EU 디지털 규제 간소화가 한 걸음 더 나아갔다. 2026년 10월 21일 EU 이사회는 협상 위임(mandate)을 채택하고 GDPR, e프라이버시 지침상 쿠키 규칙, 사이버보안 및 데이터 사고 신고 의무에 대한 “보호 수준을 낮추지 않는 간소화”를 추진하기로 합의했다. 다음 날 위임 전문이 공개됐다.
무슨 일이 있었나
이는 EU ‘옴니버스 간소화’ 계획의 일곱 번째 입법 패키지로, EU 디지털 규칙집을 더 명확하고 적용하기 쉽게 만들어 기업과 공공기관의 컴플라이언스 비용을 낮추는 것이 목표다. 같은 패키지 중 AI 조화 규칙의 이행 간소화 부분은 2026년 6월 29일에 이미 채택됐으며, 이번 이사회가 승인한 것은 나머지 절반, 즉 디지털 입법 체계 간소화다.
주요 내용:
- GDPR 개정: 개인정보의 정의는 유지. 가명화와 자연인 식별에 관한 신규 규정, 근거 없거나 과도한 정보주체 요청과 저위험 정보제공 의무의 간소화, ‘과학 연구’의 원칙 기반 정의와 연구기관 대상 한정 면제, 생체인식 인증 및 AI 시스템 개발·운영에서의 민감데이터 처리에 대한 보호조치 조건부 면제, AI 관련 개인정보 처리의 법적 근거 명확화, 개인정보 유출 통지 기한 연장, EU 공통 고위험 처리 범주 목록과 공통 컴플라이언스 템플릿 도입.
- 쿠키 규칙: e프라이버시 지침의 쿠키·추적 규칙은 유지하되, 사용자 동의 없이 쿠키를 설치할 수 있는 경우를 확대. 서비스 제공, 시청자 측정, 사용자 기기 보안 등이 예시되며, 웹 쿠키 배너는 크게 줄어들 전망이다.
- 플랫폼·데이터 규칙: 플랫폼-기업(P2B) 규정의 일부 조항 폐지. ‘데이터 법체계(data acquis)’ 통합. 공공기관은 초대형 기업, 특히 지정 게이트키퍼의 데이터 재이용에 더 높은 요금 부과 가능. 영업비밀의 제3국 유출 방지 강화 — 데이터 보유자와 이용자가 필요한 기밀유지 조치를 모두 취하기 전까지는 공개 의무 없음.
- 사고 신고: EU 단일 신고 창구가 아닌 회원국별 국가 신고 창구를 설치하고 EU 차원의 사고 신고 정보 포인트를 병행. 통일된 사고 통지 체계와 역외 사고 통지 규칙도 정비한다. 한편 EU AI법은 이미 집행 단계에 들어섰으며 (/article/2612-eu-ai-acts-first-enforcement-why-openai-and-anthropic-got-letters), 컴플라이언스 압박은 현실이다.
다음 단계는 유럽의회가 자체 협상 입장을 채택한 뒤 이사회 의장국이 의회와 3자 협상에 들어가는 것이다. 2026년 4월 서명한 ‘하나의 유럽, 하나의 시장’ 로드맵에 따르면 2027년 말까지 모든 간소화 패키지를 마무리하는 것이 목표다.
누구에게 영향을 미치나
적용 범위는 EU다. EU 역내에서 사업을 하는 기업, 공공기관, EU 시민 모두 영향을 받는다.
- EU에서 AI 서비스를 제공하거나 AI로 개인정보를 처리하는 기업: AI 학습·운영의 데이터 법적 근거와 생체인식 인증 시나리오의 컴플라이언스 경로에 새로운 면제 여지가 생길 수 있다. 영국 데이터 규제 당국은 이미 10개 모델 개발사에 데이터 관행 시정을 요구했고 (/article/2519-uk-ico-names-10-model-developers-changing-data-practices-and-xai-faces-a-separat), 데이터 처리 컴플라이언스는 강화되는 추세다.
- 개인정보·보안팀: 유출 통지 기한 연장은 호재지만, 신고가 국가 창구+통일 체계로 바뀌므로 내부 대응 절차를 손봐야 한다.
- 웹사이트 운영자와 광고 측정 사업자: 동의 관리 도구를 새로운 면제 사유에 맞춰 재설정해야 한다.
- 공공부문 데이터 보유자와 대규모 데이터 재이용 기업: 게이트키퍼의 공공데이터 재이용 요금이 오를 수 있고, 영업비밀의 역외 유출 보호 문턱도 높아진다.
어떻게 해야 하나
- 최종 법안을 기다리지 말 것: 자사 AI 학습·운영 파이프라인에서 처리하는 개인정보의 법적 근거와 가명화 조치를 지금 정리하고 갭 리스트를 만들어 두면 법안 통과 즉시 움직일 수 있다.
- 생체인식 시나리오는 별도 관리: 새 면제에는 반드시 보호조치가 따른다. 출시 전 컴플라이언스 리뷰를 하고 ‘면제’를 ‘허가’로 오독하지 말 것.
- 유출 대응 프로세스 업데이트: 통지 기한은 늘어날 수 있지만, 통일 통지 체계와 국가 창구 전환으로 템플릿과 신고 채널은 새로 만들어야 한다.
- 3자 협상 추적: 이사회 위임은 협상의 출발점일 뿐 의회는 아직 입장을 채택하지 않았다. 가명화 규정, 연구 면제, 쿠키 면제 범위 등 핵심 사항은 채택 전 바뀔 수 있다.
리스크는 어디에 있나
가장 큰 리스크는 이를 이미 시행된 법으로 오해하는 것이다. 어디까지나 이사회의 협상 위임이며 유럽의회와의 협상이 아직 남았다. 시기와 최종 내용은 바뀔 수 있다. 또 ‘간소화’는 ‘규제 완화’가 아니다. 보도자료는 높은 보호 수준 유지를 거듭 강조하고 있고, 생체인식·AI 데이터 처리 면제는 모두 보호조치와 묶여 있다. 컴플라이언스 대응을 일찍 멈춰서는 안 된다.
지역 경계에도 유의하자. 이는 EU 규칙으로 미국 등 다른 법역에는 적용되지 않는다. 다국적 기업은 법역별로 관리해야 하며 EU 면제를 다른 지역에 그대로 적용해서는 안 된다.
