| Maximillian Schrems vs. Data Protection Commission Ireland |

.

(사건 배경)

‣ 오스트리아인 Maximillian Schrems는 2008년 페이스북에 가입하였고, 페이스북에 제공한 전체 데이터 및 일부 데이터가 페이스북의 아일랜드 지부에서 미국에 위치한 서버에 전송됨

‣ Maximillian Scherems는 Edward Snowden이 밝힌 폭로전²⁾ 관점에서 미국의 법과 관행이 충분한 보호를 보장하지 못한다고 주장하며 아일랜드의 감독당국(Data Protection Commissioner)에 이의를 제기함

‣ 이에 대해 아일랜드 감독당국은 미국의 safe harbour 체계에 따라 미국은 전송받은 개인 정보에 대해 적정 수준의 보호를 보장한다는 이유로 동 주장을 기각함

‣ 아일랜드 고등법원(High court of Ireland)은 Commission의 결정이 개별 국가 감독당국으로 하여금 제3국이 적정 수준의 보호체계를 보장하고 있지 못한다는 주장에 대한 조사를 하지 못하게 하고, 정보의 전송을 중단시키지 못하도록 하는 효과를 갖는지의 여부를 ECJ에 확인하고자 함

(ECJ의 판단)

‣ ECJ는 Commission의 결정과 관계없이 감독당국은 완전한 독립성을 갖추고 제3국으로의 개인정보 전송이 관련지침에서 규정하고 있는 요건에 부합하는지의 여부를 조사할 수 있어야 한다고 판시함

‣ 한편, ECJ 만이 유럽연합 법의 타당성(유무효)을 판단할 수 있는 관할권을 갖고 있다고 지적하며 국가당국 및 국가당국에 제소한 개인이 동 결정에 의심이 발생할 경우 동 사건을 ECJ에 회부하기 위해 국가법원에 소를 제기할 수 있어야 한다고 언급함

‣ 따라서 동 위원회의 결정의 타당성 여부를 판단하는 주체는 ECJ이며 이에 따라 미국의 Safe Harbour 체계의 무효여부를 조사한 바, Safe Harbour체계는 미국의 사업체(기관)에만 적용되는 것이며 미국의 공공당국은 적용되지 않아 오히려 국민의 기본권에 대한 개입을 가능하게 한다고 함

‣ 또한 개인정보에 대한 접근 또는 해당 정보의 수정 및 삭제할 수 있는 법적 수단을 제공하지 않는 법안은 효과적인 사법적 보호에 관한 기본권의 보장을 저해하는 것이라고 함

‣ ECJ는 Safe Harbour 결정이 무효하다는 결론을 내렸으며 동 판결은 아일랜드 감독당국이 Schrems의 주장에 대해 성실히 조사해야 하며 조사결과 유럽연합 정보지침에 의거하여 정보보호가 적정수준으로 되지 않다는 근거를 바탕으로 페이스북의 유럽가입자의 정보를 미국으로 전송하는 행위를 중단해야할지 여부를 판단해야한다고 판결함