필수사항
CLOUD 법(18 U.S.C. § 2713)은 데이터 전송 의무를 서버 위치가 아닌 기업이 행사하는 소유, 보관 또는 통제에 첨부합니다. 미국 법률에 따라 설립된 회사는 데이터가 물리적으로 유럽에 있더라도 법률의 적용을 받습니다. 서비스를 운영하는 회사가 미국 기업이거나 미국 법인의 통제를 받는 경우 관리 패널에서 EU 지역을 확인하더라도 이 의무는 변경되지 않습니다. 따라서 유용한 검증은 데이터 센터 지도와 관련이 없고 공급업체의 실제 소유권 체인과 관련이 있습니다.
실제 법적 테스트: 소유, 양육권 또는 통제
CLOUD 법의 텍스트에는 서버의 물리적 위치가 언급되지 않습니다. 18 U.S.C. § 2713은 모든 전자 서비스 제공업체가 미국 또는 해외에 저장되어 있는지 여부에 관계없이 "소유, 보관 또는 통제"하는 데이터를 생성하도록 요구합니다. 법의 실제 범위를 정의하는 것은 숙박 카드가 아니라 이 공식입니다.
이 사건은 Microsoft와 미국 정부 간의 분쟁에서 시작되었으며 BaaS 선택에 대한 기사에 이미 자세히 설명되어 있습니다. 의회는 대법원의 결정을 기다리지 않고 법으로 결정했습니다. 실제 결과는 오늘날에도 동일하게 유지됩니다. 즉, 데이터를 물리적으로 호스팅하는 국가보다 데이터를 통제하는 기업의 국적이 더 중요합니다.
이 공식에는 직접적인 결과가 따릅니다. 공급자는 미국 법률에 따라 설립된 회사일 수 있으며 EU 고객에게 서비스를 제공하기 위해 유럽 호스트로부터 서버를 임대하는 경우에도 CLOUD법의 적용을 받습니다. 호스팅 계약으로 인해 서비스 계약을 체결한 회사의 국적이나 미국 연방 당국에 대한 법적 의무가 변경되지 않습니다.
CLOUD법이 이러한 유형의 유일한 수단은 아닙니다. FISA(해외 정보 감시법) 702조는 미국 정보 기관의 전자 통신에 대한 표적 감시를 허가합니다. 그 체제는 일반적인 사법 절차보다는 국가 안보를 지향하는 뚜렷한 특징을 유지하고 있습니다. 두 텍스트는 기억해두면 유용한 공통점을 공유합니다. 의무를 유발하는 것은 인프라의 지리적 위치가 아니라 공급업체, 미국 회사 또는 미국 관할권의 적용을 받는 법적 자격입니다.
유럽 자회사가 범위를 벗어나는 데 항상 충분하지 않은 이유
유럽 자회사를 보유하고 있는 미국 모회사는 해당 자회사가 EU에 등록되어 있다고 해서 자동으로 CLOUD 법의 범위를 벗어나지 않습니다. 법적 테스트는 지역 상업 등록부에 등록된 이름이 아닌 체인 내에서 실제로 데이터를 소유, 보관 또는 통제하는 사람이 누구인지에 관한 것입니다.
구체적인 사례를 들어보자. 미국 지주 회사는 유럽 고객을 위한 서비스를 호스팅하고 기술적으로 운영하는 독일 자회사를 100% 소유하고 있습니다. 미국 모회사 팀에 생산 데이터베이스에 대한 관리자 액세스 권한이 있는 경우 기술 지원 목적이라 하더라도 이 액세스 권한이면 충분할 수 있습니다. 법의 의미 내에서 통제를 특징으로 할 수 있으며 현지 자회사의 국적이 이를 무력화하지 않습니다.
실제로 대부분의 기술 그룹은 관리자 액세스, 백업, 내부 인증 시스템 등 인프라를 중앙 집중화합니다. 따라서 법인 등록만 확인하면 질문의 일부에만 답할 수 있습니다. 우리는 전체 체인으로 돌아가야 합니다. 누가 이 자회사의 자본을 소유하고, 누가 이사회를 통제하고, 계약이 체결되면 데이터에 대한 실제 기술적 접근 권한을 유지하는지를 살펴보아야 합니다.
이는 자금세탁방지법 준수에 적용되는 최종 실소유주 검증과 동일한 논리이다. 백엔드 공급자의 선택으로 바뀌면 질문이 변경됩니다. 중요한 것은 상표나 청구 주체의 이름이 아니라 데이터에 대한 최종 통제권을 갖는 주체입니다.
모회사와 기술적 접근이나 효과적인 자본 통제를 공유하지 않는 진정한 자율 자회사는 CLOUD 법의 직접적인 범위를 벗어날 수 있습니다. 차이점은 공개적으로 표시되는 조직도가 아닌 사례별로 확인됩니다. 문서화된 위험 분석(DPIA)은 특정 공급업체를 결정하는 유일한 방법으로 남아 있습니다. 이 기사는 그 자리를 차지하지 않습니다.
2축 매트릭스: 숙소 지역과 회사 국적
두 개의 독립적인 축이 CLOUD 법에 대한 백엔드의 실제 노출을 결정합니다. 즉, 데이터가 호스팅되는 위치, 국적과 회사가 이 서비스를 제어합니다. 이 두 축을 교차시키면 4개의 상자가 있는 행렬이 제공되며, 비교에서 "EU 지역" 상자만 선택하는 것보다 더 유용합니다. EU 지역만으로는 부족한 이유를 전용 기사인 EU 지역 및 규정 준수에서 자세히 설명하고, 확인란이을 보장하지 않는지 자세히 설명합니다.
| 설정 | 전시회 | 의미 |
|---|---|---|
| EU 호스팅 + EU 모회사 | 소버린 | 두 축은 유럽 관할권에 따라 정렬됩니다. 이는 실제로 CLOUD Act 범위를 벗어나는 유일한 상자입니다. |
| EU 호스팅 + 미국 모회사 | 프레젠테이션 | EU 지역의 미국 하이퍼스케일러 사례. CLOUD 법은 선택한 데이터 센터에 관계없이 회사의 국적을 통해 적용됩니다. |
| 미국 호스팅 + EU 모회사 | 희귀, 잔여 | 특이한 구성. CLOUD법은 기업 자체에 부담을 덜 주지만 미국 영토에 있는 물리적인 데이터는 표준 미국 법적 절차를 통해 계속 접근할 수 있습니다. |
| 미국 호스팅 + 미국 모회사 | 이중 노출 | EU 민감한 데이터에 대한 최악의 경우: 두 가지 별도의 미국 법적 수단이 법인과 저장 위치 모두에 적용됩니다. |
Aurabase는 이 매트릭스의 위쪽 상자를 보여줍니다. 독일(뉘른베르크, 팔켄슈타인)과 핀란드(헬싱키)의 Hetzner에서 검증된 생산 인프라는 프랑스 법률에 따라 설립된 회사인 Aurabase SAS가 운영합니다. 호스팅과 회사라는 두 축은 체인에 미국의 법적 존재 없이 유럽 관할권에 따라 정렬됩니다.
이 매트릭스의 한 열(대부분 서버 지역의 열)만 채우는 BaaS 비교는 법적 위험의 절반을 범위에서 벗어납니다. 이는 당사의 전체 가이드 GDPR 준수 및 EU 주권 백엔드에서 자세히 다루는 사각지대입니다. EU 지역의 하이퍼스케일러에 대한 분석에서 미국 하이퍼스케일러에 대해 특별히 살펴봅니다.
서버 이동 없이 국적 전환 가능
공급업체는 인프라를 변경하지 않고도 이 매트릭스에서 하룻밤 사이에 한 상자에서 다른 상자로 이동할 수 있습니다. 미국 회사의 인수는 서버가 물리적으로 동일한 위치에 있더라도 회사의 실제 국적을 변경하기에 충분합니다. 자금조달 과정에서 자본을 인수하거나 지주회사를 구조조정하는 경우에도 동일한 효과가 나타난다.
이 위험은 전체 상환에만 국한되지 않습니다. 미국 투자자들에게 이사회의 과반수를 부여하는 자금 조달 라운드도 동일한 효과를 낳습니다. 미국 기업에 운영 통제권을 이전하는 기술 라이센스 계약은 전통적인 인수를 거치지 않고 동일한 상황을 초래합니다. 계약 체결 당시 가시적인 법적 구조는 제때에 확정된 보증이 아닙니다.
제어 변경과 클라이언트 측에서의 감지 사이의 지연으로 인해 이러한 위험이 가중됩니다. 특히 비상장 회사의 경우 주주 변경이 발생할 때 항상 공개적으로 발표되는 것은 아닙니다. 계약상의 통지 조항이 실행될 때까지 고객에게 알리지 않은 채 새로운 구조 하에서 데이터 처리에 수개월이 소요될 수 있었습니다.
BaaS 선택에 관한 기사의 의사결정 그리드에는 이미 주주 구조 변경 시 불이익 없이 종료할 수 있는 권리를 요구하는 내용이 나와 있습니다. 이 조항은 명확히 할 가치가 있습니다. 이는 단지 회사 이름의 변경뿐만 아니라 자본 통제의 모든 변경을 다루어야 합니다. 또한 일반 조건 업데이트 시 작은 글씨로 간단히 언급하는 것이 아니라 계약상 통지 기간을 제공해야 합니다.
자본 통제에 변화가 있는 경우 30일 이내에 의무적으로 통보합니다. 불이익 없이 종료할 수 있는 권리. 구두로 약속하지 않고 계약을 통해 공식적으로 공급업체의 소유권 구조를 매년 감사할 권리.
공급업체의 실제 관리 연속성을 추적하는 방법
BaaS 선택에 관한 기사에는 이미 공급자의 개인 정보 보호 정책과 해당 법률 조항을 읽는 방법이 자세히 설명되어 있습니다. 이 방법은 여전히 첫 번째 단계입니다. 여러 지주 회사를 포함할 수 있는 소유권 사슬을 추적하는 것만으로는 충분하지 않습니다.
- 등록 국가의 상업 등기를 참조하십시오: 프랑스의 Infogreffe, 독일의 Handelsregister, 영국의 Companies House, 상장된 미국 회사의 경우 SEC EDGAR 또는 벤처 캐피털에서 자금을 조달한 경우. 목표: 선언된 최종 모회사를 식별합니다.
- SOC 2 Type II 보고서 또는 ISO 27001 적용 가능성 설명에서 그룹 구조에 대한 언급이나 통제 변경 시 알림에 대한 약속을 찾아보세요. 이 문서가 항상 존재하는 것은 아니지만 공급업체가 문서를 게시할 때 요청할 가치가 있습니다.
- 공개 발표를 통해 가장 최근 자금 조달 라운드의 구성을 확인하세요. 수도에 있는 미국 투자자의 대다수는 EU에 등록된 회사에 대해서도 의문을 제기하는 신호입니다.
- DPA 협상 시 자본 통제가 변경되는 경우 이를 알리겠다는 서면 약속을 명시적으로 요청합니다.
- 공급업체가 이미 자본 독립성에 대해 의사소통한 경우 서면 및 날짜가 포함된 확인을 요청하세요. 상업 데모의 구두 선언은 계약상의 약속과 동일한 가치를 갖지 않습니다.
이러한 점검 중 어느 것도 고위험 프로젝트에 대한 법적 조언을 대체하지 않습니다. 그러나 이는 서명하기 전에 직접 질문할 가치가 있는 소유권 구조를 가진 공급업체를 한 시간 안에 식별하는 데 충분합니다.
서버의 지역은 여전히 유용한 정보입니다. 이는 실제로 중요한 두 가지 질문, 즉 현재 이 데이터를 법적으로 통제하는 사람이 누구인지, 공급자의 소유권 구조가 변경되면 내일 이를 통제할 수 있는 사람이 누구인지에 대한 답을 제공하지 않습니다.
Add the nationality of the company, not just the data center, to your supplier verification grid. For the complete decision grid on the weight of this criterion according to your project, consult why the CLOUD Act changes the choice of your BaaS.
전체 GDPR 프레임워크, 자세한 법적 요구 사항 및 공급업체 규정 준수 체크리스트는 GDPR 준수 및 EU 주권백엔드 가이드를 참조하세요.