데이터 주권

1. 데이터 주권이란 무엇인가

데이터 주권(data sovereignty)이란 한 국가 안에서 생성된 데이터는 그 국가의 법과 통제를 받아야 한다는 개념입니다. 데이터가 클라우드를 통해 국경을 손쉽게 넘나드는 시대가 되면서, "내 나라 국민의 정보가 다른 나라 서버에 저장되고 그 나라 법의 적용을 받는다면, 우리 정부는 이를 제대로 통제할 수 있는가"라는 질문이 각국 정부의 중요한 관심사가 되었습니다. 이 문제의식은 개인정보 보호뿐 아니라 국가 안보, 산업 경쟁력과도 직결되어 있습니다.

2. 슈렘스 II 판결: 데이터 이전의 지각변동

2020년 유럽사법재판소는 이른바 슈렘스 II(Schrems II) 판결을 통해 유럽과 미국 간 데이터 이전을 허용해왔던 협정인 "프라이버시 실드(Privacy Shield)"를 무효화했습니다. 오스트리아의 프라이버시 활동가 막스 슈렘스(Max Schrems)가 제기한 이 소송은, 미국 정부의 정보기관이 자국 내 데이터에 폭넓게 접근할 수 있는 법제를 갖고 있어 EU 시민의 정보가 미국으로 이전되면 GDPR 수준의 보호를 받기 어렵다는 점을 문제 삼았습니다. 이 판결로 유럽 기업들은 미국 클라우드 서비스를 이용할 때 추가적인 법적 안전장치를 마련해야 했고, 이후 EU와 미국은 오랜 협상 끝에 2023년 새로운 데이터 이전 체계인 데이터 프라이버시 프레임워크(EU-U.S. Data Privacy Framework)에 합의했습니다.

"데이터가 국경을 넘는 순간, 그 데이터를 지키던 법도 함께 넘어가는 것은 아니다." — 슈렘스 II 판결이 남긴 핵심 메시지

3. 국가별 데이터 현지화 법제

일부 국가는 아예 자국민의 데이터를 반드시 자국 내 서버에 저장하도록 의무화하는 데이터 현지화(data localization) 법제를 운영하고 있습니다. 러시아는 자국민의 개인정보를 러시아 영토 내 서버에 최초로 저장하도록 요구하는 법을 시행 중이며, 이를 지키지 않은 일부 해외 SNS 서비스는 접속이 차단되기도 했습니다. 중국은 PIPL과 함께 데이터 안전법을 통해 국가 안보와 관련된 이른바 "중요 데이터"의 국외 이전을 엄격히 심사하고 있습니다. 인도와 베트남 등도 금융·통신 분야를 중심으로 부분적인 데이터 현지화 요건을 두고 있습니다. 한국은 2021년 EU로부터 GDPR 기준의 적정성 결정(adequacy decision)을 받아, 별도의 복잡한 계약 절차 없이도 EU 시민의 데이터를 국내로 이전받아 처리할 수 있게 되었습니다.

국가/지역	주요 접근 방식	특징
EU	적정성 결정(adequacy decision)	동등한 보호 수준을 인정받은 국가로만 자유로운 이전 허용
러시아	전면적 데이터 현지화	자국민 정보는 반드시 국내 서버에 최초 저장
중국	중요 데이터 국외 이전 심사	국가 안보 관점의 통제 강화
인도·베트남	분야별 부분적 현지화	금융·통신 등 특정 분야 우선 적용

4. 클라우드의 국경 없는 특성과 주권의 충돌

글로벌 클라우드 서비스는 비용 효율을 위해 데이터를 여러 국가의 데이터센터에 분산 저장하는 경우가 많습니다. 이 때문에 "내 데이터가 지금 정확히 어느 나라에 있는가"조차 이용자나 기업이 명확히 알기 어려운 경우가 생깁니다. 각국 정부는 이런 불투명성을 해소하기 위해 클라우드 사업자에게 데이터 저장 위치를 공개하도록 요구하거나, 공공기관 데이터는 반드시 국내 리전에 저장하도록 하는 정책을 도입하고 있습니다. 한국 역시 공공부문 클라우드 이용 시 국내 리전 활용을 우선하는 방향의 정책을 추진해왔습니다.

5. 데이터 주권 논쟁이 남기는 과제

데이터 주권을 지나치게 강조하면 인터넷 본연의 개방성이 훼손되고 국가별로 인터넷이 단절되는 이른바 스플린터넷(splinternet) 우려로 이어질 수 있습니다. 반대로 데이터 주권을 소홀히 하면 자국민의 정보가 통제 밖의 법역에서 오남용될 위험이 커집니다. 결국 각국은 프라이버시 보호, 국가 안보, 디지털 경제의 개방성이라는 세 가지 가치 사이에서 균형점을 계속 모색해야 하는 상황입니다. 다음 강에서는 지금까지 배운 내용을 바탕으로, 우리가 일상에서 실천할 수 있는 디지털 시민의 자세를 정리하겠습니다.

관련 검색어  ·  데이터 주권, 슈렘스 II, 데이터 현지화, 적정성 결정