개인정보 보호에 관심을 가지는 것만으로 NSA 감시 목록에 오를 수 있다는 최근 기사가 미국 정부에 대한 분노를 불러일으켰지만, 지난주 영국은 대규모 감시와 개인정보 침해가 결코 미국만의 전유물이 아님을 입증했습니다. '데이터 보유 및 조사 권한 법안(Data Retention and Investigation Powers, DRIP)'은 언론의 큰 주목을 받았지만, 워낙 빠르게 의회를 통과했기 때문에 놓치셨을 수도 있습니다. 지금부터 반드시 알아야 할 핵심 내용을 정리해 드립니다.
DRIP란 무엇인가?
최근 유럽 사법재판소(ECJ)는 이메일·전화 사업자가 향후 정부 조사에 대비해 사용자의 위치, 이동 경로, 사회적 접촉 정보 등 데이터를 최대 2년간 보관할 수 있도록 허용했던 EU 지침을 기각했습니다. 해당 지침에 따르면 정부는 영장을 발부해 보관된 데이터를 열람할 수 있었습니다.
이 지침이 무효화되자 영국 의회는 기존의 규제와 권한을 되살리기 위해 DRIP 법안을 입법 절차로 신속히 통과시켰습니다. DRIP는 통신사업자에게 사용자 메타데이터를 12개월간 보관하도록 의무화합니다.
문제는 여기서 끝나지 않습니다. 이 보관 의무는 영국 시민에게 서비스를 제공하는 모든 조직으로 확대됩니다. 즉, 영국법상 미국이나 일본의 이메일 업체도 영국 시민의 메타데이터 관련 영장을 받을 수 있습니다. 이메일은 원래부터 보안에 취약한데, 국제 기업들이 협조하기로 하면 상황은 한층 더 나빠질 수 있습니다.
DRIP는 이미 논란이 많았던 '감찰권법(Regulation of Investigatory Powers Act, RIPA)'에도 일부 수정을 가합니다. 메타데이터 보관 의무를 국제 기업까지 확대하는 것 외에도, '통신사업자'의 정의에 '인터넷 기반 서비스를 제공하는 회사'를 포함하도록 변경했습니다. 일부 전문가들은 이로 인해 영국 시민의 이메일, 페이스북, iCloud, 문자 메시지까지 모두 정부의 감시 대상이 될 수 있다고 지적합니다.
또한 이 법은 원격 데이터 저장소까지 포괄할 가능성이 있습니다. 미국 기반 Dropbox처럼 해외 서버에 데이터를 저장하고 있다면, 정부는 해당 서버 소유자에게 영장을 발부할 수 있습니다.
언론에서 가장 큰 화두가 된 쟁점은 이번 입법이 영국 정부의 통신 검열·감청 권한을 확장하는가 하는 것입니다. 데이비드 캐머런 총리는 "우리는 새로운 권한이나 역량을 도입하는 것이 아니다"라고 밝혔지만, 수많은 비판자들은 이 진술이 사실과 다르다고 지적하고 있습니다.
한편, 법안 통과를 위해 몇 가지 양보도 이루어졌습니다. 새로운 감독 위원회 신설, 새 법령으로 확보한 데이터를 활용할 수 있는 공공기관의 범위 제한, 감청 관련 법률에 대한 재검토, 그리고 2016년에 법안이 만료되며 재시행 전에 다시 심사를 거쳐야 한다는 '일몰 조항(sunset clause)' 등이 마련되었습니다.
왜 이렇게 큰 문제가 되는가?
DRIP가 논란이 되는 데에는 여러 이유가 있습니다. 첫 번째는 이 법안이 '긴급 입법'으로 분류되어 고작 8일 만에 의회를 통과했다는 점입니다. 어느 입법 기관에서 법안이 이토록 빠르게 처리된 경우를 기억하시나요?
물론 법안의 내용 자체도 우려의 대상입니다. 정부의 요청이 있을 때 넘겨주기 위해서 휴대폰, 이메일, 원격 저장소의 데이터를 12개월간 보관하라는 발상 자체가 걱정스럽습니다. 막대한 양의 데이터가 저장되는 셈인데, 최근에는 Adobe, eBay, Target 등에서 대규모 개인정보 유출 사고가 잇달아 발생했습니다.
DRIP 하에 보관되는 데이터가 해커들의 표적이 될지는 아직 미지수지만, 그런 데이터가 존재한다는 사실만으로도 접근을 시도할 충분한 유혹이 됩니다.
게다가 유럽 사법재판소는 얼마 전 매우 유사한 법률들을 프라이버시권 침해로 기각한 바 있습니다. 정치적 추측을 배제하더라도, 이번 입법은 유럽 최고 법원의 판결에 사실상 반하는 것이므로 영국과 EU의 관계에 적지 않은 파장을 일으킬 수 있습니다.
그렇다면 우리는 무엇을 해야 할까?
DRIP는 언론이나 국민이 목소리를 내기도 전에 의회를 강행 통과했지만, 이미 사람들이 항의의 목소리를 높이고 있습니다. 여러 학계 법률 전문가들이 연명한 공개 서한이 발표되었는데, 과거 사례에서 보듯 대중의 거센 반발은 이런 상황에서 긍정적인 변화를 이끌어내는 힘이 됩니다.
Access나 Open Rights Group 같은 감시 반대 단체를 지원하는 것도 좋은 방법입니다. 앞으로 진행될 청원과 공개 행사에도 주목하시기 바랍니다.
그리고 무엇보다 항상 권장되는 것은 데이터 암호화입니다. 기업이 메타데이터만 보관하도록 요구받는다 해도, 실제 콘텐츠가 저장·열람된 사례는 얼마든지 있습니다. 시작하기에 좋은 방법으로는 Tor를 활용한 브라우징 암호화, PGP를 활용한 이메일 암호화, 그리고 Dropbox를 보안성이 검증된 클라우드 스토리지로 교체하는 것이 있습니다.
이제 미국만이 감시와 개인정보 문제를 안고 있는 주요 서구 국가가 아니라는 사실이 명확해졌습니다. 영국 정부는 DRIP를 통해 사용자 데이터를 보관하고 접근하겠다는 중대한 선언을 한 셈입니다. 앞으로의 전개 상황을 계속 주시하겠습니다.
DRIP에 대해 어떻게 생각하시나요? 이 법안은 ECJ의 판결을 위반한다고 보십니까? 개인정보 보호권을 침해한다고 생각하십니까? 영국이 이런 종류의 법을 국제적으로 집행하려 해야 할까요? 아래에 여러분의 의견을 남겨주세요!
이미지 출처: Brian Turner; Department for Business, Innovation, and Skills; Torkild Retvedt, Yuri Samoilov via Flickr.