이메일 서비스 패스트메일(Fastmail)이 사용자 데이터의 기본 저장 위치를 미국이 아닌 유럽연합(EU)으로 선택할 수 있는 옵션을 새로 내놓았다. 회사는 네덜란드 암스테르담의 보안 시설에 자체 서버를 코로케이션(co-location) 방식으로 설치했으며, 사용자는 계정 설정에서 데이터가 머무를 리전을 직접 고를 수 있다. 지금까지 모든 계정은 전적으로 미국 내에 저장됐지만, 이제는 EU를 데이터의 1차 저장지로 지정할 수 있게 됐다.
이 변화의 배경에는 '데이터가 어디에 저장되는가'를 둘러싼 실사용자들의 요구가 있다. 패스트메일은 현지 법률, 데이터를 물리적으로 가까운 곳에 두고 싶은 심리, 그리고 규제 준수(compliance)를 대표적 이유로 꼽았다. 이는 유럽에서 사업을 하거나 유럽 이용자를 다루는 조직에게 특히 민감한 지점으로, 데이터의 물리적 소재지가 계약과 감사 항목에 직접 반영되는 경우가 많기 때문이다.
클라우드를 빌리지 않는 인프라 방식
주목할 부분은 이 리전이 대형 클라우드 사업자의 서비스를 임대해 구성된 것이 아니라는 점이다. 패스트메일은 암스테르담 시설을 자사 엔지니어가 직접 셋업했고, 기존 필라델피아·세인트루이스 인프라와 동일한 기준으로 자체 하드웨어와 자체 소프트웨어를 사용했다고 밝혔다. 각 머신에 들어가는 디스크의 정확한 모델까지 직접 지정했다는 설명은, 컴퓨팅과 관리를 외부 클라우드에 위탁하고 그 사업자의 보증을 그대로 전달하는 방식과 선을 긋겠다는 의도로 읽힌다. 회사는 이런 방식을 25년 넘게 이어온 프라이버시·신뢰성·성능에 대한 접근법이라고 표현했다.
모든 위치에서 데이터는 잠긴 랙(rack) 안에서 저장 시 암호화(encrypted at rest)되며 사내 팀이 직접 관리한다. 또한 패스트메일은 오래전부터 각 사용자의 이메일을 기본 위치의 별도 서버에 최소 2부, 지리적으로 분리된 다른 위치에 최소 1부를 더 보관해 데이터 안전성을 확보해 왔다. 리전 선택은 1차 사본이 어디에 놓이는가를 바꾸는 것이지, 데이터가 얼마나 잘 보호되는가를 바꾸는 것은 아니라는 점을 회사는 분명히 했다.
'데이터가 EU에만 남는다'는 보장은 없다
실무자가 반드시 짚어야 할 지점은 이 옵션의 한계다. 패스트메일은 "데이터가 오직 EU에만 머문다는 보장이 필요하다면, 우리는 그것을 제공하지 않는다"고 직접적으로 못박았다. 리전을 EU로 선택해도 지리적으로 분리된 위치에 복제본이 존재하는 구조이기 때문이다. 회사는 대부분의 사업자가 이용자를 대신해 결정하고 최소한의 정보만 알리는 것과 달리, 무엇이 복제되고 무엇이 복제되지 않는지, 누가 무엇을 강제할 수 있는지를 공개하고 이용자가 눈을 뜬 채 선택하도록 하겠다는 입장을 강조했다. 데이터 주권을 엄격히 요구하는 조직이라면 이 '지리적 복제본' 조건이 자사 규제 요건을 충족하는지 별도로 검토할 필요가 있다.
이전을 위한 준비도 미리 이뤄졌다. 청구지 주소가 유럽이거나 그 인근인 이용자들은 사전에 EU 리전 대상으로 선별됐고, 암호화된 사본이 발표에 앞서 유럽으로 옮겨져 곧 1차 사본으로 전환된다. 이들이 미국으로 되돌리기를 원하면 데이터가 다시 마이그레이션된다. 반대로 초기 대상에 포함되지 않은 이용자는 대기열에 등록해 이전을 신청할 수 있는데, 해당 리전에 미리 만들어 둔 사본이 없어 모든 이메일을 대양 너머로 동기화해야 하므로 다소 느리게 진행된다. 미국으로 되돌아가는 경우는 이미 사본이 있어 소량 동기화만으로 정리된다.
설정 경로와 비용
리전 변경은 설정(Settings) → 사용자 및 공유(Users & Sharing) → 팀 설정(Team Settings)으로 들어가 GDPR 항목 아래의 데이터 레지던시(Data residency) 섹션에서 위치를 고르면 된다. 이전 상태는 대기(queued), 전송 중(transferring), 완료(done)로 표시되며 그 과정에서도 계정은 정상 작동한다. 마음을 바꿔 되돌릴 수도 있으나, 회사는 리전 변경 빈도에 합리적 제한을 둘 수 있다고 예고했다. 비교적 최근 가입자는 기본적으로 미국에 배정돼 있으므로, EU 저장을 원한다면 설정에서 직접 전환해야 한다.
마지막으로 비용 측면에서, 패스트메일은 EU 리전 구축이 상당한 투자였다고 밝히면서도 EU 선택에 대한 추가 요금(surcharge) 도입을 검토했으나 도입하지 않기로 했다고 설명했다. 저장 위치라는 선택은 이용자의 몫이어야 한다는 이유에서다. 결국 이번 발표의 핵심은 '완벽한 데이터 격리'가 아니라 '충분한 정보에 근거한 선택권'이며, 규제 대응이 걸린 조직이라면 마케팅 문구보다 복제 구조와 법적 강제 가능성을 기준으로 판단하는 편이 안전하다.