페이스북과 캠브리지 애널리티카 스캔들로 인해 개인정보 보호에 관한 충격적인 소식이 계속 이어지고 있습니다. 하지만 페이스북 관련 뉴스가 언론을 지배하는 동안, 미국 정부는 전 세계의 프라이버시를 심각하게 침해하는 법안을 조용히 통과시켰습니다.
CLOUD법(클라우드법)은 해외에 저장된 데이터에 대한 보호장치를 사실상 없애고, 정부 기관이 저장 위치에 구애받지 않고 데이터를 가져올 수 있도록 허용합니다. 또한 경찰이 페이스북, 구글 등 민간 기업이 보유한 데이터에 접근하는 방식 자체를 근본적으로 바꿉니다.
그렇다면 CLOUD법이란 정확히 무엇이며, 어떻게 우리의 프라이버시를 위협하고 있을까요?
CLOUD법이란?
CLOUD법은 반드시 통과되어야 했던 1조 3천억 달러 규모의 정부 지출법안 말미에 덧붙여지면서 별다른 주목 없이 통과되었습니다. 거대한 다른 법안에 묻혀 통과된 덕분에 CLOUD법은 진지한 논쟁을 거치지 못했고, 상당수 국민은 그 존재 자체를 모르며, 이 법이 데이터 프라이버시를 얼마나 급격히 바꾸는지 이해하지 못하고 있습니다.
CLOUD법(Clarifying Overseas Use of Data Act)은 미국 법 집행기관이 해외에 저장된 데이터에 접근할 수 있고, 그 반대도 가능하게 하는 일련의 법률입니다. 이는 1986년에 제정된 전자통신 프라이버시법(ECPA)의 개정판입니다. 정부와 많은 기술 기업들은 기존 법이 현대 디지털 통신 환경에 맞지 않다고 판단했는데, 실제로 1986년에는 인터넷의 전신인 ARPANET에 연결된 시스템이 2,000~30,000개 정도에 불과했습니다.
그렇다면 왜 이렇게 광범위한 입법 변화가 아무런 주목을 받지 못했을까요? 핵심 내용을 살펴보겠습니다.
1. 해외 데이터 보호 장치 제거
법 집행기관은 이제 데이터의 저장 위치와 상관없이 데이터를 요청할 수 있습니다. 호스팅 업체 역시 '데이터가 해외에 있다'는 이유로 제공을 거부할 수 없습니다.
"전자통신 서비스 또는 원격 컴퓨팅 서비스 제공자는 해당 통신, 기록 또는 기타 정보가 미국 내에 있는지 외부에 있는지와 관계없이 [...] 요청에 준수해야 한다."
CLOUD법 통과 전까지는 데이터 요청 시 상호 법률 지원 조약(MLAT)이 필요했습니다. MLAT는 두 국가 간 데이터 공유 방식, 요청 가능한 데이터 유형과 맥락 등을 정의하며, 의회에서 3분의 2의 승인을 받아야 했습니다.
CLOUD법은 이를 변경하여, 정부가 기존 MLAT 절차를 우회하는 '행정적(executive)' 협정을 다른 국가와 체결할 수 있게 했습니다. 그 결과 어떤 기관이든 위치에 관계없이 기술 기업에 사용자 데이터 제출을 요구할 수 있게 되었습니다.
대표적인 사례가 2013년 마이크로소프트 사건입니다. 미국 법무부(DOJ)는 불법 활동이 의심되는 고객의 데이터를 넘기라고 마이크로소프트에 영장을 발부했습니다. 그러나 그 고객은 아일랜드에 거주하는 아일랜드인이었고, 데이터는 아일랜드에 있는 서버에 저장되어 있었습니다. 마이크로소프트는 이 사건을 연방대법원까지 끌고 가, 고객이 미국 시민이 아니므로 법무부의 영장은 권한 남용이라고 주장했습니다.
CLOUD법은 이 모든 상황을 우회합니다. 이제 법무부가 데이터를 요청하면 마이크로소프트는 따라야 합니다. 실제로 법무부는 새 법의 도입을 이유로 대법원에 해당 사건의 심리를 중단('moot')해 달라고 요청했습니다.
2. 양방향으로 작동
미국 법 집행기관이 외국 데이터를 수집할 수 있게 된 것처럼, 외국 경찰 역시 같은 권한을 갖게 됩니다. 실제로 각종 정부 프로그램을 통한 대규모 데이터 수집을 고려하면 상황은 더욱 혼란스러워집니다.
ACLU의 입법 담당 변호사 니마 싱 길리아니(Neema Singh Guiliani)는 이 법이 "외국 정부가 처음으로 미국 영토 내에서 도청을 할 수 있게 하며, 도청법(Wiretap Act)의 요건을 준수하지 않아도 된다"고 확인했습니다. 감청 대상에는 페이스북, 구글, 스냅챗, 개인 이메일 서버, 메신저 대화 등 사실상 모든 통신 수단이 포함됩니다.
EFF의 기사를 바탕으로 한 작동 예시는 다음과 같습니다:
- 런던 경찰이 은행 사기 혐의가 있는 영국인의 슬랙(Slack) 비공개 메시지를 조사하고자 합니다.
- CLOUD법에 따라 런던 경찰은 슬랙에 해당 사용자의 메시지 기록을 요청할 수 있습니다.
- 슬랙은 사법 심사나 미국 법 집행기관에 대한 통보 없이, 소추사유(probable cause) 영장 없이도 요청에 응해야 합니다.
- 슬랙은 영국인 대상의 메시지 기록을 런던 경찰에 넘기고, 그 기록에는 미국 시민과의 비공개 메시지가 포함되어 있습니다.
- 런던 경찰은 슬랙 메시지 정보를 미국 법 집행기관과 공유하고, 해당 메시지는 미국 내 대상에게 불리하게 사용됩니다. 단 한 건의 영장도 없이 말입니다. 사실상 미국 수정헌법 제4조를 무력화하는 셈입니다.
데이터 수집 제한 조항
다만 CLOUD법에는 이런 데이터 수집을 막으려는 조항도 일부 포함되어 있습니다. 예를 들어 다음 행위는 금지됩니다:
- 외국 정부가 CLOUD법을 이용해 미국 시민의 데이터를 직접 표적으로 삼는 행위
- 행정 협정을 통해 특정 미국 시민을 표적으로 삼도록 요청하는 행위
- 외국인의 데이터를 명시적으로 표적으로 삼으면서 동시에 미국 시민의 데이터를 수집하는 행위
- 중대 범죄의 증거가 없는 한 "미국인의 데이터 확산"
그러나 이러한 조항이 있더라도 올바른 사용과 집행을 보장하기는 어렵습니다. CLOUD법의 후반부 수정으로 법무장관이 행정 협정의 사용을 정당화하는 보고서를 의회에 제출하도록 의무화되어, 하나의 안전장치가 추가되긴 했습니다.
3. 데이터 요청 처리 기간 단축
거의 모든 사람이 데이터 요청 대상이 될 수 있게 열어놓았지만, CLOUD법은 데이터 확보 과정을 확실히 빠르게 만듭니다. 기존 MLAT 요청 완료에는 몇 달이 걸릴 수 있으며, 때로는 처리가 끝날 때쯤 데이터가 낡거나 쓸모없어지곤 했습니다. 처리 시간이 단축되면 경찰이 범죄를 더 빨리 해결하거나 일부 범죄의 발생 자체를 막는 데 도움이 될 수 있습니다.
4. 매우 좁은 항소 절차
CLOUD법은 콘텐츠 및 서비스 제공업체에게 매우 좁은 항소 창구만을 제공합니다. 기술 기업이 데이터 요청에 대해 항소할 수 있는 조항은 단 두 가지뿐입니다.
- 해당 인물이 미국 시민이 아니고 미국에 거주하지 않으며, 그리고(and)
- 데이터 공개가 제공업체가 속한 국가의 법 위반 위험을 초래하는 경우
여기서 '그리고'가 매우 중요합니다. 항소는 이 두 기준을 모두 충족해야만 검토 대상이 됩니다.
두 번째 조건은 기술 기업들에게 큰 문제입니다. 데이터가 항상 미국 영토에 머무는 것은 아니며, 많은 경우 애초에 미국을 거치지도 않습니다. 이제 기술 기업들은 미국 정부와 데이터가 호스팅된 외국 정부 사이에 끼이게 됩니다. CLOUD법은 기업을 위태롭게 할 수 있는 요청을 차단할 수 있는 조항을 두고 있으며, 회사는 요청 접수 후 14일 이내에 항소해야 합니다.
그럼에도 요청이 곧바로 종결되는 것은 아닙니다. 기술 기업과 미국 정부는 복잡한 '상호 존중(comity)' 절차에 들어가며, 법원이 정부의 데이터 필요성과 기업에 강요된 방해 행위·법 위반 사이에서 균형을 판단하게 됩니다.
5. 암호화 및 시민권 보호 조항
CLOUD법은 광범위한 서비스로부터 데이터를 수집할 수 있게 합니다. 하지만 프라이버시 권리 측면의 작은 희망으로, 행정 협정은 어떤 정부에게도 데이터 복호화를 강제할 수 없습니다. 경우에 따라 복호화는 극도로 어려운 작업이며, 정부는 WhatsApp이나 Telegram처럼 암호화가 강한 데이터 소스에는 시간을 낭비하지 않을 가능성이 높습니다.
CLOUD법 문구 개정에 따라 미국 국무장관과 법무장관은 행정 협정을 체결하는 국가가 "프라이버시와 시민권에 대해 강력한 실질적·절차적 보호를 제공하는지" 확인해야 합니다. 이는 다음과 같은 미국 시민의 권리를 보호하려는 시도입니다:
- 임의적·불법적인 프라이버시 침해로부터의 보호
- 공정한 재판을 받을 권리
- 표현, 결사, 평화적 집회의 자유
- 임의적 체포 및 구금 금지
- 고문과 잔혹하거나 비인간적이거나 굴욕적인 처우·처벌 금지
그러나 회의론자들은 이런 조항이 시민권을 '보호'한다고 해도, 이미 미국을 포함한 여러 나라의 정부 기관이 그 규칙을 어긴 사례가 수없이 많다는 점을 지적합니다. 그렇다면 이 조항들이 국민을 더 많은 데이터 수집으로부터 보호할 것이라고 누가 보장할 수 있을까요? 답은 간단합니다. 법 집행기관과 정부가 옳은 일을 할 것이라고 믿는 수밖에 없습니다.
기술 기업들의 지지
CLOUD법은 주요 기술 기업들의 지지를 받고 있습니다. 이 법은 미국 정부와 외국 정부가 국내외 데이터에 접근하는 방식 사이에 명확한 선을 긋기 때문입니다.
애플, 마이크로소프트, 구글, 페이스북, Oath가 서명한 공동 서한에서는 CLOUD법이 "외교적 대화를 장려할 뿐만 아니라, 기술 산업에 소비자를 보호하고 법적 충돌이 발생할 경우 이를 해결할 수 있는 두 가지 명확한 법적 권리를 부여한다"고 밝혔습니다. 또한 "이 법은 법적 요청이 외국 주민과 관련될 때 해당 정부에 통지하는 메커니즘과, 필요할 때 직접 법적 대응을 개시하는 메커니즘을 제공합니다."
이 기업들은 오랫동안 법에 명문화된 명확성을 로비해왔습니다. 기존 법이 너무 낡았음을 고려하면, 과도한 프라이버시 논쟁에서 한 걸음 물러나 보면 소비자와 기술 기업 모두에게 나름 타당해 보이는 면이 있습니다.
CLOUD법이 당신의 프라이버시에 미치는 영향
그렇다면 CLOUD법이 당신의 프라이버시를 완전히 파괴할까요? 그것은 무엇을 읽느냐에 달려 있고, 더 근본적으로는 누구를 신뢰하느냐에 달려 있습니다.
ACLU, EFF, 언론자유재단(Freedom of the Press Foundation)은 CLOUD법에 공개적으로 반대하고 있습니다. 이들은 이 법이 영구적인 데이터 불안으로 가는 위험하고 사실상 되돌릴 수 없는 조치라고 주장합니다. 나아가 ACLU와 EFF는 이 법이 전 세계적인 영향력에도 불구하고 "의회에서 마땅한 주목조차 받지 못했다"고 지적합니다.
CLOUD법은 미국 데이터 프라이버시 역사상 큰 전환점입니다. 이 법은 나라가 또 다른 정부 셧다운을 겪지 않도록 반드시 통과해야 했던 지출법안에 실려 통과되었고, 국민은 알 권리조차 가지지 못했습니다.