I. 제정 배경 및 목적
유럽연합(European Union, 이하 “EU”)은 데이터 경제 활성화 및 디지털 전환을 촉진하기 위한 ‘EU 데이터 전략(A European Strategy for Data)’의 일환으로 데이터법[The Data Act, Regulation (EU) 2023/2854]을 제정하였고, 이 법은 약 20개월 간의 유예기간을 거쳐 2025. 9. 12.부터 단계적으로 시행될 예정입니다.
데이터법은 최근 사물인터넷(IoT) 및 커넥티드 제품 등의 확산으로 인해 데이터의 경제적 가치와 중요성이 증가하면서, 특정 기업의 데이터 독점을 방지하고 데이터에 대한 공정한 접근과 이용을 촉진함으로써 데이터 독점과 시장의 불균형 문제를 해소하여 데이터 공유 생태계를 구축하는 것을 목표로 하고 있습니다.
II. 데이터법의 주요 내용
1. 적용 범위
- 데이터법은 EU 내 커넥티드 제품 및 관련 서비스 사용 과정에서 생성되는 데이터, 사업자가 보유한 데이터 등에 적용되는 법으로서, 개인정보와 비(非)개인정보 전반을 포괄합니다. 원시(raw) 또는 전처리된(pre-processed) 데이터는 그 대상에 포함되지만, 추론(inferred) 또는 도출된(derived) 데이터 및 콘텐츠는 적용 범위에서 제외됩니다.
- 데이터법상 커넥티드 제품이란, ‘그 사용방식 및 환경 등에 대한 데이터를 획득, 생성 또는 수집하고, 제품 데이터를 전자통신 서비스, 물리적 연결 또는 단말 내 접근을 통해 전송할 수 있으며, 주된 기능이 사용자가 아닌 다른 제3자를 위해 데이터를 저장, 처리 또는 전송하는 것이 아닌 제품’을 의미하며, 커넥티드 자동차, 건강 모니터링 기기, 스마트홈 기기, 스마트폰, 산업용 또는 농업용 기계 등 소비자용 및 산업용 제품을 모두 포괄합니다.
- 데이터법의 수범자는 EU 시장에 출시된 커넥티드 제품의 제조자(manufacturer) 및 관련 서비스 제공자(service provider), 커넥티드 제품 및 관련 서비스 사용자(user, 개인∙법인 모두 포함), 데이터 보유자(data holder), 데이터 수취인(data recipient), 공공기관(public sector body) 및 데이터 처리 서비스 제공자(data processing service provider) 등을 모두 포함합니다.
2. 커넥티드 제품 제조자 및 관련 서비스 제공자의 의무
- 제품 제조자와 관련 서비스 제공자는 사용자가 커넥티드 제품 및 관련 서비스 데이터에 쉽고 안전하게, 무료로 접근할 수 있도록 제품 및 관련 서비스를 설계, 제조 및 제공하여야 합니다.
- 제품 제조자와 관련 서비스 제공자는 제품 판매∙대여 계약 체결 전, 또는 서비스 공급 계약 체결 전에 명확하고 이해하기 쉬운 형식으로 제품 또는 서비스가 생성할 수 있는 데이터 유형, 데이터 보유기간, 사용자의 데이터 접근∙검색∙삭제 방법, 제3자의 데이터 사용 가능성 등을 사용자에게 알려야 합니다.
3. 커넥티드 제품 및 관련 서비스 사용자의 데이터 접근권
- 사용자가 커넥티드 제품 및 관련 서비스의 데이터에 직접 접근할 수 없는 경우, 데이터 보유자는 사용자가 데이터 보유자에게 허용되는 것과 동등한 품질로, 포괄적이고 구조화되어 있으며 일반적으로 사용되는 기계 판독 가능한 형식으로 해당 데이터에 지체 없이 접근할 수 있도록 해주어야 합니다.
- 다만, 사용자의 데이터 접근권은 그러한 처리가 커넥티드 제품의 보안 요건을 저해하여 자연인의 건강, 안전 등에 심각하게 부정적인 영향을 미치거나, 영업비밀의 공개로 인해 데이터 보유자가 심각한 경제적 피해를 입을 가능성이 매우 높은 경우 등에는 제한될 수 있습니다.
4. 커넥티드 제품 및 관련 서비스 사용자의 데이터 공유 요청권
- 사용자는 데이터 보유자에게 커넥티드 제품 및 관련 서비스 데이터와 해당 데이터를 해석하고 활용하는 데 필요한 메타데이터를 제3자에게 제공하도록 요청할 수 있는 권리를 가집니다.
- 이를 위해 데이터 보유자는 사용자가 데이터를 다른 데이터 수취인에게 손쉽게 이전할 수 있도록 상호운용성을 보장해야 하고, 기술적 장벽을 최소화하여 데이터 이동에 필요한 기술적·관리적 지원을 제공할 의무가 있습니다. 다만, 아직 시장에 출시되지 않은 신규 커넥티드 제품 또는 절차 등의 테스트 과정에서 생성된 데이터에 대해서는 사용자의 데이터 공유 요청권이 인정되지 않습니다(단, 그러한 데이터의 제3자 사용이 계약상 허용된 경우는 제외).
5. 데이터 처리 서비스 간 전환 보장
- 데이터 처리 서비스(클라우드, 엣지 컴퓨팅, 네트워크∙서버 등 물리적 또는 가상 인프라 및 소프트웨어와 같이, 언제 어디서나 네트워크를 통해 접근 가능한 서비스) 제공자는 사용자가 데이터 또는 기능 손실 없이 데이터 처리 서비스를 원활하게 전환할 수 있도록 하기 위한 기술적 조치 등을 취하여야 합니다.
- 이와 관련하여 비용이 발생할 경우, 데이터 처리 서비스 제공자는 2027년 1월 12일 전까지는 실제 발생한 비용을 청구할 수 있지만, 그 이후부터는 서비스 전환과 관련된 모든 비용의 청구가 금지됩니다.
6. 기업 간 데이터 계약의 공정성 보장
- 데이터법에 따르면, 데이터 접근 및 이용 계약은 공정하고 투명한 조건 하에 체결되어야 하며, 데이터 관련 의무의 위반이나 종료에 따른 책임 및 구제수단과 관련하여 일방 당사자에게 불리한 일부 계약 조건, 예를 들어, 계약 당사자 일방의 고의 또는 중과실 책임을 배제 또는 제한하거나 계약 불이행에 따른 구제수단 및 책임을 배제하는 등의 불공정한 계약 조건(unfair contractual terms)은 무효로 간주되는 등 불공정한 계약 조건 설정이 금지됩니다.
- EU 집행위원회는 계약당사자의 계약서 작성 및 협상을 지원하기 위하여 데이터 접근 및 이용에 관한 표준 계약 조건(model contractual terms)을 개발하여 지원할 예정입니다.
7. 공공부문 데이터 활용
- 공공기관은 예외적으로 자연재해 등 긴급 상황이나 공익 목적 수행 등을 위하여 필요한 경우에 한하여 민간 데이터 보유자에게 데이터 제공을 요청할 수 있습니다.
- 공공기관은 데이터 요청의 목적과 필요성을 구체적으로 입증해야 하고, 요청 대상 데이터는 최소한으로 한정됩니다. 데이터 보유자는 긴급 상황 등 공공기관의 정당한 요청이 있는 경우 지체 없이 데이터를 제공해야 하지만, 보안 및 영업비밀 보호를 위한 엄격한 조건을 준수해야 합니다.
III. 데이터법과 GDPR의 관계
- 데이터법과 EU의 개인정보보호법[GDPR, Regulation (EU) 2016/679]은 모두 데이터에 대한 규정이기는 하나, GDPR이 개인정보 처리의 투명성과 정보주체의 권리 보호를 중점으로 한다면, 데이터법은 커넥티드 제품 및 관련 서비스 등에서 생성되는 개인정보 뿐만 아니라 비개인정보까지 포함한 포괄적인 데이터에 대한 공정한 접근 및 이용 촉진을 목적으로 하고 있습니다.
- 따라서 데이터법과 GDPR은 상호 보완적인 관계에 있고, 데이터법은 개인정보의 처리에 대해서는 GDPR 및 GDPR에 따라 채택된 회원국의 법률이 우선적으로 적용된다고 명시하고 있으므로, 여전히 개인정보 처리시에는 GDPR에서 정하고 있는 법적 요건을 반드시 준수해야 합니다.
IV. 데이터법의 의의 및 시사점
- [데이터 민주화 및 사용자 권리 강화] 데이터법은 데이터 접근 및 이동성 향상을 통해 데이터 독점을 완화하고, 사용자의 데이터 주권을 강화함으로써 데이터 경제의 민주화를 추구하고 있습니다. 사용자는 데이터를 보다 쉽게 통제하고 타 플랫폼으로의 이동성을 확보할 수 있습니다.
- [글로벌 데이터 규제 표준화] 기존의 데이터 관련 법률이 주로 개인정보에 초점을 두고 있었던 것에 반해 데이터법은 비개인정보까지 포괄하는 광범위한 규제이므로, 데이터법은 다른 국가들의 데이터 관련 규제에 영향을 미칠 가능성이 높습니다. 따라서 글로벌 기업들은 다른 국가의 데이터 관련 법제 동향에 관심을 가지고, EU 법규 및 그 외 국가의 규제 간 균형을 고려하여 데이터 관리 및 계약 절차를 재검토하는 등의 적극적인 대응이 필요합니다.
V. 결론
데이터법은 데이터 경제의 공정성과 투명성을 확보하기 위한 중요한 이정표로 평가됩니다. 데이터법은 글로벌 기업들에 큰 영향을 미칠 것으로 예상되고, 특히 EU 시장에 커넥티드 제품 및 서비스 등을 제공하는 기업은 사용자의 데이터 접근 및 이동성을 보장하기 위한 시스템을 구축하여야 하는바, 기업들의 데이터 처리 관행에 상당한 변화가 있을 것으로 생각됩니다.
데이터법 위반시 제재 등에 대해서는 각 EU 회원국이 규정하도록 되어 있는바, EU 집행위원회 통보 기한인 2025년 9월 12일까지 각 회원국이 구체적인 제재 및 조치 규정을 마련할 것으로 예상됩니다. 이에 EU 내 개별 국가의 입법 동향 등에 대해서도 지속적인 모니터링이 필요하며, 기업은 데이터법 뿐만 아니라 GDPR도 계속하여 준수하여야 하는바, 여러 규제를 고려한 종합적인 전략을 마련하고 기업 간 데이터 계약 조건을 정비하는 등 기술적∙법률적 대응 전략을 수립할 필요가 있습니다.
법무법인 태평양은 데이터법과 관련된 국내∙외 관련 규제의 변화와 기업의 요구 사항을 지속적으로 모니터링하여, 구체적 사정을 고려한 맞춤형 자문과 최적의 대응 방안을 제공하겠습니다.
