Overcoming Language Barriers: Multilingual Analysis of the 2023 Swiss Privacy Law's Impact

기술 요약: 언어 장벽 극복: 2023년 스위스 개인정보 보호법의 영향에 대한 다국어 분석

문제 제기
실증적 연구는 EU(GDPR)와 미국(캘리포니아)의 개인정보 보호 규정이 실제 세계에 미치는 영향을 광범위하게 측정해 왔으나, 개인정보 보호법을 제정한 140개 이상의 다른 관할권에서의 이행에 관한 증거는 현저히 부족한 실정이다. 이러한 연구의 주요 장벽은 다국어 환경이 초래하는 측정상의 과제이며, 기존의 자동화된 분석 방법들은 영어에 편향되어 있거나 다른 언어에 대해 광범적인 재주석(re-annotation)을 요구하는 경우가 많다. 본 논문은 스위스의 2023년 연방 데이터 보호법(FADP) 개정을 평가함으로써 이 간극을 메우고자 한다. 이번 개정안은 스위스 법을 GDPR과 밀접하게 일치시키지만, 개인정보 처리방침에 정보 주체의 권리를 명시적으로 언급하도록 강제하지 않는다는 점에서 주목할 만한 차이점이 있다. 이러한 차별점은 스위스 웹사이트들이 국내 의무를 넘어 자발적으로 공시 범위를 확장했는지(잠재적인 '브뤼셀 효과')를 판단하고, 규제 변화가 다국어 환경에서 정책 콘텐츠에 어떤 영향을 미치는지 분석할 수 있는 독특한 기회를 제공한다.

방법론
번역에 의존하지 않고 언어 장벽을 극복하기 위해, 저자들은 다국어 문서 수준 추론을 위해 설계된 새로운 대규모 언어 모델(LLM) 기반 파이프라인을 개발하였다.

• 파이프라인 설계: 이 시스템은 OpenAI 모델(구체적으로 GPT-5)을 활용하여 독일어, 프랑스어, 이탈리아어 및 영어로 작성된 개인정보 처리방침을 동시에 처리한다. 문서를 번역하거나 각 언어별로 별도의 분류기를 사용하는 대신, 파이프라인은 정책당 단 한 번의 추론 요청을 수행한다. 모델에는 9개의 법적 관련 차원(예: 컨트롤러 신원, 처리 목적, 정보 주체의 권리)을 포함하는 구조화된 코드북(codebook)이 프롬프트로 제공되며, 정의된 스키마를 준수하는 JSON 객체를 반환하도록 요구된다. 이 접근 방식은 구조화된 출력을 강제함으로써 환각(hallucination) 현상을 방지하고 언어 간 일관성을 보장한다.
• 데이터 수집: 저자들은 2023년 8월(개정 전)과 2023년 10월(개정 후) 두 시점에 걸쳐 약 35,000개의 스위스 및 EU 대상 웹사이트로부터 개인정보 처리방침을 스크래핑하였다. 데이터셋은 대상 4개 언어로 된 유효한 정책만을 포함하도록 필터링되었다.
• 벤치마킹: 파이프라인을 검증하기 위해, 저자들은 120개의 정책(언어당 30개)으로 구성된 전문가 주석 벤치마크 데이터셋을 구축하였다. 주석 작업은 반복적으로 정교화된 코드북을 사용하여 법률 전문가와 개인정보 보호 엔지니어들에 의해 수행되었다. 파이프라인의 성능은 인간이 주석을 달은 그라운드 트루스(ground truth)와 비교하여 평가되었다.
• 통계 분석: 본 연구는 관찰된 두 시점의 웹사이트들로 구성된 균형 패널 데이터에 차이의 차이(difference-in-differences, DiD) 모델을 적용한다. 이를 통해 웹사이트의 인기와 언어를 통제하면서, EU 웹사이트라는 준-대조군(quasi-control group) 대비 스위스 대상 웹사이트(CH 및 CH & EU 그룹)의 공시율에 나타나는 시간적 변화를 분리해 낸다.
• 생성기 탐지: 본 연구는 자동화된 정책 생성기의 역할을 조사한다. 탐색적 LLM 쿼리를 통해 잠재적인 생성기 사용 여부를 식별하였으며, 이후 이를 정규 표현식(RegEx) 패턴으로 정교화하여 정책 텍스트 내에 생성 도구에 대한 명시적 언급을 탐지하는 보수적인 세트를 구축하였다.

주요 결과

• 파이프라인 성능: 다국어 파이프라인은 대부분의 언어 쌍과 법적 관련 공시 항목(예: 접근권, 정정권, 삭제권, 데이터 이식성)에 대해 0.90 이상의 F1 점수를 달성하였다. 모델은 번역 없이도 독일어, 프랑스어, 이탈리아어, 영어에서 높은 신뢰도를 보였으나, 벤치마크 내 양성 사례의 낮은 빈도로 인해 "자동화된 의사결정" 항목에서는 성능이 다소 차이를 보였다.
• 2023년 개정의 영향: 분석 결과, 법 개정 이후 스위스 대상 웹사이트에서 의무적 공시와 자발적 공시 모두 유의미한 증가가 나타났다. 구식적으로, 데이터 이식성이나 불만 제기 권리와 같은 정보 주체의 권리에 대한 공시율은 스위스 그룹에서 4~6%포인트 증가한 반면, EU 대조군은 안정적인 상태를 유지했다. 이는 스위스 웹사이트들이 개정된 FADP가 명시적으로 요구하지 않음에도 불구하고 GDPR 수준의 투명성 표준을 자발적으로 채택했음을 시사한다.
• 정책 생성기의 역할: 연구 결과, 2023년 10월 기준 스위스 대상 정책의 18.2%가 자동화 도구에 의해 생성된 것으로 나타났다. 이러한 생성기의 사용은 비생성 정책보다 공시율이 최대 15%포인트 더 높은 것과 상관관계가 있다. 저자들은 법적 비용을 피하기 위해 소규모 기업들이 주로 사용하는 이러한 도구들이 투명성 공시를 표준화하고 개선하는 효과적인 역할을 한다고 가설을 세웠다.

주요 기여

1. 실증적 증거: 본 논문은 2023년 스위스 개인정보 보호법 개정의 실질적인 효과에 대한 대규모 실증적 증거를 제공하며, 정책 내용의 측정 가능한 변화를 입증하고 비EU 국가에 EU 표준이 영향을 미치는 '브뤼셀 효과'를 시사한다.
2. 다국어 방법론: 저자들은 번역 없이 네 가지 언어의 개인정보 처리방침을 평가할 수 있는 새로운 LLM 기반 파이프라인을 개발, 검증 및 공개하였다. 이와 함께 전문가가 주석을 단 벤치마크 데이터셋을 공개함으로써 개인정보 보호 연구의 다국어 자원 부족 문제를 해결하였다.
3. 생성기 분석: 본 연구는 다국어 환경에서 자동화된 정책 생성기의 확산을 보고하며, 이들의 사용이 투명성 공시를 유의미하게 높인다는 증거를 제시함으로써 기존의 회의적인 시각에 도전한다.

의의 및 주장
본 논문은 기존의 자동화된 분석 도구들이 가진 '영어 중심 편향'을 극적으로 극복하여, 다국어 환경에서 개인정보 보호법 준수를 평가할 수 있는 견고한 프레임워크를 제공한다고 주장한다. 규제 변화가 엄격히 강제되지 않더라도 국제 표준(GDPR)과의 자발적 일치를 이끌어낼 수 있음을 보여줌으로써, 본 연구는 글로벌 개인정보 보호 준수의 역동적인 특성을 강조한다. 나아가, 본 연구의 결과는 자동화된 작성 기술이 법률 전문가를 접하기 어려운 조직들을 위해 투명성을 개선하는 건설적인 역할을 할 수 있음을 시사한다. 저자들은 결과가 브뤼셀 효과와 일치하지만 이것이 직접적인 인과적 증거는 아니라는 점을 명시하며 신중한 입장을 유지하였고, 본 연구가 정책의 법적 타당성이나 집행보다는 관찰된 공시 내용에 초점을 맞추고 있음을 밝히고 있다.