[주의!] 문서의 이전 버전(에 수정)을 보고 있습니다. 최신 버전으로 이동
약칭 | OSDA (국외데이터법) |
제정 | 2018년 3월 13일 법률 제5528호 |
현행 | 2021년 9월 17일 법률 제5750호 |
소관 | |
링크 | 루이나 법령정보센터 |
1. 개요 [편집]
국외 저장 데이터의 적법한 이용에 관한 법률(國外 貯藏 데이터의 適法한 利用에 관한 法律, Overseas Stored Data Act, OSDA)은 루이나의 수사기관이 법관의 영장으로 통신 서비스 제공자에게 데이터를 요구할 때, 그 데이터가 루이나 밖의 서버에 저장되어 있더라도 제공자가 이를 제출하도록 정한 루이나의 법률이다. 약칭은 국외데이터법이다. 2018년 3월 13일 제정되었고, 현행은 2021년 9월 17일 개정법이다.
이 법의 핵심은 데이터가 어디에 있는지가 아니라 제공자가 그 데이터를 통제하는지를 기준으로 삼는 데 있다(제5조). 루이나에서 사업을 하는 통신 서비스 제공자는 자신이 소유하거나 관리하거나 통제하는 데이터라면 서버가 외국에 있어도 루이나 법원의 영장에 따라 제출하여야 한다. 그 대신 제출이 외국의 법을 어기게 만드는 때에는 제공자가 법원에 영장의 취소나 수정을 청구할 수 있고, 법원은 루이나와 외국의 이익을 비교해 결정한다(제11조·제12조).
이 법은 루이나가 국외의 데이터를 요구하는 쪽만 정한다. 외국 정부는 루이나의 제공자에게 데이터를 직접 요구할 수 없으며 「국제형사사법공조법」의 절차를 거쳐야 하고, 제공자가 외국 정부에 루이나 이용자의 데이터를 직접 넘기는 것은 금지된다(제19조). 국외 정보기관인 국가정보국은 이 법을 쓸 수 없으며(제14조), 기자의 데이터를 요구하는 때에는 더 엄격한 요건을 지켜야 한다(제15조).
이 법의 핵심은 데이터가 어디에 있는지가 아니라 제공자가 그 데이터를 통제하는지를 기준으로 삼는 데 있다(제5조). 루이나에서 사업을 하는 통신 서비스 제공자는 자신이 소유하거나 관리하거나 통제하는 데이터라면 서버가 외국에 있어도 루이나 법원의 영장에 따라 제출하여야 한다. 그 대신 제출이 외국의 법을 어기게 만드는 때에는 제공자가 법원에 영장의 취소나 수정을 청구할 수 있고, 법원은 루이나와 외국의 이익을 비교해 결정한다(제11조·제12조).
이 법은 루이나가 국외의 데이터를 요구하는 쪽만 정한다. 외국 정부는 루이나의 제공자에게 데이터를 직접 요구할 수 없으며 「국제형사사법공조법」의 절차를 거쳐야 하고, 제공자가 외국 정부에 루이나 이용자의 데이터를 직접 넘기는 것은 금지된다(제19조). 국외 정보기관인 국가정보국은 이 법을 쓸 수 없으며(제14조), 기자의 데이터를 요구하는 때에는 더 엄격한 요건을 지켜야 한다(제15조).
2. 연혁 [편집]
2.1. 노르딘 시스템즈 사건 [편집]
2010년대 초 루이나의 전자우편과 클라우드 서비스 업체들은 전기 요금이 싸고 데이터 보호법이 엄격한 체르드로 데이터 센터를 옮기기 시작했다. 벨포르에 본사를 둔 노르딘 시스템즈도 2012년 국외 이용자와 일부 루이나 이용자의 전자우편함을 체르드 북부의 데이터 센터로 옮겼다.
2014년 법무부 광역수사국은 롱비치 항을 통한 마약 밀수를 수사하면서 피의자의 전자우편을 압수하는 영장을 받아 노르딘 시스템즈에 제출을 요구했다. 노르딘은 루이나에 저장된 가입자 정보와 접속 기록은 넘겼지만, 체르드의 서버에 있는 전자우편의 내용은 넘기지 않았다. 루이나 법원의 영장은 루이나 영토 안에서만 효력이 있고, 체르드의 법은 외국 수사기관에 데이터를 직접 넘기는 것을 처벌한다는 이유였다.
1심인 벨포르 지방법원은 2015년 노르딘이 벨포르에서 체르드의 서버를 원격으로 조작할 수 있으므로 데이터를 넘겨야 한다고 보고 하루 2만 달러의 이행강제금을 매겼다. 그러나 2016년 고등법원은 「형사소송법」의 압수 영장은 루이나 안의 물건에만 미치며, 국외의 데이터는 체르드와의 사법공조로 얻어야 한다며 1심을 뒤집었다. 체르드와의 사법공조에는 평균 10개월이 걸렸고, 그 사이 피의자 가운데 두 명이 출국했다. 정부는 상고했고, 대법원의 심리가 길어지는 동안 같은 이유로 데이터를 받지 못한 수사가 수백 건에 이른다는 법무부의 보고가 나왔다.
2014년 법무부 광역수사국은 롱비치 항을 통한 마약 밀수를 수사하면서 피의자의 전자우편을 압수하는 영장을 받아 노르딘 시스템즈에 제출을 요구했다. 노르딘은 루이나에 저장된 가입자 정보와 접속 기록은 넘겼지만, 체르드의 서버에 있는 전자우편의 내용은 넘기지 않았다. 루이나 법원의 영장은 루이나 영토 안에서만 효력이 있고, 체르드의 법은 외국 수사기관에 데이터를 직접 넘기는 것을 처벌한다는 이유였다.
1심인 벨포르 지방법원은 2015년 노르딘이 벨포르에서 체르드의 서버를 원격으로 조작할 수 있으므로 데이터를 넘겨야 한다고 보고 하루 2만 달러의 이행강제금을 매겼다. 그러나 2016년 고등법원은 「형사소송법」의 압수 영장은 루이나 안의 물건에만 미치며, 국외의 데이터는 체르드와의 사법공조로 얻어야 한다며 1심을 뒤집었다. 체르드와의 사법공조에는 평균 10개월이 걸렸고, 그 사이 피의자 가운데 두 명이 출국했다. 정부는 상고했고, 대법원의 심리가 길어지는 동안 같은 이유로 데이터를 받지 못한 수사가 수백 건에 이른다는 법무부의 보고가 나왔다.
2.2. 제정 [편집]
콜턴 정부는 대법원의 판결을 기다리지 않고 입법으로 문제를 풀기로 했다. 2018년 3월 13일 제정된 국외데이터법은 데이터의 저장 위치와 관계없이 제공자가 통제하는 데이터를 영장에 따라 제출하게 했다(제5조). 의회 심의 과정에서 사생활 침해를 우려한 의원들의 요구로, 외국 법과 충돌하는 때에 제공자가 이의를 신청하는 예양 심사(제11조·제12조), 이용자에 대한 사후 통지(제10조)와 법무부장관의 연례 보고(제21조)가 들어갔다. 대법원은 법이 시행되자 새 법에 따라 다시 발부된 영장으로 문제가 해결되었다며 노르딘 사건의 상고를 각하했다.
정부안은 외국 정부와 협정을 맺어 서로의 제공자에게 직접 데이터를 요구할 수 있게 하는 조항도 담고 있었다. 그러나 의회는 사형을 존치한 유고랜드가 첫 협정 상대로 거론되자 이 조항을 지웠고, 외국의 요청은 사법공조로만 받도록 했다(제19조).
정부안은 외국 정부와 협정을 맺어 서로의 제공자에게 직접 데이터를 요구할 수 있게 하는 조항도 담고 있었다. 그러나 의회는 사형을 존치한 유고랜드가 첫 협정 상대로 거론되자 이 조항을 지웠고, 외국의 요청은 사법공조로만 받도록 했다(제19조).
2.3. 2021년 개정 [편집]
제정 법은 「대테러 방지법」에 따라 국내 정보를 수집할 수 있던 국가정보국도 이 법의 영장을 청구할 수 있게 했다. 2020년 4월 헌법재판소는 이른바 '《아르시브》 기자 사건'에서 국가정보국이 국내에서 국민의 정보를 수집하게 한 대테러 방지법 조항을 위헌으로 결정했고, 그 과정에서 국가정보국이 기자 두 명의 클라우드 자료를 이 법의 영장으로 받아 간 사실도 드러났다.
그래이 정부 때인 2021년 9월 17일, 의회는 대테러 방지법을 전부개정한 날 이 법도 함께 개정했다. 개정법은 국가정보국 등 국외 정보기관을 이 법의 수사기관에서 빼고(제14조), 기자의 데이터를 요구하는 영장은 고등법원 판사가 심사하며 청구서에 대상이 기자라는 사실을 반드시 적게 했다(제15조). 같은 해 출범한 고위공직자범죄수사처가 수사기관에 추가되었다(제2조제6호).
그래이 정부 때인 2021년 9월 17일, 의회는 대테러 방지법을 전부개정한 날 이 법도 함께 개정했다. 개정법은 국가정보국 등 국외 정보기관을 이 법의 수사기관에서 빼고(제14조), 기자의 데이터를 요구하는 영장은 고등법원 판사가 심사하며 청구서에 대상이 기자라는 사실을 반드시 적게 했다(제15조). 같은 해 출범한 고위공직자범죄수사처가 수사기관에 추가되었다(제2조제6호).
3. 내용 [편집]
3.1. 주요 내용 [편집]
구분 | 내용 |
기준 | 저장 위치가 아니라 제공자의 통제 |
요건 | 내용 데이터는 법관의 영장 |
이의 | 외국 법과 충돌 시 예양 심사 |
통지 | 원칙적으로 이용자에게 사후 통지 |
정보기관 | 사용 금지 |
기자 | 고등법원 판사 심사 |
외국의 요청 | 사법공조로만, 직접 제공 금지 |
3.2. 전문 [편집]
아래는 현행 조문(2021년 9월 17일 법률 제5750호)이다.
3.2.1. 제1장 총칙 [편집]
제1조(목적) 이 법은 범죄 수사를 위하여 필요한 데이터가 루이나 밖에 저장되어 있는 경우에도 법관의 통제 아래 이를 적법하게 얻을 수 있도록 하고, 그 과정에서 이용자의 사생활과 통신의 비밀, 언론의 자유를 보호함을 목적으로 한다.
제2조(정의) 이 법에서 사용하는 용어의 뜻은 다음과 같다.
1. "통신 서비스 제공자"(이하 "제공자"라 한다)란 전기통신 역무를 제공하거나 원격 저장 서비스를 제공하는 사업자를 말한다.
2. "원격 저장 서비스"란 이용자를 위하여 정보통신망을 통하여 데이터를 저장하거나 처리하는 서비스를 말한다.
3. "내용 데이터"란 통신의 내용과 이용자가 저장한 문서, 사진, 영상 그 밖의 파일의 내용을 말한다.
4. "비내용 데이터"란 가입자의 이름, 주소, 결제 수단과 가입 일시, 접속 기록, 통신의 일시와 상대방 등 내용 데이터가 아닌 데이터를 말한다.
5. "국외 저장 데이터"란 루이나 밖에 있는 서버나 저장 장치에 저장된 데이터를 말한다.
6. "수사기관"이란 검사, 사법경찰관과 고위공직자범죄수사처를 말한다. <개정 2021. 9. 17.>
7. "통제"란 제공자가 법적이나 기술적으로 데이터에 접근하여 이를 꺼내 올 수 있는 상태를 말한다. 데이터를 계열사나 위탁 업체가 저장하고 있더라도 제공자가 접근할 수 있으면 통제하는 것으로 본다.
제3조(적용 범위) 이 법은 다음 각 호의 제공자에게 적용한다.
1. 루이나에 주된 사무소나 영업소를 둔 제공자
2. 루이나에 영업소가 없더라도 루이나의 이용자를 대상으로 계속하여 서비스를 제공하는 제공자
제4조(다른 법률과의 관계) 데이터의 압수와 제출에 관한 절차는 이 법에서 정한 것 외에는 「형사소송법」과 「통신비밀보호법」에 따른다.
제2조(정의) 이 법에서 사용하는 용어의 뜻은 다음과 같다.
1. "통신 서비스 제공자"(이하 "제공자"라 한다)란 전기통신 역무를 제공하거나 원격 저장 서비스를 제공하는 사업자를 말한다.
2. "원격 저장 서비스"란 이용자를 위하여 정보통신망을 통하여 데이터를 저장하거나 처리하는 서비스를 말한다.
3. "내용 데이터"란 통신의 내용과 이용자가 저장한 문서, 사진, 영상 그 밖의 파일의 내용을 말한다.
4. "비내용 데이터"란 가입자의 이름, 주소, 결제 수단과 가입 일시, 접속 기록, 통신의 일시와 상대방 등 내용 데이터가 아닌 데이터를 말한다.
5. "국외 저장 데이터"란 루이나 밖에 있는 서버나 저장 장치에 저장된 데이터를 말한다.
6. "수사기관"이란 검사, 사법경찰관과 고위공직자범죄수사처를 말한다. <개정 2021. 9. 17.>
7. "통제"란 제공자가 법적이나 기술적으로 데이터에 접근하여 이를 꺼내 올 수 있는 상태를 말한다. 데이터를 계열사나 위탁 업체가 저장하고 있더라도 제공자가 접근할 수 있으면 통제하는 것으로 본다.
제3조(적용 범위) 이 법은 다음 각 호의 제공자에게 적용한다.
1. 루이나에 주된 사무소나 영업소를 둔 제공자
2. 루이나에 영업소가 없더라도 루이나의 이용자를 대상으로 계속하여 서비스를 제공하는 제공자
제4조(다른 법률과의 관계) 데이터의 압수와 제출에 관한 절차는 이 법에서 정한 것 외에는 「형사소송법」과 「통신비밀보호법」에 따른다.
3.2.2. 제2장 국외 저장 데이터의 제출 [편집]
제5조(제출 의무)
①제공자는 수사기관이 법관의 영장이나 법원의 제출명령에 따라 요구하는 때에는 자신이 소유하거나 관리하거나 통제하는 데이터를 그 저장 위치와 관계없이 제출하여야 한다.
②제공자는 데이터가 국외에 저장되어 있다는 이유만으로 제출을 거부할 수 없다.
③제공자는 제8조의 보존 요청이나 영장을 받은 뒤에 그 데이터를 통제할 수 없는 곳으로 옮기거나 통제를 포기하여서는 아니 된다.
제6조(영장과 제출명령)
①내용 데이터는 「통신비밀보호법」에 따라 법관이 발부한 영장으로만 요구할 수 있으며, 법정형의 장기가 3년 이상인 범죄의 수사에 한한다.
②비내용 데이터는 법원의 제출명령으로 요구할 수 있다.
③수사기관은 영장이나 제출명령을 청구할 때 데이터가 국외에 저장되어 있다고 알고 있거나 그렇게 의심되면 그 사실과 저장된 나라를 청구서에 적어야 한다.
제7조(대상의 특정) 영장과 제출명령에는 대상이 되는 계정이나 이용자, 데이터의 종류와 기간을 특정하여야 한다. 기간은 6개월을 넘을 수 없으며, 특정한 계정이 아닌 이용자 전체나 서버 전체를 대상으로 하는 영장은 발부할 수 없다.
제8조(데이터의 보존 요청)
①수사기관은 영장이나 제출명령을 청구하기 전에 제공자에게 특정한 데이터를 90일 동안 보존하도록 요청할 수 있으며, 한 번에 한하여 90일을 연장할 수 있다.
②보존 요청을 받은 제공자는 그 데이터를 지우거나 바꾸어서는 아니 되며, 요청을 받은 사실을 누구에게도 알려서는 아니 된다.
③보존 요청만으로는 데이터를 수사기관에 넘길 수 없다.
제9조(비밀 유지 명령)
①법원은 이용자에게 알리면 증거가 없어지거나 사람의 생명과 신체가 위험해지거나 수사에 중대한 지장이 생길 우려가 있는 때에는 제공자에게 영장이나 제출명령을 받은 사실을 이용자에게 알리지 못하도록 명령할 수 있다.
②비밀 유지 명령의 기간은 90일 이내로 하며, 90일씩 연장할 수 있으나 모두 1년을 넘을 수 없다.
제10조(이용자 통지) 수사기관은 데이터를 받은 날부터 30일 안에 그 이용자에게 데이터를 받은 사실과 그 범위, 근거가 된 영장이나 제출명령을 알려야 한다. 제9조의 비밀 유지 명령이 있는 때에는 그 기간이 끝난 날부터 30일 안에 알린다.
①제공자는 수사기관이 법관의 영장이나 법원의 제출명령에 따라 요구하는 때에는 자신이 소유하거나 관리하거나 통제하는 데이터를 그 저장 위치와 관계없이 제출하여야 한다.
②제공자는 데이터가 국외에 저장되어 있다는 이유만으로 제출을 거부할 수 없다.
③제공자는 제8조의 보존 요청이나 영장을 받은 뒤에 그 데이터를 통제할 수 없는 곳으로 옮기거나 통제를 포기하여서는 아니 된다.
제6조(영장과 제출명령)
①내용 데이터는 「통신비밀보호법」에 따라 법관이 발부한 영장으로만 요구할 수 있으며, 법정형의 장기가 3년 이상인 범죄의 수사에 한한다.
②비내용 데이터는 법원의 제출명령으로 요구할 수 있다.
③수사기관은 영장이나 제출명령을 청구할 때 데이터가 국외에 저장되어 있다고 알고 있거나 그렇게 의심되면 그 사실과 저장된 나라를 청구서에 적어야 한다.
제7조(대상의 특정) 영장과 제출명령에는 대상이 되는 계정이나 이용자, 데이터의 종류와 기간을 특정하여야 한다. 기간은 6개월을 넘을 수 없으며, 특정한 계정이 아닌 이용자 전체나 서버 전체를 대상으로 하는 영장은 발부할 수 없다.
제8조(데이터의 보존 요청)
①수사기관은 영장이나 제출명령을 청구하기 전에 제공자에게 특정한 데이터를 90일 동안 보존하도록 요청할 수 있으며, 한 번에 한하여 90일을 연장할 수 있다.
②보존 요청을 받은 제공자는 그 데이터를 지우거나 바꾸어서는 아니 되며, 요청을 받은 사실을 누구에게도 알려서는 아니 된다.
③보존 요청만으로는 데이터를 수사기관에 넘길 수 없다.
제9조(비밀 유지 명령)
①법원은 이용자에게 알리면 증거가 없어지거나 사람의 생명과 신체가 위험해지거나 수사에 중대한 지장이 생길 우려가 있는 때에는 제공자에게 영장이나 제출명령을 받은 사실을 이용자에게 알리지 못하도록 명령할 수 있다.
②비밀 유지 명령의 기간은 90일 이내로 하며, 90일씩 연장할 수 있으나 모두 1년을 넘을 수 없다.
제10조(이용자 통지) 수사기관은 데이터를 받은 날부터 30일 안에 그 이용자에게 데이터를 받은 사실과 그 범위, 근거가 된 영장이나 제출명령을 알려야 한다. 제9조의 비밀 유지 명령이 있는 때에는 그 기간이 끝난 날부터 30일 안에 알린다.
3.2.3. 제3장 이의와 국제 예양 [편집]
제11조(이의 신청)
①제공자는 다음 각 호의 요건을 모두 갖춘 때에는 영장이나 제출명령을 받은 날부터 14일 안에 그 법원에 취소나 수정을 청구할 수 있다.
1. 대상 이용자가 루이나 국민이 아니고 루이나에 거주하지 아니할 것
2. 데이터를 제출하면 그 데이터가 저장된 나라의 법을 위반하게 될 실질적인 위험이 있을 것
②이의 신청을 한 제공자는 법원의 결정이 있을 때까지 데이터를 보존하여야 한다.
③법원은 이의 신청을 받은 날부터 30일 안에 결정하여야 한다.
제12조(예양의 판단)
①법원은 이의 신청을 판단할 때 다음 각 호의 사항을 함께 고려하여야 한다.
1. 루이나의 수사상 이익과 범죄의 중대성
2. 외국의 이익과 그 나라의 법이 데이터의 제출을 금지하는 정도
3. 이용자의 국적, 거주지와 루이나와의 관련
4. 제공자가 그 외국에서 받을 수 있는 제재의 정도와 가능성
5. 사법공조로 같은 데이터를 제때 얻을 수 있는지 여부
②법원은 영장이나 제출명령을 취소하는 대신 제출의 범위를 줄이거나, 수사기관에 사법공조를 먼저 청구하도록 명할 수 있다.
①제공자는 다음 각 호의 요건을 모두 갖춘 때에는 영장이나 제출명령을 받은 날부터 14일 안에 그 법원에 취소나 수정을 청구할 수 있다.
1. 대상 이용자가 루이나 국민이 아니고 루이나에 거주하지 아니할 것
2. 데이터를 제출하면 그 데이터가 저장된 나라의 법을 위반하게 될 실질적인 위험이 있을 것
②이의 신청을 한 제공자는 법원의 결정이 있을 때까지 데이터를 보존하여야 한다.
③법원은 이의 신청을 받은 날부터 30일 안에 결정하여야 한다.
제12조(예양의 판단)
①법원은 이의 신청을 판단할 때 다음 각 호의 사항을 함께 고려하여야 한다.
1. 루이나의 수사상 이익과 범죄의 중대성
2. 외국의 이익과 그 나라의 법이 데이터의 제출을 금지하는 정도
3. 이용자의 국적, 거주지와 루이나와의 관련
4. 제공자가 그 외국에서 받을 수 있는 제재의 정도와 가능성
5. 사법공조로 같은 데이터를 제때 얻을 수 있는지 여부
②법원은 영장이나 제출명령을 취소하는 대신 제출의 범위를 줄이거나, 수사기관에 사법공조를 먼저 청구하도록 명할 수 있다.
3.2.4. 제4장 보호 장치 [편집]
제13조(목적 외 이용의 금지와 폐기)
①수사기관은 제출받은 데이터를 영장이나 제출명령에 적힌 범죄의 수사 외의 목적으로 쓸 수 없다. 다만, 법정형의 장기가 10년 이상인 범죄의 증거를 우연히 발견한 때에는 법원의 허가를 받아 그 범죄의 수사에 쓸 수 있다.
②수사기관은 수사와 관련이 없는 데이터를 확인한 날부터 30일 안에 폐기하고, 사건이 끝나면 나머지 데이터를 폐기하여야 한다.
제14조(정보기관의 배제) <신설 2021. 9. 17.>
①헌법 제18조제5항에 따른 국외 정보를 수집하는 기관은 이 법에 따른 영장이나 제출명령을 청구하거나 보존 요청을 할 수 없다.
②수사기관은 이 법에 따라 제출받은 데이터를 제1항의 기관에 제공할 수 없다.
제15조(기자와 취재원) <신설 2021. 9. 17.>
①수사기관은 기자의 데이터를 요구하는 영장이나 제출명령을 청구할 때 그 대상이 기자라는 사실을 청구서에 적어야 하며, 그 영장이나 제출명령은 고등법원 판사가 심사한다.
②취재원을 알아낼 수 있는 데이터는 사람의 생명이나 신체에 대한 급박한 위험을 막기 위하여 필요하거나, 법정형의 장기가 10년 이상인 범죄의 수사에서 다른 방법으로는 증거를 얻을 수 없는 때에만 요구할 수 있다.
③제1항이나 제2항을 위반하여 얻은 데이터는 증거로 쓸 수 없다.
제16조(변호인과의 통신) 변호인과 의뢰인 사이의 통신 데이터는 제출의 범위에서 제외한다. 다른 데이터와 섞여 있는 때에는 법원이 지정한 별도의 심사관이 이를 가려낸 뒤에 나머지만 수사기관에 넘긴다.
제17조(국내 대리인) 제3조제2호의 제공자는 루이나에 국내 대리인을 지정하여 법무부장관에게 신고하여야 하며, 국내 대리인에게 송달된 영장, 제출명령과 보존 요청은 그 제공자에게 송달된 것으로 본다.
제18조(긴급한 경우의 제공) 제공자는 사람의 생명이나 신체에 대한 급박한 위험이 있다고 믿을 상당한 이유가 있는 때에는 영장 없이 수사기관에 데이터를 제공할 수 있다. 이 경우 수사기관은 48시간 안에 법원에 영장이나 제출명령을 청구하여야 하며, 받지 못한 때에는 그 데이터를 즉시 폐기하여야 한다.
①수사기관은 제출받은 데이터를 영장이나 제출명령에 적힌 범죄의 수사 외의 목적으로 쓸 수 없다. 다만, 법정형의 장기가 10년 이상인 범죄의 증거를 우연히 발견한 때에는 법원의 허가를 받아 그 범죄의 수사에 쓸 수 있다.
②수사기관은 수사와 관련이 없는 데이터를 확인한 날부터 30일 안에 폐기하고, 사건이 끝나면 나머지 데이터를 폐기하여야 한다.
제14조(정보기관의 배제) <신설 2021. 9. 17.>
①헌법 제18조제5항에 따른 국외 정보를 수집하는 기관은 이 법에 따른 영장이나 제출명령을 청구하거나 보존 요청을 할 수 없다.
②수사기관은 이 법에 따라 제출받은 데이터를 제1항의 기관에 제공할 수 없다.
제15조(기자와 취재원) <신설 2021. 9. 17.>
①수사기관은 기자의 데이터를 요구하는 영장이나 제출명령을 청구할 때 그 대상이 기자라는 사실을 청구서에 적어야 하며, 그 영장이나 제출명령은 고등법원 판사가 심사한다.
②취재원을 알아낼 수 있는 데이터는 사람의 생명이나 신체에 대한 급박한 위험을 막기 위하여 필요하거나, 법정형의 장기가 10년 이상인 범죄의 수사에서 다른 방법으로는 증거를 얻을 수 없는 때에만 요구할 수 있다.
③제1항이나 제2항을 위반하여 얻은 데이터는 증거로 쓸 수 없다.
제16조(변호인과의 통신) 변호인과 의뢰인 사이의 통신 데이터는 제출의 범위에서 제외한다. 다른 데이터와 섞여 있는 때에는 법원이 지정한 별도의 심사관이 이를 가려낸 뒤에 나머지만 수사기관에 넘긴다.
제17조(국내 대리인) 제3조제2호의 제공자는 루이나에 국내 대리인을 지정하여 법무부장관에게 신고하여야 하며, 국내 대리인에게 송달된 영장, 제출명령과 보존 요청은 그 제공자에게 송달된 것으로 본다.
제18조(긴급한 경우의 제공) 제공자는 사람의 생명이나 신체에 대한 급박한 위험이 있다고 믿을 상당한 이유가 있는 때에는 영장 없이 수사기관에 데이터를 제공할 수 있다. 이 경우 수사기관은 48시간 안에 법원에 영장이나 제출명령을 청구하여야 하며, 받지 못한 때에는 그 데이터를 즉시 폐기하여야 한다.
3.2.5. 제5장 외국과의 관계 [편집]
제19조(외국의 요청과 직접 제공의 금지)
①외국 정부가 루이나 안에 저장되었거나 이 법이 적용되는 제공자가 통제하는 데이터를 요구하려면 「국제형사사법공조법」의 절차를 거쳐야 한다.
②제공자는 법령에 따른 절차를 거치지 아니하고 루이나 국민이나 루이나에 거주하는 사람의 내용 데이터를 외국 정부 기관에 제공할 수 없다. 다만, 사람의 생명이나 신체에 대한 급박한 위험을 막기 위한 때에는 제공한 뒤 지체 없이 법무부장관에게 알려야 한다.
제20조(협정의 체결) 외국 정부의 수사기관이 이 법이 적용되는 제공자에게 데이터를 직접 요구할 수 있게 하는 협정은 법률로 정하는 경우에만 맺을 수 있으며, 사형을 존치하거나 법관의 독립된 심사를 보장하지 아니하는 나라와는 맺을 수 없다.
①외국 정부가 루이나 안에 저장되었거나 이 법이 적용되는 제공자가 통제하는 데이터를 요구하려면 「국제형사사법공조법」의 절차를 거쳐야 한다.
②제공자는 법령에 따른 절차를 거치지 아니하고 루이나 국민이나 루이나에 거주하는 사람의 내용 데이터를 외국 정부 기관에 제공할 수 없다. 다만, 사람의 생명이나 신체에 대한 급박한 위험을 막기 위한 때에는 제공한 뒤 지체 없이 법무부장관에게 알려야 한다.
제20조(협정의 체결) 외국 정부의 수사기관이 이 법이 적용되는 제공자에게 데이터를 직접 요구할 수 있게 하는 협정은 법률로 정하는 경우에만 맺을 수 있으며, 사형을 존치하거나 법관의 독립된 심사를 보장하지 아니하는 나라와는 맺을 수 없다.
3.2.6. 제6장 감독 [편집]
제21조(연례 보고) 법무부장관은 매년 다음 각 호의 사항을 의회에 보고하고 공개하여야 한다.
1. 이 법에 따른 영장, 제출명령과 보존 요청의 수와 그 대상 범죄
2. 데이터가 저장된 나라별 건수
3. 이의 신청의 수와 그 결과
4. 비밀 유지 명령의 수와 그 기간
5. 제18조에 따른 긴급 제공의 수
6. 기자의 데이터에 관한 영장과 제출명령의 수 <신설 2021. 9. 17.>
제22조(투명성 보고) 제공자는 이 법에 따라 받은 영장, 제출명령과 보존 요청의 수를 공개할 수 있다. 다만, 비밀 유지 명령의 대상인 개별 사건의 내용은 공개할 수 없다.
1. 이 법에 따른 영장, 제출명령과 보존 요청의 수와 그 대상 범죄
2. 데이터가 저장된 나라별 건수
3. 이의 신청의 수와 그 결과
4. 비밀 유지 명령의 수와 그 기간
5. 제18조에 따른 긴급 제공의 수
6. 기자의 데이터에 관한 영장과 제출명령의 수 <신설 2021. 9. 17.>
제22조(투명성 보고) 제공자는 이 법에 따라 받은 영장, 제출명령과 보존 요청의 수를 공개할 수 있다. 다만, 비밀 유지 명령의 대상인 개별 사건의 내용은 공개할 수 없다.
3.2.7. 제7장 벌칙 [편집]
제23조(제출의 거부) 정당한 이유 없이 제5조제1항에 따른 제출을 거부한 제공자에게는 법원이 제출할 때까지 하루 5만 달러 이하의 이행강제금을 부과한다. 제11조에 따라 이의 신청을 하여 그 결정을 기다리는 기간은 그러하지 아니하다.
제24조(데이터의 이전과 인멸) 제5조제3항이나 제8조제2항을 위반하여 데이터를 옮기거나 지우거나 바꾼 사람은 3년 이하의 징역이나 50만 달러 이하의 벌금에 처한다.
제25조(비밀의 누설) 제8조제2항이나 제9조제1항의 명령을 위반하여 보존 요청이나 영장을 받은 사실을 알린 사람에게는 2만 달러 이하의 과태료를 부과한다.
제26조(목적 외 이용) 제13조, 제14조제2항이나 제15조를 위반하여 데이터를 쓰거나 제공하거나 얻은 공무원은 3년 이하의 징역에 처한다.
제27조(외국 정부에 대한 직접 제공) 제19조제2항을 위반하여 데이터를 외국 정부 기관에 제공한 제공자에게는 100만 달러 이하의 과징금을 부과하며, 그 일을 결정한 임직원은 2년 이하의 징역에 처한다.
제24조(데이터의 이전과 인멸) 제5조제3항이나 제8조제2항을 위반하여 데이터를 옮기거나 지우거나 바꾼 사람은 3년 이하의 징역이나 50만 달러 이하의 벌금에 처한다.
제25조(비밀의 누설) 제8조제2항이나 제9조제1항의 명령을 위반하여 보존 요청이나 영장을 받은 사실을 알린 사람에게는 2만 달러 이하의 과태료를 부과한다.
제26조(목적 외 이용) 제13조, 제14조제2항이나 제15조를 위반하여 데이터를 쓰거나 제공하거나 얻은 공무원은 3년 이하의 징역에 처한다.
제27조(외국 정부에 대한 직접 제공) 제19조제2항을 위반하여 데이터를 외국 정부 기관에 제공한 제공자에게는 100만 달러 이하의 과징금을 부과하며, 그 일을 결정한 임직원은 2년 이하의 징역에 처한다.
3.2.8. 부칙 [편집]
부칙 <2018년 3월 13일 법률 제5528호>
제1조(시행일) 이 법은 공포한 날부터 시행한다.
제2조(계속 중인 사건에 관한 적용례) 이 법 시행 당시 법원에 계속 중인 사건에서 국외 저장 데이터를 이유로 집행되지 아니한 영장에 대하여는 수사기관이 이 법에 따라 영장을 다시 청구할 수 있다.
부칙 <2021년 9월 17일 법률 제5750호>
제1조(시행일) 이 법은 공포한 날부터 시행한다.
제2조(국가정보국이 받은 데이터의 폐기) 국가정보국은 이 법 시행 전에 종전의 규정에 따라 제출받은 데이터를 이 법 시행일부터 6개월 안에 모두 폐기하고, 그 결과를 「대테러 방지법」에 따른 독립심사관에게 보고하여야 한다.
제1조(시행일) 이 법은 공포한 날부터 시행한다.
제2조(계속 중인 사건에 관한 적용례) 이 법 시행 당시 법원에 계속 중인 사건에서 국외 저장 데이터를 이유로 집행되지 아니한 영장에 대하여는 수사기관이 이 법에 따라 영장을 다시 청구할 수 있다.
부칙 <2021년 9월 17일 법률 제5750호>
제1조(시행일) 이 법은 공포한 날부터 시행한다.
제2조(국가정보국이 받은 데이터의 폐기) 국가정보국은 이 법 시행 전에 종전의 규정에 따라 제출받은 데이터를 이 법 시행일부터 6개월 안에 모두 폐기하고, 그 결과를 「대테러 방지법」에 따른 독립심사관에게 보고하여야 한다.
4. 논란 [편집]
4.1. 사생활과 감시의 기억 [편집]
군정기에 국가정보국이 정치인과 언론인을 사찰한 경험 때문에 루이나에서는 국가가 개인의 통신 기록에 손을 대는 일에 대한 경계가 강하다. 시민단체들은 제정 당시부터 이 법이 루이나 정부의 손이 닿는 범위를 국경 밖의 서버까지 넓힌다고 비판했다. 노르딘 시스템즈 사건에서 고등법원이 지키려 한 것은 외국의 주권만이 아니라, 국경이라는 물리적 한계가 수사 권한에 걸어 두었던 제동이었다는 것이다.
그 우려는 2020년에 현실이 되었다. 제정 법은 대테러 방지법에 따라 국내 정보를 수집하던 국가정보국에도 영장 청구를 허용했는데, 2018년부터 2020년까지 국가정보국이 이 법으로 청구한 영장 64건 가운데 두 건이 《아르시브》 기자들의 클라우드 자료였다. 두 기자의 자료는 체르드의 서버에 있었고, 영장 청구서에는 대상이 기자라는 사실이 적혀 있지 않았다. 2021년 개정으로 정보기관은 이 법에서 완전히 배제되었고 기자에 대한 영장의 요건도 엄격해졌지만, 언론 단체들은 수사기관이 대상을 기자가 아닌 취재원 쪽으로 잡으면 같은 결과를 얻을 수 있다고 지적한다.
이 법에 따른 영장과 제출명령은 2019년부터 2025년까지 해마다 평균 1,600건가량 청구되었고, 그 가운데 국외에 저장된 데이터를 대상으로 한 것은 41%였다. 내용 데이터에 대한 영장은 전체의 23%에 그쳤지만, 비밀 유지 명령이 붙은 사건이 절반을 넘어 이용자가 1년 가까이 지나서야 자신의 데이터가 넘어간 사실을 알게 되는 일이 많다는 비판이 나온다.
그 우려는 2020년에 현실이 되었다. 제정 법은 대테러 방지법에 따라 국내 정보를 수집하던 국가정보국에도 영장 청구를 허용했는데, 2018년부터 2020년까지 국가정보국이 이 법으로 청구한 영장 64건 가운데 두 건이 《아르시브》 기자들의 클라우드 자료였다. 두 기자의 자료는 체르드의 서버에 있었고, 영장 청구서에는 대상이 기자라는 사실이 적혀 있지 않았다. 2021년 개정으로 정보기관은 이 법에서 완전히 배제되었고 기자에 대한 영장의 요건도 엄격해졌지만, 언론 단체들은 수사기관이 대상을 기자가 아닌 취재원 쪽으로 잡으면 같은 결과를 얻을 수 있다고 지적한다.
이 법에 따른 영장과 제출명령은 2019년부터 2025년까지 해마다 평균 1,600건가량 청구되었고, 그 가운데 국외에 저장된 데이터를 대상으로 한 것은 41%였다. 내용 데이터에 대한 영장은 전체의 23%에 그쳤지만, 비밀 유지 명령이 붙은 사건이 절반을 넘어 이용자가 1년 가까이 지나서야 자신의 데이터가 넘어간 사실을 알게 되는 일이 많다는 비판이 나온다.
4.2. 국외 법률과의 충돌 [편집]
이 법은 제공자가 루이나의 영장과 외국의 데이터 보호법 사이에 끼이는 문제를 예양 심사로 풀려 했다. 그러나 이의 신청은 대상 이용자가 루이나 국민도 거주자도 아닌 때에만 할 수 있어(제11조), 루이나 국민의 데이터가 외국 서버에 있는 경우에는 제공자가 외국 법을 어길 위험을 그대로 떠안는다. 2018년부터 2025년까지 이의 신청은 152건이었고, 법원이 영장을 취소하거나 범위를 줄인 것은 31건이었다.
2022년 체르드의 데이터 보호 당국은 노르딘 시스템즈가 루이나 법원의 영장에 따라 체르드에 저장된 루이나 국민의 전자우편을 넘긴 것이 체르드의 법을 어겼다며 과징금을 물렸다. 노르딘은 루이나에서는 제출을 거부하면 이행강제금을, 체르드에서는 제출하면 과징금을 무는 처지가 되었다. 일부 제공자들은 체르드의 데이터를 현지 법인에 넘겨 통제 관계를 끊으려 했지만, 루이나 대법원은 2024년 현지 법인이 따로 있더라도 루이나의 본사가 기술적으로 접근할 수 있으면 그 데이터를 통제하는 것이라고 판결했다(제2조제7호).
2022년 체르드의 데이터 보호 당국은 노르딘 시스템즈가 루이나 법원의 영장에 따라 체르드에 저장된 루이나 국민의 전자우편을 넘긴 것이 체르드의 법을 어겼다며 과징금을 물렸다. 노르딘은 루이나에서는 제출을 거부하면 이행강제금을, 체르드에서는 제출하면 과징금을 무는 처지가 되었다. 일부 제공자들은 체르드의 데이터를 현지 법인에 넘겨 통제 관계를 끊으려 했지만, 루이나 대법원은 2024년 현지 법인이 따로 있더라도 루이나의 본사가 기술적으로 접근할 수 있으면 그 데이터를 통제하는 것이라고 판결했다(제2조제7호).
4.3. 일방주의 비판 [편집]
이 법은 루이나가 국외의 데이터를 요구하는 권한만 정하고, 외국 정부가 루이나의 제공자에게 직접 요구하는 길은 막아 두었다(제19조). 루이나 정부는 이를 루이나 이용자의 데이터를 사형 존치국이나 법관의 통제가 약한 나라로부터 지키기 위한 장치라고 설명하지만, 외국에서는 자기 나라의 데이터는 국경 밖까지 가져가면서 남의 요청은 사법공조의 긴 줄에 세우는 일방주의라는 비판이 나온다. 체르드는 2019년 자국 법을 개정해 외국 법원의 명령에 따라 데이터를 넘긴 제공자의 임직원까지 형사처벌하게 했다.
동맹국과의 관계도 걸려 있다. 유고랜드는 2019년과 2023년 「상호방위조약」에 따른 안보 협력을 내세워 서로의 제공자에게 직접 데이터를 요구할 수 있는 협정을 제안했다. 루이나는 유고랜드가 사형을 존치하고 있어 제20조에 따라 협정을 맺을 수 없다며 거절했다. 유고랜드 정부는 루이나가 유고랜드에 주둔하는 루이나군 관련 사건에서는 유고랜드에 있는 서버의 데이터를 이 법으로 가져가면서 유고랜드의 요청은 받아 주지 않는다고 항의했다. 루이나의 클라우드 업계는 다른 나라의 기업과 공공기관이 루이나 정부가 데이터에 손댈 수 있다는 이유로 루이나 제공자를 피하면서, 체르드와 플로렌시아 시장에서 점유율을 잃었다고 주장한다.
동맹국과의 관계도 걸려 있다. 유고랜드는 2019년과 2023년 「상호방위조약」에 따른 안보 협력을 내세워 서로의 제공자에게 직접 데이터를 요구할 수 있는 협정을 제안했다. 루이나는 유고랜드가 사형을 존치하고 있어 제20조에 따라 협정을 맺을 수 없다며 거절했다. 유고랜드 정부는 루이나가 유고랜드에 주둔하는 루이나군 관련 사건에서는 유고랜드에 있는 서버의 데이터를 이 법으로 가져가면서 유고랜드의 요청은 받아 주지 않는다고 항의했다. 루이나의 클라우드 업계는 다른 나라의 기업과 공공기관이 루이나 정부가 데이터에 손댈 수 있다는 이유로 루이나 제공자를 피하면서, 체르드와 플로렌시아 시장에서 점유율을 잃었다고 주장한다.