일보(一步) 전진을 위한 이보(二步) 후퇴: 클라우드 보안인증제도(CSAP)의 국제통상규범 합치성에 대한 연구 (A Study on the Consistency of the Cloud Security Assurance Program (CSAP) with International Trade Law)

서지정보

· 발행기관 : (사)한국국제경제법학회
· 수록지 정보 : 국제경제법연구 / 22권 / 2호 / 7 ~ 39페이지
· 저자명 : 곽동철

초록

본 연구는 민간 클라우드 공급업체가 한국의 공공클라우드 부문 진출 시 필수적으로 획득해야 하는 클라우드 보안인증제도(CSAP)가 국제통상규범에 합치하는지를 검토한다.
이를 위해 우선 절차적 쟁점과 관련하여 CSAP가 WTO 개정 정부조달협정(GPA) 및 한미FTA 정부조달챕터의 적용대상인지를 판단해야 한다. CSAP는 조달기관 요건, 양허하한선 요건, 양허 서비스 요건을 모두 충족하고 양허 제외 서비스에 해당되지 않아 GPA와 한미FTA의 실체적 규범의 적용을 받는다. 이어 CSAP의 주요 요건인 망분리 요건, 데이터 및 인력 현지화 요건, 검증필 국가표준 암호화 기술 사용 요건이 GPA의 실체적 규범인 비차별 의무, 국제무역에 불필요한 장애를 초래하지 않을 의무, 국제표준과의 조화 의무, 참가조건 한정의 의무에 위반되지 않는지를 검토한다. GPA의 실체적 규범을 직접적으로 다룬 WTO 분쟁사건은 아직까지 없다. 따라서 본 연구에서는 유사한 규범이 쟁점이 된 WTO 판결의 법리를 유추적용하여 사안을 판단할 수밖에 없다. 분석 결과, CSAP는 무역협정의 비차별 의무, 국제무역에 불필요한 장애를 초래하지 않을 의무, 참가조건 한정의 의무를 위반할 가능성이 큰 것으로 나타났다. 반면 검증필 암호화 기술 사용 요건의 경우 국제표준과의 조화 의무를 명시적으로 위반하지는 않지만 기술선택의 유연성 차원에서 통상갈등의 소지를 안고 있는 것으로 판단된다. 안보상 예외를 주장할 수도 있겠으나, 안보 예외 규정에 대한 최근 WTO 분쟁해결기구의 태도와 CSAP의 특성을 고려할 때 안보 예외로 인정받을 가능성도 적다. 결국 CSAP는 GPA와 한미FTA의 실체적 규범을 위반하여 외국 클라우드 공급업체를 불합리하게 차별하는 조치라고 판단된다.
최근 논리적 망분리가 일부 허용되면서 공공클라우드 조달시장에 일보(一步) 진전이 있었지만 인력 현지화 요건이 추가되면서 클라우드 서비스의 통상환경은 오히려 이보(二步) 후퇴하였다. 초연결 시대에 디지털플랫폼정부를 완성시키고 산업의 디지털전환을 효과적으로 이루기 위해서는 정부조달 분야에서도 개방적인 디지털정책이 바람직하다. CSAP에 대한 법제도적 연구뿐만 아니라 국내 클라우드 공급업체의 기술혁신과 해외진출 전략에 대한 연구도 꾸준히 이루어져야 한다.

영어초록

This study evaluates whether the Cloud Security Assurance Program (CSAP), mandated for private cloud providers entering the public cloud sector in Korea, is consistent with international trade rules. Initially, we assess whether CSAP falls within the scope of the revised WTO Government Procurement Agreement (GPA) and the Government Procurement Chapter of the KORUS FTA. Our findings indicate that CSAP meets the criteria for procuring entities, value thresholds, services specified, and non-exclusionary services, thereby subjecting it to the substantive rules of the GPA and the KORUS FTA.
Subsequently, we examine CSAP’s key requirements–network separation, data and personnel localization, and the use of certified national standard encryption technologies–concluding that they do not comply with GPA obligations of non-discrimination, avoiding unnecessary obstacles to international trade, and participation conditions. Although the use of national standard encryption does not explicitly breach international standards harmonization, it could potentially conflict with the principle of technological flexibility. Arguments could be made for national security exceptions, but recent WTO dispute cases and CSAP’s characteristics suggest limited scope for such exceptions. Ultimately, CSAP is deemed discriminatory against foreign cloud providers, violating GPA and KORUS FTA rules.
The recent introduction of logical network separation has reduced burden on global cloud providers, but the added personnel localization requirements have diminished the competitiveness of the cloud services trade environment. For an effective digital platform government and industrial digital transformation, an open digital policy in government procurement is recommended. Further research should explore both CSAP’s legal aspects and strategies for domestic cloud providers’ technological innovation and international expansion.

참고자료

· 없음