회사는 서울에 있습니다. 유럽에 사무소도, 서버도, 법인도 없습니다. 그런데 우리 제품에는 이미 독일과 프랑스에 사용자가 있습니다. 'EU 규제는 우리와 상관없다'고 생각하기 쉽지만, EU 디지털 규정집은 바로 이런 회사를 염두에 두고 만들어졌습니다. GDPR의 성공 이후, EU 입법자들은 자신들의 기준을 전 세계에 적용시키려는 의지가 그 어느 때보다 강합니다. 모두를 규제 안에 두려 합니다.
유럽에 사무소가 없으면 안전하다는 가정
대부분의 법은 속지주의를 따르므로 '우리는 EU 법인이 없으니 EU 규제도 없다'는 합리적인 직감입니다. 유럽에 아무 거점이 없는 회사는 자국 규제기관에만 답하면 된다고 기대합니다. 그러나 EU 디지털 규제는 바로 그 빈틈을 메우려고 만들어졌습니다.
적용 여부를 정하는 것은 사용자입니다
적용 여부를 정하는 것은 여러분의 사용자입니다. EU에 있는 사람이 여러분의 사용자라면 — 그들에게 상품이나 서비스를 제공하거나, 그들의 행동을 관찰한다면 — 회사 주소가 수천 킬로미터 밖에 있어도 적용 대상이 될 수 있습니다.
같은 기준, 세 개의 법
이 패턴은 규정집 전반에서 되풀이됩니다.
- GDPR 제3조제2항 — EU에 사업장이 없는 회사라도 EU에 있는 사람에게 상품·서비스를 제공하거나 그 행동을 관찰하면 적용될 수 있습니다.
- AI법 제2조제1항(c) — EU 밖의 제공자 또는 배포자라도 AI 시스템의 산출물이 EU 안에서 사용되면 적용될 수 있습니다.
- 사이버복원력법(CRA) 제2조 — 디지털 요소가 있는 제품이 EU 시장에 출시되면, 어디서 만들어졌든 적용될 수 있습니다.
어느 경우든 여러분을 끌어들이는 것은 EU 사용자입니다.
한국 수출 기업에 특히 해당되는 이유
EU로 판매하는 한국 기업은 교과서에 나오는 전형적인 경우입니다. 개인정보보호위원회의 GDPR 안내서도, EU에 사무소 없이 온라인으로 유럽 여행 패키지를 파는 한국 호텔·리조트 체인을 예로 들며 제3조제2항에 따라 적용될 여지가 있다고 설명합니다.
그리고 이 적용은 실제로 집행됩니다.
네덜란드 개인정보감독기구(AP): 2024년, EU에 사업장이 없는 미국 기업 Clearview AI에 3,050만 유로의 과징금을 부과했다.
'EU 밖 회사에 어떻게 과징금을 부과했을까요?' 유럽에 자산이 없는 회사에서 실제로 돈을 걷는 것이 더 어려운 부분입니다. 그래서 감독기구는 지렛대를 더했습니다. Clearview가 시정 명령을 계속 무시하면 최대 510만 유로의 추가 과징금을 물리고, 위반을 알면서도 방치한 경영진에게 개인 책임을 물을 수 있는지도 조사하고 있습니다.
EU 고객을 원한다면, 여러분은 Clearview보다 훨씬 더 노출되어 있을 수 있습니다. EU 매출, EU 파트너, EU 결제 흐름이 모두 같은 규제기관의 관할 아래 있기 때문입니다.
어떤 규제가 해당될 수 있는지 확인하세요
'우리가 컴플라이언스를 지키고 있나?'를 묻기 전에, 한 걸음 물러나 생각해 볼 것이 있습니다. 이 중에 우리에게 해당되는 규제가 무엇인가? 저희는 그 질문에 답하도록 무료 도구를 만들었습니다. 바로 EU 규제 스코퍼입니다. 회사에 관한 몇 가지 간단한 질문에 답하면, 잠재적으로 적용될 수 있는 EU 디지털 규제를 — 적용 범위를 정하는 조문, 시행 날짜, 공식 원문 링크와 함께 — 목록으로 돌려줍니다.
- 100% 무료
- 브라우저에서 바로 실행
- 아무것도 저장하지 않음
- 계정 불필요
여러분은 어떤 EU 규제가 회사에 해당될 수 있는지 알고 계신가요?
참고 자료
- EUR-Lex — GDPR 제3조(적용 범위)
- EUR-Lex — AI법 제2조(적용 범위)
- EUR-Lex — 사이버복원력법 제2조(적용 범위)
- 개인정보보호위원회 — 우리 기업을 위한 EU 일반 개인정보보호법(GDPR) 가이드북
- Autoriteit Persoonsgegevens — 네덜란드 개인정보감독기구, Clearview AI에 3,050만 유로 과징금 부과
Instagram