---
title: "캐나다가 조용히 서명한 'UN 사이버범죄협약', 사실상 감시 조약 논란"
published: 2026-08-01T14:19:51.000Z
canonical: https://jeff.news/article/5334
---
# 캐나다가 조용히 서명한 'UN 사이버범죄협약', 사실상 감시 조약 논란

캐나다 정부가 UN 사이버범죄협약에 서명했지만, 비판자들은 이 협약이 사이버범죄 대응보다 국경을 넘는 전자증거 공유와 감시 권한 확대에 가깝다고 봐. 특히 표현의 자유를 범죄화하는 국가의 국내법까지 국제 공조의 근거가 될 수 있다는 점이 핵심 리스크로 꼽혀.

## '사이버범죄 협약'이라는 이름과 실제 내용 사이의 간극

- 캐나다가 UN 사이버범죄협약에 서명했는데, 비판자들은 이걸 그냥 사이버범죄 대응 조약으로 보지 않음.
  - 정부 발표는 아동 보호 조항과 인권 안전장치를 강조했지만, 글쓴이는 핵심이 빠졌다고 봐.
  - 이 협약은 사이버범죄만 다루는 게 아니라, 국경을 넘는 감시와 전자증거 공유 체계를 크게 넓히는 문서라는 게 핵심 비판임.

- 더 찝찝한 건 캐나다가 원래 이 협약을 경계하던 쪽이었다는 점임.
  - 협약은 2017년 러시아 주도로 시작됐고, 러시아가 가입을 거부해 온 부다페스트 협약을 대체하려는 성격이 있었어.
  - 2019년 UN 총회에서 협상 개시가 표결에 올라왔을 때 캐나다, 미국, EU는 이 절차가 국가 감시 권한 확대의 통로가 될 수 있다며 반대했음.

- 그래도 협상장에 들어간 이유는 현실적인 선택 때문이었음.
  - 불참하면 러시아, 중국, 이란 같은 국가들이 규칙을 쓰게 되고, 참여하면 최소한 피해를 줄일 수 있었으니까.
  - 캐나다는 협상 과정에서 인권 안전장치를 밀어붙인 적극적인 대표단 중 하나였고, 최종 문안에서는 권위주의 국가들이 원하던 발언·콘텐츠 범죄 조항을 상당 부분 막아냈다고 해.

> [!IMPORTANT]
> 문제는 '최악을 막았다'와 '좋은 협약이 됐다'가 같은 말은 아니라는 거야. 최종안에도 전자증거 수집, 실시간 감청, 국가 간 협력 의무가 꽤 넓게 남아 있음.

## 왜 감시 조약이라는 말이 나오는가

- 협약의 절차적 권한은 사이버범죄에만 묶이지 않음.
  - 전자증거 수집 권한은 모든 형사범죄의 전자증거에 적용될 수 있어.
  - 국제 공조 의무는 각국 국내법상 4년 이상 징역형이 가능한 '중대범죄'까지 확장됨.

- 이 정의가 위험한 이유는 국가마다 '중대범죄'의 내용이 완전히 다르기 때문임.
  - 어떤 국가는 정부 비판, 저널리즘, 신성모독, 동성 관계에도 무거운 형량을 붙임.
  - 그러면 억압적인 국내법이 국경을 넘는 증거수집 요청의 트리거로 바뀔 수 있음. 말 그대로 법률 API가 열리는 느낌임.

- 디지털 권리 단체들이 특히 문제 삼는 부분은 안전장치가 너무 많이 국내법 재량으로 남아 있다는 점임.
  - 전자프런티어재단, 휴먼라이츠워치 등은 이 협약이 사실상 글로벌 감시 pact처럼 작동할 수 있다고 경고했어.
  - 실시간 감청과 데이터 수집 권한을 요구하면서도, 사전 사법 승인 같은 보호장치는 각국 법에 맡기는 구조라는 거지.
  - 협력 요청에 대한 함구 명령도 가능하고, 정치범죄 예외 조항도 빠져 있다는 지적이 나와.

## 캐나다 내부 반발도 꽤 컸음

- 2024년 12월에는 캐나다 단체와 전문가 거의 24곳이 정부에 서명하지 말라고 공개 서한을 냈어.
  - 참여 단체에는 국제앰네스티 캐나다, 형사변호사협회, PEN 캐나다, 오픈미디어, 시티즌랩의 론 데이버트와 케이트 로버트슨 등이 포함됐음.
  - 이들은 협약이 캐나다 안의 디아스포라 커뮤니티를 겨냥한 초국가적 탄압 채널이 될 수 있다고 봤어.

- 보안 연구자 입장에서도 불편한 지점이 있음.
  - 120명 넘는 보안 연구자들이 협약상 범죄 조항이 선의의 보안 연구까지 범죄화할 수 있다고 경고했어.
  - 취약점 분석, 리버싱, 침투 테스트처럼 맥락이 중요한 활동이 법 집행기관 눈에는 애매하게 보일 수 있거든.

- 스파이웨어 문제도 엮여 있음.
  - 케이트 로버트슨은 이 협약이 상업용 스파이웨어 거래에 연루되는 통로가 될 수 있다고 따로 경고했어.
  - 감시 도구를 쓰는 국가가 '합법 수사' 명목으로 데이터를 요청하면, 협약 체계가 그 요청을 포장해줄 수 있다는 우려임.

## 그래서 캐나다는 왜 지금 서명했나

- 글쓴이의 결론은 단순함. 무엇이 바뀌었는지 정부가 설명하지 않았다는 거야.
  - 캐나다는 9개월 전 하노이 공식 서명식에는 나타나지 않았음.
  - 당시 미국, 뉴질랜드, 일본, 네덜란드, 이탈리아, 노르웨이, 덴마크, 핀란드도 서명하지 않았어.
  - 반면 러시아, 중국, 이란, 북한, 벨라루스, 쿠바, 베네수엘라, 사우디아라비아와 함께 영국, 호주, 프랑스, 독일, EU는 서명국에 포함됐음.

- 한 가지 추정은 캐나다의 합법적 접근 권한 확대 의제와 맞물렸다는 것임.
  - 협약을 비준하려면 국내 이행 법안이 필요하고, 여기엔 확대된 자료제출 명령과 국경 간 데이터 공유 권한이 들어갈 가능성이 큼.
  - 글에서는 이 흐름이 캐나다의 Bill C-22와 서로 보강 관계에 있다고 봐.

- 실익도 애매하다는 비판이 나와.
  - 캐나다는 이미 부다페스트 협약과 원하는 국가들과의 양자조약을 갖고 있음.
  - 새 협약의 추가 가치는 결국 러시아, 중국, 이란처럼 가장 큰 리스크를 만드는 국가들과의 협력에서 커진다는 지적임.

> [!WARNING]
> 서비스 운영자와 보안팀 입장에선 '국제 수사 공조'가 추상적인 외교 이슈로 끝나지 않을 수 있어. 로그, 계정 정보, 통신 데이터, 보안 연구 활동이 법적 요청과 감시 체계의 대상이 될 수 있기 때문임.

---

## 기술 맥락

- 이 이슈의 기술적 선택은 사이버범죄 수사를 위해 전자증거 공유와 실시간 데이터 수집 권한을 국제협약으로 표준화할지 여부예요. 문제는 표준화 자체가 아니라, 어떤 범죄와 어떤 국가 요청까지 받아줄지의 경계가 흐려진다는 데 있어요.

- 캐나다가 기존에 쓰던 Budapest Convention과 양자조약은 상대적으로 신뢰 가능한 파트너 중심의 협력 구조였어요. 새 UN 협약은 참여국 범위가 훨씬 넓어서, 러시아·중국·이란처럼 인권 리스크가 큰 국가의 요청도 제도 안으로 들어올 수 있거든요.

- 구현 레벨에서는 플랫폼 데이터, 통신 기록, 저장 데이터, 실시간 감청 같은 권한이 중요해져요. 협약이 비준되면 국내법으로 자료제출 명령이나 국경 간 데이터 공유 절차를 새로 만들거나 넓혀야 해서, 기업의 컴플라이언스와 보안 운영 부담이 커질 수 있어요.

- 보안 연구 쪽에서는 취약점 분석과 악의적 침입의 경계를 법이 얼마나 정교하게 구분하느냐가 핵심이에요. 선의의 연구가 넓은 사이버범죄 조항에 걸리면, 연구자들은 실제 취약점을 찾아도 공개나 검증을 주저하게 되거든요.

## 핵심 포인트

- 협약은 러시아 주도로 시작됐고, 캐나다·미국·EU는 초기 협상 개시 자체에 반대했어.
- 최종 문안에서 권위주의 국가들이 원하던 발언·콘텐츠 범죄 조항은 빠졌지만, 전자증거 수집과 실시간 감청 권한은 넓게 남았어.
- 캐나다 인권단체와 보안 연구자들은 이 협약이 디아스포라 탄압, 스파이웨어 산업, 선의의 보안 연구 위축으로 이어질 수 있다고 경고했어.
- 캐나다는 이미 부다페스트 협약과 양자조약을 갖고 있어서 새 협약의 실익은 주로 러시아·중국·이란 같은 고위험 국가와의 협력에 생긴다는 지적이 나와.

## 인사이트

보안 뉴스처럼 보이지만 개발자 입장에선 암호화, 로그, 플랫폼 데이터, 취약점 연구가 법 집행 프레임에 빨려 들어가는 문제야. 특히 '사이버범죄'라는 이름으로 실시간 감청과 데이터 제공 의무가 넓어질 때, 서비스 운영팀과 보안팀이 받을 압박은 꽤 현실적임.