[스위스 정책 이슈] Proton 자사 인프라 일부 독일로 이전 중

Proton이 자사 인프라 중 일부를 독일로 옮긴다네요. 저번에 알려드렸던 스위스 개인정보보호 관련 법 개정 문제가 사회적 이슈로 커지면서 Proton이 최소한의 액션을 보이는 것으로 보이네요. “니네 법 개정하면 우리 회사 진짜로 옮길거야.” 이런 메세지겠죠.

하지만 스위스 정부 입장에서 봤을때 법을 이렇게 개정하는 이유가 있을거예요. 사회적 반발이 있음에도 불구하고 법이 개악되는 것을 진행한다면, 바꿨을때 얻는게 더 크다고 계산했기 때문일텐데요. Proton AG가 스위스 기업들 중에서 비중이 크지 않은 중소기업 수준이라 큰소리가 얼마나 먹힐지는 모르겠습니다.

2023년

2023년에도 한번 스위스 개인정보보호법 개정이 있었어요. 개정 연방 데이터 보호법(revFADP)이 시행되며 2023년 9월 1일부터 기업들이 준수하도록 했습니다. EU GDPR 수준과 정합성을 확보하기 위함이었죠.

당시에도 반대 목소리가 있었는데, 스위스가 EU에 속하진 않지만 산업에서 매우 큰 비중을 차지하는 것중 하나가 금융 허브 부분인데 글로벌 표준 혹은 EU 표준에 부합하는 규제가 있어야 산업 경쟁력을 유지하는데 유리하다고 판단한 것 같습니다. (이 부분은 제가 전문가가 아니므로 일개 블로거의 의견으로만 들어주세요.)

당시에도 정부는 ‘투명성’이라 이야기하고, Proton 등 반대 측에서는 ‘감시 권한 확대’라고 이야기했습니다. 결론은 반대 목소리가 강했지만 개정되었죠.

2025년

제가 이전에 작성했던 [스위스 개인정보보호법 개정 관련 글]을 읽어주세요. 꽤 기준이 빡빡합니다. Proton AG 서비스 뿐만 아니라 스위스에서 관련 사업하는 회사들 중에서 규모가 좀 있는 곳들은 다 적용되거든요.

IP 주소, 메타데이터 등을 최대 6개월 보관(retention), 암호화에 대한 복호화 키 요구 등에 대한 법이 생기는거라 거의 사형선고나 다름없습니다.

프로톤이 우리 떠날거야! 라고 으름장 놓는게 아니라 저 법이 시행되면 어쩔수없이 다른 나라로 떠나야합니다. 이렇게 하나둘씩 변하면 결국 데이터 보관법(Data retention)이 없는 국가에 위치한 NordVPN, ExpressVPN 같은 회사는 웃음을 감출 수 없게 되겠네요.

하지만 의견 수렴 과정에서 반대 우려가 꽤 심했다고해요. 그래서 법안 수정이나 조정이 가능할거라는 목소리가 나오고 있습니다.

Proton “독일 간다고 장난 아니야”

이미 7월에 Proton 블로그를 통해서 한번 언급했던 내용입니다.

“스위스의 법적 불확실성, 대규모 감시를 피하기 위해 Proton은 자사의 물리적 인프라 대부분을 스위스 밖으로 이전할 계획이며 Lumo AI가 그 첫 번째 제품이 될 것“이라 이야기 했습니다. 초기 버전이라 그런지 Lumo AI 짧은 사용기를 썼는데 아직은 쓸만하진 않더라고요.

겸사겸사 이제 막 시작한 서비스 하나를 선발대로 보낸 것 같습니다. 작은 몸부림이자 위험 분산을 위한 액션으로 보입니다.

Proton AG 역시 머리가 복잡할 거예요. 지금까지 “강력한 스위스 개인정보보호법”이 마케팅의 가장 중요한 한 축이었는데 대들보 하나가 무너지면서 기반까지 흔들려 완전 이주해야할 상황이 되었거든요. 과연 스위스가 강행할까요?

과연 독일로 이전하면 다 해결될까요? 지금 EU 전체의 움직임이 심상치 않습니다. 현재 저는 Tuta 메일을 잘 사용하고 있어서 EU 법안 개정까지 관심을 반강제로 갖게 되었습니다. 어느정도의 통제와 감시는 거스를 수 없는 큰 파도가 되어가는 것 같습니다. 텔레그램 CEO가 두들겨 맞은 것이 시작일지도 모르겠네요.