영국 개인 정보 보호 및 감시 프로그램 논란 타임라인

영국 정부는 통신 감시 및 데이터 수집에 대한 광범위한 권한을 부여하는 수사권법(Investigatory Powers Act 2016)을 제정했습니다. 흔히 '스누퍼스 차터(Snooper's Charter)'로 불리는 이 법은 정보기관과 경찰이 통신 내용과 메타데이터를 확보할 수 있는 법적 틀을 마련했으며, 인터넷 서비스 제공업체(ISP)에 사용자 인터넷 연결 기록(ICR)을 1년간 보관하도록 의무화했습니다. 이 법은 국가 안보를 위한 필수 조치로 옹호되었지만, 사생활 침해 및 인권 침해에 대한 심각한 우려를 불러일으켰습니다.

유럽연합 사법재판소(ECJ)는 'Tele2 Sverige 및 Watson 외 다수' 사건에서 국가의 일반적이고 무차별적인 데이터 보존법이 EU 개인정보 보호 지침과 일치하지 않는다고 판결했습니다. 이 판결은 국가 안보 목적이라 할지라도 통신 데이터의 대량 수집 및 보존 관행에 엄격한 안전장치가 필요하다는 점을 강조했습니다. 이는 영국 수사권법의 일부 조항에 대한 법적 도전의 기반을 마련했습니다.

영국 고등법원은 시민 자유 단체 리버티(Liberty)가 제기한 소송에서 수사권법(IPA)의 대량 감시 권한이 유럽인권협약(ECHR)과 양립 가능하다고 판결했습니다. 법원은 법안에 명시된 안전장치와 이중 잠금(double-lock) 승인 절차(장관 및 사법 위원 승인) 덕분에 법이 합법적이라고 판단했습니다. 이 판결은 대량 데이터 수집의 합법성에 대한 논란을 계속 이어갔습니다.

유럽연합 사법재판소(CJEU)는 Privacy International이 제기한 소송에서 국가 안보 목적의 대량 감시 프로그램도 EU 법률의 개인정보 보호 안전장치를 준수해야 한다고 판결했습니다. 이 판결은 정부가 통신 서비스 제공업체에 데이터 처리를 강제할 때마다 EU 법률이 적용되며, 국가 안보 상황에서도 개인정보 보호 기준을 따라야 함을 명확히 했습니다. 이는 영국의 감시 체제에 대한 추가적인 법적 압박을 가했습니다.

유럽연합 사법재판소(CJEU)의 2020년 판결에 따라, 영국 수사권 재판소(IPT)는 Privacy International의 소송에서 영국 대량 통신 데이터 체제가 EU 법률과 양립할 수 없다고 선언했습니다. 이 판결은 수십 년간의 비밀 데이터 수집이 불법이었다는 것을 의미하며, 특히 1984년 통신법 94조(이후 IPA 2016으로 대체)가 EU 인권 기준에 부합하지 않는다고 지적했습니다. 이는 영국의 감시 관행에 대한 투명성 부족과 법적 문제를 드러냈습니다.

온라인 안전법(Online Safety Act 2023)이 왕실 재가를 받아 발효되었습니다. 이 법은 온라인 플랫폼에 불법 및 유해 콘텐츠 제거 의무를 부과하며, 특히 종단 간 암호화(end-to-end encryption) 서비스 제공업체에 아동 성 착취 및 테러 콘텐츠를 스캔하도록 요구할 수 있는 논란의 여지가 있는 조항을 포함합니다. 기술 기업들은 이러한 요구가 암호화를 약화시키고 사용자 프라이버시를 침해할 수 있다고 경고하며, 일부는 영국 시장 철수 가능성까지 시사했습니다.

수사권(개정)법 2024(Investigatory Powers (Amendment) Act 2024)가 왕실 재가를 받아 발효되었습니다. 이 법은 2016년 수사권법을 개정하여 정부의 감시 권한을 더욱 확대하고, 특히 기술 기업들에게 암호화 및 기타 보안 조치에 대한 변경 사항을 정부에 미리 통보하도록 요구할 수 있는 새로운 권한을 부여합니다. 또한, '개인정보 기대치가 낮거나 없는' 대량 개인 데이터 세트에 대한 접근을 용이하게 하여, 광범위한 데이터 수집에 대한 우려를 증폭시켰습니다.

데이터(사용 및 접근)법 2025(Data (Use and Access) Act 2025)의 주요 조항들이 발효되어 영국의 데이터 보호 체제에 상당한 변화를 가져왔습니다. 이 법은 EU GDPR과의 일부 차이를 두며, 쿠키 동의, 자동화된 의사 결정, 과학 연구 목적의 데이터 처리 등에서 새로운 유연성을 도입했습니다. 또한, 개인정보 침해에 대한 벌금 상한을 EU GDPR과 유사하게 상향 조정하여 규제 준수 부담을 높였습니다. 이는 브렉시트 이후 영국의 데이터 규제 방향을 명확히 보여주는 조치입니다.