법안 초안이 공개되어 있으며, 누구나 의견을 제시할 수 있습니다. 이것이 바로 EU 집행위원회의 운영 방식입니다. DPP 등록부에 관한 규정과 같은 초안은 4주 동안 공개되며, 원하는 사람은 누구나 ‘Have Your Say’ 포털을 통해 실명으로 의견을 제출할 수 있고, 이 의견은 누구나 볼 수 있습니다. 제출된 의견은 공식적으로 최종안에 반영됩니다.
저희는 제조사가 일상에서 가장 먼저 직면하게 될 네 가지 사항에 대해 총 네 차례에 걸쳐 의견을 제출했습니다. 2026년 4월 29일자 초안에 대해서는 이 블로그에서 자세히 다룬 바 있으며, 의견 제출 기간은 2026년 5월 27일까지입니다. 이 글에서는 우리가 집행위원회에 어떤 내용을, 왜 제출했는지 설명합니다.
왜 네 건의 개별 의견서를 제출했는가
이 포털은 게시물당 4,000자까지 허용합니다. 모든 사항을 하나의 긴 게시물에 압축해 넣을 수도 있었겠지만, 5월에 수십 건의 게시물을 검토해야 하는 위원회 직원들에게는 읽기도, 인용하기도 더 어려웠을 것입니다. 네 건의 개별 의견서는 공개 목록에서 각각 따로 찾을 수 있으며, 다른 사항에 영향을 주지 않고 각 의견서에 대해 개별적으로 찬성하거나 반대할 수 있습니다.
저희는 다음 네 가지 주제를 제출했습니다:
1. 서비스 제공자가 최소한 수행해야 할 의무 규정
초안은 분담 관계를 올바르게 규정하고 있습니다. 여권 데이터는 기업이나 해당 서비스 제공자에게 남아 있으며, 위원회의 등록부는 참조 정보만 저장합니다. 서비스 제공자(ESPR 제2조 제32호)에 대해서는 승인된 제공자의 공식 목록이 마련될 예정입니다.
누락된 부분은 서비스 제공자가 이 목록에 등재되고 그 지위를 유지하기 위해 실제로 어떤 의무를 이행해야 하는지 명시된 내용이 없다는 점입니다. 아마도 실제 의무 사항은 ESPR 제4조에 따라 별도의 법령을 통해 규정될 것으로 보입니다. 그러나 등록부는 해당 법령이 공표되기 전에 운영을 시작합니다.
저희의 제안은 다음과 같습니다. 이 규정 내에 서비스 제공자에 대한 최소 의무를 직접 명시하거나, 해당 법적 조치가 제출될 기한을 명확히 정해야 합니다. 제안된 최소 의무에는 다음이 포함됩니다:
- 여권용 공개 읽기 인터페이스의 월간 가용성이 최소 99.5% 이상이어야 함
- 새로운 여권 버전이 백업 사본에 반영되어야 하는 기한에 대한 명확한 약속 (제안: 24시간 이내 또는 기술적으로 가능한 경우 즉시)
- 서비스 제공자는 수신되는 모든 버전의 서명을 검증해야 한다
- 기업의 공개 키는 통일된 경로(RFC 8615에 따라, 제안:
/.well-known/dpp-keys/)에 위치해야 한다 - 제공업체가 중단될 경우 패스 데이터가 체계적으로 다른 제공업체로 이전될 수 있도록, 변경 및 파산에 대한 명확한 절차가 마련되어야 합니다
이러한 의무 사항은 신뢰할 수 있는 제공업체에게는 아무런 비용이 들지 않으며, 어차피 이미 준수하고 있는 사항입니다. 그러나 이는 저가 제공업체들 간의 무분별한 가격 경쟁을 방지하여, 결국 목록의 가치를 떨어뜨리는 것을 막아줍니다.
2. 10년간 유효한 증명서
제9조(4)항은 등록 증명서의 ## 유효기간을 90일(달력일 기준)로 제한하고 있습니다. 이 기간 내에 등록 기관은 요청에 따라 증명서를 재발급합니다. 일상적인 운영에는 문제가 없지만, 이 조항의 기반이 되는 의무의 유효 기간과는 맞지 않습니다. 제10조(3)항은 등록일로부터 10년간 보관하도록 규정하고 있으며, 업계별 법률에 따라 더 긴 기간이 요구될 수 있습니다.
2032년의 시장 감시 기관, 세관 공무원, 재활용 업체 또는 연구원은 2026년에 등록된 패스가 실제로 등록되었음을 확인할 수 있어야 하며, 이를 위해 원래 기업이 여전히 존재하여 새로운 증명서를 요청할 수 있어야 한다는 전제에 의존해서는 안 됩니다.
다음 두 가지 제안은 비용 효율적으로 이행할 수 있습니다:
- 위원회가 인증한 증명서를 기업이나 서비스 제공자가 보관, 아카이빙 및 전달할 수 있음을 명시적으로 명확히 합니다. eIDAS 규정 제35조(2)항에 따른 적격 인장은 파일이 어디에 저장되어 있든 진위성과 출처를 입증합니다.
- 등록부에 공개된 조회 주소를 마련하여, 등록 번호에 대한 로그인 절차 없이도 서명된 응답을 제공하도록 합니다. 현재 제3자에 의한 모든 검증은 기업 스스로가 조치를 취해야만 가능합니다. 이는 발행자보다 오래 보존되어야 하는 증명 문서에 있어 부적절한 방식입니다.
또한, 지문(fingerprint) 계산 방식을 명확히 규정할 것을 제안했습니다: 고정된 절차와 데이터의 고정된 표기법 (저희 제안: SHA-256 및 RFC 8785에 따른 JSON 정규화). 이러한 규정이 없다면, 두 서비스 제공자가 동일한 여권에 대해 서로 다른 지문을 산출하게 될 것이며, 등록 증명서에 기재된 지문을 재계산할 수 없게 될 것입니다.
3. 제17조는 공개된 패스 데이터에 대한 접근을 제한해서는 안 됩니다
제17조는 “대량 데이터 다운로드”를 등록부의 잠재적 오용 사례로 언급하고 있습니다. 등록부 자체에 포함된 행정 데이터(신원 정보, 로그, 감사 추적 기록)의 경우 이는 타당한 지적입니다. 이러한 데이터는 대량 다운로드 대상이 아니기 때문입니다.
그러나 제조사나 서비스 제공업체가 보유한 공개 여권 데이터는 바로 ESPR이 폭넓게 접근 가능하게 하려는 대상이다. 전체 제품군에 대한 재료 데이터를 조회하는 재활용 업체, 지속가능성 정보를 교차 분석하는 연구, 비교 분석을 수행하는 시장 감시 기관: 이 모든 것은 공개된 제품 패스 데이터에 대한 대량 다운로드로, 규정이 제정된 목적인 의도된 활용 사례들입니다.
저희의 제안은 제17조에 명확성을 부여하는 문구를 추가하여, 적용 범위를 등록부 데이터로 제한하고 제품 패스 데이터에 대해서는 해당 산업별 규정을 참조하도록 하는 것입니다. 그렇지 않으면 서비스 제공자는 서비스 개시 시 다음과 같은 선택의 기로에 서게 됩니다. 안전을 위해 공개 접근을 대폭 제한하여 소비자의 이용 경험을 저해하거나, 공개 접근을 허용한 채 나중에 제17조에 따른 남용으로 분류될 위험을 감수하는 것 중 하나를 선택해야 합니다.
4. 서비스 개시 전 인터페이스 설명 및 테스트 환경 공개
제3조(b)항은 등록을 위한 인터페이스를 요구합니다. 제8조(5)항은 이를 등록을 위한 두 가지 방법 중 하나로 규정하고 있습니다. 그러나 이 규정은 해당 인터페이스가 언제 설명되어야 하는지에 대해서는 언급하지 않습니다.
등록 절차를 자동화하는 모든 서비스 제공자 및 대규모 카탈로그를 보유한 기업은 시스템을 구축하고 실제 상대방과 테스트하기 위해 서비스 개시 훨씬 전에 설명서를 확보해야 합니다. 발효 일주일 전에야 설명서를 확보하게 된다면, 그 위험은 모든 제공자에게 전가될 것입니다.
따라서 우리는 다음과 같이 제안했습니다:
- 발효일 최소 8주 전까지 완전한 인터페이스 설명서 (OpenAPI 3.1)를 공개할 것. 즉, 2026년 7월 19일 시행을 기준으로 2026년 5월 24일까지
- 이와 병행하여 서비스 제공업체 및 제조업체가 시스템을 구축하고 제8조(6)항에 따른 자동 검증을 시험해 볼 수 있는 테스트 환경을 마련할 것
- 인터페이스 버전에 대한 명확한 규칙 및 최소 18개월의 종료 예고 기간을 설정할 것
추가 제안: 반복 호출 시 중복 등록 방지, 대규모 카탈로그를 위한 일괄 등록, 대기 대신 피드백을 통한 등록, 자동 검사가 실패할 경우를 대비한 기계 판독 가능 오류 코드.
우리가 이 일을 하는 이유
의견 수렴은 점수를 모으는 게임이 아닙니다. 위원회는 실제로 이러한 의견들을 검토합니다. ESPR 절차 자체의 경험에 비추어 볼 때, 전문적인 근거를 갖춘 의견은 최종 문안에 종종 반영되는 것으로 나타났습니다.
모든 의견 제출이 최종본의 단 한 문장이라도 더 정확하게 만드는 데 기여한다면, 그 목적은 달성된 것입니다.
어차피 절차가 공고되는 대로 저희는 서비스 제공자 명단 등재를 신청할 예정입니다. 따라서 저희가 경쟁에 참여하는 규칙이 정확하고 공정한 경쟁 환경을 조성하는 것은 저희 자신의 이익이기도 합니다. 이 네 가지 의견 제출은 해당 목록이 단순한 명목상의 목록으로 전락하지 않도록 하기 위한 저희의 구체적인 노력입니다.
참여를 원하시는 분
접수 기간은 2026년 5월 27일까지입니다. 의견은 EU의 모든 공식 언어로 제출할 수 있으며, 포털에 로그인해야 하고 제출된 내용은 공개됩니다. 패스를 발급하거나 검사할 주체, 즉 제조업체, 서비스 제공업체, 재활용업체, 당국 등은 Have Your Say에서 이 이니셔티브에 대해 최소 한 번은 읽어보시기 바랍니다. 짧지만 전문적으로 정확한 의견 제출도 큰 도움이 됩니다.
저희의 검증 도구 Transpareo Time Machine 는 사실 2번 항목에서 설명한 요구 사항을 이미 해결하고 있습니다. Transpareo 패스를 독립적으로 검증하고자 하는 분은, 유럽연합 집행위원회 등록부에 등재된 검증 주소를 기다릴 필요 없이 브라우저에서 이 오픈소스 도구를 사용하여 직접 검증할 수 있습니다.
