미국 정부, 프라이버시 쉴드와 GDPR 많이 의식한 듯
프라이버시 문제와 범인 수색의 문제 겹치지 않게 ‘명료한 표현 사용해야’

[보안뉴스 문가용] 마이크로소프트가 이제부터는 아일랜드에 있는 서버에 저장된 이메일을 미국 정부에 넘겨줄 필요가 없게 되었다. 정부가 저장 커뮤니케이션 법(Stored Communication Act, 이하 SCA)에 의거해 수색영장을 발부하면 서버가 어디에 있던 정보의 열람이 가능했었는데, 지난 14일 “SCA는 해외에 설치된 서버에까지 영향을 미치지는 못한다”고 판결이 난 것. MS의 수석 법무책임자인 브래드 스미스(Brad Smith)는 BBC를 통해 “이번 판결을 통해 다른 국가의 국민들이 주고받은 이메일을 SCA 하나로 가져갈 수 없게 되었다”고 설명하기도 했다.


이 판결은 국제관계에 있어서 매우 중요한 내용을 담고 있다. 특히 작년 말부터 민감해지기 시작한 미국과 유럽과의 관계에 있어서는 더욱 그렇다. 이 판례가 하나 생김으로써 앞으로 유럽 연합의 새로운 개인정보보호법인 GDPR을 마주하게 될 미국 기업의 골칫거리가 하나 줄었다고 볼 수 있고, 동시에 미국과 유럽 간 데이터 교환 조약인 프라이버시 쉴드(Privacy Shield)가 매우 강력해졌기 때문이다.

미국과 유럽은 세이프 하버(Safe Harbor) 조약 아래 수년 간 데이터 전송을 처리해왔는데, 작년 유럽연합의 사법재판소가 이를 무효화시키면서 두 대륙 간 정보 전송 문제는 복잡해졌다. 사법재판소가 이 같은 결정을 내린 것은 여러 가지 이유가 있지만 가장 큰 것은 미국 정부가 유럽 대륙 내에서 활동하고 있는 미국 기업을 통해 유럽 시민의 개인식별정보를 자동으로 가져갈 수 있다는 것 때문이었다.

이 판결이 있기 전 아무리 유럽연합이 GDPR로 개인정보보호를 강화한다고 해도 미국 정부가 유럽에 서버를 두고 있는 미국 기업에 정보를 요청하면 해당 기업은 정보를 넘길 수밖에 없었고, 게다가 GDPR에 적용된 벌금 및 여러 가지 불이익까지도 기업이 감당해야 했다. 기업들 입장에서는 이러지도 저러지도 못하는 상태였던 것. 그렇기 이번 판결은 미국 정부가 1) 미국 기업의 유럽 활동에 협조하겠다는 것과 2) 프라이버시 쉴드와 GDPR을 충실히 존중하겠다는 것을 동시에 드러낸 것이라고 볼 수 있다.

되짚어보는 사건의 발단
실크로드(Silk Road)라는 다크웹의 암시장이 있었다. 이를 폐쇄하기 위해 미국 정부는 관리자를 쫓았고, 한 아일랜드 남성이 용의자로 지목되었다. 그래서 아일랜드에 서버를 두고 있던 MS에게 그 남성의 이메일 정보를 요구했다. 물론 SCA에 의거한 수색영장을 가지고 있던 상태였다. 해당 메일에서 중요한 증거만 확보하면 용의자를 소환할 수 있었다.

그런데 MS가 이를 거부했다. 영장에 따르기를 거부한 것으로 이는 현재 미국과 유럽의 전문가들이 ‘철저히 기본 원칙에 입각한 결정’이라고 평하고 있다. 그때부터도 전문가들은 이미 ‘SCA가 국외 서버에까지 효력을 발휘할 수는 없다’고 해석하고 있었던 것. 다만 미국 정부는 ‘수색이라는 행위 자체는 미국 영토 내에서 이루어질 것이므로 효력이 발휘된다’고 다소 억지스러운 주장을 펼쳤다. 하급 법원에서는 미국 정부가 계속해서 이겼지만, MS는 굽히지 않았다. 패할 때마다 항소를 이어갔던 것.

그리고 그 첫 열매가 이번에 열렸다. 하지만 최종판결만큼 판정의 결과가 그리 순탄하지는 않았다고 전해진다. 판사들 전부 “SCA가 미국 내에서만 효력이 있는 법”이라는 데에는 동의했지만 몇몇은 “여전히 정부의 주장이 항소법원의 결정보다 더 존중받아야 한다”고 주장했다. 그중 한 명인 제라드 린치(Gerard Lyncy) 판사는 “이게 과연 프라이버시 문제인가?”라고 되물었다.

“이건 그저 법문의 ‘표현 문제’이자 ‘단언 선택 문제’라고 봅니다. 개인의 프라이버시와 범죄의 수사가 자꾸만 겹쳐서 법정문제로 다뤄지고 있는 건 애초에 법문의 표현이 애매하기 때문입니다. 이번 일을 통해 법규를 최신화시켜서 프라이버시도 지키고 범인도 잡을 수 있게 해주어야 할 것입니다.”

이번 판결로 미국 정부가 원하는 정부를 절대 얻을 수 없게 되었다고 볼 수는 없다. 미국 정부는 여전히 원하는 정보에 손을 댈 수 있을 것이라고 보는 게 맞다. 다만 그 과정이 조금 더 귀찮고 어려워졌을 뿐이다.
[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>