EU가 사적 메시지 스캔을 되살린다, 종단암호화를 팔던 전제가 흔들린다

무슨 일이 있었나

유럽의회가 2026년 7월 7일 표결에서 331대 304로 긴급 절차를 채택했다. 위원회 심사 단계를 건너뛰고 곧장 본회의로 가는 길이다. 이 절차로 7월 9일 목요일에 임시 메시지 스캔 규정을 되살리는 표결이 잡혔다. 부결하려면 반대표가 아니라 재적 과반인 361표가 필요하다. 그냥 다수결이 아니라 절대다수를 모아야 막을 수 있다는 뜻이라, 반대 진영에 불리한 구조다.

되살리려는 건 플랫폼이 아동 성착취물(CSAM)을 찾기 위해 이용자 통신을 스캔하도록 허용하던 임시 규정이다. 이 규정은 지난 3월 의회가 연장을 부결(반대 311·찬성 228·기권 92)하면서 2026년 4월 초 만료됐고, 그 순간 지메일·메신저·인스타그램·왓츠앱·아이클라우드 메일·스냅챗 같은 서비스가 자발적 스캔의 근거로 삼던 ePrivacy 예외가 사라졌다. 이번 표결은 그 예외를 2028년까지 다시 켜자는 것이다. 그 사이 상설 규정인 CSAR(이른바 ‘채팅 컨트롤 2.0’)은 2022년부터 다섯 차례 3자 협상을 거치고도 멈춰 있다. 이사회는 7월 초 자체 협상안을 승인하며 혐의와 무관한 광범위 스캔, 즉 기기 단에서 콘텐츠를 검사하는 방식을 밀고 있고, 의회는 사법 승인을 받은 특정 용의자 대상 탐지 명령으로 좁히려 한다. EU 법률국은 6월에 ‘자발적’이라 해도 합리적 혐의와 사전 사법 승인 없는 일반 스캔은 EU 기본권 헌장 7조를 위반할 수 있다고 경고했다.

창업자에게 의미하는 것

메시징이나 프라이버시를 파는 제품에서 종단암호화는 오래도록 차별점이었다. “우리는 당신의 메시지를 읽을 수 없다”가 세일즈 문구이자 신뢰의 근거였다. 기기 단 스캔은 그 문구의 뿌리를 건드린다. 메시지가 암호화되기 전, 이용자 기기 위에 검사기를 심어 콘텐츠를 훑는 방식이기 때문이다. 암호화는 그대로 있는데 검사는 암호화 앞단에서 끝나므로, “못 읽는다”는 약속이 법의 예외 조항 앞에서 조건부가 된다. 위협 모델도 바뀐다. 이제 막아야 할 대상은 외부 공격자만이 아니라, 규제가 당신 스택 안에 넣으라고 요구하는 검사기까지다.

당장 이번 표결이 되살리는 건 의무가 아닌 ‘자발적’ 스캔이다. 그러나 자발적이 곧 사실상의 기대치로 굳는 흐름을 EFF와 규제 관측자들이 이미 지적한다. 안 하는 서비스가 문제 있는 서비스로 비치는 순간, 자발은 이름만 남는다. EU 이용자를 상대하는 팀이라면 탐지 명령, 연령 확인, 해시 대조 의무가 언제든 제품 위에 얹힐 수 있다고 봐야 한다. 더 큰 리스크는 불확실성 자체다. 규정이 만료됐다가 되살아나고, 긴급 절차로 심사를 건너뛰고, 법적 근거가 몇 달 새 뒤집힌다. EU의 사적 통신에 발을 걸친 제품이라면 이 요동 자체가 로드맵을 흔드는 변수다. 온디바이스 전용, 서버에 키 없음, 메타데이터 최소화 같은 설계로도 기기 단 스캔 의무는 피해 가지 못한다는 점이 특히 뼈아프다.

지금 취할 수 있는 행동

EU를 상대하는 메시징·프라이버시 제품이라면, 임시 자발적 규정과 상설 CSAR의 탐지 명령 두 갈래 아래에서 제품이 어디에 놓이는지 지금 지도로 그려라. 종단암호화가 절대 타협 불가한 약속인지, 규제에 따라 조정 가능한 기능인지부터 팀 안에서 못박아야 한다. 데이터 흐름을 문서로 정리해두면, 탐지 명령이나 연령 확인 요구가 실제로 오더라도 전면 재설계 없이 대응할 수 있다. 7월 9일 표결 결과와 CSAR 협상 라운드는 계속 추적하되, 결과에 베팅하지 말고 두 시나리오 다 견디는 구조를 먼저 짜라. 규제를 리스크로만 보지 않는 길도 있다. 검사 없음을 검증 가능하게 증명하는 서비스에 기꺼이 값을 치를 이용자층이 있고, 반대로 스캔이 의무인 관할이 생긴다. 이 갈림을 세그먼트로 잡는 팀이 규제가 흔들리는 몇 년을 기회로 바꾼다.