한·미 CLOUD ACT 행정협정 필요성 및 입법방안

다국어 초록 (Multilingual Abstract)

Existing Mutual Legal Assistance has procedural complexities to provide timely access to electronic evidence whereas Interpol cooperation is insufficient to obtain effective access to electronic evidence. In a digital age where cybercrime grows quickly, the U.S. CLOUD ACT indicates the legal basis for the extraterritorial access of U.S. law enforcement authorities to data by introducing a new framework that gives foreign governments the right to directly request data of service providers subject to the other party`s jurisdiction. In 2019, the United States signed CLOUD ACT executive agreements with the U.K. and with Australia in 2021.
The research examines provisions by which the relevant U.S. federal law applies to CLOUD ACT executive agreements, the conditions for agreement, the status of agreement’s implementation, and key provisions in these agreements. It also compares this to existing international frameworks for cross-border access to electronic evidence, specifically the Second Additional Protocol to the Budapest Convention on Cybercrime and the EU e-Evidence Regulation, and establishes the case for a Korea–U.S. CLOUD ACT executive agreement and proposes legislative directions.
The CLOUD ACT provides that executive agreements can only be concluded with countries with administrative procedures to effectively protect the rights of citizens and ensure their privacy, and detailed criteria for implementation. While Korea meets most of these conditions, Korea still lacks explicit domestic legal authority to issue requests for data held abroad. Executive agreements cover a broad range of data types including preservation orders, subscriber data, traffic data or metadata, computer data, content data, and interception. Covered crimes are limited only to serious offences and punishable by a maximum sentence not less than three years as provided by the law of the issuing party. Orders targeting nationals of the receiving party or persons residing within its territory are forbidden in the interest of domestic privacy. Orders are directed through the designated authority of the issuing party directly to the service providers of the receiving party; whereas requests for subscriber information and preservation orders may be filed directly by investigative authorities to service providers. Where a service provider objects to an order, it can first challenge the order in front of the designated authority of the issuing party and if this doesn`t work out it can be raised with the designated authority of the receiving party who is ultimately deciding on the issue.
The executive agreement of CLOUD ACT with the United Kingdom and Australia is similar in structure. But though the Australia–U.S. agreement is symmetrically regulated, the U.K.–U.S. agreement has an asymmetric approach regarding subscriber information and preservation requests, and on the categories of persons that require the restrictions made on orders. As far as use goes, the UK has mostly used the agreement for interception, while Australia has relied mainly on the framework to provide access to stored communications.
The CLOUD ACT executive agreement framework has the narrowest scope in terms of the number of countries that are to be involved in comparison with the Second Additional Protocol to the Budapest Convention and the EU e-Evidence Regulation. But it is the Executive agreement that addresses the widest range of data types and which establishes strong protections for the personal information of both parties’ nationals. It guarantees the highest cooperation with the United States, home to a large number of global service providers—hence it remains the most important framework for international cooperation in electronic evidence.
The CLOUD ACT executive agreement is intended to facilitate fast and secure disclosure of a broad range of data, including content data currently held by U.S.-based global service providers. But Korea will need to enact national law allowing for reciprocal data requests and disclosures between governments, to conclude such an agreement. Further, including virtual asset service providers as part of the covered entities should also be considered, along with the adoption of simplified processes for requests for subscriber information. The designated authority should be placed in the Ministry of the Interior and Safety, where investigative organizations such as the National Police Agency, Corruption Investigation Office for High-ranking Officials, and the Serious Crimes Investigation Agency will be located to improve efficiency.
By extending its involvement in different international agreements on electronic evidence cooperation such as a Korea–U.S. CLOUD ACT executive agreement, Korea is projected to improve its ability to respond quickly and efficiently to cross-border crimes.

국문 초록 (Abstract)

기존 형사사법공조는 복잡한 절차로 인해 적시성 있는 전자증거를 획득하는데 한계가 있으며 인터폴 공조로는 실효성 있는 전자증거를 획득하기 어렵다. 오늘날 사이버범죄가 급증하는 현실에서 CLOUD ACT는 미국 수사기관의 역외 데이터 접근을 명문화하는 한편, 외국 정부와 행정협정을 통해 상호 국가의 서비스 제공자에게 직접 데이터를 요청할 수 있는 새로운 프레임워크를 제시한다. 미국은 2019년 영국, 2021년 호주와 CLOUD ACT 행정협정을 체결하였다.
본 연구는 미국 연방법 및 영국·호주의 CLOUD ACT 행정협정 관련 체결요건,이행 현황 및 주요 내용을 분석하였다. 또한 전자증거 국제협력 방안인 부다페스트협약 제2추가의정서 및 EU전자증거 규정과 비교 분석을 통해, 한‧미 CLOUD ACT 행정협정 필요성 및 입법방향까지 제시하였다.
CLOUD ACT는 개인 사생활과 시민적 자유를 실질적으로 보호할 수 있는 절차를 갖춘 국가와 행정협정을 체결한다고 밝히며 세부 요건을 제시한다. 대부분 충족하나 해외에 데이터를 요청할 수 있는 법적권한 마련이 필요하다. 행정협정은 대상 데이터 범위를 보전명령, 가입자 정보, 트래픽 데이터 또는 메타데이터, 컴퓨터 데이터, 콘텐츠 데이터, 감청까지 폭넓게 설정하였다. 대상범죄는 발부당사국의 법률상 최대 3년 이상의 징역에 해당하는 중대한 범죄로 설정하였다. 단, 자국민 프라이버시 보호를 위해 상대국민 또는 상대국에 소재한 사람 등에 대해서는 명령 발부가 금지된다. 명령은 자국 지정기관을 통해 상대국가의 서비스 제공자에게 전달되며 가입자 정보 및 보전명령 요청은 수사기관이 직접 서비스 제공자에게 요청할 수 있다. 서비스 제공자가 명령에 불복할 경우 발부당사국 지정기관에 이의제기하고, 해결되지 않는 경우 수령당사국 지정기관에 이의제기하며 최종적으로는 수령당사국의 지정기관이 최종결정한다.
영국 및 호주의 CLOUD ACT 행정협정은 구조가 전반적으로 비슷하였다. 하지만 호‧미 협정은 대칭적으로 규율된 반면, 영‧미 협정은 가입자정보‧보전 요청, 명령 제한대상이 비대칭적으로 규율되었다. 집행현황을 살펴보면, 영국은 감청을 중심으로 협정을 이용했으며 호주는 저장통신 대응을 중심으로 협정을 이용하였다.
CLOUD ACT 행정협정을 부다페스트협약 제2추가의정서 및 EU 전자증거 규정과 비교할 때 공조국가의 수 측면에서는 행정협정이 가장 범위가 좁다. 하지만 CLOUD ACT는 공유 데이터의 범위가 가장 넓으며, 자국민의 데이터를 두텁게 보호하고 있다. 또한 글로벌 서비스 제공자를 다수 보유한 미국과 가장 넓은 범위의 협력을 보장하므로 가장 필요한 전자증거 국제협력 방안이다.
행정협정은 신속하게 글로벌 미국 서비스 제공자의 컨텐츠 데이터 등 넓은 범위의 정보까지 확보할 수 있으며, 보안성 측면에서도 우수하다. 다만 행정협정 체결을 위해서는 우리나라가 해외 정부와 상호간 데이터를 요청하고 제공받을 수 있는 입법이 필요하다. 공조 대상 기업을 가상자산 거래소까지 넓히는 방안에 대해 고려가 필요하며 가입자 정보 및 보전요청에 대해서는 간소화된 절차로 요청할 수 있도록 협정안에 반영해야 한다. 지정기관은 경찰, 공수처, 중수청 등 수사기관이 존재하는 행정안전부에 두는 것이 효율적일 것으로 판단된다.
한국이 향후 미국 CLOUD ACT 행정협정 포함한 다양한 전자증거 국제협력 체계에 참여를 확대함으로써, 초국경적으로 발생하는 범죄에 신속하고 적극적으로 대응할 수 있기를 기대한다.

목차 (Table of Contents)

• 제1장 서론 1
• 제1절 연구배경 및 필요성 1
• 1. 연구배경 1
• 2. 연구 필요성 2
• 제2절 연구범위 및 방법 3
• 1. 연구범위 3
• 2. 연구방법 4
• 제2장 미국 CLOUD ACT의 입법배경 및 주요 내용 5
• 제1절 CLOUD ACT 입법 배경 5
• 1. 역외 전자증거 접근 필요성 5
• 2. MLA 급증에 따른 신속 처리의 필요성 7
• 제2절 CLOUD ACT 행정협정 체결요건 8
• 1. 미국 연방법 요건 8
• 2. CLOUD ACT 행정협정 체결 요건 충족여부 9
• 제3절 CLOUD ACT 입법 체계 14
• 1. 법령 체계 14
• 2. 미국법의 역외적용 명문화 15
• 3. 행정협정 체결 근거 마련 16
• 제4절 CLOUD ACT 행정협정 주요 내용 16
• 1. 미국 연방법 입법체계 16
• 2. 주요 내용 17
• 제3장 해외 CLOUD ACT 행정협정 시사점 23
• 제1절 영국 행정협정 주요 내용 23
• 1. 행정협정 경과 23
• 2. 집행 현황 24
• 3. 협정 체결요건 충족 여부 26
• 4. 행정협정 구조 31
• 제2절 호주 행정협정 주요 내용 38
• 1. 협정 경과 38
• 2. 집행 현황 40
• 3. 협정 체결 요건 40
• 4. 행정협정 구조 45
• 제3절 비교 분석 49
• 1. 비교 분석의 필요성 49
• 2. 영국과 호주의 CLOUD ACT 행정협정 비교 49
• 3. 시사점 52
• 제4장 CLOUD ACT 행정협정과 전자증거 국제협약 비교 54
• 제1절 부다페스트협약 제2추가의정서 주요 내용 54
• 1. CLOUD ACT 행정협정과 관계 54
• 2. 등장 배경 54
• 3. 주요 내용 55
• 제2절 EU 전자증거 규정의 주요 내용 60
• 1. CLOUD ACT 행정협정과 관계 60
• 2. 등장 배경 61
• 3. 주요 내용 63
• 제3절 비교 분석 67
• 1. 공조 확장 범위 67
• 2. 주요 내용 비교 67
• 3. 다자간 전자증거 협약의 한계 73
• 제5장 한미 CLOUD ACT 행정협정 필요성 및 입법방안 75
• 제1절 행정협정 필요성 75
• 1. 수사의 신속성 확보 75
• 2. 우리나라에 유리한 협정구조 75
• 3. 컨텐츠 데이터 수집 가능성 76
• 4. 양자협약을 통한 보안 확보 78
• 제2절 입법 방안 79
• 1. 역외 데이터 접근 입법 79
• 2. 개인정보 국외제공을 위한 근거 법령 입법 80
• 3. 감청에 대한 신중한 접근 필요 82
• 4. 실효적인 상대국 명령 통제 방안 마련 필요 84
• 5. 공조범위에 가상자산 거래소 포함 84
• 6. 가입자정보 요청 간소화 85
• 7. 지정기관으로서 행정안전부 선정 85
• 제6장 결론 87
• ABSTRACT 97