프랑스 헌법재판소, 15세 미만 소셜미디어 금지법 위헌 판결... 표현의 자유 우선

핵심 요약

- 프랑스 헌법재판소가 2026년 8월 15세 미만 청소년의 소셜미디어 이용을 전면 금지하는 법안에 대해 위헌 결정 - 재판소는 "청소년 보호라는 입법 목적은 정당하나, 표현의 자유와 정보접근권을 과도하게 제한한다"고 판시 - 유럽 각국이 추진 중인 청소년 온라인 보호 규제에 중대한 법리적 기준 제시

주요 내용

프랑스 헌법재판소(Conseil constitutionnel)는 2026년 8월 15세 미만 청소년의 소셜미디어 플랫폼 이용을 전면 금지하는 법안에 대해 위헌 결정을 내렸다. 이 법안은 2025년 말 프랑스 의회를 통과하여 2026년 9월 시행을 앞두고 있었으나, 시민단체와 디지털권리옹호그룹의 위헌소송으로 제동이 걸렸다.

헌법재판소는 결정문에서 "청소년을 온라인 유해환경으로부터 보호하고 개인정보를 안전하게 관리한다는 입법 목적은 정당하다"고 인정하면서도, "연령만을 기준으로 한 전면적 접근 금지는 헌법이 보장하는 표현의 자유, 정보접근권, 통신의 자유를 과도하게 침해한다"고 판단했다. 특히 재판소는 "15세 미만이라도 성숙도와 필요에 따라 교육·문화·사회적 목적으로 소셜미디어를 활용할 권리가 있으며, 이를 일률적으로 차단하는 것은 비례성 원칙에 위배된다"고 명시했다.

이번 결정은 호주(2025년 16세 미만 금지법 시행), 노르웨이(2026년 15세 미만 규제 추진) 등 유럽과 오세아니아 국가들이 도입하고 있는 청소년 소셜미디어 규제 법안에 중요한 선례가 될 전망이다. 프랑스 정부는 전면 금지 대신 부모 동의 강화, 연령 확인 절차 개선, 플랫폼의 청소년 보호 의무 강화 등 대안적 규제 방안을 재검토하고 있다.

법률 전문가들은 이번 판결이 개인정보보호와 기본권 보장 사이의 균형점을 제시한 중요한 사례로 평가하고 있다. EU의 GDPR과 디지털서비스법(DSA)이 아동 개인정보 특별 보호를 규정하고 있지만, 접근권 자체를 원천 차단하는 방식은 과잉금지 원칙에 저촉될 수 있다는 법리가 확인된 것이다.

전문가 시각

정보보호 심사원 관점에서 볼 때, 이번 프랑스 헌법재판소의 결정은 한국 기업들에게 중요한 시사점을 제공한다. 국내 「개인정보 보호법」 제22조의2(아동의 개인정보 보호)는 만 14세 미만 아동의 개인정보 처리 시 법정대리인 동의를 의무화하고 있으나, 서비스 이용 자체를 금지하지는 않는다. 프랑스 사례는 '보호'와 '금지'의 경계선이 명확히 구분되어야 함을 보여주며, 과도한 제한은 오히려 위법성 논란을 초래할 수 있음을 경고한다.

국내 소셜미디어 및 플랫폼 사업자들은 연령 확인 시스템 고도화, 부모 동의 절차의 실효성 확보, 청소년 대상 개인정보 최소 수집 원칙 준수 등 '접근 제한'이 아닌 '안전한 이용 환경 조성'에 집중해야 한다. 특히 ISMS-P 인증 심사 시 아동·청소년 개인정보 처리 프로세스는 중점 점검 영역으로, 법정대리인 동의 획득 절차, 연령 확인 방법의 적정성, 아동 대상 마케팅 제한 등이 면밀히 검토된다.

ISMS-P 심사원 체크포인트

1. 개인정보 보호법 제22조의2(아동의 개인정보 보호) 준수 여부
- 만 14세 미만 아동의 개인정보 수집 시 법정대리인의 동의 획득 절차가 적법하게 구현되어 있는지 확인
- 연령 확인 방법(본인인증, CI 연계 등)의 신뢰성과 법정대리인 동의 검증 프로세스의 실효성 점검
- ISMS-P 인증기준 2.9.1(개인정보 수집 시 동의사항) 및 2.9.2(개인정보 수집 제한)과 직접 연계

2. 아동·청소년 대상 서비스의 개인정보 최소 수집 원칙 (Privacy by Design)
- 청소년 이용자에 대한 위치정보, 행태정보, 민감정보 수집을 최소화하고 있는지 심사
- 프로파일링, 맞춤형 광고 등 아동에게 부적절한 개인정보 활용이 제한되어 있는지 확인
- ISMS-P 인증기준 2.9.4(개인정보의 파기) 및 2.10.1(개인정보 처리단계별 기술적·관리적 보호조치)와 연계하여 아동정보의 생명주기 관리 점검

3. 표현의 자유와 개인정보 자기결정권의 균형 (과잉금지 원칙)
- 청소년 보호를 명분으로 한 과도한 접근 제한이나 개인정보 수집이 비례성 원칙에 부합하는지 검토
- 개인정보 처리방침에 청소년 보호 조치의 목적, 범위, 방법이 명확히 공개되어 투명성 원칙을 준수하는지 확인
- 개인정보 보호법 제3조(개인정보 보호 원칙) 및 헌법상 과잉금지 원칙과의 조화 점검

CPPG·ISMS-P 연계 포인트

1. 아동 개인정보 특별 보호 의무 (Enhanced Protection for Children)
개인정보 보호법 제22조의2는 만 14세 미만 아동의 개인정보 처리 시 법정대리인 동의를 필수로 규정하며, 이는 EU GDPR 제8조(16세 미만)보다 엄격한 기준이다. CPPG 시험에서는 연령 확인 방법의 적법성, 법정대리인 동의 획득 절차, 아동정보의 안전한 처리·파기 방안이 출제되며, 실무에서는 본인인증 연계, 보호자 휴대폰 인증 등 기술적 구현 방법이 중요하다.

2. 과잉금지 원칙과 비례성 심사 (Proportionality Principle)
개인정보 보호는 정당한 목적이지만, 수단은 필요 최소한이어야 하며 침해되는 사익과 보호되는 공익 간 균형이 유지되어야 한다. 프랑스 위헌 결정은 이 원칙을 명확히 보여주는 사례로, ISMS-P 심사 시 개인정보 수집 항목의 필요성, 보유기간의 적정성, 접근 제한의 합리성 등이 비례성 원칙에 따라 평가된다. 기업은 청소년 보호 조치가 과도한 권리 제한으로 이어지지 않도록 정기적으로 점검해야 한다.