애플·메타·VPN 업계, 캐나다 Bill C-22에 집단 반발…"암호화 백도어 강요하면 철수"

캐나다의 새로운 법안 'Bill C-22(합법적 접근법)'이 전 세계 기술 업계와 프라이버시 보호 단체들의 거센 반발을 불러일으키고 있습니다. 2026년 3월 게리 아난다상가리 공공안전부 장관이 발의한 이 법안은 수사 기관에 디지털 정보 접근 권한을 대폭 확대하는 내용을 담고 있지만, 비판론자들은 사실상의 암호화 백도어 강제와 대규모 데이터 감시를 위한 포석이라고 지적합니다.

이에 애플, 메타, 시그널 등 글로벌 빅테크 기업들은 물론, 노드VPN·익스프레스VPN 등 주요 VPN 서비스들이 "법안이 통과되면 캐나다 사업을 접겠다"는 초강수를 두며 공개 반발하고 나섰습니다. 미국 의회 지도부마저 미국인 개인정보 보호에 심각한 위협이 될 수 있다며 캐나다 정부에 경고장을 보내면서 파장은 더욱 커지고 있습니다.

무엇이 문제인가: '비밀 역량 명령'과 감시 권한의 확대

논란의 중심에는 법안 2부(Part 2)인 '정보에 대한 승인된 접근 지원법(Supporting Authorized Access to Information Act)'이 있습니다. 캐나다 정부는 이 법안이 1995년에 만들어진 낡은 통신 규칙을 현대화하기 위한 것이라고 설명하지만, 프라이버시 전문가들과 기술 기업들은 감시 권한이 지나치게 확대된다고 우려합니다 .

법안이 도입하는 주요 감시 메커니즘은 다음과 같습니다.

비밀 역량 명령(Secret Capability Orders). 공공안전부 장관은 전자 서비스 제공자에게 정부가 사용자 데이터에 접근할 수 있는 "운영 및 기술적 역량을 개발·구현·평가·테스트·유지"하도록 하는 비공개 명령을 내릴 수 있습니다 . 법적으로 기업은 이런 명령의 존재 자체를 공개하는 것이 금지됩니다 . 더 큰 문제는 이 법안에 '정부가 암호화를 우회하거나 무력화하는 것을 요구하는 것을 금지한다'는 명시적 조항이 없다는 점입니다. 이는 사실상 백도어 설치를 강제할 수 있는 여지를 남긴 것입니다 .

의무적 메타데이터 보관. 통신사, 인터넷 서비스 제공자(ISP), 메시징 앱, VPN 서비스를 아우르는 광범위한 '핵심 제공자(core providers)'들은 IP 로그, 접속 시간, 라우팅 데이터 등 사용자 메타데이터를 1년간 의무적으로 기록·보관해야 합니다 .

낮아진 데이터 접근 문턱. 경찰이 가입자 정보를 얻기 위해 더 이상 '믿을 만한 합리적 근거(reasonable grounds to believe)'가 필요하지 않습니다. 이 기준은 '의심할 만한 합리적 근거(reasonable grounds to suspect)'로 낮아져, 영장 없이도 훨씬 쉽게 개인 식별 데이터에 접근할 수 있게 됩니다 .

'선제적' 감시 영장. 판사는 "영장 발부 시점에 알려지지 않은 대상"과 관련된 추적 데이터나 전송 데이터까지 확보할 수 있는 영장을 승인할 수 있습니다. 이는 아직 특정되지 않은 대상에 대한 광범위한 사전 감시를 가능하게 합니다 .

CSIS의 정보 확인 권한. 캐나다 보안정보국(CSIS)은 통신 서비스 제공자에게 특정 가입자 정보를 보유하고 있는지 신속히 확인하도록 요구하는 '서비스 확인 요구(confirmation of service demands)' 권한을 갖게 됩니다 .

빅테크의 강경 대응: "백도어는 절대 안 된다"

주요 플랫폼들의 대응은 이례적으로 단호하고 공개적이었습니다.

애플은 로이터 통신을 통해 "악의적 행위자들의 사용자 정보 탈취 위협이 증가하고 있는 지금, Bill C-22는 애플이 사용자에게 제공하는 강력한 개인정보 보호 및 보안 기능을 제공하는 우리의 능력을 심각하게 훼손할 것"이라는 공식 입장을 발표했습니다. 애플은 특히 이 법안이 "캐나다 정부가 기업들에게 제품에 백도어를 삽입하도록 강제하여 암호화를 무력화하는 것을 허용할 수 있으며, 이는 우리가 결코 하지 않을 일"이라고 경고했습니다 .

메타 역시 애플의 공개 반대에 동참했으며, 2026년 5월 7일 의회 청문회에 출석해 증언했습니다. 메타는 법안의 광범위한 권한과 제한적인 감독 체계가 자사 플랫폼을 '정부의 스파이 도구'로 전락시킬 수 있다고 강하게 비판했습니다 . 메타는 의회에 기술 기업들이 자사 시스템에 제3자 감시 기능을 구축하도록 강제할 수 있는 조항들을 삭제할 것을 촉구했습니다 .

시그널은 가장 강경한 입장을 취했습니다. 전략 및 글로벌 업무 담당 부사장 우드바브 티와리는 암호화 메시징 서비스 시그널의 '무로그(no-logs) 구조'와 근본적으로 양립할 수 없는 메타데이터 보관 의무를 지키느니 "차라리 캐나다 시장에서 완전히 철수하겠다"고 밝혔습니다 .

VPN 업계의 줄철수 예고

이 법안의 메타데이터 보관 및 역량 명령 조항은 VPN 업계에서 전례 없는 반응을 촉발했습니다. '무로그' 구조가 서비스의 핵심인 이들에게 Bill C-22는 사용자와의 핵심 약속을 포기하거나, 캐나다 시장을 포기하는 양자택일을 강요하는 셈이며, 기업들은 캐나다를 떠나는 쪽을 선택하고 있습니다.

노드VPN은 법안이 원안대로 통과될 경우 캐나다에서 철수하겠다고 경고했습니다. 회사 측은 "의무 사항을 강제받는다면 우리의 무로그 구조나 암호화 보호를 손상시킬 수 있는 시나리오는 존재하지 않는다"며 "이를 방지하기 위해 캐나다 관할권 내 존재를 제한하거나, 필요시 완전히 제거하는 것을 포함한 모든 실행 가능한 옵션을 고려할 것"이라고 발표했습니다 .

윈드스크라이브는 토론토에 본사를 둔 VPN 업체로, CEO 예고르 사크는 캐나다 글로브 앤 메일과의 인터뷰에서 법을 준수하기보다는 본사를 캐나다 밖으로 이전하는 방안을 적극 검토 중이라고 말했습니다 .

익스프레스VPN은 공식 성명을 통해 "무로그 구조와 암호화는 협상의 대상이 아니다"라고 비판했습니다 .

프로톤VPN 역시 반대 대열에 합류하며, 무로그 정책을 폐기할 "어떤 경우의 수도 존재하지 않는다"고 밝혔습니다 .

미국 의회까지 나섰다: "미국인 개인정보 위험"

2026년 5월 7일, 미 하원 사법위원회 위원장 짐 조던(공화, 오하이오)과 하원 외교위원회 위원장 브라이언 매스트(공화, 플로리다)는 게리 아난다상가리 공공안전부 장관에게 공식 경고 서한을 보냈습니다 .

서한은 Bill C-22가 **미국 기술 기업들의 암호화를 약화시키도록 압박함으로써 "미국인의 개인정보 보호와 보안에 위험을 초래할 수 있다"**고 우려했습니다. 의원들은 특히 종단 간 암호화 제공자들이 "이 법안의 체계 아래에서 결국 자사 제품에 백도어를 만들라는 지시에 직면하게 될 것"이라고 경고했습니다 .

의원들은 서한에서 "현재 캐나다 의회에서 검토 중인 Bill C-22는 미국인의 보안과 데이터 프라이버시에 심각한 국경 간 위험을 초래하는 방식으로 캐나다의 감시 및 데이터 접근 권한을 대폭 확장할 것"이라고 적었습니다 .

또한 이 서한은 법안의 국경 간 데이터 공유 조항과 역외 적용 범위가 적절한 안전장치 없이 미국 시민의 정보를 캐나다의 데이터 보관 및 공유 규정에 노출시킬 위험을 지적했습니다 .

프라이버시 보호 단체들의 경고음

전자 프런티어 재단(EFF)은 Bill C-22를 "작년의 감시 악몽이 재포장된 버전"이라고 평가하며, 비밀 역량 명령이 "광범위한 감시 백도어"를 양산하고 의무적 메타데이터 보관이 수백만 캐나다인의 사생활을 침해할 것이라고 경고했습니다 .

캐나다의 저명한 프라이버시 학자 마이클 가이스트는 자신의 블로그에서 이 법안의 '체계적 취약점 격차(systemic vulnerability gap)' 문제를 지적했습니다. 그는 Part 2가 전자 서비스 제공자로 하여금 수사 대상뿐 아니라 모든 사용자에게 영향을 미칠 수 있는 약점을 유발하는 준법 아키텍처를 설계하도록 강제한다고 분석했습니다 . 또한 그는 기술 기업들의 캐나다 이탈 가능성에 대해 "미국이나 유럽에서는 적용되지 않는 명확한 프라이버시 및 보안 위험"에 기인한다고 진단했습니다 .

캐나다 정부의 대응과 논란의 현재

캐나다 정부는 이러한 비판에 반박하고 나섰습니다. 정부 관계자들은 기술 기업들이 "변명을 대고 있다"고 비난하며, 이 법안이 아동 성 착취, 인신매매, 조직범죄와 같은 중대 범죄만을 겨냥하고 있다고 강조했습니다 . 정부 배경 설명 자료는 Part 2가 통신 감청에 대한 새로운 법적 권한을 만드는 것이 아니라, 기존의 법적 명령을 준수할 수 있는 능력을 제공자들이 갖추도록 하는 데 초점을 맞춘 것이라고 주장합니다 .

그러나 이런 해명이 반대 여론을 잠재우진 못했습니다. Bill C-22는 2026년 4월 자유당의 다수 의석을 바탕으로 2차 독회를 통과했고, 5월부터 위원회 청문회가 시작되었습니다. 현재까지 12개 이상의 주요 기업들이 우려를 표명했으며, 일부는 캐나다 시장에서 서비스를 완전히 철수하겠다고 위협하고 있습니다 .

캐나다 정부는 이후 법안을 수정할 수 있다는 신호를 보냈지만, 구체적인 수정 범위는 여전히 불확실한 상태입니다 .