CLOUD Act가 미국에 해외 데이터 접근 권한을 주는 방식

클라우드 제공업체가 미국에 기반을 두고 있다면, 유효한 미국 법원 명령은 그 기업이 전 세계 어디에 있는 서버에 있든 귀사 데이터를 가져오도록 강제할 수 있습니다.

Google, Microsoft, Amazon을 비롯한 기업들은 이러한 침입에 취약합니다. 이는 2018년 제정된 CLOUD Act가 미국 법 집행 기관에 전 세계적인 영향력을 부여함으로써 가능해졌습니다.

특히 EU 기업에게는 문제가 됩니다. 미국 제공업체가 귀하의 이메일이나 파일을 넘겨준다면, 이는 개인정보 유출에 해당하여 GDPR 위반이 될 수 있으며, 최대 € 2,000만 또는 전 세계 연간 매출의 4% 중 더 높은 금액의 벌금이 부과될 수 있습니다.

이것이 미국 기업들이 마케팅에서 “GDPR 준수”와 “유럽 주권 클라우드“라고 말할 때 감추는 현실입니다. 미국 제공업체의 EU 데이터 센터도 여전히 미국 관할권 아래에 있는 기업이 운영합니다. 귀사 입장에서 이는 조달 결정에 미처 계산하지 못한 규정 준수 책임이 따른다는 뜻입니다. 고객 입장에서는, 고객이 귀사에 맡긴 개인정보가 고객이 아무런 발언권도 없고 어쩌면 전혀 알지 못할 수도 있는 법적 절차에 휘말릴 수 있다는 뜻입니다.

CLOUD Act에 대한 알기 쉬운 설명과, 이 침략적인 법안이 기업에 중요한 이유, 그리고 노출을 줄이는 방법을 소개합니다. 데이터가 저장된 위치가 더 이상 누가 그 데이터에 접근할 수 있는지 결정하지 않습니다.

CLOUD Act란?

해외 데이터의 합법적 사용을 명확히 하는 법(CLOUD Act(새 창))은 2018년에 발효된 미국 연방법입니다. 이 법은 연방 법 집행 기관, 주로 법무부와 FBI, 그리고 연방, 주, 지방 경찰이 영장, 법원 명령 또는 소환장을 발부하여 미국 관할권 아래의 기술 기업이 데이터가 세계 어디에 물리적으로 저장되어 있든 이를 넘겨주도록 강제할 수 있게 합니다.

예를 들어, FBI가 Microsoft에 유럽 기업의 이메일을 넘겨주도록 강제하는 영장을 발부받으면, 유럽 법원이 그 요청에 동의하지 않더라도 Microsoft는 이를 따라야 합니다.

CLOUD Act에는 정당한 치안 목적이 있습니다. 이는 연방 법 집행 기관이 테러리즘, 아동 착취, 사이버 범죄 같은 중대 범죄를 수사하도록 돕기 위해 마련되었습니다. 정보 수집을 위한 것은 아니며, 정보 수집은 별도의 미국 권한인 FISA 제702조를 통해 이루어지는데, 흔히 CLOUD Act와 혼동됩니다.

그러나 그 정당한 목적이 기업의 구조적 문제를 없애주지는 않습니다. CLOUD Act는 미국 관할권에 있는 제공업체가 합법적인 미국 명령을 이행하는 것이 곧 EU 법률 위반을 의미하는 상황에 놓이게 할 수 있습니다. 이는 기업이 두 가지 규제 체계 사이에 끼여 둘 다 충족할 방법이 없게 만듭니다.

CLOUD Act의 기원은?

CLOUD Act는 1986년 제정된 저장 통신법(SCA)을 개정하기 위해 2018년 미국 정부에 의해 통과되었습니다. 이 개정은 상당 부분 진행 중이던 법원 사건(새 창)인 “Microsoft-아일랜드” 사건에 대한 대응이었습니다.

2013년, Microsoft는 마약 밀매 혐의로 수사 중인 한 고객의 이메일, 즉 Microsoft가 아일랜드의 서버에 저장한 이메일을 요구하는 연방 영장에 이의를 제기했습니다. 이 사건은 까다로운 법적 쟁점에 달려 있었습니다. SCA에 따라 발부된 미국 영장이 미국에 본사를 둔 기업이 통제하지만 미국 외부의 데이터 서버에 저장된 디지털 통신에까지 미칠 수 있는가 하는 문제였습니다.

2018년, 이 사건이 대법원에서 항소 심리를 기다리던 중 미국 의회가 CLOUD Act를 통과시켰습니다. 이로써 “Microsoft-아일랜드” 사건은 무의미해졌고, 해외 영토에 저장된 데이터에 대한 미국 정부의 역외 권한 문제도 최소한 문서상으로는 해결되었습니다.

CLOUD Act는 미국 정부에 어떤 권한을 부여하나요?

CLOUD Act는 미국 제공업체에 대한 역외 SCA 명령을 강화함으로써, 미국 정부가 데이터가 어디에 저장되어 있든 특정 데이터를 요청할 수 있게 했습니다. 이 법은 저장 제공업체가 미국 관할권에 속하고 요청된 데이터가 진행 중인 범죄 수사와 관련성이 있고 중요하다면, 미국 법 집행 기관이 영장, 소환장, 법원 명령을 사용해 미국 외부에 전자적으로 저장된 통신 데이터에 접근할 수 있음을 명확히 했습니다. CLOUD Act 요청은 제공업체에 곧바로 전달되어, 미국 정부가 이전에 의존했던 훨씬 느린 MLAT(상호 법률 지원 조약)(새 창) 절차를 건너뜁니다.

CLOUD Act는 또한 미국 정부와 양자 행정 협정에 가입하려는 정부에 권한을 부여했으며, 이를 통해 협력국 법 집행 기관이 미국에 본사를 둔 서비스 제공업체에 직접 국경을 넘어 사건별로 데이터를 요청할 수 있게 됩니다.

행정 협정은 테러리즘, 아동 착취 같은 중대 범죄 사건에서 증거 수집을 앞당깁니다. 이런 사건에서 MLAT 절차는 몇 달이 걸릴 수 있습니다. 이 글을 쓰는 시점에 행정 협정은 두 건만 존재합니다. 미국과 영국 간의 협정은 2022년 10월(새 창)에 발효되었고, 미국과 오스트레일리아 간의 협정은 2024년 1월(새 창)에 발효되었습니다. 미국 정부와 EU, 캐나다(새 창) 간의 협상은 시작되었지만 아직 타결되지 않았습니다.

기술 제공업체에는 한 가지 안전 장치가 있습니다. 바로 국제 예양에 따라 미국 명령에 이의를 제기하거나 수정을 요청할 수 있다는 것입니다. 국제 예양은 법원이 다른 관할권의 법률을 존중하는 법적 원칙으로, 명령을 따르는 것이 외국 법률, 특히 행정 협정의 적용을 받는 법률을 위반하는 경우에 적용됩니다. 영국과 오스트레일리아를 제외하면, 이 보통법상의 국제 예양 이의 제기가 유일한 선택지입니다.

그러나 전자 프라이버시 정보 센터(EPIC)가 주장하듯(새 창), 국제 예양이 있더라도 CLOUD Act는 기업을 포함한 고객에게 실질적인 구제 수단을 거의 남기지 않습니다. 제공업체는 데이터가 접근된 고객에게 통지할 의무가 없고, 고객은 요청에 이의를 제기할 독립적인 권리가 없으며, 이는 전적으로 제공업체가 이의를 제기하기로 선택하는지에 달려 있습니다. 또한 행정 협정은 영향을 받는 사람들을 위한 새로운 구제 수단을 만드는 것을 명시적으로 배제합니다.

CLOUD Act 대 GDPR

Proton 자체 조사에 따르면 유럽 상장 기업의 74% 이상이 미국 기반 기술 서비스에 의존하고 있는 유럽에서, CLOUD Act는 EU의 일반 개인정보 보호법(GDPR)과 충돌하기 때문에 특히 우려됩니다.

GDPR 제48조(새 창)에 따르면, 개인정보를 이전하거나 공개하라는 외국 법원의 명령이나 행정 기관의 결정은 SCA 명령을 포함해 MLAT 같은 국제 협정에 따라 이루어지지 않는 한 EU에서 자동으로 인정되거나 집행되지 않습니다.

CLOUD Act 명령과 관련해 GDPR이 기업에 벌금을 부과한 사례는 없지만, 이런 유형의 위험에 규제 당국이 대응한 선례는 있습니다. 2023년 아일랜드 데이터 보호 위원회는 미국 감시법, 구체적으로는 CLOUD Act가 아닌 FISA 제702조에 노출된 EU-미국 데이터 이전과 관련해 Meta에 사상 최대인 € 12억 벌금을 부과(새 창)했습니다.

미국에 본사를 둔 클라우드 제공업체에게 이는, 미국 정부가 자사가 처리하지만 유럽 기업이 통제하는 데이터를 요청할 경우 CLOUD Act를 준수하는 것이 GDPR 위반을 의미할 수 있다는 뜻입니다. 제28조(새 창)에 따르면, 제공업체, 즉 처리자는 컨트롤러의 문서화된 지침에 따라서만 행동할 수 있으며, “외국 정부에 데이터를 공개하는 것”은 그러한 지침에 포함되지 않습니다.

위험은 제공업체에만 국한되지 않습니다. 제공업체가 제48조가 요구하는 국제 협정 근거, 즉 현재 미국과 EU 사이에 CLOUD Act 행정 협정이 없으므로 MLAT 없이 강제 명령에 따라 고객의 데이터를 공개하면, 그 데이터를 소유한 기업이 저장을 위해 고용한 공급업체만이 아니라 자신도 책임을 지게 됩니다.

데이터 위치가 데이터 주권을 의미하지 않는 이유

2025년 6월(새 창), Microsoft 프랑스의 공공 및 법률 담당 이사인 Anton Carniaux는 프랑스 상원(새 창)에서 선서 후, 프랑스 시민의 데이터가 프랑스의 동의 없이 미국 당국에 넘겨지지 않는다고 보장할 수 있는지 질문을 받았습니다.

그의 답변은 “아니요. 보장할 수 없습니다”였습니다. 그는 “그런 일은 전에 없었습니다”라고 덧붙였는데, 물론 그것이 앞으로 일어날 수 없다는 뜻은 아닙니다.

메시지는 분명했습니다. 데이터 주권은 더 이상 데이터가 어디에 저장되는지가 아니라 누가 그 데이터를 통제하는지의 문제입니다. 데이터 서버의 위치와 그 서버에 대한 권한을 가진 정부가 반드시 일치하지는 않습니다.

이 사실은 미국 클라우드 거대 기업, 즉 “하이퍼스케일러”가 유럽 기업에 마케팅하는 “GDPR 준수” 클라우드 서비스와 어울리지 않게 나란히 놓입니다. 이러한 “유럽 주권 클라우드” 제품은 미국에 본사를 둔 기업이나 미국 상위 기업이 통제하는 기업이 운영하며, GDPR의 보호는 미국 법률이 허용하는 범위까지만 미칩니다.

제로 액세스 암호화 아키텍처가 CLOUD Act 노출을 완화하는 방식

클라우드 저장공간 제공업체가 미국 관할권에 속하고 미국 법 집행 기관이 정당한 법적 근거를 가지고 귀하의 데이터에 대한 접근을 요구한다면, 귀하도 제공업체도 이를 막을 수 없습니다. 이때 귀하의 데이터를 지킬 수 있는 유일한 방어책은 암호화입니다.

암호화는 데이터를 사이버 범죄자와 정부 모두가 읽고 사용할 수 없게 만들며, 올바른 키를 가진 사람만 읽을 수 있는 ‘암호문‘으로 뒤섞습니다.

그러나 대부분의 미국 클라우드 제공업체가 제공하는 암호화에는 치명적인 단서가 있습니다. 바로 복호화 키를 자사가 보유한다는 점입니다. 즉, 자사가 귀하의 데이터를 읽을 수 있거나, 미국 법 집행 기관 같은 제3자에게 읽을 수 있는 사본을 넘겨주도록 강제될 수 있습니다.

사이버 범죄자든 정부든 파일과 메시지 데이터 노출로부터 실질적인 보호를 받으려면, 제공업체가 데이터에 접근하지 못하게 하는 종단 간 암호화 또는 제로 액세스 암호화가 필요합니다.

제로 액세스 암호화를 사용하는 제공업체는 자사가 취급하고 서버에 저장하는 파일을 복호화할 키를 가지고 있지 않습니다. 법 집행 기관이 요구하면, 데이터가 스위스처럼 엄격한 데이터 보호 기준을 시행하는 관할권에 저장되어 있더라도 데이터 공개를 강제당할 수 있습니다. 그러나 넘겨지는 파일은 암호화되어 읽을 수 없습니다.

Proton이 기업을 CLOUD Act로부터 보호하는 방식

Proton은 두 가지 핵심 방식으로 CLOUD Act로부터 보호받습니다.

• 스위스 관할권으로, 누가 Proton에 데이터 제공을 강제할 수 있는지 제한합니다
• 그리고 강력한 암호화로, Proton이 넘겨주는 것이 무엇이든 그것으로 무엇을 할 수 있는지 제한합니다

Proton은 스위스 제네바에 본사를 두고 있어 미국 관할권과 CLOUD Act 명령의 영향권 밖에 있습니다. 미국 당국은 양자 간 지름길을 이용할 수도 없습니다. 스위스는 어떤 CLOUD Act 행정 협정에도 가입하지 않았기 때문입니다.

이것이 법적 절차를 완전히 없애는 것은 아닙니다. 스위스에는 자체 상호 법률 지원 체계가 있어 스위스 당국이 외국 수사에 협력할 수 있습니다. 그러나 모든 요청은 먼저 스위스 법원을 통해 스위스 법률을 통과해야 하며, 제공업체에 직접 발부되는 영장일 수는 없습니다.

Proton의 법적 이력은 스위스 법률에 기꺼이, 그리고 충분히 이의를 제기할 수 있음을 보여줍니다. 2020년, 개인정보를 훼손하기 위해 통신법을 악용하려는 부당한 시도라고 판단한 스위스 데이터 보존법에 이의를 제기했습니다. 2021년, 연방 행정 법원은 이메일 서비스가 통신 사업자가 아니며 따라서 이 법의 보존 요건을 적용받지 않는다고 판결했습니다.

그리고 스위스 명령이 성공하더라도 얻을 수 있는 것에는 한계가 있습니다. Proton의 종단 간 및 제로 액세스 암호화 덕분에 메시지 내용과 파일은 Proton 자신도 읽을 수 없고, 누가 요청하든 넘겨줄 키가 없습니다. 귀하의 이메일, 문서, 파일 및 기타 데이터의 내용은 접근할 수 없는 상태로 남습니다.

---

CLOUD Act에 관한 자주 묻는 질문

CLOUD Act가 GDPR보다 우선하나요?

CLOUD Act는 GDPR을 무효화하지 않지만, GDPR과 충돌합니다. CLOUD Act 명령은 미국 제공업체가 이를 준수할 경우 GDPR 제48조를 위반하게 되는 상황에 놓이게 할 수 있습니다. 국제 협정 없이는 외국 명령을 자동으로 인정하지 않는다는 내용입니다. 어느 법도 서로에게 양보하지 않으며, 제공업체와 그들이 서비스하는 모든 유럽 기업은 두 법 사이에 갇히게 됩니다.

CLOUD Act는 미국 기업에만 적용되나요?

CLOUD Act는 미국에 본사를 둔 기업이나 미국 상위 기업이 지배하는 기업에만 적용되는 것이 아닙니다. 충분한 미국 내 법적 존재나 비즈니스 연관성이 있는 모든 제공업체에도 적용됩니다. 미국 자회사, 미국에 있는 직원이나 사무실, 또는 미국 고객을 의도적으로 겨냥한 비즈니스는 미국 외에 본사를 둔 조직도 CLOUD Act의 적용 범위 안에 들게 하기에 충분할 수 있습니다.

CLOUD Act 요청을 거부할 수 있나요?

일반적으로 명령을 받는 쪽은 고객, 즉 컨트롤러가 아니라 제공업체입니다. 제공업체는 준수가 외국 법을 위반할 경우 국제 예양에 기반한 이의를 제기할 수 있고, 요청이 법적으로 불충분할 경우 반박할 수 있습니다. 그러나 법적 구제 수단이 모두 소진되고 명령이 여전히 유효하다면, 제공업체는 준수할 수밖에 없습니다.

CLOUD Act와 MLAT의 차이점은 무엇인가요?

상호 법률 지원 조약(MLAT)을 통해 디지털 증거를 요청하면, 이 요청은 사법적 심사를 거치게 되며 이는 철저하지만 느린 과정입니다. CLOUD Act로 활성화된 행정 협정을 통해, 법 집행 기관은 협력국에 데이터를 요청할 경우 MLAT 절차를 우회할 수 있습니다. 지금까지 미국과 행정 협정을 맺은 나라는 영국과 오스트레일리아뿐입니다.

암호화가 CLOUD Act 요청을 막을 수 있나요?

암호화는 법적 명령을 막지 못하지만, 제공업체가 종단 간 암호화 또는 제로 접근 암호화로 고객 데이터를 저장한다면 복호화 키가 없기 때문에 당국에 제공할 수 있는 읽을 수 있는 데이터가 없습니다. 따라서 암호화된 파일만 넘겨주게 됩니다.