[논문 리뷰] Covid-19 and contact tracing apps: A review under the European legal framework

Teresa Scantamburlo, Àtia Cortés외 5명|arXiv (Cornell University)|2020. 04. 30.

COVID-19 Digital Contact Tracing참고 문헌 1인용 수 6

한 줄 요약

이 논문은 코로나19 패an드믹 기간 동안 유럽 법적 프레임워크 하에서 개발된 블루투스 기반의 접촉 추적 앱을 검토하며, DP-3T 및 PEPP-PT와 같은 개인정보 보호 설계를 강조한다. 기술적 조치인 데이터 최소화 및 탈중앙화가 GDPR 준수를 지원할 수는 있지만, 장기적인 성공은 기술 자체보다는 투명성과 포괄적 거버넌스를 통한 공공 신뢰 구축에 달려 있다고 주장한다.

ABSTRACT

In this article, we would like to review the main technologies that have been proposed so far to fight the spread of the virus. Also, we would like to give an overview of the policy recommendations that some European organisations have put forward in these regards. Finally, we conclude with some considerations we would like to present to public attention and discussion.

연구 동기 및 목표

• 코로나19 패an드믹 기간 동안 유럽에서 배포된 접촉 추적 앱의 기술적 및 법적 프레임워크를 분석하기 위해.
• 제안된 접촉 추적 기술이 데이터 최소화 및 개인정보 보호 설계 원칙을 포함한 GDPR 원칙과 얼마나 부합하는지 평가하기 위해.
• 디지털 접촉 추적 도구의 도입 및 효과성에 영향을 미치는 공공 신뢰와 제도적 정당성의 역할을 평가하기 위해.
• 유럽 데이터 보호위원회(EDPB) 및 유럽위원회가 내린 정책 권고 사항을 검토하기 위해.
• 기술적 보호 조치 외에도 투명하고 포용적이며 책임감 있는 거버넌스를 포함한 인간 중심의 접근 방식을 촉진하기 위해.

제안 방법

• 블루투스 저전력(BLE), GPS, 자가 보고 설문조사 등을 포함한 접촉 추적 기술에 대한 체계적 검토.
• 탈중앙화된 개인정보 보호 설계 기반 접촉 추적(DP-3T) 및 유럽 전역 개인정보 보호 설계 기반 접촉 추적(PEPP-PT)과 같은 프로토콜 분석.
• 데이터 최소화, 목적 제한, 위기 후 체계 철수 등 원칙을 통한 GDPR 준수 평가.
• 특히 위치 데이터 및 접촉 추적에 관한 지침 04/2020를 포함한 유럽위원회 및 EDPB가 발표한 정책 문서 및 지침 검토.
• 사례 연구 및 공공 여론 데이터를 통한 디지털 격차 및 감시 과잉과 같은 윤리적·사회적 위험 평가.
• 법학, 컴퓨터 과학, 사회과학 분야의 다학제적 관점을 통합하여 디지털 접촉 추적의 광범위한 영향을 평가하기 위해.

실험 결과

연구 질문

• RQ1 DP-3T 및 PEPP-PT와 같은 블루투스 기반 접촉 추적 앱은 데이터 최소화 및 개인정보 보호 설계와 같은 GDPR 원칙을 어떻게 준수하는가?
• RQ2 중앙집중형 및 탈중앙집중형 아키텍처 간의 주요 차이점은 무엇이며, 사용자 개인정보 보호 및 시스템 보안에 어떤 영향을 미치는가?
• RQ3 유럽위원회 및 EDPB가 내린 정책 지침은 EU 회원국 간 유기적이고 상호운용 가능하며 개인정보 보호를 존중하는 접촉 추적 접근 방식을 얼마나 지원하는가?
• RQ4 공공 신뢰는 접촉 추적 앱의 도입 및 효과성에 어떤 역할을 하는가? 그리고 기술적 보호 조치 외에 어떻게 이를 구축할 수 있는가?
• RQ5 공중보건 긴급 상황 기간 동안 접촉 추적 기술을 도입할 경우 장기적인 사회적 위험 요소는 무엇이며, 거버넌스 및 법적 프레임워크를 통해 이를 어떻게 완화할 수 있는가?

주요 결과

• 특히 DP-3T와 같은 탈중앙화 아키텍처를 사용하는 블루투스 기반 접촉 추적 앱은 GPS 또는 중앙집중형 시스템보다 더 개인정보 보호에 유리한 대안을 제공하며, 데이터 재식별 위험을 최소화한다.
• 유럽 데이터 보호위원회(EDPB) 및 유럽위원회는 블루투스 기반 솔루션을 선호하였는데, 이는 정밀한 접근성 감지와 불필요한 이동 데이터 수집을 줄일 수 있기 때문이다.
• 기술적 보호 조치가 있음에도 불구하고, 개인정보 보호 설계만으로는 부족하며, 지속적인 공공 신뢰를 확보하기 위해서는 투명한 커뮤니케이션, 포괄적 대화, 책임감 있는 데이터 거버넌스가 필요하다.
• 플랑드르 지역의 설문 조사에서 응답자의 50%가 자발적으로 접촉 추적 앱을 설치할 의향이 있음을 확인하여, 신뢰가 확보된다면 공공 수용 가능성이 있음을 시사한다.
• EDPB는 기본 권리와 효과적인 패an드믹 대응가 서로 배타적이지 않으며, 데이터 보호 원칙이 공중보건 개입을 저해하지 않고 오히려 강화할 수 있다고 강조하였다.
• 통합된 유럽 프레임워크가 부재할 경우 GDPR 보호 조치가 약화될 위험이 있으며, 일관된 데이터 거버넌스를 보장하기 위해 상호운용 가능하고 연합 차원의 표준이 필요하다고 강조한다.