영국은 2025년 데이터 보호법의 일부를 다시 작성했고, 이제 대부분의 변경 사항이 적용되고 있다. Data (Use and Access) Act는 새로운 GDPR이 아니다. 이 법은 UK GDPR, Data Protection Act 2018, 그리고 PECR의 쿠키 규정을 개정한다. 공개된 웹 데이터를 수집하는 팀들에게는 이러한 개정 사항 중 일부가 상당히 중요하며, 일부 대중적인 해석은 지나치게 앞서 나간 경우도 있다.
이 가이드는 현재 시행 중인 내용, 적법 근거, 연구, 고지, 쿠키, 자동화된 의사결정, 이전(transfer)과 관련하여 변경된 사항, 그리고 이 법이 변경하지 않은 사항을 다룬다. 이는 일반적인 정보이며 법률 자문이 아니다.
무엇이 시행 중이며, 언제부터인가
이 법은 2025년 6월 19일 왕실 재가(Royal Assent)를 받았으며, 시행 규정(commencement regulations)에 따라 단계적으로 발효되었다.
| 날짜 | 발효된 내용 |
|---|---|
| 2025년 6월 19일 | 접근 요청에 대한 “합리적이고 비례적인” 검색 |
| 2025년 8월 20일 | 스마트 데이터 권한, 그리고 저작권 및 AI에 관한 보고 의무 |
| 2025년 12월 1일 | 디지털 검증 서비스 프레임워크 |
| 2026년 2월 5일 | 주요 UK GDPR 및 PECR 변경 사항: 적법 근거, 연구, 고지, 자동화된 의사결정, 이전, 쿠키, 과징금 |
| 2026년 6월 19일 | 컨트롤러는 민원 처리 절차를 운영해야 함 |
| 2026년 9월 30일 | Information Commissioner’s Office가 Information Commission으로 전환 |
따라서 사람들이 “새로운 영국 규정”을 언급할 때는 대개 2026년 2월 5일에 시작된 패키지를 의미한다.
적법 근거: 알려진 것보다 변화는 적다
이 법은 새로운 적법 근거인 “인정된 정당한 이익(recognised legitimate interests)“을 추가한다. 고정된 목록에 있는 목적 중 하나를 위해 필요한 처리는 균형 테스트 없이 적법하다. 이 목록은 공공 기관에 대한 공개, 국가 안보와 국방, 긴급 상황, 범죄 및 취약한 사람 보호 등 공익 목적을 다룬다. 일반적인 상업적 데이터 수집은 여기에 포함되지 않는다.
상업적 작업의 경우, 익숙한 정당한 이익 근거는 변경되지 않았다. 여전히 귀하의 이익이 “정보주체의 이익이나 기본권 및 자유에 의해 압도되지 않는” 경우에만 적용된다. 이 법은 직접 마케팅, 내부 행정을 위한 그룹 내 공유, 네트워크 보안 등 정당한 이익이 될 수 있는 처리의 예시를 추가로 제시한다. 다만 이는 예시일 뿐 통과 보증이 아니다. 균형 테스트는 여전히 적용된다.
스크래핑에 관해서는 규제 당국의 입장이 바뀌지 않았다. 생성형 AI에 관한 협의에 대한 2024년 12월 답변에서, 규제 당국은 웹 스크래핑된 개인 데이터로 생성형 AI를 학습시킬 때 이용 가능할 가능성이 있는 유일한 적법 근거는 정당한 이익이며, 개발자가 목적, 필요성, 균형이라는 3단계 테스트를 통과하는 경우에만 그렇다고 밝혔다. 또한 규제 당국은 스크래핑을 고위험이면서 대체로 보이지 않는 처리로 간주한다. 스크래핑 프로젝트 전에 법무팀이 물어볼 질문에 관한 가이드에서 그러한 논거를 준비하는 방법을 다루고 있다.
연구의 정의가 더 넓어졌다
이 법은 과학적 연구에 대한 정의를 UK GDPR에 명시한다. 이는 “공공 자금이든 민간 자금이든, 상업적 활동이든 비상업적 활동이든 상관없이 합리적으로 과학적이라고 설명할 수 있는 모든 연구”를 의미하며, 기술 개발과 응용 연구도 포함한다.
이는 연구 목적이 아래의 고지 면제를 포함하여 유용한 면제를 수반하기 때문에 중요하다. 그러나 테스트는 여전히 “합리적으로 과학적이라고 설명될 수 있는지”이므로 모든 분석 프로젝트가 해당하는 것은 아니다. 통계 목적에도 더 엄격한 정의가 있다. 결과는 개인 데이터가 아닌 집계 데이터여야 하며, 특정 개인에 대한 의사결정에 사용되어서는 안 된다.
이 법은 또한 처음부터 목적을 완전히 특정할 수 없는 연구 분야에 대해 “포괄적 동의(broad consent)“를 허용한다. 이는 참여자가 있는 연구에는 도움이 되지만, 아무에게도 동의를 구하지 않은 스크래핑된 데이터에는 별 소용이 없다.
사람들에게 알리기: 고지 문제
스크래핑된 개인 데이터는 본인으로부터 획득한 것이 아닌 데이터이므로 UK GDPR의 제14조가 적용된다. 원칙적으로 사람들에게 프라이버시 고지를 제공해야 한다. 대규모 데이터셋에 포함된 모든 사람에게 연락하는 것은 거의 불가능하며, 이 법은 이제 면제를 근거로 삼을 수 있는 경우를 명시한다.
| 면제 조항 | 내용 |
|---|---|
| 제14조 제5항 (e) | 정보 제공이 “불가능하거나 불균형적인 노력을 수반”하는 경우 |
| 제14조 제5항 (f) | 고지가 처리의 목적을 “불가능하게 만들거나 심각하게 훼손”하는 경우 |
| 제14조 제6항 | 불균형적인 노력 여부는 “정보주체의 수, 개인 데이터의 경과 시간, 적절한 안전장치”에 좌우됨 |
| 제14조 제7항 | 여전히 적절한 조치를 취해야 하며, “정보를 공개적으로 이용 가능하게 하는 것을 포함”함 |
실무적인 결과는 다음과 같다. 불균형적인 노력을 근거로 삼는다면, 무엇을, 어디서, 왜 수집하는지, 그리고 사람들이 어떻게 이의를 제기할 수 있는지에 관한 명확한 고지를 게시해야 한다. 각 요소를 어떻게 비교 형량했는지 기록을 남겨야 한다. 별도의 제13조 개정 사항에 따라, 컨트롤러가 연구, 보관(archiving), 통계만을 위해 데이터를 재사용하는 경우, 동일한 불가능 또는 불균형적 노력 테스트 하에서 새로운 고지를 생략할 수 있다.
쿠키와 동의 장벽
PECR은 이제 사이트가 일부 쿠키를 동의 없이 설정할 수 있도록 허용한다. 서비스 이용에 관한 통계 목적, 방문자의 선호도를 기억하거나 사이트의 외관을 개선하기 위한 목적, 그리고 보안 및 사기 방지와 같이 엄격히 필요한 목적이다. 앞의 두 가지 경우, 사용자는 명확한 정보와 간단하고 무료로 이의를 제기할 수 있는 방법을 제공받아야 한다. 쿠키 및 마케팅 위반에 대한 과징금은 이제 1,750만 파운드 또는 전 세계 매출액의 4% 중 더 높은 금액에 이른다.
이는 먼저 귀하 자신의 사이트에 영향을 미친다. 또한 사이트들이 배너를 조정함에 따라 크롤러가 영국 페이지에서 보는 내용도 달라질 수 있으므로, 동의 장벽의 레이아웃에 의존하는 파서가 있다면 점검해야 한다. 국가별 동의 장벽에 관한 연구에서 이러한 페이지들이 이미 얼마나 다양한지 보여준다.
자동화된 의사결정과 이전
스크래핑된 데이터가 리드 스코어링이나 후보자 심사와 같이 사람에 관한 의사결정에 투입된다면, 자동화된 의사결정에 관한 규정이 이제 다르게 적용된다. 중대한 영향을 미치는 전적으로 자동화된 의사결정이 더 이상 일반적으로 금지되지는 않지만, 그러한 의사결정에 관해 사람들에게 알려야 하고, 의견을 제시할 수 있게 해야 하며, 인간의 개입을 제공해야 하고, 결과에 이의를 제기할 수 있게 해야 한다. 특수 범주 데이터를 사용하는 의사결정은 여전히 엄격하게 제한된다.
해외 이전의 경우, 새로운 테스트는 목적지의 보호 수준이 영국의 보호 수준보다 “실질적으로 낮지 않은지” 여부이며, 데이터 반출자는 “합리적이고 비례적으로 행동”하여 그러한 판단에 도달할 수 있다. EU는 2026년 12월 27일까지, 2025년 12월 19일 영국에 대한 적정성 결정(adequacy decision)을 갱신했으며, 이에 따라 개인 데이터는 계속 EU에서 영국으로 흐를 수 있다.
이 법이 변경하지 않은 것: AI와 저작권
이 법에서 가장 논쟁적인 부분은 제외된 내용이다. 상원(House of Lords)은 AI 개발자가 학습에 사용한 저작권 저작물을 공개하도록 요구하는 수정안을 반복적으로 추가했고, 하원(Commons)은 매번 이를 삭제했다. 그 대신 이 법은 정부가 저작권과 AI에 관한 보고서와 경제적 영향 평가를 발표하도록 요구했다.
두 문서 모두 2026년 3월 18일에 공개되었다. 보고서는 권리자에게 옵트아웃을 허용하는 포괄적인 저작권 예외가 “더 이상 정부가 선호하는 방향이 아니다”라고 밝혔으며, 대체안을 제시하지 않고 먼저 더 많은 증거를 수집하기로 했다. 따라서 영국 저작권법은 변경되지 않았다. Copyright, Designs and Patents Act 제29A조의 텍스트 및 데이터 마이닝 예외는 여전히 비상업적 연구만을 다룬다. 기계 판독 가능한 옵트아웃은 아직 영국에서 특별한 법적 효력을 지니지 않지만, 여전히 의도를 나타내는 신호로 작용한다. robots.txt와 AI 예약 신호에 관한 가이드에서 이를 해석하는 방법을 다루고 있다.
데이터 팀이 해야 할 일
- 적법 근거를 확인하라. 정당한 이익에 의존하는 경우, 최신 평가를 유지하라. 인정된 정당한 이익 목록이 귀하를 보호해 준다고 가정하지 마라.
- 연구 주장을 검증하라. 합리적으로 과학적이라고 부를 수 있는 작업에만 연구 면제를 사용하고, 그 이유를 문서화하라.
- 고지를 게시하라. 불균형적인 노력을 근거로 삼는다면, 수집과 이의 제기를 설명하는 공개 고지를 만들고, 그 판단 근거를 보관하라.
- 사람에 관한 의사결정을 매핑하라. 귀하의 데이터가 투입되는 모든 자동화된 의사결정을 나열하고 안전장치를 추가하라.
- 데이터의 출처를 기록하라. 출처 URL, 날짜, 그리고 당시 시행 중이던 고지를 보관하라. AI 학습 파이프라인의 출처(provenance)에 관한 가이드에서 실용적인 형식을 보여준다.
- 저작권 관련 동향을 주시하라. 영국은 현재 상업적 마이닝 예외가 없으며, 정부는 입법 전에 더 많은 증거를 원한다고 밝혔다.
프록시의 역할
프록시는 요청이 어디서 오는지를 바꿀 뿐, 법이 허용하는 것을 바꾸지 않는다. 영국 IP에서든 다른 어디에서든 영국의 개인 데이터를 수집하는 것은 동일한 UK GDPR 의무의 적용을 받는다. 레지덴셜 프록시는 가격 모니터링, 광고 검증, 동의 배너가 어떻게 표시되는지 확인하는 작업처럼, 현지 방문자가 보는 방식으로 영국의 공개 페이지를 보는 데 유용하다. 이는 귀하의 적법 근거, 고지 의무, 또는 누군가의 저작권을 바꾸지 않는다.
결론
Data (Use and Access) Act는 영국의 일부 규정을 완화했지만, 대부분의 웹 데이터 팀이 바라던 규정은 아니었다. 상업적 수집에는 여전히 균형 테스트를 거친 정당한 이익 논거가 필요하다. 고지 의무는 더 명확해졌으며, 고지를 게시하는 것이 이제 그 일부가 되었다. 연구는 범위가 넓어졌지만 진정으로 과학적이어야 한다. AI 학습에 관해서는 저작권 문제가 여전히 열려 있다. 규제 당국이 새로운 명칭에 적응하는 동안, 지금 귀하의 선택을 문서화하라.
출처 및 참고 자료
- Data (Use and Access) Act 2025, 제정본: legislation.gov.uk
- 제67조, 연구 및 통계 목적의 의미: legislation.gov.uk
- 제77조, 정보주체에게 제공되어야 하는 정보: legislation.gov.uk
- 부칙 4, 인정된 정당한 이익: legislation.gov.uk
- 부칙 12, 단말기 장비에 정보 저장: legislation.gov.uk
- UK GDPR 제6조, 개정본: legislation.gov.uk
- Commencement No. 1 Regulations 2025 (SI 2025/904): legislation.gov.uk
- Commencement No. 4 Regulations 2025 (SI 2025/1213): legislation.gov.uk
- Commencement No. 6 Regulations 2026 (SI 2026/82): legislation.gov.uk
- Commencement No. 9 Regulations 2026 (SI 2026/1015): legislation.gov.uk
- DSIT, Data (Use and Access) Act 2025: plans for commencement: gov.uk
- ICO, The lawful basis for web scraping to train generative AI models: ico.org.uk
- DSIT, DCMS and IPO, Report and impact assessment on copyright and artificial intelligence (2026년 3월 18일): gov.uk
- European Commission, renewal of the UK adequacy decisions (2025년 12월 19일): ec.europa.eu