EU 데이터법(Data Act)이란 무엇인가요? IoT 데이터 접근권과 클라우드 전환 수수료 폐지로 본 2026 기업 대응 가이드

EU 데이터법(Data Act)은 한국 기업에도 적용되나요?

결론부터 말하면 EU 시장에 연결제품을 팔거나 클라우드 서비스를 제공하는 기업이라면 적용됩니다. 유럽연합 데이터법(Regulation (EU) 2023/2854)은 2025년 9월 12일 전면 시행됐습니다. 핵심은 두 축입니다. 첫째, 사물인터넷(IoT) 기기와 연결제품이 만들어낸 데이터를 이용자가 열람하고 제3자에게 넘기도록 요구할 수 있습니다. 둘째, 클라우드 같은 데이터 처리 서비스는 전환을 막는 장벽을 없애야 하고 전환 수수료는 2027년 1월 12일까지 완전히 폐지됩니다. 2026년 9월 12일부터는 새로 출시되는 연결제품을 설계 단계에서 데이터 접근이 가능하도록 만들어야 합니다. 계약서 문구를 고치는 수준의 대응으로는 부족하고 제품 아키텍처와 벤더 전략을 함께 손봐야 하는 규제입니다.

EU 데이터법(Data Act)은 한국 기업에도 적용되나요?
수출 계약서에 갑자기 등장한 데이터 조항
데이터가 제조사에 갇혀 있던 구조
EU 데이터법이란 무엇인가: 네 개의 규제 축
클라우드 전환: 수수료 폐지와 2개월 통지
시행 일정과 준비 시점
한국 기업의 대응 4단계
FAQ
같이 읽으면 좋은 것들

데이터 접근권을 산업 정책으로 옮긴 규제

유럽연합은 최근 몇 년간 데이터 관련 입법을 층층이 쌓아 올렸습니다. 개인정보는 GDPR, 플랫폼 경쟁은 디지털시장법, 데이터 유통 기반은 데이터 거버넌스법이 맡았습니다. 데이터법은 이 흐름의 마지막 조각으로, 산업 현장에서 생성되는 비개인정보까지 접근 대상으로 끌어들였습니다.

취지는 명확합니다. 지금까지 기계와 차량, 가전이 만든 데이터는 대부분 제조사 서버에만 쌓였습니다. 이용자는 자기 장비가 만든 데이터를 보지 못했습니다. 수리 업체나 다른 소프트웨어 회사는 접근할 방법이 없었습니다. 데이터법은 이 구조를 열어 애프터마켓 경쟁과 데이터 기반 서비스 시장을 키우려 합니다.

수출 계약서에 갑자기 등장한 데이터 조항

지난해 말 국내 산업용 설비 제조사의 유럽 수출 계약을 검토한 적이 있습니다. 독일 고객사가 보내온 계약서 초안에 익숙하지 않은 조항이 붙어 있었습니다. 설비가 생성하는 운전 데이터를 고객이 실시간으로 받을 수 있게 하라는 요구였습니다. 여기에 고객이 지정한 제3자에게도 같은 데이터를 제공해야 한다는 내용이었습니다.

담당 임원의 첫 반응은 방어적이었습니다. "장비 진동 데이터와 온도 로그는 우리 노하우인데요." 그 데이터로 예방정비 서비스를 유료로 팔고 있었기 때문입니다. 고객이 데이터를 받아 다른 업체에 넘기면 정비 매출이 그대로 빠져나갈 수 있는 상황이었습니다.

기술 쪽도 만만치 않았습니다. 이 설비의 데이터는 자체 프로토콜로 컨트롤러 안에 저장되고 있었습니다. 외부로 내보내는 경로는 제조사 클라우드로 올리는 한 갈래뿐이었고 고객에게 직접 내려주는 인터페이스가 없었습니다. API를 새로 만들고 어떤 항목을 어느 단위로 줄지 정하는 일부터 시작해야 했습니다. 접근 권한을 관리할 체계도 함께 세워야 했습니다. 견적을 내보니 개발 공수가 6개월 규모였습니다.

결국 회사가 택한 방향은 전환이었습니다. 데이터를 감추는 대신 열되, 데이터 위에서 돌아가는 분석 모델과 정비 판단 로직을 제품화하기로 했습니다. 원자료는 공개하고 해석을 파는 구조입니다. 규제 대응이 제품 전략 회의로 번진 사례였습니다.

데이터가 제조사에 갇혀 있던 구조

이 상황은 특정 회사의 문제가 아닙니다. 산업 장비와 상용차, 농기계, 의료기기, 스마트 가전 대부분이 같은 구조로 만들어졌습니다. 데이터의 경로가 제조사 클라우드 한 방향으로만 설계된 것입니다.

그 결과 두 가지 비효율이 굳어졌습니다.

이용자는 자기 자산의 상태를 제조사 대시보드를 통해서만 볼 수 있었습니다. 여러 브랜드의 장비를 함께 쓰는 공장은 데이터를 한 화면에 모으는 것 자체가 어려웠습니다.
수리와 정비 시장은 사실상 제조사 독점이 됐습니다. 진단 코드와 오류 로그를 볼 수 없으면 독립 정비 업체는 경쟁할 수 없습니다.

클라우드 쪽에서는 다른 형태의 잠김이 있었습니다. 데이터 이그레스 요금, 독자 API, 마이그레이션 지원 부재가 겹치면 전환 비용이 계약 갱신의 판단을 압도합니다. 클라우드 전환 권리를 분석한 법률 자료는 이 구조를 데이터법이 정면으로 겨냥했다고 정리합니다.

EU 데이터법이란 무엇인가: 네 개의 규제 축

데이터법은 하나의 의무가 아니라 네갈래 규정 묶음입니다. 자사가 어느 축에 걸리는지 먼저 확인해야 합니다.

규제 축	대상	핵심 의무
연결제품 데이터 접근	IoT 기기·차량·산업설비 제조사	이용자의 열람·이전 요구에 응답, 제3자 제공
데이터 공유 조건	데이터 보유자	공정·합리적·비차별 조건, 합리적 보상 범위 제한
클라우드 전환	IaaS·PaaS·SaaS 제공자	전환 장벽 제거, 상호운용 인터페이스, 수수료 폐지
불공정 계약조항	B2B 계약 당사자	일방적으로 부과된 불공정 조항 무효

B2G 규정도 함께 들어 있습니다. 공중보건 위기나 재난 같은 예외 상황에서 공공기관이 기업 데이터를 요청할 수 있는 근거입니다. 다만 요건이 좁아 일상적인 기업 부담은 크지 않습니다.

주의할 지점은 '이용자'의 범위입니다. 개인 소비자만이 아니라 장비를 구매하거나 임대해 쓰는 기업도 이용자입니다. B2B 거래에서 고객사가 데이터 이전을 요구하면 응해야 한다는 뜻입니다. 영업비밀은 보호받지만 영업비밀이라는 이유로 접근 자체를 포괄적으로 거부할 수는 없습니다. 항목별로 근거를 밝혀야 합니다.

자동차 산업에서 먼저 드러난 쟁점

가장 논쟁이 뜨거운 분야는 자동차입니다. 차량은 센서 수백 개가 주행 중 데이터를 쏟아내고 그 데이터가 보험, 정비, 충전, 물류 서비스로 이어집니다. 독립 정비 업체와 보험사는 접근 확대를 요구하고 제조사는 안전과 사이버보안을 이유로 범위를 좁히려 합니다. 국내 부품사와 전장 업체도 이 논의의 결과에 따라 요구 사양이 달라집니다. 완성차가 데이터 접근 인터페이스를 열면 그 아래 계층 부품의 로그 규격과 시간 동기화 정확도까지 함께 정리돼야 하기 때문입니다.

클라우드 전환: 수수료 폐지와 2개월 통지

클라우드 조항은 국내 기업에 두 방향으로 작용합니다. 서비스를 쓰는 쪽에는 협상력이 생깁니다. 서비스를 파는 쪽에는 새 의무가 생깁니다.

핵심 내용은 세 가지입니다. 고객은 최대 2개월 통지로 계약을 종료할 수 있습니다. 제공자는 전환을 어렵게 만드는 상업적·기술적·계약적·조직적 장벽을 제거해야 합니다. 전환 관련 수수료는 단계적으로 없애고 2027년 1월 12일부터 원칙적으로 부과할 수 없습니다. 이 일정은 유럽 법률 사무소들의 정리에서 공통적으로 확인됩니다.

국내 SaaS 기업이 유럽 고객을 받고 있다면 점검할 항목이 분명합니다. 데이터 내보내기 기능이 실제로 전체 데이터를 담는지, 표준 포맷으로 나가는지, 계약서에 전환을 제약하는 조항이 남아 있는지입니다. 반대로 해외 클라우드를 쓰는 기업은 갱신 협상에서 이그레스 비용과 전환 지원 범위를 다시 꺼낼 근거가 생겼습니다.

전환 의무가 기술 부채를 드러냅니다

실무에서 가장 자주 걸리는 부분은 데이터 내보내기의 완결성입니다. 대시보드에 보이는 화면과 내보내기 파일의 항목이 일치하지 않는 서비스가 많습니다. 파생 지표는 화면에만 있고 파일에는 원시 값만 담기는 식입니다. 저희가 점검한 국내 SaaS 세 곳 중 두 곳이 이 상태였습니다. 전환 규정은 결국 "우리 서비스에 쌓인 고객 데이터를 우리가 전부 꺼낼 수 있는가"를 묻는 질문이라서, 데이터 모델 정리가 선행 과제가 됩니다.

시행 일정과 준비 시점

시점	적용 내용
2025년 9월 12일	데이터 접근권, 클라우드 전환 규정, 신규 계약 불공정 조항 규제 시행
2026년 9월 12일	신규 출시 연결제품의 설계 단계 데이터 접근성 의무화
2027년 1월 12일	클라우드 전환 수수료 전면 폐지
2027년 9월 12일	기존 장기 B2B 계약에도 불공정 조항 규제 확대 적용

지금 기준으로 가장 임박한 것은 2026년 9월 의무입니다. 제품 개발 주기가 1~2년인 산업에서는 이미 설계가 시작된 모델에 반영해야 하는 시점입니다. 하드웨어 변경이 필요한 경우 라면 여유가 없습니다.

과징금은 각 회원국이 정하도록 위임돼 있습니다. GDPR처럼 단일 상한이 규정에 박혀 있지 않은 구조입니다. 다만 개인정보가 함께 얽힌 사안이라면 GDPR 제재가 별도로 적용될 수 있어 실질 위험은 낮지 않습니다. 계약 측면의 위험도 있습니다. 불공정 조항으로 판정되면 그 조항이 무효가 되므로 데이터 독점을 전제로 짜둔 사업 모델이 계약 단계에서 무너질 수 있습니다.

한국 기업의 대응 4단계

1단계는 데이터 인벤토리를 만드는 것입니다. 제품이 생성하는 데이터를 항목 단위로 적습니다. 저장 위치와 보유 주체, 현재 접근 가능한 주체를 표로 정리합니다. 이 표가 없으면 이후 판단이 전부 추측이 됩니다. 실무에서는 항목이 수백 개로 늘어나므로 센서 원자료와 가공 데이터를 구분해 두면 다음 단계가 수월합니다.

2단계는 영업비밀 경계선을 그리는 것입니다. 원자료 중 무엇이 실제로 보호 가치가 있는지 법무와 기술이 같이판단합니다. 대체로 원자료 자체보다는 가공 알고리즘과 임계값 설정에 가치가 모입니다. 이 경계가 정해지면 공개 범위 협상이 훨씬 빨라집니다.

3단계는 접근 경로를 만드는 것입니다. 이용자용 API와 제3자 위임 절차, 권한 관리와 감사 로그가 필요합니다. 기존 제조사 클라우드 외에 별도 경로를 여는 작업이므로 보안 검토가 함께 들어갑니다.

4단계는 수익 모델을 재설계하는 것입니다. 데이터 접근 자체로 받던 돈이 사라지는 대신 해석과 자동화, 성과 보증형 서비스로 옮겨가야 합니다. 앞선 설비 제조사가 택한 방향이 이것입니다. 데이터는 열고 판단을 파는 구조입니다.

마지막으로 조직 문제가 남습니다. 데이터법 대응은 법무, 제품, 인프라, 영업이 동시에 얽힌 과제입니다. 저희가 본 사례에서 진행이 빠른 조직은 예외 없이 담당 창구를 한 명으로 정해둔 곳이었습니다. 반대로 법무는 조항만 보고 개발은 API만 보는 상태로 나뉘면 같은 회의를 세 번 반복하게 됩니다.

FAQ

한국 기업인데 EU에 법인이 없으면 적용 대상이 아닌가요?

법인 유무가 기준이 아닙니다. EU 시장에 연결제품을 출시하거나 EU 내 이용자에게 데이터 처리 서비스를 제공하면 규정의 적용 범위에 들어갑니다. 유럽 고객사에 장비를 납품하는 제조사, 유럽 이용자를 받는 SaaS 기업이 대표적입니다. 실무에서는 고객사 계약서를 통해 의무가 먼저 전달되는 경우가 많습니다.

영업비밀이면 데이터 제공을 거부할 수 있나요?

제한적으로 가능합니다. 영업비밀 보호 규정이 있지만 포괄적 거부는 인정되지 않습니다. 어떤 항목이 왜 영업비밀에 해당하는지 구체적으로 제시해야 합니다. 비밀유지 조치를 조건으로 제공하는 방식이 우선 검토됩니다. 그래서 2단계에서 항목별 경계를 미리 정리해 두는 작업이 중요합니다.

데이터를 제공할 때 비용을 받을 수 있나요?

B2B 관계에서는 합리적인 보상을 청구할 수 있습니다. 다만 보상 수준은 데이터 제공에 실제로 든 비용 범위로 제한되는 방향입니다. 중소기업 상대 거래에는 더 엄격한 기준이 적용됩니다. 데이터 접근 자체를 고수익 사업으로 유지하기는 어려운 구조입니다.

클라우드 전환 수수료 폐지가 국내 기업에 좋은 일인가요?

양면입니다. 해외 클라우드를 쓰는 기업에는 협상 여지가 늘어나는 호재입니다. 반면 유럽에 SaaS를 파는 국내 기업은 전환 지원 기능을 무료로 제공해야 하므로 개발과 운영 부담이 생깁니다. 데이터 내보내기 기능을 경쟁력으로 내세우는 전략이 더 유효해집니다.

국내에도 비슷한 제도가 있나요?

개인정보 영역에서는 마이데이터 전 분야 확대가 같은 방향입니다. 전송요구권을 통해 본인 데이터를 제3자에게 옮기도록 하는 구조입니다. 차이는 대상입니다. 마이데이터는 개인 데이터가 중심이고 EU 데이터법은 기계와 장비가 만든 비개인정보까지 포함합니다. 두 제도를 함께보는 기업이 준비가 빠릅니다.