<31C0E528B9DA295FC0A52E687770>

Transcription

1 2017 NAVER Privacy White Paper 개인정보의로컬라이제이션에관한연구 경희대학교법학전문대학원박훤일교수

2 목차 요약문 3 1. 머리말 8 2. 개인정보로컬라이제이션의동기 11 가. 국가안보와질서유지 11 나. IT 거대기업에대한종속탈피 12 다. 공정과세의실현 13 라. 국내기업의역차별방지 15 마. 클라우딩서비스의이용추세에서 U턴 주요국의사례 16 가. 중국 17 나. 베트남 23 다. 인도네시아 25 라. 인도 27 마. 유럽연합 (EU) 27 바. 러시아 30 사. 그밖의나라들 개인정보현지화규제에대한평가 결론 34 참고문헌 36

3 1. 머리말요약문 1. 머리말ㅇ개인정보의로컬라이제이션 (Data Localization, 현지화 또는 국지화 ) 이란정보통신을이용하는기업이개인정보의보관 처리를위한서버를반드시국내에설치하도록의무화하는것을말함 - 데이터보관장소라기보다정보열람에대한통제등효과적인관할 (Effective Jurisdiction) 에관한문제또는데이터의해외반출에대한규제를의미 - 정보보안, 개인정보보호, 국가안보, 제품의안전기준, 자국산업의보호 육성등을이유로소스코드공개를요구하거나데이터의현지보관, 로컬콘텐츠의이용등규제를강화 (Forced Localization Measures; FLMs) 하는경향이증대ㅇIoT 빅데이터시대에정보의자유로운유통을통해경제활성화기대 - 반면개인정보보호법제의통일관점에서개인정보의로컬라이제이션성행 - 미국, 유럽, 일본등은 2013년부터데이터로컬라이제이션경향에공동대응함으로써정보의자유로운유통과공평하고평등한사이버공간의확보를위해노력 2. 개인정보로컬라이제이션의동기ㅇ스노든이미정보당국의전세계감청활동 (PRISM) 을폭로한것을계기로많은나라가국가안보와국익보호목적으로데이터현지화를요구 - 독일은정부데이터를국내저장하는클라우드인프라 (Bundes-cloud) 를구축하고, EU 회원국들에대해서도범유럽데이터네트워크를갖출것을제안 - 브라질은미국을우회하는남미와유럽간의정보통신망을연결하는해저광섬유케이블설치계획을제안하는가하면 2014년 4월에는인터넷이용자의권리와서비스제공자의의무를규정한마르코시빌법을제정 - 중국에서도자국민들에대한사상통제와정치적안정을위해정부당국이인터넷트래픽의국내유입과국외유출을통제할수있는정보장벽을설치하고 2017년부터는네트워크안전법으로보다구체화 3

4 - 안보목적의데이터현지화는오히려해킹등공격목표를명확히하는것이되어더위험에처할수있다는비판이있음ㅇ EU의경우개인정보의보호수준이낮은제3국으로의개인정보의이전을불허 - 해외에서자국민의개인정보가침해되는일이없도록개인정보보호차원에서정보의국외이전을규제ㅇ구글, 아마존등미국의 IT기업들이플랫폼을장악하고정보유통시장을지배하는것에대한경계심으로데이터로컬라이제이션요구증가 - EU에서는미국계플랫폼기업에대한데이터시장을탈환하기위해정보의역내보관을의무화하기보다 GDPR에정보이동권 (right to data portability) 을규정 - 일부동남아국가에서는자국내하이테크경제활동을촉진하기위해로컬콘텐츠를요구하고해외콘텐츠에대해서는높은세율을부과ㅇ여러나라가다국적 IT기업들이국내에서엄청난광고수입을올리면서도세금을거의내지않는행태를방지하기위해국내에서버 ( 데이터센터 ) 를두도록유도 - EU에서는애플, 구글같은 IT기업들의 Double Irish with Dutch Sandwich 전략을깨기위한방안을모색중이며, 프랑스정부는구글, 페이스북같은 IT기업에대해수익이아닌매출액 (turnover) 기준으로과세하기로결정 - 우리나라에서도구글등다국적기업의현지세금회피를막기위해비상장유한회사의경영내용을공시하도록하는관련법개정안을발의 - 현지에서버를구축하는것이단기적으로는지역경제에도움이될지몰라도장기적으로는외국인투자의욕을저상시키고외국기업과의협력사업을방해하는등역효과우려ㅇ우리나라가구글의공간정보요구를거절한것은이에응할경우보안규정을적용받고있는국내기업에대한역차별가능성때문 - 한국은국내서버설치를조건으로내걸었으나구글은글로벌한영업방침에반한다는이유로거부함에따라최종불허결정 - 데이터로컬라이제이션은금융권 제조업 의료서비스업계클라우딩서비스의이용증가추세를역행하는것임 4

5 - 국제적인정보유통에로컬라이제이션의장벽이설치된다면경제적으로심각한타격, GDP 가 % 감소할것으로전망 ( 미 IT 분야씽크탱크 ITIF 의추계 ) 3. 주요국의사례 국가 FLMs 조치주요내용 중국 베트남 인도네시아 네트워크안전법 ( 시행 ) 은행 금융기관의개인정보보호를촉구하는중국인민은행통지 (2011) 은행업네트워크보안및정보화건설강화에관한지도의견 ( ) 자율적가이드라인 (2013) 전인민건강정보관리조치 (2014) 인터넷통화, SM 서비스의제공및이용의관리에관한규정 (2013 OTT 통달 ) 정령 72 호 (No.72/2013/ND-CP) 전자시스템과거래조직에관한규정 (2012 년정부규정제 82 호 ) 통신정보부규정 (2015 년정부규정제 27 호 ) 인터넷공간의주권과국가안보의유지, 공민과법인, 기타조직의합법적권익보호 개인정보를비롯한데이터의보안강화 핵심정보통신기반시설 (CII) 운영자에대한엄격한책임과의무부과 중국에서수집 창출된개인정보와중요데이터는현지서버에저장하도록의무화하고, 반대로데이터를중국밖으로전송할경우에는사이버보안당국및국무원의보안평가를거쳐야함 필요시당국에기술제공및수사에협력하고, 이용자게시정보에대한관리를강화하고, 필요조치를수행한후유관기관에보고 네트워크보안책임등불이행시과징금부과 중국인민의개인신용정보의해외처리 저장을금지 은행업무의사이버안전보장능력과정보화건설수준을향상시키는안전하고제어가능한정보기술의개발및응용 개인정보의국외이전에정보주체의동의를받도록요구 중국에서수집된인구건강정보의국외저장을금지 유상 OTT 서비스제공해외사업자는 (i) 사업인가를취득한베트남국내사업자와동업계약, 또는 (ii) 베트남국내에 1 개이상의호스트서버를설치하고베트남국내의사업자와업무협약을체결 일반웹사이트나 SNS 웹사이트사업자는베트남에감독당국의검사를받는하나이상의서버설치의무 공공서비스전자시스템관리자는데이터센터를국내설치의무 건강정보는보건부장관이관리하는데이터센터와연결되어있는국내의데이터센터에서처리의무화 4G 스마트폰에대하여 30 40% 의로컬콘텐츠탑재의무화 5

6 국가 FLMs 조치주요내용 인도 유럽연합 (EU) 러시아 한국 호주 OTT 규정 M2M 로드맵 개인정보보호지침 (Directive 95/46/EC); GDPR( 발효 ) 연방법제 242 호 -FZ 공간정보관리법 건강기록시스템관련법규 외자계기업이 OTT 서비스제공할때에는국내에항구적시설 (BUT) 을두어야함 국가안보의관점에서인도국내의이용자들에게서비스를제공하는 M2M 게이트웨이나어플용서버는모두인도국내에설치 개인정보보호가미흡한제 3 국으로의개인정보이전불허. 다만, 자율규제, 표준계약서, BCRs 등안전대책을갖춘경우에는허용 러시아국민의개인정보는러시아국내에설치된데이터베이스로관리하고, 데이터센터의소재를당국에신고 국가안보나그밖에국가의중대한이익을해칠우려가있는경우기본측량성과를국외로반출하는것을원칙적으로금지 등록된포털운영자또는등록된계약서비스제공자인건강기록 (My Health Records) 시스템운영자는개인식별가능한호주시민의건강기록을해외에서보관 처리하는것금지 주 : OTT(Over the Top) 란셋톱박스같은단말기를넘어서서인터넷과모바일을이용한영화 방송 교육등각종미디어콘텐츠를제공하는서비스를말함 4. 개인정보현지화규제에대한평가ㅇ데이터로컬라이제이션의요구는 IT 발전에역행하고디지털무역장벽 (Digital Trade Barrier) 을쌓는것으로인터넷의본질에반함 - FLMs 규제는개방적인인터넷의기능과자원을조각 (fragmentation) 내고비효율적으로만드는것으로클라우딩이나데이터센터에의존하는신생기업 중소기업의영업에큰타격 - 장기적으로 IT산업의발전을위축시키고경제성장에도차질 - 다만, 개인정보보호의수준이낙후된제3국에개인정보의반출을일정조건하에불허하는것은불가피한조치ㅇ오늘날외국정보기관에의한감시우려, 개인정보보호의필요성으로인해증가일로의개인정보로컬라이제이션에맞설수있는세력은단독이든연합이든가시화되지않고있는실정 6

7 - 데이터로컬라이제이션이심화될수록이용자들의데이터이용범위가줄어들고제조업 서비스업종사자들은유용한정보에대한접근기회를상실하게됨 - 현지정부가정보의자유로운유통을정치적인위협으로보고비민주적인목적을위해데이터를이용하려들경우에는표현의자유, 프라이버시에대한중대한위협이될가능성 5. 결론ㅇ인터넷시대에데이터로컬라이제이션을요구하는법제는나름대로명분이있음 - 우리나라도북한이장거리미사일과무인기를날리고있는현실에비추어상세한지리정보를공개하는것은매우위험한처사 - 다른한편으로는디지털공간정보가유통 관광산업및자율주행차 드론의이용에없어서는안될인프라가되었음ㅇ결국은서로충돌하는가치의비교형량문제로귀결 - 정보의파편화 (fragmentation) 를초래하는로컬라이제이션을비판하기보다다국적거대 IT기업에주도권을뺏기지않기위해국가안보및공정과세를강조하고국내 IT산업을보호하자는식으로경제적실리를취할수도있음ㅇ장기적으로는인터넷이세계의모든기업과개인의능동적참여를통해시장이지속적으로확대되고이노베이션이촉발되었다는점을상기할필요 - 인터넷의발칸화 (Internet Balkanization) 를초래하는데이터로컬라이제이션은바람직하지않으며국경간정보유통 (Transborder Data Flow) 의원활화에확고한신념을가져야함 - 세계경제의고른성장과 IT발전을통하여새로운시대를맞기위해서는정보의원활한국제유통에대한예외사유는그것이안보목적이든무엇이든엄격하게해석하는것이타당함 7

8 관한연구 개인정보의로컬라이제이션에관한연구 박훤일 ( 경희대학교법학전문대학원교수 ) 1. 머리말 개인정보의로컬라이제이션 (data localization) 은개인정보의 현지화 또는 국지화 라고번역할수있는데정보통신을이용하는기업이개인정보의보관 처리를위한서버를반드시국내에설치하도록의무화하는것을일컫는말이다. 물리적인데이터보관장소 (physical data location) 라는의미보다도정보열람에대한통제등효과적인관할 (effective jurisdiction) 에관한문제라할수있다. 그연장선상에서데이터의해외반출 (data export) 에대한규제를뜻하는말로쓰이기도한다. 1) 최근들어중국, 베트남, 인도네시아, 인도, 러시아등여러나라가정보보안, 개인정보보호, 국가안보, 제품의안전기준, 자국산업의보호 육성등을이유로소스코드공개를요구하거나데이터의현지보관, 로컬콘텐츠의이용등규제를강화 (forced localization measures; FLMs) 하는경향이늘고있다. 2) IT산업발전에따른이점을충분히살리기도전에클라우드컴퓨팅, 사물인터넷 (IoT) 산업에대한제약요인이되고있는것이다. < 그림 1> 에서보듯이개인정보의로컬라이제이션이전세계적으로증가하는추세에있기때문에정보의자유로운유통 (free flow of data) 의관점에서는우려를낳고있다. 왜냐하면 1) W. Kuan Hon, Data Localization Laws and Policy - The EU Data Protection International Transfers Restriction Through a Cloud Computing Lens, Edward Elgar, ) 베트남, 인도네시아에서는법률이아주추상적으로규정되어있고그시행세칙인정령 (Decree) 과통달 (Circular) 에구체적인규정을두는경우가많다. 그러므로 FLMs 가어디에규정되어있는지특정하는것은쉽지않다. 베트남은 2013 년정령 72 호에서대표자또는법인을베트남국내에두도록요구하고있다. 엉뚱하게도정보통신소관부처이외의법률이나시행세칙에 FLMs 규정을두기도한다. 8

9 사물인터넷 (IoT), 빅데이터시대에는정보가자유롭게흘러야이노베이션이활성화될터인데현지규제에따라경제적고려없이무조건데이터센터를설치해야하고경우에따라서는콘텐츠의제약도받을수있기때문이다. 반면개인정보보호법제의통일이라는관점에서살펴본다면무엇이각국의입법자로하여금개인정보의로컬라이제이션을택하게하는지그동기를알아볼필요가있다. 이러한가운데미국과유럽, 일본은 2013년부터서로손을잡고개인정보의로컬라이제이션에대한규제에공동대응하기로했다. 3) 2016년 5월일본에서열린 G7 정상회의에서도개방적이고상호운용가능하며신뢰할수있는사이버공간에서삶의질을개선하기위한디지털경제를촉진할것을공동선언문에포함시킨바있다. 4) 한편일본과 EU는 2015년정보의자유로운유통과사이버공간의공평하고평등한확보를위해규제와협력에힘을모으기로했다. 이연구는모든것을인터넷으로서로연결하는시대에개인정보의로컬라이제이션쪽으로입법전환을하는동기가무엇인지, 나라마다 FLMs 규제를어떻게실시하고있는지살펴본후국내외의반응을알아보고자한다. 나라마다특별한사정이있기마련이지만여러이점에도불구하고이를적극적으로시행할수없는속사정도있기때문이다. 마지막으로우리나라는이러한추세에어떻게대응하는것이좋을지생각해보기로한다. 3) 일례로일본의経済団体連合会 (Keidanren) 과在日미국상공회의소는양국이환태평양경제동반자협정 (Trans-Pacific Partnership; TPP) 에참가한것을계기로 2016 년 2 월 25 일 日米 IED 民間作業部会共同声明 2016 을내고 Data Localization 과 Cross-border Data Flow 문제를심도있게다루었다. < 4) G7 이세시마정상회담자료는 < 참조. 9

10 < 그림 1> 데이터로컬라이제이션의국가별현황 지도상의색데이터해외이전에대한제한의정도해당국가 [ 매우엄격 ] 개인정보는국내설치된서버에보관되어야함 [ 사실상엄격 ] 개인정보의국외이전을법령으로제한함으로써사실상데이터현지화가이루어지고있음 [ 부분적제한 ] 국외이전할수없는정보의종류를지정하거나정보의국외이전에정보주체의동의를요함 [ 완화 ] 일정한조건하에서만정보의국외이전을제한함 [ 특정분야제한 ] 헬스케어, 이동통신, 금융, 국가안보등의분야에한하여정보의국외이전을제한함 러시아, 중국, 인도네시아, 베트남, 브루네이, 나이지리아 유럽연합 (EU) 한국, 인도, 말레이시아, 카자흐스탄, 벨라루스 아르헨티나, 브라질, 콜롬비아, 페루, 우루과이 타이완, 캐나다, 오스트레일리아, 뉴질랜드, 터키, 베네수엘라 [ 제한없음 ] 데이터현지화의무가없음미국, 일본등기타국가 자료 : Albright Stonebridge Group, Data Localization: A Challenge to Global Commerce and the Free Flow of Information, September 2015, p.5. 주 : 개인정보의국외이전을제한하고데이터현지화를요구하는법령은수시로바뀔수있으므로명확히분류하기어려운점이있으며저자가작성시점을기준으로평가하여소개한것임 10

11 2. 개인정보로컬라이제이션의동기 < 그림 1> 의세계지도에서보듯이정도의차이는있지만데이터현지화를요구하는나라들이더많은게사실이다. 그러나그동기가나라마다조금씩다른것을알수있다. 우선미국국가안보국 (National Security Agency; NSA) 에서근무했던에드워드스노든이미국정보당국의전세계를대상으로한정보수집과감시활동 (PRISM) 을폭로한것을계기로국가안보와국익보호목적으로국내수집정보의국내보관및처리를요구하는경우가많아졌다. 그러나자국민의개인정보가국제교역이나해외아웃소싱등의목적으로해외반출된경우 에해외에서자국민의개인정보가침해되는일이없도록하는개인정보보호 (data protection) 차원에서정보의국외이전을불허하는경우도많다. 최근에는다국적 IT 거대기업들이국내에서많은수익을얻음에도불구하고세금을안내 거나적게내는것을방지하기위해국내에서버를설치하고고정사업장 (permanent establishment) 을두게하려는의도도엿보이고있다. 가. 국가안보와질서유지 2013년 7월스노든의폭로이후독일에서는연방개인정보감독기구가나서서외국의정보기관들이독일기업들이전송하는데이터에외국의정보기관이무단접근하는것을규제할수있음을밝혔다. 이와함께독일정부가지분을갖고있는도이체텔레콤에서도독일국내에서의인터넷트래픽을최대한국내에유지하려는방침을협력업체에시달하고, 다른 EU 회원국들에대해서도 EU만의유럽데이터네트워크를갖출것을제안했다. 5) 다만, 이러한조치는외국정보기관이독일데이터를열람하는것을근본적으로방지하기위한대책이될수없다는비판이제기되었다. 6) 5) 독일메르켈정부는유럽에서발신되는이메일과전기통신의망을분리하는범구주정보통신망구축에앞장서고있으며, 정부데이터를저장하는클라우드인프라 (Bundes-cloud) 를 2022 년까지개통하기로했다. Albright Stonebridge Group, Data Localization: A Challenge to Global Commerce and the Free Flow of Information, September 2015, p.8 ( 이하 Data Localization 이라약칭함 ). 6) 허진성, 데이터국지화 (Data Localization) 정책의세계적흐름과그법제적함의, 언론과법제13권 2호, 면. 11

12 이와관련하여브라질의호세프대통령도미국을우회하는남미와유럽간의정보통신망을연결하는해저광섬유케이블설치계획을제안하면서, 브라질우정국에암호화된이메일시스템개발을지시하였다. 의회에대해서는구글, 마이크로소프트등미국의 IT기업들이브라질이용자에대한데이터를국내서버에보관할것을의무화하려했으나거센반대에부딪혀이것은제외한채 2014년 4월인터넷이용자의권리와서비스제공자의의무를규정한마르코시빌법 (Marco Civil da Internet Law) 을공포하였다. 7) 중국에서도자국민들에대한사상통제와정치적안정을위해외부인터넷연결을막지는않아도일정한경우정부당국이인터넷트래픽의국내유입과국외유출을통제할수있는정보장벽 8) 을설치하였다. 이는후술하는 2017년의네트워크안전법에서보다구체화되었다. 이란에서도중국에서전문가들을불러와종교적으로허용되는인터넷을구축하는작업을진행하였다. 그러나안보목적의데이터현지화는오히려해킹등공격목표를명확히하는것이되어더위험에처할수있다는비판이가해지고있다. 나. IT 거대기업에대한종속탈피 유럽에서는구글, 아마존, 마이크로소프트, 페이스북등미국의 IT기업들이플랫폼 9) 을장악하고정보유통시장을지배하는것에대한경계심이고조되었다. 2017년초까지유럽의회의장을역임한독일사민당대표슐츠 (Martin Schulz) 는거대 IT기업 (Digital Giants) 에의한데이터시장의지배는경제문제에한하지않고사회질서의문제로직결될것이라고경고하기도했다. 10) 7) Dan Cooper, Brazil Enacts Marco Civil Internet Civil Rights Bill, Covington & Burling LLP April 28, < 8) 중국은 1994 년외부웹과연결된이래 1998 년에는인터넷트래픽의유 출입을통제할수있는황금방패 (Golden Shield) 시스템을설치하여세계에서가장정교한정보장벽이른바 Great Firewall ( 정보의만리장성 ) 을구축하였다. 9) 이러한플랫폼은중세시대에는봉건영주와교회, 길드조합등중간조직에속하였고개인의인권은도외시되기일쑤였다. 기본적인권이강조되는 21 세기의정보사회에서도플랫폼을누가지배하느냐에따라이러한사정은마찬가지다. 개인이정보사회에서자율적으로활동하고, 이러저러한플랫폼에서조각난인격을스스로의의사로재통합하기위해서는자신의정보를소유하고이전할수있는정보이동권이앞으로정보사회의불가결한인권으로인식될것이다. 生貝直人, 自律 分散 協調社会とデータポータビリティーの権利, 経済産業省分散戦略ワーキンググループ第 6 回, , 24 面. 10) EU 의회의슐츠전의장은 2016 년 1 월유럽의 CPDP( 컴퓨터, 프라이버시, 개인정보보호 ) 컨퍼런스에서다음과같이말했다. 만일개인정보가 21 세기의가장중요한상품이되고있다면자신의정보에대한개개인의소유권을강화하는것은정치인과사법부의임무이다. 이러한상품에아무도대가를지불하지않고이용만하려드는상황에서디지털자이언츠가새로운세계질서를형성하는것을허용하여서는아니된다. 12

13 이러한유럽인들의심리는 EU의개인정보보호규정 (General Data Protection Regulation; GDPR EU회원국내법률로서발효 ) 에정보이동권 (Right to Data Portability; RDP) 을규정함으로써구체화되었다. 11) 만일정보이동이안된다면어느한사람의개인정보는특정정보처리자의서버에갇혀 (lock-in) 있거나다양한사업자와정부기관에분산보관될것이다. 인터넷환경에서는구글과페이스북, 애플, 아마존 12) 사례에비추어플랫폼기업에정보가집중될것임이명약관화하다. 특히인공지능, IoT, 빅데이터, 로봇등에의한 4차산업혁명시대에플랫폼을장악한거대 IT기업에정보가집중되는상황은가상공간뿐만아니라이러한정보가이용되는제조업, 의료및교통서비스산업, 사회전반에걸쳐중대한영향을미치게될것이라는점은쉽게짐작할수있다. 이에따라 EU에서는주로미국계 IT 플랫폼기업에대한데이터시장을탈환하기위한무기로 EU내유통정보의역내보관을의무화하기보다 13) 정보이동권을강조하고나왔던것이다. 그리고일부동남아국가에서는자국내하이테크경제활동을촉진한다는의도하에로칼 콘텐츠를요구하고해외콘텐츠에대해서는높은세율을부과하기도한다. 이를테면 디지털 중상주의 (Digital Mercantilism) 의도래라할만하다. 14) 다. 공정과세의실현 다국적 IT기업들이국내에서엄청난광고수입을올리면서도세금을내지않거나아주적은금액만납부하는행태가많은나라에서문제가되고있다. 2013년 5월 EU 정상회담에서도다국적기업의조세회피문제를거론하고 EU 차원에서공동대처하기로의견을모았다. 실제로프랑스정부는구글, 페이스북, 아마존과같은 IT기업에대해수익이아닌매출액 (turnover) 기준으로과세하기로한바있으며, 2017 년 9월 EU 집행위에서도다국적 IT기업들이현지법인 11) GDPR Article 20 and para. 68 of Preamble. 박훤일, 정보이동권의국내도입방안 - EU GDPR 의관련규정을중심으로, 경희법학제52권 3호, , 면참조. 12) 세계정보유통시장의플랫폼을지배하는이들 IT 기업의머리글자를따서 GFAA 라고부른다. 13) EU 의데이터보관지침 (EU Data Retention Directive, Directive 2006/24/EC) 은 2014 년 4 월유럽사법재판소 (Court of Justice of the European Union; CJEU) 로부터사생활에대한기본적인권및개인정보보호를광범위하고심각하게침해하므로소급하여위법무효라고선고받았다. Covington & Burling, EU Data Retention Directive Declared Invalid by CJEU, Inside Privacy, April 8, < 14) Stuart Lauchlan, Data localization rules damage the global digital economy, says US tech thinktank, Diginomica, May 3, < -says-us-tech-thinktank/> 13

14 같은물리적실재가없다는이유에서일반기업의 23.2% 에비해크게낮은 10.1% 세율의법인세만납부하는것을시정하기로방침을굳혔다. 15) 애플과구글같은 IT기업들은이른바 Double Irish with Dutch Sandwich 전략 16) 을구사하여미국외매출에대한원천지과세를회피해온것으로알려져있다. 이러한실정에비추어정교한세법규정을갖추지못한동남아국가에서는세계적인검색 사회관계망서비스 (SNS) 운영기업에대해자국내에서버를두도록하고이를근거로과세하는방법을택하고있다. 우리나라에서도구글은유한회사인구글코리아가소규모벤처기업으로분류되어있어외부감사나, 매출액을공시할의무가없다. 2016년중구글은우리나라에서구글플레이앱을통한유료앱판매액과유튜브동영상광고매출, 검색광고료등으로 2조원이상의매출을올린것으로추정된다. 그럼에도한국내구글매출액은광고판촉만벌이는구글코리아가아닌법인세가낮은싱가포르소재구글아시아퍼시픽의수입으로잡히며, 최종적으로는법인세율이낮고조세감면혜택도많은아일랜드에서세금을내는것으로되어있다. 정부는 2017년 1월구글을비롯한다국적기업의현지세금회피를막기위해비상장유한회사의경영내용을공시하도록하는관련법개정안을발의했지만법안심리는무기한연기된상태이다. 17) 그러나현지에서버를구축하게하는 FLMs 정책이단기적으로는데이터센터의설치, 정보통신기술직채용의증가를가져와지역경제에도움이될수있을것이다. 그러나장기적으로는정보흐름의단절은외국인투자의욕을저상시키고유망한프로젝트에대한외국기업과의협력사업을방해하는등역효과가더크다는비판도만만치않다. 18) 15) The Guardian, EU to find ways to make Google, Facebook and Amazon pay more tax, 21 September < 16) 구글 ( 부터는지주회사인알파벳 ) 은아일랜드에자회사를설립한후연구개발비의일부만받기로하고지적재산권을자회사에이전한다. 이자회사는직접영업을하지않고 100% 자회사를만들어지재권을사용하는영업을유럽과아프리카에서수행하도록한다. 이때네덜란드에세번째자회사를만들어지재권의사용과그사용료를중개하는역할을맡긴다. 아일랜드세법및조세조약에따라 EU 역내의모회사나자회사에지급한사용료에대해원천과세를하지않는것을이용한편법이다. 그결과대부분의국외영업이익은구글이아일랜드에처음만든자회사에쌓이지만아일랜드세법상미국본사 ( 버뮤다에설립된또다른구글자회사 ) 의지배를받는비거주자로취급되므로아일랜드에서법인세를신고납부할필요가없는것이다. 안종석, 다국적 IT 기업의조세회피행태와시사점 ; 애플 구글의사례를중심으로, 재정포럼 , 8 10 면. 17) 조선일보, 한국게임으로 1 兆챙긴구글 세금은 ' 깜깜 ', ; Insight, ' 구글 ', 국내서 2 조버는데세금은한푼도안낸다, < 18) Albright Stonebridge Group, Data Localization, p.7. 14

15 라. 국내기업의역차별방지 우리나라의경우한 미 FTA에서미국은행고객의금융거래정보를해외에서처리하는문제를둘러싸고논란이많았다. 그결과한 미 FTA 제13부속서에서각당사국은상대국의금융기관이일상적인영업과정에서개인정보의처리가요구되는경우그의처리를위해자국영역안과밖으로정보를전자적또는그밖의형태로이전하는것을허용하기로했다. 다만, 금융정보의해외이전을허용한다고하여금융정보의생성 저장을위한 IT 설비, 금융전산망등본질적요소들의해외이전까지허용하는것은아니다. 19) 한편구글은구글맵제작을위해 2007년부터공간정보의반출을줄곧요구해왔다. 2016년에도정식으로공간정보반출을요청하여외국인투자담당부처에서는긍정적인의견을보였으나 20) 최종적으로국가안보에지장을줄수있고, 이를허용하면엄격한보안규정을적용받고있는국내기업들에대한역차별이된다는이유에서국내서버설치를조건으로내걸었다. 그러나해외의클라우드서비스를이용하고, 앞서설명한바와같이글로벌한관점에서세금을줄이려는구글측이이를거부함으로써그해 11월최종불허결정이내려졌다. 21) 마. 클라우딩서비스의이용추세에서 U 턴 세계적인데이터로컬라이제이션추세와는반대로우리나라에서는클라우드컴퓨팅의도입은이제거스를수없는대세가되었다. 22) IT 기업은물론가장보수적인은행들도클라우드도입에적극적이다. 인공지능 (AI) 과사물인터넷 (IoT), 빅데이터등클라우드인프라및플랫폼이각광을받으면서클라우드도입율도현재의 20% 대에서크게높아질것으로보인다. 23) 아마존같은해외클라우딩서비스업체를이용할경우데이터는해외에소재하는서버에보관될것이다. 19) 박훤일, 개인정보의국제적유통에따른법적문제와대책, 집문당, 2015, 면. 20) Google Maps 가전세계적으로관광산업및무인자동차사업에널리이용되고있음에비추어공간정보분야국내기업의경쟁력향상과외국인투자를통한기술제휴및협업을기대할수있다는의견도있었지만, 그효과는일부하청업체에만해당되고장기적으로는기술종속의우려가있다는반론도만만치않았다. 오마이뉴스, 구글의지도국외반출요구에포털 네비업체 역차별 반발, < 21) 2016 년 11월 18일경기도수원국토지리원에서열린기본측량성과국외반출협의체 3차회의에서협의체는국가안보를이유로구글의기본측량성과반출요청에대해불허결정을내렸다. 22) 일반적으로외국에있는클라우드컴퓨팅서비스업체의약관에동의하는방식으로서비스이용이개시되나개인정보가포함되어있는경우에는개인정보보호법, 정보통신망법과관련하여주의를요한다 ( 클라우드컴퓨팅발전및이용자보호에관한법률제 4 조 ). 23) 디지털데일리, [ 주간클라우드동향 ] 2017 국내클라우드도입, 어디까지왔나, < 15

16 금융권에서도챗봇과같은 AI 기반신기술수용사업을클라우드기반에서운영하는사례가늘고있다. KB국민은행의경우 2017년 9월에오픈한대화형뱅킹플랫폼 리브똑똑 에아마존웹서비스의인프라를이용하고있으며, 신한금융그룹도오는 11월부터아마존의음성인식 AI를통해파일럿서비스를개발하기로했다. 제조업체들은스마트팩토리와관련하여, 의료부문은정밀의료나원격진료등여러분야에서클라우드서비스및기술의도입을적극검토하고있다. 클라우드주무부처인과학기술정보통신부에서도전국산업단지에입주한기업을대상으로다양한클라우드서비스요금을최대 70% 까지지원해중소규모제조기업의경쟁력을높이기로했다. 조달청나라장터의종합쇼핑몰에도 2개의클라우드인프라서비스 (IaaS) 가정식등록됨에따라 24) 클라우드서비스가확대될전망이다. 이에따라국제적인정보유통에로컬라이제이션이라는장벽이설치된다면경제적으로심각한타격을주게될것임이틀림없다. 미국의 IT분야씽크탱크인 ITIF (Information Technology and Innovation Foundation) 에의하면미국에서는데이터로컬라이제이션의결과 GDP가 % 줄어드는효과가발생할것으로전망했다. 이미데이터현지화법을시행하고있는브라질, 중국, EU, 인도, 인도네시아, 한국, 베트남에서도정도의차이는있지만 GDP가 % 감소할것으로내다보았다. 25) 3. 주요국의사례 이하에서는위에서설명한정책적동기에비추어우리나라가참조할수있는데이터현지화 를의무화하고있는중국, 베트남, 인도네시아, 인도, 러시아등의 FLMs 규제현황과대응책을 살펴보기로한다. 24) IaaS (Infrastructure as a Service) 란서버, 네트워크장비, 스토리지등인프라자원을구매하지않고인터넷을통해서비스형태로임대해이용하는서비스를말한다. 조달청의종합쇼핑몰나라장터에는 NAVER 비즈니스플랫폼과케이티가 IaaS 를클라우딩으로제공하는데이를이용하려면 KISA 가발급하는보안인증을받아야한다. IaaS 사용료는서비스를사용한만큼청구되며, 웹방화벽, 데이터관리시스템 (DBMS), 백업등부가서비스도함께제공된다. 전자신문, 나라장터에서인프라클라우드서비스이용하세요, < 25) Stuart Lauchlan, op.cit., < 16

17 가. 중국 1) 규제의현황 중국은거대한인구를기반으로알리바바, 바이두, 탄센트와같은세계적인 IT 대기업을둔나라이지만개인정보보호에관한한국제적인흐름에크게뒤져있다. 그런데스노든사건이후중국정부가국가안보법 ( 國家安全法 ) 과테러방지법의제정을서두르면서개인정보보호관련규정을마련하여주목을받았다. 지금까지개인정보보호를위한포괄적인법규정이시행된적이없기에이들법안에들어있는개인정보보호에관한규정과다른한편으로는이를제약하는규정들이관심을끌었다. 중국의입법기관인전국인민대표대회 ( 全國人民代表大會 ) 26) 는 2016년 11월 7일인터넷에대한통제를강화하고네트워크설비와시설, 정보데이터등에관한보안조치등을망라한네트워크안전법 ( 中國網絡安全法, PRC Cybersecurity Law) 을채택했다. 새법률은준비기간을거쳐 2017년 6월 1일부터시행되었다. 27) 미국의스노든사건이계기가되었지만사이버보안을이유로국가기관에대한정보제공및기술협력의무, 데이터의로컬라이제이션등개인정보보호가뒤로밀리는현상이벌어지게된것이다. 네트워크안전법의초안은 2015 년 6 월발표되었고, 이후두차례의심의및의견수렴과정 을거쳤다 년 6 월진행된제 2 차심의및의견수렴과정을거친최종안에는인터넷범죄에 대한처벌내용을담은 4 개조항이추가되었으며, 이후최종안은수정없이통과되었다. 2) 주요내용 1 중국의네트워크안전법과개인정보보호이슈네트워크안전법의입법취지는인터넷공간의주권과국가안보의유지, 공민과법인및기타조직의합법적권익을보호하기위한것이다. 이법은사이버공간에서의프라이버시와보안관련사안에대해포괄적으로다룬중국최초의법규라는점에서의의가있다. 개인정보를비롯한데이터의보안을강화한측면도있으나시민들의온라인활동에대한감시및해외기업에대한차별을가져올수있는규정을포함하고있다. 26) 중국전국인민대표대회는중국의형식상최고권력기관으로서 22개성 자치구 직할시, 홍콩 ( 香港 ) 마카오 ( 澳門 ) 특별행정구 ( 特別行政區 ), 인민해방군에서선출되는대표로구성된다. 27) 개인정보보호포럼 한국인터넷진흥원, 지능정보사회선도를위한개인정보보호이슈및동향,

18 중국네트워크안전법은중국내정보통신망의구축 운영 유지보호 사용및그의보안에대한감독및관리와관련된사항을규정하고있다. 이에따라개인컴퓨터를비롯한정보단말기부터온라인서비스제공기업에이르기까지인터넷과관련된제반영역이규제의대상이다. 네트워크안전법은 총칙 ( 总则 ), 네트워크보안전략 기획 촉진 ( 网络安全支持与促进 ), 네트워크운영보안 ( 网络运行安全 ), 네트워크정보보안 ( 网络信息安全 ), 모니터링경보와응 급조치 ( 监测预警与应急处置 ), 법적책임 ( 法律责任 ), 부칙등총 7 장 79 조로구성되어있다. 네트워크안전법은 핵심정보통신기반시설 ( 關鍵信息基礎施設, Critical Information Infrastructures; CII) 운영자에게엄격한책임과의무를부과하고있다. 이법제31조에서 핵심정보통신기반시설 이란에너지, 교통, 수리시설, 금융, 의료, 방송, 공공서비스, 전자정부등국가중점시설분야와네트워크의기능파괴또는데이터유출시국가안전과공공이익에영향을미치는정보통신시설을의미한다 고정의하였다. 주요정보통신기반시설의운영자는각종보안심사와안전평가를받아야하며, 제37조에서는중국에서의사업수행과정중수집되거나창출된중국국민들의개인정보 (Citizens' Personal Information) 와중요데이터 (Important Data) 는반드시중국현지에소재한서버에저장하도록의무화하고있다. 그러나합법적인사업상의이유로인해이같은데이터를중국외부에있는해외법인이나조직등에게제공해야하는경우에는중국의사이버보안관리당국및중국국무원이공동으로마련한보안평가 (Security Assessment) 28) 를거치도록했다. 2 네트워크안전법과개인정보보호관련사항 네트워크안전법은중국정보통신산업부 (MIIT) 가 2011년 12월정보통신망보호규정을제정한이래정부차원에서추진해온개인정보보호의원칙을법률로써구체화한성과물이라할수있다. 29) 특히개인정보보호와관련하여다음사항들을규정함으로써개인정보보호에관한의지를표명하고있다. 28) 네트워크안전법에는보안평가의의미와구체적인내용이명시되어있지않다. 당초데이터현지화의무도국내외비판이일자모든네트워크운영자에서 CII 로범위를좁혔는데최종시행시기도 18 개월연기한것으로알려졌다. Adam Golodner, et al., China's New Cybersecurity Law Imposes Heightened Restrictions on Company Computer Networks, Arnold Porter Kaye Scholer, July 20, ) Graham Greenleaf and Scott Livingston, China s Cybersecurity Law also a data privacy law?, Privacy Laws & Business International Report, December 2016, p

19 네트워크운영자가법규를위반하거나개인정보수집 이용과관련한계약사항을위반한경우정보주체가해당운영자에게개인정보의삭제를요구할수있고, 수집되거나저장된정보에오류가있을때에는이에대한수정을요구할수있다 ( 제43조 ). 개인이나조직은개인정보획득을목적으로불법적인수단을동원하거나개인정보를절취해서는안되며, 개인정보를제3자에게불법적으로판매하거나불법적으로제공해서는안된다 ( 제44조 ). 네트워크보안감사및관리의무를가진조직이나담당자는업무과정에서획득한개인정보와상업적비밀정보에대해엄격한보안을유지해야하며제3자에게이를누설, 판매또는불법적으로제공해서는안된다 ( 제45조 ). 이법은기존법령에비하면진일보하여, 이른바글로벌스탠더드라할수있는개인정보침해사실의이용자에대한고지의무를규정하였고벌칙도다소강화되었다. 그러나이용자의정보열람권, 정보의질 (quality) 이나민감정보에관한규정은빠져있으며, 개인정보보호와감독을담당하는국가기관도명시되어있지않다. 30) 더욱이중요정보의국내처리 보관을의무화하고정보의반출을규제하고있어국제적인흐름에역행하고있다. 입법취지를보더라도네트워크안전법은온라인상에서의검열과통제를크게강화하고있으며, 인터넷활동에대한정부의개입을합리화하고있는것이특색이다. 네트워크안전법은인터넷서비스제공업체에대해온라인서비스를제공하는계약관계를맺을때반드시실명정보 (Real Identity Information) 를요구하도록했다. 인터넷서비스제공업체등이당국에기술제공과수사에협력하도록의무화하고, 사용자가게시한정보에대한관리를강화해불법정보발견시전송중단, 제거, 확산방지, 기록보관등의조치를수행하고유관기관에보고하여야한다. 인터넷서비스제공업체는수사기관에대해의무적으로협조하도록했으며주관부처는국가안보, 사회질서유지등을위해인터넷서비스제공업체에게그사용을제한하는임시조치를내릴수있다. 네트워크로그기록은데이터보관규정에따라 6개월이상보관하여야한다. 30) Ibid., p

20 국가는네트워크운영자들이네트워크안전에관한정보를수집 분석 신고하고대응능력을증진함에있어서상호협력하는것을지원한다. 네트워크안전법은법적책임을규정하는제5장에서법인이나이와관련된책임자가해당법률조항을준수하지않을경우경고, 과징금부과, 부당이익환수, 영업정지, 사업면허박탈등의처벌을가할수있도록규정하고있다. 네트워크보안책임등을이행하지않은경우 1만위안 10만위안의과징금이부과되며, 직접적인관리책임자에대해서는 5천위안 5 만위안의과징금이부과된다. 그밖에제59조부터제75조에서는다양한상황에대한법적책임을부여하고그에상응한과징금을규정하고있다. 3 중국의네트워크안전법과데이터의로컬라이제이션이슈시진핑정부에서는사이버보안을강조하면서개인정보의국내보관 처리를의무화할것으로예견되었다. 연혁적으로중국정부는국가기밀이나일정한금융정보, 의료정보같은민감정보는외국으로이전하거나외국에보관하는것을금지시켜왔다. 명백히데이터의국내보관 처리를의무화한것은아니었지만그러한효과를가져오도록만들었다. 최근들어서중국정부는적극적으로광범위한개인정보법제의중요한구성요소인전자정보의국내보관 처리를의무화하고있으며, 이러한취지로네트워크안전법규정이마련되었다. 중국이이처럼민감하게반응한것은에드워드스노든이미국정보기관의 PRISM 첩보수집을폭로한것을계기로중국공산당이사이버보안을강조하였기때문이다. 그당시만해도국가의기간전산망이외국업체에의존하는사례가적지않았다. 스노든폭로를계기로중국은인터넷정책결정기구를정비하고시진핑주석을위원장으로하는중앙사이버보안및정보화지도소조 ( 中央网络安全和信息化领导小组, Central Leading Group for Cybersecurity and Informatization) 를설치하였다. 인터넷정책을총괄조정하는중앙정부조직 ( 国家互联网信息办公室, Cyberspace Administration of China; CAC) 도만들었다. 그러니이들정부조직이사이버주권을강조하면서영토안에서전송되는인터넷콘텐츠를감독하고통제하는권한을갖는것은당연한귀결이었다. 그러니인터넷정책은국내에서외국기술이안전하고통제가능할것을요구함과아울러정부의통제와감독을기반으로하는것이었다. 그중심은인터넷정보를국외로이전하는것을금하고국내에보관하도록하는정보처리의로컬라이제이션이었다. 20

21 전통적으로중국의인터넷법령은정보의국외이전을금하고일정한민감정보는국내에저장하도록했다. 중국국가기밀법 ( 国家机密法, China Secrets Law) 에서광의로정의되는국가기밀 (State Secrets) 의국외이전은금지되었다. 최근에는산업별로특화된규정이신설되어다른유형의민감정보를여기에포함시켰다. 중국인민의개인신용정보의해외처리 저장을금지하는 2011 년은행및금융기관의 개인정보보호를촉구하는중국인민은행통지 31) 은행업무의사이버안전보장능력과정보화건설수준을향상시키도록하는안전하고 제어가능한정보기술을응용한은행업네트워크보안및정보화건설강화에관한지도의견 32) 개인정보의국외이전에정보주체의동의를요하는 2013 년자율적가이드라인 33) 중국에서수집된인구건강정보의국외저장을금지하는 2014 년전인민건강정보관리 조치 34) 4 중국의 FLMs 규제에대한외국의반응 2014년테러방지법에서도국내에서의정보처리및보관을요구하였다. 이에따르면인터넷콘텐트제공자, 즉웹사이트또는스마트폰앱은정부가접속할수있는백도어 35) 를만들고비밀암호키를공안당국에제출하도록했다. 더욱이이법안에서는이들사업자가중국내에서버를설치하고국내이용자들의모든데이터를보관하도록했다. 그러자새법률안의의무사항은외국정부나무역단체의반발을불러일으켰다. 미국의오 바마대통령은시진핑주석과회담할때심각한우려를표명했다. 이에따라중국정부는 2015 년 12 월에제정한테러방지법 ( 恐怖活动防止法, PRC Anti-Terrorism Law) 에서는논란이 31) 中国人民银行关于金融机构进一步做好客户个人金融信息保护工作的通知 (Notice of the People's Bank of China on Urging Financial Institutions to Further Effectively Protect Clients' Personal Financial Information) ) 2014 년 9월중국은행업감독관리위원회 (CBRC), 국가발전개혁위원회, 과학기술부, 공업정보화부가공포한关于应用安全可 控信息技术加强银行业网络安全和信息化建设的指导意见 ( 文書番号 : 銀監発 [2014] 39 号 ) < /govview_115696b a0b880dab133a33.html> 33) Information Security Technology Guidelines for Personal Information within Public and Commercial Services Information Systems ) 人口健康信息管理办法 - 试行 (Measures for Administration of Population Health Information Trial Implementation) ) 백도어란제품, 컴퓨터시스템, 암호시스템등에서정상적인인증절차를우회하여정식승인을받지않고시스템에접속하는것을말한다. 21

22 많았던일부조항을삭제하거나수정했다. 최종적으로데이터의국내보관 처리조항이전부빠졌고, 암호화요건도완화되어공안당국이요청하면인터넷콘텐트사업자가암호화키를곧바로제공하는대신기술적지원을하도록완화했다. 네트워크안전법에서도정보의국내보관 처리를의무화하는조항이들어갔다. 테러방지법에서이러한조항이빠졌으나전국인민대표대회에서는네트워크의안전을도모하고사이버공간에서의주권을확보하기위해서는중요정보의국내보관 처리가긴요하다고여겼다. 그리하여중요정보인프라 (CII) 운영자는중국국내에서운영하고수집 생성된개인정보및중요데이터는중국국내에서보관하도록하고, 업무의필요성에서국외로의제공할필요가있는경우국가네트워크정보부문은국무원관련부서에서제정한방법에따라보안성평가를받도록했다. 법률, 행정법규로별도의규정이있는것은그규정에따른다 ( 제37조 ). 하지만막판에이조항의시행시기를늦춘것으로알려졌다. 네트워크운영자는치안및국가안전담당기관이법에의하여국가의안전유지또는범죄수사활동을함에있어기술적지원과협력을하여야한다 ( 제28조 ). 그밖에온라인출판, 자동차함께타기 (ride sharing), 인터넷지도서비스, 인터넷뱅킹 증권서비스도관련규정에따라이용자의개인정보를중국내에보관 처리할것을요구하고있다. 요컨대중국네트워크안전법은온라인데이터의해외이전및저장에대한제약 (FLMs) 을강화하고개인정보보호를위한규정을명시한점에서주목된다. 중국정부는스노든의폭로로드러난사이버위협의증가추세를이유로사이버보안강화및온라인정보에대한주권강화의필요성을역설하고있다. 이것은현재도중국정부가사이버공간에서취하고있는여러조치들의법적인근거를마련한것이라볼수있다. 개인정보보호와관련하여글로벌스탠더드에따라정보주체의권리를명시하는등진일보한측면도있으나개인의정보통신망에서의활동에대하여정부의검열을강화하겠다는의지를표명하고있다. 중국내정보통신망을통해세계최대의온라인시장에접근하려는외국의기업들로서는여러채널을통해 FLMs는기업활동을크게제약하고중국경제의발전에도유익하지않다는점을설득하는한편 36) 이법률의주요개념과규제 시행에관한사항, 그에따른효과를관심있게지켜볼필요가있다. 36) 野村総合研究所, EU との規制協力 : サイバー空間及び IoT に係る規制等に関する調査報告書, , 14 面. 22

23 나. 베트남 1) 규제현황 베트남에서는다음과같은법령에의하여서버의국내설치의무가규정되어있다. 1 인터넷통화, SM 서비스의제공및이용의관리에관한규정 (OTT 통달 ) 2013년이후인터넷을이용한통화 메시지 (Over the Top; OTT) 37) 서비스가발달함에따라정보통신부가처음으로 OTT에대한규제를도입하기로했다. 업계의의견수렴도끝났으나아직정식으로조문화되어되어있지는않다. 현지 OTT 사업자와단체들이일관되게반대를하고있어통달의시행여부는불투명한실정이다. 통달의주요내용은다음과같다. 38) 있다. 국내법인은 OTT 서비스사업인가를받은경우에한하여유상으로서비스를제공할수 유상의 OTT 서비스를제공하는해외사업자는 (i) 유상으로 OTT 서비스제공에관한사업인가를취득한베트남국내사업자와계약을체결하거나 (ii) 베트남국내에최소한하나의호스트서버를설치하고유상으로 OTT 서비스제공에관한사업인가를취득한베트남국내의사업자와업무협약을체결하여야한다. 무상으로 OTT 서비스를제공하는사업자는국내 / 해외사업자와사업인가를취득할필요가없으나서비스가입이용자수가 100만을초과하는경우에는그사업자는정보통신부 (MIC) 에대하여본사의소재지, 도메인이름, 호스트서버의주소, 취급통화 / 메시지수등의정보를제공하여야한다. 인터넷서비스제공자는 OTT 서비스제공자와그이용자를방해해서는아니된다. 2 정보기술서비스정령 베트남정보통신부 (MIC) 가 IT 기기 서비스에대한승인 등록, 데이터의현지보관을의무화 하는정령의제정을추진하고있다. 37) Over the Top에서 Top은 TV셋톱박스같은단말기를뜻하므로 OTT는셋톱박스같은단말기를넘어서서인터넷과모바일을이용한영화 방송 교육등각종미디어콘텐츠를제공하는서비스를말한다. 38) 노무라종합연구소, 앞의보고서, 15 면. 23

24 3 정령 72 호 (No.72/2013/ND-CP) 베트남에서는 2013년정령 72호에따라일반웹사이트나사회관계망웹사이트를서비스하는사업자는베트남에감독당국의검사를받는하나이상의서버를두어야한다. 39) 데이터보관의요건은일반웹사이트의경우적어도일반정보를사이트에게시된날로부터 90일간, 처리된정보의로그기록은 2년이상보관하여야하며, 사회관계망웹사이트의경우계정및로그인-로그아웃시간, 이용자의 IP주소, 처리된정보의로그기록을 2년이상보관하여야한다. 그리고테러, 범죄, 위법행위와관련이있는이용자에대해서는관할행정청의요구가있으면그의인적사항과사적인정보를제공하여야한다. 40) 2015년에는공개정보의국경간제공을규율하는통달 41) 의시안이공표되었다. 여기서공개정보의국경간제공이란외국의기관, 기업또는개인이외국에하드웨어를설치하거나외국의클라우딩서비스를이용하여베트남국내이용자에대하여뉴스웹사이트, 소셜네트워킹, 검색엔진, 이용자가열람또는다운로드할수있는공개정보에관한앱또는그와유사한것을제공하는것을말한다. 이에따라뉴스사이트, 검색엔진등을국외의하드웨어또는클라우딩서비스를통해운영하는경우, SNS 가입회원이 5천명을넘을경우에는법적인대표자를베트남국내에두어야한다. 예외적으로순전히상업적인웹사이트로서특성화된응용 (specialized application) 사이트인경우에는데이터처리및보관의현지화의무가없다. 통신, 정보기술, 방송, 텔레비전, 상거래, 금융, 은행, 문화, 헬스케어, 교육기타일반적인정보제공이아닌전문분야에속한웹사이트가이에해당한다. 42) 2) 국내외의반응 베트남 IT 업계에서는정부의현지화정책에반대의입장을분명히하였다. 이러한규제는베 트남산업의경쟁력을떨어트리고규제가없는싱가포르등지로떠나기때문에산업공동화가 39) 정령 72 호의적용범위는아주광범위한바, 베트남에서등록하고운영하는기업은물론베트남밖에소재하더라도베트남이용자들에게서비스를하거나베트남어로서비스하거나, 베트남도메인주소 (.vn) 를쓰거나베트남과어떤형태로든관련이있는사업자들이그에해당한다. 40) Scott Livingston and Graham Greenleaf, Data localisation in China and other APEC jurisdictions, Privacy Laws & Business International Report Issue 143, October 2016, pp ) Draft circular on detailed regulation on cross border provision of public information(no.72/2013/ ND-CP) 42) Livingston and Greenleaf, op.cit. 24

25 우려된다는의견을내놓았다. 이와관련하여구글, 이베이등미국계대형 OTT 사업자들도 맹렬히반대로비를펼치고있다. 다만, 현지법인의설립을의무화하는것에대하여외국의 OTT 사업자들이납세를회피하려고반대하는게아닌가하는의혹을사고있다. 43) 요컨대베트남의 FLMs 조치는크게국방과사상통제, 과세, 국내산업의육성세가지측면에서살펴볼필요가있다. 국방 사상통제에관하여는국방부가적극적인반면정보통신부, 산업무역부에서는베트남경제에도움이되지않는다는이유에서이에소극적이다. 과세문제는비단베트남에한하지않고국가간의전자상거래전반에관하여제기되고있으므로국제적논의의추이를보아가며해결될전망이다. FLMs와관련산업의육성은산업공동화를초래할수있다는점에서특히주목을요한다. 베트남에진출하려는국내기업이늘어나는추세인만큼우리정부차원에서도기술및자금협력을함에있어서 FLMs가상호간에득이안된다는것을설명하고베트남측의양해를구해야할것이다. 다. 인도네시아 1) 규제의현황 1 전자시스템과거래조직에관한규정 (2012 년정부규정제 82 호 ) 44) 인도네시아 2012년정부규정제82호에따르면공공서비스전자시스템관리자는데이터센터를법집행및국가주권의보호와집행을목적으로반드시인도네시아국내에두어야한다. 공공서비스와관련된정보외에도건강정보는보건부장관이관리하는데이터센터와연결되어있는국내의데이터센터에서처리해야한다. 보건부장관의허가가있으면외국에서도처리할수있다. 이러한현지화정책은경제발전에도움이안된다는반론도있었으나공공의이익을위한것이라는주장에묻혀버렸다. 45) 2 통신정보부규정 (2015 년정부규정제 27 호 ) 46) 4G 스마트폰에대하여 30 40% 의로컬콘텐츠를싣도록하였다. 이규정에의하면인도 43) 베트남에서서버의현지설치의무화등 FLMs 에관한집행사례는아직없다. 노무라연구소, 앞의보고서, 18면. 44) Organization of Electronic Systems and Transactions Regulation(82/2012) 45) Livingston and Greenleaf, op.cit. 46) Regulation No. 27 of 2015 regarding Technical Requirement of Equipment and/or Telecommunication Devices in Long Term Evolution Technology Basis(Permenkominfo 27/2015) 25

26 네시아에서제조 이용또는수입된 LTE 제품에대하여다음과같은로칼콘텐츠요구를충족하여야한다. 기지국의송신기는 30%, 스마트폰수신기는 20% 에서시작하여 2017년부터는각각 40%, 30% 로인상되었다. 여기서로칼콘텐츠는소프트웨어를포함하므로 ( 예컨대스마트폰의프리인스톨소프트웨어 ) 현지업계는반기는분위기였다. 3 개인정보보호법 2015년 7월정부기관에대한개인정보보호규정이공포되었다. 인도네시아에서는개인정보보호에관한일반법은없고개별법령에개인정보보호에관한조항이들어있다. 일반사업자에대한규제는아직검토된바없다. 4 OTT 규정인도네시아에서도 OTT 서비스가발전함에따라정부가새로운규제를내놓았다. 외자계기업에관해서는 OTT 서비스를제공할때인도네시아국내에항구적시설 (BUT) 을설치할의무가부과되었다. 이는외자계기업의 OTT 서비스제공에따른영업수익에과세를하기위한것으로풀이된다. 2) 국내외의반응인도네시아의경우데이터현지화에관한법규정이복잡하고예외규정이많으므로현지기업들이많이참여하는업계단체를통하여사정을파악하는경우가많다. 아직은기업에대한 FLMs 집행사례도많지않다. 인도네시아정부역시과도한 FLMs는인근싱가포르등지로기업들이빠져나갈가능성을염두에두고있는것같다. 현지기업들은대체로정부의 FLMs 시책을지지하고있으며, 스마트폰의로컬콘텐츠요구에대해서도적극적으로받아들이고있다. 그러나외국기업을비롯하여일부현지기업들은해외의클라우드서비스를이용하여사업을벌이고결제를하는만큼지나친 FLMs에반대하는입장을보이고있다. 26

27 라. 인도 1) 규제의현황현재인도에명백히 FLMs와관련된법령은없다. IT산업을경제발전의한축으로인식하고있는인도정부가정보의국외이전에대한규제강화는관련산업의발전을저해한다고보기때문이다. 예컨대 M2M 로드맵을보면 2015년판에는데이터현지화와관련된기술이있었으나그최종판에서는그내용을수정하였다. 즉, 국가안보의관점에서인도국내의이용자들에게서비스를제공하는 M2M 게이트웨이나어플용서버는모두인도국내에설치할필요가있으나, 소규모의고객기반을가진 MSP로서는규모의경제를누릴수없고, 또한무역정책상의상호주의, 프라이버시, 비공개조건등다른나라에서도채택하고있는규칙에따르는것이좋다고하였다. 47) 2) 정보의자유로운국제유통을지향인도에서는오히려정보의자유로운유통 (data free flow) 을지향하는움직임이두드러진다. 인도의 IT법 (2000) 에의하면통신회사는인도국내에서의통신기록보관이의무화되어있다. 이는범죄수사등에있어서통신기록을참조할가능성이있기에인정된것이지다른나라에비해특별히이례적인것은아니다. 마. 유럽연합 (EU) 1) 규제의현황 1 제3국의적절한개인정보보호수준유럽연합 (European Union; EU) 에서역내에서데이터를보관 처리해야하는경우란개인정보이전대상인정보처리자가속한나라의개인정보보호의수준이 EU 기준에비추어적절하지못할때이다. 이에관한근거는 EU 개인정보보호지침 (Data Protection Directive 95/46/EC) 제25조및제26조이다. EU 회원국의개인정보감독기구들로구성되어있는개인정보보호작업반 (Article 29 Working Party) 에서는동규정에따른실무작업보고서 (Working Document) 48) 에 47) 노무라연구소, 앞의보고서, 24 면. 27

28 열거되어있는 12 가지기준 49) 에비추어적절한보호수준 (adequate level of protection) 인 지여부를평가하게된다. 이기준은 GDPR 제 45 조에도그대로반영되어있어 GDPR 시행 후에도정기적으로재심사를받는것외에는당분간계속적용될것으로보인다. 그러므로개인정보를수집하고이를보관 처리하는기업이라면 EU에서요구하는개인정보보호의안전대책 (safeguards) 을갖추지못한경우 50) 정보를역외로반출할수없으므로현지에서버를둘수밖에없다. EU 입장에서는 EU 역내시민들의프라이버시권을보장하고미국계다국적기업에의한정보의지배를막기위한고육지책이라할수있다. 스노든이폭로한대로미국정보당국이독일, 브라질등외국정상의통화를감청하고있었던상황에서다른대안이없었던것이다. 마침페이스북의아일랜드현지법인에서도유럽이용자들의정보를세이프하버협약에따라미국본사로전송하여처리하여왔는데유럽사법재판소 (CJEU) 는 2015년 10월쉬렘스사건 51) 에서 EU-미국간세이프하버협약을무효로선언하였다. 왜냐하면 EU 시민이페이스북에올린개인정보가미국내에서처리되는과정에서미국정보기관에제공될수있음을간과한협약은무효라고한것이다. 이에따라세이프하버협약을대체한프라이버시방패 52) 에서는미국기업이 EU 주민의개인정보를다룰때보다엄중한의무를지게하고미국정부기관도명백한안전조치와투명한처리를약속 53) 하게하는한편침해를입은 EU 시민에대한구제에만전을기하도록했다. 그리고 EU 집행위에서도프라이버시보호를최우선과제로내세워데이터의보관과소유 문제를다룰기관을설치하고새로운직책을만들었다. 디지털경제를담당하는귄터외팅어 48) EU Article 29 Working Party, Transfers of personal data to third countries: Applying Articles 25 and 26 of the EU data protection directive < 49) 12 개기준은다음과같다. 1) 기본원칙 1 목적제한의원칙 2 정보의질, 비례성의원칙 3 투명성의원칙 4 안전성의원칙 5 열람 정정 거부의권리 6 제 3 자전송제한 2) 추가기준 7 민감정보 8 다이렉트마케팅의제한 9 자동화된의사결정 3) 절차 / 집행 / 구제의방법 10 양호한수준의준수 11 정보주체에대한지원 12 피해자에대한적절한구제. 50) 이러한안전조치에는자율규제와표준계약서, 구속력있는기업규칙 (Binding Corporate Rules; BCRs) 등이있다. 미국은 EU 와세이프하버협약 (Safe Harbor Agreement) 에의하여이문제를해결하였으나쉬렘스판결로무효가선언됨에따라이를프라이버시방패 (Privacy Shield) 로대체하였다. 51) Court of Justice of the European Union, Maximilian Schrems v. Data Protection Commissioner, C-362/14, 6 October ) EU Commission, EU Commission and United States agree on new framework for transatlantic data flows: EU-US Privacy Shield, Press release, 2 February < 53) 미정부는국가안보목적이라고했으나 CJEU 는개인정보보호에대한예외사유는엄격히해석할필요가있다고보았다. 28

29 (Günther Oettinger) 집행위원은미국기업들로부터정보통제권을되찾는것이그의임무 라고공언하기도했다. 54) 2 잊힐권리 2014년 5월유럽사법재판소의또다른판결 55) 은다국적 IT 기업의유럽내콘텐츠를특별히관리할필요성을야기했다. 검색엔진의결과물이부적합하고부적절하거나더이상타당하지않은정보 (inadequate, irrelevant or no longer relevant information) 라면그의삭제를원하는이용자의요구를들어줘야한다는것이다. 56) 그결과구글은 1백만건이상의신청을접수하여독일, 프랑스등유럽도메인에서 40% 이상의정보를삭제하지않을수없었다. 프랑스정보와자유국가위원회 (CNIL) 는한걸음더나아가구글같은다국적검색엔진이잊힐권리를제대로보장하려면유럽내도메인뿐만아니라전세계의도메인에서관련정보를삭제해야한다고요구하고나섰다. 57) 2) 국내외의반응 EU에명시적으로개인정보의로컬라이제이션을요구하는법규범은없다. 그러나개인정보보호수준이 EU보다낮은제3국으로의개인정보유출이금지되는만큼복잡한허가절차를밟지않고역내에서버를설치하여개인정보를처리하고보관하는것도개인정보로컬라이제이션임에는틀림없다. EU에서는프라이버시권을기본적인권의수준으로파악하고있어개인정보보호의수준도다른나라에비해그만큼엄격하다고볼수있다. 그럼에도 EU 회원국들이세계경제에서차지하는비중이크기때문에 EU의기준에맞춰자국의개인정보보호법제를개선하고복잡한절차를거쳐서라도 EU로부터적정성평가를받고자하는나라 58) 가늘고있다. 이러한현상은 2018년 5월 GDPR 발효후에도멈추지않을것으로보인다. 이에따라 OECD의프라이버시 54) Albright Stonebridge Group, Data Localization, p.6. 55) Court of Justice of the European Union, Google v. Spain AEPD, C-131/12, 13 May ) 이것은 GDPR 제 17 조에 삭제권 (right to erasure) 또는 잊힐권리 (right to be forgotten) 로성문화되었다. 57) Albright Stonebridge Group, Data Localization, p.8. 58) EU 로부터적정성평가 (adequacy assessment) 를받은나라를 Whitelisted Countries 라부르거니와 2017 년 6 월현재역외금융센터포함하여 12 개나라가그판정을받았으며, 현재일본과한국에대한 EU 측의적정성평가작업이진행중이다. < 29

30 보호 8 원칙 59) 을충실히이어받은 EU 의개인정보보호의기준은오늘날개인정보보호에관 한한글로벌스탠더드의하나로자리잡게되었다. 바. 러시아 1) 규제의현황 러시아의블라디미르푸틴대통령은우크라이나사태이후러시아가서방세계에포위되었다는인식하에외세에영향을받지않고정치적인비판을잠재우기위해정보에대한통제를강화하고있다. 러시아정부는이러한정치논리에입각하여데이터로컬라이제이션정책을펴고있다. 러시아에서는연방산업기술 수출관리국 (Federal Service for Technical and Export Control; FSTEC) 에서정보통신인프라의안전, 러시아국내에서외국인의산업기술스파이활동단속, 국가기밀정보의보호, 정보통신기기의개발 제조 운용및폐기기술의정보보호, 수출관리등을담당하고있다. 국가안보에관한정책운용및부처간의조정 협력업무를수행하기도한다. FSTEC 는정부기관, 금융, 정보통신, 전력, 운수, 에너지, 방재등의시스템에이용되는기 술과제품에대한인증을담당하며, 요건을미비한경우에는제재를가하고집행기관을감사 할수있는권한을갖고있다. 60) 2) FSTEC 감독하의개인정보보관 FSTEC 는직접적으로 FLMs 의법령이나규제를수행하지는않지만, 정보시스템처리에있 어서개인정보의안전강화를위한조직적 기술적조건의확인에관한명령 ( ) 제 11 조에의하여개인정보의보호를목적으로정보시스템에대한검열을할수있다 년에공표된 EU 와의규제협력 : IT 전자분야에있어서제 3 국의규제에관한조사보고 서 에의하면연방법제 242 호 -FZ 61) 는러시아국민의개인정보는러시아국내에설치된데이터 59) OECD Guidelines on the Protection of Privacy and Transborder Flows of Personal Data (1980) < internet/ieconomy/oecdguidelinesontheprotectionofprivacyandtransborderflowsofpersonaldata.htm> 60) 노무라연구소, 앞의보고서, 27 면. 61) 연방법 No.242-FZ는정보통신망에의한개인정보처리절차조사에있어서개개의러시아연방법령의수정에관한연방법으로 2015년 9월 1일발효되었다. 30

31 베이스로관리하고, 데이터센터의소재를당국에신고하여야한다. 구체적으로초기데이터의수집, 기록, 시스템화, 축약, 집적, 갱신, 복구등의작업은러시아국내에설치된데이터베이스를이용하여야한다. 하지만개인정보를동시에러시아국외에서도보관하는것을막지는않고있다. FLMs를직접관장하는기관은전기통신 매스컴부산하의연방통신정보기술 매스미디아감독국 (Roskomnadzor, 이하 연방통신감독국 ) 이다. 러시아국내의서버에모든개인정보를수록한다면그와같은분량또는그보다적은분량의개인정보를국외의서버에보관하는것이금지되지는않는다. 요컨대러시아에있어서 FLMs는러시아국민의개인정보를국외에서관리하는것을금하는것은아니지만러시아정부의감독이미치는범위에서반드시개인정보를국내에보관하도록하고있는것이다. 62) 연방통신감독국은최근들어연방법규에따라러시아이용자의개인정보가해외데이터베이스에보관되고있는지, 이용자의동의를받았는지, 개인정보처리방침을제대로공시하고있는지단속과규제를강화하고있는데러시아내 SNS 서비스길이막힌 LinkedIn 사례가대표적이다. 63) 사. 그밖의나라들 1) TPP 체약국데이터보관 처리의현지화는널리보편화되는추세에있다. 인도네시아, 베트남뿐만아니라캐나다, 호주등지에서도개인정보보호법등은일정종류의정보는반드시국내서버에저장하고처리할것을의무화하고데이터를국외이전하는경우에는일정조건을충족할것을요구하고있다. 64) 미국의트럼프대통령이철회함으로써무산되고말았지만, 환태평양경제동반자 (Trans-Pacific Partnership; TPP) 조약에서도일부 APEC 회원국들은일정한정보의국내처리를의무화하고자하였다. 이와반대로유럽회의 (Council of Europe) 108호협약은체약국간의개인정보의자유로운 62) 노무라연구소, 앞의보고서, 28 면. 63) 연방통신감독국은 2016 년모스크바 Taganskiy 지방법원에 LinkedIn 을제소하여승소하였다. LinkedIn 은러시아내약 600 만명의회원이현지에서 LinkedIn 서비스를받지못하게됨에따라항소를하였으나항소법원은 1 심판결을그대로유지함으로서러시아내 LinledIn 접속은계속불가능한실정이다. Dmitry V. Nikiforov, et al, Russia 2016: Personal Data & Cybersecurity, D&P Client Update, Debevoise & Plimpton, February 14, ) Livingston and Greenleaf, op.cit.,pp

32 이전을규정 65) 하고있는바주요정보를국내에서보관 처리하라고하는것은무슨문제를 야기하게되는가? TPP 조약전자상거래편의제14.13조를보면 컴퓨터시설의소재지 (Location of Computing Facilities) 라는제하에각당사국이정당한공공정책목표를달성할수있도록컴퓨터시설의이용또는설치에대한제한을부과할수있음을예외적으로인정하였다. 그리고 TPP 회원국에서온서비스제공자가자국에서영업을하는조건으로자국내에있는컴퓨터시설을이용하거나설치할것을의무화하는것을금지하였다. 일견자국내정보의보관 처리는금지되고투자자-국가분쟁 (Investor-State Dispute) 에의해해결하도록하고있으나, 여기서의컴퓨터시설은상업적용도로제한하는데다광범한예외를인정함으로써금지를피할수있게하였다. 2) 한국 한국에서는정보처리자가개인정보를국외의제3자에게이전하려면정보주체의동의를받도록하고있다 ( 개인정보보호법제17조 3항, 정보통신망법제63조 2항 ). 그러므로정보통신망이용계약을체결함에있어약관상으로이용자, 즉정보주체의동의를받을수없다면예외사유에도해당되지않는한당해정보는국외의제3자에게이전할수없고국내에보관하여야하는것이다. 앞서구글맵과관련하여설명한바와같이한국정부 ( 국토교통부장관 ) 는국가안보나그밖에국가의중대한이익을해칠우려가있다고인정되는경우에는공간정보 ( 기본측량성과및기본측량기록 ) 를복제하게하거나그사본을발급할수없으며 ( 공간정보의구축및관리등에관한법률제 14조 3항 1호 ), 이경우기본측량성과를국외로반출해서도안된다 ( 동법제16 조 2항본문 ). 다만, 특정외국정부와기본측량성과를서로교환하기로하였거나 ( 동법제16 조 1항단서에의한상호주의 ), 국토교통부장관이국가안보와관련된사항에대하여과학기술정보통신부장관, 외교부장관, 통일부장관, 국방부장관, 행정안전부장관, 산업통상자원부장관및국가정보원장등관계기관의장과협의체 66) 를구성하여국외로반출하기로결정한경우에는예외로하였다 ( 동법제16조 2항단서 ). 65) CoE Privacy Convention Article 12(Transborder flows of personal data) 개인정보의국경간유통 (1) 각당사국은개인정보보호의한가지목적을위하여또는특별허가를얻는조건으로이협약의다른당사국의관할에속하는제 3 자에게개인정보를이전하는것을금지하여서는아니된다. 다만, 그당사국은지역적인국제기구에속하는국가들이공유하는조화를이룬보호규칙에구속된다면그리할수있다. 66) 이협의체에는 1인이상의민간전문가를포함하여야하는데, 새로개정된공간정보관리법제16 조의규정은 2018 년 4월 25일발효한다. 32

33 3) 오스트레일리아오스트레일리아에서는 나의건강기록 (My Health Records) 시스템 67) 관련법규정에의하면시스템운영자는등록된포털운영자또는등록된계약서비스제공자로서나의건강기록시스템의목적상그기록을오스트레일리아밖에서도보유하거나처리하는것이금지된다. 그러나시스템운영자는그정보가개인정보또는식별정보를포함하지않는다면이를국외에서보유하거나처리할수있다. 보건부홈페이지에서는나의건강기록이생성된곳에서건강기록이국내에보관되어야하며, 보건부에서는국민의건강기록이나개인정보를국외에서밝히지않는다고한다. 그밖의데이터처리의현지화를명시한규정은없다. 4. 개인정보현지화규제에대한평가 데이터를보관 처리함에있어서현지에있는서버를이용하도록요구하는것은정보기술의발전에역행하는처사이다. 국경이없는매체 (borderless medium) 로서개방적이고분권화된네트워크인인터넷의본질에반하다고할수있다. 정보는수요처를찾아유통하게마련이고이것을사이버공간의참여자들이신속하고적은비용으로실현가능하게만드는것이정보통신기술이기때문이다. FLMs 규제는개방적인인터넷의기능과자원을조각내고비효율적으로만드는것이다. 68) 특히신생기업 중소기업은외부클라우딩이나데이터센터의컴퓨터설비를빌려서영업을하는터에 FLMs 규제는적잖은타격이될것이다. 데이터로컬라이제이션은 IT산업의발전을위축시키고해당국가는물론글로벌한경제성장에도차질을빚게된다. 69) 다만, 개인정보보호의견지에서보호의수준이자국에비해뒤떨어지는나라에개인정보를포함한데이터의반출을일정조건하에불허하는것은프라이버시권이기본적인권으로보장하는오늘날에는당연한처사라볼수있다. 인터넷의특성에비추어정보가유통되는 67) 종전에개인적으로지배할수있는전자적건강기록 (personally controlled electronic health record) 시스템으로부르던것이다. 근거법률의명칭도 Personally Controlled Electronic Health Records Act. 68) Albright Stonebridge Group, Data Localization, p.3. 69) Ibid., p.9. 33

34 어느채널한곳이라도허점이있으면데이터의보안이제대로이루어질수없다는점에서나름대로정당성을갖는다. 그러나아쉽게도최근들어세를불리고있는개인정보로컬라이제이션에맞설수있는세력은단독이든연합이든가시화되지않고있다. 그만큼외국정보기관에의한감시 (foreign surveillance) 의우려, 개인정보보호의필요성이강조되고있는탓이다. 외국기업들이데이터현지화에반대하는것못지않게국내기업들은데이터현지화에따른이익을양보하려들지않고있다. 70) 그러나데이터현지화가많아질수록데이터이용자들은데이터이용범위가그만큼줄어들고제조업이나서비스업종사자들은유용한정보에대한접근기회를놓칠수있음을알아야한다. 만일현지정부가정보의자유로운유통을정치적인위협으로간주하고비민주적인목적을위해데이터를이용하거나가공하려들경우에는표현의자유나프라이버시마저침해될공산이크다. 5. 결론 오늘날개방된네트워크인인터넷을통해모든일이이루어지는시대에데이터의보관 처리의현지화를요구하는법제는일견모순되고시대착오적인것처럼보인다. 그러나이를시행하는각국의사정을들여다보면나름대로명분이있다. 우리나라도구글에대하여공간정보의제공을불허함으로써데이터로컬라이제이션국가리스트에올랐지만북한이장거리미사일과무인기를날리고있는작금의현실에비추어상세한지리정보를공개하는것은매우위험한일이아닐수없다. 다른한편으로해외여행을하면서스마트폰으로구글이제공하는지도및교통정보서비스 < 를이용해본사람이라면그러한공간정보가얼마나유용하며유통업이나관광서비스업등에부가가치를창출하는지체험적으로알게된다. 앞으로도래할자율주행차와드론의이용에는없어서는안될인프라가되고있다. 결국은서로충돌하는가치를놓고선택을해야하는문제로바뀌게된다. 어찌보면개방 협조 책임을앞세우는인터넷의속성을강조하는것이나정보의분절화 파편화를초래하는로컬라이제이션은원활한정보의국제유통을저해하므로바람직하지않다는주장 71) 은 70) Ibid., p.3. 34

35 피상적으로들릴수있다. 그보다는국가안보및공정과세에중점을두고다국적거대 IT기업에주도권을뺏기지않는데역점을두거나, 아니면시대적조류에맞게국내 IT산업을보호하고경제적실리를취하자는것이피부에와닿을수있다. 인터넷이세계의모든기업과개인이활발히참여함으로써그로인한시장이지속적으로확대되고이노베이션이촉발되었다는점을감안한다면이른바인터넷의발칸화 (Internet Balkanization) 72) 를몰고오는데이터로컬라이제이션은결코바람직하지않다는결론에도달하게된다. 일단세계경제의발전을도모할수있는국경간정보유통의원활화에목표를두고그에대한예외사유는그것이안보목적이든무엇이든엄격하게해석되어야한다. 그리함으로써장기적으로세계경제의고른발전을도모할수있고정보통신기술의발전을통해새로운시대를맞이할수있을것이다. 71) 월드와이드웹 (World Wide Web) 의창시자로알려진팀버너스 - 리 (Tim Berners-Lee) 는최근모두에게열려있는분권화된인터넷 (Re-decentralized Web) 이라는처음의구상을다시강조하고나섰는데, 그는인터넷의발전적미래상에대한최대의위험요소는이른바발칸화된웹의등장이라고말했다. 허진성, 앞의논문, 290 면. 72) 인터넷발칸화 (Internet Balkanization) 란인터넷이국가적으로지역적으로폐쇄된네트워크들로분열되는것을말한다. 19 세기말오스만제국이붕괴되는과정에서발칸반도가여러작은나라들로분열됨으로써 1 차대전의원인을제공한현상을사이버공간에빗대어표현한것이다. 위의논문, 면. 35

36 참고문헌 1. 국내문헌 문혜정, 느리지만꾸준히진화하고있는중국의개인정보보호법제, 언론중재 2016 가을, 언론중재위원회, 박훤일, 정보이동권의국내도입방안 - EU GDPR의관련규정을중심으로, 경희법학 제52권 3호, , 개인정보의국제적유통에따른법적문제와대책, 집문당, 안종석, 다국적 IT기업의조세회피행태와시사점 : 애플 구글의사례를중심으로, 재정포럼 허진성, 데이터국지화 (Data Localization) 정책의세계적흐름과그법제적함의, 언론과법 제13권 2호, 개인정보보호포럼 한국인터넷진흥원, 지능정보사회선도를위한개인정보보호이슈및동향, 외국문헌生貝直人, 自律 分散 協調社会とデータポータビリティーの権利, 経済産業省分散戦略ワーキンググループ第 6 回, 野村総合研究所, EUとの規制協力 : サイバー空間及びIoTに係る規制等に関する調査報告書, 日本経済団体連合会 在日米國商工會議所, 日米 IED 民間作業部会共同声明 2016, Article 29 Working Party, Transfers of personal data to third countries: Applying Articles 25 and 26 of the EU data protection directive < /privacy/docs/wpdocs/1998/wp12_en.pdf>. Draft circular on detailed regulation on cross border provision of public information(no.72/2013/nd-cp). 36

37 Adam Golodner, et al., China's New Cybersecurity Law Imposes Heightened Restrictions on Company Computer Networks, Arnold Porter Kaye Scholer, July 20, < 2017/07/chinas-newcybersecurity-law-imposes> Albright Stonebridge Group, Data Localization: A Challenge to Global Commerce and the Free Flow of Information, September Covington & Burling, EU Data Retention Directive Declared Invalid by CJEU, Inside Privacy, April 8, Covington & Burling, Brazil Enacts Marco Civil Internet Civil Rights Bill, Inside Privacy, April 28, < ernet-civil-rights-bill/>. Dmitry V. Nikiforov, et al, Russia 2016: Personal Data & Cybersecurity, D&P Client Update, Debevoise & Plimpton, February 14, < Russia 2016: personal data EU Commission, EU Commission and United States agree on new framework for transatlantic data flows: EU-US Privacy Shield, Press release, 2 February < Graham Greenleaf and Scott Livingston, China s Cybersecurity Law also a data privacy law?, Privacy Laws & Business International Report Issue 144, December W. Kuan Hon, Data Localization Laws and Policy - The EU Data Protection International Transfers Restriction Through a Cloud Computing Lens, Edward Elgar, The Guardian, EU to find ways to make Google, Facebook and Amazon pay more tax, 21 September < business/2017/sep/ 21/tech-firms-tax-eu-turnover-google-amazon-apple> 37

38 Scott Livingston and Graham Greenleaf, Data localisation in China and other APEC jurisdictions, Privacy Laws & Business International Report Issue 143, October Information Security Technology Guidelines for Personal Information within Public and Commercial Services Information Systems 인터넷자료 ( 최종접속 ) 디지털데일리, [ 주간클라우드동향 ] 2017 국내클라우드도입, 어디까지왔나, < 오마이뉴스, 구글의지도국외반출요구에포털 네비업체 역차별 반발, < > Insight, 구글, 국내서 2조버는데세금은한푼도안낸다, < 전자신문, 나라장터에서인프라클라우드서비스이용하세요, < 조선일보, 한국게임으로 1 兆챙긴구글 세금은 ' 깜깜 ', < tml> G7 이세시마정상회담자료 < 38

39 저자소개 박훤일 현 ) 경희대법학전문대학원교수현 ) KoreanLII.or.kr Managing Director 한국상사법학회, 국제거래법학회, 은행법학회임원행정안전부, KISA, 통일부자문교수법무부국제거래법연구단연구위원 (UNCITRAL, Unidroit 참석 ) 한국산업은행법무팀장역임