EU 디지털 옴니버스, 무엇이 결정되었나

EU 회원국들이 2026년 10월 21일 'EU 디지털 옴니버스' 가운데 유럽 개인정보보호법(GDPR) 개정안에 대한 이사회 협상 입장을 확정했습니다. 결정은 브뤼셀에서 회원국 주EU 대사들로 구성된 상주대표위원회(Coreper)가 내렸습니다. 이사회는 같은 날 보도자료를 냈고, 이튿날 합의 문안을 2026년 10월 22일자 이사회 문서 14756/26으로 공개했습니다.

디지털 옴니버스 패키지는 EU 집행위원회가 2025년 11월 19일 제안한 디지털 규제 간소화 법안(COM(2025) 837)입니다. GDPR, e프라이버시 지침의 쿠키 규정, 데이터 공유 법제, 사이버 사고 보고 규정을 함께 고칩니다. 이번 결정은 아직 법이 아니라, 아직 입장을 정하지 않은 유럽의회와의 3자 협상(트릴로그)에 들고 갈 협상안입니다. 최종 법률이 EU 관보에 게재될 때까지 현행 GDPR이 그대로 적용됩니다.

이 법안은 이미 채택되어 EU AI법 일정을 바꾼 'AI 옴니버스'(고위험 의무 연기 관련 글 참조)와는 별개입니다.

디지털 옴니버스, AI 학습에 대해 무엇을 정했나

이사회는 AI 전용 처리 근거를 유지하되 문구를 고쳤습니다. 집행위원회 안의 제88c조는 이사회 안에서 제88조bis('AI의 개발 및 운영과 관련한 처리')가 되었습니다.

  • 제1항: AI 시스템이나 AI 모델의 개발·운영과 관련한 개인정보 처리는 GDPR 제6조 제1항 (f)호에 따라 컨트롤러나 제3자의 정당한 이익을 근거로 할 수 있습니다. 정당한 이익은 정보주체의 권리가 우선하지 않는 한 동의 없이 처리할 수 있게 하는 근거입니다.
  • 제2항: 컨트롤러가 제6조의 적절한 처리 근거를 선택할 의무에는 영향이 없습니다.
  • 제3항: 어떤 근거에 따르든 AI 관련 처리에는 "제21조의 반대권을 포함한" 적절한 기술적·관리적 조치와 보호장치가 적용됩니다.

집행위원회 안과 비교하면, "특히 정보주체가 아동인 경우" 정보주체의 이익이 우선한다는 문구가 조문에서 빠져 새 전문(前文) 제33a항으로 옮겨졌습니다. 또 집행위원회 안의 '무조건적 반대권'이 삭제되고, 그 자리에 GDPR 제21조의 일반 반대권이 언급되었습니다. 정당한 이익에 근거한 처리에 대한 반대권(제21조 제1항)은 컨트롤러가 처리를 계속할 설득력 있는 정당한 사유를 입증하면 넘어설 수 있습니다.

한편 전문 제33a항은 AI 시스템의 개발·운영이 "그 자체로 정당한 이익이 되지는 않는다"고 밝히고, 처리 목적에 비추어 사안별로 판단하도록 했습니다. 민감정보(제9조) 예외인 제9조 제2항 (k)호도 컨트롤러가 의도하지 않은 '잔여 데이터의 부수적 처리'로 좁혔습니다. 발견하면 지체 없이 삭제해야 하고, 삭제가 기술적으로 불가능하거나 명백히 과도한 노력이 필요하면 다른 목적의 처리, 출력 생성, 제3자 제공에 쓰이지 않도록 막아야 합니다.

GDPR에서 그 밖에 무엇이 바뀌나

아래는 모두 이사회 협상안의 내용이며, 유럽의회와의 협상에서 달라질 수 있습니다.

  • 개인정보 정의 유지: 집행위원회가 제안한 상대적 정의(식별할 수 없는 주체에게는 개인정보가 아니라는 문구)는 삭제되었습니다. 대신 신설 제25a조는 가명처리된 데이터를 식별할 수 없는 제3자에게는 개인정보로 보지 않되, 식별할 수 있는 자에게 넘어가면 다시 개인정보 처리로 봅니다. 수탁자에게는 계속 개인정보입니다.
  • 유출 신고 96시간: 감독기관 신고는 '높은 위험을 초래할 가능성이 있는' 유출에 한정되고, 기한은 72시간에서 96시간으로 늘어납니다(제33조). 이 변경은 발효 18개월 후부터 적용하도록 했습니다.
  • 남용적 열람 요구: 남용 의도가 입증되면 수수료를 받거나 거절할 수 있으며, 입증 책임은 컨트롤러에게 있습니다(제12조 제5항).
  • 자동화된 결정: 제22조는 다시 '자동화된 결정을 받지 않을 권리'로 규정되었습니다.
  • 쿠키: 쿠키 규정은 e프라이버시 지침 제5조 제3항에 남고, 브라우저 동의 신호 의무는 삭제되었습니다. 통신 전송, 이용자가 요청한 서비스, 자체 이용자 수 측정, 유럽미디어자유법에 따른 미디어 이용자 측정, 기술적 보안, 프로파일링 없는 맥락 광고 측정의 6개 목적에 꼭 필요한 경우에는 동의가 필요 없습니다. 거절은 한 번의 클릭으로 할 수 있어야 하고, 거절한 이용자에게는 최소 4개월 동안 같은 목적으로 다시 동의를 요청할 수 없습니다. 회원국은 채택 후 24개월 안에 이를 국내법에 반영해야 합니다.

왜 중요한가: 감독기관과 시민단체의 평가

이사회 안은 여러 쟁점에서 감독기관의 의견을 받아들였습니다. 유럽정보보호이사회(EDPB)와 유럽정보보호감독관(EDPS)은 2026년 2월 10일 공동의견 2/2026에서 개인정보 정의 변경을 채택하지 말라고 "강력히" 촉구했고, 제22조의 원칙적 금지 유지 등을 요구했습니다. 이사회 안은 이를 반영했습니다. 다만 AI 근거 조항에 대해서는 두 기관도 별도 조항이 "필요해 보이지 않는다"고 했는데, 이사회는 조항을 유지하면서 두 기관이 지지한 무조건적 반대권을 없앴습니다.

막스 슈렘스가 설립한 시민단체 noyb는 10월 23일, 이번 합의가 AI 기업에 사실상 정당한 이익을 추정해 준다며 "디지털 수용"이라고 비판했습니다. 반면 이사회의 전문 제33a항은 사안별 판단을 요구하고 있어, 최종적으로 어떻게 해석될지는 열려 있습니다.

한국 개인정보 보호법·튀르키예 KVKK와 비교하면

  • 개인정보 개념: 한국 개인정보 보호법 제2조 제1호 나목은 이미 결합 용이성을 시간·비용·기술을 합리적으로 고려해 판단하지만, 다목에 따라 가명정보도 개인정보입니다. 이사회 안 제25a조는 식별할 수 없는 수령자에 대해 이보다 한발 더 나갑니다. 튀르키예 KVKK(법률 제6698호)는 익명화만 정의하고 가명처리 개념이 없습니다.
  • 유출 신고: 한국 개인정보 보호법 시행령 제40조 제1항은 1천 명 이상 유출, 민감정보·고유식별정보 유출, 외부 불법 접근에 의한 유출의 경우 72시간 이내에 개인정보보호위원회 또는 한국인터넷진흥원에 신고하도록 합니다. 개인정보보호위원회는 챗GPT 유출을 늦게 신고한 OpenAI에 과태료를 부과한 바 있습니다. 튀르키예도 KVKK 위원회 결정 2019/10에 따라 72시간입니다. EU만 96시간이 되면 같은 사고에 서로 다른 기한이 적용됩니다.
  • AI 학습: 전자신문 보도에 따르면 국회는 2026년 8월 20일 가명·익명정보만으로는 AI 개발이 곤란하고 공익적·사회적 필요성이 인정될 때 강화된 안전조치와 개인정보보호위원회의 심의·의결을 거쳐 개인정보를 활용할 수 있게 하는 개정안을 통과시켰습니다. 같은 보도에 따르면 공포 6개월 후 시행되며, law.go.kr의 현행 법문에는 아직 반영되지 않았습니다(관련 분석). 한국은 사전 심의를, EU 이사회 안은 사후 감독에 맡기는 일반적 정당한 이익 심사를 택하는 셈입니다. 튀르키예 상황은 KVKK·GDPR 훈련 데이터 글과 KVKK AI 거버넌스 가이드에서 다뤘습니다.

기업이 지금 검토할 사항

  • 새 법이 시행될 때까지 GDPR 72시간 기한이 유지됩니다. 한국·튀르키예·EU의 기한 차이를 반영한 대응 절차를 마련해야 합니다.
  • AI 학습에 정당한 이익을 근거로 삼는다면 목적·필요성·이익형량 평가를 문서화해야 합니다. 어느 안이든 이 심사는 남습니다.
  • 학습 데이터의 민감정보 필터링과 삭제 절차, 가명정보 흐름(재식별 키 보유자)을 점검해야 합니다.
  • 프로파일링 쿠키는 여전히 동의가 필요합니다. 자동화된 결정은 유럽사법재판소가 SCHUFA 판결에서 해석한 것처럼 원칙적 금지로 남습니다.

디지털 옴니버스 앞으로의 일정은

유럽의회에서는 산업(ITRE)·시민자유(LIBE) 위원회가 공동 소관이며, 입법관측소에 따르면 보고관은 아우라 살라(EPP)와 마리나 칼유란드(S&D)입니다. NICFAB은 위원회 표결이 2027년 초로 예상된다고 전했습니다. 의회 입장이 정해지면 3자 협상이 시작됩니다.

자주 묻는 질문

EU 디지털 옴니버스 패키지란 무엇입니까?

EU 디지털 옴니버스는 EU 집행위원회가 2025년 11월 19일 제안한 법안(COM(2025) 837)으로, GDPR·e프라이버시 지침·데이터법·사이버 사고 보고 규정을 간소화합니다. EU 이사회는 2026년 10월 21일 협상 입장을 확정했지만, 유럽의회 입장이 아직 없어 법률로 확정되지 않았습니다.

디지털 옴니버스로 동의 없는 AI 학습이 허용됩니까?

현행 GDPR도 제6조 제1항 (f)호의 정당한 이익을 근거로 일부 AI 학습을 허용합니다. 이사회 안 제88조bis는 이를 확인하지만, 전문 제33a항은 AI 자체가 정당한 이익은 아니며 사안별 판단이 필요하다고 밝힙니다. noyb 등은 실제 효과가 훨씬 넓다고 비판합니다.

GDPR 유출 신고 기한이 96시간으로 바뀝니까?

EU 집행위원회 안과 이사회 안 모두 GDPR 제33조의 신고 기한을 72시간에서 96시간으로 늘리고, 높은 위험 가능성이 있는 유출만 신고하도록 합니다. 유럽의회 합의가 필요하며, 이사회 안에 따르면 발효 18개월 후 적용됩니다. 한국 시행령의 72시간 기한은 그대로입니다.

디지털 옴니버스가 쿠키 배너를 없앱니까?

완전히 없애지는 않습니다. 이사회 안은 e프라이버시 지침 제5조 제3항에서 동의를 원칙으로 유지하되, 요청 서비스·자체 이용자 측정·보안·맥락 광고 측정 등 6개 목적은 동의 없이 허용합니다. 한 번 클릭으로 거절할 수 있어야 하고, 거절 후 최소 4개월 동안은 다시 요청할 수 없습니다. 프로파일링 쿠키는 계속 동의가 필요합니다.

부르한 도우쉬 아이파를라르의 견해

이사회 안은 개인정보 정의 유지, 제22조 금지 원칙 복원, 남용 의도 입증 요건 등에서 집행위원회 안보다 법적 안정성이 높습니다. AI 근거 조항은 대체로 확인적 성격이라고 봅니다. 정당한 이익은 이미 AI에 쓸 수 있었기 때문입니다. 실질적 변화는 무조건적 반대권의 삭제이며, 유럽의회가 이를 되살리려 할 것으로 예상합니다. 한국·튀르키예 기업 모두 EU의 최종 결론을 기다리기보다 더 엄격한 기준(예: 96시간이 아닌 72시간)에 맞춰 준비하는 편이 낫습니다.

이 글은 일반적인 정보 제공을 위한 것으로 법률 자문이 아닙니다. 2026년 10월 21일 상주대표위원회가 합의한 협상안(2026년 10월 22일자 이사회 문서 14756/26), 집행위원회 안 COM(2025) 837(2025년 11월 19일), EDPB·EDPS 공동의견 2/2026(2026년 2월 10일), noyb 성명(2026년 10월 23일)과 NICFAB 분석, 한국 개정안에 관한 전자신문 보도(2026년 8월 20일), 유럽의회 입법관측소, 튀르키예 KVKK와 KVKK 위원회 결정 2019/10, law.go.kr에 게재된 한국 개인정보 보호법 및 시행령(2026년 9월 11일 시행본)을 2026년 10월 25일 기준으로 확인했습니다. 이사회 보도자료 페이지는 도구로 열 수 없어 제목·날짜·요약만 이사회 공식 뉴스 피드로 확인했고, 내용은 협상안 원문에 근거했습니다. 이사회 문안 인용은 필자의 번역입니다. 이사회 안은 채택된 법률이 아니라 협상 입장입니다. 의회 일정과 한국 개정안 내용은 보도에 따른 것이며 바뀔 수 있고, 최종 EU 법률은 이사회 안과 크게 다를 수 있습니다. 분석과 평가는 필자 개인의 것입니다.