국가와 프라이버시

국가와 프라이버시

디지털 서비스를 선택할 때, 그 서비스가 어느 국가에 위치하는지는 프라이버시에 큰 영향을 미칩니다. 국가마다 개인정보 보호법, 정부 감시 정책, 법 집행 기관의 정보 요청 권한이 다르기 때문입니다. 같은 서비스라도 본사가 어느 나라에 있느냐에 따라 사용자 데이터가 정부에 넘어갈 가능성이 크게 달라집니다.

5 Eyes, 9 Eyes, 14 Eyes

5 Eyes, 9 Eyes, 14 Eyes는 국가 간 정보 공유 동맹입니다. 이들 국가는 서로의 국민을 감시하고 그 정보를 공유하며, 필요시 기업에 사용자 데이터를 요청할 수 있는 법적 권한을 가지고 있습니다.

5 Eyes는 미국, 영국, 캐나다, 호주, 뉴질랜드로 구성된 가장 강력한 정보 공유 동맹입니다. 이들은 제2차 세계대전 이후 UKUSA 협정을 기반으로 긴밀하게 협력하며, 대규모 감시 프로그램을 운영합니다. 에드워드 스노든의 폭로로 드러난 NSA의 PRISM 프로그램은 5 Eyes 국가들이 어떻게 대규모 감시를 수행하는지 보여주는 대표적인 사례입니다.

9 Eyes는 5 Eyes에 덴마크, 프랑스, 네덜란드, 노르웨이가 추가된 동맹입니다. 이들 국가는 5 Eyes만큼 긴밀하지는 않지만, 여전히 정보를 공유합니다.

14 Eyes는 9 Eyes에 독일, 벨기에, 이탈리아, 스페인, 스웨덴이 추가된 동맹입니다. 이들 국가 역시 정보 공유 협정에 참여하고 있으며, 정부 요청에 따라 기업이 사용자 데이터를 제공할 가능성이 높습니다.

즉, 5 Eyes 국가들은 감청 및 도청한 신호 정보를 서로 공유하며, 9 Eyes 국가와 14 Eyes도 마찬가지로 필요시 감청 내용이 국가 간 공유됩니다. 일종의 '감청 협정'이죠.

물론 14개나 되는 국가 모두를 피할 순 없습니다. 그 안에서도 프라이버시에 민감한 국가가 있고, 둔한 국가가 있습니다. 14 Eyes에 포함되는지 역시 서비스를 고를 때 참고할 수 있는 정보일 뿐입니다.

왜 5 Eyes 국가를 피해야 하는가

5 Eyes 국가들은 세계에서 가장 강력한 감시 체계를 운영하고 있습니다. 특히 미국과 영국은 법적으로 기업에게 사용자 데이터를 제공하도록 강제할 수 있는 광범위한 권한을 가지고 있습니다.

미국의 CLOUD Act (Clarifying Lawful Overseas Use of Data Act)는 미국 정부가 미국 기업에 대해 전 세계 어디에 저장된 데이터든 요청할 수 있도록 허용합니다. 즉, 미국 기업이 운영하는 서비스라면, 데이터가 EU나 다른 국가에 저장되어 있어도 미국 정부가 접근할 수 있습니다.

영국의 Investigatory Powers Act (일명 "스누퍼스 차터")는 정부가 영장 없이도 통신 기록을 수집할 수 있도록 허용하며, 기업에게 백도어를 설치하도록 강제할 수 있는 권한을 부여합니다. 또한, 기업은 이러한 요청을 받았다는 사실조차 공개할 수 없도록 금지됩니다.

호주의 Assistance and Access Act는 정부가 기업에게 암호화된 통신에 접근할 수 있는 백도어를 만들도록 강제할 수 있으며, 이 역시 비밀로 유지됩니다.

이러한 법률들은 사용자 프라이버시를 심각하게 침해합니다. 따라서 이메일, 클라우드 스토리지, VPN 등 민감한 정보를 다루는 서비스를 선택할 때는 5 Eyes 국가에 본사를 두지 않은 서비스를 선택하는 것이 좋습니다.

한국의 디지털 프라이버시와 인터넷 검열

한국은 세계에서 인터넷 인프라가 가장 발달한 나라 중 하나이지만, 디지털 프라이버시와 인터넷 자유 측면에서는 많은 문제가 있습니다.

과도한 본인인증은 한국 인터넷의 가장 큰 문제 중 하나입니다. 많은 웹사이트와 서비스가 회원가입 시 본인인증을 요구하며, 이는 익명성을 완전히 제거합니다. 이는 표현의 자유를 위축시키고, 개인정보 유출 위험을 증가시킵니다.

통신비밀보호법에도 불구하고, 한국 정부는 법 집행 기관의 정보 요청에 대해 상대적으로 낮은 기준을 적용합니다. 수사기관은 법원 영장 없이도 통신 이용자 정보를 요청할 수 있으며, 이러한 요청은 투명하게 공개되지 않습니다. 통신 이용자 정보 제공 요청을 받은 각 기업이 자발적으로 공개하는 것에 달렸죠.

인터넷 검열 역시 심각한 문제입니다. 한국은 방송통신심의위원회를 통해 "불법 정보"로 간주되는 웹사이트를 차단합니다. 음란물, 도박 사이트 등이 주요 차단 대상이지만, 이 과정은 때로는 과도한 검열로 이어지고 있습니다. 국경없는기자회는 한국을 "인터넷 감시 국가(Countries Under Surveillance)"로 분류한 바 있습니다.

개인정보 보호법이 존재하지만, 실제로는 많은 한국 기업들이 과도하게 개인정보를 수집하고, 사용자 동의 절차가 형식적인 경우가 많습니다.

따라서 한국에 본사를 둔 서비스는 프라이버시 측면에서 신중하게 검토할 필요가 있으며, 가능하다면 프라이버시 친화적인 국가에 위치한 대안 서비스를 고려하는 것이 좋습니다.

EU의 ChatControl 논란

EU는 GDPR을 통해 강력한 개인정보 보호 체계를 구축했지만, 모든 정책이 프라이버시 친화적인 것은 아닙니다. 2025년 현재, EU는 "ChatControl"이라고 불리는 논란의 여지가 있는 법안을 논의하고 있습니다.

ChatControl은 아동 성착취 자료(CSAM) 단속을 명목으로, 메시징 앱 제공자들이 모든 사용자의 메시지와 사진을 자동으로 스캔하도록 강제하는 법안입니다. 이는 EU 전역 4억 5천만 시민의 개인 통신을 대상으로 하는 대규모 감시에 해당합니다.

이 법안의 가장 큰 문제는 종단간 암호화(End-to-End Encryption)를 약화시킨다는 점입니다. 종단간 암호화가 되었다면 메시지를 스캔할 수 없으므로, 이 법은 각 기업에게 종단간 암호화에 대한 우회책을 요구할 것입니다. 또한, 자동 스캐너는 오류가 많아 무고한 사용자의 개인 사진(예를 들어, 아이의 목욕 사진)을 불법 자료로 오인할 가능성이 높습니다.

2025년 10월 기준으로, EU 회원국들의 입장은 나뉘어져 있습니다. 오스트리아, 체코, 에스토니아, 핀란드, 룩셈부르크, 네덜란드, 폴란드 등은 ChatControl에 반대하고 있습니다. 이들 국가는 대량 감시가 EU의 기본권 헌장을 위반하며, 프라이버시와 암호화를 훼손한다고 주장합니다.

반면, 헝가리, 아일랜드, 스페인, 덴마크, 프랑스, 이탈리아 등은 ChatControl을 지지하고 있습니다.

ChatControl 법안은 2025년 10월 중순 EU 이사회에서 투표될 예정입니다. 만약 이 법안이 통과된다면, EU 내 모든 메시징 서비스는 사용자 통신을 스캔해야 하며, 이는 Signal 등 모든 암호화 메신저에 영향을 미칩니다. 이 법안에 대한 주요 국가들의 지지 및 반대 현황에 대해선 Fight Chat Control(fightchatcontrol.eu)을 참고하시기 바랍니다.

이 사례는 EU가 GDPR을 가지고 있더라도, 항상 프라이버시를 보장하는 것은 아니라는 점을 보여줍니다. 따라서 서비스를 선택할 때는 단순히 EU에 위치했다는 이유만으로 안심하지 말고, 해당 국가의 구체적인 정책과 법률을 확인해야 합니다.

프라이버시 친화적인 국가

그렇다면 어떤 국가가 프라이버시 친화적일까요? 일반적으로 다음과 같은 국가들이 프라이버시를 존중하는 것으로 평가받습니다.

  • 아이슬란드: 강력한 표현의 자유와 프라이버시 보호 법률을 가지고 있으며, 정부 감시가 상대적으로 적습니다.
  • 노르웨이: 9 Eyes에 속하지만, 강력한 개인정보 보호법과 투명한 정부 운영으로 프라이버시를 존중합니다.
  • 독일: 14 Eyes에 속하지만, GDPR을 엄격하게 적용하며, 역사적 이유로 정부 감시에 민감합니다.

서비스를 선택할 때는 해당 서비스가 어느 국가에 본사를 두고 있는지, 해당 국가의 법률이 정부에게 어떤 권한을 부여하는지, 그리고 그 국가가 정보 공유 동맹에 속해 있는지 확인하세요. 가능하다면 5 Eyes 국가를 피하고, 프라이버시 친화적인 국가에 위치한 서비스를 선택하는 것이 안전합니다.

 투명성이란? PRISM 프로젝트 