VPN은 합법적 기술 도구다: 안네 프랑크 일기 지오블로킹 판결이 세운 기술 중립성의 경계

VPN 은 한 사용자의 우회를 이유로 함께 책임을 지는 저작권 침해의 통로인가, 아니면 전화선이나 도로처럼 그 합법성이 개별 사용자의 오용에 좌우되지 않는 중립적 기반 시설인가.

도입 — 60 개국의 공유 자산, 한 나라의 잠긴 저작물

안네 프랑크의 일기는 20 세기 문헌 중 가장 널리 읽힌 텍스트에 속하지만, 그 법적 지위는 나라마다 다르다. 벨기에를 비롯한 약 60 개국에서 이 텍스트는 이미 퍼블릭 도메인 (public domain), 즉 저작권이 소멸한 공유 자산이다. 그러나 원저작물의 본국인 네덜란드에서는 여전히 2037 년까지 저작권으로 보호된다. 저작권 보호 기간이 EU 안에서조차 완전히 통일돼 있지 않은 탓에, 하나의 텍스트가 국경을 사이에 두고 어떤 곳에서는 자유롭고 어떤 곳에서는 잠겨 있는 상태가 만들어진다.

암스테르담의 안네 프랑크 재단 (Anne Frank Stichting) 은 안네 프랑크의 원본 필사본을 온라인에 공개하면서, 저작물이 아직 보호되는 나라에서의 접근을 막기 위해 지오블로킹 (geo-blocking) 을 걸었다. 바젤에 근거를 둔 저작권 재단 안네 프랑크 폰트 (Anne Frank Fonds) 는 이 지오블로킹이 불충분하다고 주장했다. VPN 하나면 우회할 수 있으니, 결국 네덜란드에서도 저작물이 공중에 전달된 것과 다름없다는 논리였다. 이 다툼은 네덜란드 대법원 (Hoge Raad) 을 거쳐 EU 최고 법원인 유럽사법재판소 (CJEU) 로 올라갔고, 2026 년 7 월 재판소는 하나의 선례를 남겼다. 지오블로킹은 완벽하지 않아도 법적으로 충분한 보호 조치이며, VPN 사업자는 그 우회를 이유로 저작권 침해자가 되지 않는다는 것이다. 이 판결이 며칠 뒤 Hacker News 첫 페이지에 올라 677 점을 모으며 그 주 가장 많이 논의된 비 (非) AI 기술 뉴스가 된 것은 우연이 아니다. 엔지니어 커뮤니티가 오래 붙들어 온 ‘이중 용도 기술의 책임’ 문제를, EU 최고 법원이 정면으로 건드렸기 때문이다.

현상 — 두 개의 판시: 지오블로킹과 VPN 중립성

먼저 사실관계를 확정한다. 이 사건의 정식 명칭은 유럽사법재판소 C-788/24 사건 (ECLI:EU:C:2026:559) 으로, 항소인은 스위스 바젤의 안네 프랑크 폰트, 피항소인은 암스테르담의 안네 프랑크 재단과 관련 기관들이다. 네덜란드 대법원이 EU 저작권법의 해석을 묻는 선결적 판단 (preliminary ruling) 을 재판소에 부탁한 형태다. 쟁점의 법적 뿌리는 2001 년 정보사회 저작권 지침 (InfoSoc Directive, 2001/29/EC) 제 3 조가 정한 ‘공중 전달권 (right of communication to the public)’ 이다. 저작권자는 자기 저작물이 공중에 전달되는 것을 허락하거나 금지할 배타적 권리를 갖는데, 핵심 쟁점은 온라인 공개에 지오블로킹을 건 퍼블리셔가 여전히 보호되는 나라의 공중에게 저작물을 ‘전달’한 것으로 볼 수 있느냐였다.

재판소의 첫 번째 판시는 지오블로킹에 관한 것이다. 최신 기술 수준 (state-of-the-art) 의 지오블로킹을 적용한 퍼블리셔는, 일부 사용자가 VPN 으로 그것을 우회하더라도 보호국에서의 저작권 침해 책임을 지지 않는다. 재판소의 표현을 그대로 옮기면, “그러한 우회의 가능성은, 그 자체로 그리고 모든 상황에서, 해당 조치를 부적절하다고 판단하는 결정적 요소가 될 수 없다 (the possibility of such circumvention cannot, in itself and in all circumstances, be a decisive factor in finding those measures to be inadequate)”. 결정적인 것은 접근이 기술적으로 가능한가가 아니라 퍼블리셔가 그것을 접근 가능하게 만들었는가다. 재판소는 더 엄격한 통제를 요구하는 것은 “퍼블릭 도메인 국가의 사용자에 대한 자유로운 접근을 불균형하게 제한할 것 (would disproportionately restrict free access for users in public-domain countries)” 이라며 물리쳤다.

두 번째 판시는 VPN 사업자의 지위에 관한 것이다. 재판소는 VPN 이나 유사 서비스의 제공자가 저작권 침해자로 취급될 수 없다고 못박았다. “VPN 또는 유사 서비스의 제공자는 (…) 저작물을 공중에 전달한 것으로도 볼 수 없다 (The provider of a VPN or similar services … cannot be regarded as also having communicated the work to the public)”. 사용자가 그 VPN 으로 지오블로킹을 넘어 보호 저작물에 접근했다 해도, 그 우회 행위의 저작권법적 책임이 도관 (導管) 을 제공한 사업자에게 전가되지 않는다는 뜻이다. 이 판결은 27 개 전 회원국 법원에 즉시 구속력을 갖는, 이런 종류로는 EU 최고 법원의 첫 선례로 평가된다. 두 판시를 한 문장으로 묶으면 이렇다. 퍼블리셔는 성실한 지오블로킹으로 책임을 벗고, VPN 사업자는 중립적 도구의 제공자로 책임을 벗으며, 남는 책임은 오직 그 벽을 스스로 넘은 개별 사용자에게로 돌아간다.

심층 — ‘공중 전달’ 도리, 이중 용도 기술, 그리고 공유 자산의 지리적 분열

이 판결의 무게를 이해하려면 ‘공중 전달’이라는 개념이 지난 10여 년간 유럽사법재판소에서 어떻게 다뤄져 왔는지를 봐야 한다. InfoSoc 지침 제 3 조 제 1 항의 ‘공중 전달’은 두 요소로 분해된다. 저작물의 ‘전달 행위 (act of communication)‘가 있어야 하고, 그 전달이 ‘공중 (public)‘을 향해야 한다. 여기에 재판소는 판례를 통해 ‘새로운 공중 (new public)‘이라는 기준을 덧붙여 왔다. 저작권자가 애초에 염두에 두지 않았던 새로운 수신자층에 도달할 때 비로소 별도의 허락이 필요한 전달이 성립한다는 논리다.

이 ‘새로운 공중’ 기준이 정면으로 시험된 무대가 하이퍼링크 사건들이었다. 2014 년 Svensson 판결 (C-466/12) 에서 재판소는, 저작권자의 동의 아래 이미 자유롭게 접근 가능한 저작물로 연결되는 링크는 새로운 공중에 도달하지 않으므로 별도의 공중 전달이 아니라고 판단했다. 2016 년 GS Media 판결 (C-160/15) 은 여기에 인식과 영리성이라는 변수를 더했다. 불법으로 게시된 저작물로 연결하는 링크의 경우, 링크 제공자가 그 불법성을 알았는지, 영리 목적이었는지에 따라 책임이 갈린다는 것이다. 요컨대 재판소는 오래전부터 ‘전달의 기술적 경로’가 아니라 ‘누구에게, 어떤 인식으로 도달했는가’를 책임의 축으로 삼아 왔다.

안네 프랑크 판결은 이 계보를 지리적 접근 통제의 영역으로 확장한다. 지오블로킹으로 보호국을 차단한 퍼블리셔는, 그 나라의 공중을 애초에 수신자층에서 배제한 것이다. VPN 우회로 몇몇 사용자가 그 벽을 넘는다 해도, 그것은 퍼블리셔가 의도한 ‘전달’이 아니라 사용자 개인이 만들어 낸 접근이다. 여기서 판결의 핵심 원리가 드러난다. 기술 중립성 (technology neutrality), 혹은 이중 용도 (dual-use) 도구의 원칙이다. VPN 은 재택근무자의 사내망 접속, 언론인의 취재원 보호, 검열 회피, 그리고 지오블로킹 우회까지 무수한 용도로 쓰인다. 도구 자체는 합법이며, 그 합법성은 특정 사용자가 그것을 어떻게 오용하는가에 좌우되지 않는다. 전화선을 이용해 범죄를 모의했다고 전화 회사가 공범이 되지 않고, 고속도로에서 과속했다고 도로 관리자가 책임지지 않는 것과 같은 논리다.

동시에 이 판결은 지오블로킹을 ‘완벽하지는 않지만 법적으로 충분한’ 보호 조치로 승인했다. 이 지점이 미묘하다. 저작권자는 종종 ‘우회 가능한 보호는 보호가 아니다’라고 주장하지만, 재판소는 그 논리를 거부했다. 어떤 기술적 방벽도 절대적으로 뚫리지 않을 수는 없으며, 뚫림의 가능성을 이유로 조치를 무효화하면 사실상 달성 불가능한 완벽성을 요구하게 된다. 그 대신 재판소는 ‘최신 기술 수준’이라는 합리성 기준을 세웠다. 퍼블리셔가 당대의 표준적 지오블로킹을 성실히 적용했다면, 그 책임은 거기서 멈춘다. 다만 이 기준은 새로운 물음을 낳는다. 무엇이 ‘최신 기술 수준’인가. VPN 탐지 기술은 계속 진화하고, 우회 기술도 함께 진화한다. 퍼블리셔에게 요구되는 방어 수준이 상대의 우회 능력에 따라 계속 올라간다면, 이는 저작권자와 사용자 사이의 끝없는 군비 경쟁 (arms race) 을 법적으로 제도화하는 셈이 된다.

가장 깊은 층위의 역설은 저작물 자체에 있다. 하나의 역사적 텍스트가, 그것도 인류 공통의 기억에 속하는 문헌이, 약 60 개국에서는 자유로운 공유 자산이면서 정작 그것이 쓰인 나라에서는 2037 년까지 잠겨 있다. 저작권이 EU 안에서조차 완전히 조화 (harmonization) 되지 않았기 때문에 벌어지는 일이다. 보호 기간, 저작자 사망 기점, 사후 발견 저작물의 취급이 나라마다 달라, 같은 텍스트의 법적 운명이 국경에서 갈린다. 지오블로킹은 이 지리적 분열을 인터넷 위에 그대로 복제하는 장치다. 국경 없는 매체 위에 국경을 다시 그리는 것이다. 판결은 이 분열 자체를 해소하지 않는다. 다만 그 분열을 관리하는 기술적 조치를 법적으로 정당한 것으로 인정할 뿐이다.

Hacker News 의 토론도 이 여러 층위를 오갔다. 다수 참여자는 기술 중립성 원칙을 환영했다. 도구의 합법성이 한 사용자의 오용으로 부정되지 않는다는 상식이 마침내 최고 법원의 언어로 확인됐다는 것이다 (직접 인용이 아니라 공감 코멘트의 정서 요약). 동시에 일부는 이 판결이 실은 퍼블리셔에게 ‘최신 기술 수준’의 지오블로킹을 실제로 배치할 의무를 은근히 지운다는 점을 짚었다. 무엇이 그 기준을 충족하는지, 그리고 그것이 우회 기술과의 군비 경쟁을 부르지 않는지에 대한 우려였다 (마찬가지로 개별 발언의 인용이 아니라 스레드에 흐른 문제의식의 요약). 또 다른 이들은 판결의 법리보다 그 배경에 놓인 기이함 — 한 역사적 텍스트가 60 개국에서는 공유 자산이면서 본국에서는 2037 년까지 잠겨 있다는 사실 — 그 자체를 더 근본적인 문제로 꼽았다.

전망 — VPN 사업자, 퍼블리셔, 그리고 지역 제한을 설계하는 엔지니어

이 판결의 실무적 파장은 세 집단에서 서로 다르게 나타난다. 첫째, VPN 사업자에게 이 판결은 방어선의 명문화다. 그동안 VPN 은 ‘프라이버시 도구’와 ‘저작권 침해의 온상’ 사이 어딘가에서 법적으로 애매한 위치에 있었다. 재판소가 VPN 을 명시적으로 중립적 기술 도구로 규정함으로써, 사업자는 사용자의 개별 우회 행위에 대해 공중 전달의 공범으로 끌려 들어갈 위험이 크게 줄었다. 다만 이 방어선이 무한하지는 않다. 판결은 VPN 을 ‘전달자’로 보지 않았을 뿐, 사업자가 침해를 적극적으로 조장하거나 그것을 주된 사업 모델로 삼는 경우까지 면책한다고 읽기는 어렵다. GS Media 가 링크 제공자의 인식과 영리성을 변수로 삼았듯, VPN 사업자의 책임도 그가 무엇을 알고 무엇을 부추겼는가에 따라 다시 문제될 여지가 남는다.

둘째, 퍼블리셔에게 이 판결은 안도이자 부담이다. 안도인 이유는, 지오블로킹을 성실히 적용하기만 하면 우회 사용자 한 명 한 명을 쫓을 필요 없이 책임에서 벗어난다는 점이 확정됐기 때문이다. 부담인 이유는, 그 면책이 ‘최신 기술 수준’이라는 열린 기준에 걸려 있기 때문이다. 값싼 IP 기반 차단만 걸어 두고 면책을 기대할 수는 없게 됐다. 상용 지오블로킹 서비스, VPN·프록시 탐지, 주기적 갱신이 사실상의 최소 기준으로 굳어질 수 있다. 즉 이 판결은 퍼블리셔의 책임을 ‘결과 (아무도 우회 못 하게 하라)‘에서 ‘노력 (당대 표준을 성실히 적용하라)‘으로 옮기되, 그 노력의 수준을 계속 끌어올릴 여지를 남겼다.

셋째, 지역 제한을 설계하는 엔지니어에게 이 판결은 드물게도 법과 아키텍처가 만나는 지점을 보여 준다. 지오블로킹은 완벽할 수 없고, 완벽할 필요도 없다는 것이 법적으로 확인됐다. 엔지니어의 목표는 ‘절대적 차단’이 아니라 ‘당대 표준에 부합하는 합리적 차단’으로 재정의된다. 이는 방어적 설계에 현실적인 기준점을 준다. 동시에 ‘최신 기술 수준’이 유동적이라는 사실은, 한 번 구축하면 끝나는 정적 시스템이 아니라 지속적으로 갱신되는 프로세스로 지역 제한을 다뤄야 함을 뜻한다. 접근 통제의 로그와 갱신 이력을 남겨 ‘성실함’을 증명 가능하게 만드는 것이, 법적 안전지대를 유지하는 실무적 조건이 된다.

전망은 세 갈래로 갈린다. 낙관적 시나리오에서 이 판결은 기술 중립성의 튼튼한 방벽이 된다. 도구의 합법성과 사용의 위법성을 분리하는 원칙이 VPN 을 넘어 다른 이중 용도 기술 — 암호화, 익명화, 탈중앙 네트워크 — 로 확장되며, 인프라 제공자가 사용자의 오용을 이유로 처벌받지 않는다는 상식이 EU 법 전반에 뿌리내린다. 비관적 시나리오에서는 ‘최신 기술 수준’이라는 열린 기준이 군비 경쟁의 방아쇠가 된다. 저작권자는 더 강한 차단을 표준으로 밀어붙이고, 그 표준을 충족하지 못한 퍼블리셔는 면책을 잃으며, VPN 탐지와 우회의 무한 순환에 자원이 소모된다. 현실적 시나리오는 그 사이 어딘가다. 판결은 VPN 사업자와 성실한 퍼블리셔에게 분명한 안전지대를 그어 주지만, ‘성실함’의 경계는 앞으로의 후속 판례와 각국 법원의 적용을 통해 사례별로 다시 그어질 것이다.

결론 — 도구는 중립이고, 책임은 사용에 있다

도입에서 던진 질문으로 돌아간다. VPN 은 저작권 침해의 통로인가, 중립적 기반 시설인가. 유럽사법재판소의 답은 분명하다. VPN 은 전화선이나 도로와 같은 합법적 기술 도구이며, 그 합법성은 한 사용자가 그것을 어떻게 쓰는가에 좌우되지 않는다. 도구는 중립이고, 책임은 그것을 오용한 개별 사용에 있다. 이 분리는 새로운 발명이 아니라, 재판소가 하이퍼링크 판례에서 다듬어 온 ‘전달의 경로가 아니라 도달의 방식과 인식을 본다’는 원칙의 자연스러운 연장이다.

그러나 판결은 두 번째 문장을 함께 남겼다. 도구가 중립이라는 것이 퍼블리셔가 아무것도 하지 않아도 된다는 뜻은 아니다. 지오블로킹이라는 성실한 조치를 당대 표준에 맞춰 배치한 자만이 면책의 안전지대에 들어선다. 완벽성은 요구되지 않지만, 성실함은 요구된다. 그리고 그 ‘성실함’의 기준이 유동적인 한, 이 판결은 다툼의 종결이 아니라 새로운 다툼의 좌표계다. 무엇이 ‘최신 기술 수준’인지, 그 수준이 우회 기술과 함께 얼마나 높아질 수 있는지는 앞으로의 사건들이 채워 갈 빈칸으로 남는다.

가장 오래 남을 것은 아마 판결의 법리가 아니라 그것이 비춘 풍경일지 모른다. 국경 없이 설계된 매체 위에, 저작권이라는 국경이 여전히 그어져 있다. 한 소녀의 일기가 어떤 나라에서는 인류의 공유 자산이고 어떤 나라에서는 2037 년까지 잠긴 사유 재산이다. 재판소는 이 분열을 해소할 수 없었고, 다만 그 위에서 중립적 도구를 어떻게 다룰지에 관한 규칙 하나를 세웠다. 도구는 탓하지 않되, 그것을 쓰는 손과 그것을 두른 벽을 함께 본다는 규칙이다.

출처: