기사 상세
디지털 경제 시장이 폭발적으로 성장하며 데이터 주권 문제가 세계적으로 중요하게 떠오르고 있다. 개인의 기본권을 넘어 국가의 배타적 권리로 확장되고 있는 데이터 주권의 개념과 이를 둘러싼 쟁점, 각국의 입장과 정책을 확인해 본다. 편집자 주
지난 5월 국제적·정치적 논란을 일으킨 라인야후 사태가 발생했다. 이 사태는 2023년 11월 네이버클라우드가 사이버 공격으로 악성코드에 감염돼 일본 라인야후에서 51만 건의 개인정보가 유출된 사건에서 시작됐다. 이를 계기로 일본 정부가 한국 네이버에 라인야후 지분을 매각하라고 한 내용이 알려진 것이다. 특히 논란이 된 것은 라인야후에 대한 네이버의 영향력을 축소하고 소프트뱅크 지분을 확대하라는 일본 정부의 행정지도였다. 개인정보 유출 사고를 빌미로 라인야후의 지배 구조를 일본 소프트뱅크에 유리하도록 재편하려는 의도가 있다는 지적이 이어졌다.
지난 7월 일본 정부가 지분 매각 요구를 철회한다는 결정이 알려졌지만, 지금도 이 사건과 관련한 다양한 시각과 해석이 충돌하고 있다. 라인야후 사태는 표면적으로는 기업의 지배 구조와 관련된 것처럼 보인다. 그러나 라인야후 사태의 시작이 개인정보 유출이었다는 점을 고려하면, 본질적으로는 데이터와 관련된 국제적 경제·안보와 관련된 사안임을 짐작하게 한다. 즉, ‘데이터 주권(data sovereignty)’과 관련된 ‘디지털 보호주의(digital protectionism)’ 혹은 ‘데이터 보호주의(data protectionism)’가 이 사건의 본질인 것이다.
전통적 주권의 디지털 공간으로의 확장
현재와 같은 디지털 시대에 데이터는 국가, 산업, 그리고 개인에게 있어 가장 중요한 핵심 요소다. 특히 대부분의 디지털 플랫폼 기업들은 이용자와의 상호작용 과정과 이용자 연계 서비스를 통해 막대한 수익과 부가가치를 창출한다(유승현, 2020). 또한 플랫폼 기업들은 데이터 주체인 이용자의 동의 하에(또는 동의가 없어도) 이용자가 생산한 데이터를 활용하고 있다. 하지만 플랫폼에서 생산되는 데이터의 권리는 일차적으로 원 데이터 제공자이자 이용 주체인 이용자에게 있다. 구체적으로 데이터 권리의 주체는 데이터의 수집과 처리를 하는 데이터 생산자, 원 데이터 제공자(이용자), 데이터 이용자, 국가 기관 등이다. 이처럼 데이터 권리의 주체가 누구인지를 쟁점으로 최근 ‘데이터 주권’에 대한 논의가 시작되고 있다.
일반적으로 데이터 주권은 국가와 영토 내에서의 데이터 권리 및 국가적 차원의 데이터 통제를 의미한다. 즉, 특정 국가·권역에서 수집된 데이터는 해당 국가 또는 권역의 데이터 법률이 적용된다는 개념이다. 이는 유럽연합(EU)에서 일반개인정보보호법(GDPR, General Data Protection Regulation)과 데이터 이동권(right to data portability) 등이 논의되면서 본격적으로 개념화됐다. 2020년 유럽연합은 데이터 전략을 발표하면서 기술 주권(technological sovereignty)이라는 용어를 사용했다. 유럽연합이 제시한 기술 주권은 데이터 주권과 유사한 개념으로 국가나 영토와 관련된 전통적 주권의 개념을 확장해 디지털 공간에서도 국가의 경계가 만들어진다는 것이다. 즉 정보, 데이터, 기술, 인프라는 이용자가 속한 국가의 법률, 요구사항, 이익에 기초해 관리돼야 한다는 것이며, 행위자(개인, 그룹, 조직, 기관)에 속한 것으로 그들의 물리적 위치나 현재 관할권과 관계없이 그들 자신에 의해, 그들 자신에 대해 생성된 주권이 된다.
비비 라티노야(7JWJ-¢IUFFOPKB, 2021)는 데이터 주권을 “특정한 디지털 영역(domain)과 관련된 개인에 가장 우선시되는 권위”라고 정의한다. 데이터 주권의 원칙은 다음과 같다. 첫째, 개인의 자기 결정권, 자율성, 데이터에 대한 통제권이 있어야 한다. 둘째, 개인이 데이터 생태계의 주체이자 적극적인 참여자로서 행사되어야 한다. 셋째, 개인은 데이터에 접근하고 연결하며 재사용할 수 있는 권리를 가져야 한다. 넷째, 개인 데이터 사용의 합법성은 해당 데이터가 존재하는 개인에서 유래해야 한다. 다섯째, 개인 데이터를 사용할 권리를 가진 조직에 투명성과 책임을 물을 수 있어야 하며, 데이터 주권은 존중돼야 한다. 여섯째, 데이터 주권을 행사하는 데 외부의 간섭을 받지 않아야 한다. 라티노야가 제시한 원칙을 고려하면, 데이터 주권은 전통적 주권의 개념을 디지털 공간으로 확장해 개인의 데이터 권리를 폭넓게 인정하는 기본권으로 해석된다. 또 개인에 의해 만들어지거나 개인에 대해 생성된 데이터는 개인의 주권이 모든 것에 우선하며, 이를 행사하고 지켜야 할 합법적 권리가 된다.
데이터 주권 개념은 유럽연합에 의해 제시된 국가 차원의 데이터 보호 개념에서 데이터 권리가 이용자 개개인에게 있다는 이용자 데이터 권리와 보호 개념으로 확장됐다(유승현, 2022). 요컨대, 데이터 주권은 데이터의 생성, 저장, 유통, 활용에 대한 주권 국가의 배타적인 권리로 국가 이익 차원에서 데이터의 흐름과 공개·비공개 여부 및 사용 등을 통제할 수 있는 권리뿐만 아니라 넓은 범위에서는 자신의 데이터에 대한 개인의 권리로 확대 가능하다는 것이다(한국정보화진흥원, 2018). 우리나라를 비롯한 여러 국가에서 시행되고 있는 개인정보보호법 등은 이러한 관점을 반영하여 제도화된 법률이다.
그러나 최근 들어 AI를 중심으로 디지털 기술체계가 급속도로 발전하고, 이러한 기술 변화와 맞물려 글로벌 플랫폼 기업들에게 전략적 변화가 나타나면서, 데이터 주권 개념은 디지털 영역에서의 개인의 기본권과 데이터 권리 보호보다는 데이터에 대한 국가의 배타적 권리로 해석되어지고 있다. 즉, 우리가 직면한 새로운 디지털 환경에서 데이터 주권이 왜 중요한 것인지, 개인의 데이터 권리는 어떻게 규정할 것인지 등 개인의 권리와 관련된 논제를 다루는 것이 아니라 디지털 공간에서 국가와 영토의 경계를 어떻게 규정해야 하는지, 국가의 데이터 권리와 통제를 어떻게 강화하는지 등 보호주의와 관련된 논제에 더 중점을 두고 있다. 이른바 디지털 보호주의(혹은 데이터 보호주의) 시대로 접어들고 있는 것이다.
데이터 중요성 인식은 공통,
정책, 규제는 국가별로 차이
전 세계 여러 국가들은 국가의 경제·안보와 디지털 경제의 주도권 경쟁에서 살아남기 위해 데이터가 가장 중요한 요소라는 점을 분명히 인식하고 있으며, 이에 데이터 주권 담론을 벗어나 디지털 보호주의 혹은 데이터 보호주의 정책을 적극 추진하고 있다.
엄격한 의미에서 디지털 보호주의와 데이터 보호주의는 구분된다. 디지털 보호주의가 디지털 기술 체계의 발달에 따라 디지털 경제와 관련된 보호무역 경향을 포괄하는 개념인 반면에 데이터 보호주의는 데이터 주권이 관련된 데이터 이용과 개인정보 보호와 관련된 개념이라 볼 수 있다. 다만, 디지털 기술이 전 사회적으로 통합되거나 혹은 기존 아날로그 형식이 디지털 형식으로 전환되는 현상을 의미하는 디지털화(digitalization)는 데이터화(datafication)가 핵심이라는 점에서, 또 대부분의 디지털 보호주의와 관련된 논의들이 데이터 보호주의를 핵심으로 다루고 있다는 점에서 디지털 보호주의와 데이터 보호주의가 혼용되어 사용된다.
데이터 보호주의는 자국민 데이터와 자국의 디지털 산업을 보호한다는 명목하에 관련 법제를 제·개정하고 해외 기업에 엄격한 보안규정을 적용해 핵심 자원인 데이터를 보호하고자 하는 이념을 말한다(장은정, 2022). 이를 실현하기 위해 현재 많은 국가가 자국민 개인정보를 포함한 주요 데이터 및 서버를 현지 국경 안에 두는 데이터 현지화(data localization) 및 국경 간 데이터 이동에 대한 제한 조치를 마련하고 있다.
디지털 보호주의(혹은 데이터 보호주의)는 데이터 현지화 및 데이터의 자유로운 이동이 쟁점이다. 미국은 데이터와 정보의 자유로운 이동을 보장하면서, 문제가 발생하면 사후 조치에 더 중점을 두고 있다. 특히 미국은 글로벌 플랫폼 기업들의 비중이 크기 때문에 디지털 분야에서 국경 간 데이터와 정보 이전 금지 또는 제한을 하지 않아야 한다고 주장한다. 이에 따라 미국은 개인정보나 데이터 관련 규제를 최소화하고 데이터 활용과 역외 이동에 관한 자율성을 부여한다. 개인정보 역외 이전 제한보다는 정부의 국외 정보 접근을 허용하고 있으며 플랫폼 기업을 위해 외국 정부의 규제 최소화에 집중하는 경향을 보인다.
유럽연합은 개인정보 보호를 전제로 국가 간 자유로운 정보 이동이 가능하다는 입장이다. 유럽연합은 2018년 5월 25일부터 개인정보에 대한 개인의 권리를 강화하는 내용 등을 핵심으로 하는 GDPR을 시행하고 있다. GDPR은 기업에 대한 과징금 부과를 규정하고 있으며 중요 위반 상황이 발생하면 해당 기업은 전 세계 연간 매출의 4% 또는 2,000만 유로(약 260억 원)를 벌금으로 납부해야 한다. 개인정보 보호가 미흡한 제3국으로의 개인정보 이동은 불허하나 자율 규제, 표준계약서 등 안전대책을 갖추었거나 EU와 동등한 수준의 개인정보 보호 체계를 갖추면 개인정보의 역외 이전을 허용하고 있다. 다만, 미국 플랫폼 기업들의 데이터 독점 경향에 따라 경제·안보 차원에서 데이터 주권을 강화하는 정책을 추진하고 있다.
이에 비해 중국과 인도 등의 국가는 경제·안보에 역점을 두어 데이터 규제 조치를 강화하고 있다. 가장 강력한 보호주의 정책을 추진하는 국가는 중국이다(장은정, 2022). 중국은 2017년부터 개인정보를 포함한 데이터 보안을 강화하고 공민에 대한 온라인 감시 및 데이터 국외 이전 금지 등의 국외기업에 차별적인 내용을 포함하는 네트워크안전법을 시행하고 있다. 또한 핵심 정보 인프라 시설 사업자가 중국 경내에서 운영 중에 수집·생성한 개인정보와 중요 데이터는 반드시 중국 경내에 저장해야 하며, 업무상 데이터 역외 이전이 필요할 경우에는 국가 인터넷 정보 부서에서 안전 평가를 진행해야 한다.
일본 역시 보호주의 정책으로 선회하고 있다. 일본은 개인정보 보호법 개정을 통해 익명 가공정보 개념을 도입해 데이터 유통 시장의 기반을 마련했으며, 국외 제3자에게 개인정보 제공 시 미리 정보 주체의 동의를 얻어야 한다. 이런 관점에서 개인정보 보호와 데이터 활용의 조화 및 오픈 데이터 강화 정책을 추진 중이다. 앞에서 언급한 라인야후 사태는 이러한 보호주의 정책을 상징하는 대표적 사례로 볼 수 있다.
누가 데이터 권리를 확보할 것인가?
21세기 들어 AI, 클라우드, 6G, VR/AR, 블록체인, 자율주행 등 다양한 디지털 기술 체계가 빠르게 발전하고, 디지털 경제 시장이 폭발적으로 성장했다. 또한 디지털이라는 기술적 표상을 통해 나타나는 인간 사회의 구조적이고 총체적인 변화이자 거대한 흐름인 디지털 전환 및 생성형 AI로 상징되는 혁신적 AI 기술 체계의 등장은 우리 세상을 근본적으로 변화시킬 것으로 예상된다. 디지털 기술 체계는 우리 일상을 변화시키고, 사회와 경제 구조를 바꾸고 있다. 특히, AI 기술은 일반인공지능(AGI) 기술로 변화할 것이며, 생성형 AI 기술 역시 현재보다 훨씬 더 진화한 기술들이 등장할 것이다. 이 과정에서 데이터 수집과 활용은 더욱 증가할 것이며, 그 양 역시 기하급수적으로 늘어날 것이다. 결국, AI 중심의 디지털 시대에는 누가 더 많은 데이터를 확보할 것인가가 경쟁력의 원천이 된다.
라인야후 사태는 플랫폼과 개인정보 보호 문제처럼 보이지만, 결국은 누가 데이터 권리를 더 많이 확보할 것인가에 대한 문제다. 미국을 제외한 유럽연합, 중국, 일본 등은 표면적으로는 개인정보 보호를 내세우고 있다. 그러나 실제적으로는 자국의 디지털 산업과 데이터 산업을 보호하고, 다른 국가의 디지털 기업이 자국 내 지배적 위치와 영향력을 가지는 것을 방지하며, 데이터 관리와 통제가 미래 국가 경쟁력을 좌우한다는 인식하에 데이터 권리를 확보하려는 정책을 추진하고 있다. 향후 전 세계 국가들의 디지털 보호주의(혹은 데이터 보호주의) 경향은 더욱 심화될 것으로 예상된다. 국내에서도 더 늦기 전에 데이터 주권과 디지털 보호주의에 대한 논의를 시작하고 이에 대한 대응방안을 고민해야 할 시기이다.
저자의 다른 미디어
