관할권, 파이브 아이즈와 개인정보 보호
모든 회사는 소재한 나라의 법을 따릅니다. 그 법은 어떤 당국이 데이터를 요구할 수 있는지, 어떤 절차가 필요한지, 회사가 사용자에게 알릴 수 있는지를 결정합니다. Privacy Ratings는 각 회사의 관할권을 평가 페이지, 카테고리 표, 아래의 국가 페이지에 표시합니다.
아이즈 협정
파이브 아이즈는 신호 정보 공유에 관한 UKUSA 협정에서 시작되었습니다. 나인 아이즈와 포틴 아이즈는 더 넓은 공유 협정입니다. 이 나라들의 정보기관은 서로 데이터를 공유하며, 이를 통해 스스로는 합법적으로 수집할 수 없는 사람들에 대한 정보를 받을 수도 있습니다.
| 협정 | 국가 |
|---|---|
| 파이브 아이즈 | 미국, 영국, 캐나다, 오스트레일리아, 뉴질랜드 |
| 나인 아이즈 | 파이브 아이즈에 덴마크, 프랑스, 네덜란드, 노르웨이 추가 |
| 포틴 아이즈 | 나인 아이즈에 벨기에, 독일, 이탈리아, 스페인, 스웨덴 추가 |
출처: UKUSA 협정, Forward Email 기술 백서(9.5절).
다른 가이드의 관할권 처리 방식
- Privacy Guides는 VPN 제공업체가 "비밀 로깅을 강요받을 수 없는 관할권에 소재"할 것을 요구하고, 이메일 제공업체는 "강력한 이메일 개인정보 보호법이 있는 관할권"에 있는 곳을 선호하지만, 국가를 명시하지는 않습니다. VPN 기준, 이메일 기준
- That One Privacy Site는 파이브 아이즈 국가를 빨간색, 나인 및 포틴 아이즈 국가를 노란색, 그 외는 모두 초록색으로 표시했습니다. 차트 산식
- EFF의 Who Has Your Back은 회사가 정부 요청에 어떻게 대응하는지(투명성 보고서, 사용자 통지, 영장 요구)로 회사를 평가했습니다. Who Has Your Back
Privacy Ratings의 처리 방식
관할권은 각 페이지에 표시되지만 점수에는 영향을 주지 않습니다. 위치만으로는 약한 신호입니다:
- 스위스에 있고 모든 아이즈 협정 밖에 있는 Proton은 가장 최근 연간 보고서에서 법적 명령 9,301건 중 8,313건에 응했습니다. 출처
- 같은 회사, 같은 나라의 Proton VPN은 로그를 보관하지 않기 때문에 한 건도 응하지 않았습니다. 출처
- 포틴 아이즈 국가인 스웨덴의 Mullvad는 VPN 서버에 고객 데이터를 보관하지 않는다는 것을 확인하는 감사를 통과했습니다. 출처
제공업체가 보관하는 데이터와 키를 보유한 주체가 무엇을 넘길 수 있는지를 결정합니다. 점수는 이러한 요소를 측정합니다: 암호화, 로깅, 감사, 투명성 보고서, 사용자 통지. 각 페이지에는 여전히 국가, 아이즈 가입 여부, EU 또는 GDPR 적용 여부, CLOUD Act 적용 여부가 표시되므로, 관할권을 직접 판단할 수 있습니다.