스크래핑한 데이터는 누구의 소유인가? 권리, 라이선스, 재판매 가능 범위

웹 데이터를 수집한다고 해서 소유권이 생기는 것은 아닙니다. 스크래핑한 데이터셋에는 어떤 권리가 존재하는지, 무엇을 라이선스하거나 재판매할 수 있는지, 그리고 무엇이 여전히 타인의 소유로 남는지를 다룹니다.

팀이 공개 웹사이트에서 제품 가격, 채용 공고 또는 기업 정보를 수집한 데이터셋을 구축하는 데 6개월을 쓴다. 그런 다음 구매자가 단순한 질문을 던진다: 이걸 소유하고 있나요, 우리에게 팔 수 있나요? 정직한 답은 보통 “부분적으로”이며, 어느 부분이냐에 따라 데이터셋의 가치가 결정된다.

스크랩한 데이터는 한 당사자가 소유하는 단일한 것이 아니다. 그것은 여러 개의 별개 권리가 쌓여 있는 구조다: 개별 항목에 대한 권리, 원본 사이트의 데이터베이스에 대한 권리, 사이트가 약관을 통해 만들어낸 권리, 자신에 관한 데이터에 대해 사람들이 갖는 권리, 그리고 마지막으로 새로운 무언가를 만들어낸 수집자가 획득하는 권리다. 이 가이드는 각 층위를 살펴보고, 미국과 유럽의 법원이 이를 어떻게 다루어왔는지, 그리고 그것이 라이선싱과 재판매에 어떤 의미를 갖는지 설명한다.

이것은 일반 정보이며 법률 자문이 아니다. 법은 국가마다 다르고 빠르게 변하므로, 데이터셋을 라이선스하거나 판매하기 전에 법률 자문을 구하라.

핵심 요약

사실은 소유 대상이 아니다. 가격, 주소, 날짜, 개수는 미국 저작권법상 일반적으로 자유롭게 복사할 수 있다. 텍스트, 사진 및 기타 창작 콘텐츠는 어디서 수집하든 보호 대상으로 남는다.
유럽은 데이터베이스 권리를 추가한다. 데이터 수집이나 검증에 실질적인 투자를 한 사이트는, 개별 항목 하나하나가 단순한 사실일지라도, 타인이 그 상당 부분을 추출하는 것을 막을 수 있다.
어떻게 수집했는지가 무엇을 수집했는지만큼 중요할 수 있다. 동의한 약관, 가짜 계정, 서버 부담은 누구도 데이터를 소유하지 않은 경우에도 법적 책임을 발생시켰다.
개인 데이터는 결코 자유롭게 판매할 수 있는 당신의 것이 되지 않는다. 공개 가용성은 유럽 데이터 보호법상 면제 사유가 아니다.
당신이 소유한 것은 당신 자신의 기여분이다. 당신이 추가한 선별, 구조, 정제, 분석은 라이선스할 수 있다. 복사한 원본의 저작권을 획득하는 것은 결코 아니다.

1층: 항목 자체

수집한 개별 항목부터 시작하자.

사실. 미국 연방대법원은 1991년 Feist v. Rural Telephone 사건에서 이를 정리했다: 저작권은 독창성을 요구하며 누구도 사실을 창작하지 않기 때문에, 사실은 저작권 보호 대상이 아니다. 전화번호부의 이름과 번호는 자유롭게 복사할 수 있었다. 이 판결은 또한 사실을 수집하는 노력(“sweat of the brow”)만으로 저작권이 발생한다는 개념도 배척했다. 스크랩된 데이터의 경우, 이는 기업이 실제로 수집하는 대부분의 것들을 포괄한다: 가격, 재고 수준, 항공편 시간, 업체명과 주소, 직무명, 숫자로 된 평점.

표현. 기사 본문, 브랜드가 작성한 제품 설명, 사진, 사용자 리뷰의 문구는 창작물이다. 저작권은 그것이 공개된 페이지에 있는지 여부와 상관없이 이를 보호한다. 공개적으로 볼 수 있다는 것이 라이선스를 받았다는 것과 같지는 않다.

실무적인 경계선은 페이지가 말하는 내용을 기록하는 것과 그것이 말하는 방식을 복사하는 것 사이에 있다. “이 노트북은 독일에서 899유로다”는 사실이다. 그 노트북을 설명하는 세 단락은 그것을 작성한 사람의 것이다.

2층: 원본 사이트의 데이터베이스

미국 저작권법은 사실의 편집물을 그 독창적인 선별이나 배열에 한해서만 보호하며, 법원은 그 보호를 얇다(thin)고 설명한다. 경쟁자는 창작적 구조를 복사하지 않는 한 사실을 재사용할 수 있다. 미국에는 데이터베이스에 대한 별도 권리가 없다.

유럽은 다르다. EU의 독자적(sui generis) 데이터베이스 권리에 따르면, 내용물을 수집, 검증 또는 제시하는 데 실질적인 투자를 한 데이터베이스 제작자는 그 전부 또는 상당 부분의 추출이나 재사용을 막을 수 있다. 이 권리는 15년간 지속되며 내용물이 실질적으로 변경되면 갱신될 수 있다. 또한 작은 부분들의 반복적이고 체계적인 추출이 합산되어 데이터베이스를 훼손할 경우에도 이를 적발한다.

유럽사법재판소(CJEU)의 세 가지 판결이 이 권리가 수집자에게 어떻게 적용되는지를 보여준다:

사건	연도	스크래핑에 대한 의미
British Horseracing Board v William Hill	2004	기존 데이터를 수집하고 검증하는 투자만 인정되며, 데이터를 창작하는 투자는 인정되지 않는다. 자체 데이터(자체 경기 일정, 자체 목록)를 생성하는 사이트는 이 권리를 주장하기 어려울 수 있다. 데이터를 공개한다고 해서 권리가 소멸되지는 않는다.
Ryanair v PR Aviation	2015	저작권으로도 데이터베이스 권리로도 보호받지 못하는 데이터베이스라도 계약으로 제한될 수 있다. EU에서는 이용약관이 지식재산권법이 하지 못하는 일을 할 수 있다.
CV-Online Latvia v Melons	2021	공개 데이터베이스를 복사하고 색인화하는 특화 검색엔진은 그것을 추출하고 재사용하는 것이지만, 제작자는 그것이 제작자의 투자 회수 능력을 위태롭게 할 때에만 이를 막을 수 있다.

영국은 브렉시트 이후에도 자체 데이터베이스 권리를 유지했다. 2021년 1월 1일부터는 영국 제작자만을 보호하며, 새로운 영국 데이터베이스는 더 이상 EU 권리를 얻지 못하고, 그 반대도 마찬가지다.

따라서 유럽에서 수집자에게 중요한 질문은 “이것이 사실인가?”뿐만 아니라 “누군가 이를 수집하는 데 실질적으로 투자했는가, 그리고 내가 상당 부분을 가져가고 있는가?”이다.

3층: 계약과 수집 방식

아무도 데이터를 소유하지 않더라도, 그것을 수집한 방식이 법적 책임을 만들 수 있다. 세 건의 미국 사건이 이 패턴을 보여준다.

LinkedIn과 hiQ. 제9순회항소법원은 2019년, 그리고 다시 2022년에, hiQ가 공개 프로필을 스크래핑하는 것이 연방 해킹방지법상 “무단 접근”에 해당하는지에 대해 중대한 의문을 제기했다고 판시했다. 하지만 지방법원은 이후 hiQ가 가짜 프로필 사용을 포함해 LinkedIn의 사용자 약관을 위반했다고 판단했다. 이 사건은 2022년 12월 hiQ에 불리한 판결, 영구 금지명령, 스크랩된 데이터 삭제 명령으로 끝났다. 해킹 관련 쟁점에서 이겼다고 해서 승소한 것은 아니었다.
Meta의 한 웹 데이터 회사에 대한 2024년 사건. 캘리포니아 연방법원은 2024년 1월, Facebook과 Instagram의 약관이 “로그아웃 상태에서의 공개 데이터 스크래핑을 금지하지 않으며, 따라서 그러한 공개 데이터 판매도 금지하지 않는다”고 판결했다. Meta는 남은 청구를 철회했고 항소하지 않았다.
X의 동일 회사에 대한 사건. 2024년 5월 법원은 공개 게시물을 스크래핑하여 판매하는 것이 약관을 위반했다는 X의 주장을 기각하면서, 이는 연방 저작권법에 의해 선점(preempt)된다고 판단했다: X는 사용자 게시물에 대해 비독점적 라이선스만 보유하고 있었으며, 약관을 이용해 저작권 유사의 사적 통제권을 만들어낼 수 없었다. 2024년 후반 법원은 X가 데이터 접근 방식, 이를테면 서버에 가한 부담 등을 근거로 한 청구는 계속 진행하도록 허용했다. 이 사건은 2025년 비공개 조건으로 합의되었다.

소유권에 관한 교훈은 좁지만 중요하다. 플랫폼의 약관은 그것이 소유하지 않는 공개 데이터에 대한 통제권을 부여하지 못할 수 있지만, 로그인하는 것, 약관에 동의하는 것, 가짜 계정을 만드는 것, 서버에 과부하를 주는 것은 각각 데이터 소유권과는 무관한 별개의 위험을 만들어낸다. 웹 스크래핑이 합법인가에 관한 개요에서 접근 측면을 더 자세히 다루고 있다.

4층: 텍스트 및 데이터 마이닝과 AI 학습

데이터셋이 AI 모델을 학습시키거나 공급하는 데 쓰일 경우, 추가적인 규칙이 적용된다.

EU에서는 저작권 규칙에 두 가지 텍스트 및 데이터 마이닝 예외가 있다. 연구 기관과 문화유산 기관은 자신이 적법하게 접근할 수 있는 콘텐츠를 과학 연구 목적으로 마이닝할 수 있으며, 권리자는 이를 거부(opt-out)할 수 없다. 상업적 이용자를 포함한 그 밖의 모든 사람은, 권리자가 적절한 방식으로 자신의 권리를 유보하지 않은 한, 적법하게 접근 가능한 콘텐츠를 마이닝할 수 있는데, 온라인 콘텐츠의 경우 이는 기계 판독 가능한 수단을 의미한다. EU AI법은 범용 AI 모델 제공자가 이러한 유보를 존중하는 정책을 갖추고 학습 콘텐츠에 대한 요약을 공개하도록 요구한다.

어떤 것이 유효한 유보에 해당하는지는 아직 결정되지 않았다. 사진작가 Robert Kneschke가 비영리단체 LAION을 상대로 제기한 독일 사건에서, 함부르크 법원은 LAION의 이용이 연구 예외에 해당한다고 판단했고, 항소법원은 이미지 에이전시의 옵트아웃이 기계 판독 가능하다는 것이 입증되지 않았다고 판단했다. 독일 연방대법원은 2026년 9월 이 사건을 심리했고 EU 최고법원에 회부하는 방안을 검토 중이라고 밝혔다. robots.txt, AI 옵트아웃, 유보 신호에 관한 가이드는 신호 자체를 다루고 있으며, AI 크롤러를 차단하는 곳은 어디인가에 관한 연구는 이것이 얼마나 널리 쓰이는지 보여준다.

미국 법원은 엇갈린 결론을 내렸으며, 취득 경위가 계속 쟁점이 되고 있다:

Bartz v. Anthropic(2025) 사건에서 법원은 적법하게 취득한 책을 학습에 사용하는 것은 공정 이용이지만, 불법 복제본을 보유하는 것은 그렇지 않다고 판단했다. 이 사건은 15억 달러에 합의되었고, 2026년 7월 최종 승인되었다.
Kadrey v. Meta(2025) 사건에서 법원은 해당 기록상 공정 이용을 인정했지만, 이 판결이 그러한 학습을 일반적으로 합법화하는 것은 아니라고 강조했다.
2026년 9월 제3순회항소법원은 Thomson Reuters v. Ross 사건에서 Westlaw의 편집 요지(headnotes)를 복사하여 경쟁 법률 리서치 도구를 학습시킨 것은 공정 이용이 아니라고 확정했다. 법원은 이 AI 시스템이 새로운 표현을 생성할 수 없었다는 점을 지적했고, 이 사건을 경쟁사 간의 통상적인 저작권 분쟁으로 다루었다.

데이터셋 판매자에게 핵심은, 데이터의 출처와 취득의 적법성이 데이터와 함께 따라다닌다는 점이다. 모델을 학습시키려는 구매자는 모든 부분이 어디서 왔는지 물을 것이다.

5층: 개인 데이터

데이터셋에 식별 가능한 개인에 관한 정보가 포함되어 있다면, 그 외 모든 것 위에 데이터 보호법이 적용된다. GDPR상으로는 공개적으로 이용 가능한 개인 데이터에 대한 면제가 없다. 이를 수집하여 그 처리 방식을 결정하는 자는 컨트롤러가 되며, 사람들에게 그들의 데이터가 처리되고 있다는 사실과 그 출처를 알려야 할 의무를 포함한 의무를 진다. 판매하거나 라이선스하는 것은 별개의 처리 목적이며 그 자체의 법적 근거가 필요하고, 구매자는 자신의 의무를 지는 컨트롤러가 된다.

규제 당국은 스크래핑에 대해 이를 집행해왔다. 네덜란드 데이터 보호 당국은 2024년 Clearview AI가 스크랩한 얼굴 이미지로 데이터베이스를 구축한 것에 대해 3,050만 유로의 과징금을 부과했으며, 이는 이탈리아, 그리스, 프랑스에서 이미 부과된 과징금에 이어진 것이었다. “공개된 것이었다”는 항변이 되지 못했다. GDPR 준수 개요에서 수집 팀을 위한 기본 사항을 다루고 있다.

실제로 당신이 소유한 것

각 층위를 종합하면 수집자의 위치가 분명해진다.

당신의 선별과 배열. 미국에서는 포함할 항목과 그것을 조직하는 방식에 대해 당신이 내린 독창적인 선택을, 그 기반이 된 사실은 아니지만, 저작권이 보호할 수 있다.
당신의 데이터베이스 투자. EU나 영국에서, 당신의 회사가 그곳에 설립되어 있고 데이터 수집, 검증 또는 제시에 실질적으로 투자했다면, 당신의 데이터셋은 그 자체의 데이터베이스 권리를 가질 수 있으며, 이를 라이선스하거나 양도할 수 있다.
당신이 더한 작업. 정제, 중복 제거, 정규화, 보강, 분류, 점수, 지수, 분석은 당신의 것이다. 이는 종종 데이터셋에서 가장 가치 있는 부분이며 라이선싱하기 가장 쉬운 부분이다.
원본의 권리는 결코 아니다. 당신의 권리는 당신이 기여한 부분만을 포괄한다. 그것은 당신이 복사한 기사, 사진, 리뷰에 대한 저작권을 전혀 부여하지 않으며, 원본 사이트의 데이터베이스 권리나 누군가의 데이터 보호 권리를 소멸시키지도 않는다.

라이선스 또는 재판매할 수 있는 것

낮은 위험	높은 위험
사실과 측정값: 가격, 가용성, 개수, 날짜	기사, 제품 설명, 리뷰 텍스트의 복사본
파생 데이터: 지수, 추세, 집계, 점수, 플래그	사진, 동영상 및 기타 미디어
정규화된 필드와 자체 분류 체계	단일 유럽 데이터베이스의 상당 부분을 그대로 복제한 것
원본의 복사본 대신 원본으로의 링크	개인 데이터, 특히 개인의 프로필
로그인하거나 약관에 동의하지 않고 수집한 데이터	계정, 가짜 프로필 또는 차단 우회를 통해 수집한 데이터

가장 안전한 제품은 웹의 복사본이 아니라 웹에서 배운 것을 판매한다. 수백만 건의 관측치로 구축된 가격 지수는, 법적으로도 상업적으로도, 소매업체 카탈로그의 거울상과는 다른 것이다.

데이터셋을 라이선스하기 전에

출처를 기록하라. 데이터셋의 모든 부분에 대한 출처, 날짜, 수집 방법을 기록하라. 구매자, 감사자, 법원이 이를 물을 것이다.
사실과 콘텐츠를 분리하라. 표현적 자료는 재판매 제품에서 제외하거나, 복사하는 대신 링크하라.
유럽 데이터베이스 여부를 확인하라. 데이터셋의 상당 부분이 하나의 EU 또는 영국 출처에서 온 경우, 해당 출처가 데이터베이스 권리를 갖는지 평가하라.
수집 방식을 검토하라. 동의한 약관, 사용한 로그인, 마주친 차단을 기록하라.
개인 데이터를 선별하라. 이를 제거하거나, 공유하기 전에 법적 근거와 투명성을 확인하라.
라이선스에 명시하라. 구매자가 받는 것, 그것으로 할 수 있는 것, 그리고 구매자가 지는 준수 의무를 명시하라.

작성된 정책이 있으면 이러한 점검이 대부분 일상적인 절차가 된다. 우리의 데이터 수집 정책 템플릿이 출발점이 될 수 있다.

FAQ

공개 웹사이트에서 스크랩한 데이터를 내가 소유하는가?

스크랩한 데이터를 판매할 수 있는가?

적법하게 수집했고 공유할 법적 근거가 없는 개인 데이터가 데이터셋에 포함되어 있지 않다면, 사실 및 그로부터 도출한 데이터에 대해서는 대체로 가능하다. 기사, 사진, 리뷰의 복사본, 보호받는 유럽 데이터베이스의 상당 부분, 또는 개인 데이터를 재판매하는 것은 훨씬 더 높은 위험을 수반한다.

웹사이트의 이용약관이 데이터 소유권을 결정하는가?

공개적으로 이용 가능한 개인 데이터는 자유롭게 사용할 수 있는가?

아니다. EU와 영국에서는 개인 데이터가 공개 여부와 상관없이 데이터 보호법의 적용을 받으며, 규제 당국은 공개적으로 게시된 이미지로 데이터베이스를 구축한 회사들에 과징금을 부과해왔다.

결론

데이터를 스크래핑한다고 해서 그 소유권이 이전되는 것은 아니다. 사실은 자유롭게 남고, 창작 콘텐츠는 그 저작자에게 남으며, 유럽 데이터베이스는 그 제작자에게 남을 수 있고, 개인 데이터는 그것이 설명하는 사람들의 통제 하에 남는다. 수집자가 소유하는 것은 자신이 더한 것, 즉 가공되지 않은 페이지를 유용한 무언가로 바꾸는 선별, 구조, 정제, 분석이다. 그것을 구축하고 판매하며, 모든 것의 출처를 기록하고, 타인의 작업과 데이터의 복사본을 제품에서 배제하라.