감시 조약으로 위장한 유엔 사이버범죄협약에 캐나다가 서명

• 과거 국가 감시 권한 확대를 우려해 반대했던 캐나다가 별도 공개 협의나 우려 해소 없이 유엔 사이버범죄협약에 서명했으며, 아직 비준 전이라 법적 구속력은 없음
• 절차적 수사 권한은 모든 범죄의 전자 증거에 적용되고, 국제 공조는 자국법상 징역 4년 이상인 중대 범죄까지 포괄해 언론·정부 비판·동성 관계 등을 처벌하는 국가도 증거 수집을 요구할 수 있음
• 각국에 실시간 감청과 데이터 수집 권한을 마련하도록 요구하면서 사전 사법 승인은 국내법에 맡기고, 공조 요청에 대한 비밀유지 명령을 허용하며 정치범죄 예외도 두지 않음
• 캐나다 단체와 전문가들은 이 체계가 캐나다 내 디아스포라를 겨냥한 초국가적 탄압, 상업용 스파이웨어 공모, 선의의 보안 연구 범죄화로 이어질 수 있다고 경고함
• 기존 부다페스트 협약과 양자 조약이 있는 만큼 새 협약의 추가 가치는 주로 러시아·중국·이란 같은 고위험 국가와의 공조에 있으며, 비준하려면 Bill C-22와 같은 권한 확대 입법이 필요함

---

반대에서 서명으로 돌아선 캐나다

• 캐나다 정부는 유엔 사이버범죄협약에 서명하면서 아동 보호 조항과 인권 보호 장치가 국제 형사사법 조약 가운데 가장 강력한 수준이라고 강조함
• 서명만으로는 법적 의무가 생기지 않으며, 조약에 구속력을 부여하려면 비준이 필요함
• 9개월 전 하노이 공식 서명식에는 참여하지 않았지만, 무엇이 달라졌는지 밝히지 않은 채 7월 중순 협약에 서명함
• 정부 발표에 앞선 공개 협의가 없었고, 시민사회가 제기한 우려에도 답하지 않음

러시아 주도로 시작된 협상

• 협약은 러시아가 가입을 거부해 온 유럽평의회의 부다페스트 협약을 대체하려는 2017년 구상에서 시작됨
• 2019년 유엔 총회가 협상 개시를 표결했을 때 캐나다·미국·유럽연합은 국가 감시 권한을 확대하는 수단이 될 수 있다며 반대함
• 표결에서 패한 민주주의 국가들은 협상을 거부해 러시아·중국·이란이 규칙을 만들도록 두거나, 협상에 참여해 피해를 제한하는 선택지 가운데 후자를 택함
• 캐나다는 인권 보호 장치를 요구한 가장 적극적인 대표단 중 하나였고, 최종안에서 권위주의 국가들이 원했던 발언·콘텐츠 범죄를 제외하는 데 성공함
• 협약은 2024년 12월 합의로 채택됨

하노이 서명식에서 갈린 국가들

• 캐나다는 2025년 10월 하노이 서명식에 미국·뉴질랜드·일본·네덜란드·이탈리아·노르웨이·덴마크·핀란드와 함께 불참함
• 러시아·중국·이란·북한·벨라루스·쿠바·베네수엘라·사우디아라비아는 서명했고, 영국·호주·프랑스·독일·유럽연합도 참여함
• 당시 캐나다는 조약의 성공이 본문에 포함된 인권 보호 장치의 완전한 적용에 달려 있다고 밝힘
• 이후 9개월 만에 입장을 바꿨지만, 그사이 조약이나 위험 요소가 달라졌다는 근거는 공개되지 않음

사이버범죄를 넘어선 전자 증거 공조

• 협약은 사이버범죄 목록을 두지만, 절차적 수사 권한은 모든 형사범죄의 전자 증거에 적용됨
• 국제 공조 의무는 국내법상 징역 4년 이상을 선고할 수 있는 모든 중대 범죄로 확장됨
  • 일부 국가는 정부 비판, 언론 활동, 신성모독, 동성 관계에도 이 정도 형량을 부과함
  • 이런 국내법이 국경을 넘는 전자 증거 수집 요청의 근거가 될 수 있음
• Electronic Frontier Foundation, Human Rights Watch와 디지털 권리 단체 연합은 협약이 세계적 감시 협정으로 작동할 수 있다고 경고함
  • 각국에 실시간 감청과 데이터 수집 권한을 마련하도록 요구함
  • 사전 사법 승인 같은 보호 장치의 채택 여부는 각국 국내법에 맡김
  • 공조 요청에 대한 비밀유지 명령을 허용함
  • 정치범죄 예외를 두지 않음

캐나다 시민사회의 경고

• 2024년 12월 Amnesty International Canada, Criminal Lawyers’ Association, PEN Canada, OpenMedia를 포함한 20개 캐나다 단체와 전문가가 정부에 서명 거부를 촉구함
• Citizen Lab의 Ron Deibert와 Kate Robertson도 이 요청에 참여함
• 협약은 캐나다의 디아스포라 공동체를 겨냥한 초국가적 탄압의 상시 통로가 되고, 기존 상호 법률지원 체계의 보호 장치를 우회할 수 있음
• Robertson은 협약이 상업용 스파이웨어 거래에 공모하는 수단이 될 수 있다고 별도로 경고함
• 120명이 넘는 보안 연구자는 협약의 범죄 조항이 선의의 보안 연구까지 범죄화할 수 있다고 우려함

합법적 접근 정책과 Bill C-22

• 서명 이유는 공개되지 않았으며, 9개월 전 불참 결정을 낳았던 우려도 그대로 남아 있음
• 가능한 연관성으로 캐나다의 합법적 접근(lawful access) 정책이 거론됨
  • 협약 비준에는 Bill C-22에 담긴 것과 같은 확대된 제출 명령과 국경 간 데이터 공유 권한을 구현하는 법률이 필요함
  • 조약과 합법적 접근 입법은 서로의 권한 확대를 강화하는 관계임
• 캐나다는 이미 부다페스트 협약과 협력을 원하는 국가들을 포괄하는 양자 조약을 갖추고 있음
• 새 협약의 추가 가치는 주로 러시아·중국·이란을 포함한 국가들과의 공조에서 생기지만, 이 국가들이 동시에 협약의 가장 큰 위험을 만듦
• 정부는 여름 중순의 조용한 서명과 낙관적인 보도자료를 넘어 감시·인권·전자 증거 공유에 관한 핵심 질문에 답할 필요가 있음

[GN⁺]

Hacker News 의견들

• 국내외 정치에는 한쪽 청중에게는 강한 신호를 보내면서 다른 쪽에는 진심이 아니라고 눈짓하는 기묘한 층위가 있음. 누가 그 눈짓을 받는지는 도무지 알기 어려움
  대다수는 보이는 그대로인 WYSIWYG 정치를 원하겠지만 실제로는 작동하지 않을 가능성이 큼. 올곧고 정직한 Ned Stark가 다른 이들의 게임 이론과 벼랑 끝 전술에 밀려 빠르게 처형되는 것과 비슷함

  • 대중의 낮은 교육 수준과 공론장의 낮은 품질 때문에 이런 일이 벌어진다고 봄. 둘 다 개선되면 WYSIWYG 정치가 선호되는 선택지로 부상할 텐데, 거기에 도달할 방법을 모르겠음
  • 진정한 WYSIWYG 정치는 가능하지만 지금과는 전혀 다른 시간적 조직 구조가 필요함
    현재 정치인은 유권자·로비스트·분야 전문가·연정 구성원과 차례로 만나고, 오랫동안 비공식적으로 조율된 법안을 어느 시점에 제출하며, 표결 역시 미리 합의된 경우가 많음
    이를 투명하게 만들려면 모든 만남을 공개하고 비공식 접촉이 없었음을 보장해야 함. 현실적으로는 참여자 전원이 한 장소에서 연속된 녹화 회의에 참여하고, 정치인의 경력도 그 회기와 함께 시작해 끝나는 구조여야 할 것임
    즉 교황 선출이나 배심원 격리처럼 정치인·정치행동위원회 지도자·로비스트 등을 한 건물에 가둬 1년 치 법을 만들 때까지 내보내지 않되, 모든 상황을 녹화하고 카메라 없이 둘만 같은 방에 있지 못하게 하는 방식임
  • 어떤 법은 미리 정한 중단 지점이 있고, 어떤 법은 처음에는 약하게 도입한 뒤 점차 강화하도록 설계됨. 연령 추정도 그런 경우로, 일부 EU 국가가 서둘러 시행했다가 EU 집행위원회에 제지당했지만 다음 단계에서는 EU 전체에 제한 조치가 적용될 것이라 확신함
  • 최종적으로 자신이 얻을 이익에 따라 결정하는 정치인에게는 WYSIWYG 정치가 작동하지 않겠지만 시민에게는 잘 작동할 수 있음. 다만 정직한 언론이 필요함
  • 가명을 사용해 이런 글을 올리는 것 자체가 아이러니함. 가명에는 정의상 WYSIWYG에서 벗어나는 신호 보내기가 포함됨

• Canada에는 Michael Geist 같은 사람이 있어 다행임. 약 20년 동안 개인정보 침해를 보도하고 심층 조사해 왔음

  • 개인정보 문제를 꾸준히 살피고 글을 쓰는 캐나다인으로 Cory Doctorow도 빼놓을 수 없음
    2024년 글인 “Holy CRAP the UN Cybercrime Treaty is a nightmare”도 참고할 만함: https://doctorow.medium.com/https-pluralistic-net-2024-07-23...
  • 정부가 실제로 그의 말을 들었다면 Canada는 더 운이 좋았을 것임

• 2026년 5월 기준 서명국에는 North Korea·Saudi Arabia·China 같은 국가도 포함됨. 미국은 서명하지 않았고, 스스로 국제법 위에 있다고 여기므로 앞으로도 하지 않을 가능성이 큼
  특히 Qatar는 이슬람 샤리아·국내법·사회문화적 가치와 충돌한다며 협약 제14~16조에 구속되지 않는다는 유보를 달았음. 해당 조항은 온라인 아동 성적 학대물, 아동 대상 그루밍, 동의 없는 사적 이미지 유포를 다룸
  이것이 정확히 무엇을 뜻하는지 이해하기 어려움. 예언자가 9세와 결혼했다는 이야기는 알지만 Qatar의 최소 혼인 연령은 부모 동의 아래 16세이고 실제 조혼은 드물다고 하며, 이슬람은 이미지 자체에도 엄격한 것으로 알고 있었음

• Australia·EU·UK도 서명했음. 다만 비준되지 않은 서명의 영향은 제한적임

  • 보통 서명은 조만간 비준할 의도가 있을 때 하는 것임
  • EU에는 이미 자체적인 전자증거 기반 국경 간 사법 공조 체계가 있음. 하지만 EU에 기반을 둔 “어떤 대가를 치르더라도 로그를 남기지 않는다”는 VPN 업체들은 이에 관해 입을 열지 않음

• Canada는 UN 관련 협약 대부분에 서명하는 편임

• 사이버 범죄자와 국가는 “우리 경제를 무너뜨리지 않으면 우리도 너희를 쫓지 않는다”는 식의 암묵적 현상 유지 관계에 있는 듯함
  가장 강력한 기관조차 비교적 미숙한 집단을 체포해 수감시키지 못하는 경우를 직접 확인했음. 행동을 시작하려면 국제협약이 필요하다는 발상은 우스움

  • UK 지방의회가 마약 판매를 위장한다는 사실이 뻔하고 상습적인 이발소나 음식점을 단속하지 않는 것과 비슷함. 이들이 사업세와 고용세를 내고, 그럴듯해 보일 만큼의 직원도 두기 때문일 수 있음

• 디지털 권리를 계속 깎아내리는 대신 실질적으로 확대하는 법은 언제쯤 나올지 의문임
  미국에는 디지털 권리장전이 필요함. 수리할 권리, 자기 기기의 루트 권한을 얻을 권리, 무차별 감시에서 벗어날 권리, 범용 컴퓨팅 권리, 정부가 강제하는 연령·신원 확인 없이 표현물에 접근할 권리를 헌법으로 보장해야 함
  Silicon Valley와 벤처투자 업계에 자유지상주의 성향의 백만장자와 억만장자가 넘치는데도 왜 실현하지 못하는지 모르겠음

  • Thomas Massie가 지금까지 본 것 중 가장 좋은 개인정보 보호 법안을 발의했음. 정치 전략은 잘 모르지만 민주당 의원이 공동 발의자로 참여했다면 더 나았을 듯하며, 하원의장이 원치 않으면 표결까지 갈 수 있을지도 의문임
    법안 소개에 따르면 정부가 메타데이터·위치·금융 기록에 접근하려면 영장을 받아야 하고, 데이터 중개업체에서 정보를 사 영장 절차를 우회할 수 없으며, 공공장소에서 영장 없는 얼굴 인식과 AI 생체 감시를 금지하고, 권리 침해 시 개인이 정부를 상대로 소송할 수 있음. 법안 전문도 공개돼 있음
  • 개인정보를 지키려는 힘보다 침해하려는 힘이 훨씬 큼. 각국 정부는 감시 확대를 한번 물면 놓지 않는 개처럼 행동하며, 무관심하고 정보가 부족한 대중도 상황을 악화시킴
  • 자유지상주의 기술 진영은 오류와 부패 가능성이 있는 사람이 법을 집행하는 방식보다 기술적 해법을 선호함. 이 사상적 흐름에서 PC, 암호화, GNU, 자유 소프트웨어, 인터넷, P2P 파일 공유, BitTorrent, 소셜 미디어, Bitcoin, Ethereum, Tor, Freenet, Mullvad를 비롯한 VPN, Monero 등이 나왔음
    하지만 법률에서는 내부 모순에 부딪힘. 수리도 루팅도 불가능한 감시 기기를 기업이 만들고 대중이 동의해 사용한다면, 타인을 통제할 권리가 없다고 믿는 자유지상주의자는 개입할 수 없음. 대신 더 나은 수리·루팅 가능 기기를 만들어야 하며, 그 결과가 GCC, Linux, Ubuntu, Firefox, Graphene 등임
  • 아마 영원히 나오지 않을 것임. 인터넷이 대중화되면서 이런 문제를 중시하는 소수의 목소리가 YouTube Shorts·Reels·TikTok을 넘기는 수십억 명에게 완전히 묻혔기 때문임
  • 새로운 권리장전은 필요하지 않음. 기존 권리장전도 존중하지 않는데 새것을 존중할 이유가 없음. 현재 상황에는 다른 구제책이 필요함

• 국제적인 연령 확인을 하려면 시민 정보를 디지털로 공유할 수 있는 조약이 필요하며, 이 협력은 결국 신원 확인 인터넷으로 이어질 모든 징후를 갖추고 있음
  범죄자를 기소하려면 실제 행위자를 검증해야 하므로 익명 인터넷 접근을 차단하고 언제든 신원을 확인할 수 있게 만들려 할 것임. UK의 누군가가 인터넷을 통해 Canada에서 범죄를 저지르면 추적이 훨씬 어려우므로, 국제 협력 체계가 백엔드 신원 확인을 요구하게 되는 흐름도 자연스러움
  이는 KYC 확대와 비슷함. 50년 전 Canada 정부는 시민의 계좌 잔액·거래·투자·재산을 거의 몰랐지만, 이제 RRSP와 TFSA의 정보와 잔액이 매년 정부에 전달되고 비등록 계좌의 거래 정보까지 수집되는 것으로 알고 있음. 일부 의무는 비준된 국제조약에서 비롯되며, 금융 감시 수준은 놀라울 정도임
  한 세대 전에는 은행 계좌 개설에 SIN이 필요해지는 것만으로도 큰 논란이었지만 지금은 여기까지 왔음
  봇·해외 세력·악의적 행위자가 이익이나 국가 목표를 위해 대규모 허위정보를 퍼뜨리고 있고, LLM은 이를 훨씬 악화시킬 것임. 익명성을 유지하면서 이런 행위를 막을 다른 길이 잘 보이지 않으며, 인터넷 범죄의 기소 성공률을 크게 높이는 풀뿌리 해법이 없다면 신원 관리형 인터넷을 맞게 될 가능성이 큼
  기업에 필터링을 강제해도 모든 포럼과 토렌트에 적용하기 어렵고, 민간기업이 게시 가능 여부를 정하게 됨. 제재 후 새 계정을 만들지 못하게 하려면 기업도 신분증을 요구할 것이며, 차단 결정에 대해 무죄 추정·고발자 대면·배심 재판 같은 권리를 행사하기도 어려움. Google이나 Facebook에서 차단되면 이유조차 알아내기 힘듦
  문지기가 반드시 필요하다면 이윤을 좇는 민간기업보다는 형사법원 절차를 따라야 하는 정부가 낫지만, 어느 쪽이든 매우 불쾌한 길임

  • 정부만 개인의 신원을 공개할 수 있는 인증기관 구조였으면 좋겠지만, 실제로는 정부 발급 신분증 사진을 대량 수집하게 될 가능성이 큼. 정부조차 그 결과 발생할 신원 도용 규모에 대비하지 못했을 것임
  • “더 나은 해법을 원했지만 시민들이 제대로 행동하지 않았으니 어쩔 수 없다”는 논리는 받아들일 수 없음. 현재 상황은 그렇게 종말론적이지 않고, 대안인 전면적 신원 추적은 훨씬 끔찍함
    전 세계 누구와도 인터넷으로 소통한 지 30년, 온라인 사기가 성숙한 지 20년, 국가 단위 선전이 시작된 지도 최소 15년가량 됐음. AI가 큰 변수이긴 하지만 다른 분야처럼 수익 체감이 있어 무한히 확장되지는 못함. 인터넷에 쓰레기가 지나치게 많아지면 사람들은 사적 공동체로 물러나 자체 신뢰를 구축할 것이고, 결국 인터넷을 기본적으로 불신하는 태도가 대중화될 수 있음. 강력한 신원 확인을 적용하는 거대 소셜 네트워크와 각자 신뢰를 관리하는 소규모 공동체로 분화될 가능성이 큼
    기업이 검증자가 되는 편이 오히려 덜 나쁨. 소규모 사적 공동체가 살아남을 여지가 있고 기업끼리나 정부와 완벽히 정보를 공유하지 못해 보편적 추적을 막아주기 때문임
    진짜 위험은 AI가 정부에 모든 시민을 상시 조사할 능력을 준다는 데 있음. 과거에는 특정 인물을 의심한 뒤 조사해야 했지만, 앞으로는 모든 행동을 먼저 검사하고 의심스러운 행동을 자동으로 기록할 수 있음. 온라인 신원 확인은 제한된 상황에만 쓰이는 SIN이나 운전면허증과 다름. 인터넷은 거의 모든 의사소통에 쓰이므로 자동 추적은 우리가 하는 모든 말과 행동을 감시하는 것임
    이는 정해진 장소에서 경찰에게 한 번 면허증을 보여주는 것이 아니라, 신분이 피부에 새겨져 있고 수십억 대의 카메라가 모든 움직임을 기록·분석한 뒤 경찰이 찾아오는 세계와 같음. 비밀이 없고 완전한 지식과 무자비한 집행만 남는 세상에서는 살고 싶지 않으며, 차라리 지금의 세계가 나음
  • 법질서를 중시하는 이들은 “통제·정보·법원·처벌을 더 늘리면 해결된다”고 가정하지만, 역사는 옳은 일을 한다고 자처한 이들이 엄청난 오판과 비극적 피해를 일으켰음을 보여줌
    사회 전체가 군·경 조직 구성원에게 흔한 자율성 제한과 기록 관리를 받아들여야 하는지는 별개의 문제임. 서구 사회는 대체로 아니라고 답해 왔지만 다시 같은 길로 들어서고 있음