캐나다가 조용히 서명한 'UN 사이버범죄협약', 사실상 감시 조약 논란

'사이버범죄 협약'이라는 이름과 실제 내용 사이의 간극

• 캐나다가 UN 사이버범죄협약에 서명했는데, 비판자들은 이걸 그냥 사이버범죄 대응 조약으로 보지 않음.

  • 정부 발표는 아동 보호 조항과 인권 안전장치를 강조했지만, 글쓴이는 핵심이 빠졌다고 봐.
  • 이 협약은 사이버범죄만 다루는 게 아니라, 국경을 넘는 감시와 전자증거 공유 체계를 크게 넓히는 문서라는 게 핵심 비판임.

• 더 찝찝한 건 캐나다가 원래 이 협약을 경계하던 쪽이었다는 점임.

  • 협약은 2017년 러시아 주도로 시작됐고, 러시아가 가입을 거부해 온 부다페스트 협약을 대체하려는 성격이 있었어.
  • 2019년 UN 총회에서 협상 개시가 표결에 올라왔을 때 캐나다, 미국, EU는 이 절차가 국가 감시 권한 확대의 통로가 될 수 있다며 반대했음.

• 그래도 협상장에 들어간 이유는 현실적인 선택 때문이었음.

  • 불참하면 러시아, 중국, 이란 같은 국가들이 규칙을 쓰게 되고, 참여하면 최소한 피해를 줄일 수 있었으니까.
  • 캐나다는 협상 과정에서 인권 안전장치를 밀어붙인 적극적인 대표단 중 하나였고, 최종 문안에서는 권위주의 국가들이 원하던 발언·콘텐츠 범죄 조항을 상당 부분 막아냈다고 해.

왜 감시 조약이라는 말이 나오는가

• 협약의 절차적 권한은 사이버범죄에만 묶이지 않음.

  • 전자증거 수집 권한은 모든 형사범죄의 전자증거에 적용될 수 있어.
  • 국제 공조 의무는 각국 국내법상 4년 이상 징역형이 가능한 '중대범죄'까지 확장됨.

• 이 정의가 위험한 이유는 국가마다 '중대범죄'의 내용이 완전히 다르기 때문임.

  • 어떤 국가는 정부 비판, 저널리즘, 신성모독, 동성 관계에도 무거운 형량을 붙임.
  • 그러면 억압적인 국내법이 국경을 넘는 증거수집 요청의 트리거로 바뀔 수 있음. 말 그대로 법률 API가 열리는 느낌임.

• 디지털 권리 단체들이 특히 문제 삼는 부분은 안전장치가 너무 많이 국내법 재량으로 남아 있다는 점임.

  • 전자프런티어재단, 휴먼라이츠워치 등은 이 협약이 사실상 글로벌 감시 pact처럼 작동할 수 있다고 경고했어.
  • 실시간 감청과 데이터 수집 권한을 요구하면서도, 사전 사법 승인 같은 보호장치는 각국 법에 맡기는 구조라는 거지.
  • 협력 요청에 대한 함구 명령도 가능하고, 정치범죄 예외 조항도 빠져 있다는 지적이 나와.

캐나다 내부 반발도 꽤 컸음

• 2024년 12월에는 캐나다 단체와 전문가 거의 24곳이 정부에 서명하지 말라고 공개 서한을 냈어.

  • 참여 단체에는 국제앰네스티 캐나다, 형사변호사협회, PEN 캐나다, 오픈미디어, 시티즌랩의 론 데이버트와 케이트 로버트슨 등이 포함됐음.
  • 이들은 협약이 캐나다 안의 디아스포라 커뮤니티를 겨냥한 초국가적 탄압 채널이 될 수 있다고 봤어.

• 보안 연구자 입장에서도 불편한 지점이 있음.

  • 120명 넘는 보안 연구자들이 협약상 범죄 조항이 선의의 보안 연구까지 범죄화할 수 있다고 경고했어.
  • 취약점 분석, 리버싱, 침투 테스트처럼 맥락이 중요한 활동이 법 집행기관 눈에는 애매하게 보일 수 있거든.

• 스파이웨어 문제도 엮여 있음.

  • 케이트 로버트슨은 이 협약이 상업용 스파이웨어 거래에 연루되는 통로가 될 수 있다고 따로 경고했어.
  • 감시 도구를 쓰는 국가가 '합법 수사' 명목으로 데이터를 요청하면, 협약 체계가 그 요청을 포장해줄 수 있다는 우려임.

그래서 캐나다는 왜 지금 서명했나

• 글쓴이의 결론은 단순함. 무엇이 바뀌었는지 정부가 설명하지 않았다는 거야.

  • 캐나다는 9개월 전 하노이 공식 서명식에는 나타나지 않았음.
  • 당시 미국, 뉴질랜드, 일본, 네덜란드, 이탈리아, 노르웨이, 덴마크, 핀란드도 서명하지 않았어.
  • 반면 러시아, 중국, 이란, 북한, 벨라루스, 쿠바, 베네수엘라, 사우디아라비아와 함께 영국, 호주, 프랑스, 독일, EU는 서명국에 포함됐음.

• 한 가지 추정은 캐나다의 합법적 접근 권한 확대 의제와 맞물렸다는 것임.

  • 협약을 비준하려면 국내 이행 법안이 필요하고, 여기엔 확대된 자료제출 명령과 국경 간 데이터 공유 권한이 들어갈 가능성이 큼.
  • 글에서는 이 흐름이 캐나다의 Bill C-22와 서로 보강 관계에 있다고 봐.

• 실익도 애매하다는 비판이 나와.

  • 캐나다는 이미 부다페스트 협약과 원하는 국가들과의 양자조약을 갖고 있음.
  • 새 협약의 추가 가치는 결국 러시아, 중국, 이란처럼 가장 큰 리스크를 만드는 국가들과의 협력에서 커진다는 지적임.

---

기술 맥락

• 이 이슈의 기술적 선택은 사이버범죄 수사를 위해 전자증거 공유와 실시간 데이터 수집 권한을 국제협약으로 표준화할지 여부예요. 문제는 표준화 자체가 아니라, 어떤 범죄와 어떤 국가 요청까지 받아줄지의 경계가 흐려진다는 데 있어요.

• 캐나다가 기존에 쓰던 Budapest Convention과 양자조약은 상대적으로 신뢰 가능한 파트너 중심의 협력 구조였어요. 새 UN 협약은 참여국 범위가 훨씬 넓어서, 러시아·중국·이란처럼 인권 리스크가 큰 국가의 요청도 제도 안으로 들어올 수 있거든요.

• 구현 레벨에서는 플랫폼 데이터, 통신 기록, 저장 데이터, 실시간 감청 같은 권한이 중요해져요. 협약이 비준되면 국내법으로 자료제출 명령이나 국경 간 데이터 공유 절차를 새로 만들거나 넓혀야 해서, 기업의 컴플라이언스와 보안 운영 부담이 커질 수 있어요.

• 보안 연구 쪽에서는 취약점 분석과 악의적 침입의 경계를 법이 얼마나 정교하게 구분하느냐가 핵심이에요. 선의의 연구가 넓은 사이버범죄 조항에 걸리면, 연구자들은 실제 취약점을 찾아도 공개나 검증을 주저하게 되거든요.