캐나다 의회가 수백만 명의 프라이버시와 보안에 직결되는 대규모 감시 권한 확대 법안을 심의하고 있다. '합법적 접근법(Lawful Access Act)'으로도 불리는 C-22 법안은 이미 하원을 통과해 현재 상원에 계류 중이다. 캐나다시민자유연합(CCLA)은 모든 시민에게 법안 반대 청원에 동참할 것을 촉구하고 있으며, 상원 표결을 앞둔 만큼 의견을 낼 수 있는 시간이 빠르게 줄어들고 있다는 점을 강조한다.
이 법안이 기술 실무자에게 특히 중요한 이유는 서비스 제공자에게 직접적인 의무를 부과하기 때문이다. C-22는 통신사와 메신저 앱을 비롯한 디지털 서비스 사업자가 정부의 감시 활동에 협조하도록 강제하는 새로운 권한을 정부에 부여한다. 지금까지 수사 협조는 개별 영장과 절차를 전제로 했지만, 이 법안은 협조 자체를 구조적 의무로 전환한다는 점에서 성격이 다르다.
암호화 백도어와 '시스템적 비보안'이라는 모호한 기준
가장 큰 쟁점은 공공안전부 장관이 기업에 자사 서비스에 법 집행용 백도어를 만들도록 명령할 수 있다는 조항이다. 단서는 그 조치가 '시스템적 비보안(systemic insecurity)'으로 이어지지 않아야 한다는 것뿐이다. 그러나 특정 집단만을 위한 '안전한 백도어'는 기술적으로 성립하기 어렵다는 것이 보안 업계의 오랜 합의다. 하나의 우회 통로가 열리면 그 존재 자체가 전체 암호화 체계의 공격 표면을 넓히기 때문에, 이 조항은 사실상 우리가 의존하는 암호화를 약화시키는 처방으로 받아들여진다. 모호한 예외 기준은 집행 과정에서 자의적으로 해석될 여지도 남긴다.
법안은 또한 서비스 사업자가 메타데이터를 최대 1년간 보관하도록 요구한다. 메타데이터는 통신 내용 자체가 아니지만 누가 누구와 연락했는지, 어디에 갔는지, 어떤 서비스를 썼는지를 드러낸다. 범죄 혐의가 전혀 없는 이용자의 활동까지 장기간 축적된다는 점에서, 이는 표적 수사가 아니라 전 국민 단위의 상시 기록 체계에 가깝다. 데이터를 보관하는 기업 입장에서는 유출 시 피해 규모가 커지는 새로운 책임과 위험을 떠안게 된다.
국경을 넘는 데이터와 헌법 적합성 논란
CCLA와 시티즌랩(Citizen Lab) 연구진은 C-22의 헌법적·보안적 문제를 상세히 분석한 보고서를 내놓았다. 이들은 표면적인 손질로는 부족하며, 감시·데이터 보관 체제를 규정한 법안의 2부(Part 2) 전체를 철회해야 한다고 주장한다. 일부 조항을 다듬는 수준이 아니라 설계 자체를 문제 삼는 것이다.
법안은 캐나다인의 개인정보를 미국을 포함한 외국 법 집행기관과 공유하는 범위를 넓힐 수 있다는 우려도 낳는다. 캐나다는 미국과 국경 간 데이터 공유 협정을 협상해 왔는데, 이 협정이 체결되면 미국 경찰이 캐나다 법원의 감독 없이 캐나다 인터넷 이용자 정보를 확보할 수 있게 된다. 일부 상원의원들도 이미 법안에 우려를 표하며, CCLA와 시티즌랩의 지적처럼 캐나다 헌법의 프라이버시 보호 조항과 양립하기 어려울 수 있다고 밝혔다.
한국의 실무자에게도 이 사안은 남의 일이 아니다. 백도어 강제, 장기 메타데이터 보관, 국경 간 데이터 이전이라는 세 축은 여러 나라에서 반복적으로 등장하는 입법 패턴이며, 글로벌 서비스를 운영하는 기업은 특정 관할권의 요구가 전체 제품 보안 설계에 어떤 영향을 미치는지 지금부터 따져봐야 한다. 다만 현재 C-22는 상원 심의 단계이고 세부 조항의 최종 형태와 미·캐나다 협정의 발효 여부는 아직 확정되지 않았다는 점은 함께 염두에 둘 필요가 있다. 캐나다 거주자라면 CCLA의 반대 청원을 읽고 서명하는 것이 당장 취할 수 있는 행동이다.