KEEP!T Today

---

안녕하세요! KEEP!T 입니다.

토요일에 만나는 스낵뉴스입니다.
그럼, 오늘의 스낵뉴스를 지금 전해드립니다.

---

지난번 ‘블록체인과 프라이버시’ 시리즈를 통하여 1) 페이스북의 데이터 유출 스캔들과 이로 인해 각광받고 있는 블록체인의 현실에 대한 소개, 2) 블록체인에 대한 NSA의 감시 현황에 대해 알아보았습니다.

1. 페이스북 데이터 유출 스캔들 개요 및 블록체인이 문제 해결을 위한 차세대 기술로 각광받고 있는 현실,
2. 3월 20일 미국 내부고발자 스노든을 통해 발표된 NSA 자료,
3. 3월 23일 도널드 트럼프 미국 대통령이 서명한 CLOUD 법

오늘은 ‘블록체인과 프라이버시’ 시리즈의 마지막으로, 미국의 the Clarifying Lawful Overseas Use of Data Act (이하 CLOUD법)이 어떻게 탄생했는지, 어떠한 내용으로 구성되어 있는지, 그리고 각계각층의 반응은 어떠한지 등을 살펴봄으로써 CLOUD 법이 앞으로 우리의 디지털 프라이버시에 미칠 영향에 대해 논의해보도록 하겠습니다.

1. CLOUD ACT 탄생 배경

2018년 2월 6일, 4명의 미국의 상원의원 Orrin Hatch, Chris Coons, Lindsey Graham (R-SC), 그리고 Sheldon Whitehouse은 CLOUD 법을 의회에 상정하였습니다.

법안을 주도한 유타주 상원의원 Orrin Hatch는 the Senate Republican High-Tech Task Force (SRHTTF)의 의장이자 미국 상원 법사위(the Senate Judiciary Committee) 의 전직 의장 및 현직 멤버로서, 현재 미국 대법원에 계류 중인 U.S. v. Microsoft (이른바, the Microsoft Ireland) 사건을 방청한 후 CLOUD 법을 구상했다고 밝혔습니다.

Microsoft Ireland case란?
현재 미국의 대법원에 계류 중인 사건으로, 미국 정부가 2013년 마약 수사를 하는 과정에서 단서가 있을 것으로 추정되는 이메일을 열람하기 위해 마이크로소프트(MS)사에 요청했으나 서버가 해외에 있다는 이유로 거절됐다. MS는 “미국 영토 내에 있는 자료에 대해서만 접근을 허가할 수 있다”고 주장하며 아일랜드 서버에 저장된 이메일 데이터는 제출하지 않았다. 그러면서 MS는 “(자료를 제출할 경우) 해외 정부가 미국 서버에 있는 이메일 데이터를 요구할 경우 미국 역시 거부할 명분이 없어진다”고 반박했다.
출처: http://www.decenter.kr/NewsView/1RX5L1V18S

Orrin Hatch는 기존의 법체계로는, 전 세계에서 등장하고 있는 인터넷 기반의 통신 기술 (communications technology)의 발전 속도를 따라잡을 수 없다고 주장하면서 수사 기관이 범죄를 해결하는데 필요한 데이터가 미국 외의 데이터 서버에 존재하면 이 문제를 해결하는 것이 매우 어려워질 뿐 아니라, 이와 유사한 범죄를 예방하지 못한다면서 CLOUD 법을 옹호하였는데, 2월 5일 의회에서 했던 그의 CLOUD ACT 찬조 연설을 살펴보면, 그의 철학과 사상을 쉽게 알 수 있습니다.

사실 현행 법률이 제대로 따라가지 못할 정도로 빠르게 발전하는 인터넷 통신 기술의 발전은 이러한 발전을 주도하는 글로벌 IT 기업들에게도 굉장히 골칫거리(?)였습니다. 실제로 Microsoft Ireland case에서 알 수 있듯이, 미국의 IT 기업들은 미국 수사 기관의 요청에 따라 범죄 행위에 연루된 데이터를 수사 기관에 제공해주어야 하는 책임과 해당 국가의 데이터 보호 법률을 준수해야 하는 의무 사이에서 심한 내적 갈등을 겪어 왔기 때문입니다.

그리고 CLOUD 법은 이러한 미국의 IT 기업들에게 단비를 내려줍니다.

미국의 수사 기관들이 CLOUD 법을 통하여 미국과 협약을 맺은 국가들에게 정식으로 해당 국가에 위치한 개인 데이터를 요구할 수 있게 되었고, 협약 국가들 역시 ‘데이터 제공 의무’ 뿐만 아니라 자신들이 필요하면 미국에게 자국민의 자료를 요구할 수 있는 ‘데이터 요구 권리' 가 주어졌기 때문에, 이제부터 IT 기업들은 양 국가 사이에서 골치 아픈 고민 없이 해당 국가의 수사 기관의 요청 사항을 따르기만 하면 되었기 때문입니다.

이러한 CLOUD 법안을 상정하기 위해 Orrin Hatch는 많은 노력을 경주해왔는데, 데이터 프라이버시에 대한 그의 사랑과 집착의 씨앗은 마침내 운명의 연인, 도널드 트럼프 미국 대통령을 만나 꽃 피울 수 있었습니다.

미국의 정부 예산안인 일괄세출안(Omnibus Spending Bill)에 포함된 CLOUD 법안은 2018년 3월 22일 하원 찬성 256표, 반대 167표, 상원 찬성 65표 반대 23표로 의회를 통과하였고, 그다음 날인 3월 23일 도널드 트럼프 미국 대통령이 예산안에 서명함으로써 CLOUD 법도 자동으로 승인된 것입니다.

참고 기사
[SENATE] Hatch: Oral Arguments Highlight Urgency of CLOUD Act

[SENATE]Bipartisan Senators Introduce Bill to Help Tech Companies Comply with Domestic and Foreign Criminal Investigations

2. CLOUD 법의 구성

앞서 CLOUD 법이 어떻게 등장하게 되었는지 간략히 알아보았다면, 이번에는 CLOUD 법의 원칙은 무엇인지, 법안은 어떻게 구성되어 있는지, 그리고 시행이 되면 어떻게 운영이 될지에 대해 조금 더 자세히 알아보도록 하겠습니다.

2-1. CLOUD 법은 4가지 원칙을 명시하고 있습니다.

1) 상호협정 (Bilateral Agreement)

CLOUD법은 미국 정부가 해외 정부와 디지털 증거(digital evidence)를 공유하기 위한 정식 조약을 맺을 수 있도록 그 기준을 명확하게 설정한다.

Bilateral Agreements: The CLOUD Act enables the United States to enter into formal agreements with other nations to set clear standards for cross-border investigative requests for digital evidence.

2) 미국 구속 영장의 역외적용과 국제 예양 (Extraterritoriality of US Warrants and International Comity)

CLOUD 법은 프라이버시에 대한 미국의 기존 법률을 개정함으로써 미국의 영장 및 기타 법적 절차를 통해 전 세계 어느 곳에 저장된 데이터에도 접근할 수 있는 법적 근거를 제공한다. 하지만, 이러한 미국의 영장 등의 법적 절차는 국제 예양에 의해서 접근이 제한될 수 있다. CLOUD 법을 통해서 인터넷 서비스 제공자들은 최초로 국제 예양을 근거로 한 법적 절차에 이의를 제기할 수 있는 법적 권리를 가질 수 있게 된다.
(즉, CLOUD 법을 근거로 외국의 프라이버시 법을 지키지 ‘않을 수도’ 있음을 명시할 가능성을 제공)

*역외적용: 한 나라의 법률에 의해 그 나라의 영역 외에서의 사건을 규율하는 것 (네이버 지식백과)
국제 예양: 한 국가가 동등한 주권을 가진 타국의 입법적, 행정적, 사법적 행위를 존중하는 행위

Extraterritoriality of US Warrants and International Comity: The CLOUD Act amends US law to make clear that US warrants and other legal process issued for data held by communications providers reach data stored anywhere in the world. The reach of US warrants and legal process, however, would be limited by international comity. The CLOUD Act would give providers, for the first time, a statutory right to challenge legal process based on international comity concerns.

3) 투명성 (Transparency)

인터넷 통신 제공자들이 미국의 수사 기관으로부터 해당 국가의 국민 혹은 거주자에 대한 정보 접근에 관한 요청을 받고, 해당 국가가 미국과 CLOUD 법을 통해 협약을 맺었다면, 통신 서비스 업체들은 자국의 정부에 이러한 정보 요청 사실을 통보할 수 있으며, 이를 통해 외국 정부는 양국 간 협정의 조건이 제대로 준수되고 있는지 평가할 수 있고 나아가 요청이 부적절하다고 생각하는 경우 외교적으로 개입할 수 있다.

Transparency: When a communications provider receives a request from US law enforcement related to a national or resident of a country that has entered into a bilateral agreement with the United States, the provider will be permitted to notify that government of the existence of the request. This will allow the foreign government to assess compliance with the terms of the bilateral agreement and enable it to intervene diplomatically if it believes the request is inappropriate.

4) 호혜성 (Reciprocity)

CLOUD 법은 협약을 맺은 국가들에게 미국 수사 기관의 데이터 요청을 방해하는 법적 제한을 삭제하도록 요구할 것이다. 외국 정부는 CLOUD의 법적 권한을 얻기 위해서 미국의 수사 기관과 통신 사업자에게 상호 호혜 권리 및 혜택을 제공해야 한다.

Reciprocity: The CLOUD Act would also require participating countries to remove legal restrictions that prevent compliance with data requests from US law enforcement. To qualify for the statutory benefits of the legislation (removal of the US blocking statute, a right for providers to object based on international comity and a right for providers to notify the government of the existence of requests), a foreign government must provide reciprocal rights and benefits to US law enforcement and communications providers.

출처
[CHRISTOPER COONS] CLOUD Act from Sens. Hatch, Coons included in 2018 funding bill

2-2. CLOUD 법의 구성은 다음과 같습니다. (일부 발췌)

1) 인터넷 통신 서비스 업체가 보유한 데이터에 대해 신속하게 접근할 수 있는 능력은 공공의 안전을 도모하고 테러를 포함한 중범죄에 대처하기 위한 정부의 노력에서 반드시 필요한 요소이다.

Timely access to electronic data held by communications-service providers is an essential component of government efforts to protect public safety and combat serious crime, including terrorism.

2) 미국 정부는 현재 해외에 저장된 데이터에 접근할 수 없기 때문에 공공의 안전을 위한 미국 정부의 노력은 방해받고 있다. 하지만 미국의 사법 제도의 관할 하에 있는 인터넷 서비스 공급자의 데이터에 대해서는 미국 정부가 보호권, 통제권, 또는 소유권을 가지기 때문에 (이에 접근할 수 있는 권리가 있다.)

(2) Such efforts by the United States Government are being impeded by the inability to access data stored outside the United States that is in the custody, control, or possession of communications-service providers that are subject to jurisdiction of the United States.

3) 외국 정부 또한 중범죄에 대처하기 위한 목적으로 미국에 위치한 인터넷 통신 업체가 보유한 데이터에 대해 접근하는 방법을 점점 더 많이 모색하고 있는 상황이다.

(3) Foreign governments also increasingly seek access to electronic data held by communications-service providers in the United States for the purpose of combating serious crime.

4) 인터넷 통신 업체는 외국 정부가 미국 법이 공개를 금지하는 데이터를 요구할 때 발생하는 법의 모순 문제를 겪고 있다.

(4) Communications-service providers face potential conflicting legal obligations when a foreign government orders production of electronic data that United States law may prohibit providers from disclosing.

5) 또한, 미국 법전 18장 121항 (“Stored Communication Act”로 알려진)이 데이터 공개를 요구할 때 외국법이 이를 금지함으로써 앞서와 유사한 법적 모순 문제를 일으킬 수 있다.

(5) Foreign law may create similarly conflicting legal obligations when chapter 121 of title 18, United States Code (commonly known as the "Stored Communications Act"), requires disclosure of electronic data that foreign law prohibits communications-service providers from disclosing.

6) 국제 협약을 통해 미국 정부와 외국 정부가 자국민에 대한 프라이버시 규정을 공유함으로써 앞서의 법적 모순 문제를 해결할 수 있는 메커니즘을 제공한다.

(6) International agreements provide a mechanism for resolving these potential conflicting legal obligations where the United States and the relevant foreign government share a common commitment to the rule of law and the protection of privacy and civil liberties.

법안의 전문

2-3. 이렇게 제정된 CLOUD 법을 통해 다음과 같은 일이 일어나게 됩니다 .

• 외국의 수사 기관이 미국의 영장 없이 미국의 기업으로부터 미국인들의 데이터를 수집할 수 있다.
• 판사의 검토 없이 미국에 위치한 사생활 데이터를 외국 정부가 요구할 수 있다.
• 미국 대통령이 타국과 “행정 협정”을 맺음으로써 해외 국가들이 미국의 사생활 보호법을 준수하지 않고 데이터를 무단으로 수집할 수 있다.
• 외국의 수사 기관이 미국인에게 통보하지 않고 개인에 대한 데이터를 수집할 수 있게 된다.
• 미국의 수사 기관이 국적에 상관없이 그리고 국가에 상관없이 개인 데이터를 수집할 수 있게 된다.

• Enable foreign police to collect and wiretap people's communications from U.S. companies, without obtaining a U.S. warrant.
• Allow foreign nations to demand personal data stored in the United States, without prior review by a judge.
• Allow the U.S. president to enter "executive agreements" that empower police in foreign nations that have weaker privacy laws than the United States to seize data in the United States while ignoring U.S. privacy laws.
• Allow foreign police to collect someone's data without notifying them about it.
• Empower U.S. police to grab any data, regardless if it's a U.S. person's or not, no matter where it is stored.
  출처: https://www.eff.org/deeplinks/2018/03/responsibility-deflected-cloud-act-passes

3. CLOUD 법안에 대한 반응

CLOUD 법안의 통과에 대한 각계각층의 반응은 즉각적이고 명확했습니다.

3-1. 찬성

CLOUD 법안에 대해 미국의 IT 기업들은 연합 성명을 통해 열렬한 환영을 표했습니다. 애플과 페이스북, 구글, 마이크로소프트는 "우리는 전 세계 고객과 인터넷 사용자를 보호하기 위한 국제적 합의와 해결 방안을 지지해왔으며, CLOUD 법안은 고객의 권리를 지키는 데 중요한 역할을 하게 될 것이고 나아가 법적 갈등을 줄여줄 것”이라고 밝혔습니다.

If enacted, the CLOUD Act would create a concrete path for the U.S. government to enter into modern bilateral agreements with other nations that better protect customers. Importantly, the legislation would require baseline privacy, human rights and rule of law standards in order for a country to enter into an agreement. That will ensure customers and data holders are protected by their own laws and that those laws are meaningful. The legislation would further allow law enforcement to investigate cross-border crime and terrorism in a way that avoids international legal conflicts.
If enacted, the CLOUD Act would be notable progress to protect consumers’ rights and would reduce conflicts of law. We appreciate your leadership championing an effective legislative solution, and we support this compromise proposal.
공동성명 전문

그중에서도 마이크로소프트는 개인 데이터와 관련한 사건이 대법원에 계류 중이어서 그럴까요?

마이크로소프트는 한 걸음 더 나아가 “의회는 미국의 행정부가 해외 데이터에 접근할 수 있도록 시대에 맞는 법적 절차를 마련했다. 이는 민주당과 공화당을 뛰어넘는 초당파적 지지와 법무부, 백악관, 전미 변호사협회 및 기업의 지원 의사를 강하게 반영하는 법안이며 적절한 타협안이다. 마이크로소프트와 같은 기업들은 (CLOUD 법을 통해) 전 세계 고객의 개인정보를 보호할 수 있게 될 것이며, 나아가 기업이 암호화 기술을 활용할 때 편법을 사용하지 않아야 한다는 경고의 메시지도 담고 있다"라고 밝혔습니다.

The proposed CLOUD Act creates a modern legal framework for how law enforcement agencies can access data across borders. It’s a strong statute and a good compromise that reflects recent bipartisan support in both chambers of Congress, as well as support from the Department of Justice, the White House, the National Association of Attorneys General and a broad cross section of technology companies. It also responds directly to the needs of foreign governments frustrated about their inability to investigate crimes in their own countries. The CLOUD Act addresses all of this, while ensuring appropriate protections for privacy and human rights. And it gives tech companies like Microsoft the ability to stand up for the privacy rights of our customers around the world. The bill also includes a strong statement about the importance of preventing governments from using the new law to require that U.S. companies create backdoors around encryption, an important additional privacy safeguard.
마이크로소프트 성명문

3-2. 반대

CLOUD 법안을 주도한 일부 국회의원들과 IT 기업들은 해당 법안을 열렬히 지지했지만, 모든 사람들이 이를 찬성한 것은 아닙니다. 특히, 일부 국회의원들과 시민단체 등은 강한 반대 의사를 표시하였습니다.

일례로, 공화당의 상원의원 Rand Paul은 3월 22일 법안이 통과된 직후 트위터를 통하여 “의회는 CLOUD 법을 거부해야 한다. 왜냐하면, 인권과 미국 국민의 개인정보를 보호할 수 없게 없게 될뿐더러 헌법의 역할을 포기할 뿐만 아니라 나아가 법무장관, 국무장관, 대통령 및 해외 정부에 너무 많은 권한을 넘기는 것이기 때문이다”라고 주장했습니다.

“Congress should reject the CLOUD Act because it fails to protect human rights or Americans’ privacy...gives up their constitutional role, and gives far too much power to the attorney general, the secretary of state, the president and foreign governments.”
원문

또 다른 상원의원 Ron Wyden 역시 성명서를 통하여, CLOUD 법을 통하여 미국의 대통령들이 미국 법원의 견제를 받지 않고 다른 나라들 (트럼프를 겨냥하여 러시아나 터키)와 사적인 관계를 마음껏 맺을 수 있게 되었음을 뜻한다며 반대 의사를 표명하였습니다.

“Tucked away in the omnibus spending bill is a provision that allows Trump, and any future president, to share Americans' private emails and other information with countries he personally likes. That means he can strike deals with Russia or Turkey with nearly zero congressional involvement and no oversight by U.S. courts. This bill contains only toothless provisions on human rights that Trump’s cronies can meet by merely checking a box. It is legislative malpractice that Congress, without a minute of Senate debate, is rushing through the CLOUD Act on this must-pass spending bill.”
출처

국회의원뿐만 아니라, 개인정보 보호단체 프런티어전자재단(EFF)은 이러한 법안이 상원이나 하원의 어떠한 검토도 거치지 않고 통과된 것은 심각한 권리 침해의 가능성이 있음을 지적하면서, “전 세계의 개인정보 보호 수준을 퇴보시키는 법안이 추가됐다.”고 혹평하였습니다.

this final, tacked-on piece of legislation will erode privacy protections around the globe
출처

"It was never reviewed or marked up by any committee in either the House or the Senate. It never received a hearing. It was robbed of a stand-alone floor vote because Congressional leadership decided, behind closed doors, to attach this un-vetted, unrelated data bill to the $1.3 trillion government spending bill. Congress has a professional responsibility to listen to the American people's concerns, to represent their constituents, and to debate the merits and concerns of this proposal amongst themselves, and this week, they failed."
출처

마지막으로, 미국의 유명한 시민 보호 단체인 미국 시민 자유 연맹(ACLU) 역시 3월 12일 CLOUD에 대한 반대 성명을 통해 “CLOUD 법은 외국 정부가 미국의 법과 절차를 준수하지 않고 미국인의 권리를 침해하는 것일 뿐만 아니라 의회와 기존의 정보 요구 절차를 피해 행정부에 권한을 넘겨 주는 것"이라며 "인권과 주요한 민주적 안전장치를 약화시키는 법안”이라고 평가하였습니다.

A coalition of privacy, civil liberties, and human rights organizations sent this letter to Congress urging opposition to S. 2383/H.R. 4943, the Clarifying Lawful Overseas Use of Data Act (CLOUD Act), legislation at risk of being included in the March omnibus. The CLOUD Act undermines the rights of individuals both inside and outside the U.S. The legislation would, among other things: (1) allow foreign governments to wiretap on U.S. soil under standards that do not comply with U.S. law; (2) give the executive branch the power to enter into foreign agreements without Congressional approval, including in cases where countries have a concerning human rights record; (3) allow foreign governments to obtain information that could pertain to individuals in the U.S. without meeting constitutional standards; and (4) possibly facilitate foreign government access to information that is used to commit human rights abuses, like torture.
ACLU 성명 전문

4. 마치며

‘블록체인과 프라이버시’ 시리즈를 통하여 여태까지 1) 페이스북의 데이터 유출 스캔들과 이로 인해 각광받고 있는 블록체인의 현실에 대한 소개, 2) 블록체인에 대한 NSA의 감시 현황, 그리고 오늘 3) 미국의 CLOUD 법 통과까지 알아보았습니다.

시리즈를 종합해보면,

1. 페이스북 스캔들을 통하여 기존의 IT 기업들이 개인 정보 데이터를 얼마나 허술하게 관리하는지 알게 되었고, 이에 따라 많은 사람들이 블록체인에 대해 희망을 품고 있지만,
2. 스노든에 의해 유출된 NSA 문건에 따르면 NSA는 이미 2012년부터 비트코인을 No. 1 Priority로 선정하여 거래 당사자를 추적할 뿐만 아니라 패스워드 등의 민감한 데이터까지도 유출할 수 있다고 밝혔습니다.
3. 이러한 상황에서 유일한 희망은, NSA가 쉽게 접근할 수 없는 외국 기반의 데이터 서버를 이용하는 것이었는데 2018년 3월 23일 승인된 CLOUD 법을 통해 해외 기반의 데이터베이스도 NSA의 레이더로부터 자유롭지 않게 되었고,
4. 이는 암호화폐도 크게 다르지 않습니다. 앞으로는 설령 암호화폐 관련 기업들이라도, 그리고 그 기업들이 미국 기업이 아니라고 하더라도, 해당 국가가 미국과 CLOUD 법을 통해 협약을 체결했다면 미국의 수사기관이 요청하면 자료를 제공해야 하는 법적 의무가 생겼다는 것을 뜻하기 때문입니다.

이제는 전 세계의 모든 가상화폐 거래도, NSA의 감시망 아래에 놓이게 되는 날이 그렇게 멀지 않아 보입니다.

앞서 법안을 주도한 유타주 상원의원 Orrin Hatch가 the Senate Republican High-Tech Task Force (SRHTTF)의 의장이라고 언급했던 부분을 기억하시나요? 인터넷 검색 결과, SRHTTF 단체는 그 임무에 대해 “미국이 기술 분야에서 세계의 선도적인 위치를 유지할 수 있도록 기여하는 것”이라고 구체적으로 명시하고 있는데, 그렇다면 과연 미국의 CLOUD 법은 오로지 전 세계의 공공의 안전과 테러로부터의 위험을 방지하기 위해 제정되었을까요? 아니면 SRHTTF가 밝히는 것처럼, 미국의 우월한 지위를 블록체인에게 넘겨주지 않기 위해서 제정되었을까요?

미국이 CLOUD 법을 어떻게 운용할지, 앞으로의 행보가 기대됩니다.

밝히며

법률은 그 분야의 특성상 정확한 개념 파악 뿐만 아니라 매우 엄격한 번역이 필요합니다. 이번 KEEP!T 기사는 프라이버시 분야에서 매우 중요한 이정표가 될 미국의 CLOUD법을 여러분께 쉽게 소개해드리고자 하는 과정에서 다소간의 의역이 있을 수 있습니다. 보다 정확한 내용은 CLOUD법의 원문에서 확인하실 수 있습니다. 감사합니다.

---

즐거운 주말 보내시길!

David

이 저작물은 크리에이티브 커먼즈 저작자표시-비영리-변경금지 4.0 국제 라이선스에 따라 이용할 수 있습니다.