CLOUD Act란 무엇입니까?
해외 데이터의 합법적 사용 명확화법(Clarifying Lawful Overseas Use of Data Act, CLOUD Act)은 데이터가 다른 나라에 저장되어 있을 때도 미국 당국이 미국 회사로부터 그 데이터를 받을 수 있게 하는 미국 법률입니다.
하는 일
- 위치는 중요하지 않습니다. 미국 관할권에 속한 제공업체는 데이터가 세계 어디에 저장되어 있든, 유효한 미국 법적 절차에 따라 자신이 "소유, 보관 또는 관리"하는 데이터를 제출해야 합니다. 출처: 미국 법무부
- 다른 나라와의 협정. 미국은 신뢰할 수 있는 외국 정부가 더 느린 형사사법공조조약(MLAT) 절차를 거치지 않고 중대 범죄에 대해 미국 제공업체에 직접 데이터를 요청할 수 있게 하는 데이터 접근 협정을 체결할 수 있습니다. 출처: 미국 법무부
- 이의를 제기할 방법. 제공업체는 요청이 협정을 맺은 다른 나라의 법과 충돌할 때 법원에 요청의 취소나 변경을 청구할 수 있습니다.
영국 및 오스트레일리아와의 협정이 발효되어 있습니다. 캐나다 및 유럽연합과의 협상이 발표되었습니다. 출처: 미국 법무부
하지 않는 일
- 새로운 감시 권한을 만들거나 영장의 필요성을 없애지 않습니다. 미국 당국은 여전히 유효한 법적 절차가 필요하며, 통신 내용에는 일반적으로 수색 영장이 필요합니다.
- 제공업체가 복호화할 수 없는 데이터를 복호화하도록 강제하지 않습니다. 제공업체가 보유한 데이터에 적용됩니다. 사용자만 보유한 키로 암호화된 데이터는 암호화된 상태로 남습니다.
- 미국 데이터 센터에만 적용되는 것이 아닙니다. 서버를 운영하는 회사가 미국 관할권에 속한다면 유럽 서버 위치를 선택해도 도움이 되지 않습니다.
영향을 받는 곳
미국 관할권에 속한 모든 회사: Google, Microsoft, Apple, Amazon, Cloudflare, 그리고 Forward Email을 포함한 소규모 미국 서비스. 미국에 소재한 모든 평가 대상 서비스를 참고하세요.
미국 클라우드 제공업체에 데이터를 저장하는 비미국 서비스에도 미칠 수 있습니다. 클라우드 제공업체 자체가 요청을 받을 수 있기 때문입니다. 따라서 유용한 질문은 회사가 어디에 있는지, 어떤 데이터가 존재하는지, 누가 키를 보유하는지입니다.
위치보다 암호화와 데이터 최소화가 더 중요한 이유
법은 바뀌고, 모든 나라에는 데이터를 강제로 받아낼 방법이 있습니다. 결정적인 요소는 제공업체가 무엇을 넘길 수 있는가입니다:
| 상황 | 요청으로 얻을 수 있는 것 |
|---|---|
| 평문으로 저장된 메일 | 메일함의 모든 것 |
| 제공업체가 보유한 키로 저장 시 암호화된 메일 | 제공업체가 복호화할 수 있으므로 모든 것 |
| 사용자의 비밀번호에서 파생된 키로 암호화된 메일 | 메시지 내용이 아닌 계정 정보와 연결 데이터 |
| 로그를 보관하지 않음 | 활동에 관해서는 아무것도 없음 |
사례:
- Proton(스위스, 모든 아이즈 협정 밖)은 가장 최근 연간 보고서에서 스위스 법적 명령 9,301건 중 8,313건에 응해 보유한 계정 정보를 제공했습니다. 출처: Proton 투명성 보고서
- Proton VPN(같은 회사, 같은 나라)은 로그를 보관하지 않기 때문에 한 건도 응하지 않았습니다. 출처: Proton 투명성 보고서
- Tuta(독일)는 독일 판사의 명령으로 메일함을 제출하거나 실시간으로 감시해야 할 수 있습니다. 종단 간 암호화된 메일은 암호화된 상태로 남습니다. 출처: Tuta 투명성 보고서
같은 나라의 같은 회사라도 어떤 데이터가 존재하느냐에 따라 결과가 달라집니다. 그래서 Privacy Ratings는 각 평가에 관할권을 표시하고, 제공업체가 하는 일로 점수를 매깁니다. 관할권 처리 방식을 참고하세요.
CLOUD Act가 Forward Email에 적용되는 방식
Forward Email은 미국에 소재하며 CLOUD Act의 적용을 받습니다. 기술 백서는 설계를 통해 요청으로 얻을 수 있는 것을 어떻게 제한하는지 설명합니다:
- 암호화된 메일함. 각 메일함은 개별적으로 암호화된 SQLite 파일입니다. 백서에 따르면 Forward Email은 메시지 내용에 접근할 수 없습니다.
- 이메일 내용이나 메타데이터를 디스크에 기록하지 않음. Forward Email은 사용자가 누구에게 메일을 보내는지 기록하지 않습니다.
- 제한된 데이터. 공개될 수 있는 것은 기본 계정 정보(계정 이메일 주소, 가입일, 결제 정보 등)와 보안 및 남용 방지를 위해 일시적으로 보관될 수 있는 제한된 IP 주소 로그입니다.
- 유효한 법적 절차만. 요청에는 소환장, 법원 명령 또는 수색 영장이 필요합니다. 미국 외부의 요청은 미국 법원, 형사사법공조조약 또는 미국 법적 요건을 충족하는 CLOUD Act 협정을 거쳐야 합니다.
- 통지와 이의 제기. Forward Email은 법이 허용하면 사용자에게 통지하며, 과도하게 광범위한 요청에는 이의를 제기합니다.
Forward Email은 Privacy Ratings를 관리합니다. Forward Email의 평가는 다른 모든 제공업체와 같은 기준을 사용합니다. Forward Email 평가와 운영 원칙을 참고하세요.