사실관계
헤센주는 2017년 팔란티어(Palantir)의 ‘Gotham’ 소프트웨어를 도입해 ‘hessenDATA’라는 이름으로 운영하기 시작했다. 이 분석 플랫폼은 그동안 서로 분리되어 있던 경찰 데이터베이스들을 연결한다. 근거 규정은 헤센주 치안질서법(HSOG) 제25a조 제1항이었다. 함부르크주도 경찰 데이터 처리법(HmbPolDVG) 제49조 제1항에 비슷한 권한을 두었다. 두 규정에 대해 각각 여러 청구인이 헌법소원을 제기했다. 청구인들은 경찰이 보유한 대량의 데이터를 자동으로 분석할 수 있도록 한 규정이 개인정보자기결정권을 침해한다고 주장했다.
쟁점
재판소는 경찰이 저장된 데이터를 자동화된 분석이나 자동화된 평가 방식으로 처리할 수 있도록 한 규정이 기본법에 합치하는지를 심사했다. 이를 위해 이미 보유한 데이터를 새로운 방식으로 다시 처리하는 것이 그 자체로 별도의 기본권 제한인지, 그렇다면 입법자가 어떤 요건과 보호장치를 정해야 하는지가 문제 되었다. 재판소는 또한 법률이 데이터의 종류와 양, 분석 방법을 제한하지 않아 자기학습 시스템이나 예측적 치안(predictive policing)까지 가능해지는 경우 제한의 강도를 어떻게 평가할지도 검토했다.
판단
제1재판부는 2023년 2월 16일 두 규정 모두 개인정보자기결정권을 침해한다고 판단했다. 자동화된 데이터 분석은 최초 수집과는 별개의 기본권 제한이다. 새로운 정보를 만들어 내고 개인, 집단, 주변 관계에 관한 포괄적인 프로필 구축을 가능하게 하기 때문이다. 두 규정은 데이터의 종류와 양, 분석 방법에 아무런 제한을 두지 않아 중대한 제한을 허용했다. 이러한 제한은 생명·신체·자유처럼 특히 중요한 법익에 대한 구체적으로 확인 가능한 위험이 있을 때에만 정당화될 수 있다. 함부르크 규정은 무효로 선언되었다. 헤센 규정은 특히 중대한 범죄를 가리키는 구체적 사실이 있어야 하는 등 엄격한 조건 아래 2023년 9월 30일까지 적용될 수 있었다.
의의
이 결정은 소프트웨어로 경찰 데이터를 연결하고 분석하는 행위를, 독자적인 헌법적 요건이 적용되는 별도의 기본권 제한으로 보았다. 재판소는 자기학습 시스템은 통제 가능성이 줄어드는 만큼 이를 보완하는 특별한 절차적 보호장치가 있을 때에만 경찰 업무에 쓸 수 있다고 덧붙였다. 따라서 치안 분야의 인공지능 기반 분석 도구를 규율하는 입법자는 어떤 데이터와 방법을 어떤 요건에서 쓸 수 있는지를 법률에 명확히 정해야 한다.