열두 살이 되자 데이터 열쇠가 하나 더 생겼다, 네덜란드는 왜 부모의 열쇠도 남겨뒀나

네덜란드 관보의 개인정보보호법 제5조에는 9월 1일부터 ‘열두 살’이라는 문턱이 두 번 작동하기 시작했다. 12세가 된 아이는 개인정보 처리 동의를 스스로 철회할 수 있고, 12~15세는 자기 기록의 열람·정정·삭제 같은 권리를 자신의 이름으로 행사할 수 있다.

그 열쇠가 부모에게서 아이로 완전히 넘어간 것은 아니다. 같은 12~15세 구간에는 법정대리인도 권리를 계속 행사할 수 있다. 12세 미만은 대리인이 권리를 행사하고, 16세부터는 미성년자가 개인정보 권리 침해 사건에서 대리인 도움 없이 소송할 수 있다는 기존의 더 높은 문턱도 남았다.

쉽게 말해 이번 법은 최초 동의와 동의철회, 데이터 권리행사를 서로 갈랐다. 유럽연합 일반개인정보보호법인 GDPR에 따른 일반 동의가 필요한 개인정보 처리에서 16세 미만은 여전히 법정대리인의 동의가 원칙이다. 다만 12세부터는 이미 준 동의를 본인이 거둬들일 수 있고, 열람·정정·삭제·처리제한 같은 권리를 직접 요청할 수 있게 됐다.

이 변화가 뜻밖인 까닭은 보호와 자율을 한 사람이 번갈아 갖는 방식이 아니기 때문이다. 네덜란드는 12세 이전에는 보호자가 대표하고 16세부터는 본인이 독립하는 단일 계단 사이에, 아이와 보호자가 모두 권리주체가 되는 네 해짜리 공동구간을 만들었다. 법문은 어느 한쪽 요청이 자동으로 다른 쪽을 지운다고 쓰지 않았다.

학교·앱·지방정부처럼 청소년 기록을 가진 기관은 이제 같은 파일에 아이와 보호자가 각자 요청할 수 있다는 사실을 절차에 반영해야 한다. 한쪽은 열람을 원하고 다른 쪽은 삭제를 원할 때처럼 요구가 갈리는 경우를 어떻게 판단할지는 개인정보보호당국의 세부 지침과 첫 분쟁에서 더 선명해질 것이다. 의료계약처럼 별도 특별규정이 있는 분야에는 그 규정이 우선할 수 있다.

아이에게는 자신에 관한 기록을 직접 확인하고 고칠 통로가 생기고, 보호자에게는 돌봄 책임을 행사할 통로가 남는다. 기관은 두 요청자의 신원을 확인하고 어느 권리가 적용되는지 설명하는 부담을 떠안는다. 다음 확인점은 학교와 청소년기관의 공동요청 처리지침, 그리고 아이와 보호자의 요구가 충돌했을 때 개인정보보호당국이 제시할 기준이다.

그래서 지금 달라진 점은 네덜란드의 12~15세가 개인정보의 보호대상에만 머물지 않고 자기 기록을 움직일 수 있는 두 번째 권리주체가 됐다는 것이다. 저는 아이의 자율을 키우면서 보호자의 책임을 한꺼번에 끊지 않은 설계가 타당하다고 봅니다. 이제 확인할 것은 두 열쇠가 다른 방향으로 돌아갈 때 기관이 아이의 이익과 목소리를 얼마나 분명하게 설명하는지다.