EU Data Act란? 위치 데이터와 지도 API를 위한 해설

EU Data Act는 유럽이 GDPR 이후 통과시킨 기술 규제 중 가장 큰 영향을 미치는 것 중 하나이며, 지금 당장 중요한 마감일을 가지고 있습니다. 2026년 9월 12일부터 EU 시장에 출시되는 커넥티드 제품은 그것이 생성하는 데이터를 사용자가 접근할 수 있도록 만들어져야 합니다. 위치 데이터를 다루는 사람에게 이것은 먼 법적 추상론이 아닙니다. 위치 데이터야말로 이 법이 다루는 기계 생성 데이터 그 자체입니다.

이 글에서는 Data Act가 무엇인지, GDPR과 어떻게 다른지, 왜 위치 데이터가 그 중심에 있는지, 그리고 지도나 위치 API로 제품을 만든다면 무엇을 의미하는지 설명합니다.

Data Act가 실제로 규제하는 것

Data Act, 정식 명칭 Regulation (EU) 2023/2854는 GDPR이 답하지 않는 단순한 질문에 답합니다. 커넥티드 제품이 만들어내는 데이터를 누가 쓸 수 있는가라는 질문입니다. 오랫동안 그 답은 사실상 제조사였습니다. 기계, 차량, 센서는 방대한 양의 데이터를 생성했고, 그 데이터는 기기를 만든 쪽으로 흘러갔으며, 사용자가 그것에 접근할 간단한 방법은 대개 없었습니다.

Data Act는 이 기본값을 바꿉니다. 커넥티드 제품의 사용자, 즉 그것을 구매하거나 임대한 개인이나 기업에는 제품이 생성하는 데이터에 접근하고 그것을 자신이 선택한 제3자와 공유할 권리가 있습니다. 제조사는 더 이상 그 데이터를 독점 자산으로 취급할 수 없습니다. 이 법은 또한 데이터 공유에 관한 공정한 계약 조건 규칙, 소규모 기업에 강요되는 불공정 조항에 대한 보호 장치, 그리고 클라우드 제공자 간 전환을 쉽게 하는 의무도 도입합니다.

핵심은 이 법이 개인 데이터와 비개인 데이터를 모두 다룬다는 점입니다. 사람들이 놓치는 부분이 바로 이것입니다. GDPR이 미치는 범위는 식별 가능한 개인에 관한 데이터뿐입니다. Data Act는 그 안에서 개인을 식별할 수 있든 없든, 기기가 만들어내는 스트림 전체에 미칩니다.

Data Act와 GDPR: 두 개의 법, 하나의 데이터 스트림

가장 흔한 오해는 Data Act가 어떤 식으로든 GDPR을 대체하거나 약화한다는 것입니다. 둘 다 아닙니다. 두 법은 함께 작동하도록 설계되었고, 규제하는 대상이 다릅니다.

GDPR이 규제하는 것은 개인 데이터입니다. 식별 가능한 사람에 관한 정보를 수집, 처리, 공유할 수 있는 조건을 정합니다. Data Act가 규제하는 것은 기계 생성 데이터에 대한 접근과 이동성입니다. 제조사에게 제품이 만들어내는 데이터를 개방하도록 의무를 지우고, 사용자가 그것을 다른 곳으로 옮길 수 있게 합니다.

둘이 만나는 지점에서는 둘 다 적용됩니다. 커넥티드 차량에서 나온 위치 추적 데이터를 생각해 보세요. 기계가 생성했으므로 Data Act의 접근과 이동성 규칙이 적용됩니다. 동시에 운전자의 이동을 식별하므로 개인 데이터이기도 하고, GDPR도 적용됩니다. Data Act의 공유 요청이 GDPR을 무시하는 일은 결코 없습니다. 여전히 적법한 근거가 필요하고, 여전히 통상적인 안전장치를 져야 하며, GDPR이 금지하는 방식으로 개인 데이터를 제3자에게 넘길 수는 없습니다. Data Act는 문을 열지만, 누가 그 문을 지나가도 되는지는 여전히 GDPR이 결정합니다.

왜 위치 데이터가 중심에 있는가

커넥티드 제품이 생성하는 모든 데이터 중에서 위치 데이터는 가장 가치 있고 가장 민감한 축에 듭니다. 바로 그렇기 때문에 이 법을 규정하는 시험대가 됩니다.

커넥티드 차량, 플릿 트래커, 배송 하드웨어, 농기계, 그리고 수많은 IoT 센서는 위치 데이터의 연속 스트림을 생성합니다. Data Act에 따라 그 제품의 사용자는 그 스트림에 도달하고 그것을 선호하는 서비스로 옮길 권리가 있습니다. 남의 텔레매틱스 하드웨어를 운용하는 물류 회사는 자사의 이동 데이터를 쓸 수 있는 형태로 요구할 수 있습니다. 농부는 기계 데이터를 독립적인 분석 도구로 가져갈 수 있습니다. 운전자는 자신의 주행 기록을 옮길 수 있습니다.

이런 제품을 만드는 팀에게 세 가지 의무가 선택 사항에서 구조적 요건으로 바뀝니다.

1. 기본값으로서의 접근. 2026년 9월부터 새 커넥티드 제품은 생성하는 데이터에 별도의 까다로운 절차 없이 도달할 수 있도록 설계되어야 합니다.
2. 이동성. 사용자는 데이터를 다른 곳으로 가져갈 수 있습니다. 즉, 다른 시스템이 실제로 받아들일 수 있는 형태로 나가야 합니다.
3. 상호운용성. 하류에서 이해할 수 없는 데이터는 사실상 이동 가능하지 않습니다. 그래서 오픈 포맷과 안정적인 참조가 중요합니다.

이 중 어느 것도 당신 자신의 도구로만 읽을 수 있는 독점 내보내기로는 충족되지 않습니다. 당신의 락인에 의존하는 이동성은 이동성이 아닙니다.

Data Act의 의무를 위한 제품 설계

이 법의 세 가지 의무, 즉 접근, 이동성, 상호운용성은 구체적인 엔지니어링 선택으로 옮겨집니다. 만드는 동안 제대로 설계하면 의무 비용은 거의 들지 않지만, 사용자가 요청을 제출한 뒤에 뒤늦게 붙이면 큰 비용이 듭니다.

누가 요청하기 전에 접근 경로를 만드세요. 2026년 9월부터 새 커넥티드 제품은 생성 데이터를 기본값으로 공개해야 하며, 지원 티켓과 2주의 대기를 거쳐서가 아닙니다. 사용자에게 자기 데이터를 돌려주는 깔끔하고 문서화된 엔드포인트를 설계하기에 가장 저렴한 시점은 그 기능을 만드는 중이지, 권리가 행사된 뒤가 아닙니다.

내보내기를 진짜로 이동 가능하게 만드세요. 당신 자신의 도구로만 읽을 수 있는 이동성은 이동성이 아닙니다. 문서화된 오픈 표준인 GeoJSON으로 시스템에서 나가는 데이터는 그 구조상 상호운용성 의무를 충족합니다. 독점 형식 덩어리는 언젠가 제기될 민원과 같습니다. 오픈 포맷은 이 법이 제공하는 가장 저렴한 보험입니다.

식별자와 지오코드에서 락인을 피하세요. 주소를 좌표로 바꾸거나 장소에 ID를 붙일 때는 다른 시스템이 해석할 수 있는 참조를 선택하세요. 그래야 데이터를 경쟁사로 옮기는 사용자가 쓸 수 없는 키를 들고 도착하지 않습니다. 좌표 레이어가 여기서 왜 중요한지는 지오코드란을 참고하세요.

이 법이 해결하지 않는 것이 하나 있습니다. 애초에 어느 관할권의 법이 그 데이터를 지배하는가입니다. 이것은 관련되지만 별개의 문제, 즉 데이터 주권이며, API가 우연히 돌아가는 위치에 따라 얼떨결에 정해지기보다는 의도적으로 결정할 가치가 있습니다. 이에 대해서는 데이터 주권과 위치 데이터에서 다룹니다.

MapAtlas는 Data Act에 어떻게 부합하는가

Data Act는 개방적이고 이동 가능하며 잠금이 없는 데이터를 높이 삽니다. 그리고 MapAtlas는 기본적으로 바로 그렇게 결과를 반환합니다. 우리의 Geocoding API와 Search API는 좌표와 장소를 독점 컨테이너가 아니라 문서화된 오픈 포맷으로 돌려줍니다. 따라서 이 법에 따라 사용자에게 지는 내보내기는 나중에 역설계할 무언가가 아니라 이미 가지고 있는 무언가입니다.

그렇다고 컴플라이언스가 자동으로 되는 것은 아닙니다. Data Act를 충족하는 것은 제품을 어떻게 설계하고 계약을 어떻게 쓰고 데이터를 어떻게 관리하느냐이지, 어느 한 공급업체가 아닙니다. 올바른 인프라가 해주는 일은 뒤늦은 개조를 없애는 것입니다. 위치 레이어가 이미 개방적이고 이동 가능하다면, 이 법의 가장 어려운 의무는 소스 단계에서 이미 충족됩니다.

구성 요소에 관해서는, 위치를 주소로 되돌리는 방법은 리버스 지오코딩이란, 이동성 의무를 손쉽게 만드는 오픈 포맷은 GeoJSON이란, 그리고 유럽 내 처리가 플랫폼 전반에서 어떻게 작동하는지는 GDPR 준수 지도 페이지에서 설명합니다. 이 규제는 까다롭지만, 이번만큼은 컴플라이언스로 가는 길과 잘 설계된 엔지니어링의 길이 같은 하나의 길입니다.