흔히 “세계 최초의 데이터보호법”이라는 수식어가 따라붙지만, 정확히는 주(州) 단위 법률 중 최초라는 뜻이다.
국가 단위로는 스웨덴이 1973년에 제정한 데이터법이 최초로 꼽힌다. 서독 연방 차원의 연방데이터보호법은 이보다도 한참 늦은 1977년에야 만들어져 1978년 1월 1일부터 시행됐다. 그러니까 헤센은 자국 연방정부보다도 7년, 이웃 나라 스웨덴보다도 3년을 앞서 이 문제에 손을 댄 셈이다.
이 법이 두려워한 것은 따로 있었다
여기서 짚고 넘어가야 할 것이 하나 있다. 이 법이 막으려 했던 것이 정확히 무엇이었는가 하는 점이다. 오늘날 우리가 개인정보보호라는 말을 들으면 자연스럽게 떠올리는 것은 “내 정보가 함부로 유출되거나 이용되지 않을 권리”다. 그러나 1970년 헤센법의 공식적인 입법 목적을 들여다보면 결이 조금 다르다. 법은 개인정보 보호와 더불어, 행정기관의 데이터처리가 자동화됨에 따라 헌법상 권력분립 원칙이 훼손될 위험을 막는다는 목적을 명시적으로 담고 있었다.
다시 말해 당시 입법자들이 진짜로 두려워했던 것은 “내 신상정보가 새어 나간다”는 개인적 차원의 문제라기보다, 행정부가 시민에 대한 정보를 독점적으로, 그것도 기계적으로 무한히 축적하게 되면 입법부와 사법부가 행정부를 견제할 수 있는 힘의 균형 자체가 무너질 수 있다는 헌법적 공포에 가까웠다.
감독기구는 세웠지만, 규칙은 아직 없었다
법의 실제 내용을 보면 이런 우려가 어떻게 제도화됐는지 알 수 있다. 헤센법의 핵심은 독립적인 감독기구, 즉 주 데이터보호관 제도를 처음으로 만들었다는 데 있다. 행정기관 스스로 알아서 개인정보를 잘 관리하도록 맡겨두는 대신, 행정부로부터 독립된 감독관이 데이터 처리 실태를 상시적으로 들여다보게 한다는 발상 자체가 당시로서는 파격이었다. 여기에 데이터 처리 과정에서 지켜야 할 조직적, 인적, 기술적 보호조치들을 의무화했다.
이 감독기구 모델은 이후 1977년 연방데이터보호법은 물론 다른 주의 법률에도 그대로 계승되면서, 오늘날 독일과 유럽 전역에 자리 잡은 독립 감독기구 체계의 원형이 됐다.
다만 오늘날의 기준으로 보면 이 법에는 허점도 많았다. 개인정보를 처리하기 위해 법적 근거가 있어야 한다거나 정보주체의 동의를 받아야 한다는 원칙이 아직 없었다. 수집한 목적 범위를 벗어나 정보를 쓰지 못하게 하는 목적구속 원칙도 마찬가지로 빠져 있었다.
업무 수행에 반드시 필요하지 않은 정보라도 얼마든지 수집하고 처리할 수 있었다. 요컨대 1970년의 헤센법은 감시를 감시하는 기구를 세우는 데는 성공했지만, 정보 처리 자체를 통제하는 실체적 규칙은 아직 마련하지 못한, 절반의 법이었다.
법을 쓴 사람이 법을 지킨 사람이 되다
이 절반의 법을 실제로 설계한 사람은 법학자 슈피로스 시미티스(Spiros Simitis)였다. 프랑크푸르트에서 법학을 가르치던 그는 헤센법의 초안을 직접 작성한 인물로, 이후 “데이터보호의 아버지”라는 별칭을 얻게 된다.
법이 시행된 이듬해인 1971년, 헤센주의회는 세계 최초의 주 데이터보호관으로 비르켈바흐를 선출했다. 국무처장으로서 법안 작업을 지휘했던 그 비르켈바흐가, 이번엔 법을 집행하는 감독관 자리에 앉은 것이다. 그는 1975년까지 4년간 재임하며 세계 최초의 데이터보호 감독활동 보고서를 남겼다.
그 뒤를 이은 것이 다름 아닌 시미티스였다. 법을 설계했던 학자가 이번엔 감독관으로서, 자신이 만든 법을 1991년까지 16년간 직접 집행한 것이다. 이 경력은 훗날 유럽 전체의 데이터보호 역사와 다시 만난다. 시미티스는 1995년 유럽연합 데이터보호지침 제정 작업에 참여했는데, 이 지침이 바로 오늘날의 GDPR로 이어지는 직접적인 전신이다.
헤센에서 브뤼셀까지, 반세기의 계보
헤센법이 걸어온 여정도 흥미롭다. 1977년 서독 연방데이터보호법이 제정되면서 헤센법은 그 기준점 역할을 했다는 평가를 받는다. 헤센주 스스로도 1978년 법을 한 차례 개정해, 앞서 지적한 허점, 즉 법적 근거나 동의 없이는 개인정보를 처리할 수 없다는 원칙을 새로 담았다.
진짜 전환점은 1983년에 찾아왔다. 연방헌법재판소가 국세조사(인구조사)를 둘러싼 위헌 여부를 심리하면서, 개인이 자신에 관한 정보의 공개와 이용을 스스로 결정할 수 있는 권리, 즉 “정보적 자기결정권”을 헌법상 권리로 처음 인정한 것이다. 이 권리가 어떻게 탄생했는지는 이 연재의 지난 호에서 이미 다룬 바 있다.
여기서 짚고 싶은 것은, 1970년 헤센법이 만들어질 당시에는 이 “정보적 자기결정권”이라는 개념 자체가 아직 존재하지 않았다는 사실이다. 그러니까 헤센법은 이 권리를 실현하기 위해 만들어진 법이 아니라, 오히려 이 권리가 훗날 탄생하는 데 필요한 실무적, 제도적 토양을 13년 앞서 깔아둔 법이었다고 보는 편이 정확하다.
1986년 헤센법은 다시 한 번 개정되어 이 인구조사판결의 취지를 반영했고, 이때 헤센주는 독일 최초로 근로자 개인정보보호에 관한 규정까지 마련하는 성과를 거뒀다.
한국은 24년 늦게, 다른 이유로 출발했다
이 지점에서 한국의 사정을 함께 놓고 보면 대비가 선명해진다. 한국에서 개인정보 보호를 다루는 최초의 법률이라 할 수 있는 「공공기관의 개인정보보호에 관한 법률」은 1994년 1월에 제정되어 이듬해 1995년 1월부터 시행됐다. 헤센법보다 24년 늦은 출발이다.
게다가 이 법은 이름 그대로 공공기관에만 적용되는 법이었다. 민간 기업과 개인까지 포괄하는 지금의 「개인정보 보호법」이 만들어진 것은 2011년의 일이니, 헤센이 첫걸음을 뗀 시점으로부터 무려 41년이 흐른 뒤였다.
단순히 시기가 늦었다는 사실보다 더 눈여겨볼 대목은 두 나라가 이 문제에 접근한 출발점 자체가 달랐다는 점이다.
독일: 국가 권력이 시민 정보를 독점하게 될 때 벌어질 수 있는 헌법적 위기, 즉 권력분립의 붕괴라는 정치철학적 물음에서 논의를 시작했다.
한국: 1994년 법은 행정 전산화와 전자정부 구축이라는 국가적 과제를 추진하는 과정에서, 그 부작용을 관리하기 위한 보완책의 성격이 강했다.
하나는 국가의 힘을 의심하는 데서, 다른 하나는 국가의 효율을 추구하는 데서 출발한 셈이다. 이 차이는 지금도 두 나라 국민이 개인정보 문제를 대하는 감수성의 차이로 이어지고 있는 것으로 보인다. 독일에서 지내다 보면 이력서에 사진을 넣지 말라거나, 직장에서 메신저 사용 내역을 함부로 들여다보지 못한다거나, 관공서 서류 하나를 처리하는 데도 유독 개인정보 관련 서식이 많다는 인상을 받을 때가 있다.
이런 태도가 단순히 유별난 규제 문화가 아니라, 국가 권력에 대한 뿌리 깊은 경계심에서 반세기에 걸쳐 다져진 헌법적 감각이라는 점을 이해하면, 독일 사회와 부딪히는 순간들을 조금은 다르게 받아들일 수 있지 않을까 싶다.
다시 던지는 질문
1969년 여름, 신문 사설 한 편에 하루 만에 반응했던 어느 지방정부의 이야기는 그래서 단순한 옛날 일화로만 읽히지 않는다. 컴퓨터 앞에서 던졌던 그 질문은, 지금 우리가 인공지능 앞에서 다시 던지고 있는 질문과 다르지 않다.
헤센이 반세기 전에 걸었던 길은, 새로운 기술 앞에서 국가와 시민이 어떤 질문을 먼저 던져야 하는지를 돌아보게 만든다.
1469호 16면, 2026년 8월 7일