온타리오 법원이 프랑스 클라우드 기업 OVHcloud에 해외 서버에 저장된 데이터를 캐나다 경찰에 제공할 것을 명령하면서, 디지털 주권과 국제 사법권을 둘러싼 갈등이 불거지고 있다.
온타리오 법원이 OVHcloud에 클라우드에 저장된 데이터를 제공하라고 명령했다. 이는 디지털 주권에 대한 의문을 불러일으킨다.
Nov 26, 2025 at 9:04 am CET
7 min. read
By Stefan Krempl
온타리오 주의 한 법원이 프랑스 클라우드 대기업 OVHcloud에 대해 해외 서버에 저장된 데이터를 캐나다 경찰에 넘기라는 명령을 내렸다. 이 결정으로 회사는 캐나다 사법부와 프랑스 형법 사이의 딜레마에 빠졌으며, 프랑스 정부까지 비상하게 만들었다. 궁극적으로 이들의 호소는 유럽 온라인 사업자의 독립성과 데이터 보호라는, 그동안 강조되어 온 가치와도 직결된다.
이는 단순한 형사 수사를 넘어, 21세기 디지털 주권의 핵심을 건드리는 사건이다. 중심에는 겉보기에는 단순해 보이는 명령이 있다. 캐나다 연방경찰(RCMP, Royal Canadian Mounted Police)은 네 개의 특정 IP 주소와 연관된 가입자 정보 및 메타데이터에 대한 접근을 요구하고 있다. 그러나 이러한 가입자 정보와 접속 데이터는 캐나다가 아니라 프랑스, 영국, 호주에 위치한 서버에 저장되어 있다. 그 후 벌어진 법적 줄다리기는 오타와와 파리 간 외교 갈등으로까지 비화할 조짐을 보이고 있다.
사건의 출발점은 2024년 4월 19일, 캐나다 형법 제487.014(1)조를 근거로 온타리오 법원이 발부한 ‘제출 명령(Production Order)’이다. RCMP는 중범죄와 관련된 형사 사건을 수사 중이며, 이와 관련된 OVH Group SA 고객들의 데이터를 요구하고 있다.
문제는 이 회사가 루베(Roubaix)에 본사를 둔 프랑스 법인이라는 점이다. 캐나다 몬트리올에는 자회사인 Hebergement OVH Inc.가 있지만, 별도의 독립된 법인격을 가진다. heise online이 입수한 법원 문서에 따르면, 캐나다 자회사는 유럽 데이터센터에 저장된 모회사 데이터에 기술적으로 접근할 수 없다.
그럼에도 불구하고, 9월 25일 헤더 퍼킨스-맥베이(Heather Perkins-McVey) 판사가 이끄는 온타리오 법원은 프랑스 모회사가 캐나다 당국에 해당 데이터를 제공해야 한다고 판결했다. 판결의 논리는 ‘가상 존재(virtual presence)’에 대한 폭넓은 해석에 기반한다. OVH가 전 세계적으로 서비스를 제공하고 캐나다에서도 영업을 하고 있으므로, 물리적 서버가 어디에 있든 캐나다 사법권의 적용을 받는다는 것이다.
OVHcloud 입장에서 이 판결은 단순한 행정상의 번거로움을 넘어선 법적 함정이다. 프랑스 최대 클라우드 제공업체인 OVHcloud는 방어 논리로 자국법, 특히 이른바 ‘블로킹 법률’(Loi n° 68-678)을 강하게 내세우고 있다. 1968년에 제정되고 2022년에 강화된 이 법은 프랑스 기업 및 시민이, 공식적인 국제 사법 공조 절차를 거치지 않고 외국 당국에 경제적으로 민감한 정보나 데이터를 제공하는 것을 형사 처벌 대상으로 금지한다.
파리에 있는 OVH 사내 변호사 자비에 바리에르(Xavier Barriere)는 선서 진술서에서 극적인 상황을 이렇게 설명한다. 만약 유럽 데이터 주권을 적극적으로 옹호해 온 이 회사가 캐나다 법원의 명령을 따른다면, 프랑스 내 책임자들은 형사 범죄를 저지르는 셈이 된다. 위반 1건당 최대 6개월의 징역과 9만 유로의 벌금에 처해질 수 있다. 반대로 OVH가 캐나다 법원의 명령을 무시하면, 온타리오에서 법정모독(contempt of court) 절차에 직면하게 되고, 이 역시 중대한 제재로 이어질 수 있다.
이 사건은 이제 프랑스 행정부 최고위층까지 올라갔다. 프랑스 경제부 산하의 전략정보·경제안보국(SISSE, Service de l'Information Stratégique et de la Sécurité Économiques)은 블로킹 법률 준수를 감시하는 기관으로, 두 통의 서한을 통해 분명한 입장을 내놓았다.
2024년 5월의 첫 서한과 2025년 1월의 보다 상세한 두 번째 서한에서 SISSE는 RCMP에 대한 직접적인 데이터 제공은 불법이라고 경고했다. 이 기관은 요청된 정보가 해당 법률의 적용 대상에 해당한다는 점을 확인했으며, 국제 협정을 우회하는 것은 프랑스의 주권을 침해하는 위반 행위가 될 것이라고 못 박았다.
프랑스 법무부도 2월 21일에 개입했다. 이 서한에서 프랑스 측은 캐나다 측에, 만약 정식 법률조력요청서(letters rogatory)를 통한 공식 절차를 선택한다면 ‘신속 처리(accelerated processing)’를 보장하겠다고 약속했다. 파리는 규칙을 준수하는 범위 내에서 협력 의사를 분명히 한 것이다. OVH는 이미 해당 데이터를 보존 조치해 두었고, 제공할 준비가 되어 있다. 그러나 RCMP와 캐나다 검찰은 직접적이고 즉각적인 데이터 제공을 고집했고, 온타리오 법원도 이 요구에 동조했다.
OVH는 밀러 톰슨(Miller Thomson) 로펌을 통해 10월 말 Perkins-McVey 판결에 대해 온타리오 고등법원(Ontario Superior Court of Justice)에 항소했다. 사법심사 신청서는 국제법 강의에 가깝다. 변호인단은 하급심이 기본 원칙들을 무시했다고 주장한다. 즉, 캐나다 법원은 우호국 국민에게 자국에서 형사 범죄가 되는 행위를 강요하는 명령을 내리는 것을 피해야 한다는 것이다. 특히 상호 사법 공조 조약이라는 합법적 대안이 존재하는 상황에서는 더욱 그러하다.
변호사들은 또한 캐나다 자회사가 프랑스 모회사의 데이터에 대해 자동으로 책임을 질 수는 없다고 강조한다. 문제의 해외 서버에 캐나다 사법권을 확장하려는 시도는 국가 주권의 한계를 넘어서려는 것이라는 주장이다.
"항고심이 사건을 심리하기도 전에, 신청인들은 회복 불가능한 피해를 입게 될 것이다"라고 집행정지 가처분 신청서에는 적혀 있다. Perkins-McVey 판사가 데이터 제출 시한을 10월 27일로 정해 두었기 때문이다. 명령의 즉각적인 집행정지 없이, OVH는 어느 나라의 법을 어길지를 선택해야 하는 처지에 놓인다.
이 소송의 결과는 기술 업계가 촉각을 곤두세우고 지켜보고 있다. 만약 캐나다 측의 법 해석처럼 ‘가상 존재’만으로도 유럽 내 데이터에 대한 직접 접근을 강제하는 것이 가능하다고 인정된다면, 이는 다수 국제 클라우드 제공업체의 비즈니스 모델 자체를 흔들 수 있다. 유럽 기업들은 종종 미국 CLOUD Act 같은 외국 정부의 접근으로부터의 보호를 강점으로 내세운다. 그러나 이번 사건에서 캐나다 경찰이 프랑스에 대한 사실상의 직접 "접근"을 허용받는다면, 이러한 약속은 근본부터 흔들리게 된다.
아이러니한 점은 양측 모두 같은 목표, 즉 범죄 행위의 규명을 추구하고 있다는 것이다. 프랑스는 데이터를 보존 조치해 두었고, 제공 의사도 있다. 다만 공식적인 절차를 거쳐서만 가능하다고 주장한다. 반면 캐나다는 관료적 절차를 최소화해, 빠르게 데이터를 얻기를 원한다. 이제 공은 온타리오 고등법원으로 넘어갔다. 이 법원은 경찰 수사의 효율성이, 주권을 가진 파트너 국가의 법과 국제 협정의 무결성보다 우선할 수 있는지를 판단해야 한다.
이번에는 미국의 하이퍼스케일러들 – AWS를 운영하는 아마존, 마이크로소프트 애저(Azure), 구글 클라우드 – 이 직접적인 압박을 받는 것이 아니다. 데이터 주권 문제로 벽에 몰린 쪽은 이들이 아니라 유럽 경쟁사들이다.
이 글은 원래 독일어로 출판된 기사로, 기술적 지원을 받아 번역되었으며, 게시 전에 편집진의 검토를 거쳤다.
