EU가 무비자 여행을 대가로 민감한 개인정보를 미국에 넘기려 함

• 미국은 무비자 프로그램 유지를 조건으로 각국의 생체정보 데이터베이스 접근권을 요구했고, EU 집행위원회는 이를 반영한 EBSP 기본협정 협상을 마무리하고 있음
• EBSP는 여행자 심사와 신원 확인을 위해 개인정보를 자동 교환하며, EU 회원국이 미국과 개별 양자 협정을 체결하거나 기존 협정을 수정하는 기반이 됨
• 유출된 초안은 생체정보와 주관적인 위험 평가 정보를 미국에 체계적으로 이전하면서도 정치적 견해에 따른 차별을 막을 장치를 두지 않음
• EDRi는 초안이 EU 이사회의 협상 권한을 크게 벗어나고, 국제 데이터 이전에 필요한 본질적으로 동등한 보호 수준에도 미달해 EU 법률과 충돌한다고 분석함
• 이에 따라 EU 집행위원회와 이사회가 미국의 요구를 거부하고, 데이터 악용과 사생활 침해를 막는 핵심 보호 장치를 유지해야 한다고 촉구함

---

EBSP가 바꾸는 개인정보 교환

• 미국 정부는 2022년 자국을 방문하는 시민의 비자 면제를 유지하려는 국가에 생체정보 데이터베이스 접근권을 요구하겠다고 발표함
• EBSP는 국경 당국이 여행자를 생체정보 데이터베이스와 대조하고 보안 위험을 평가할 수 있도록 개인정보를 자동 교환하는 제도임
• EU 집행위원회는 2022년부터 미국과 관련 논의를 시작했지만, EU 이사회의 공식 협상 권한은 2025년 12월에야 받음
• 기본협정은 미국과 회원국 사이의 정보 교환 방식과 개인정보 처리 원칙을 정함
  • 각 회원국은 이를 바탕으로 미국과 양자 EBSP 협정을 체결하거나 기존 제도를 조정하게 됨

유출된 초안의 차별·법률 문제

• 비공개로 진행되던 협상의 방향은 EDRi 회원 단체 Statewatch가 2026년 5월 기본협정 수정 초안을 공개하면서 드러남
• 초안은 유럽 국가 데이터베이스에 저장된 생체정보뿐 아니라 민감하고 주관적인 위험 평가 정보까지 미국 정부에 체계적으로 이전할 수 있게 함
• 정치적 견해에 따른 차별을 방지하는 조항도 없음
  • EDRi는 EBSP의 ‘공공 안전과 공공질서’ 기준에 따라 Trump 행정부에 대한 반대, 트랜스젠더 권리 지지, 소셜미디어에 표현한 Gaza 집단학살 반대 시위 등이 위험으로 취급될 수 있다고 우려함
  • 이러한 평가는 국경 구금 등 중대한 결과로 이어질 수 있음
• 미국은 이미 정치적 반대 의견을 단속하고 여행자의 소셜미디어 프로필을 불법적으로 심사하고 있음
• EDRi는 초안이 미국의 광범위한 정보 접근 요구를 거의 모두 반영하면서 두 가지 법적 문제를 낳는다고 분석함
  • 회원국이 부여한 협상 권한에서 크게 벗어남
  • EU 기본권 헌장을 비롯한 EU 1차·2차 법률과 상당 부분 충돌함
• 국제 데이터 이전에 필요한 본질적으로 동등한 보호 수준에도 미달해, 유럽연합 사법재판소가 EU 법률과 양립할 수 없다고 판단할 것으로 EDRi는 봄
• EDRi는 집행위원회와 이사회가 미국의 개인정보 이전 요구를 거부하고, 데이터 착취와 사생활 침해를 막는 EU 보호 규칙을 강화해야 한다고 촉구함

[GN⁺]

Hacker News 의견들

• 미국에 입국하려면 어차피 미국 정부에 사진과 지문 같은 생체정보를 제공해야 한다는 점이 글에서 빠졌음
  선택지는 생체정보가 온라인으로 전달되는 무비자 입국과, 번거로운 비자를 받은 뒤 공항에서 생체정보를 제공하는 방식임
  EU도 이제 방문객의 사진과 지문을 수집하며, 미국에서는 입국 때마다 지문을 채취하지만 EU에서는 입국과 출국 때마다 모두 거쳐야 함

  • 새 제도에서는 미국을 방문하지 않는 사람의 생체정보까지 미국이 접근할 수 있는지가 불분명함
  • 테러 방지에 필수라던 Real ID는 도입에 20년이 걸렸고, 그동안 중대한 테러도 없었음
    얻는 안전에 비해 이런 수준의 추적은 가치가 없으며, 이제 안전은 명분에 불과해 보임
  • 미국에서도 지문 채취는 입국할 때마다 거쳐야 함
  • LinkedIn이나 Persona 또는 다른 Palantir 계열 서비스를 통해 신원을 인증했다면, 미국은 이미 이 정보와 그보다 훨씬 많은 데이터를 보유했을 가능성이 큼
  • 어느 쪽이든 생체정보 스캔이 싫음
    미국인인 나도 스캔을 피하려 EU 방문을 꺼리며, EU 시민이 미국 방문을 꺼리는 것도 이해함
    미국에서는 생체정보로 신원 미상의 범죄자를 잘못 식별한 악명 높은 사건들이 있었는데 EU에서도 그런 일이 발생하는지 궁금함
    이미 늦었을지라도 이 제도를 없애려 노력해야 함

• 여행자에게는 좋은 변화라고 봄
  국경 보안에는 데이터와 정보를 활용해 대규모 중범죄 조직을 추적하면서 일반인의 여행은 편하게 만드는 쪽과, 여행 가방에 코카인 1kg을 숨긴 사람은 놓치면서 신고하지 않은 양말 한 켤레를 산 노인을 잡는 전통적 경찰 방식이 있음
  정보 중심 국경 보안을 지지하고 후자는 거부해야 함

  • Flock 같은 감시 국가 체계에도 같은 논리를 적용할 수 있음
    경찰이 직접 수사하는 것보다 편리하고 보안에도 좋지만, 강력한 체계가 흔히 그렇듯 해킹되거나 남용되는 순간 모든 것이 달라짐
  • 동의하고 싶지만 정부와 기업은 기술로 악행을 세탁하길 좋아함
    보안이 자동화되면 서버의 불리언 값 하나만 바꿔 집단 전체의 권리를 빠르고 손쉽게 박탈할 수 있음
    항소도 구제도 담당자도 없이, 알고리즘이 위험인물로 분류했다는 이유로 입국할 수 없다는 사실을 LLM을 통해 알게 될 수 있음
    정보 중심 보안이 선의로 개발될 때만 이 방식이 작동함
  • 정부의 데이터 수집에서 핵심은 무엇이 시민의 삶을 편하게 하느냐가 아니라, 누가 어떤 목적으로 수집하고 사용하는가임
    이상적인 상황에서는 잘 작동하겠지만 사람들이 정당하게 우려하는 것은 그런 상황이 아님
  • 세 번째 방식도 있음. 여행객 전원을 대상으로 하는 이스라엘식 생물·사회적 프로파일링이며, 여행을 정말 끔찍하게 만듦
  • 여기서 말하는 것은 정보가 아니라 데이터 기반 자동화로 인간을 의사결정 과정에서 빼는 방식임
    Google 수준으로 사람의 지원은 전혀 없고 “컴퓨터가 거부했다”로 끝나는 국경 통제를, 인간 경찰보다 낫다고 포장하고 있음
    경찰의 훈련 부족과 과잉 폭력이 악명 높은 미국에서는 통할지 몰라도 내게는 극도로 디스토피아적으로 들리며, 컴퓨터의 전권 통제를 정보라고 부를 수는 없음
    자동화와 사람의 개입은 함께 둘 수 있고, 사람이 자동화를 활용해 더 빠르게 처리하는 방식도 흔하므로 거짓 양자택일이기도 함

• 이 제도가 모든 생체정보에 대한 접근을 허용하는지, 아니면 미국 국경을 넘는 사람의 정보만 허용하는지 불분명함
  후자라면 구체적으로 어떤 데이터인지도 의문임. 대부분 지문이라면 국경에서 이미 수집하고 있고 여권 칩에서도 읽을 수 있지 않나 싶음

  • 미국은 어느 시민의 정보든 자유롭게 요청할 수 있을 듯함
    본국은 그 사람이 실제로 미국에 가는지 알 수 없고, 미국에 가는 경로가 직항편만 있는 것도 아님
  • 국경을 넘는 사람만 대상이고 정보는 주로 지문임
    핵심 목적은 위조 여권 탐지이며, EU 기관이 잠재적 테러리스트로 표시한 방문자 정보에 미국이 관심을 보이는 것도 당연함
  • 해당 신원으로 유럽 데이터베이스를 조회해 연결된 정보를 가져올 수 있다면 훨씬 큰 변화임
  • 미국에 입국하는 사람에 대해서만 요청한다고 하지만, 이제는 2012년이 아니므로 곧이곧대로 믿기 어려움

• 솔직히 ESTA와 비자의 차이를 이해하기 어려움
  둘 다 사전에 서류를 작성하고 비용과 다양한 개인정보를 제출해야 하며, 거절될 수도 있고 승인돼도 유효기간이 제한됨
  EU와 영국도 상응하는 제도를 도입했으므로 세 지역 간 무비자 여행은 허구에 가깝고, 절차가 번거로워질수록 관광객은 줄어듦

  • 사실상 같지만 국가들이 다르다고 가장함
    인도네시아와 인도에서 전자비자를 받을 때 사진과 기본 정보를 올리고 수수료를 냈으며, 각각 30초 만에 자동으로 승인된 듯함
    ESTA는 비자보다 문턱이 낮아야 하지만 승인 시간이 더 길고 거절되는 사람도 적지 않다고 들었음
    무비자 국가인 줄 알고 항공편까지 예약했다가 출발 직전에야 임의의 문자로 된 이름의 “무비자 절차”가 있고, 신청에 2시간과 영업일 기준 24~72시간이 걸린다는 사실을 알게 되기 쉬움
    차라리 비자라고 명확히 부르는 편이 투명함
  • 상호 비자를 요구하지 않기로 한 양자 협정을 우회하기 위한 장치임
    비자식 심사를 하면서도 명칭만 비자가 아니므로 협정을 기술적으로 위반하지 않게 됨
  • 실제로 DS-160을 작성하고 나머지 절차까지 밟아 보면 차이가 아주 분명해짐
  • ESTA에서는 출신국을 신뢰하므로 미국 입국항에서 개인이 상대적으로 낮은 수준의 심사를 받음
    비자는 출신국을 신뢰하지 않으므로 미국 대사관 면접과 승인을 거쳐야 미국으로 이동할 권리를 얻음
    어느 쪽도 미국 입국 권리를 보장하지 않고 항공편이나 선박으로 입국항까지 이동할 권리만 주며, 실제 입국 허용은 CBP가 별도로 결정함
    이는 미국 기준이며 다른 나라는 각자의 규칙을 적용함
  • 도착해서 A5 용지 한 장 정도만 작성하면 되는 다른 나라들과는 거리가 멂

• 여권이 미국의 입국 시설, 공항 체크인 검색대, 영사관 등에 물리적으로 제시되고 지문이나 사진을 실제로 대조하기 전에는 미국이 생체정보를 요청할 수 없어야 함
  그전에는 {여권번호, 이름, 생년월일, 출생지, 발급일, 만료일} 조합이 유효한지만 조회할 수 있어야 함
  현 미국 행정부와 향후 행정부도 트랜스젠더와 인터섹스에 적대적일 가능성이 높고, 성별 표기를 변경한 미국 시민까지 박해하고 있음
  민족에 따른 차별도 Overton window가 한 번만 더 이동하면 현실화될 수 있음

• 민감한 데이터라는 표현은 과장되고 히스테리적으로 들림
  국경을 넘는 사람에 한해 여권 정보, 지문, 범죄 기록, 유럽 기관의 테러 위험 표식을 공유하는 것뿐이며, 이를 전혀 공유하지 말아야 할 이유를 찾기 어려움

  • 갈수록 불안정하게 행동하는 정부에 집 주소와 신원을 확실히 식별할 수 있는 모든 정보를 넘기는 데 동의할 수 없음
    테러 위험 표식이 있는 사람의 정보는 국경을 넘어 공유해도 좋지만 모두의 정보는 안 됨
    데이터셋은 일단 만들어지면 누가 집권하든 결코 사라지지 않음

• 어차피 아무도 미국에 여행 가고 싶어 하지 않는다는데, EU 지도자들은 사실상 대가 없이 양보하는 듯함
  미국은 입국을 쉽게 만드는 방안을 논의하기 전에 먼저 방문하고 싶은 나라가 되어야 함

• EU도 외국인 입국자에게 정확히 같은 일을 함

  • 미국인의 지문도 EU에 공유해야 동일한 조건이 됨

• 내 생체정보 제공에 동의하지 않으며, 무슨 권한으로 이런 일이 진행되는지 모르겠음
  누군가는 곧 일자리를 잃게 될 듯함

• 영국인으로서 새 출입국 시스템 도입 후 미국과 Schengen 지역을 모두 방문했는데, 미국과 EU는 내 지문을 포함한 생체정보를 가져갔지만 정작 영국 정부는 가져가지 않았다는 점이 재미있음

  • 8년 전에 발급받은 내 영국 여권에도 생체정보가 들어 있음