2011년 디트로이트 경찰은 한 이동통신사에 티머시 카펜터의 휴대전화가 기지국에 접속한 이력을 요청했다. 경찰이 받은 것은 127일에 걸친 12,898개의 위치 지점, 하루 평균 약 백 개였다. 7년 뒤 미국 연방대법원은 이 요청이 수색에 해당하며 영장을 요한다고 판단했다.
그 12,898개의 지점은 4세대 기지국에서 나온 것이었고, 기지국 하나가 반경 수 킬로미터를 담당했다. 같은 요청을 오늘 도시의 5G 망에 보낸다면, 수 킬로미터 오차로 하루 백 개가 돌아오지 않는다. 수십 미터 오차로 훨씬 큰 분량이 돌아온다.
기술은 규모가 달라졌다. 법적 논증은 사슬의 같은 자리에 머물러 있다.
대서양 양쪽 법원이 모두 인정하는 법익
거의 모두가 인정하지만 어떤 법조문도 실효적으로 보호하지 않는 이익이 있다. 어딘가에 있다는 사실이 기록되지 않을 권리다.
유럽 판례는 이를 명확히 확립했다. Digital Rights Ireland (병합사건 C-293/12 및 C-594/12, 2014년 4월 8일)와 이어진 Tele2 Sverige 및 Watson (병합사건 C-203/15 및 C-698/15, 대재판부, 2016년 12월 21일)에서 유럽연합 사법재판소는 이 데이터가 전체로 보면 개인의 사생활에 관해 매우 정밀한 결론을 끌어낼 수 있다고 판시했다. 일상의 습관, 머무는 장소, 이동, 수행하는 활동, 그리고 사회적 관계다.
미국 연방대법원도 Carpenter v. United States , 585 U.S. 296 (2018)에서 비슷한 결론에 이르렀다. 미국 학계가 오래 논평해 온 지점, 즉 이 수집이 갖는 불가피하고 자동적인 성격을 판결은 강조했다. 사람은 기지국에 접속되는 데 동의하지 않는다. 전원이 켜진 전화를 가지고 있기 때문에 접속되는 것이다.
그러므로 법익은 존재하며, 이 분야에서 무게를 갖는 두 법원이 이를 인정하고 있다. 문제는 다른 데 있다.
5G가 실제로 바꾼 것
흔한 혼동은 위치를 메시지나 사진처럼 전화가 전송하는 데이터로 취급하는 것이다. 그렇지 않다. 위치는 망 작동의 물리적 결과다. 통신사가 단말이 어느 기지국에 붙어 있는지 아는 이유는, 통화를 연결하려면 알아야 하기 때문이다. 이 정보를 암호화할 수 있는 키는 존재하지 않는다. 그것은 내용이 아니라 연결 그 자체의 속성이기 때문이다.
5G가 기술적 차원이 아니라 법적 차원에서 중요해지는 이유가 바로 여기에 있다.
이전 구조는 넓은 셀에 의존했다. 4G 기지국은 흔히 반경 수 킬로미터를 담당했고, 접속 사실만으로 추정되는 위치는 도시에서 수백 미터, 농촌에서는 때로 수십 킬로미터 단위였다. 5G는 대규모 조밀화에 기반한다. 도시 셀은 보통 수백 미터를 담당하며, 공학 문헌은 3G 시절의 네다섯 기지국에 견주어 제곱킬로미터당 사십에서 오십 기지국 수준의 밀도를 전제한다.
결과는 기계적이다. 에릭슨의 5G 측위 백서 에 따르면, 연결성만을 위해 구축된 인프라가 실외에서 이십에서 오십 미터, 실내에서 일에서 삼 미터의 정밀도에 이르며, 조건이 좋은 도시 환경에서는 일 미터 아래로 내려간다. 어딘가에서 켜진 위치 기능이 아니라, 앱 하나 설치되지 않고 권한 하나 부여되지 않아도 망이 구조상 알고 있는 사실이다. 이 모든 메커니즘과 실제로 효과가 있는 대응책은 휴대전화의 상시 위치 추적 에 관한 글에서 자세히 다뤘다.
따라서 침해의 정도는 몇 자릿수 커졌다. 적용되는 법적 틀은 여전히 2G와 3G를 염두에 두고 만들어진 것이다. 이 규모의 변화에 어떤 규범적 조정도 뒤따르지 않았다.
법은 접근을 보호하지, 생성을 보호하지 않는다
유럽법은 누가 어떤 조건에서 어떤 통제 아래 위치정보에 접근할 수 있는지를 세심하게 규율한다. 지침 2002/58/EC는 통신 비밀의 원칙을 두고 있고, 사법재판소는 La Quadrature du Net (병합사건 C-511/18, C-512/18 및 C-520/18, 대재판부, 2020년 10월 6일)에서 이 지침 제15조 제1항을 기본권 헌장 제7조, 제8조, 제11조 및 제52조 제1항에 비추어 읽으면 예방 목적의 트래픽 및 위치 데이터의 일반적이고 무차별적인 보관은 허용되지 않는다고 판시했다. 다만 재판소는 회원국이 현실적이고 현존하거나 예견 가능한 중대한 국가안보 위협에 직면한 경우, 실효적 통제를 조건으로 한정된 예외를 인정했다.
이는 실재하는 보호이며 이를 깎아내리는 것은 부당하다. 그러나 이 모두는 사후에 작동한다. 데이터가 존재하고 보관되어 있음을 전제한 뒤, 그 활용 조건을 정하는 것이다.
그런데 위치가 망 작동의 불가피한 부산물이라면, 개입해야 할 지점은 비밀성이 아니다. 지속성이다.
통신을 연결하는 데 필요하고 그 직후 삭제되는 순간의 위치는 감시 도구가 아니다. 몇 달 동안 보관되는 위치 이력은 감시 도구다. 그것을 둘러싼 접근 보장이 아무리 촘촘하더라도 마찬가지다.
둘의 차이는 법적인 것이 아니라 구조적인 것이다. 그리고 유럽의 일정표가 이 물음을 이론이 아니라 시급한 것으로 만든다. 집행위원회는 공동입법자 간 합의가 이루어지지 않아 2025년에 ePrivacy 규정안을 철회했다 . 그 이후로는 형사 목적의 데이터 보관에 관한 별도 법안을 준비 중이며, 2026년으로 예고된 이 법안은 2006년 지침이 무효화된 뒤 제각각이 된 각국 제도를 조화시키는 것을 목표로 한다. 다시 말해 향후 10년 동안 위치 메타데이터의 규율을 정할 문서가, 셀이 킬로미터 단위이던 시절에 세워진 논증을 토대로 지금 이 순간 쓰이고 있다.
5G가 스스로 만든 선례
이 사안에서 가장 흥미로운 점은, 올바른 답이 이미 기술 표준 안에 있되 다른 대상에 적용되어 있다는 사실이다.
4G까지 가입자의 영구 식별자인 IMSI는 접속 시 무선 구간을 평문으로 흘렀다. 이것이 IMSI 캐처를 가능하게 했다. 전자프런티어재단의 표준적 설명 에 따르면, 정상 기지국보다 강하게 송신해 단말을 끌어들이고 그 식별자를 가로채는 가짜 기지국이다.
2019년에 공개된 3GPP 규격 Release 15부터 5G는 우아한 답을 내놓는다. 이제 SUPI로 불리는 영구 식별자는 무선 구간에서 SUCI로 대체될 수 있다. SUCI는 가입자 고유 부분을 홈 사업자의 공개키로 타원곡선 암호를 사용해 암호화하여 얻는 은닉 식별자다. 대응하는 개인키를 가진 홈 네트워크만이 이를 복호할 수 있다. 계산할 때마다 결과가 달라지므로 세션 간 상관관계를 지을 수 없다.
채택된 논리는 강조할 만하다. 입법자가 따라야 할 논리가 정확히 이것이기 때문이다. 기술적으로 불가능한 위치를 암호화하는 것이 아니라, 신원을 암호화한다. 귀속시킬 신원이 없는 위치는 개인을 겨냥한 감시에 있어 가치가 매우 제한된다.
허점: 선택 사항인 보호
그러나 상당한 유보가 있고, 우리가 보기에 이것이 이 사안 전체에서 가장 구체적인 개입 지점이다.
미국 국립표준기술연구소가 2026년 3월에 펴낸 백서 NIST CSWP 36A 는 이를 에두르지 않고 말한다. Release 15 이상에 부합하는 단말과 망 기능은 SUCI를 지원할 의무가 있지만, 그 활성화는 여전히 사업자의 선택으로 남는다. 세 조건이 갖춰져야 한다. 장비 제조사가 지원해야 하고, 사업자가 자사 망에서 켜야 하며, SIM 카드가 계산에 필요한 요소를 담고 있어야 한다.
여기에 설정상의 함정이 더해진다. 표준은 널 보호 방식을 두고 있는데, 형식적으로는 SUCI 형식을 쓰지만 실제 암호화는 이루어지지 않아 식별자가 평문으로 흐른다. NIST는 사업자가 자사 망을 널이 아닌 보호 방식으로 구성해야 한다고 쓰며, 미국 연방통신위원회의 자문기구인 CSRIC의 보고서가 이미 2021년에 널 방식을 망이 알지 못하는 단말의 긴급 통화에만 한정하도록 권고했음을 상기시킨다.
이 문장은 있는 그대로 두는 편이 낫다. 이동단말 추적에 맞서는 최선의 보호는 2019년부터 기술 표준 안에 있다. 그것은 사업자의 재량에 맡겨진 설정 선택에 달려 있다. 미국의 한 연방기관은 2026년에 그것을 켜야 한다고 상기시키는 문서를 내는 것이 유용하다고 본다. 그리고 어떤 유럽 법 문서도 이를 의무화하지 않는다.
덧붙이자면 SUCI가 이 주제를 끝내지는 않는다. 5G SUCI-catchers: still catching them all? 이라는 제목으로 발표된 연구는 암호화에도 불구하고 세션을 다시 연결지을 수 있는 연결성 공격을 기록하고 있으며, 공격자가 단말을 이전 세대로 낮추도록 강제하면 보호는 통째로 무너진다. 따라서 법적 의무가 모든 것을 해결하지는 않는다. 그럼에도 변호할 수 없는 간극, 즉 표준이 허용하는 것과 상용 망이 실제로 하는 것 사이의 간극은 없앨 것이다.
일관된 세 가지 개입
위치를 사후에 보호하기보다 설계 단계에서 최소화해야 한다는 생각을 진지하게 받아들이면, 세 가지 조치가 논리적으로 따라 나온다.
- 식별자의 실효적 은닉을 의무화한다. SUCI 활성화를 강제하고, 긴급 통화라는 잔여 사례를 제외하고 상용 망에서 널 보호 방식을 금지한다. 새로운 기술을 규정하거나 구축에 비용을 대는 문제가 아니라, 표준화된 지 7년이 되었고 장비에 이미 들어 있는 기능을 켜라고 요구하는 문제다.
- 보관을 기본값이 아니라 예외로 다룬다. 통신을 연결하는 데 필요한 위치는 그 역할이 끝나는 즉시 삭제되어야 한다. 이력을 구성하려면 별도의 정당화가 요구되어야 한다. 당신이 어디 있는지 아는 망과, 당신이 어디 있었는지 기억하는 망의 차이가 여기에 있다.
- 키의 보관을 실질적 연결점으로 삼는다. 데이터를 읽을 수 있게 만드는 키가 다른 곳에 있다면, 서버가 역내에 있다는 사실은 큰 의미가 없다. 법적으로 유의미한 기준은 복호 수단에 대한 실효적 지배여야 하며, 이 문제는 데이터법과 CLOUD법의 충돌 을 다루며 자세히 검토했다.
Arpokrat이 취하는 관점
이 논증은 전기통신법에만 해당하지 않는다. 우리 자신의 구조적 선택에도 적용하는 논증이며, 한 문장으로 요약된다. 생성되지 않은 것은 보호할 필요가 없다.
ArpokratOS 가 GPS, 블루투스, NFC를 메뉴에서 끄는 대신 커널 수준에서 제거하는 이유가 여기에 있다. 스위치는 정책이다. 특권 구성요소가 우회할 수 있고, 업데이트가 다시 켤 수 있으며, 침해된 시스템이 무시할 수 있다. 코드 경로를 제거하면 물음 자체가 사라진다. 이는 우리가 법의 층위에서 요구하는 것과 같은 이동을 한 대의 기기 층위로 옮긴 것이다. 접근이 아니라 생성에 개입하는 것이다.
이것이 하지 못하는 일도 바로 말해 두어야 한다. 어떤 운영체제도 단말을 망의 기하학에서 빼내지 못한다. SIM 카드가 활성화되어 있는 한 사업자는 접속 셀을 알며, 모든 트래픽을 Tor로 보내도 달라지지 않는다. Tor가 보호하는 것은 내용과 목적지이지 무선 계층이 아니기 때문이다. 바로 그래서 이 주제는 법적 주제다. 어떤 개인 설정으로도 줄일 수 없고, 사용할 수 있는 유일한 변수가 사업자에게 적용되는 규칙뿐인 위험 범주가 존재한다.
같은 관심이 우리의 나머지 작업도 지배한다. 존재하지 않는 데이터는 압수될 수도, 되팔릴 수도, 유출될 수도, 오늘 아무도 갖고 있지 않은 기계로 10년 뒤에 복호될 수도 없다. 이 문제는 지금 수확해 나중에 해독하는 암호 라는 각도에서 다룬 바 있다.
결론
모바일 감시에 관한 공적 논의는 거의 전적으로 접근에 집중되어 있다. 누가 데이터를 열람할 수 있는지, 어떤 근거로, 어떤 허가를 받아. 이 논의는 정당하며, 2014년 이후 사법재판소가 내린 판결은 실질적 효과를 냈다. 그러나 사슬에서 개입하는 시점이 너무 늦다.
그에 앞서는, 그리고 더 결정적인 물음은 이력이 존재해야 하는가이다. 오늘 정당한 이유로 구축된 데이터베이스는 내일 다른 이유로도 쓸 수 있게 남고, 그것을 둘러싼 보장은 수집 시점에 누구도 통제하지 못하는 훗날의 정치적 결정에 달려 있다. 이는 제도의 안정성에 거는 내기이며, 그 기간을 정하는 이는 아무도 없다.
5G는 이 정보의 해상도를 몇 배로 높였으나 어떤 규범적 조정도 뒤따르지 않았다. 동시에 5G는 SUCI라는 장치를 통해, 실행 가능한 길이 망의 물리적 속성을 암호화하려는 시도가 아니라 위치를 신원에서 분리하는 것임을 보여주었다. 기술 표준은 법이 물음을 던지기 7년 전에 답을 내놓았다.
데이터 보관에 관한 유럽의 문서는 지금 쓰이고 있다. 그것은 메타데이터를, 따라서 위치를, 따라서 그 기초자들이 알지 못했던 정밀도로 5G가 오늘날 만들어내는 것을 다루게 된다. 당연한 것으로 전제된 이력에 대한 접근을 정리하는 데 그칠 것인가, 아니면 그 이력의 필요성 자체를 묻는 용기를 낼 것인가. 이는 아마도 앞으로 몇 년간 유럽에서 가장 중요한 프라이버시 물음일 것이다. 그리고 이번만큼은 기술 분야가 이미 옳은 방향으로 결론을 내려 둔 물음이기도 하다.
출처
- 유럽연합 사법재판소, Digital Rights Ireland , 병합사건 C-293/12 및 C-594/12, 2014년 4월 8일
- 유럽연합 사법재판소, Tele2 Sverige 및 Watson , 병합사건 C-203/15 및 C-698/15, 대재판부, 2016년 12월 21일
- 유럽연합 사법재판소, La Quadrature du Net 외 , 병합사건 C-511/18, C-512/18 및 C-520/18, 대재판부, 2020년 10월 6일
- 미국 연방대법원, Carpenter v. United States , 585 U.S. 296, 2018
- 미국 국립표준기술연구소, Protecting Subscriber Identifiers with Subscription Concealed Identifier (SUCI) , NIST CSWP 36A, 2026년 3월
- 에릭슨, 5G positioning: Locating devices anywhere
- Merlin Chlosta 외, 5G SUCI-catchers: still catching them all? , ACM WiSec, 2021
- 전자프런티어재단, Gotta Catch ‘Em All: Understanding How IMSI-Catchers Exploit Cell Networks
- European Digital Rights, The ePrivacy Regulation proposal has been withdrawn, but the fight for your privacy is far from over
- heise online, Data Retention: Commission to present proposal by mid-2026