CSAP 개편에 부상한 '데이터 주권'…국가간 경계 확보 [데이터링]

[아이뉴스24 김혜경 기자] 데이터의 사회‧경제적 가치가 높아짐에 따라 개인과 기업, 국가 간 '데이터 주권(Data Sovereignty)'을 둘러싼 논의가 이어지고 있다. 개인 차원에서는 자기결정권 성격과 유사하지만 국가 차원에서는 자국의 데이터 산업을 보호하기 위한 개념에 가깝다. 후자의 경우 데이터 안보와 현지화 문제로 귀결된다.

최근 국내에서도 클라우드 보안인증(CSAP) 개편을 둘러싼 논의가 이어지면서 데이터 주권 개념이 부각되고 있는 상황. 데이터 주권이란 무엇일까.

◆ 데이터 현지화와 제어권, 그리고 CSAP

데이터 주권이란 국가‧기업‧개인이 생성된 데이터에 대해 각 주체가 언제, 어디서, 어떻게, 어떤 목적으로 사용할 것인지 결정할 수 있는 권리를 의미한다. 한국정보통신기술협회(TTA)에서는 '국가와 개인, 기업이 데이터의 소유 범위와 사용 방법에 대해 결정할 수 있는 권한'으로 정의하고 있다.

개인 차원에서의 데이터 주권은 헌법상 인격권인 자기결정권 성격에 가깝다. 정보주체가 프라이버시를 지킬 것인지 혹은 원하는 범위 내에서는 프라이버시를 양보하고 다른 이익을 취할 것인지가 골자다. 정보주체의 개인정보에 대한 권리를 보장하는 방식이다.

국가 단위에서의 데이터 주권은 데이터 현지화에 초점이 맞춰져 있다. 디지털 통상의 핵심은 데이터 국경 이동과 개인정보 보호다. 데이터의 자유로운 이동이 중요하다는 미국과 원칙적으로는 이동 제한을 고수하는 유럽연합(EU), 데이터 서버 현지화를 주장하는 중국 등이 4차 산업혁명의 주도권을 확보하기 위해 각축전을 벌이고 있는 상황이다.

전 세계 개인정보 보호 당국이 개인정보의 활용과 보호의 균형점을 모색하는 것처럼 디지털 경제 활성화를 위해선 데이터의 국경 이동을 보장하는 동시에 보호가 필요하다는 것.

최경진 가천대 교수는 데이터 주권을 '데이터에 대한 오너십(Ownership)'으로 보고, 해당 권리를 행사하는 주체에 따라 의미가 어떻게 달라지는지 주목해야 한다고 설명했다. 최 교수는 "주권(Sovereignty)이란 개념은 대내적으로는 국가의 모든 권력적 작용은 국민의 뜻에서 나온다는 것이고 대외적으로는 다른 국가 정부가 특정 국가를 간섭할 수 없다는 의미"라며 "데이터 주권에 이 같은 개념을 그대로 적용하게 될 경우 각 주체 간 충돌이 발생할 가능성도 있다"고 설명했다.

그는 "개인 차원에서 데이터 주권은 프라이버시와 자기결정권이라는 기본권 성격에 가깝다면 국가 차원에서는 외국 정부나 기업을 대상으로 데이터 제어 권리를 가진다는 의미"라고 전했다.

이성엽 고려대 교수는 상호원칙을 고려해야 한다고 강조했다. 이 교수는 "데이터 경제 시대가 도래하면서 데이터 이동과 접근도 국가 차원에서 관리할 필요성이 대두됐다"며 "CSAP 개편도 일부 공공 데이터에 대해 외국 기업의 접근을 허용한다는 측면에서 주권 개념이 언급되고 있는 것"이라고 말했다.

이 교수는 "다만 한국은 디지털 통상 관련 현안에서 이중 전략을 쓸 수밖에 없을 것"이라며 "다른 부분의 편익을 고려해 개방 여부를 결정하는 것도 중요하다. 이 과정에서 주권이란 표현의 사용은 신중하게 접근해야 한다"고 전했다.

김경환 법무법인 민후 대표 변호사는 "CSAP 논의에서 언급되는 데이터주권은 데이터 현지화 개념"이라며 "인증완화로 데이터 현지화는 약화될 수 있지만 이 같은 개념은 글로벌 추세로 보기는 어렵다"고 설명했다. 이어 "다만 데이터 주권 약화 우려가 있는 것은 사실"이라며 "규범적 효력이 미치도록 보완하는 작업도 필요하다"고 덧붙였다.

IT업계 한 관계자는 "특정 산업의 경우 법제도 적용 대상이므로 국내에서 데이터를 관리하지만 각 기업 정책상 제조 현장에서 데이터를 처리하는 경우도 있다"며 "클라우드를 퍼블릭과 프라이빗, 하이브리드로 분류하는 이유는 데이터 위치, 접근제어 권한 등이 포함된 데이터 주권과도 관련이 있다"고 설명했다.

김법연 고려대 교수는 "데이터 주권과 데이터 안보, 데이터 현지화는 유사한 의미로 통용되지만 학문적 차원에서 명확하게 정의되지는 않았다"며 "CSAP 개편 논의는 해외 사업자의 공공 데이터 접근 여부가 핵심이지만 논의가 좀 더 확장된다면 데이터 무역과 거래, 주권 문제와도 맞물릴 수밖에 없다"고 말했다.