온라인 마켓플레이스 및 클라우드 플랫폼을 위한 전자 증거: 알아야 할 사항

그리고 EU 전자 증거 규정(EU) 2023/1543 is often discussed as if it were a problem only for telecoms. It is not. Since 2026년 8월 18일, online marketplaces, SaaS platforms, cloud storage and IaaS providers, hosting companies, social networks and collaboration tools can all be in scope, if they let users communicate with each other or if storing data for users is a defining part of the service. If that describes your platform and you offer services to users in the EU, you must be ready to receive and execute European Production Orders (sent as EPOCs) and European Preservation Orders (transmitted as EPOC-PR certificates) — directly from the issuing authority, on tight regulatory deadlines. For production orders covering traffic or content data, the authority in your addressee’s Member State is usually notified and can raise grounds for refusal within 10 days (96 hours in emergencies).

For platforms that have historically dealt with data requests as an occasional, ad-hoc legal matter, this is a step-change. The German government’s implementing bill estimates around 10,000 affected service providers in Germany alone. This guide explains exactly which platforms are affected, what kinds of orders to expect, what the regulation requires of marketplaces and cloud providers in particular, and how to build a compliant operating model now that the Regulation applies.

어떤 온라인 플랫폼이 전자 증거의 범위에 포함되나요?

이 규정은 최신 온라인 서비스의 현실을 포착하기 위해 의도적으로 광범위하고 기술 중립적인 정의를 사용합니다. 플랫폼 운영자와 가장 직접적으로 관련된 범주는 다음과 같습니다:

• 온라인 마켓플레이스 — where they let buyers and sellers communicate with each other (messaging, Q&A, reviews) or store data on users’ behalf; being a marketplace is not enough on its own (Regulation (EU) 2023/1543, Art. 3(3)(c) and recital 27). This can cover B2C marketplaces, peer-to-peer trading platforms, ticketing platforms, gig and on-demand marketplaces, and rental platforms.
• 클라우드 컴퓨팅 및 스토리지 제공업체 - IaaS, PaaS 및 SaaS 제공업체, 개체/파일 스토리지 서비스, 백업 및 재해 복구 제공업체, 관리형 데이터베이스 서비스.
• 호스팅 제공업체 — managed hosting, dedicated servers, VPS, and CDNs and edge platforms where they store customer data.
• 소셜 네트워크 및 온라인 커뮤니티 - 포럼, 데이트 앱, 전문 네트워크, 소셜 기능이 있는 게임 플랫폼, 크리에이터/스트리밍 플랫폼 등이 있습니다.
• 사용자 데이터를 저장하는 정보 사회 서비스 - 협업 제품군, 파일 공유 도구, 프로젝트 관리 플랫폼, 로우코드/노코드 플랫폼, 프롬프트 또는 결과물을 유지하는 AI 제품 등입니다.
• 인터넷 도메인 및 IP 번호 지정 서비스 — registries, registrars, privacy/proxy services and regional internet registries.
• 숫자와 무관한 대인 커뮤니케이션 - 대형 제품에 내장된 오버더톱 메시징, 화상 회의 및 채팅 기능입니다.

결정적으로, 이 규정에서는 “실질적인 연결” 테스트: you are in scope if users in the EU can use your service and you have a substantial connection to the EU: an establishment there, a significant number of EU users, or activities targeted at EU Member States (language, currency, local app store, ads), regardless of where your corporate entity is registered. Mere accessibility of your website is not enough.

당국은 어떤 종류의 데이터를 요청하나요?

규정은 전자 증거의 네 가지 범주를 구분하며, 각 범주마다 기준과 안전장치가 다릅니다:

1. 구독자 데이터 - 신원, 연락처, 청구 정보, 사용한 서비스 유형 및 등록 날짜.
2. 사용자 식별을 위한 목적으로만 요청된 데이터 — IP addresses with, where needed, source port and timestamp, requested only to identify a person.
3. 트래픽 데이터 (other than identification data) — connection logs, transaction metadata, purchase history, device IDs, timestamps and routing information.
4. 콘텐츠 데이터 — listings, messages, uploaded files, photos, documents and other substantive content.

For production orders, subscriber and identification data may be requested for any criminal offence; traffic and content data are reserved for offences punishable in the issuing State by a maximum sentence of at least three years, or for listed offences: non-cash payment fraud, child sexual abuse and attacks against information systems committed online, and terrorist offences. Preservation orders can cover any data category for any criminal offence. Marketplaces and cloud platforms typically hold all four categories — which is why precise data mapping is a foundational compliance task.

마켓플레이스 및 클라우드 플랫폼의 일반적인 전자 증거 시나리오

온라인 마켓플레이스 사기

An investigator pursuing a fraud ring asks a marketplace operator for the seller’s identity, registration IP, transaction history and message threads with victims. Subscriber data and the registration IP address (identification data) can be ordered for any criminal offence. Transaction metadata, message threads and photos are traffic and content data: they need a judge-issued or judge-validated order for an offence carrying a maximum of at least three years (or a listed offence such as online payment fraud), and the enforcing State is usually notified at the same time.

클라우드 플랫폼에서의 랜섬웨어 및 인프라 악용

A prosecutor investigating a ransomware operation asks a cloud provider for control-plane logs, instance metadata, billing identity and storage access logs for a suspect tenant. Where the attack threatens life or critical infrastructure (e.g. a hospital), these can arrive as emergency orders with an 8-hour deadline; otherwise the 10-day deadline applies.

온라인 아동 안전 조사

Investigations into child sexual abuse material on social or content platforms typically combine identification orders with content production and preservation orders. These cases benefit from the Regulation’s specific offence list and, where a child is at imminent risk, the 8-hour emergency regime, but also demand the highest standards of integrity and chain of custody.

계정 탈취 및 대규모 피싱

Authorities may issue European Preservation Orders (sent as EPOC-PRs) early in an investigation to lock down logs and account data while a production order is prepared. Platforms must be able to preserve specific datasets for 60 days, extendable by 30, and for as long as needed once the authority confirms that a production request has been issued, without disturbing normal retention or analytics workflows.

Designated Establishment or Legal Representative: Who Receives Your Orders

Every in-scope provider that is active in more than one Member State, or established outside the EU, must name an addressee for orders: EU-established providers designate one of their EU establishments as the 지정 사업장; providers without an EU establishment appoint a 법정 대리인 in a participating Member State (Directive (EU) 2023/1544, Art. 3). New entrants have six months from launch. This addressee is the address of service for every EPOC and EPOC-PR — and is itself liable for compliance.

• Without a designated establishment or legal representative you breach national law implementing Directive (EU) 2023/1544 (in Germany: fines up to EUR 500,000). Failing to execute orders can cost up to 2% of worldwide turnover.
• 지정된 법인은 관할 국가 기관에 등록해야 합니다(독일에서는 공정거래위원회; 다른 회원국에도 이와 동등한 규정이 있음).
• 규정 기한 내에 주문을 처리할 수 있는 권한과 운영 능력이 있어야 합니다.
• 글로벌 법무, 보안 및 엔지니어링 팀과 원활하게 협력해야 하며, 시간대가 다른 경우가 많습니다.

For non-EU platforms, the most efficient solution is often a legal representative service: an EU-based partner appointed under Directive (EU) 2023/1544, jointly liable with you, that runs the 24/7 intake, validates and triages orders, and escalates to your in-house teams the substantive decisions that require platform-side knowledge. SMEs may share a legal representative with other providers.

마켓플레이스 및 클라우드 플랫폼에 대한 운영 요구 사항

규정 준수는 단순한 서류 작업이 아닙니다. 10일의 표준 마감일과 8시간의 긴급 마감일을 안정적으로 지키기 위해 플랫폼은 일반적으로 다음이 필요합니다:

• Secure intake through the national e-Evidence system of the Member State where your addressee sits, either via the ETSI TS 104 144 API or the web interface, with validation of qualified electronic signatures and seals (Art. 21) and issuing-authority credentials.
• 시스템 간 데이터 검색 레거시 및 최신 데이터 저장소에서 구독자, 식별, 트래픽 및 콘텐츠 데이터를 찾을 수 있습니다.
• Standardised delivery through the same channel, in formats the issuing authority can process, with integrity hashes.
• 암호화된 배달 to the issuing authority’s X.509 certificate where one is supplied, with verifiable receipt and audit-grade logging; files over 25 MB go by the most appropriate secure alternative means (Art. 19(5)).
• 조작이 명백한 감사 추적 증거 무결성 및 사후 규제 검토에 필수적인 접수부터 전달까지의 모든 작업을 포괄합니다.
• 연중무휴 24시간 대기 중인 법률 및 엔지니어링 대응팀, 를 사용하여 긴급 명령을 위한 연습용 런북을 만들 수 있습니다.
• 데이터 최소화 제어 GDPR 5조에 따라 구체적으로 주문된 사항만 공개하도록 합니다.
• Optional e-Evidence statistics (Art. 28(4)), coordinated with any DSA transparency reporting you already publish.

이 모든 기능을 자체적으로 구축하는 것은 대형 플랫폼의 경우 가능하지만, 대부분의 마켓플레이스와 클라우드 제공업체는 전용 솔루션의 이점을 누릴 수 있습니다. 그리고 ICS 전자 증거 규정 준수 플랫폼 는 수집부터 유효성 검사, 추출, 검토 및 전달에 이르는 전체 수명 주기를 다루며 기존 ID, 로깅 및 저장 시스템과 통합됩니다.

클라우드 서비스 제공업체를 위한 특별 고려 사항

Cloud providers face several layered challenges that pure-content platforms do not. Orders should normally go to your business customer as data controller. You will be addressed directly only if the controller cannot be identified or approaching it would jeopardise the investigation, and you must inform the customer unless the authority asks you not to (Art. 5(6)-(7)).

• 멀티테넌시 및 격리: 프로덕션은 기술적으로나 계약상 다른 테넌트를 노출시키지 않고 단일 고객의 데이터를 타겟팅해야 합니다.
• 고객이 제어하는 암호화: 고객이 자체 키(BYOK/HYOK)를 보유하고 있는 경우, 제공업체는 콘텐츠 데이터를 실제로 생성할 수 없을 수 있으며 이러한 제한 사항을 문서화하여 전달해야 합니다.
• 공동의 책임: 계약 및 데이터 처리 계약에는 어떤 당사자가 어떤 데이터에 대한 법 집행 명령을 받고 집행할 책임이 있는지 명확하게 명시해야 합니다.
• 고객 알림: 상업 고객, 특히 기업 B2B 고객은 발급 기관에서 부과하는 기밀 유지 의무에 따라 액세스 요청에 대한 알림을 받을 계약상의 권리가 있는 경우가 많습니다.
• 지역 간 복제: data may sit in multiple Member States or third countries, raising potential conflicts between EU orders and third-country law (the “Article 17 review”), raised as a reasoned objection within 10 days; the mere fact that data is stored outside the EU is not a valid ground.

온라인 마켓플레이스에 대한 특별 고려 사항

• 판매자 인증 데이터 (KYC, 사업자 등록, 세금 ID)는 조사관에게 가장 가치가 높은 가입자 데이터인 경우가 많으며 쉽게 추출할 수 있어야 합니다.
• 목록 및 메시지 는 일반적으로 콘텐츠 데이터이며 더 높은 위반 심각도 임계값을 생성해야 합니다.
• 결제 데이터 held by payment service providers is outside the e-Evidence Regulation (financial services are excluded); authorities obtain it through national procedures.
• 해외 판매자 소비자 보호, 부가가치세 및 DSA 의무와 중복될 수 있으므로 전자 증빙은 이러한 프로그램과 중복되지 않고 통합되어야 합니다.

규정 미준수에 대한 처벌

Member States must impose effective, proportionate and dissuasive penalties. Member States must allow pecuniary penalties of up to 2% of total worldwide annual turnover for failing to execute orders or protect their confidentiality. Germany, for example, fines up to EUR 500,000, or up to 2% of turnover for providers above EUR 25 million; for hyperscalers and large marketplaces, the headline figures rapidly become material to financial reporting. Beyond fines, repeated failures can trigger court orders, regulatory action and significant reputational damage with enterprise customers, partners and investors.

A 90-Day Catch-Up Plan for Platforms

1. Days 1–15 — Scope and data mapping. 범위 내에 있는 엔티티와 서비스를 확인하고, 구독자/식별/트래픽/콘텐츠 데이터를 시스템 간에 매핑하고, 격차를 파악합니다.
2. Days 15–30 — Legal foundations. Designate an EU establishment or appoint a legal representative, register with the competent authority, update contracts, DPAs, terms and law-enforcement guidelines.
3. Days 30–60 — Technical build. Connect to the national e-Evidence system of the Member State where your addressee sits (ETSI TS 104 144 API or web interface). As of September 2026 only Germany and Ireland can receive orders this way; elsewhere, agree a secure fallback channel with the authorities. Deploy intake/validation/extraction tooling, harden audit logging.
4. Days 60–80 — Operational readiness. 연중무휴 24시간 대응팀을 모집 및 교육하고, 런북을 완성하고, 긴급 도상 훈련을 실시하세요.
5. Days 80–90 — Assurance. Independent compliance audit, board-level sign-off and a go-live rehearsal.

자주 묻는 질문

자세한 내용은 전용 전자 증거 FAQ.

소규모 마켓플레이스와 클라우드 스타트업에도 전자 증거가 적용되나요?

Yes. There is no general SME exemption. If you offer an in-scope service to users in the EU, you are in scope regardless of headcount or revenue. Smaller platforms can scope their compliance proportionately, but the core obligations — designated establishment or legal representative, intake, response capacity — still apply. The exception: a provider established in one Member State and offering services only there need not designate an addressee (Directive (EU) 2023/1544, Art. 1(5)). SMEs may share a legal representative with other providers.

기존의 법 집행 워크플로우를 그대로 사용할 수 있나요?

Probably not. Most existing workflows assume manual email/portal intake and weeks of turnaround. The e-Evidence Regulation requires intake through the national e-Evidence system (ETSI TS 104 144 API or web interface), hour-level emergency response and tamper-evident audit logs that legacy workflows usually do not provide.

데이터가 하위 프로세서 또는 당사 그룹의 다른 부서에서 보유하는 경우 어떻게 하나요?

The provider receiving the order is responsible for executing it. Orders are normally addressed to the data controller; a processor is addressed only if the controller cannot be identified or approaching it would jeopardise the investigation, and must then inform the controller unless told not to (Art. 5(6)-(7)). Internal contracts and data-processing arrangements must be aligned so that you can compel a sub-processor or affiliate to deliver data within the regulatory deadlines.

엔드투엔드 암호화 서비스는 어떤가요?

이 규정은 제공업체가 암호화를 약화할 것을 요구하지 않습니다. 고객이 보유한 키 또는 진정한 E2E 아키텍처로 인해 콘텐츠 데이터에 액세스할 수 없는 경우에는 이러한 제한 사항을 전달할 수 있지만 액세스 권한이 있는 구독자, 식별 정보 및 메타데이터는 여전히 생성해야 합니다.

ICS가 플랫폼의 준비를 돕는 방법

ICS는 기술 규정 준수 플랫폼 and a legal representative service (with support for EU providers running their own designated establishment) for platforms of all sizes — from fast-growing SaaS scale-ups to global marketplaces and hyperscale cloud providers. Our combined offering covers intake through the national e-Evidence system (ETSI TS 104 144 API or web interface), automated validation, multi-system data extraction, encrypted delivery, tamper-evident audit logging and 24/7 managed operations, all framed within an integrated 전자 증거 규정 준수 프로그램.

지금 ICS에 문의하세요 for an independent e-Evidence readiness assessment for your platform, with a clear plan to close any gaps now that the Regulation applies (since 18 August 2026).