Understanding the EPOC and EPOC-PR request types is essential for operators subject to the EU e-Evidence Regulation. The EU e-Evidence Regulation (Regulation 2023/1543) represents one of the most significant developments in cross-border digital evidence gathering within the European Union. At its core, the regulation introduces two new orders, the European Production Order and the European Preservation Order, which reach the provider as standardised certificates (EPOC and EPOC-PR) and enable judicial authorities in one EU member state to order data directly from the designated establishment or legal representative of a provider in another Member State, wherever the provider is headquartered. For telecommunications operators and other service providers, understanding the distinction between these two instruments is essential for building compliant response processes.
이 기사에서는 EPOC와 EPOC-PR에 대해 상세히 살펴보며, 각 문서의 용도, 발급 권한이 있는 주체, 서비스 제공자에게 요구되는 사항, 두 문서의 차이점, 그리고 기존 제도와의 관계 등을 설명합니다. 합법적인 감청 의무.
Understanding EPOC and EPOC-PR
The EPOC is an order requiring a service provider to produce specific electronic evidence to the issuing authority. It is the more consequential of the two instruments, as it compels the actual disclosure of data. EPOCs can be issued for subscriber data, for data requested for the sole purpose of identifying the user (such as an IP address with source port and timestamp), for traffic data, and for content data. The authorisation requirements depend on the category. In this article, ‘EPOC’ and ‘EPOC-PR’ are used as shorthand for the orders they transmit.
For subscriber data and user-identification data — which include basic registration information and IP addresses with source port and timestamp — an EPOC can be issued by a judge, a court, an investigating judge, or a prosecutor (or by another competent investigating authority, subject to validation). For traffic data and content data — which include communication metadata such as connection logs and the actual content of communications — an EPOC must be issued or validated by a judge, a court or an investigating judge, reflecting the higher privacy impact of these data categories. For these categories the issuing authority usually notifies the enforcing authority at the same time; outside emergencies, the provider then transmits at the end of the 10-day period unless a ground for refusal is raised.
When a service provider receives an EPOC, it must produce the requested data within ten days, or within eight hours in emergency cases. Any problem with an order (an incomplete form, manifest errors, de facto impossibility, immunities or privileges) is reported on the Annex III form to the issuing authority and, where it was notified, to the enforcing authority of the Member State where the provider’s designated establishment or legal representative is located. Potential conflicts with the law of a third (non-EU) country are raised by the provider through a reasoned objection within 10 days (Article 17). However, the provider cannot simply refuse to comply; the regulation obliges the addressee to execute the order within the deadline unless one of these specific procedures applies.
EPOC는 요청을 중앙 당국을 통해 전달해야 하며 처리하는 데 수개월 또는 수년이 걸릴 수도 있는 기존의 상호법적지원(MLA) 절차와는 크게 다른 방식입니다. 사법 당국이 서비스 제공자에게 직접 명령을 내릴 수 있도록 함으로써, 전자증거 규정은 국경을 넘는 디지털 증거를 확보하는 데 소요되는 시간을 획기적으로 단축합니다. 서비스 제공업체의 경우, 이는 촉박한 기한 내에 EPOC를 수신하고, 그 유효성을 확인하며, 이에 대응할 준비를 갖추어야 함을 의미합니다.
The European Preservation Order (EPOC-PR)
EPOC-PR은 서비스 제공자에게 후속 제출 요청이 있을 때까지 특정 전자 증거를 보존하도록 요구하는, 침습성이 상대적으로 낮은 조치입니다. EPOC와 달리, EPOC-PR은 제공자에게 어떠한 데이터도 공개하도록 요구하지 않으며, 단지 지정된 데이터가 삭제되거나 변경되거나 그 밖의 이유로 이용 불가능해지지 않도록 보장할 것을 요구할 뿐입니다. EPOC-PR은 발부 기관이 데이터를 확보하기 위한 제출 명령이나 기타 법적 절차를 준비하는 동안 증거의 손실을 방지하는 보전 조치 역할을 합니다.
Prosecutors can issue an EPOC-PR for any data category, whereas EPOCs for traffic or content data require a judge, a court or an investigating judge. This broader issuing authority reflects the lower privacy impact of preservation (the data is retained but not disclosed) compared to production (the data is actually disclosed to the requesting authority).
When a service provider receives an EPOC-PR, it must take immediate steps to preserve the specified data. The preservation obligation ends after 60 days. Within that period the issuing authority can extend it once by 30 days if it needs more time to issue a production request. If it confirms (Annex V) that a production request has been issued, the provider must keep preserving the data until it is produced. Without either, the obligation lapses, and the data fall back under the provider’s normal retention rules.
EPOC-PR은 증거가 삭제될 위험이 있는 상황에서 특히 유용합니다. 예를 들어, 피의자가 수사를 인지하고 증거를 인멸하려 할 수 있는 경우나, 서비스 제공자의 보존 정책에 따라 데이터가 자동으로 삭제될 수 있는 경우 등이 있습니다. EPOC-PR은 데이터 보존을 신속하게 확보함으로써 증거의 손실을 방지하는 동시에, 증거 제출 명령에 필요한 보다 엄격한 승인 절차를 진행할 시간을 확보해 줍니다.
EPOC와 EPOC-PR의 주요 차이점
EPOC와 EPOC-PR의 차이점은 근본적이며 여러 측면에 걸쳐 있습니다. 목적은 가장 기본적인 차이점입니다. EPOC는 데이터의 생산(공개)을 의무화하는 반면, EPOC-PR은 데이터의 보존(유지)만을 의무화합니다. EPOC가 사생활에 미치는 영향은 EPOC-PR보다 훨씬 크며, 이는 서로 다른 승인 요건과 절차적 보호 조치에 반영되어 있습니다.
Issuing authority requirements differ between the two instruments. EPOCs for traffic and content data must be issued or validated by a judge, a court or an investigating judge, while EPOC-PRs can be issued by prosecutors without judicial validation. This difference reflects the proportionality principle — the more invasive the measure, the higher the level of judicial oversight required.
Response timescales also differ. EPOCs require production within ten days (or eight hours in emergencies), while EPOC-PRs require immediate preservation with the obligation lasting 60 days (extendable by a further 30 days, and until the data is produced once the authority confirms that a production request has been issued). The EPOC-PR is designed to be a rapid, temporary measure, while the EPOC is a definitive order requiring substantive compliance.
The grounds for refusal differ between the two instruments. For EPOCs that require notification, the enforcing authority can refuse on limited grounds (immunities and privileges, a manifest breach of fundamental rights, ne bis in idem, dual criminality). The provider itself can flag immunities or privileges on the Annex III form, file a reasoned objection on third-country law, and object to enforcement only on the grounds in Article 16(4), points (a) to (f). For EPOC-PRs there is no notification and no ground for refusal by the enforcing authority, and no third-country objection procedure. The provider can report problems on the Annex III form and, if enforcement is sought, object on the grounds in Article 16(5).
통신 사업자에 미치는 시사점
통신 사업자는 보유하고 있는 가입자 데이터, 트래픽 데이터 및 콘텐츠 데이터의 양을 고려할 때, EPOC 및 EPOC-PR을 수신할 가능성이 가장 높은 주체 중 하나입니다. 통신 사업자는 두 유형의 명령을 모두 처리할 수 있는 절차와 시스템을 구축해야 하며, 여기에는 수신된 명령을 접수하고 유효성을 확인하는 기능, 시스템 내 관련 데이터를 식별하는 기능, EPOC-PR에 대응하여 데이터를 보존하는 기능, EPOC에 대응하여 데이터를 제공하는 기능, 각 명령의 상태 및 일정을 추적하는 기능, 그리고 다음을 위한 문서 및 감사 추적을 유지하는 기능이 포함됩니다. 규정 준수.
EPOC의 경우 10일 이내(긴급 상황 시 8시간 이내)에 응답해야 한다는 요건은 특히 부담스러운 편입니다. 운영사는 요청된 데이터를 신속하게 식별 및 추출하고, 자격을 갖춘 법무 및 규정 준수 담당자의 검토를 거친 뒤, 요청 기관에 안전하게 전달할 수 있는 절차를 마련해야 합니다. 개인의 업무 처리에 의존하는 수동적인 절차만으로는 이러한 기한을 일관되게 준수하기 어려울 수 있으므로, 운영사는 전자증거 요청을 처리하기 위해 자동화 또는 반자동화 시스템에 투자하는 것을 고려해야 합니다.
합법적 감청과의 관계
전자증거(e-Evidence) 명령과 합법적 감청을 구분하는 것이 중요합니다. 합법적 감청은 통신이 발생하는 즉시 이를 실시간으로 포착하여 전달하는 것을 의미합니다. 반면, 전자증거 명령은 이미 생성되어 서비스 제공자가 보관하고 있는 저장된 데이터와 관련이 있습니다. EPOC는 과거 트래픽 데이터, 가입자 기록 또는 저장된 콘텐츠를 요청할 수 있지만, 실시간 감청을 승인하지는 않습니다.
그러나 이 두 가지 체계는 상호 보완적입니다. 법 집행 기관은 전자증거 영장을 통해 대상자의 통신 패턴에 대한 과거 데이터를 확보한 뒤, 합법적 감청을 통해 대상자의 현재 통신 내용을 모니터링할 수 있습니다. 운영자는 각 체계에 적합한 시스템과 절차를 갖추어 두 체계 모두를 지원할 수 있어야 합니다. 이 데이터 보존 운영자의 정책도 중요한데, 과거 데이터의 이용 가능 여부는 운영자가 각 데이터 범주를 얼마나 오랫동안 보관하는지에 따라 달라지기 때문이다.
전자증거 규정 준수 준비
운영 담당자들은 다음을 대비하여 준비를 시작해야 합니다. 전자증거 규정 준수 by designating a designated establishment (if established in the EU) or appointing a 법정 대리인 in a Member State where they offer services (if not) to receive and handle e-Evidence orders. This was due by 18 August 2026. They should map which data they actually hold and for how long under existing law and business need, so they can find it quickly. The e-Evidence Regulation does not require them to keep data longer than they already do. They should also develop internal procedures for receiving, validating, and responding to both EPOCs and EPOC-PRs, train relevant staff on the requirements and timescales, and implement technical systems to support the rapid identification, preservation, and extraction of requested data.
결론
The EPOC and EPOC-PR are the two pillars of the EU e-Evidence framework, each serving a distinct purpose in the cross-border evidence-gathering process. The EPOC compels the production of specified data, while the EPOC-PR requires its preservation. Together, they provide law enforcement with a faster, more direct mechanism for obtaining digital evidence across EU borders, complementing the slower EIO and MLA channels, which remain available. For telecommunications operators, compliance with both instruments requires investment in processes, systems, and trained personnel — but providers that set this up properly gain smoother compliance, reduced regulatory risk, and a constructive relationship with the law enforcement authorities that rely on operator cooperation.
The e-Evidence Regulation also introduces requirements for the establishment of a decentralised IT system to facilitate the transmission of e-Evidence orders between member states and service providers. Since 18 August 2026, orders and responses must go through the EU’s decentralised IT system (built on e-CODEX), where the Member State concerned has connected it. Providers access it through their Member State’s national system, either through the web-based interface or an API based on ETSI TS 104 144. Where the national components are not yet live, orders arrive by secure alternative means, and providers must handle both. The IT system provides a secure, standardised channel for the exchange of orders and responses, and aligning internal processes with its technical requirements avoids compliance challenges as more Member States connect.
Now that the EU e-Evidence Regulation applies, the volume of EPOC and EPOC-PR requests will increase significantly. Operators must ensure their processes can handle EPOC and EPOC-PR requests within the mandated timelines.
관련 기사
관련 주제에 대한 자세한 내용은 다음 문서를 참조하세요:
- 전자 증거와 합법적 감청의 차이점 및 중복되는 부분
- EU E-Evidence Regulation: What Service Providers Must Do Now
- 통신 분야의 법적 보존 의무: 통신 사업자가 무엇을, 얼마나 오랫동안 보존해야 하는가
외부 리소스
다음 외부 리소스에서 추가 컨텍스트와 공식 문서를 확인할 수 있습니다:
