한국에서 유럽으로 기술 제품을 판매할 때

유럽 고객과 거래하기 시작하면 달라지는 것들

한국 기업이 EU 규제를 처음 체감하는 순간은 법적 문제가 발생했을 때가 아니라, 유럽 고객과 실제 거래를 시작할 때인 경우가 많습니다.

잠재 고객이 보안 설문지를 보내거나, 개인정보 처리계약(DPA)을 요구하거나, 법무팀 검토를 위한 계약 조항을 전달하면서부터 규제 대응이 영업 과정의 일부가 됩니다. 준비가 되어 있지 않으면 자료를 확인하고 대응하는 동안 계약이 지연될 수 있습니다.

이때 구분해야 할 것은 두 가지입니다. 일부 EU 규정은 회사가 한국에 있더라도 조건에 따라 귀사에 직접 적용될 수 있습니다. 반면 귀사에 직접 적용되지 않는 규정이라도, EU 고객사가 해당 규정을 준수해야 한다면 계약이나 보안 요구사항의 형태로 귀사에 영향을 줄 수 있습니다. 이 둘을 모두 막연하게 ‘EU 규제 대응’으로 묶으면 준비해야 할 일이 훨씬 복잡해 보입니다. 하지만 귀사에 직접 적용되는 규정과 고객사를 통해 요구되는 사항을 나누어 보면, 실제로 준비해야 할 항목이 훨씬 명확해집니다.

직접 적용되는 의무와 고객사를 통해 요구되는 사항

직접 적용되는 의무는 고객사의 요구와 관계없이 법에 따라 발생합니다. 예를 들어 EU에 있는 개인에게 제품이나 서비스를 제공하거나 이들의 행동을 모니터링하는 경우, 일정한 조건에서는 한국 기업에도 GDPR이 직접 적용될 수 있습니다.

반면 고객사를 통해 요구되는 사항은 유럽 고객사가 자신의 규제 의무를 준수하는 과정에서 발생합니다. 예를 들어 EU 금융기관과 거래하는 SaaS 기업은 계약 과정에서 보안, 감사, 사고 통지, 데이터 처리 등에 관한 요구사항을 받을 수 있습니다. 이 경우 관련 조항을 계약에 반영하거나, 해당 조항이 포함된 계약에 동의하도록 요구받을 수 있습니다.

• —직접 적용되는 의무: 법에 따라 발생하며, 고객과의 계약 여부와 관계없이 귀사가 직접 준수해야 합니다.
• —고객사를 통해 요구되는 사항: 고객사의 규제 의무가 계약, 보안 심사, 조달 요건 등의 형태로 귀사에 전달됩니다. 준비가 부족하면 거래가 지연되거나 계약 체결이 어려워질 수 있습니다.
• —추가 확인이 필요한 사항: 제품이나 서비스의 특성, 고객 유형, 데이터 처리 방식 등에 따라 적용 여부가 달라질 수 있습니다. 고객사의 요청이 있기 전에 미리 확인해 두는 것이 좋습니다.

한국 기업이 자주 접하는 EU 규정

RegRoute는 7개 주요 EU 규정을 다룹니다. 아래는 한국 기업이 유럽 시장에 진출하거나 유럽 고객과 거래할 때 자주 접하게 되는 규정입니다.

GDPR

EU 내 개인에게 제품이나 서비스를 제공하거나 이들의 행동을 모니터링하는 경우, 일정한 조건에서는 한국 기업에도 GDPR이 직접 적용될 수 있습니다. 또한 유럽 고객사를 대신해 개인정보를 처리하는 경우에는 DPA 등 계약을 통해 관련 의무를 요구받을 수 있습니다. 한국은 EU의 개인정보 보호 적정성 결정을 받은 국가이지만, 이는 EU에서 한국으로 개인정보를 이전할 때 적용되는 제도입니다. GDPR의 다른 의무까지 면제되는 것은 아닙니다.

DORA

EU 금융기관에 SaaS나 IT 서비스를 제공하는 기업이라면 DORA 관련 요구사항을 접할 수 있습니다. 계약 과정에서 보안, 감사, 사고 대응, 서비스 연속성 등에 관한 조건을 요구받을 수 있으며, 고객사의 중요한 업무를 지원하는 서비스라면 요구 수준이 더 높아질 수 있습니다.

NIS2

에너지, 의료, 디지털 인프라, 공공 부문 등 NIS2 적용 대상 기업과 거래하는 경우, 공급망 보안에 관한 요구사항을 받을 수 있습니다. 보안 체계, 사고 대응, 위험 관리, 관련 증빙 자료 등이 주요 검토 대상이 될 수 있습니다.

EU AI Act

AI 시스템이나 AI 기능이 EU에서 제공되거나 사용되는 경우 적용 여부를 확인해야 합니다. AI 모델을 직접 개발하는지, 외부 모델을 자사 서비스에 통합하는지, 또는 AI 시스템을 사용하는지에 따라 기업의 역할과 의무가 달라집니다.

CRA

EU 시장에 출시되는 디지털 기능이 포함된 하드웨어 및 소프트웨어 제품과 관련된 규정입니다. 제품 출시 시점뿐 아니라 지원 기간 동안의 보안 업데이트와 취약점 관리 등도 요구될 수 있습니다.

Data Act

커넥티드 제품과 관련 서비스, 데이터 접근·공유, 클라우드 서비스 전환 등에 관한 규정입니다. IoT 제품이나 관련 서비스를 제공하거나 클라우드 서비스를 운영하는 기업이라면 적용 여부를 확인할 필요가 있습니다.

ePrivacy Directive

웹사이트와 앱에서 사용하는 쿠키, SDK, 광고 및 분석 도구 등에 관한 규정입니다. GDPR과 함께 검토해야 하지만, 별도의 규제 체계를 가지고 있습니다.

우리가 다루는 EU 규제

무료 3분 진단

6개의 간단한 질문을 통해 귀사의 사업 현황, 제품과 서비스, EU 고객과의 거래 여부, 현재 준비된 자료를 확인합니다.

진단이 끝나면 귀사에 직접 적용될 수 있는 규정과 EU 고객사를 통해 요구될 수 있는 사항을 구분해 보여드리고, 현재 준비된 부분과 추가로 필요한 자료를 확인할 수 있습니다. 무료로 이용할 수 있으며 이메일 입력도 필요하지 않습니다.

$149 실행 계획

무료 진단보다 구체적인 준비 방법과 실행 계획이 필요하다면, RegRoute EU Readiness Pack을 이용할 수 있습니다. 1회 결제 $149 USD로 귀사에 필요한 조치를 우선순위에 따라 정리한 실행 계획과 함께 다음 자료를 제공합니다. 담당자와 예상 작업량이 포함된 단계별 실행 계획, 관련 EU 법령과 조항에 대한 근거, 실무에 바로 활용할 수 있는 증빙 템플릿, 내부 또는 고객사와 공유할 수 있는 PDF 보고서가 포함됩니다.

구독이나 회원가입 없이 한 번만 결제하면 됩니다.

$149 USD

한국 기업을 위한 주요 참고사항

한국은 EU의 개인정보 보호 적정성 결정을 받은 국가입니다. 따라서 일정한 요건을 충족하면 EU에서 한국으로 개인정보를 이전할 때 별도의 추가 이전 장치 없이 적정성 결정을 근거로 처리할 수 있습니다.

다만 적정성 결정은 개인정보를 EU에서 한국으로 이전하는 절차에 관한 것입니다. GDPR이 귀사에 적용되는지 여부나, 적용되는 경우 지켜야 할 다른 의무까지 없어지는 것은 아닙니다. 개인정보 처리와 관련된 책임, 정보주체의 권리 요청에 대한 대응, 관련 문서와 기록 관리 등은 여전히 별도로 검토해야 합니다.

한국의 개인정보 보호법(PIPA)에 맞춰 개인정보 처리방침, 동의 절차, 개인정보 처리 위탁 등을 관리하고 있다면 좋은 출발점이 될 수 있습니다. 하지만 GDPR은 적용 범위와 정보주체의 권리, 필요한 계약 및 증빙 자료 등에서 한국의 개인정보 보호법과 차이가 있기 때문에 기존 PIPA 대응만으로 충분하다고 보기는 어렵습니다. 또한 유럽 기업과의 거래에서는 규제 관련 자료를 요구하는 시점도 다를 수 있습니다. 국내에서는 계약 검토나 공급업체 심사가 비교적 늦은 단계에서 이루어지는 경우가 있지만, 유럽 기업과의 B2B 거래에서는 초기 영업 단계부터 보안 설문지나 개인정보 처리계약(DPA), 관련 증빙 자료를 요청받을 수 있습니다. 미리 준비해 두면 이러한 검토 때문에 영업이나 계약이 지연되는 상황을 줄일 수 있습니다.

한국 기업을 위한 가이드

한국 기업이 유럽 시장에서 자주 접하게 되는 규제와 질문을 주제별로 정리했습니다.

• 한국 기업을 위한 GDPR

  한국 기업에 GDPR이 언제 적용되는지, PIPA와 무엇이 다른지, 유럽 고객사가 어떤 자료를 요구하는지, 적정성 결정이 실제로 의미하는 바를 설명합니다. 3분 진단을 함께 제공합니다.

• SaaS 기업을 위한 DORA

  디지털 운영 복원력 법(DORA)은 EU 금융기관을 직접 구속하며, 공급업체에는 계약을 통해 미칩니다. 한국 SaaS·핀테크 벤더가 유럽 금융 고객사로부터 무엇을 요구받는지 설명합니다.

• 한국 기업을 위한 EU AI Act

  EU AI Act가 한국의 AI 기업과 AI 기능을 통합한 SaaS 기업에 어떻게 적용되는지 설명합니다. provider와 deployer의 구분, 위험 기반 분류, 역외 적용, 투명성 의무를 다룹니다.