"중국에 개인정보 다 넘어갈라"…日 결국 '특단의 조치' [도쿄나우]
일본에 서버를 두면 일본인의 정보는 안전할까. 최근 일본에서 대규모 개인 정보유출 사태가 잇따르고 있는 가운데, 일본 정부가 데이터센터와 클라우드의 ‘국적’을 따져보겠다고 나섰다. 서버가 자국에 있더라도 운영 기업이 중국의 영향 아래 있다면 중요 정보가 넘어갈 위험이 있다는 판단에서다. 금융·의료기관 등에 국가 인증을 받은 서비스를 이용하도록 유도해 중국계 사업자를 사실상 배제할 방침이다.

19일 니혼게이자이신문에 따르면 일본 총무성과 경제산업성은 2027회계연도 이후 데이터센터·클라우드 안전 인증제도를 도입할 방침이다. 일본에 있는 데이터센터 사업자와 일본 내 서버를 보유한 클라우드 서비스 제공자가 대상이다. 사업자의 기업 정보와 정보 유출 방지를 위한 위험관리 체계, 설비 조달처 등을 심사할 예정이다.

중국 법률에 따른 정보 제공 가능성 경계

일본 정부가 경계하는 것은 데이터를 관리하는 기업이 어느 국가의 법률과 영향 아래 놓여 있느냐다. 중국 국가정보법은 정보공작에 대한 협조 의무를 부과한다. 국방동원법도 민간 자원 징발을 받아들일 의무를 규정한다. 서버를 일본에 설치하더라도 중국계 운영 기업이 자국 정부의 요구를 받으면 데이터를 충분히 보호할 수 있겠느냐는 우려가 나오는 배경이다.

중국계 기업의 해외 이용자 정보 취급은 실제 제재로 이어지기도 했다. 아일랜드 개인정보보호위원회는 지난해 5월 틱톡의 유럽경제지역 이용자 정보 중국 이전과 관련해 총 5억3000만유로의 과징금을 부과했다. 중국에 있는 직원들이 해외 서버에 저장된 개인정보에 원격 접근하는 과정에서 유럽연합 수준의 보호조치를 보장하지 못했다는 판단이다.

위원회는 틱톡이 중국 국가정보법 등 현지 법률에 따른 중국 당국의 개인정보 접근 가능성을 충분히 평가하지 않았다고 지적했다. 틱톡은 중국 서버에 유럽 이용자 정보를 보관하지 않는다는 기존 설명과 달리 일부 정보가 실제 저장됐던 사실도 인정했다. 다만 중국 정부가 해당 정보를 탈취한 사실이 확인된 것은 아니다.

일본 정부는 안보와 관련된 중요한 개인정보를 취급하는 금융기관과 의료기관, 연구소 등에 인증 사업자와 계약하도록 권고할 계획이다. 인증 서비스 이용 여부는 각 기관이 결정하지만, 개인정보 관리 상황에 대한 정부 심사·감독을 받는 만큼 인증받지 않은 사업자를 선택하기는 어려워질 전망이다.

국가 직접 지목 대신 인증으로 진입 제한

정부는 중요한 개인정보를 저장·제공하는 기업에 사전 신고 의무를 부과하는 방안도 추진한다. 내년 1월 소집되는 정기국회에 경제안전보장추진법 개정안을 제출할 방침이다. 데이터 보관에 위험이 있다고 판단되면 정부가 중지 명령이나 권고를 내릴 수 있도록 하고, 이를 바탕으로 인증제도를 운영한다.

제도 설계에는 경제산업성 산하 정보처리추진기구의 사물인터넷 제품 보안 인증제도인 ‘JC-STAR’를 참고한다. 네트워크 기기 등의 보안 수준을 평가하는 제도로, 특정 국가를 배제하는 규정은 없지만 지금까지 중국 제품의 인증 취득 사례는 없다고 신문은 전했다. 일본은 내년 4월부터 태양광발전과 축전지 등 전력망 연계 설비에도 이 제도의 레벨 1 기준 충족을 의무화할 예정이다.

새 데이터센터·클라우드 인증제도 역시 특정 국가를 직접 지목하기보다 사업자의 기업 정보와 보안 위험을 심사하는 방식으로 중국계 등의 진입을 제한하는 장치가 될 것으로 보인다.

생성형 인공지능(AI) 확산으로 데이터센터 수요가 급증하면서 정보 인프라의 안전성 확보도 중요해지고 있다. 내각관방 자료에 따르면 일본 클라우드 서비스 시장은 2024년 기준 1조7000억엔을 넘어섰다. 세계 시장에서는 미국 아마존과 마이크로소프트에 더해 중국 알리바바그룹이 영향력을 확대하고 있다.

도쿄=최만수 특파원 bebop@hankyung.com