이충수 개인정보 보호책임자의 디지털 시대의 새로운 에티켓, 개인정보 보호
이전 컬럼에서 정보적 자기결정권이라는 개념이 어떻게 태어났는지를 살펴본 적이 있다. 1983년 독일연방헌법재판소가 인구조사법 판결을 통해 확립한 권리다. 그런데 독일에는 이 권리가 국가와 개인 사이의 문제로만 그치지 않는 특이한 영역이 하나 있다. 바로 교회다.
성당이나 개신교회에 다니는 사람은 세례를 받거나 신자 명부에 이름을 올리거나 종교세 고지서를 받을 때, 자신의 개인정보가 국가법이 아니라 교회 자체의 법에 따라 다뤄지고 있다는 사실을 의식하지 못하고 지나가는 경우가 많다.
독일에 진출한 기업이나 거주하는 한인에게는 낯설게 들릴 수 있지만, 이는 100년 넘게 이어져 온 헌법적 전통이며, 지금 이 순간에도 유럽사법재판소에서 그 한계가 시험대에 오르고 있는 현재진행형의 이야기다.
바이마르 헌법에서 물려받은 자율권
독일에서 교회가 국가 감독으로부터 상당히 자유로운 지위를 누리는 근거는 기본법 제140조가 편입한 바이마르 헌법 제137조 제3항, 이른바 교회의 자기결정권이다. 종교단체는 일반 법률의 테두리 안에서 자신의 사무를 스스로 정하고 관리할 수 있는데, 통설은 이 자율권에 개인정보 처리도 포함된다고 본다. 그래서 가톨릭교회와 개신교회는 오래전부터 각자의 개인정보보호법과 감독기구를 운영해 왔으며, 이 영역의 개인정보보호 감독은 원칙적으로 교회 자체의 감독기구가 담당한다.
2018년 GDPR이 EU 회원국에 직접 적용되면서 독일처럼 이미 자체 교회법 체계를 갖춘 나라를 어떻게 처리할지가 문제됐다. 입법자는 GDPR 제91조에 존속보호 조항을 두어, 발효 시점에 이미 포괄적인 자체 규정을 적용하고 있던 교회는 이를 GDPR에 맞춰 조정하는 조건으로 계속 적용할 수 있게 했다.
이 자율권에는 명확한 경계도 있다. 신앙 전달, 사목, 자선기관, 신자 명부 관리처럼 교회 고유 업무에는 교회법이 적용되지만, 공간 임대나 순수 영리 지분 참여처럼 무관한 활동에는 GDPR과 BDSG가 곧바로 적용된다. 자율권은 신앙 공동체로서의 교회에 주어진 것이지, 교회라는 이름의 모든 활동에 백지수표처럼 주어진 것은 아니다.
두 개의 큰 법전, 그리고 최근의 개정
이 자율권을 실제로 구현하고 있는 대표적인 법이 가톨릭교회의 교회정보보호법(KDG)과 개신교회연합(EKD)의 DSG-EKD다. 두 법 모두 최근 큰 폭으로 개정됐다. DSG-EKD는 2024년 11월 EKD 총회에서 개정이 의결돼 2025년 5월부터 시행 중이고, KDG는 시행령까지 함께 손질돼 2026년 3월부터 새로운 조문이 적용되고 있다.
개정의 방향은 공통적으로 GDPR과의 간극을 좁히는 쪽이었다. 예컨대 그동안 별도로 존재했던 교회의 이익이라는 독자적 법적 근거는 폐지되고 GDPR의 정당한 이익 개념에 가까운 규정으로 대체됐고, 개인정보보호책임자를 반드시 선임해야 하는 인원 기준도 GDPR 체계에 맞춰 재정비됐으며, 위탁처리 업체를 반드시 교회 감독 아래 두어야 한다는 낡은 의무도 사라져 일반적인 GDPR식 위탁처리계약에 가까워졌다.
서면으로만 가능했던 동의도 이제는 앱이나 이메일, 체크박스 기록 같은 방식으로 입증만 가능하면 유효한 것으로 인정된다.
과징금 체계도 개정됐다. DSG-EKD와 KDG는 각각 독자적인 과징금 상한과 산정방식을 두고 있으며, 이는 GDPR의 과징금 체계를 일정 부분 참고하면서도 교회법의 독자성을 유지한 형태다. 다만 구체적인 상한과 매출액 연동 여부는 법률별 위반유형별로 다르므로 일률적으로 비교하기는 힘들다.
이번 KDG 개정에서 특히 눈여겨볼 대목은 성적 학대 진상규명 작업을 “중대한 교회의 이익”으로 명문화했다는 점이다. 이 조항이 왜 필요했는지는, 뒤에서 소개할 쾰른대교구 사건을 보면 곧바로 이해가 된다.
유럽에서도 독일은 예외적인 사례다
이 정도로 정교한 체계를 갖춘 나라는 유럽 안에서도 사실 흔치 않다. 독일 밖에서도 일부 종교단체가 자체 규정을 운영하고 있다. 오스트리아 가톨릭교회도 Decretum Generale을 두고 있지만, 독일처럼 GDPR의 주요 내용을 포괄적인 교회법 체계로 정비한 사례와는 차이가 있다. 구체적인 개인정보 처리에는 GDPR과 각국의 국내 데이터보호법이 여전히 중요한 역할을 한다.
따라서 독일의 특징은 단순히 자체 규정이 있다는 데 있지 않다. 가톨릭교회와 개신교회가 각각 개인정보보호법과 감독기구, 분쟁 해결절차까지 갖추고 있다는 점에 있다. KDG와 DSG-EKD는 종교단체의 자기결정권이 개인정보보호 영역에서 얼마나 구체적인 제도로 발전할 수 있는지를 보여주는 유럽의 대표적인 사례라고 할 수 있다.
사례 1 — 쾰른대교구, 감정서, 그리고 뒤집힌 자기결정권
교회의 자율권이 어떻게 적용되는지 보기위해 실제 사건을 소개 하려한다. 쾰른대교구는 소속 성직자들의 성적 학대 실태를 조사하기 위해 외부 로펌에 감정서를 의뢰했다.
첫 번째로 뮌헨의 한 로펌이 작성한 감정서는 2020년, “방법론적 결함이 있다”는 이유로 결국 공개되지 않았다. 이 비공개 결정 자체가 큰 논란을 불렀고, 대교구는 다시 쾰른의 다른 로펌에 새로운 감정서를 의뢰해 2021년 이를 공개했다.
문제는 그 다음이다. 이 감정서에서 익명 처리된 채 가해자로 지목된 한 전직 고위 성직자가, 자신에 관한 개인정보가 동의 없이 감정서에 담겨 공개됐다며 대교구와 교회 감독기구를 상대로 소송을 제기한 것이다.
이 소송은 국가 법원이 아니라 가톨릭교회 자체의 데이터보호법원, 즉 교회 간 데이터보호법원(Interdiözesanes Datenschutzgericht)에서 다뤄졌다. 그리고 2024년 2월, 이 법원은 해당 성직자의 청구를 대부분 기각했다. 판결의 논리로는 성적 학대에 대한 진상규명에는 중대한 교회의 이익이 존재하며, 이 앞에서는 피고발인의 개인정보 보호권이 후퇴해야 한다는 것이다. 이 판결로 외부 전문가의 감정을 거쳐 학대 실태를 공개하는 방식이 교회법상으로도 허용될 수 있다는 점을 보여줬다..
이 사건이 흥미로운 이유는 단순하지 않다. 언뜻 보면 국가 감독에서 벗어난 “교회의 자기결정권”은 종교기관을 외부의 눈으로부터 보호하는 방패처럼 보이기 쉽지만 이 사건에서는 정반대로 작동했다.
자체 교회법원이 오히려 개인, 그것도 교회 내부에서 상당한 지위를 가졌던 성직자 개인의 정보 보호 주장을 받아들이지 않고, 기관 전체의 투명성과 진상규명 요구를 우선시한 것이다. 그리고 이 판례의 논리는 그대로 입법에 반영되어, 2026년 개정 KDG에 “성적 학대 진상규명은 중대한 교회의 이익”이라는 문구로 명문화됐다. 판례가 법이 된 사례다.
사례 2 — 헨트교구 세례대장 삭제 소송, 지금 유럽사법재판소에서
두 번째로 소개할 사건은 아직 결론이 나지 않은, 현재진행형의 이야기다. 무대는 독일이 아니라 벨기에지만, 독일 주교회의가 소속된 유럽주교회의연합(COMECE)이 직접 의견서를 낼 만큼 독일 교회법에도 직결되는 사안이다.
사건의 발단은 이렇다. 세례를 받았던 한 사람이 가톨릭교회의 등록부와 문서고에서 자신에 관한 모든 기록을 삭제해 달라고 요청했는데, 담당 헨트교구는 개인정보를 삭제하는 대신 세례대장 여백에 “이 사람은 교회를 떠났다”는 메모만 추가했다. 벨기에 법원은 이 대응이 GDPR상 타당한지를 판단하지 못하고 유럽사법재판소에 사건을 회부했다. 사건 번호는 C-12/25, 통칭 ‘비스돔 헨트 사건’이며, 심리는 2026년 6월 30일에 열렸다.
쟁점을 간단히 정리하면 이렇다. GDPR상 세례대장에 대한 데이터 삭제권이 실제로 존재하는가, 그리고 완전 삭제 대신 여백에 메모를 추가하는 방식으로 그 삭제권을 충족했다고 볼 수 있는가 하는 두 가지 질문이다. 교회 측은 세례 기록이 향후 성사 증빙이자 교회사 사료이기도 하다며 완전 삭제에 반대하고, COMECE도 2026년 9월 입장문에서 이 논리를 재확인했다.
이 사건은 아직 유럽사법재판소의 최종 판단을 기다리고 있는 단계다. 하지만 그 결론이 어느 쪽으로 나든 파장은 작지 않을 것이다. 이 판결에 따라 KDG와 DSG-EKD의 기록 보존 방식이 흔들리거나, 반대로 제91조의 자율권 범위가 유럽 최고법원에서 재확인될 수 있다.
결국 쾰른 사건에서 교회 스스로 확인한 “교회의 이익이 개인의 정보 보호권을 넘어설 수 있다”는 논리가, 이번엔 유럽연합 차원에서도 통할지를 묻는 셈이다.
1475호 16면, 2026년 9월 18일