2019년 5월  22일 Vol. 19 No. 12

ISSN 1976-0515

디지털 무역규범의 국제 논의 동향: WTO 전자상거래 협상과

미 개인정보보호법 입법안을 중심으로

이규엽 무역통상실 무역투자정책팀 부연구위원(kylee@kiep.go.kr, Tel: 044-414-1233)

강민지 무역통상실 무역협정팀 전문연구원(mjkang@kiep.go.kr, Tel: 044-414-1196)

디지털 무역규범의 국제 논의 동향:

WTO 전자상거래 협상과 미 개인정보보호법 입법안을 중심으로

KIEP

오늘의 세계경제

2019.5.22

오늘의 세계경제 ㅣ 2011. 4.11

차  례

1. 배경

2. WTO 전자상거래 협상

3. 미 연방정부의 개인정보보호법 입법안

4. 시사점

주요 내용

▶ 최근 WTO 전자상거래 협상과 미국 연방정부 차원의 논의 확대

- 디지털 무역 확산에 따른 경제 효과 기대와 프라이버시 침해 및 보안 우려가 공존하는 가운데 디지털 무역 관련 조항을 담은 지역무역협정이 확대되는 추세이며 세계 각국의 디지털 무역 관련 국내법 제정·정비도 진행형

- 현재까지 WTO 전자상거래 규범과 미 연방정부 차원의 포괄적인 개인정보보호법은 부재

▶ USMCA와 CPTPP에서 등장한 디지털 신무역규범이 WTO 차원의 복수국 간 논의로 확장

- WTO 전자상거래 협상에 참여한 76개국은 (1) 모두 최빈국이 아닌 점 (2) 대부분 디지털 무역 장/조항을 포함한 지역무역협정을 체결한 경험이 있는 점 (3) 디지털 무역 관련 국내법을 제정했거나 준비 중인 점 등을 공통분모로 함.

- 국경 간 데이터 이동과 개인정보보호와 관련하여 EU가 제안한 소비자 보호 관련 내용이 미국보다 포괄적이어서 미국-EU 간 쟁점 사안으로 부상할 전망

- 미국, EU, 일본 등 다수의 국가가 데이터 지역화 조치와 소스코드 공개 금지를 담은 제안서를 제출했으나, 중국은 해당 조치를 유지하겠다는 입장이어서 향후 논의에 또 다른 주요 쟁점이 될 전망

- 협상 참여국 간 공통점이 있지만, (1) 체결한 디지털 무역규범 수준이 상이하고 (2) 국가 간 데이터 정책의 이질성(heterogeneity)이 존재하여, 주요 쟁점에 타협하고 복수국 간 합의에 이르기까지는 상당한 시일이 소요될 것으로 예측

▶ 2019년 미 의회는 연방정부 차원에서 개인정보보호법 도입 논의를 시작

- 최근 미국 내 데이터 유출 사건이 증가하고, 소비자 프라이버시 보호에 대한 규제 기능을 수행하는 연방거래위원회(FTC)의 권한 및 자원 부족에 대한 지적이 제기되며, 미국 내 개인정보보호에 대한 추가적 법적 보호장치에 대한 수요가 커지고 있음.

- 미 캘리포니아 주정부 차원에서 소비자 프라이버시법(CCPA)을 통과한 바 있으며, 미국의 다국적기업들은 EU GDPR 준수를 위한 선제적 대비에도 불구하고 현재 GDPR 위반을 이유로 여러 소송이 진행 중

- 미 연방정부 차원에서 개인정보보호법 도입을 위해 발의된 입법안에는 정보 수집 및 이용, 정보 공유, 자동화된 의사결정, 통지 등 개인정보에 관한 다양한 측면을 고려한 포괄적인 제안 내용이 담김.

▶ 한국은 WTO 전자상거래 협상과 미 연방정부의 개인정보보호법 논의에 주목할 필요

- 개인정보보호에 대해 기업의 자율규제를 강조했던 미국이 연방정부 차원에서 개인정보보호법 도입을 위한 논의를 개시한 점을 글로벌 디지털 무역환경에서 나타난 중요한 변화로 인식하고, 우리나라의 데이터 관련 법 개정을 둘러싼 논의 수준을 높여야 함.

- WTO 전자상거래 협상에서 다뤄지는 내용을 충분히 검토하고, 글로벌 디지털 무역규범과 조화되는 방향으로 데이터 관련법 개정 논의를 진행하고 국내제도를 정비해 나가야 함.

1. 배경

디지털 무역규범의 국제 논의 동향: WTO 전자상거래 협상과 미 개인정보보호법 입법안을 중심으로

KIEP

오늘의

세계경제

2019.5.22

■ 디지털 무역 확산에 따른 경제 효과 기대와 프라이버시(privacy) 침해 및 보안 우려가 공존

- 인터넷, 정보통신기술, 데이터 기반 인공지능 기술이 발전함에 따라 디지털 무역을 통한 새로운 상품․서비스에 대한 수요와 공급이 지속적으로 증가

◦ 유․무선 인터넷과 정보통신기술, 데이터를 보유․처리할 수 있는 기술인 클라우드 컴퓨팅 인프라와 서비스, 이미지․영상․인식/분석, 신호 인식/분석, 텍스트․언어 인식/분석 등 딥러닝과 머신러닝을 활용한 알고리듬 차원의 인공지능(artificial intelligence) 기술이 발전(양희태 외 2018, STEPI)

◦ 스마트폰, 태블릿, 컴퓨터, 사물인터넷 등에서 생성되는 데이터와 인공지능 기술을 결합하여 제조업과 다양한 서비스 분야에서 새로운 상품․서비스가 지속적으로 출현

◦ 2019년 1월 기준 세계 인구 77억의 57%가 인터넷을 사용하고, 33억 명이 모바일 기기를 통해 소셜미디어 서비스를 누리며(Global Digital Report 2019), B2B와 B2C를 포함한 국경 간 전자상거래는 세계 상품 무역의 12%를 차지(McKinsey 2017), 2018년 전자상거래 이용자 18억 명의 57%가 해외기업이 제공하는 상품․서비스를 구입한 것으로 집계(Congressional Research Service 2019)

-  소비자 정보가 다양한 형태로 수집됨에 따라 프라이버시(privacy) 침해와 데이터 보안 우려가 커짐.

◦ 각종 소비자 정보를 포함한 온라인 거래, 소셜 미디어 활동, 얼굴/음성 인식 기술을 탑재한 텔레비전, 냉장고, 가정용 기기, 위치/신체 정보를 생성하는 스마트폰 어플리케이션, 웨어러블 헬스장비, 스마트 의류 등에서 다양한 형태로 데이터가 수집됨.

◦ 2018년 세계 16개국에 거주하는 인터넷 이용자 12억 명 중 8억 명이 바이러스나 보안 위협, 아이디와 패스워드 도용, 신용카드 사기, 불법 접속, 사기 메일 등 사이버 범죄를 경험한 것으로 집계되며(Norton 2019), 2005년 이후 미국 내 데이터 유출 사례만 8,804건임(www.privacyrights.org).

◦ 개인정보를 포함한 데이터가 비식별조치 되더라도 방대한 양의 데이터를 결합하면 개인정보가 기술적으로 재식별될 수 있다는 가능성이 제기될 뿐 아니라, 클라우드 컴퓨팅 서비스 제공자가 활용하는 인공지능 기술이 해킹에도 활용될 수 있어 데이터 보안 이슈에 대한 우려가 큼.

* 2019년 다보스 세계경제포럼에서 데이터 유출 및 사기, 사이버 공격이 각각 글로벌 위험 요인 4위와 5위로 랭크됨(1~3위는 극심한 날씨 변화, 기후변화 감축 및 적응 실패, 자연 재해).

World Economic Forum(2019), The Global Risks Report 2019, p. 5, http://www3.weforum.org/docs/WEF_Global_Risks_Report_2019.pdf.

■ 디지털 무역 관련 조항을 담은 지역무역협정 확대

- 2000~17년 체결된 지역무역협정은 169건이며, 이 중 69건이 디지털 무역 장(chapter)을 독립적으로 구분하고, 다른 21건은 디지털 무역 관련 조항(provision)을 협정문 내에 포함함.

- 체결된 지역무역협정의 67%가 온라인 소비자 보호, 50%가 전자적 인증과 서명, 33%가 개인정보보호, 25%가 스팸에 대한 내용을 포함(Wu 2017)

그림 1. 디지털 무역 관련 조항을 담고 있는 지역무역협정의 수

자료:  Wu(2017), Figure 1.

■ 세계 각국의 디지털 무역 관련 국내법 제정·정비는 진행형

- 종이와 전자적 문서의 법적 동등성(legal equivalence)을 규정하는 전자적 거래법은 인터넷을 통해 상품이나 서비스를 사거나 팔기 위해 필요한 전제조건이나 UN에 소속된 194개 회원국의 79%만이 제정

- 마찬가지로 데이터가 국경 간 이동함에 따라 파생되는 이슈를 규율하기 위한 온라인 소비자 보호(52%), 데이터 보호와 프라이버시(58%), 사이버 범죄(72%)에 관한 법제정은 전자적 거래법보다 더딤.

- 디지털 무역과 관련된 국내 규제와 정책 수단은 데이터 이동을 수반하는 디지털 기술 및 서비스와 연관성이 있음(부록 1).

표 1. 세계 각국의 디지털 무역 관련 국내법 제정 현황

(단위: %)

법 유형	제정 (Legislation)	제정 준비 (Draft Legislation)	제정 없음 (No Legislation)	관련 자료 없음 (No Data)
전자적 거래 (e-transaction)	79	9	5	7
(온라인) 소비자 보호 (Consumer protection)	52	6	10	32
데이터 보호와 프라이버시 (Data protection & privacy)	58	10	21	12
사이버 범죄 (Cybercrime)	72	9	18	1

주: 반올림에 따라 합계가 100%를 넘을 수 있음.

자료: UNCTAD Adoption of E-Commerce Legislation Worldwide 자료(2019. 3. 27)를 활용하여 저자 작성.

https://unctad.org/en/Pages/DTL/STI_and_ICTs/ICT4D-Legislation/eCom-Global-Legislation.aspx.

■ 본 보고서는 미국이 적극적으로 참여하는 WTO 차원의 전자상거래 협상과 미국 내에서 이뤄지는 연방정부 차원의 개인정보보호법 도입 논의가 향후 체결/개정될 지역무역협정의 디지털 무역규범 수준에 미칠 파급력을 염두에 두고, 각 논의에 해당하는 주요 내용을 검토하고 시사점을 도출함.

- 2019년 5월부터 WTO 회원 76개국이 전자상거래 협상을 시작한바, WTO에 제출된 주요 제안서(proposal)의 내용과 주요 의제를 검토하고 주요국 입장차를 식별함.

- 2019년 1월부터 미국은 연방정부 차원의 개인정보보호법 입법 논의를 개시한바, 미 의회에 제출된 발의 초안(draft)의 내용을 검토하고 아울러 주정부 차원에서 통과한 소비자보호법(CCPA)도 살펴봄.

2. WTO 전자상거래 협상

가. 기존 논의

■ 제11차 WTO 각료회의(Ministerial Conference)(이하 MC11)를 앞두고 개최된 2017년 10월 일반이사회에서 디지털 무역 논의 진전을 위해 제안된 내용 중 최대 현안은 일부 회원국이 제기한 작업반 설치의 필요성 문제였음.

- 홍콩, 중국, 일본, 대만 등은 작업반의 설치에 대해 기존 WTO 규범의 해석 또는 강화 중 어느 것이 필요한지를 평가하고, 그 결과에 따라 2019년에 디지털 무역에 관한 협상을 시작해야 한다는 입장

- 러시아는 작업반의 디지털 무역규범 제정에 대해 비교적 유연한 입장을 표명한 반면, 코스타리카는 작업반 설치를 반대하지 않으면서도 그 역할이 디지털 무역 개발의제에 집중되어야 한다는 주장

- 호주, 한국, 캐나다, 칠레, EU, 노르웨이, 파라과이 등은 작업반의 목적이 디지털 무역에 관한 협상 준비 및 출범에 있으며, 2018년 초에 작업반 가동을 시작해야 한다고 주장

- 반면 아프리카 지역 국가군은 선․후진국 간 근본적 견해 차이가 불식되지 않은 가운데 작업반을 새롭게 가동하는 것은 문제 해결에 도움이 되지 않는다는 입장 표명(이한영, 차성민 2018)

그림 2. M11 직전의 WTO 전자상거래 규범 논의에 관한 회원국 입장

자료: 이한영, 차성민(2018), 『데이터의 국가 간 이동에 관한 규제정책의 통상법적 합치성 제고방안 연구』, 그림 3-1, 2018년 중장기통상전략연구, 대외경제정책연구원.

■ MC 11의 핵심현안이었던 디지털 무역에 관한 논의는 회원국의 기본 입장을 재확인하는 선에서 머무름.

- 전자적 전송에 대한 무관세(duty-free moratorium) 관행의 유지

◦ 1998년 5월 WTO 각료회의에서 미국의 제안에 따라 WTO 회원국이 전자전송에 대한 무관세 적용 관행을 지속할 것을 선언한 이후 현재까지 유지됨.

- 디지털 무역 분야별 주요 의제 검토 작업의 지속적 추진

◦ WTO 차원의 전자상거래 규범 제정을 위한 안건 논의에서 선진국과 개도국 그룹 간 의견이 대립

나. 주요 신규 의제와 주요국 입장

■ [검토 범위] 최근 등장한 디지털 무역규범이자 주요국 간 쟁점 사안으로 떠오른 국경간 데이터 이동, 프라이버시 보호, 데이터 지역화 조치 및 소스코드 공개 금지 등을 중심으로 검토

WTO에 제출된 주요국의 제안서(proposal)를 기준으로 검토하되 미국의 제안서를 포함한 일부 문건은 열람이 제한(restricted)된 상황이므로, 공백을 메우기 위해 무역전문 기사를 포함한 보완 자료를 활용함(보완 자료: 2019. 4. 30일자 Washington Trade Daily(WTD로 약칭), 2019. 5. 3, 2019 05. 9, 2019. 5. 10일자 Inside US Trade’s World Trade Online(IUST로 약칭), 2019. 5. 4일자 Bloomberg Law(BL로 약칭)를 참고).

- 다만 인터랙티브 컴퓨터 서비스는 미국만 제안한 내용으로 파악됨.

미국은 인터렉티브 컴퓨터 서비스(“free interactive computer services,” WTD)에 대한 내용을 제안했다는 내용만 기사에 나왔으며, 제안된 내용은 USMCA의 조항과 매우 유사할 것으로 예측됨. USMCA Article 19.17.3에서 인터렉티브 컴퓨터 서비스 제공자나 사용자에 대한 책임을 부과하지 말 것을 규정함(“No Party shall impose liability on a supplier or user of an interactive computer service”). 더 자세한 설명은 『KIEP 오늘의 세계경제』(2018. 10. 19)를 참고.

- 참고로 미국은 2019 Trade Policy Agenda and 2018 Annual Report에서 USMCA가 현존하는 지역무역협정 중 가장 수준 높은(most ambitious) 디지털 무역규범을 담고 있다고 밝힘(p. 64)

* 검토 범위와 관련하여 한국의 상황을 파악하기 위해 USMCA와 CPTPP에 담긴 디지털 무역규범 내용을 한·미 FTA와 비교한 결과, 한·미 FTA는 소비자 보호, 국경간 데이터 이동 보장, 개인정보 보호, 컴퓨팅 설비의 지역화 요구 금지, 소스코드 공개 요구 금지, 인터랙티브 컴퓨터 서비스 조항을 의무규정으로 포괄하지 않음(표 2).

표 2. USMCA, TPP, 한·미 FTA 디지털 무역규범 비교

구분	USMCA 제19장	TPP 제14장 TPP가 타결되고 발효 단계로 접어들 때, TPP를 주도하던 미국에 트럼프 정부가 들어서면서 미국은 공식적으로 TPP 협상에서 탈퇴함. 일본 주도로 11개국이 협상을 추진하여 CPTPP가 타결되고 2019년 1월에 발효되었으며, CPTPP 전자상거래 챕터가 포괄하는 내용은 TPP 전자상거래 챕터와 같음. TPP 내용에 대한 자세한 분석은 대외경제정책연구원 2018년 기본과제 『국경간 데이터 이동에 관한 국제적 논의 동향과 대응방안』 2장을 참고하길 바람.	한·미 FTA
디지털 제품 무관세	제19.3조(의무규정)	제14.3조(의무규정)	제15.3조 1항(의무규정)
디지털 제품 비차별대우	제19.4조(의무규정)	제14.4조(의무규정)	제15.3조 2-3항(의무규정)
전자 인증 및 전자 서명	제19.6조(의무규정)	제14.6조(의무규정)	제15.4조(의무규정)
소비자 보호	제19.7조(의무규정)	제14.7조(의무규정)	제15.5조(노력규정)
국경 간 데이터 이동 보장	제19.11조(의무규정)	제14.11조(의무규정)	제15.8조(노력규정)
개인정보 보호	제19.8조(의무규정)	제14.8조(의무규정)	-
컴퓨팅 설비의 지역화(localization) 요구 금지	제19.12조(의무규정)	제14.13조(의무규정)	-
소스코드 공개 요구 금지	제19.16조(의무규정)	제14.17조(의무규정)	-
인터랙티브 컴퓨터 서비스	제19.17조(의무규정)	-	-
공공데이터 접근 촉진	제19.18조(노력규정)	-	-

주: USMCA 제19장 디지털 무역(digital trade), TPP 제14장 전자상거래(electronic commerce), 한미 FTA 제15장 전자상거래(electronic commerce) 챕터의 내용을 비교.

자료: 「NAFTA 재협상(USMCA) 결과: 평가와 시사점」(2018. 10. 19), 표 5, KIEP 오늘의 세계경제, 대외경제정책연구원.

1) 국경 간 데이터 이동과 프라이버시

■ 미국은 소비자 정보를 포함한 데이터의 국경 간 자유로운 이동을 제안

- 미국은 전자적 수단을 통한 소비자 정보를 포함한 데이터의 자유로운 이동 제한 금지를 명시하나, 다만 정당한 공공정책 목적을 달성하기 위해 필요하다면 예외 인정

“No Party shall prohibit or restrict the cross-border transfer of information, including personal information, by electronic means, if this activity is for the conduct of the business of a covered person”(WTD, IUST).

“Necessary to achieve a legitimate public policy objective”(IUST).

- 프라이버시 보호의 맥락에서 개인정보의 국경 간 이동에 대한 조치는 드러난 위험에 대해 필요한 수준에서 비례적으로 적용해야 함을 강조

“Any restrictions on cross-border flows of personal information are necessary and proportionate to the risks presented”(IUST).

■ EU는 기본적으로 국경 간 데이터의 자유로운 이동에 찬성하지만, 소비자 정보 보호에 방점을 둠.

- EU는 디지털 무역을 위해 국경 간 데이터의 자유로운 이동을 보장하지만 이동하는 데이터에 소비자 정보를 포함한다는 문구는 없으며, 미국과 달리 개인정보와 프라이버시 보호를 기본권(fundamental right)으로 규정

“Members are committed to ensuring cross-border data flows to facilitate trade in the digital economy”(Article 2.7, INF/ECOM/22).

“The protection of personal data and privacy is a fundamental right”, Article 2.8.1, INF/ECOM/22).

* 개인정보와 프라이버시 보호가 기본권이라는 표현은 EU GDPR의 Art. 1.2와 동일함.

- EU는 구체적으로 개인정보와 프라이버시를 보호하기 위해 세이프가드를 유지하거나 채택할 수 있다는 내용을 포함

“may adopt and maintain the safeguards they deem appropriate to ensure the protection of personal data and privacy, including through the adoption and application of rules for the cross-border transfer of personal data”(Article 2.8.2, INF/ECOM/22).

■ 중국은 국경 간 데이터의 자유로운 이동에 대한 내용을 기술하지 않음.

-  중국은 제안서에서 국경 간 데이터 이동에 관한 어떠한 기술도 하지 않았지만 개인정보 보호를 위해 필요한 조치를 채택해야 한다고 제안

“should adopt measure that they consider appropriate and necessary to protect the personal information of electronic commerce users”(Art. 3.3.9, INF/ECOM/19).

- 중국이 데이터 이동에 관한 조항을 두지 않는 주요한 이유는 현재 중국이 데이터 지역화 조치를 시행하고 있는 사실과 긴밀하게 연결됨.

- 외신은 중국이 데이터 이동에 관한 제한 조치를 앞으로도 계속 유지할 것이라고 평가

“(China) retain restrictions on data flows”(WTD).

■ EU가 제안한 소비자 보호에 관한 내용은 미국보다 강력하고 넓은 범위를 포괄한다는 평가

- WTD는 EU가 소비자 보호를 위해 강력한 규범을 제안했다고 평가

- IUST도 EU가 제안한 소비자 보호에 관한 내용이 미국보다 더 강력한 수준이라고 평가했는데, 미국이 유럽의 프라이버시에 대한 제안이 너무 광범위하다고 진술한 내용을 덧붙여 기사를 냄.
2) 데이터 지역화 조치와 소스코드 공개 금지

“robust rules for consumer protection”(WTD), “The EU recommended more robust privacy protections than the U.S. did”(IUST).

“The U.S. has argued that EU privacy proposals are too broad”(IUST).

■ 미국, EU, 일본 등 다수의 국가가 데이터 지역화 조치와 소스코드 공개 금지를 제안

- 미국은 컴퓨팅 시설의 위치 제한 금지와 동 조항의 적용 범위를 금융 서비스 사업자까지 확대할 것을 제안

“No Party shall require a covered person to use of locate computing facilities in that Party’s territory as a condition for conducting business in that territory”(WTD), 추가로 미국이 공개한 ‘2018 Fact Sheet: Key Barriers to Digital Trade’ 참고.

“the Parties recognize that immediate, direct, complete, and ongoing access by Party’s financial regulatory authorities to information of covered financial services suppliers”(WTD).

- 또한 미국은 사이버 보안 측면에서 소프트웨어 소스코드와 소스코드에 담긴 알고리듬에 대한 이전/접근 요구 금지를 제안

“No Party shall require the transfer of, or access to, source code of software owned by a person of another Party, or to an algorithm expressed in that source code, as a condition for the import, distribution, sale, or use of that software, or products containing that software in its territory”(WTD), 추가로 참고할 점은 국경 간 데이터 이전에 대한 제한 조치와 함께 소스코드 공개에 대해 미국 디지털 기업(예를 들어, Alphabet, Amazon, Apple, Facebook, Microsoft)이 지속적으로 철폐 요구를 해온 바임(BL).

- [EU, 일본, 호주, 싱가포르, 브라질 외 다수] 데이터 지역화 조치뿐 아니라 소스코드나 소프트웨어의 강제적 이전에 대해 반대

“a prohibition on the forced transfer of source code or software to a member as a condition of doing business”(IUST).

■ 중국은 데이터 지역화 조치 및 소스코드 공개 요구를 유지할 것으로 보임.

- 중국이 데이터 저장에 관한 제한 조치를 보유하고, 소스코드 공개 요구를 유지할 것이라 평가

“all the data to stay within the territory and be stored in local servers instead of foreign servers”(WTD).

■ 러시아(데이터 지역화 조치국)는 협상에 참여하였으나, 중국과 달리 데이터 지역화 조치나 소스코드 공개 금지에 대한 입장을 아직까지 드러낸 바 없음.

■ 일본, 싱가포르, 브라질, 호주 등은 미국과 같은 취지의 제안서를 제출

- 특히 데이터 지역화 조치나 소스코드 공개와 관련해서 한 목소리를 냄(IUST).

■ 의제 1과 2에 대한 논의를 종합하면, 미국은 의제에 따라 EU 또는 중국과 대립구도를 형성할 가능성

- 미국과 유럽은 국경 간 데이터 이동과 프라이버시 보호에 관한 제안 내용에 대해 바라보는 입장이 뚜렷이 다름

- 미국과 중국은 데이터 지역화 조치와 소스코드 공개 금지를 담은 제안에 대한 입장차가 큼.

3) 기타

■ 무역 원활화, 기타 소비자 보호, 전자적 거래에 대한 영구적 무관세 등과 같은 내용은 대부분 제안서에서 공통 사항으로 확인되며, 국별로 특별한 대립은 아직까지 드러난 바 없음.

- 무역 원활화와 관련된 제안으로는 종이 없는 무역, 전자서명과 전자계약 등이 있고, 기타 소비자 보호 이슈로 스팸(spam) 등이 대표적임.

- 현재까지 2년마다 갱신하는 전자적 전송에 대한 관세 모라토리엄의 영구화도 제안됨.

* 다만, 싱가포르와 브라질을 포함한 여러 국가가 자국법에 의거하여 국내 영토에서 발생하는 디지털 무역 매출이나 이윤에 대해 세금을 부과할 권리가 있음을 명확히 함.

“Subject to conditions established in their respective domestic law, Memebers are entitled to collect taxes from digital trade on revenue and profit generated in their territory, even if electronic platforms or suppliers do not have a commercial presence”(IUST; INT/ECOM/17,25).

4) WTO 전자상거래 협상 전망

■ 미국이 최근 지역무역협정 채널을 통해 관철한 디지털 무역규범을 WTO 차원의 복수국 간 논의로 확장

- 미국이 WTO에 제출한 제안서에는 USMCA 디지털 무역 장(chapter)을 통해 관철한 국경 간 데이터의 자유로운 이동, 데이터 보호와 프라이버시, 데이터 지역화 조치 금지, 소스코드 공개 금지, 인터렉티브 컴퓨터 서비스의 책임 부과 금지 등이 모두 포함된 것으로 보임.

■ 협상 참여국 구성으로 비추어 볼 때, MC11과 달리 2019 WTO 전자상거래 협상에서 논의 진전이 이뤄질 가능성이 크나 합의에 이르기까지는 상당한 시일이 걸릴 것으로 전망

- 2019 WTO 전자상거래 협상에 참여한 국가의 특징으로, 협상에 참여한 76개국은 최빈국이 아니고, 대부분 디지털 무역 관련 조항을 지닌 지역무역협정을 체결한 경험이 있으며, 디지털 무역 관련 국내법을 제정했거나 준비 중인 점을 꼽을 수 있음.

- 하지만 디지털 무역 관련 조항의 범위가 다르고, 그 수준도 협력(cooperation) 수준에 그치는 경우부터 의무(obligation) 수준에 이르기까지 협정 간 이질성(heterogeneity)이 뚜렷

- 디지털 무역과 관련하여 제정된 국내법 또는 국내 디지털 무역정책 역시, 그 실효성과 파급범위를 객관적으로 비교하기 어려운데, 이는 일국이 전자적 거래법, 소비자 보호법, 프라이버시법, 사이버범죄법을 모두 갖추고 있다 할지라도 디지털 무역제한지수의 수준이 서로 다른 점이 이를 반증(부록 2 참고)

- 따라서 WTO 전자상거래 협상간 논의될 안건에 대해 국별로 (아직 식별되지 않았지만) 입장이 서로 다를 가능성을 배제하기 어려워 최종 합의에 이르기까지 상당한 시일이 걸릴 것으로 전망

3. 미 연방정부의 개인정보보호법

가. 현 미국 개인정보보호법과 연방규제기관의 한계

■ 2005년 이후 미국에서 발생한 데이터 유출(data breach) 사례만 8천 건이 넘고, 유출된 기록 수도 커지는 경향(표 3)

표 3. 미국에서 발생한 데이터 유출 사건

연도	유출 사건 수 (number of cases)	유출된 기록 수 (record breached)
2005	136	55,101,241
2006	482	68,580,749
2007	455	149,957,907
2008	355	130,896,900
2009	270	251,575,814
2010	801	140,937,393
2011	793	447,901,379
2012	885	298,766,788
2013	889	158,787,838
2014	868	1,313,623,460
2015	540	318,795,437
2016	822	4,815,010,518
2017	765	2,048,395,688
2018	635	1,366,471,618

자료: www.privacyrights.org 데이터를 활용하여 저자 작성.

- 2017년 7월 29일 신용조사기관인 이퀴팩스(Equifax)에서 발생한 데이터 유출(1.46억 소비자 개인정보) 사고에 따라 이퀴팩스와 직접적으로 거래하지 않은 소비자도 자신의 신용 파일을 동결 조치한 바 있으며, 이 사건은 자신의 통제 없이 데이터가 이전된다는 사실 때문에 미국사회에 큰 반향을 일으킴.

- 2018년 3월 17일 페이스북(Facebook) 이용자 정보가 무단으로 이전되어 2016년 미국 대선에 맞춤형 광고 등에 활용된 점이 고발됨. 2018년 9월 28일 페이스북의 시스템이 공격당하여 가입자 5천만의 계정 정보가 유출됨.

2014년 케임브리지대 코건 교수가 페이스북을 통해 ‘this is your digital life'라는 심리검사퀴즈 앱을 만든 후, 27만 명이 해당 앱을 설치함. 코건 교수는 앱 사용자뿐 아니라 지인을 포함한 약 5천만 명(2018년 4월 4일 페이스북은 8,700만 명으로 증가 가능성 시사) 사용자 데이터를 수집하고, 이를 영국 데이터 분석회사 캠브리지 애널리티카(Cambridge Analytica)와 무단 공유함. 2015년 페이스북은 CA의 개인정보 불법 수집에 대해 시정을 요구하였으나, CA는 2016년 미국 대선에서 도널드 트럼프 후보 캠프 선거마케팅에 자료를 활용함.

■ Pew Research가 2016년에 발표한 조사결과는 미국 내 개인정보보호에 대한 추가적인 법적 보호 장치 마련에 대한 수요를 보여줌.

- 2014~16년 미국인을 대상으로 실시한 설문에서 응답자의 74%가 개인정보에 대한 통제권을 갖는 것은 매우 중요하고, 65%가 어떠한 개인정보가 수집되는지도 중요하다고 밝힘.

- 응답한 미국인 대부분은 사회보장번호, 의료 정보, 전화나 이메일 내용, 개인 위치 정보 등을 매우 민감한 정보로 인식하고, 설문 응답자의 68%가 현재 (개별법으로서의) 소비자 보호법이 온라인상 미국 시민의 프라이버시(privacy)를 보호하기에 충분하지 않다고 답했으며, 응답자의 상당수가 데이터 보호를 위한 법적 장치를 추가로 마련할 필요성에 찬성

■ 자율규제(self-regulation)를 원칙으로 하는 미국에는 개인정보보호에 관한 다수의 개별법은 존재하나 연방정부 차원의 개인정보보호법은 부재

- EU가 개인정보보호에 관한 일반법을 시행하는 것과 달리 미국은 연방정부 차원에서 개인정보 수집/활용을 규율하는 포괄적인 법은 없음.

-  다만, 공공분야에 연방정부기관의 ｢개인정보 프라이버시법(The Privacy Act of 1974)｣이 있고, 민간분야에 의료, 통신, 신용 등 분야별로 다수의 연방 개별법이 존재하며, 미국 내 각 주(state)에 각기 제정한 법률과 특정영역 법률이 산재(표 4)

연방정부기관의 개인정보 처리에 대해서는 이 법에 따라 예산관리처(The Office of Management and Budget)가 규제업무를 담당하나 프라이버시 관련 독립된 개인정보 감독기관은 아님.

표 4. 미국의 주요 개인정보 관련 규제 법 구분

구분	관련 법	주요 내용
소비자 보호	Federal Trade Commission Act(FTC Act)	연방 소비자보호법으로 불공평/기만적 관행을 금지함. 오프라인과 온라인 프라이버시 및 데이터 보안 정책에 적용됨. 프라이버시 정책을 준수하지 않거나 개인정보를 권한 없이 공개 시, 집행조치를 취할 수 있음.
	Children’s Online Privacy Protection Act(COPPA)	아동의 정보 수집 시 적용됨. FTC가 집행조치를 취할 수 있음.
금융	Financial Services Modernization Act (Gramm-Leach-Biley Act)	금융정보의 수집, 활용, 공개에 대해 규율함. 은행, 증권회사, 보험회사, 기타 금융서비스, 금융상품 제공사업자에게 광범위하게 적용됨. 공인이 아닌 자의 정보를 공개하는 것을 제한하며, 금융회사가 프라이버시 관행을 통지하고, 정보 주체가 자신의 정보가 공유되는 것을 거부할 수 있는 권리를 부여함.
의료	Health Insurance Portability and Accountability Act(HIPAA)	의료정보에 대해 규율함. 의료서비스 제공자, 데이터 프로세서, 약사 및 의료 정보를 다루는 주체에 적용됨. 의료 정보의 수집과 사용에 관한 의료정보 프라이버시 기준(HIPAA 프라이버시 규범), 의료 정보의 보호기준(HIPAA 보안 규범), 전자적 전송 시 기준(HIPAA 전송규범) 등을 포함
통신	Controlling the Assault of Non-Solicited Pornography and Marketing Act (CAN-SPAM Act)	이메일 주소 수집과 활용에 대해 규율함. 원치 않는 상업성 전자메일을 광고로 간주하고, 수신자에게 향후 수신거부방법 제공 고시 등 상업성 전자메일 발송 요건을 규정함.
	Telephone Consumer Protection Act	전화번호 수집과 사용 규율
	Electronic Communications Privacy Act	전자적 통신의 인터셉션(interception) 규율
	Computer Fraud and Abuse Act	컴퓨터 템퍼링(tampering) 규율

자료: 이규엽 외(2018), p. 60, 표 3-3.

■ 미 연방거래위원회(FTC: Federal Trade Commission)가 소비자 프라이버시와 소비자 정보 보안, 아동 온라인 프라이버시 등에 대한 규제 기능을 수행하나, FTC의 권한과 자원 부족에 대한 문제가 제기됨.

- FTC는 프라이버시 고지 내용과 다르게 소비자 정보를 활용하는 기업에 벌금을 부과할 수 있지만, 규제 법령을 만드는 권한을 갖고 있지 않고, 집행력을 강제하기에는 벌금수준도 낮다는 지적도 있음.

-  FTC는 미국 내 디지털 혁신기업과 금융/신용기관을 감독하고 소비자 정보 침해 여부를 판단할만한 인력이 부족하며, 특히 숙련된 기술전문가가 없다는 문제점도 지적됨.

나. EU GDPR과 미 캘리포니아 주정부 개인정보보호법

1) EU GDPR 발효와 미국 기업

■ 2018년 5월 25일 EU GDPR(General Data Protection Regulation) 발효에 따라 미국 기업도 영향권에 놓임.

자세한 내용은 오태현·강민지(2018), 「EU 개인정보보호법(GDPR) 발효: 평가 및 대응방안」, KIEP 오늘의 세계경제, Vol.18, No.19 참고.

- [적용 대상 확대] 개인정보의 범위가 확대되어, IP 주소, 쿠키, RFID 등이 온라인 식별자에 포함

- [정보주체 권리 강화] EU 지침(Directive 95/46/EC)에는 없던 삭제권(잊혀질 권리), 처리제한권, 정보이전권이 새롭게 도입되었고, 정보 유출에 따른 피해가 발생할 경우 보상청구도 가능

이외 EU GDPR이 보장하는 정보주체의 권리는 정보를 고지받을 권리, 열람권, 정정권, 자동화된 의사결정 반대권 등이 있음.

- [컨트롤러와 프로세서의 책임] 개인정보보호책임자(DPO) 지정, 개인정보 동의, 개인정보 영향평가, 개인정보 처리활동 기록, 정보주체 권리보장, 협력업체 관리, 개인정보 보안과 정보 유출고지 방안 수립 등

- [개인정보의 역외이전] EU 시민의 개인정보를 역외로 이전하는 경우, EU GDPR은 ① 제3국이 적정성 결정 승인을 획득한 경우 ② 개인정보를 이전하려는 기업이 적절한 보호조치를 갖춘 경우 등으로 제한함. 미국은 EU와 프라이버시 실드(Privacy Shield)를 체결하여 조건 ①을 충족함.

미국과 EU 간의 정보 전송협약으로 데이터 접근 시 보호장치 강화, 투명성 의무, 개인 권리에 대한 효과적인 보호, 매년 합동 리뷰 메커니즘 등 의무를 포함.

- [EU GDPR 역외 적용] EU 역외일지라도 ① EU 내 소비자에게 재화나 서비스를 제공 ② EU 내 거주하는 정보주체를 모니터링하는 경우까지 확대함.

■ 미국 기업이 EU GDPR 발효에 대비하여 선제적으로 대응해 왔음에도 불구하고, 최근 EU GDPR을 근거로 여러 기업이 소송 중이거나 벌금을 부과 받음.

- 미국 기업이 EU GDPR에 명시된 의무를 위반할 경우, EU는 행정적 제재로서 위반기업이 창출한 세계 매출액의 4%(최고)에 달하는 과징금을 부과할 수 있음.

일반 위반의 경우 1천만 유로까지 과징금 또는 사업체인 경우 직전 회계연도의 전 세계 매출액 2% 이하의 과징금 중 높은 금액을, 심각한 위반의 경우 2천만 유로까지 과징금 또는 직전 회계연도의 전 세계 매출액 4% 이하의 과징금 중 높은 금액을 과징금으로 부과할 수 있음(EU GDPR 제83조). 위반 내용, 피해경감 노력 등을 종합 검토하여 실제 부과 금액이 결정됨.

- EU GDPR 발효일인 2018년 5월 25일, 개인정보보호단체 NOYB는 페이스북, 구글, 인스타그램, 와츠앱을 상대로 GDPR 위반을 주장하며 프랑스, 독일, 오스트리아, 벨기에 등 국가에서 해당 기업을 제소함.

NOBY는 2017년 개인정보보호 등 디지털 권리 보장을 위해 오스트리아에 설립된 비영리단체로 맥스 슈렘스(Max Schrems)가 의장임. 슈렘스는 EU GDPR 발효 전 페이스북을 상대로 소송한 바 있으며, 유럽 사법재판소는 슈렘스가 제기한 소송 건에 대해 EU와 미국 간 체결한 세이프 하버(Safe Harbor)가 헌법에 위반된다고 판시함.

* 프랑스의 데이터보호 당국인 정보자유국가위원회(CNIL: Commission nationale informatique et liberté)가 구글에 대한 소송 건을 검토했는데, 2019년 1월 21일 개인정보 동의정책과 데이터 활용 등에 있어 사용자에게 충분한 정보제공 및 통제 권한을 부여하지 않았고 광고의 개인화 처리에 법적 기반을 갖추지 못했다는 이유로 구글에 5천만 유로의 벌금형을 부과했고, 구글은 이에 대해 항소 계획을 발표함.

프랑스의 인터넷 자유 옹호 조직인 라궈드라츄르듀넷(La Quadrature du Net)도 NOBY와 제기한 유사한 내용으로 소송함.

사용자가 데이터 처리 목적, 데이터 저장기간, 개인화 광고에 활용되는 개인 정보 범위 등을 쉽게 알기 어려운 점, 개인화 광고 목적으로 구글이 요구하는 동의절차에서 자신의 정보가 어떻게 활용될지 알기 어려운 점, 동의 과정이 모호한 점 등이 지적됨.

- 2019년 1월 18일 NOYB는 EU GDPR 제15조 정보주체의 접근권 보장 불이행 사유 등으로 아마존 프라임, 애플 뮤직, 넷플릭스, 유튜브를 제소했는데, 최고형 가정 시 애플은 80억 2천만 유로의 벌금이 부과됨.

2) 캘리포니아 주정부: 개인정보보호법 통과

■ 캘리포니아 주정부는 2018년 6월 29일 ｢캘리포니아 소비자 프라이버시법(CCPA: The California Consumer Privacy Act of 2018)｣을 통과시킴(’20.01.01 발효 예정)

미국 인구조사국(United States Census Bureau)의 2016년 인구 추정치 자료에 따르면, 캘리포니아 인구는 총 3,900만 명으로 미국 주(state) 중 가장 많은 소비자가 살고 있음. 미국 내 기업이 CCPA에 대비할 필요가 있으며, 향후 미국 내 다른 주에서도 CCPA와 유사한 데이터 규제 법안이 추가로 도입될 가능성이 높음.

- [특징] EU GDPR 영향에 따라 정보주체의 권리 강화와 법 위반 시 금전적 제재 규정 마련

- [적용 범위] 캘리포니아 주에서 캘리포니아 거주자의 개인정보 처리를 하는 수익단체(for-profit entities)로 ① 연간 수익이 2,500만 달러 이상이거나 ② 50,000명(가계/기기) 이상의 개인정보를 보유하거나 ③ 개인정보 판매에 따른 수익이 기업의 총수익의 절반 이상을 차지할 경우 적용

- [정보주체의 권리] 정보(수집하는 개인정보, 정보의 출처와 수집 목적, 변경사항 고지, 개인정보 공유하는 제3자의 존재 등)를 고지 받을 권리, 정보공유 및 판매 정지권, 정정권, 삭제권 등이 보장됨.

* 특히 13세 이상 16세 미만인 미성년 소비자의 개인정보를 판매하기 위해서는, 기업은 해당 미성년자의 사전 동의가 필요하고, 소비자가 13세 미만일 경우 부모나 후견인의 승인까지도 얻어야 함.

* 사용자가 개인정보에 대한 수집 및 활용을 허용하지 않는다고 해서 서비스 질이 낮아져서도 안 됨.

- [위반 시 제재] ① 의도적인 위반 시 건당 7,500달러까지 벌금 부과 가능 ② 기업의 데이터 보안체계가 소비자 데이터를 충분히 보호하지 못하여 데이터가 유출될 시, 소비자는 데이터 유출 사고를 일으킨 기업을 상대로 고소할 권한이 있어 관련 사안으로 법정에서 다툴 수 있는 길이 열려 있음(피해를 입은 개인은 인/건별로 100~750달러의 법정손해배상 또는 실제 손실 중 더 큰 금액을 청구 가능), 의도적 위반의 경우 7,500달러 이하, 비의도적 위반의 경우 2,500달러 이하의 벌금 부과 가능

표 5. EU GDPR과 CCPA의 주요 내용 비교

	EU GDPR	CCPA
동의 방식	옵트인	옵트아웃(단, 16세 미만의 아동에 대한 정보의 판매는 옵트인 방식이 강제됨)
적용 대상	유럽연합에서 사업장을 운영하며 개인정보 처리를 수반하는 경우에 더하여, 유럽연합 밖에서 유럽연합에 있는 정보 주체에게 재화나 서비스를 제공하거나, 유럽연합 내에 있는 정보 주체의 활동을 모니터링하는 경우에도 적용됨(역외적용)	캘리포니아 거주자의 개인정보 처리를 하는 수익단체(For-profit entities)로 ① 연간 수익 2,500만 달러 이상이거나 ② 50,000인(가계, 기기) 이상의 개인정보를 가지고 있거나 ③ 개인정보의 판매가 수익의 절반 이상일 경우 적용됨. Cal. Civ. Code §1798.140(c)(1).
정보주체의 권리	고지받을 권리, 열람권, 정정권, 삭제권, 개인정보 이전권, 처리제한권, 자동화된 의사결정 반대권	고지받을 권리, 정보공유 및 판매정지권, 삭제권
발효일자	2018. 5. 25	2020. 1. 1
금전적 제재	[심각한 위반] 2천만 유로까지 과징금 또는 직전 전 세계 매출액의 4%까지 과징금 중 큰 금액 [일반적 위반] 1천만 유로까지 과징금 또는 직전 전 세계 매출액의 2%까지 과징금 중 큰 금액	의도적으로 위반 시 건당 7,500달러까지 벌금 부과 가능, 개인정보 관련 피해를 입은 개인은 인별 건별로 100~750달러 사이의 법정손해배상이나 실제 손실 중 더 큰 금액 청구가능 Cal. Civ. Code §1798.155. Cal. Civ. Code §1798.150.

자료: 이규엽 외(2018), 표 3-4.

다. 미 연방정부의 개인정보보호 입법안

1) 입법안 비교

■ 미 의회에 연방정부 차원의 개인정보보호법 마련을 위한 여러 법률안이 제안되고 있음.

- 본 보고서에서는 주요 개인정보보호 입법안을 정보 수집 및 이용, 정보 공유, 자동화된 의사결정, 통지에 관한 조항 중심으로 비교함(표 6).

본 보고서에서 검토한 입법안 이외에도 미 상원의원 Blackburn의 ‘Browser Act’, 상원의원 Crotez Masto의 ‘Data Privacy Act,’ 상원의원 Markey의 ‘Privacy Bill of Rights Act’ 등도 추가로 제안됨.

표 6. 개인정보보호 입법안 비교

구분		정보 수집 및 이용	정보 공유	자동화된 의사결정	통지
미국 하원	① 델벤 법안 (DelBene Act)	• 민감정보 옵트인 방식(단, 합리적인 사용자 기대와 합치하는 행동 정보는 추적 허용)	• 명시적 동의 없이는 공유 허용 불가. (합리적인 기대와 일치하거나 보안 목적시 예외)	• 자동적으로 처리될 경우 프라이버시 정책이 공개되어야 함.	• FTC가 명확하고 자세한 프라이버시 및 데이터 활용정책을 수립하여야 함.
미국 상원	② 위던 법안 (Wyden Act)	• 명시적 규정 없음 (옵트아웃 방식 제한가능. FTC가 규범제정)	• 제3자가 데이터를 추가로 활용(2차 활용)하지 않는 한, 주요 목적에 필요한 정보 공유 가능. • 옵트 아웃 가능	• 고위험 자동화된 의사결정 체계는 구체적인 영향 평가(불공정, 편향, 소비자 차별 위험 검토) 필요	• 매년 정보보호 보고서를 FTC에 제출(위반 시 형사처벌 가능) • FTC는 소비자에게 제공되는 정보를 2년마다 점검
	③ 샤츠 법안 (Schatz Act)	• ‘Duty of Loyalty’에 합치하는 방식으로 정보 활용	• ‘Duties of care and loyalty’와 합치하지 않을 시 비공개, 판매금지. • 공유 시 제3자가 first party와 같은 책임 부담	• 명시적 규정 없음	• 명시적 규정 없음
기업	④ 인텔 법안 (Intel Act)	• ‘Duty of care’에 합치하는 방식으로 정보 활용(Duty of care 위반시 금지된 처리)	• 직접적으로 규정하고 있지는 않음. (단, 목적 규정 및 허용된 처리 또는 일치하는 처리 여부로 제한가능)	• 인간의 개입 없는 알고리즘, 머신 러닝, 인공지능 또는 예측 분석은 영향 분석이 필요	3단계 • 민감정보에 대한 명백한 통보 • 개인을 위한 일반 통보 • 데이터 수집 및 처리에 대한 완전한 통보
기업	⑤ CDT 법안	• 생체인식정보, 아동 정보, 자세한 위치 정보, 영상 녹음, 의료 정보 등은 일반적으로 추적(tracking) 금지	• 데이터를 제공받는 제3자 또는 납품업자는 정보 공유 주체와 같은 보호를 제공할 것을 계약함.	• FTC 타기팅된 광고에 대한 알고리듬 효과 연구	2단계 • 데이터 활용 및 권리에 대한 정보제공 통지 • 주기적 개인정보 보호 공개
민간	⑥ CRISPI 법안	• 수집 시 데이터 최소화의 원칙 • 민감정보 옵트인 방식 • “take it or leave it”데이터 수집 방식 금지	• 직접적으로 규정하고 있지는 않음 (단, 동의여부에 의해 제한 가능) • “take it or leave it”방식 금지	• 소비자 경제적 상황, 건강 상태, 직장 또는 교육 등 삶이 변화하는 효과와 관련된 사항에 대해서는 자동화된 의사결정의 대상이 되지 않는 권리규정	• 기업은 알기 쉽게 추적정보가 어디로 가고 어떻게 활용되는지 공개

자료: Cameron(2019)을 활용하여 저자 작성.

https://www.brookings.edu/research/breaking-down-proposals-for-privacy-legislation-how-do-they-regulate/(검색일: 2018. 05. 14).

■ [① 델벤 법안] 민주당 하원의원 수잔 델벤(Suzan DelBene)이 2019년 3월 29일에 「정보투명성과 개인정보통제 법안(Information Transparency and Personal Data Control Act)」을 제안함.

- [법안 특징] 민감정보 수집 원칙적으로 옵트인 방식, 통지 내용 규정 등에 대해 FTC에 권한 부여

◦ [정보공유] 명시적 동의 없이는 정보 공유 불가(단, 합리적인 기대와 일치하거나 보안 목적시 예외)

■ [② 위던 법안] 민주당 상원의원(오레곤) 론 위던(Ron Wyden)이 2018년 11월 1일에 「소비자데이터보호 법안(Consumer Data Protection Act)」을 제안함.

- [법안 특징] 광범위한 FTC 규범 제정 및 집행권한 부여, EU GDPR과 유사

◦ [FTC의 권한과 자원 확충] FTC가 ∆최소한의 개인정보보호 및 사이버 보안 표준 수립 ∆회사 임원에게 매년 정보보호보고서 인증 요구(임원 형사처벌 가능) ∆직원 175명 추가 고용 및 개인정보시장 감독 규정

◦ EU GDPR과 유사한 부분은 ∆정보주체의 권리(정보를 고지받을 권리, 정보공유 및 판매 정지권, 삭제권 등) ∆위반 시 높은 벌금(연간 매출의 4 %) 부과 ∆고위 간부에 대해 10~20년 형사처벌 가능 ∆소비자 정보보호 영향평가 ∆프라이버시 및 보안책임을 담당하는 정보보안담당자 선임 등

■ [③ 샤츠 법안] 민주당 상원의원(하와이) 브라이언 샤츠(Brian Schatz)가 2018년 12월에 「데이터관리 법안(Data Care Act)」을 제안함.

- [법안 특징] 관리(care), 충의(loyalty), 기밀 유지(confidentiality) 의무를 포함한 기업의 관리책무(duty of stewardship) 개념을 도입함. 미 의회 법안상 최초로 기업 행위(business behavior)에 초점

◦ [정보수집과 활용] 충의의 의무(duty of loyalty) 적용, ∆최종 활용에 손해, ∆최종활용자에게 합리적으로 예측 가능한 물리적․재정적 피해, ∆예기치 못한 불쾌감 등을 주는 방식으로 정보 활용 불가

◦ [정보 공유] 관리와 충의의 의무(duties of care and loyalty)와 합치하지 않는 한 비공개 의무, 판매금지.  정보 공유 시 제3자는 개인정보 처리업무 위탁자(first party)와 같은 수준의 책임 부담

■ [④ 인텔 법안] 인텔(Intel Corp.)이 2018년 11월 5일에 「혁신․윤리적 정보활용 법안(Innovative and Ethical Data Use Act)」을 제안함(’19.1.28. 개정).

- [법안 특징] 정보 활용이 중심임. 샤츠 법안과 유사하게 정보 처리에 있어 관리의 의무(duty of care)를 적용함. 정보 품질도 규정(정보처리는 명확한 목적에 관련이 있고 필요한 정보만 처리)

합리적으로 예견 시 자연인이 직접적으로 심각한 신체적 상해 또는 재정적 손실을 입게 하는 결과를 가져올 수 있는 방식으로 의도적으로  개인 정보를 처리하지 않도록 합당한 조치를 취해야 함.

◦ [자동화된 의사결정] 편향 및 오류가 없으며 정보 품질이 적절하다는 영향 평가 후에만 자동화된 의사결정 허용, 영향 평가 시 프라이버시 위험 분석 및 윤리적 및 법적 영향에 대한 분석을 포함

■ [⑤  CDT 법안] 민주주의․기술센터(CDT: Center for Democracy and Technology)는 2018년 12월 19일에 포괄적인 「프라이버시 토론문 초안(Privacy discussion draft)」을 제안함.

- [법안 특징] 개인의 권리와 서비스 제공자 의무 규정, 특정 정보 활용은 불공정한 것으로 간주

◦ [정보 수집 및 활용] 특별한 제한은 없으나, 제5조 ‘불공정한 정보 처리 관행(unfair data processing practices)’에서 ∆생체인식 정보, ∆자세한 위치 정보, ∆아동 정보, ∆영상 녹음, ∆의료 정보 등 특정 종류의 정보는 일반적으로 추적(tracking) 금지

◦ [자동화된 의사결정] FTC가 ‘불공정하게 타기팅된 광고 관행’을 정의하는 규범 채택, 타기팅된 광고의 영향, 차별을 식별하는 연구 진행 요구

◦ [통지] ① 수집대상 정보 종류, 정보 활용, 공유 및 권리행사 방법 통지, ② 주기적 개인정보 보호 공개 – 공식적인 프라이버시 정책 선언

■ [⑥ CRISPI 법안] 캘리포니아 주 카스티야 학교(Castilleja School) 12학년 학생들이 2019년 1월에 일명 「크리스피 법안(Consumer Rights, Integrity, Safety and Privacy in Information Act)」을 제안함.

https://medium.com/@SoNYT/tech-for-good-making-digital-innovation-more-ethical-706228003594(검색일: 2018. 5. 14).

- [법안 특징] 명확한 공개, 접근권, 공유 및 판매 정지권, 민감정보에 대한 옵트인 방식, 정보 수집에 제한 등을 통한 소비자 권리 확립

◦ [정보수집과 활용] 최소 데이터 수집 원칙, 양자택일(“Take it or Leave it”) 정책 금지

* CRISPI 법안은 소비자가 정보공유 거절의 결정이 앱/디지털 프로그램 활용 여부에 영향을 미치지 않아야 하며, 기업은 소비자에게 양자택일 결정을 요구해서는 안 됨을 규정

* 또한 기업은 소비자의 데이터 비공개 유지의 대가로 소비자에게 추가요금을 부과할 수 없고, 불공정 접근을 초래하는 차등적인 대우를 할 수 없다고 명시

◦ [자동화된 의사결정] 소비자의 경제적 상황, 건강 상태, 직장 또는 교육 등 삶에 영향을 미치는 효과와 관련된 사항에 대해서는 자동화된 의사결정의 대상이 되지 않는 권리를 규정했는데, 이는 EU GDPR 22조와 유사함.

2) 입법 논의의 의의

■ 급변하는 디지털 환경, EU GDPR 발효 등의 영향으로 기업의 자율규제(self-regulation)를 지향해 온 미국에서 연방정부 차원의 개인정보보호법에 관한 다양한 입법안이 제시되는 점 자체가 큰 변화

- EU GDPR이 포함하는 데이터 최소화의 원칙, 민감정보의 옵트인 방식, 정보 활용에 있어 목적 관련성 요구 등이 미 연방정부 차원의 개인정보보호법 도입을 위한 여러 입법안에서 유사하게 제안됨.

■ 미 연방정부 차원의 개인정보보호법 입법 여부에 따라 향후 미국이 체결․개정하고자 하는 지역무역협정 상 디지털 무역규범에서 다루는 범위와 수준이 변화할 가능성 내포

- 다만 미국이 적극적으로 참여하는 WTO 전자상거래 협상에서 미국은 이미 현 시점에서 제안할 수 있는 가장 높은 수준의 디지털 무역규범을 제안한바, WTO 차원의 전자상거래 규범이 어떠한 수준에서 합의가 되더라도 미국이 향후 체결․개정할 지역무역협정상 디지털 무역규범보다는 낮은 수준이 될 것으로 판단함.

4. 시사점

■ 미 연방정부 차원의 개인정보보호법에 관한 논의 개시를 글로벌 디지털 무역환경에서 나타난 중요한 변화로 인식하고,  한국도 데이터 관련법 개정을 둘러싼 논의 수준을 끌어올릴 필요

- 미국이 개인정보보호에 대해 기업의 자율규제(self-regulation)를 강조해 왔던 점을 감안할 때, 미 연방정부 차원의 개인정보보호법에 관한 논의는 대단히 중요한 변화임.

- 한국의 개인정보보호법, 정보통신망법, 신용정보보호법 등을 둘러싼 개정 논의에서 미 연방정부 차원에서 다루는 개인정보보호법에 대한 논의 내용은 유용한 참고자료임.

* 미국 법제의 일부가 한국 데이터 규범 체제와 닮아 있는데, 한국은 EU처럼 공공과 민간분야에 적용되는 일반법인 ｢개인정보 보호법｣을 채택하면서도, 미국식의 분야별 개별법으로 데이터 규범 체계를 구성함.

한국의 데이터 관련 개별법으로 ｢정보통신망 이용촉진 및 정보보호 등에 관한 법률(정보통신망법)｣, ｢신용정보의 이용 및 보호에 관한 법률(신용정보법)｣, ｢위치정보의 보호 및 이용 등에 관한 법률(위치정보법)｣, ｢공간정보의 구축 및 관리 등에 관한 법률(공간정보관리법)｣, ｢통신비밀보호법｣, ｢교육기본법｣, ｢의료법｣, ｢생명 윤리 및 안전에 관한 법률(생명윤리법)｣, ｢전자상거래 등에서의 소비자보호에 관한 법률(전자상거래법)｣, ｢소비자기본법｣, ｢클라우드 컴퓨팅 발전 및 이용자 보호에 관한 법(클라우드컴퓨팅법) 및 시행규칙｣ 등이 있음.

- 한국은 데이터 관련법 개정을 서두르기보다 데이터 관련법을 포괄적으로 다시 검토하고 관련된 논의 수준도 높일 필요

■ 한국은 데이터 관련법 개정 시, 2019 WTO 전자상거래 협상 간 다뤄지는 내용도 충분히 파악/검토하고 글로벌 디지털 무역규범과 조화되는 방향으로 규제/법제 정비를 추진할 필요

- WTO 전자상거래 협상 간 다뤄지는 논의의 흐름을 면밀히 살펴서 국내 데이터 관련 규제/법제가 국제규범과 조화되는 방향으로 논의를 진행하고 정비방안을 검토/추진해야 함.

- 아울러 미국, 일본, EU 등 주요국이 WTO 전자상거래 협상에서 중요하게 다루는 데이터 지역화 조치와 소스코드 공개 금지, 국경 간 데이터의 자유로운 이동과 개인정보보호 등 쟁점에 대해 한국의 입장을 확고히 정립하고 WTO 협상에 참여할 필요

■ 수준이 높은 지역무역협정의 디지털 무역규범 협상에 대비하여 대응책 마련 필요

- 데이터 이동을 수반하는 디지털 혁신기술에 대한 규제와 정책 수단이 향후 체결․개정될 지역무역협정의 디지털 무역규범에 대한 협상 안건이 될 가능성이 높음.

- 한국 정부는 지역무역협정 차원의 디지털 무역규범 협상에도 대비하여 선제적 대응책 마련이 필요할 것으로 보임.

부록 1. 데이터 이동을 수반하는 디지털 기술 관련 규제와 정책 수단

■ 디지털 무역과 관련된 국내 규제와 정책 수단은 크게 최근에 등장한 디지털 신무역규범과 디지털 상품이나 서비스에 영향을 줄 수 있는 시장접근이나 투자 조치와 같은 전통적인 무역 규제로 나눔.

- 최근에 등장한 디지털 신무역규범으로는 ∆ 데이터 보호와 프라이버시 ∆ 데이터 지역화 조치 금지 ∆ 소스코드 공개 금지 ∆ 디지털 불법 복제 ∆ 인터넷 중개인(digital intermediary)에 대한 지식재산권 위반 책임 등

- 시장접근(market access)이나 투자 조치(investment measures)를 통해 디지털 상품이나 서비스에 영향을 줄 수 있는 무역 규제로는 ∆ 면세 한도(De minimis) ∆ 전자결제 ∆ 정부조달 ∆ 기술표준 ∆ 외국인 지분 제한 ∆ 로컬 컨텐츠 요건 ∆ 세금/수수료 부과 등

규제와 정책수단의 형태	인터넷 통신서비스	클라우드 기반 데이터 처리	디지털 컨텐츠	전자상거래 (B2B, B2C)	사물인터넷
데이터 보호와 프라이버시	○	○	○	○	○
데이터 지역화 조치	○	○		○	○
소스코드 공개 금지		○	○	○	○
디지털 불법 복제			○	○
지식재산권 위반 책임	○	○	○
면세 한도(De minimis)				○
전자결제			○	○
정부조달	○	○	○	○	○
기술표준	○	○	○	○	○
외국인 지분 제한	○	○	○	○	○
로컬 컨텐츠 요건	○	○	○	○	○
세금/수수료	○	○	○	○	○

주: ‘O’은 규제와 정책수단이 해당 서비스와 연관성이 있다는 의미임.

자료: USITC(2017), pp. 272-273, Table 8.1을 재구성

부록 2. WTO 전자상거래 협상 참여국의 디지털 자유화 및 제도 현황

■  2019년 WTO 전자상거래 협상에 불참한 국가에는 MC11에 앞서 전자상거래 작업반 설치를 반대했던 아프리카 지역 국가군, 데이터 지역화 조치를 취하는 국가, 최빈국 등이 포함됨.

- 사하라 남부 아프리카국(sub-Saharan Africa), 카리포럼(Cariforum) 회원국 외 다수 불참

- 데이터 지역화 조치를 시행(USITC 2017, pp. 282-285)하는 인도, 인도네시아, 베트남이 불참(중국, 러시아는 참여)

- 디지털 무역규범 조항이 담긴 지역무역협정을 체결한 경험이 없는 최빈국 상당수 역시 불참

부표 1. 2019년 WTO 전자상거래 협상 참여국 관련 통계

참여국가	1인당 GDP($)	인터넷 인구비중(%)	DTRI	참여국가	1인당 GDP($)	인터넷 인구비중(%)	DTRI
리히텐스타인	164,993	98.1	-	러시아	10,749	76.0	0.63
스위스	80,342	93.7	0.25	터키	10,546	64.7	0.6
노르웨이	75,704	96.5	0.13	말레이시아	9,951	80.1	0.35
아이슬란드	71,311	98.3	0.19	브라질	9,812	67.5	0.15
카타르	63,249	95.9	-	카자흐스탄	9,030	76.4	-
미국	59,927	75.2	0.15	멕시코	8,910	63.9	0.26
싱가포르	57,714	84.4	0.25	중국	8,827	54.3	0.82
호주	53,793	86.5	0.25	몬테네그로	7,784	71.3	-
대만	52,960	92.8	0.12	태국	6,595	52.9	0.29
홍콩	46,193	89.4	0.16	페루	6,571	48.7	0.22
캐나다	44,870	92.7	0.25	콜롬비아	6,408	62.3	0.23
뉴질랜드	42,583	90.8	0.22	파라과이	5,823	61.1	0.16
아랍에미리트	40,698	94.8	-	마세도니아	5,414	76.3	-
이스라엘	40,543	81.6	0.18	알바니아	4,537	71.8	-
일본	38,430	90.9	0.04	조지아	4,045	60.5	-
유럽연합	33,836	77.2	0.24	엘살바도르	3,889	31.3	-
한국	29,742	95.1	0.39	몽골리아	3,717	23.7	-
쿠웨이트	29,040	98.0	-	우크라이나	2,639	57.1	-
브루나이	28,290	94.9	0.38	온두라스	2,480	32.1	-
바레인	23,739	95.9	-	라오스	2,457	25.5	-
우루과이	16,245	68.3	-	몰도바	2,290	76.1	-
칠레	15,346	82.3	0.04	니카라과	2,221	27.9	-
파나마	15,196	57.9	0.03	나이지리아	1,968	27.7	0.23
아르헨티나	14,398	75.8	0.17	미얀마	1,256	30.7	-
코스타리카	11,677	71.6	0.04

주: 1) 1인당 GDP가 높은 순서대로 정렬함.

2) DTRI(Digital Trade Restrictiveness Index)는 디지털 무역제한지수인데 1에 가까울수록 디지털 무역장벽이 강함을 의미하고, 0에 가까울수록 디지털 무역장벽이 약함을 뜻함. ’-‘는 해당란에 대한 데이터 값이 없음을 뜻함.

자료: 1인당 GDP는 World Bank 2017년 자료, 인터넷 인구비중은 ITU 2017년 자료, DTRI는 ECIPE의 2018년 자료를 활용하여 저자 작성.

■ 전자상거래 협상에 참여한 76개(EU 28개국 포함) 회원국에 관해 다음과 같은 특징을 식별

- 협상 참여국 모두 (1) 최빈국(least developed countries)이 아님(부표 1).

- 대부분은 (2) 디지털 무역 장/조항을 포함한 지역무역협정을 체결한 경험이 있음(부표 2).

- 대부분은 (3) 전자적 거래, 소비자 보호, 프라이버시, 사이버 범죄에 관한 국내법을 제정했거나 제정을 위한 이행(transition) 단계에 놓임(부표 2).

- 참고로 협상 참여국 중 한국보다 디지털 무역제한지수(DTRI)가 높은 국가는 중국과 러시아뿐(부표 1)

부표 2. 2019년 WTO 전자상거래 협상 참여국의 국내법 제정 현황

참여국가	FTA e-commerce	전자적 거래법 (electronic transaction)	소비자 보호법 (consumer protection)	데이터 보호 및 프라이버시법 (privacy)	사이버 범죄법 (cybercrime)
리히텐스타인	GCC-EFTA FTA	O	No Data	O	O
스위스	GCC-EFTA FTA	O	O	O	O
노르웨이	GCC-EFTA FTA	O	O	O	O
아이슬란드	GCC-EFTA FTA	O	No Data	O	O
카타르	GCC-EFTA FTA	O	O	O	O
미국	USMCA	O	O	O	O
싱가포르	CPTPP	O	O	O	O
호주	CPTPP	O	O	O	O
대만	∆	-	-	-	-
홍콩	∆	-	-	-	-
캐나다	USMCA, CPTPP	O	O	O	O
뉴질랜드	CPTPP	O	O	O	O
아랍에미리트	GCC-EFTA FTA	O	No Data	O	O
이스라엘	CIFTA	O	O	O	O
일본	CPTPP	O	No Data	O	O
유럽연합	EU-Japan EPA	O	O	O	O
한국	KORUS	O	O	O	O
쿠웨이트	GCC-EFTA FTA	O	O	O	Draft Legislation
브루나이	CPTPP	O	O	No Legislation	O
바레인	GCC-EFTA FTA	O	O	No Legislation	O
우루과이	x	O	O	O	O
칠레	CPTPP	O	O	O	O
파나마	US-Panama FTA	O	O	Draft Legislation	O
아르헨티나	x	O	O	O	O
코스타리카	CAFTA-DR	O	O	O	O
러시아	∆	O	No Data	O	O
터키	∆	O	O	O	O
말레이시아	CPTPP	O	O	O	O
브라질	x	O	O	Draft Legislation	O
카자흐스탄	∆	O	No Data	O	O
멕시코	USMCA, CPTPP	O	O	O	O
중국	Korea-China FTA	O	O	O	O
몬테네그로	x	O	No Data	O	O
태국	AANZFTA	O	O	Draft Legislation	O
페루	CPTPP	O	O	O	O
콜롬비아	COTPA	O	O	O	O
파라과이	x	O	O	O	O
마세도니아	x	O	No Data	O	O
알바니아	x	O	O	O	O
조지아	DCFTA	O	No Data	O	O
엘살바도르	CAFTA-DR	Draft Legislation	O	No Legislation	O
몽골리아	Japan-Mongolia EPA	O	No Data	No Legislation	No Legislation
우크라이나	Canada-Ukraine FTA	O	O	O	O
온두라스	CAFTA-DR	O	O	Draft Legislation	No Legislation
라오스	∆	O	Draft Legislation	No Legislation	No Legislation
몰도바	x	-	-	-	-
니카라과	CAFTA-DR	O	O	O	O
나이지리아	x	Draft Legislation	Draft Legislation	Draft Legislation	O
미얀마	AANZFTA	O	O	No Legislation	O

주: 1) 1인당 GDP가 높은 순서대로 정렬함(표 2 참고).

2) ’-‘는 해당란에 대한 데이터 값이 없음을 의미함. ‘∆’는 Wu(2017)에서 확인한 것으로 디지털 무역 관련 장/조항이 있음을 뜻함. ‘O’는 해당법이 제정, ‘Draft Legislation’은 해당법이 준비/검토단계, ‘No Legislation’은 해당법이 제정되지 않았음, ‘No Data’는 관련법에 대한 데이터가 없음을 뜻함.

자료: WTO, Wu(2017), www.privacyrights.org 자료를 활용하여 저자 작성.