영국 법은 VPN에 브라우징 로그 보관을 강요하는가?

“영국에 기반을 두었으니 모든 것을 보관해야 한다”는 흔한 축약이고, 메커니즘을 잘못 이해한 것이다. Investigatory Powers Act 제4부는 통신 사업자에게 송달되는 보존 통지를 통해 작동하며, 이 제도에 관한 내무부의 실무 규범은 입장을 분명히 밝힌다. 통지가 송달되지 않았다면 사업자는 통신 데이터를 보관할 의무가 없다. 귀하의 제공자가 통지를 받았는지는 그 제공자에 관한 사실이지, 사이트 하단에 적힌 국가에 관한 사실이 아니다.

그 한 문장은 질문 자체를 다시 세운다. 영국 법이 일반적으로 무엇을 요구하는지 묻는 대신, 어느 사업자이고 어느 데이터 범주이며 어느 수단인지를 물어라. 그 세 가지 답이 나머지 거의 전부를 결정한다. 그 앞에 있는 것은 구호다.

통지는 송달되는 것이지 추정되는 것이 아니다

규범이 서술하는 틀에서 국무장관이 보존 통지를 송달하며, 규범은 사법 위원의 승인과 함께 필요성과 비례성이 어떻게 검토되는지를 밝힌다. 통지는 자신이 포괄하는 데이터, 서비스, 보관 방식을 특정할 수 있다. 이는 범위를 가진 수단이지, 업종에 붙어 있는 배경적 의무가 아니다.

따라서 제공자가 통지를 받지 않았다는 공개 성명은 의미 있는 주장이고, 제공자의 침묵은 어느 방향으로도 증거가 아니다. 규범은 통지의 존재나 내용을 공개하는 것도 제한하므로, 정보가 많은 사업자라도 귀하가 원하는 명쾌한 답을 주지 못할 수 있다. 그 제한은 허점이 아니라 제도 설계의 일부다. 답은 그에 맞게 저울질하라.

성명은 성명으로 읽어라. 접수된 요청을 서술한 공개 투명성 보고서는 보존 통지와 다른 문서이며, 둘 중 어느 것도 회사가 자체 목적으로 보유하는 데이터의 완전한 목록이 아니다.

무엇이 통신 사업자로 간주되는가

규범은 이 개념을 넓고 사실에 의존해 다루며, 다른 사람의 네트워크 위에서 우연히 돌아가는 모든 오버레이 서비스를 배제하지 않는다. 구독료를 받는다고 분류가 정해지지 않고, 모든 것을 다른 나라에 호스팅한다고 정해지지도 않는다. 이는 서비스와 영국의 연결에 관한 질문이며, 평가할 자격이 있는 사람이 평가해야 한다.

법률 교육 없이 할 수 있는 일은 마케팅 문구를 사양서로 취급하는 것을 그만두는 것이다. “로그 없음”은 정책을 서술한다. 법적 지위를 서술하지 않으며, 자발적으로 아무것도 보관하지 않고 강제로 아무것도 받지 않은 제공자에게는 둘 다 동시에 참일 수 있다.

메타데이터는 메시지 내용이 아니다

통지 제도는 통신 데이터, 즉 누가, 언제, 어떻게에 관한 것이지 무엇이 말해졌는지가 아니다. 내용은 전혀 다른 권한 아래에 있고 승인 절차도 다르다. 둘을 “전체 로그”로 묶으면 해결할 수 없는 논쟁이 생긴다. 두 범주의 법적 경로가 별개이고 보관 기간도 흔히 별개이기 때문이다.

이 구분은 VPN에도 실무적이다. 제공자는 귀하가 보낸 내용에 대해 거의 아무것도 보관하지 않으면서도 계정 기록, 결제 세부 정보, 연결 타임스탬프, 지원 메시지는 보관할 수 있다. 이는 보존 통지가 아니라 제공자 자체 정책과 데이터 보호법이 규율하는 평범한 업무 기록이다.

그래서 통지에 관한 주장은 계정 데이터에 관한 질문에 답할 수 없다. 서로 다른 수단, 서로 다른 한계의 집합이다.

질문이 둘이므로 기록도 둘을 남겨라

일상적 목적을 위해 제공자가 처리한다고 말하는 범주, 목적, 누가 접근할 수 있는지, 얼마나 보관되는지를 적어 두라. 눈에 띄지 않는 것도 포함하라. 청구 기록, 지원 티켓, 사기 신호, 충돌 보고서다. 터널 트래픽에 관한 설명이 나머지를 대신해서는 안 된다.

공식적 요구를 받으면 문서를 보존하고 도착한 날짜와 함께 법무 절차를 담당하는 곳으로 넘겨라. 어느 주체와 어느 서비스가 지명되었는지, 어떤 조치가 요구되는지, 기한은 언제인지, 어떤 심사나 이의제기가 가능한지를 물어라. 누군가의 질문, 기자의 질문에도 답하기 전에 비밀 유지 조건을 확인하라.

그 두 기록은 서로 다른 대상에게 답한다. 하나는 이용자에게 무엇을 기대할지 알려 주고, 다른 하나는 변호사에게 이번 주에 무엇을 할지 알려 준다.

자신을 속이지 않고 두 제공자를 비교하는 방법

범위, 날짜, 포괄하는 범주에 대한 설명을 갖춘 정확한 공개 정책을 요구하라. 그다음 그 정책이 내용과 메타데이터, 자발적 보관과 강제적 보관, 운영 회사와 모회사를 구분하는지 확인하라. 모호한 보증이 검증을 통과하는 까닭은 바로 범주를 결코 명시하지 않기 때문이다.

빠진 정보는 유리한 것이 아니라 빠진 것으로 취급하라. 제도의 공개 제한 때문에 “아무것도 받지 않았다”와 “말할 수 없다”는 밖에서 보면 같아 보일 수 있고, 침묵을 승리로 채점하는 비교는 귀하 자신의 낙관을 재는 것이다.

내무부의 통지 제도에 관한 실무 규범은 제4부가 무엇을 요구하는지에 관한 어떤 주장이든 반복하기 전에 읽어야 할 문서다. 블로그 글보다 길고 훨씬 더 신중하다.