벌금 2,000억을 내고야 열린 X의 데이터
연구자 접근을 막은 대가, EU가 처음으로 매겼어요
들어가며
2024년 11월, 루마니아 대선을 앞두고 이상한 일이 벌어졌어요. 몇 년째 네일아트와 패션 이야기만 올리던 틱톡 계정들이 갑자기 한 무명 정치인을 밀기 시작했거든요. 커린 조르제스쿠. 여론조사 한 자릿수였던 그의 게시물은 투표 전까지 1억 2천만 회 조회됐고, 그는 1차 투표에서 23%를 얻어 1위에 올랐어요.
네덜란드 마스트리흐트대학의 아드리아나 이암니치 교수는 이걸 연구하고 싶었어요. 누가 이 콘텐츠를 만들었고 어떻게 돈을 벌었는지요. 그래서 EU 법이 보장한 권리에 따라 틱톡에 데이터를 요청했어요. 거부당했어요.
법은 이미 있었어요. 그런데 데이터는 없었죠. 결론부터 말씀드리면, 이 간극을 좁힌 건 논문도 청원도 아니라 2,000억 원짜리 벌금이었어요. 그리고 구독자님이 사는 나라는 아직 그 간극의 앞 단계에 있어요.
2,000억 원이 만든 변화
지난 7월 15일, EU 집행위원회가 X의 시정계획을 수용했어요. 골자는 이래요. 적격 연구자 심사 절차를 개선하고 처리 기간을 대폭 줄이며, 데이터를 무료로 제공하고, 연구자의 공개 데이터 수집을 계약으로 금지하던 약관을 고치겠다는 것. 이행 기한은 6개월이고 외부 독립 감사를 받아요.
여기까지 오는 데 걸린 시간을 세어볼까요. 2023년 4월 X가 초대형 온라인 플랫폼1으로 지정됐고, 그해 12월 EU가 공식 조사에 착수했어요. 그리고 2025년 12월 5일, 집행위는 X에 1억 2,000만 유로, 우리 돈으로 약 2,000억 원의 과징금을 매겼어요. 디지털서비스법2 시행 이후 첫 제재였어요.
제재 사유는 세 가지였는데, 흔히 보도된 건 ‘블루체크 기만 설계’였어요. 하지만 나머지 둘이 오늘의 주제예요. 광고 저장소가 불투명해서 검증이 불가능하다는 것, 그리고 연구자에게 공개 데이터 접근을 제공하지 않았다는 것. 특히 X의 약관은 적격 연구자가 독자적으로 데이터를 모으는 행위 자체를 금지하고 있었어요.
X가 곧바로 수긍한 것도 아니에요. 올해 2월 20일 X는 이 결정에 항소하면서, 조사가 불완전하고 피상적이었으며 EU가 방어권과 적법 절차를 침해했다고 주장했어요. 그러니까 벌금이 부과된 뒤에도 다섯 달 가까이 더 싸운 셈이에요. 시정계획을 내놓은 건 그 이후예요.
정리하면 이래요. 조사 착수부터 시정계획 수용까지 2년 7개월. 그사이 루마니아 대선은 무효화됐고 재선거까지 치러졌어요. 연구자가 그때의 데이터를 보게 되는 건, 빨라야 올해 말이에요.
법은 진작 있었는데, 왜 문이 안 열렸을까요
여기서 오해하기 쉬운 지점이 있어요. “법이 없어서 못 봤구나” 하는 거요. 아니에요. 법은 세계 최초 수준으로 앞서 있었어요.
디지털서비스법 40조는 적격 연구자가 플랫폼 데이터에 접근할 권리를 명문화했어요. 시스템적 위험, 그러니까 불법 콘텐츠 확산이나 선거 과정 왜곡 같은 문제를 연구한다면 데이터를 요구할 수 있다는 조항이에요. 2025년 7월에는 세부 절차를 담은 위임법3까지 채택됐고, 그해 10월 발효되면서 비공개 내부 데이터까지 대상이 넓어졌어요. 신청 창구인 데이터 접근 포털도 만들어졌고요.
그런데 실무에서는 이런 일이 벌어졌어요.
첫째, 보안 요건이 대학의 현실과 맞지 않았어요. 대부분의 플랫폼은 데이터를 ‘침해될 수 없는 인프라’에 보관하라고 요구하는데, 물리적으로 인터넷과 분리된 장비를 뜻해요. 그런 설비를 갖춘 대학은 많지 않아요.
둘째, 승인율이 플랫폼마다 극단적으로 갈렸어요. 독일의 DSA40 협업체가 추적한 46건의 신청 중 20건이 승인되고 14건이 거부됐는데, 틱톡은 13건 중 11건을 승인한 반면 X는 23건 중 11건을 거부했어요. 다만 이 추적은 연구자들의 자발적 신고에 의존하기 때문에 실제 거부율은 더 높을 거라는 게 운영진의 설명이에요.
셋째, 승인을 받아도 데이터가 쓸 만하다는 보장이 없었어요. API로 받은 데이터를 동료 연구자가 똑같이 재현하기 어려운 경우가 많거든요. 재현 가능성은 과학의 기본 조건인데, 그게 흔들린 거예요.
그리고 가장 얄궂은 문제가 하나 더 있어요. 위임법조차 풀지 못한 ‘데이터 교착’이에요. 연구자는 신청서에 어떤 데이터가 필요한지 구체적으로 적어야 해요. 그런데 무엇이 필요한지 알려면 안에 무엇이 있는지 먼저 봐야 하죠. 플랫폼이 제출한 데이터 목록이 전부가 아니어도 확인할 방법이 마땅치 않고요. 보려면 알아야 하고, 알려면 봐야 하는 구조예요.
남은 길은 두 가지였어요. 플랫폼이 허용하는 범위에서 화면을 긁어모으는 스크래핑4, 아니면 소송이요. 실제로 독일의 한 연구단체는 2024년 4월 X에 데이터를 신청했다가 거부당한 뒤 2025년 2월 소송을 냈어요. 법원은 X가 접근을 허용했어야 한다고 판단했지만, 이번엔 헝가리 선거 연구에서 또 막혔어요. 베를린 법원이 “X 본사가 있는 아일랜드에서 소송해야 한다”고 판단해 사건이 무산될 뻔했다가 항소심에서 뒤집혔고요. 신청할 때마다 소송을 감수하는 게 과연 지속 가능한 방법이냐는 회의가 나오는 게 당연해요.
물론 플랫폼 쪽 이야기도 들어볼 필요가 있어요. 틱톡은 1,500개 이상 연구팀에 도구를 제공했고 작년 하반기 EU에서만 130건을 승인했다고 밝혔어요. 하루 1,000회 API 요청 한도로 영상·댓글 기록 10만 건까지 받을 수 있다는 설명이고요. 메타는 크라우드탱글이 자사 공개 데이터의 일부만 다뤘던 반면, 이를 대체한 콘텐츠 라이브러리는 지금까지 나온 연구 도구 중 가장 포괄적이라고 반박해요. 개인정보 보호와 플랫폼 보안이라는 정당한 제약이 있는 것도 사실이에요.
한 가지 더 짚을게요. 이번 X 시정계획을 두고, 회원국 규제기관들로 구성된 디지털서비스위원회는 전반적으로 미흡하다는 의견을 냈어요. 그런데도 집행위는 이를 수용하면서 이행 감독을 강화하겠다고 했죠. 규제기관의 자문기구가 부족하다고 본 계획이 그대로 통과된 셈이에요. 6개월 뒤 실제로 문이 열리는지는 그때 가서 봐야 알아요.
그럼 한국은 어느 단계에 있을까요
바로 이번 달, 한국에서도 비슷한 결의 제도가 출발했어요.
7월 7일 개정 정보통신망법 시행령이 국무회의를 통과했고, 다음 날인 8일 방송미디어통신위원회가 적용 대상 플랫폼을 지정해 통보했어요. 네이버, 카카오, 네이트, 디시인사이드 그리고 구글, 메타, X, 틱톡이에요. 하루 평균 이용자 100만 명 이상인 SNS와 온라인 커뮤니티, 동영상 공유 서비스가 대상인데요. 입법예고 단계에서는 검색과 오픈마켓도 포함돼 있었지만 최종안에서 빠졌어요.
이 사업자들이 지게 된 의무는 이래요. 허위조작정보 신고 접수와 처리 절차를 갖출 것, 자율 운영정책을 수립할 것, 투명성 보고서를 공표할 것. 국제팩트체킹네트워크의 원칙 강령을 지키는 사실확인 단체와 협약을 맺도록 하고, 이를 지원하는 투명성센터도 뒀어요.
여기서 EU와의 차이가 드러나요. 한국 제도의 검증 주체는 플랫폼 자신과 지정된 사실확인 단체예요. 플랫폼이 스스로 보고서를 쓰고, 협약을 맺은 단체가 개별 정보의 진위를 가려요. 반면 독립 연구자가 원 데이터에 직접 접근할 법적 경로는 이번 개정에 담기지 않았어요.
이게 왜 중요할까요. 루마니아 사례에서 조작 네트워크의 존재를 결국 밝힌 건 틱톡 자신이었어요. 두 달 뒤 11만 6천 개 계정을 의심 대상으로 분류했고, 2만 7천 개 이상의 가짜 계정에 조치했다고 발표했죠. 다만 틱톡은 누가 그 네트워크를 운영했는지, 어디서 시작됐는지는 모른다고 밝혔어요. 플랫폼의 자기 보고만 있고 외부 검증이 없으면, 우리가 알 수 있는 건 딱 거기까지예요.
지금 한국의 연구자가 국내 플랫폼에서 여론 조작 패턴을 연구하려면 어떻게 해야 할까요. 법으로 요구할 근거가 없으니 남는 건 세 가지예요. 플랫폼과 개별적으로 협력 관계를 맺거나, 공개된 화면을 긁어모으거나, 플랫폼이 스스로 공표한 보고서를 읽는 것. 앞의 둘은 플랫폼의 선의와 약관에 달려 있고, 마지막은 검증이 아니라 인용이에요. EU 연구자들이 겪은 마찰이 최소한 ‘거부당했다는 기록’이라도 남긴 것과 달리, 여기서는 신청 자체가 성립하지 않아요.
한 가지 흥미로운 비대칭도 있어요. 한국은 2026년 6월 국가연구데이터법을 공포하면서 국가 연구개발 과제에서 나온 데이터는 공개를 원칙으로 삼았어요. 공공이 만든 데이터는 열기로 한 거예요. 그런데 여론이 실제로 형성되는 민간 플랫폼의 데이터는 아직 그 논의 밖에 있어요.
오스왈드의 시선
저는 이 이야기를 규제 뉴스가 아니라 전형적인 도입 실패 사례로 읽어요.
GTM 전략을 짜면서 반복해서 확인한 게 있어요. 기능을 출시하는 것과 그 기능이 실제로 쓰이는 것 사이에는 언제나 깊은 골짜기가 있다는 거예요. 권한을 열어줬는데 아무도 못 쓰는 상황은, 대개 권한이 없어서가 아니라 그 사이에 놓인 단계들이 하나씩 사람을 떨어뜨리기 때문이에요. EU가 만든 경로를 퍼널로 그려보면 이래요. 권리를 안다, 신청서를 쓴다, 보안 요건을 갖춘다, 심사를 기다린다, 승인을 받는다, 쓸 만한 데이터를 받는다. 여섯 단계 중 두 번째부터 이탈이 시작되고, 마지막 단계에서도 절반이 새요. 제품이었다면 진작 재설계했을 전환율이에요.
그래서 저는 법 조항의 유무보다 이행 설계를 봐요. 요건이 현장의 역량 범위 안에 있는지, 처리 기한이 정해져 있는지, 거부에 대한 이의 절차가 소송 말고 또 있는지. 이번 X 사건에서 실제로 작동한 장치는 40조라는 권리가 아니라 과징금이라는 비용이었어요. 저항의 비용이 협조의 비용을 넘어선 순간에야 문이 열렸다는 뜻이에요.
데이터를 다뤄온 입장에서 한마디 더 보탤게요. 검증할 수 없는 숫자는 정보가 아니라 주장이에요. 플랫폼이 “가짜 계정 2만 7천 개를 지웠다”고 말할 때, 그 숫자를 확인할 수 있는 제3자가 없다면 우리가 얻는 건 사실이 아니라 발표예요. 알고리즘이 선거를 흔든다는 걱정이 커질수록, 정작 그 알고리즘을 들여다볼 수 있는 사람은 알고리즘을 만든 회사뿐인 상황. 이 역설이 지금 두 대륙에서 동시에 벌어지고 있어요.
마치며
정리하면 이래요.
첫째, EU는 세계 최초로 연구자 데이터 접근권을 법에 넣었지만, 2년 넘게 실제로는 작동하지 않았어요. 권리가 있어도 요건과 절차가 문을 막고 있었거든요.
둘째, 문을 연 건 조항이 아니라 2,000억 원의 과징금이었어요. 다만 규제기관의 자문기구조차 X의 시정계획을 미흡하다고 봤으니, 6개월 뒤를 지켜봐야 해요.
셋째, 한국은 이번 달 플랫폼 8곳에 투명성 의무를 지웠지만, 독립 연구자의 접근권은 설계에 없어요. EU 사례가 알려주는 건, 권리를 넣는 것만으로는 부족하고 이행 설계까지 함께 봐야 한다는 거예요.
혹시 사내에서 데이터 접근 권한을 설계하거나 요청해보신 적 있으세요? 권한은 승인됐는데 정작 쓸 수 없었던 경험, 혹은 반대로 잘 굴러가게 만든 장치가 있었다면 댓글로 들려주세요. 조직 안의 데이터 접근과 플랫폼 규제는 놀랍도록 같은 구조를 가지고 있어서, 사례가 모이면 다음 호에서 그 공통점을 정리해볼게요.
💬 데이터 접근 권한을 둘러싼 경험을 댓글로 들려주세요. 다음 호에 반영해볼게요. 📨 플랫폼 규제나 데이터 거버넌스를 다루는 동료가 있다면 이 글을 건네주세요.
참고자료 & 더 읽기
핵심 출처
- WIRED, “European Researchers Say Big Tech Is Blocking Access to Their Data”, 2026. ··· 오늘 글의 출발점이 된 기사예요. 이암니치 교수와 DRI 연구원의 육성이 담겨 있어서, 제도 문서만으로는 안 보이는 현장의 마찰을 확인할 수 있어요.
- European Commission, “Commission fines X €120 million under the Digital Services Act”, 2025.12.5. ··· 과징금 결정의 1차 출처예요. 세 가지 위반 사유가 각각 어떤 조항에 걸렸는지 원문으로 확인하시면 좋아요.
- European Commission, “Commission accepts X’s action plan to comply with Digital Services Act”, 2026.7.15. ··· X가 약속한 시정 조치의 구체적 목록이에요. 6개월 뒤 이행 여부를 대조해볼 체크리스트로 쓸 수 있어요.
- Iamnitchi, A., “If at first you don’t succeed: reflections on a rejected Art. 40 DSA data access request”, DSA Observatory, 2026.3.12. ··· 거부당한 연구자가 직접 쓴 기록이에요. 신청 과정의 어느 지점에서 막혔는지 단계별로 나와 있어 가장 구체적인 자료예요.
- 방송미디어통신위원회, “불법·허위조작정보 유통 방지 정보통신망법 시행령 및 가이드라인”, 2026.7. ··· 한국 제도의 원문이에요. 의무 목록에서 ‘연구자’라는 단어를 찾아보시면 오늘 글의 논점이 바로 보여요.
배경 지식
- European Commission, “Commission adopts delegated act on data access under the Digital Services Act”, 2025.7.2. ··· 40조를 실제로 굴리기 위한 세부 규칙이에요. 제도가 어떻게 설계됐는지 보고 나면, 왜 그래도 안 굴러갔는지가 더 선명해져요.
- van de Kerkhof, J., “Unpacking the EU’s Digital Services Act Delegated Regulation on Data Access”, Tech Policy Press, 2025.7. ··· 본문에서 다룬 ‘데이터 교착’ 개념을 가장 명료하게 정리한 글이에요. 제도 비판의 논리를 배우기에도 좋아요.
함께 읽으면 좋은 지난 호
- 670만 달러 가치가 된 논문 플랫폼의 35년 만의 독립 ··· 학술 인프라의 소유권을 다뤘어요. 오늘 글은 그 인프라에 넣을 데이터 자체를 못 구하는 이야기라서, 앞뒤로 이어집니다.
- 봉쇄가 키운 중국, 이제 문을 잠근다 ··· 국가가 데이터와 기술의 문을 잠그는 이야기였어요. 오늘은 기업이 잠그는 쪽이고요.
📝 용어 설명
각주
-
초대형 온라인 플랫폼(VLOP): EU 내 월평균 이용자가 4,500만 명을 넘는 서비스를 뜻해요. 이 명단에 오르면 위험 평가, 외부 감사, 연구자 데이터 제공 같은 훨씬 무거운 의무가 따라붙어요. ↩
-
디지털서비스법(DSA): 2022년 제정된 EU의 온라인 플랫폼 규제법이에요. 불법 콘텐츠 대응, 광고 투명성, 알고리즘 설명 책임을 한 묶음으로 다루는 게 특징이에요. ↩
-
위임법(delegated act): 상위 법이 큰 원칙만 정하고, 세부 절차는 집행위가 따로 만들도록 위임한 하위 규정이에요. 우리 법 체계의 시행령과 비슷한 자리라고 보시면 돼요. ↩
-
스크래핑(scraping): 웹페이지에 보이는 내용을 프로그램으로 긁어모으는 방식이에요. API처럼 정식 통로가 아니라서 수집 범위가 제한적이고, 계정의 팔로워 명단 전체 같은 건 얻기 어려워요. ↩
SEND A COFFEE
이 관점이 좋았다면, 다음 글에 커피 한 잔
오스왈드에게 커피와 함께 짧은 쪽지를 보내주세요. 응원은 다음 취재와 집필에 보탭니다.
여러분의 생각이 다음 호를 만듭니다
이번 호에서 가장 공감했거나, 다른 경험을 한 지점은 무엇인가요?