CSAR: 유럽 의회, 개인 메시지 대량 스캐닝 반대

 (edri.org)
1P by GN⁺ | ★ favorite | 댓글 1개
  • 유럽 의회는 2023년 11월 22일 아동 성적 학대 방지·대응 규칙 초안인 CSAR에 대한 입장을 공식 채택했고, 7개 유럽 정치그룹의 지지를 받아 인권 보호 쪽으로 방향을 틀었음
  • 핵심 변화는 기업에 사적 메시지 대량 스캔을 강제하지 않고, 스캐닝에 합리적 의심이 필요하다는 요건을 둔 점임
  • EU 회원국 이사회 법률가들은 원래 제안이 프라이버시권의 본질을 침해할 수 있다고 경고했고, EU 기본권 법은 권리 제한이 필요성과 비례성을 충족해야 한다는 기준을 둠
  • 다음 절차는 유럽 의회와 EU 회원국 이사회 간 비공개 3자 협상(trilogue) 이지만, 이사회는 아직 협상 권한을 갖춘 입장이 없고 회원국 정부들도 갈라져 있음
  • 2024년 6월 유럽의회 선거를 앞두고 기관 간 협상은 2024년 2월 초까지 마무리돼야 해, CSAR처럼 복잡하고 민감한 법안을 현 정치 임기 안에 통과시키기는 매우 어려움

유럽 의회의 CSAR 입장 채택

  • 유럽 의회는 2023년 11월 22일 아동 성적 학대 방지·대응 규칙 초안인 CSAR에 대한 입장을 공식 채택함
  • 7개 유럽 정치그룹이 모두 이 입장을 강하게 지지했고, 최근 EU에서 가장 논쟁적인 법안 중 하나가 인권 보호 쪽으로 한 걸음 이동함
  • EDRi는 2022년 EU 집행부 내무 담당 조직이 제안한 CSAR의 대량 스캐닝 및 암호화 약화 조치에 반대해 왔음
  • 입법 절차는 아직 끝나지 않았고, EU 회원국 이사회와 유럽위원회가 의회 입장에 어떻게 대응할지가 남아 있음

대량 스캐닝 거부와 기본권 기준

  • 유럽 의회의 입장은 중요한 사회적 목적이 있더라도 어떤 수단이든 정당화되지는 않는다는 정치적 신호임
  • EU 기본권 법은 사람들의 권리를 제한하는 조치에 다음 조건을 요구함
    • 추구하는 목적 달성에 필요해야 함
    • 객관적으로 효과적이어야 함
    • 가능한 한 덜 침해적이어야 함
    • 더 넓은 영향이 비례적이어야 함
  • 이 기준에 따라 의회는 기업이 사람들의 사적 메시지를 대량으로 스캔하도록 강제하는 규칙을 거부함
  • 대신 스캐닝에는 합리적 의심이 필요하다는 요건을 택함
  • EU 회원국 이사회 법률가들은 원래 제안이 프라이버시권의 본질을 침해할 수 있다고 경고한 바 있음
  • EU 사법재판소 판례는 정당한 이유로 권리 제한이 가능하더라도, 어떤 인권의 “본질적 핵심”도 침해될 수 없다는 입장을 유지해 왔음

시민사회와 전문가들의 반대

  • EDRi는 DG HOME이 이 법을 처음 제안하기 전부터, 아동 성적 학대라는 중대 범죄에 대응하는 조치도 인권 규칙에 부합해야 한다고 요구해 왔음
  • EDRi의 디지털 시대 아동 보호를 위한 10가지 원칙은 원래 입법 제안에 반영되지 않았음
  • 유럽위원회 자체 검토위원회의 우려도 원래 제안에서 빠졌음
  • EDRi가 주도한 Stop Scanning Me 캠페인 이후 유럽 전역의 수천 명이 초안 조치의 위험을 경고함
  • 전 세계 과학자와 연구자들은 제안된 조치가 암호화를 약화시키고 모든 사람의 디지털 정보를 위험에 빠뜨릴 수 있다고 봄
  • 기자, 청년 활동가, 변호사, 생존자 단체 등 다른 이해관계자들도 이 제안으로 위험에 처할 수 있다고 경고함

3자 협상과 이사회 교착

  • 유럽 의회는 입장을 공식 채택했기 때문에 3자 협상(trilogue) 에 들어갈 준비가 된 상태임
  • trilogue는 유럽 의회 측 대표와 EU 회원국 정부 이사회 간의 비공개 협상임
  • 현재 EU 회원국 이사회는 trilogue에 들어가기 위한 협상 권한을 갖춘 입장이 없음
  • EU 회원국 정부들은 이 문제를 두고 갈라져 있음
    • 일부 국가는 기술적·법적 현실을 받아들이지 않는 입장을 보임
    • 다른 다수 국가는 EU가 디지털 보안, 프라이버시, 익명성을 파괴하는 데 백지수표를 줄 수 없다고 경고함
  • EDRi는 7월 회원국 정부들이 모든 사람의 디지털 사생활에 대한 대량 감시를 여는 입장에 합의하지 말라고 요구했음
  • 독일, 스웨덴 및 여러 지역에서는 사람들이 거리로 나와 정부가 ‘Chat Control’을 수용하지 말라고 촉구함
  • 독일, 오스트리아, 폴란드, 에스토니아, 슬로베니아 정부는 잘못된 제안에 강경한 반대 입장을 취한 것으로 전해졌고, 프랑스도 이후 중대한 우려를 제기함

선거 일정이 만드는 시간 압박

  • 이사회 입장이 없기 때문에 CSAR 입법 절차는 현재 교착 상태에 있음
  • 스페인 이사회 의장국은 2023년 12월 말 임기 종료 전에 입장을 통과시키려 한다고 전해짐
  • 작성 시점 기준으로 이사회에는 협상 테이블에 오른 문안이 없고, 충분한 수의 회원국이 동의한 정치적 합의도 없음
  • 이사회가 곧 입장에 합의하더라도 현 정치 임기 안에 법을 통과시키기는 매우 어려움
  • 2024년 6월에는 5년에 한 번 있는 유럽의회 선거가 열리고, 이후 새로운 유럽위원들이 임명됨
  • 유출 문서에 따르면 입법기관 간 협상은 2024년 2월 초까지 마무리돼야 함
  • 단순한 법안의 trilogue 협상도 수개월이 걸릴 수 있어, CSAR처럼 복잡하고 민감한 파일을 이렇게 짧은 시간 안에 밀어붙이는 것은 전례 없는 일임
  • 현재 교착 상태는 CSAR의 정치적 상징 인물인 스웨덴 출신 유럽위원 Ylva Johansson이 이 제안의 전체 생애주기 동안 자리에 남아 있지 않을 가능성도 높임

디지털 인권 보호의 분기점

  • EDRi는 온라인 아동 성적 학대 대응 법이 기본권 법과 객관적 효과 증거에 부합해야 한다고 지속적으로 요구해 왔음
  • 유럽 의회의 이번 입장은 두 기준을 모두 충족하지 못한 DG HOME의 법안 추진을 명확히 반박함
  • 다음 단계는 불확실하지만, 이번 채택은 디지털 인권 보호에서 큰 이정표로 평가됨
  • 이사회가 의회 입장에서 후퇴하지 않는지가 CSAR의 이후 방향을 좌우함

함께 보면 좋은 글 β

GN⁺   [-]
Hacker News 의견들

  • 드디어 됐음. 다음 단계로는 이런 보안 약화 시도가 계속 재탕되는 걸 막을 장치가 필요함
    그렇지 않으면 위기 상황이나 피로감이 쌓인 틈을 타 결국 통과될 수 있음

    • 기사에서도 아직 입법 절차가 끝난 게 아니며, EU 이사회와 유럽위원회가 어떻게 대응하는지 계속 주시해야 한다고 나옴
      이런 터무니없는 사생활 침해 시도와 싸우려면 제안 뒤에 있는 로비스트들을 조명해야 함. 우연인지 아닌지는 몰라도 과정이 투명하지 않았고, 그래도 일부 기자들이 조사했음: https://privatecitizen.press/episode/160/
    • 정말 이게 핵심임. 저들은 각도를 바꿔가며 계속 시도함
      1년이나 3년 뒤쯤 새 논리와 더 많은 매수된 정치인을 들고 다시 올 것임. 최악의 경우 미국처럼 감시 없는 비밀 프로그램을 만들어 원하는 대로 할 수도 있음
      문제의 일부는 부정적 결과가 전혀 없다는 것임. Snowden이 대규모 불법 감시를 폭로했지만, 정치인과 정부 관료에게 돌아간 결과는 0이었음
    • 장치는 이미 있음. 말 그대로 아무도 관심을 안 가졌을 뿐임
      이 사안을 알리고 피드백을 받기 위해 수백만을 캠페인에 썼는데도 관련 YouTube 영상 조회수는 100회 미만이었음
      사람들이 자발적으로 관심 갖기를 기대하기보다 고등교육 기관 같은 곳과 협력해야 함. 다들 일상 살다가 법이 비준될 때서야 알게 되는 방식으로는 안 됨
    • 이런 사안의 표준 전략은 6개월 보류했다가 다시 제출하는 것임
      통과될 때까지 무한 반복하고, 이용할 수 있는 위기가 생기면 즉시 재상정함
    • 헌법에 박아 넣어야 할 것 같음

  • 바로 그래서 EU에서 회원국 거부권을 반드시 유지해야 함
    물러선 유일한 이유는 몇몇 국가가 “절대 동의할 수 없다”고 했기 때문임. 단순 다수결로 법을 만들었다면 큰 몇몇 나라와 강요되거나 매수된 몇 나라가 나머지를 밀어붙일 수 있었을 것임

    • 단순 다수결은 아니고 가중다수결이 한 나라가 모든 절차를 막을 수 있는 것보다는 나음
      폴란드-리투아니아 연방은 모든 Sejm 의원이 어떤 법안이든 거부할 수 있었고, 그 결과 나라가 정체되다가 이웃에게 갈라 먹히는 식으로 혹독하게 배웠음
    • 유럽의회가 대량 스캔 조항을 거부한 게 어떤 회원국이 그렇게 투표하겠다고 약속했기 때문이라고 보는 건가?
    • 그런데 미국 정치에서는 선거인단과 상원을 두고 정반대 논리가 자주 나옴

  • 대량 감시는 대부분의 절대 권력처럼 영혼의 암임. 이메일과 메신저를 읽어본 입장에서, 그것이 사람을 어떻게 타락시키는지 직접 알고 있음
    망설임 없이 말할 수 있는데, 상황은 영화 Elysium의 “[이 능력] 때문에 너를 지구 끝까지 쫓을 것이다”와 같음
    법집행기관 관점에서 가장 중요한 점은, 진짜 목적이 일반 대중 전체를 감시하는 게 아니라면 대중이 쓰는 통신 시스템을 도청하는 건 가치가 없다는 것임. 제공자 쪽 도청이든 Apple의 CSAM AI 같은 클라이언트 측 스캔이든 마찬가지임
    기술 자원이 있거나 본인이 실력이 있는 악의적 행위자가 동료와 소통할 때 이런 공개 시스템을 쓸 리가 없음. 이런 법이 닿지 못하는 맞춤형 은밀 통신 채널은 무수히 많고, 심각한 범죄의 중심지는 오히려 그런 곳일 가능성이 훨씬 큼
    [0] https://youtu.be/qUQQerrs52w?t=54

  • 최근 도청 사례가 보여주듯, 정치인들이 채팅 기록을 선출되지 않은 소수에게 넘기면 가장 잃을 게 많음
    그건 권력을 잃고 꼭두각시가 되는 확실한 길임

    • 정책을 만든 사람들이 자기 자신은 적용 대상에서 빠지도록 하는 걸 잊을 리가 없음
    • 이미 정보기관에 협박당하는 꼭두각시들이라 이런 걸 계속 밀어붙이는 것임
      Epstein이 어린 소녀들을 넘겼다고 지목된 사람들 중 아무도 감옥에 가지 않은 데는 이유가 있음
    • 물론 서로 한패가 되지 않는다면 그렇겠지

  • 노르웨이에서는 안타깝게도 정보기관이 국경을 넘는 모든 트래픽의 메타데이터를 읽을 수 있게 하는 법이 통과됐음
    요즘은 거의 모든 데이터가 국경을 넘기 때문에 전혀 말이 안 됨. facebook/twitter/tiktok/gmail 등을 쓸 때 해당 서비스 소유자가 어느 지리적 위치의 서버 인스턴스를 쓰는지 알 수 없음
    어떤 서비스 하나가 “로컬”, 즉 국경 안의 서버를 쓰더라도 다른 많은 서비스는 그렇지 않을 수 있음
    물론 명분은 테러 대응이지만, 테러 관련 트래픽은 전체 데이터 트래픽에서 너무 작은 비중이라 사실상 0이나 다름없음
    테러와 아동 성착취물은 과도한 법을 대거 끌어들이는 두 가지 명분임

  • 이제 절반은 이겼음
    진짜 싸움은 지금부터임. 이 터무니없는 제안을 지지한 정치인들이 보내고 받은 모든 메시지를 공개 기록으로 만들어야 함. 권력 남용을 막아야 할 공익이, 그들이 가치 있게 여기지 않는 사생활권보다 우선함

  • 그래서 암호학적으로 열려 있고 안전한 앱을 계속 개발해야 함
    그러면 정부가 뭘 원하든 내 문자를 읽을 방법이 없어짐
    문제는 기술과 사생활 보호에 밝은 사람들만 계속 메시지를 암호화할 수 있다는 것임. 대중은 기꺼이 따르며 facebook messenger/whatsapp이나 백도어가 가득한 새 빅테크의 “오늘의 멋진 앱”을 계속 쓸 것임

  • 사생활 보호에는 멋진 날임. 다만 석 달 뒤 다른 이름으로 다시 시도할 것이고, 그때는 통과될 듯함

  • 일단은 그렇지. 다음 시도 때 보자

  • 메시지가 전송 중에는 암호화되어 있어도, 대부분의 플랫폼 운영자는 법집행기관 요청에 따를 것임
    데이터베이스, 로그, 분석 시스템에서 메시지를 노출하거나 키로거를 설치하는 식이 가능함
    대부분은 스마트폰을 쓰고, 안전한 스마트폰 플랫폼은 없음. PC에서도 체인 어딘가가 메시지를 유출하지 않기를 바라는 것 말고 할 수 있는 게 거의 없음

답변달기