ETIAS, 2026년 말 시행을 앞두고 불확실한 길에 직면

유럽여행정보인증제도(ETIAS)는 2026년 말에 가동될 예정이지만, 이 사업은 시민사회 단체와 유럽연합(EU) 자체 기관들로부터 점점 더 큰 감시를 받고 있다. EU의 국경 기관인 Frontex조차 이 제도가 데이터 보호법을 준수하는지에 대한 우려를 제기했다. 유럽위원회가 약속한 법적 지침을 공표하지 못한 점, 그리고 EU 사법재판소(CJEU)의 판결이 계류 중인 점과 맞물려 시행을 둘러싼 의구심이 커지고 있다.

Photo by Hussan Amir on Unsplash

ETIAS가 하려는 일

ETIAS는 국경 통제를 디지털화하려는 EU 노력의 핵심 축이다. 2013년에 처음 제안된 '스마트 국경' 패키지의 일부이며, 이 패키지에는 2026년 4월 10일에 도입을 완료한 출입국시스템(EES)도 포함된다. 2018년 법으로 채택된 여행 인증은 무비자 국가 여행객을 심사하고 '안보, 이주 또는 보건'상의 위험을 제기한다고 판단되는 사람을 식별하도록 설계되었다.

이러한 표시는 두 가지 방식으로 생성된다. 신청자를 유럽 감시 목록과 대조하는 방식과, 각 신청서의 정보를 일련의 '위험 지표'와 비교하는 자동 프로파일링 시스템을 통한 방식이다. 모든 '일치'는 여행 인증이 승인 또는 거부되기 전에 회원국의 ETIAS 국가 단위에서 수작업으로 검토해야 한다.

유럽 국경·해안 경비 기관인 Frontex는 ETIAS 중앙 단위를 운영하고 신청자를 프로파일링하는 데 사용되는 구체적인 위험 지표를 정의하는 핵심 역할을 맡았다. 인증이 실제로 어떻게 작동하는지 더 알아보려면 당사의 ETIAS 개요를 참고하기 바란다.

프로파일링과 차별의 위험

규정은 위험 지표가 표적화되고 비례적이어야 하며 결코 개인적 특성에 근거해서는 안 된다고 명시한다. Frontex에 심사 규칙에 관해 자문하기 위해 기본권 지침 위원회가 설치되었다. 차별 위험에 관한 지침 노트에서 위원회는 '국적'과 '거주 국가 및 도시'와 같은 금지 지표를 열거한다. 이들이 개인의 피부색, 인종 또는 민족적 출신을 대신하는 대리 지표로 작용할 수 있기 때문이다.

위원회는 주민의 약 80%가 아프리카계 미국인인 미시간주 디트로이트 출신의 인물을 예로 들어 위험성을 설명했다. 그러한 여행객은 자신의 인종이 실제로 시스템에 알려져 있는지와 무관하게 인종적 편향이 심화되는 상황에 직면할 수 있다.

Frontex가 경종을 울리다

2026년 3월 31일, Frontex는 ETIAS 준비 상태에 관한 보고서를 유럽의회와 이사회에 제출했으며, 이는 2025년 4월부터 9월까지의 기간을 다룬다. 보고서는 ETIAS 데이터 보호 영향 평가를 데이터 보호 지침 및 개인정보 고지와 함께 완료하지 못할 경우의 가능성과 영향이 이전 보고 기간에 비해 커졌다고 경고했다.

보고서는 '상당수의 데이터 보호 사안에 관한 법적 불확실성의 지속'을 이유로 위원회를 콕 집어 지적했다. 이는 2024년에 예정되어 있던 법적 지침을 위원회가 발표하지 못한 결과다. Statewatch가 위원회에 그 이후 해당 지침을 제공했는지, 또는 지연 이유가 무엇인지 물었을 때 위원회는 답하지 않았다.

Photo by Aleksandar Pasaric on Pexels

인공지능 문제

수년간 학계 전문가들과 Statewatch는 ETIAS가 데이터 보호 권리와 충돌하는 것으로 보인다고 경고해 왔다. 이러한 경고는 유럽 정보 시스템의 기술 인프라를 담당하는 기관인 EU-LISA가 ETIAS 내에서 인공지능 사용이 허용될 것이라고 확인하면서 한층 날카로워졌다.

AI가 정확히 어떻게 사용될지는 여전히 불분명하다. 학자 니오비 바불라는 '모든 선택지가 열려 있다'고 경고했다. 우려를 더하는 것은, EU의 AI 법이 2027년 8월 2일 이전에 이미 운영 중인 정보 시스템을 적어도 2030년 12월 31일까지 모니터링 및 감독 규칙에서 면제한다는 점이다. EU-LISA 보고서에 따르면, 개인을 위험으로 분류하는 결정은 원칙적으로 AI 도구만으로 전적으로 처리될 수 있다. 이는 투명성 부족이 개인의 실효적 구제를 받을 권리를 훼손할 수 있다는 이유로 '위험 기준' 정의에 AI 사용을 금지한 CJEU의 PNR 판결(C-817/19, 2022)을 비롯한 기존 판례와 충돌할 가능성이 높다.

추가 지연을 의미할 수 있는 법적 이의 제기

새로운 법적 이의 제기가 일정을 더욱 뒤로 미룰 수 있다. 벨기에 NGO인 La Ligue des Droits Humains는 ETIAS 규정이 벨기에에서 어떻게 시행되었는지를 다투고 있으며, CJEU는 규정이 데이터 보호법의 핵심 원칙을 준수하는지에 대한 판단을 요청받았다.

이 사건은 안보 위협에 대한 벨기에의 광범위한 정의를 겨냥한다. 그 정의는 공공질서, 국내 안보, 나아가 회원국의 국제 관계에까지 확장된다. CJEU에 제기된 선결 문제는 이러한 접근이 목적 제한 원칙을 위반하는지 여부다. 이 원칙은 개인 데이터가 특정되고 명시적이며 정당한 목적을 위해서만 처리되도록 요구한다.

이 사건을 맡은 변호사 캐서린 포르제는 The Parliament Magazine에 '공공 안보에 대한 「위험」이라는 이 개념은 매우 잘못 정의되어 있다'고 말했으며, 그것은 '중대 범죄와의 싸움뿐만 아니라 더 넓은 의미의 이주를 대상으로 하는 범죄이주(크리미그레이션)에 관한 것'이라고 밝혔다.

여행객에게 주는 의미

현재로서 ETIAS는 공식적으로 여전히 2026년 말 시행이 예상되며, 무비자 여행객은 계속 이에 대비해야 한다. 그러나 해결되지 않은 데이터 보호 문제, AI의 역할, 진행 중인 소송이 겹치면서 일정이 결코 보장되지 않는다는 것을 의미한다. 솅겐 지역 여행을 계획하는 여행객은 당사의 ETIAS 개요 페이지에서 최신 요건을 확인할 수 있다.