⚖리뷰 법률2026년 4월 20일·14 min read

온라인 리뷰의 법적 환경: 2026년 미국 및 EU 규정

FTC 규정, GDPR 의무, 디지털 서비스법에 대한 솔직한 분석 및 온라인 평판을 관리하기 전에 사업주가 이해해야 할 사항.

두 가지 법률 시스템. 하나의 공통된 과제. 조작된 리뷰, 숨겨진 부정적인 피드백, 강요된 추천서, 유료 추천의 모호한 영역은 대서양 양쪽의 규제 기관을 행동으로 이끌었으며, 매우 다른 결과를 낳았습니다. 귀사가 온라인 리뷰를 수집, 표시 또는 답변하는 경우, 교차하는 법률의 미로를 헤쳐나가야 합니다. 이러한 규칙은 미국에서 FTC 위반 건당 $51,744에서 EU에서 €2천만 또는 전 세계 연간 매출의 4%에 달하는 GDPR 벌금에 이르기까지 벌금을 부과할 수 있습니다. 이 가이드는 과장이나 단순화 없이 정확히 어디에 선이 그어져 있는지 알 수 있도록 분야를 설명합니다.

미국의 리뷰 법률은 단일 법률이 아닙니다. 이는 연방 규정, 2016년 소비자 권리법, 그리고 마침내 집행 기관에 오랫동안 필요했던 벌금을 부과할 권한을 부여한 2024년 FTC 규정의 계층적 구조입니다.

첫 번째 주요 연방 조치는 2016년 소비자 리뷰 공정법(CRFA)이었습니다. 오바마 대통령은 2016년 12월 14일에 이 법안에 서명하여, 소비자가 리뷰에 대한 지적 재산권을 제한, 벌금 부과 또는 포기하도록 강요하는 표준 양식 계약 조항을 시행하는 것을 불법으로 만들었습니다. 간단히 말해, 사용자 계약에 "나쁜 리뷰를 게시하지 않겠다고 약속합니다"라고 명시되어 있다면, 해당 계약 부분은 무효이며 FTC는 귀사에 대해 조치를 취할 수 있습니다.

그러나 CRFA에는 허점이 있었습니다. 소비자가 리뷰를 게시할 권리를 보장했지만, FTC에 가짜 리뷰에 대한 민사 벌금을 부과할 권한을 부여하지 않았습니다. 그 허점은 2024년 8월에 보완되었습니다.

FTC의 2024년 소비자 리뷰 및 추천서 규정

2024년 10월 21일에 발효되는 FTC의 최종 규정(16 CFR Part 465)은 미국 역사상 가장 광범위한 리뷰 규정으로 자리 잡고 있습니다. 이 규정은 6가지 핵심 금지 행위를 정의하고 각 위반에 대해 $51,744의 민사 벌금을 부과합니다.

6가지 금지 행위는 다음과 같습니다: (1) 존재하지 않거나 제품에 대한 실제 경험이 없는 사람들의 가짜 리뷰를 만들거나 공유하는 행위; (2) 필수적인 긍정적 또는 부정적 견해를 기반으로 리뷰를 구매하거나 판매하는 행위; (3) 내부자의 리뷰를 물질적 관계를 공개하지 않고 게시하는 행위; (4) 명확한 공개 없이 가족이나 직원에게 리뷰를 요청하는 행위; (5) 근거 없는 법적 위협, 괴롭힘 또는 허위 주장을 통해 부정적인 리뷰를 억압하는 행위; (6) 영향력을 조작하기 위해 가짜 소셜 미디어 활동을 구매하는 행위.

이 규정은 AI 생성 리뷰를 특별히 포함합니다. 이는 헛된 말이 아니었습니다. FTC는 대규모 언어 모델을 사용하여 수천 개의 설득력 있는 가짜 리뷰를 생성하는 비용이 거의 0으로 떨어졌다는 것을 확인하고 이에 대응하기 위해 움직였습니다. FTC는 2025년 12월 22일에 10개 회사에 경고 서한을 보내 초기 집행 조치를 취했으며, 이는 초기 유예 기간이 종료되었음을 알리는 신호였습니다.

선데이 라일리 사건

2024년 규정이 제정되기 전, FTC의 가장 명확한 사례는 선데이 라일리 모던 스킨케어였습니다. 2015년부터 2017년까지 이 회사는 CEO의 직접적인 지시에 따라 직원들이 가짜 세포라 프로필을 만들고, VPN을 사용하여 위치를 숨기고, 별 5개 리뷰를 게시했습니다. 내부 고발자가 회사 내부 이메일을 폭로했습니다. FTC는 2020년에 합의에 도달했지만, 논란의 여지가 있는 조치로 금전적 벌금을 부과하지 않았습니다. 이는 '터무니없는 가짜 리뷰 사기'라고 비난한 Chopra 및 Slaughter 위원들의 반발을 불러일으켰습니다. 2024년 규정은 그 격차를 메웠습니다. 이제 동일한 행위는 수백만 달러에 달하는 벌금을 초래할 것입니다.

유럽 연합의 방식은 미국 모델과 구조적으로 다릅니다. 단일 리뷰 법률 대신 EU는 세 가지 상호 연결된 법률 도구를 사용합니다. GDPR은 리뷰 데이터가 관리되는 방식을 지시하고, 옴니버스 지침(UCPD를 통해 시행됨)은 리뷰가 표시되고 확인되는 방식에 대한 규칙을 설정하며, 디지털 서비스법은 플랫폼이 대규모 가짜 리뷰 문제에 대해 무엇을 해야 하는지 명시합니다.

첫 번째 단계는 어떤 법률이 어떤 당사자를 다루는지 아는 것입니다. GDPR은 리뷰 내 데이터를 포함하여 EU 거주자의 개인 데이터를 처리하는 모든 단체를 다룹니다. UCPD는 EU 시장에서 사업을 하는 판매자를 다룹니다. DSA는 주로 온라인 플랫폼을 대상으로 하며, EU에 4천5백만 명 이상의 사용자를 보유한 매우 큰 온라인 플랫폼(VLOP)에 훨씬 더 엄격한 규칙을 부과합니다.

GDPR 및 리뷰 삭제 권한

GDPR 제17조, 즉 "잊힐 권리"는 리뷰를 호스팅하는 회사에 대해 자주 사용되는 도구입니다. 프랑스의 리뷰어는 자신의 개인 정보가 포함된 리뷰를 기업이나 플랫폼에 삭제하도록 요구할 수 있습니다. 회사는 한 달 이내에 답변해야 합니다. 그렇게 하지 않으면 해당 국가의 데이터 보호 기관에 불만이 제기될 수 있습니다.

이것은 많은 가이드가 간과하는 핵심 세부 사항입니다. 삭제 권한은 무제한이 아닙니다. 리뷰에 전문가의 작업 품질에 대한 개인적인 견해가 포함된 경우, 법원과 DPA는 정보에 대한 대중의 권리와 표현의 자유가 삭제 요청보다 우선할 수 있다고 일관되게 판결했습니다. 유럽 데이터 보호 위원회의 2025년 조정된 집행 조치는 약한 삭제 프로세스를 특별히 겨냥했지만, 이러한 경쟁 권리도 확인했습니다.

실질적으로 이것은 클라우스 뮐러라는 이름의 화가가 자신의 이름과 도시가 포함된 별 1개 리뷰를 남겼다면, 그는 자신의 식별 정보를 삭제하도록 요청할 수 있다는 것을 의미합니다. 그러나 회사는 리뷰어가 마음을 바꿨다는 이유만으로 실제 불만의 핵심을 삭제하도록 강요받을 수는 없습니다.

옴니버스 지침: 확인 공개가 이제 필수입니다

2019년 옴니버스 지침은 2022년 5월까지 모든 EU 회원국에서 국내법이 되었으며, 불공정 상업 관행 지침에 특정 요구 사항을 추가했습니다. 판매자는 이제 리뷰가 실제 고객의 것인지 여부와 방법을 명시해야 합니다. 리뷰가 확인되었다고 말했지만 그렇지 않은 경우, 국가 당국에 의해 기소될 수 있는 불공정 상업 관행에 참여하는 것입니다.

옴니버스 지침에 의해 업데이트된 UCPD의 벌금은 상당합니다. 회원국은 판매자의 연간 매출의 4% 이상 또는 매출 수치를 알 수 없는 경우 최소 €2백만 유로의 벌금을 설정해야 합니다. 이탈리아, 프랑스, 독일, 네덜란드 모두 이러한 규칙에 따라 조사를 시작했습니다.

디지털 서비스법: 2024년 2월부터 플랫폼 규칙

DSA(규정 EU 2022/2065)는 2024년 2월 17일에 완전히 발효되었습니다. 특히 리뷰 플랫폼의 경우, 이전 EU 법률보다 훨씬 엄격한 투명성 및 책임 규칙을 도입했습니다. Google, Tripadvisor, Booking.com과 같은 VLOP는 가짜 콘텐츠에 대한 체계적인 위험 분석을 수행하고, 중재 활동에 대한 투명성 보고서를 발표하며, 연구원에게 데이터 접근 권한을 부여해야 합니다.

DSA 위반에 대한 최대 벌금은 전 세계 연간 매출의 6%입니다. 반복적이고 체계적인 실패의 경우, 플랫폼은 EU에서 사업을 일시적으로 금지될 수도 있습니다. 유럽 위원회는 2024년에 첫 DSA 비준수 조치를 시작했으며, 콘텐츠 중재의 체계적인 문제에 대해 X(이전 Twitter)에 초점을 맞췄습니다.

공공 참여에 대한 전략적 소송, 즉 SLAPP는 승리하기 위함이 아니라 위협하기 위해 제기되는 법적 소송입니다. 별 1개 리뷰에 대해 고객을 $50,000에 고소하는 빵집 주인은 실제로 $50,000를 받을 것으로 기대하지 않습니다. 그들은 대부분의 사람들이 문제를 피하기 위해 리뷰를 삭제할 것이라는 것을 알고 리뷰어가 변호사 비용을 지불하고 법정에서 시간을 보내도록 강요하려고 합니다.

이러한 움직임은 언론의 자유 단체 FIRE가 관리하는 데이터베이스에서 광범위하게 추적되며, 2024년에만 500건의 SLAPP 소송이 기록되었습니다. 법원과 입법자들은 강력히 반대했습니다. 2025년까지 33개 미국 주, 워싱턴 D.C. 및 괌은 SLAPP 방지법을 통과시켰습니다. 중소기업에 중요한 캘리포니아, 텍사스, 플로리다의 세 주에서는 이러한 법률이 강력하며 수수료 전환 규칙을 포함합니다. 귀하의 소송이 SLAPP로 분류되면 리뷰어의 법률 비용을 부담해야 합니다.

전략적 계산이 바뀌었습니다. 텍사스에서 명예 훼손으로 리뷰어를 고소하는 회사는 이제 (a) SLAPP 방지 동의를 잃고, (b) 리뷰어의 변호사 비용을 지불하라는 명령을 받고, (c) 초기 리뷰보다 훨씬 더 나쁜 언론 보도를 초래할 위험에 직면합니다. 이것이 소비자 권리 변호사들이 리뷰 소송의 스트라이샌드 효과라고 부르는 것입니다.

EU에서는 2024년 4월 유럽 의회에서 승인된 SLAPP 지침(2024/1069)이 유사한 문제를 다룹니다. 주로 국경을 넘는 사건에 초점을 맞추고 법원이 명백히 근거 없는 소송을 조기에 기각하고 소송 제기자가 비용을 지불하도록 지시합니다.

리뷰 작성에 대해 고객에게 10% 할인을 제공하는 것이 자동으로 불법은 아닙니다. 그러나 리뷰가 긍정적이어야 한다는 조건으로 보상을 제공하거나, 물질적 연결을 공개하지 않는 즉시 FTC 규정 및 EU 법률에 따라 불법이 됩니다.

FTC 규정에 따르면, 가치 있는 대가로 제공된 리뷰는 "명확하고 눈에 띄는" 공개가 필요합니다. 이 공개는 리뷰의 일부이거나 바로 옆에 있어야 합니다. 소셜 미디어에서는 "피할 수 없어야" 하며 리뷰 자체와 동일한 시각적 비중을 가져야 합니다. 페이지 하단의 작은 별표는 충분하지 않습니다.

EU의 옴니버스 지침은 또 다른 요구 사항을 추가합니다. 귀하의 사이트가 별점을 표시하는 경우, 해당 평점이 검증된 구매자의 것인지, 미검증 게시물인지, 또는 인센티브 콘텐츠인지, 그리고 그 비율이 어떻게 되는지 사용자에게 알려야 합니다. 해당 정보 없이 인센티브 리뷰를 부분적으로 기반으로 한 4.8점 평균을 표시하는 것은 불공정한 사업 관행입니다.

많은 소규모 회사가 잘못 이해하는 핵심 사항은 다음과 같습니다. 리뷰를 요청할 수 있습니다. 구매 후 후속 이메일을 보낼 수 있습니다. 프로세스를 단순화할 수 있습니다. 할 수 없는 것은 좋은 감정을 구매하거나, 부정적인 피드백을 숨기거나, 평점의 출처를 잘못 진술하는 것입니다.

미국에서는 리뷰를 보관하는 기간이 주로 귀하의 개인 정보 보호 정책과 캘리포니아의 CCPA와 같은 주 법률에 달려 있습니다. 리뷰 데이터에 대한 특정 보관 기간을 규정하는 연방 법률은 없습니다. 그러나 일관성을 유지해야 할 의무가 있습니다. 귀하의 정책이 2년 후에 사용자 데이터를 삭제한다고 명시되어 있다면, 좋은 리뷰만 골라 보관할 수는 없습니다.

GDPR에 따라 제5조(1)(e)의 저장 제한 원칙은 개인 데이터가 수집된 목적에 필요한 기간보다 오래 저장되어서는 안 된다고 명시합니다. 리뷰의 경우 "필요한"이라는 용어는 논쟁의 여지가 있습니다. 그러나 EDPB 지침은 지속적인 상업적 기능(예: 미래 고객 지원)을 가진 리뷰는 정확하고 관련성이 있는 한 보관할 수 있음을 의미합니다.

실제 결과는 다음과 같습니다. 2021년에 귀하의 바를 그만둔 바텐더에 대한 2018년 리뷰는 더 이상 정확하지 않을 수 있습니다. 확인 없이 보관하면 GDPR 삭제 요구 및 대중을 오도했다는 비난에 노출될 수 있습니다. EU의 기업은 리뷰 아카이브에 대한 연간 감사를 수행해야 합니다.

어떤 기관이 귀하에게 벌금을 부과할 수 있는지, 그리고 얼마를 부과할 수 있는지 아는 것은 현명한 위험 관리에 중요합니다. 2026년의 집행 환경은 대부분의 규정 준수 기사가 제시하는 것보다 훨씬 더 복잡합니다.

통신 품위법 섹션 230은 미국 인터넷 법률의 기초로 남아 있습니다. Google, Yelp, Tripadvisor와 같은 플랫폼은 사용자가 게시한 리뷰의 게시자로 책임을 지지 않으며, 단순한 통로로 간주됩니다. 이것이 미국 기업이 명예 훼손 리뷰를 작성한 리뷰어를 고소해야 하는 이유이지, Google을 호스팅한 이유로 고소하는 것이 아닙니다.

대법원은 2023년 Gonzalez 대 Google 및 Twitter 대 Taamneh 판결에서 섹션 230의 보호를 축소하지 않기로 결정하여 기본 구조를 유지했습니다. 그러나 플랫폼은 불법 콘텐츠를 직접 생성하거나 개발하는 데 도움을 주면 이 보호막을 잃을 수 있으며, 알고리즘 홍보에 대한 사례가 점점 더 이 경계를 시험하고 있습니다.

EU에서는 DSA가 2000년 전자상거래 지침의 책임 규칙을 대체했습니다. 가짜 리뷰를 포함한 불법 콘텐츠에 대한 "실제 지식"을 가지고 신속하게 조치하지 않는 플랫폼은 면책 특권을 잃게 됩니다. 이는 섹션 230과는 상당한 차이입니다. EU 법률은 "통지 및 조치" 의무를 설정하는 반면, 섹션 230에는 유사한 의무가 없습니다.

철저히 하기 위해 영국 고객을 보유한 기업은 세 번째 별도의 시스템과 씨름해야 합니다. 2024년 디지털 시장, 경쟁 및 소비자법(DMCCA)과 그 가짜 리뷰 규칙은 2025년 4월 6일에 발효되었습니다. 이 법은 가짜 리뷰와 공개되지 않은 유료 리뷰를 금지된 활동으로 직접 명시합니다. 이들은 기본적으로 불법이며, 각 사례에서 "불공정"했음을 증명할 필요가 없습니다.

영국 경쟁 시장청(CMA)은 회사 전 세계 연간 매출의 최대 10% 또는 £300,000 중 더 큰 금액의 벌금을 부과할 수 있습니다. 지속적인 위반의 경우, 일일 벌금은 일일 전 세계 매출의 최대 5% 또는 £15,000에 달할 수 있습니다. CMA는 2025년에 Autotrader, Feefo, Dignity, Just Eat, Pasta Evangelists에 초점을 맞춘 5건의 조사를 시작했습니다.

이사 및 관리자는 고의로 허용한 규칙 위반에 대해 개인적으로 책임을 질 수 있습니다. 이는 현재 미국 연방 시스템에서는 직접적인 동등한 규칙이 없으며, 기업 베일의 보호가 일반적으로 더 강력합니다.