스리랑카는 더 이상 iGaming 트렌드를 침묵 속에 지켜보지만은 않습니다. 스리랑카 정부는 2025년 12월 SiGMA 남아시아 첫날, 도박 규제 당국(GRA)을 공식적으로 설립했습니다. GRA의 창설은 디지털 시대에 적합하지 않은 법률 아래 운영되어 온 수년 뒤에 이루어진 조치입니다. 당국자들은 스리랑카 카지노 이용자의 60-70%가 온라인으로 게임을 즐기고 있지만, 온라인 카지노 운영은 여전히 미등록 상태이며 세금도 부과되지 않고 있다고 밝혔습니다.
스리랑카 디지털 경제부(MoDE)의 정보통신기술(ICT) 국장인 Chanaki Mallikarachchi는 이러한 기반이 구체적으로 어떤 모습이어야 하는지 고민하는 인물 중 한 명입니다. SiGMA 뉴스와의 독점 인터뷰에서 그녀는 기술적이고 심도 깊으며, 본질적으로는 매우 원칙적인 비전을 제시했습니다.
GRA는 규제하고, MoDE는 지원한다
Mallikarachchi의 입장은 명확했습니다. MoDE는 도박 규제 기관이 아니라는 점입니다. 그녀는 “가장 중요한 원칙은 기관 간의 분리입니다. GRA는 규제하고, MoDE는 지원합니다. 이러한 분리가 거버넌스의 무결성을 보호합니다”라고 말했습니다.
실질적으로 MoDE의 역할은 디지털 중추를 구축하는 것입니다. 라이선스 신청 워크플로우와 운영사 온보딩을 위해 금융정보분석원(FIU), 국세청, 스리랑카 중앙은행 등의 조직과 연계된 규제 기술(RegTech) 스택, 감독 대시보드 및 API 기반 거래소를 개발하는 것입니다.
전문가들은 온라인 도박을 효과적으로 규제하기 위해 GRA가 기술 우선 원칙을 가져야 하며, 이를 실무적으로 이해하는 디지털 인프라 파트너가 필요하다고 강조했습니다. Mallikarachchi의 부처는 바로 그 파트너로서 자리매김하고 있습니다.
Mallikarachchi의 핵심 메시지는 게임을 위해 구축되는 그 무엇도 고립된 상태로 만들어져서는 안 된다는 것이었습니다. 그녀는 “이 섹터를 위해 개발된 모든 인프라는 독립적인 도박 플랫폼으로 취급되기보다 스리랑카의 더 넓은 디지털 공공 인프라 아젠다와 일치해야 합니다”라고 언급했습니다.
실질적인 구속력을 갖춘 연령 확인
관광 연계형 게임 산업은 민감한 질문을 던집니다. 사용자를 완전히 쫓아버리는 관료주의적 악몽을 만들지 않으면서 어떻게 신원, 연령, 출신지를 확인하느냐는 것입니다.
Mallikarachchi의 답변은 단호했습니다. 그녀는 “연령 보증을 단순히 체크박스 하나 표시하는 가벼운 절차로 취급해서는 안 됩니다. 강력한 신원 증명, 연령 확인, 고위험 거래에 대한 반복적인 검증, 그리고 실패에 대한 운영사의 책임이 수반되어야 합니다”라고 설명했습니다.
그녀는 이러한 통제 수단이 은행, 정부 플랫폼 및 기타 규제된 민간 부문 사례에서 재사용될 수 있는 국가적 신뢰 서비스여야 한다고 주장했습니다.
또한 “이는 마찰 없는 엔터테인먼트 앱 경험을 만드는 것보다 스리랑카의 문화적 정서에 더 부합합니다”라고 덧붙였습니다.
데이터 거버넌스: 언제나 프라이버시 우선
디지털 게임 플랫폼은 신원 서류, 금융 거래, 위치 데이터 및 행동 패턴과 같은 방대한 개인 정보를 수집합니다. 명확한 거버넌스 계획이 없다면 이러한 데이터는 부채이자 규제 리스크가 됩니다.
Mallikarachchi는 스리랑카가 시작해야 할 지점을 분명히 했습니다. 바로 데이터 보호국(DPA)이 감독 기관 역할을 하고, 2025년에 개정된 2022년 제9호 개인정보 보호법(PDPA)을 준수하는 것입니다.
그녀는 “해외 호스팅이 규제 가시성, 법적 접근 또는 데이터 주체 보호를 훼손하도록 내버려 두어서는 안 됩니다. 데이터 거버넌스 모델은 순수하게 운영사 주도가 아닌, 프라이버시를 보존하고 감사가 가능하며 규제 기관이 접근할 수 있는 형태여야 합니다”라고 강조했습니다.
주권은 타협 불가능한 가치
스리랑카의 복합 리조트 야망에는 민간 파트너, 외국인 투자자 및 상호 연결된 시스템의 복잡한 네트워크가 얽혀 있습니다. 6Wresearch에 따르면, 스리랑카의 도박 시장 가치는 2020년 2억 9,393만 달러였으며 2026년까지 4억 1,004만 달러에 달할 것으로 예상되어, 2021-2026년 예측 기간 동안 5.24%의 연평균 성장률(CAGR)을 기록할 전망입니다. 상업적 기회는 현실이며, 디지털 아키텍처가 처음부터 제대로 설계되지 않았을 때의 리스크 또한 현실입니다.
Mallikarachchi는 모든 민관 협력(PPP) 계약에서 타협할 수 없는 세 가지 요소를 꼽았습니다. 첫째는 책임과 명확성입니다. 계약서에는 누가 무엇을 담당하는지, 데이터가 어디에 보관되는지, 누가 접근할 수 있는지, 규제 기관이 어떤 문서를 열람할 수 있는지가 명시되어야 합니다.
둘째는 보안 내재화(Security by Design)입니다. 전송 및 저장 시 암호화, 제로 트러스트 접근 제어, 변조 방지 로깅, 침투 테스트 및 독립적 감사를 위한 계약적 권리가 포함되어야 합니다.
셋째는 가장 정치적으로 민감할 수 있는 데이터 주권입니다. 스리랑카 당국은 법적 가시성, 집행 가능한 접근권 및 증거 보존 능력을 갖추어야 합니다.
“주권이란 법적 통제, 복구 가능성 및 조사 가능성을 의미해야 합니다.”
Chanaki Mallikarachchi, 스리랑카 디지털 경제부 ICT 국장.
Mallikarachchi는 자금세탁 방지(AML) 및 테러 자금 조달 차단(CFT) 의무, 세무 준수 및 외환 규정에 따라 법적으로 묶여 있는 섹터에서, 이보다 낮은 수준의 보안은 심각한 거버넌스 공백을 초래할 것이라고 경고합니다.
한 번 구축하여 모두가 혜택을 누리다
대화의 마지막이자 가장 미래지향적인 부분은 게임 인프라가 게임 자체를 넘어 무엇을 할 수 있는지에 관한 것이었습니다. Mallikarachchi의 주장은 단순하지만 중요했습니다. 스리랑카가 규제된 게임 섹터를 위한 디지털 시스템 구축에 투자한다면, 그 시스템들은 단절되어서는 안 된다는 것입니다. 처음부터 국가 디지털 인프라로서 설계되어야 합니다.
그녀는 “정부는 승인된 모든 투자가 ‘공유 인프라 우선 원칙’에 따라 구축되도록 요구해야 합니다”라고 밝혔습니다. 게임을 위해 만들어진 시스템은 단순히 하나의 규제된 섹터뿐만 아니라 경제 전반의 전자 정부, 관광, 금융, 라이선싱 및 소상공인 서비스를 강화해야 한다는 뜻입니다.
“스리랑카가 오직 도박만을 위해 디지털 인프라를 구축하는 것처럼 보여서는 안 됩니다. 허용된 규제 섹터를 지원하는 동시에 공공 서비스, 금융 무결성, 관광 시스템 및 비즈니스 활성화를 뒷받침할 수 있는 신뢰받는 국가 디지털 역량을 구축해야 합니다”라고 그녀는 설명했습니다.
GRA가 본격 가동되고 2026년까지 운영사 라이선싱이 구체화될 것으로 예상됨에 따라, 스리랑카의 디지털 관련 부처들은 규제 속도를 맞추어야 하는 압박을 받고 있습니다. Mallikarachchi가 업계에 전하는 메시지는 분명합니다. 사이버 보안 요구 사항, 신원 인프라, 데이터 거버넌스 규정 및 기술적 토대는 나중에 덧붙이는 것이 아닙니다. 시장에 진입하는 운영사들은 시스템이 만들어지는 시점에 이를 우회하는 것이 아니라 그 토대 위에 비즈니스를 구축해야 할 것입니다.
액션의 주인공이 되세요! SiGMA 톱 10 뉴스 카운트다운과 함께 세계 최대의 iGaming 커뮤니티에 합류하십시오. 여기를 구독하여 주간 업데이트, 내부 통찰력 및 독점 구독자 전용 혜택을 받아보세요.
