2026년 1월 8일, 에스토니아 대법원은 사건 번호 3-23-125에서 에스토니아 내 회사 등록 및 가상 오피스 서비스를 제공하는 모든 허가받은 신탁 및 기업 서비스 제공업체(TCSP)를 대상으로 2022년 말에 상당한 분량의 정보를 요구한 에스토니아 금융정보분석원(FIU 또는 Rahapesu Andmebüroo)의 포괄적 지침이 위법하다고 판결했습니다.
이 판결은 전체 AML(자금세탁방지) 감독 체계에 중요한 이정표가 되었으며, 합법적으로 운영되는 기업의 활동에 국가가 개입할 수 있는 범위를 명확히 했습니다. 에스토니아 대법원의 입장은 Postimees와 ERR를 비롯한 에스토니아 언론에서도 폭넓게 다뤄졌으며, 이는 이 판결이 전문가 집단뿐 아니라 더 폭넓은 공적 법률 논의에서도 중요하다는 점을 보여줍니다.
2026년 1월 에스토니아 대법원의 이 획기적인 판결로 이어진 소송 절차의 발의자 중 하나는 Eesti Firma OÜ의 모회사인 Ühinenud Õigusbürood OÜ였습니다. 소송의 목적은 AML/KYC(자금세탁방지/고객확인) 분야에서 허용되는 감독 권한의 한계에 관한 법적 확실성을 확보하고, 규제기관과 허가받은 기업 간의 관계에서 비례성 원칙을 수호하는 것이었습니다.
AML 감독과 대규모 자료 요청
2022년 12월, FIU는 허가받은 TCSP 322곳에 단일 지침을 발송하여 44개 문항으로 구성된 설문에 답변하도록 요구했습니다. 요청 범위는 내부 AML/KYC 절차부터 고객 구성, 활동의 지리적 범위, 재무 지표 및 제재 조치의 적용에 이르기까지 다양한 주제를 포괄했습니다.
규제기관은 해당 분야의 위험을 종합적으로 파악하고 위험 기반 AML 감독 체계를 구축할 필요가 있다는 점을 근거로 이러한 조치를 정당화했습니다. 그러나 이 요청은 구체적인 의혹이나 위반 또는 개별 조사와 연계되지 않았습니다. 요청은 예방적 성격이었으며 기업의 규모, 사업 모델 또는 위험 프로필과 관계없이 모든 시장 참여자에게 동일하게 적용되었습니다.
바로 이러한 접근 방식이 분쟁의 대상이 되었습니다. 이미 지침을 이행한 여러 기업은 합법적인 AML 감독과 과도한 행정 부담의 경계가 어디인지, 그리고 규제기관이 추상적인 위험 평가의 일환으로 기업에 이처럼 방대하고 분석적으로 복잡한 정보를 요구할 수 있는지에 대해 의문을 제기했습니다.
대법원의 핵심 법적 입장
대법원은 사건 번호 3-23-125를 심리하면서 금융 시스템을 보호하는 수단으로서 AML/KYC(자금세탁방지/고객확인) 조치의 중요성에 의문을 제기하지 않았습니다. 대신 감독기관 조치의 절차적 적법성과 법적 근거에 초점을 맞췄습니다.
FIU 기능의 구분
대법원은 에스토니아의 FIU가 서로 다른 두 가지 역할을 겸하고 있다고 지적했습니다. 한편으로는 의심스러운 거래를 분석하는 금융정보분석원(FIU)이며, 다른 한편으로는 의무대상자가 AML/KYC 요건을 준수하는지 감독하는 기관입니다.
이러한 역할은 법적 성격이 서로 다르며 각각 다른 법률 조항에 근거합니다. 금융정보 분석 업무를 수행하도록 FIU에 부여된 권한을 국가 감독에 자동으로 사용할 수는 없습니다. 규제기관은 감독 활동을 수행할 때 해당 목적을 위해 법률에 명시적으로 규정된 수단의 범위 안에서 엄격하게 행동해야 합니다.
핵심 오류인 잘못된 법적 근거
대법원은 FIU가 예방적 감독의 일환으로 민간기업에 대규모 정보 요청을 하기 위한 것이 아닌 법률 조항을 근거로 삼았다고 판단했습니다. 잘못된 법적 근거의 사용은 중대한 위반으로 간주되었으며, 명시된 목적과 관계없이 해당 지침을 위법하게 만들었습니다.
중요한 점은 대법원이 정보 수집 자체가 본질적으로 허용될 수 없다고 판단하지 않았다는 것입니다. 대법원은 AML/KYC 분야에서도 감독 조치에는 명확하고 구체적이며 적절한 법적 근거가 있어야 한다고 지적했습니다.
“등록부 우선, 그다음 기업” 원칙
대법원은 정보 출처에 특별한 주의를 기울였습니다. 예방적 AML 감독의 맥락에서 규제기관은 먼저 국가가 이미 보유하고 있거나 공식 등록부를 통해 이용할 수 있는 자료를 사용해야 합니다.
기업의 관여 없이 확보할 수 있는 정보를 기업에 요구하는 것은 허용되지 않습니다. 이러한 접근 방식은 비례성 원칙에 부합하지 않으며 규제기관이 수행해야 할 분석 업무를 부당하게 기업에 전가합니다.
자료와 “새로운 보고서”의 경계
이 판결에서 얻을 수 있는 가장 실질적인 시사점 중 하나는, 법률이 사전에 그러한 세부 자료의 작성을 요구하지 않았다면 정보 요청이 기업에 새로운 문서나 분석 요약을 작성하도록 하는 의무로 변질되어서는 안 된다는 판단입니다.
물론 기업은 자신의 활동에 관한 원천 자료를 보유하고 있습니다. 그러나 자료가 존재한다는 사실이 감독기관이 관심을 가질 수 있는 모든 세부 분류별 보고서를 미리 작성해 두어야 할 의무를 의미하지는 않습니다. 대법원은 AML 감독이 오로지 규제기관의 편의를 위해 기업에 복잡한 분석 자료를 소급하여 작성하도록 요구할 수 없다고 강조했습니다.
AML 감독의 필수 요소인 비례성
대법원은 해당 분야의 위험 평가라는 목표의 정당성을 인정하면서도 선택된 수단이 비례성을 결여했다고 지적했습니다. 개별 특성을 고려하지 않고 모든 시장 참여자에게 동일한 44개 문항을 요청한 것은 그 범위와 개입 정도가 과도한 것으로 판단되었습니다. 대법원의 견해에 따르면 AML 감독은 보편적이고 과도한 방식이 아니라 표적화되고 필요한 최소 수준에 그쳐야 합니다.
TCSP 및 FinTech 기업에 대한 판결의 실무적 중요성
TCSP뿐 아니라 AML/KYC 규제를 적용받는 FinTech 기업에도 이 판결은 실무적으로 중대한 영향을 미칩니다. **첫째**, 감독 관행의 예측 가능성이 높아집니다. 기업은 정보 요청이 정당한 근거를 갖추고 비례적이며 법적으로 타당할 것이라고 기대할 권리가 있습니다.
둘째, 이 판결은 컴플라이언스 절차를 내부적으로 더 체계화하도록 촉진합니다. 기업이 법률에 따라 유지해야 하는 자료와 오로지 내부 경영 목적으로 생성하는 자료를 구분하는 것은 규제기관과 소통할 때 매우 중요합니다.
셋째, 이 판결은 감독기관 자체에도 AML 감독의 효과를 유지하면서 법적으로 더욱 지속 가능한 체계를 마련해 줍니다. 표적화된 조사, 명확한 요청 근거 및 이용 가능한 정부 정보 출처의 활용은 향후 분쟁의 위험을 줄이고 시스템 전반에 대한 신뢰를 높입니다.
결론
2026년 1월 8일 자 에스토니아 대법원 판결은 AML/KYC 체계를 약화시키지 않습니다. 오히려 이를 한층 성숙하게 만듭니다. 대법원은 자금세탁과의 싸움이 비례성 원칙과 기업의 절차적 보장을 존중하면서 법률의 틀 안에서 이루어져야 한다는 점을 분명히 밝혔습니다.
허가받은 TCSP에 이 판결은 법적 확실성과 효과적인 감독이 서로 충돌하지 않는다는 점을 확인해 주었습니다. 규제기관에는 공익과 관련된 민감한 영역에서도 규제 권한에는 한계가 있음을 상기시켰습니다. 바로 이러한 균형이 에스토니아에서 기업이 발전할 수 있는 안정적이고 예측 가능하며 신뢰에 기반한 환경을 조성합니다.
