미국 CLOUD Act의 주요 내용과 초국경적 데이터 접근을 위한 행정협정 체결 요건, 그리고 GDPR과의 충돌 및 주권 침해 논란 등 국제적 쟁점과 시사점 doc_id PCY_201810250513159081_2

제2703조에서는 정부기관이 제공자에게 특정 정보의 공개를 강제하는 데 사용할 수 있는 다섯 가지 방법을 제시하고 있다. 이 다섯 가지 방법은 1) 제출명령(subpoena), 2) 가입자에 대한 사전통지 후 제출명령, 3) § 2703(d)에 따른 법원 명령(court order), 4) 가입자에 대한 사전통지 후 § 2703(d)에 따른 법원 명령; 그리고 5) 수색 영장(search warrant)이 그것이다16). 제출명령(subpoena)은 가장 법적 요건이 약하며 발부절차가 간소한 증거 수집 절차로, 정부기관은 제출명령을 통해 기본 가입자정보 및 세션정보의 공개를 강제할 수 있다. 또한 정부기관은 제2703조(d)에 따른 법원 명령을 통해서 가입자정보 외에도 계정의 로그나 거래기록을 수집할 수 있다. 정부기관이 법원으로부터 수색 영장을 발부받은 경우, 전기통신서비스 의 ‘전자적 저장공간’의 콘텐츠 중 180일 이내의 콘텐츠 데이터를 포함하여 가입자 정보 및 로그기록 등 가장 광범위한 데이터의 공개를 강제할 수 있다. 이러한 문제를 해결하기 위해 CLOUD Act는 전자통신서비스 제공자가 가입자 또는 고객의 통신 내용을 공개하라는 요구를 받은 경우에, “가입자 또는 고객이 미국인이 아니며 미국 내에 거주하지 않고 그러한 공개로 인해 서비스제공자가 자격 있는 외국정부(qualifying foreign government)의 법률을 위반할 중대한 위험을 발생시킬 것이라고 합리적으로 믿는 경우”에는 영장을 변경 또는 각하(quash)해 줄 것을 법원에 청구할 수 있도록 법적 근거를 마련하였다. 또한 그러한 청구는 정보 공개 요구를 받은 날로부터 14일 이내에 이루어져야 한다. 이러한 청구를 받은 법원은 영장을 집행한 정부기관에 이에 대응할 기회를 주어야 한다. 법원은 “정보의 공개로 인해 서비스제공자가 자격 있는 외국 정부의 법을 위반할 소지가 있는 경우, 모든 정황을 종합해 보았을 때 사법정의에 따라 그러한 영장이 변경되거나 기각되어야 한다고 판단되는 경우, 그리고 고객 또는 가입자가 미국인이 아니고 미국 내에 거주하지 않는 경우”에는 영장을 변경하거나 각하할 수 있다. CLOUD Act는 저장통신법에 제2523조를 신설하여 초국경적 정보 제공요청을 위한 미국과 외국 정부 간의 행정 협정(executive agreement)에 대한 규정을 마련하고 있다. 제2523조는 미국의 전자 통신 서비스 제공자가 저장통신법을 위반하지 않고 행정협정에 따라 외국 정부의 정보 제공요청에 응할 수 있도록 법적 근거를 제공하고 있다. 제2523조는 특정 외국 정부의 국내법 및 그 실행이 데이터 수집과 관련하여 프라이버시 및 자유권을 실체적･절차적으로 강력하게 보장하는 등 법률에서 정한 요건을 충족하는 경우, 미국 법무장관에게 해당 정부와 행정 협정을 체결할 수 있는 권한을 부여하고 있다. 만약 외국 정부가 이러한 요건을 충족시킨다면, 미국과 외국 정부 사이에 체결된 행정 협정은 상호 정보 공유를 허용하고, 이에 따라 미국과 다른 외국 국가들이 해외에 저장된 데이터에 접근하는 것을 허용하게 된다. 그러나 제2523조에서는 외국 정부가 접근할 수 있는 데이터의 범위에 대한 제한 규정을 두고 있다. 예를 들어, 제2523조에서는 외국 정부가 “의도적으로 미국인이나 미국 내에 거주하는 사람을 대상으로 하는 것”을 금지하고 있다. 또한 외국 정부는 미국인이나 미국 내에 거주하는 사람과 관련된 정보를 획득하기 위한 목적으로 미국 밖에 위치한 비(非) 미국인을 대상으로 명령을 발부해서는 안 되며, 외국 정부에 의해 발부된 명령은 테러리즘을 포함한 중범죄의 예방, 탐지, 수사, 기소와 관련한 정보를 획득할 목적이 있어야 하고 특정 개인, 계정, 주소 등 개인을 식별할 수 있는 표지를 명확히 특정하여야 한다. 외국 정부에 의해 발부된 명령은 표현의 자유를 침해하기 위해 이용되어서는 안 된다. 또한 CLOUD Act는 통신에 대한 불법 감청 또는 공개를 금지하는 저장통신법 제2511조를 개정하여 제2511조 (2)항 (j)호를 신설하였다. CLOUD Act에 의해 승인된 행정협정은 기존의 국제 데이터 공유 방법을 보완하는 것이지 대체하는 것이 아니다. 따라서 공조 요청은 여전히 기존의 국제형사사법공조 조약(Mutual Legal Assistance Treaty, 이하 “MLAT”) 등의 절차를 통해 가능할 것이다. 미국 정부와 CLOUD Act 협정을 체결한 국가는 “중대한 범죄”가 있는 경우, 그리고 해당 요청이 미국인이나 미국 내 거주자를 대상으로 하지 않는 한, 그리고 위에서 언급한 CLOUD Act에서 규정하고 있는 특정 요건을 충족할 경우에 미국 서비스 제공 업체로부터 직접 데이터를 요청할 수 있다. 미국과 MLAT이 체결되어 있지만 CLOUD Act 협정이 체결되어 있지 않은 국가의 경우 또는 CLOUD Act의 범위를 벗어나는 데이터 요청의 경우에 외국 정부는 기존의 MLAT 프로세스를 활용할 수 있다. 최근 유럽평의회(Council of Europe)의 사이버범죄협약 위원회(Cybercrime Convention Committee, T-CY)에서도 클라우드 내 증거에 대한 초국경적 접근 문제에 대하여 연구하였고 이러한 문제의 해결방안 중 하나로써 제출명령(production order)에 관한 사이버범죄협약(Convention on Cybercrime) 제18조 해설서(guidance note)를 발표하였다. 사이버범죄협약 제18조 제1항 b호에서는 당사국은 자국 영토 내에서 서비스를 제공하는 서비스제공자에게 서비스제공자가 보유 또는 관리하고 있는 가입자정보를 제출하도록 명령할 권한을 부여하여야 한다고 규정하고 있다. 동 조문과 관련하여 해설서에서는 CLOUD Act의 입법취지와 같은 맥락에서 당사국은 자국 영토 내에 서비스 제공자가 법적으로 또는 물리적으로 소재하지 않는 경우에도 동 조항을 적용할 수 있다고 해석하고 있다. 최근 유럽연합(European Union, EU)에서는 2018년 5월 25일 “일반 데이터 보호규정(General Data Protection Regulation, GDPR)”이 발효되었다. 이로 인해서 데이터 전송 및 처리에 관한 EU의 GDPR 규정과 CLOUD Act 규정이 상충될 가능성이 있다. GDPR은 EU 비회원국에 의해 발부된 법원의 영장에 따른 데이터 제공과 같이 EU 내에 저장된 데이터를 EU 외부로 이전(transfer)할 경우 여러 가지의 제한규정을 두고 있다. 특히 GDPR 제48조는 외국의 영장이나 법원의 명령이 EU 회원국과 외국 정부 간에 체결된 “국제형사사법공조 조약과 같은 국제협정에 근거한” 경우에만 이를 인정한다. 그러나 CLOUD Act에 근거한 행정협정이 GDPR 제48조 상의 “국제협정”에 해당하는지 여부는 불분명하다. 미국은 2017년부터 영국과 데이터 공유에 관한 행정협정 체결을 논의하고 있는데, 이러한 GDPR과의 충돌 문제 역시 검토되어야 할 것이다. 또한 CLOUD Act는 GDPR의 영향을 받는 EU 회원국의 국내법과도 상충될 소 지가 있다. 마이크로소프트 외에도 구글, 아마존, 페이스북 등 대부분의 미국 IT 기업들은 아일랜드에 데이터 센터를 두고 있다. CLOUD Act에 따르면 미국이 서비스제공자에게 아일랜드 소재 데이터 센터에 있는 데이터를 요구하더라도 아일랜드 정부가 이러한 사실을 알기 어렵고 통제도 사실상 불가능하다. 아일랜드는 마이크로소프트 사건에서 법원에 제출한 법정조언자 의견서(amicus curiae brief)에서 미국 정부는 해당 데이터를 미국과 아일랜드 간에 체결되어 있는 국제형사사법공조 조약을 통해서 획득하는 것이 가장 적절하며, 그렇게 하지 않는 경우, 사건에서 문제된 영장은 아일랜드의 주권을 침해하는 것이라고 주장한 바 있다. 따라서 아일랜드나 싱가포르와 같이 미국 기업들의 데이터 센터가 모여 있는 국가들의 입장에서는 CLOUD Act가 해당 국가의 주권을 침해하는 일방적인 입법으로 간주될 수 있다. 물론 이를 위해서는 우리나라가 CLOUD Act에서 규정하고 있는 “자격 있는 외국 정부(qualifying foreign government)”에 해당하기 위한 요건을 갖추었는가를 먼저 검토해볼 필요가 있다. 이를 위해서는 우리나라가 유럽평의회의 사이버범죄협약 당사국이거나 협약 상의 규정을 국내적으로 이행한 경우와 같이 사이버범죄와 디지털 증거에 대한 실체법 및 절차법을 갖추고 있어야 한다. 그러나 아직 우리나라는 유럽평의회의 사이버범죄협약 당사국이 아니며, 협약의 내용이 국내법에 완전히 수용되었다고 보기 어렵기 때문에 국제 기준에 맞는 실체법 및 절차법적 정비가 필요하다. 또한 우리 정부기관에서 데이터를 수집, 보유, 활용, 공유하는 법적 절차, 그리고 이를 통제하기 위한 법적 장치가 마련되어 있어야 한다. 이상에서 살펴본 미국의 CLOUD Act는 그간 논란이 되어 온 역외 데이터에의 접근에 대해서 기존 법률에 “데이터의 위치와 관계없이”라는 문구를 삽입하여 명쾌한 해답을 내놓았다는 점, 그리고 대부분의 수사기관에서 문제점으로 인식해 온 MLAT의 비효율성을 해결할 수 있는 대안을 제시했다는 점에서 높이 평가할만한 입법이라고 하겠다. CLOUD Act에 대해서 양자 협정 체결을 통한 데이터 공유 프로세스가 프라이버시를 침해할 것이라는 우려도 제기되고 있다. 그러나 장기적으로 보면, 전 세계 데이터의 대다수를 보유한 미국과 CLOUD Act에 따른 행정협정을 체결하려는 국가들이 늘어나고 그러한 국가들은 법에서 정하고 있는 일정 요건을 충족시키기 위해 노력할 것이다. 그렇게 되면 CLOUD Act가 종국적으로 국가들 간의 법제 조화를 촉진시키고 전 세계적으로 프라이버시 보호를 강화시키는 순기능으로 작용하게 될 것이라고 생각한다.