缴纳2,000亿韩元罚款后才打开的X数据
阻挡研究者访问的代价，欧盟第一次开出了罚单
开篇
2024年11月，罗马尼亚大选前夕，发生了一件怪事。几年来只发布美甲和时尚内容的TikTok账号，突然开始力捧一位无名政治人物。Călin Georgescu。他原本民调支持率还是个位数，但相关帖子在投票前累计获得了1亿2千万次观看，最终他在第一轮投票中获得23%的支持率，登上第一名。
荷兰马斯特里赫特大学的Adriana Iamnitchi教授想研究这件事。是谁制作了这些内容，又是如何从中赚钱的。于是她依据欧盟法律赋予的权利，向TikTok申请数据。结果被拒绝了。
法律早就有了。但数据却没有。先说结论：真正拉近这道鸿沟的，不是论文，也不是请愿书，而是一笔高达2,000亿韩元的罚款。而读者所在的国家，还停留在这道鸿沟之前的阶段。
2,000亿韩元带来的变化
7月15日，欧盟委员会接受了X提交的整改计划。核心内容如下：改进合格研究者的审核程序并大幅缩短处理时间，免费提供数据，并修改此前以合同方式禁止研究者收集公开数据的条款。履行期限为6个月，并将接受外部独立审计。
我们来数一数走到这一步花了多长时间。2023年4月，X被指定为超大型在线平台1，同年12月欧盟启动正式调查。随后在2025年12月5日，欧盟委员会对X处以1亿2,000万欧元、折合韩元约2,000亿韩元的罚款。这是《数字服务法》2生效以来的首次处罚。
处罚理由有三项，媒体普遍报道的是“蓝V认证欺骗性设计”。但剩下的两项才是今天要谈的主题：广告库不透明、无法核实，以及未向研究者提供公开数据访问权限。尤其是X的条款，直接禁止合格研究者自行收集数据这一行为本身。
X并没有立刻认账。今年2月20日，X对该决定提出上诉，主张调查不完整、流于表面，并称欧盟侵犯了其抗辩权和正当程序。也就是说，罚款下达之后，双方又拉锯了将近五个月。整改计划正是在那之后才提出来的。
总结一下：从启动调查到接受整改计划，一共花了2年7个月。这期间，罗马尼亚大选被宣布无效，还重新举行了选举。研究者能看到当时的数据，最快也要等到今年年底。
法律早就有了，为什么门却没打开？
这里有一个容易产生的误解，那就是“因为没有法律，所以看不到”。并非如此。这项法律的先进程度堪称世界第一。
《数字服务法》第40条明文规定了合格研究者访问平台数据的权利。也就是说，如果研究的是系统性风险——比如非法内容扩散或选举过程被扭曲等问题，就可以要求获取数据。2025年7月，包含具体程序的授权立法3也获得通过，同年10月生效后，适用范围甚至扩大到非公开的内部数据。申请入口“数据访问门户”也随之建立。
然而在实际操作中，出现了以下情况。
第一，安全要求与大学的实际条件不符。大多数平台都要求将数据保存在“不可侵犯的基础设施”中，也就是物理上与互联网完全隔离的设备。而具备这种设施的大学并不多。
第二，各平台的批准率天差地别。据德国DSA40协作组织追踪的46起申请中，20起获批、14起被拒，其中TikTok在13起申请中批准了11起，而X在23起申请中拒绝了11起。不过运营方也说明，这项追踪依赖研究者自发上报，实际拒绝率可能更高。
第三，即便获得批准，也不能保证数据真的可用。通过API获取的数据，同行研究者往往难以原样复现。而可复现性本是科学研究的基本条件，如今却成了问题。
此外还有一个最吊诡的问题，即便是授权立法也未能解决——“数据死结”。研究者必须在申请书中具体写明需要哪些数据。但要知道需要什么，前提是先看到里面有什么。而平台提交的数据清单未必完整，研究者也没有合适的办法去核实。想看，就得先知道；想知道，又得先看——这是个死循环。
剩下的路只有两条：要么在平台允许的范围内做屏幕爬取4，要么打官司。事实上，德国一家研究团体在2024年4月向X申请数据被拒后，于2025年2月提起了诉讼。法院判定X本应允许访问，但这一次，团体在研究匈牙利选举时又被卡住了。柏林法院曾判定“应在X总部所在地爱尔兰起诉”，案件一度险些流产，后在上诉审中被推翻。人们自然会怀疑，每次申请都要以打官司为代价，这种方式究竟能不能持续下去。
当然，平台方的说法也值得一听。TikTok表示已向1,500多个研究团队提供工具，仅去年下半年在欧盟就批准了130起申请。据其说明，在每日1,000次API请求的限额内，最多可获取10万条视频与评论记录。Meta则反驳称，虽然此前的CrowdTangle只覆盖了自家公开数据的一部分，但取而代之的Content Library是迄今为止最全面的研究工具。个人信息保护和平台安全方面也确实存在正当的限制，这一点也是事实。
还有一点值得指出。针对这次X的整改计划，由各成员国监管机构组成的数字服务委员会给出的整体评价是“不够充分”。然而欧盟委员会仍然接受了该计划，并表示将加强履行监督。也就是说，一份连监管机构的咨询机构都认为不足的计划，就这样被通过了。六个月后是否真的打开了大门，还得到时候才见分晓。
那么韩国处于哪个阶段呢
就在这个月，韩国也启动了类似的制度。
7月7日，修订后的《信息通信网法》施行令在国务会议上获得通过，次日8日，广播媒体通信委员会指定并通知了适用平台名单：Naver、Kakao、Nate、DC Inside，以及谷歌、Meta、X、TikTok。适用对象为日均用户超过100万的社交网络、在线社区及视频分享服务。在立法预告阶段，搜索和开放市场也曾被包含在内，但在最终方案中被排除。
这些运营商所承担的义务如下：建立虚假操纵信息的举报受理与处理程序；制定自律运营政策；公布透明度报告。要求其与遵守国际事实核查网络（IFCN）原则准则的事实核查团体签署协议，同时还设立了支持这一工作的透明度中心。
正是在这里，韩国与欧盟的差异显现出来。韩国制度中的验证主体，是平台自身和指定的事实核查团体。平台自己撰写报告，签约团体判断个别信息的真伪。而独立研究者直接访问原始数据的法律途径，并未包含在这次修订之中。
这一点为什么重要？在罗马尼亚一案中，最终揭露操纵网络存在的，是TikTok自己。两个月后，TikTok宣布已将11万6千个账号列为可疑对象，并对2万7千多个虚假账号采取了措施。但TikTok同时表示，并不清楚是谁运营了这个网络，又是从哪里发起的。如果只有平台的自我报告、却没有外部核实，那我们所能知道的，也就仅止于此。
如果现在韩国的研究者想研究国内平台上的舆论操纵模式，该怎么办呢？由于没有法律依据可以要求提供数据，剩下的只有三条路：要么与平台单独建立合作关系，要么爬取公开页面，要么阅读平台自行公布的报告。前两条取决于平台的善意和条款，最后一条则不是核实，而只是引用。与欧盟研究者所经历的摩擦——至少还留下了“被拒绝的记录”——不同，在这里，申请这件事本身就无从成立。
还有一个有趣的不对称之处。韩国已于2026年6月颁布《国家研究数据法》，规定国家研发项目产生的数据原则上应予公开。也就是说，公共部门产生的数据将被打开。但舆论真正形成的场域——民间平台上的数据，却仍然游离在这场讨论之外。
Oswarld视角
我并不把这件事当作一则监管新闻来读，而是把它看作一个典型的“落地失败”案例。
在制定GTM策略的过程中，我反复确认过一件事：功能的发布，和这个功能真正被使用之间，永远隔着一道深谷。权限开放了却没人能用，这种情况通常不是因为没有权限，而是因为中间的每一道环节都在一点点淘汰使用者。如果把欧盟建立的这条路径画成一个漏斗，大致是这样：知道有这项权利、写申请书、具备安全条件、等待审核、获得批准、拿到可用的数据。从第二步开始就已经出现流失，到最后一步，仍有一半人流失。如果这是一款产品，这样的转化率早就该被重新设计了。
所以我更关注的不是法条本身有没有，而是它的落地设计。要求是否在现场的实际能力范围之内，处理期限是否明确，被拒之后除了打官司之外还有没有别的申诉途径。在这次X事件中，真正起作用的机制，并不是第40条这项权利，而是罚款这项成本。也就是说，只有当抵制的成本超过配合的成本时，大门才会打开。
作为一个长期处理数据的人，我还想再补充一句：无法被核实的数字，不是信息，而只是一种主张。当平台宣称“已删除2万7千个虚假账号”时，如果没有第三方能够核实这个数字，那我们得到的就不是事实，而只是一则发布。人们越是担心算法在操纵选举，唯一能够窥探这个算法的人，却偏偏只有制造这个算法的公司自己——这个悖论，此刻正在两个大陆上同时上演。
结语
总结一下。
第一，欧盟率先在世界上将研究者数据访问权写入法律，但两年多来实际上一直没有真正运转起来。即便权利存在，条件和程序依然把大门堵住了。
第二，真正打开大门的不是法条，而是2,000亿韩元的罚款。不过，就连监管机构的咨询机构都认为X的整改计划不够充分，所以六个月后的情况还需继续观察。
第三，韩国这个月对8家平台施加了透明度义务，但独立研究者的访问权并未被纳入设计之中。欧盟的案例告诉我们，仅仅把权利写进法律是不够的，还必须一并审视落地设计。
不知您是否曾在公司内部设计或申请过数据访问权限？无论是权限已获批却始终用不上的经历，还是反过来让整套机制真正运转起来的巧妙设计，都欢迎在评论区分享。组织内部的数据访问与平台监管之间，其实有着惊人相似的结构，如果收集到足够多的案例，我们会在下一期整理其中的共同点。
💬 欢迎在评论区分享您在数据访问权限方面的经历，下一期会加以体现。 📨 如果您身边有从事平台监管或数据治理工作的同事，欢迎把这篇文章转给他们。
参考资料与延伸阅读
核心来源
- WIRED，“European Researchers Say Big Tech Is Blocking Access to Their Data”，2026年。 ··· 这是今天这篇文章的起点。文中收录了伊阿姆尼奇教授与DRI研究员的亲口讲述，可以确认仅凭制度文件看不到的现场摩擦。
- European Commission，“Commission fines X €120 million under the Digital Services Act”，2025年12月5日。 ··· 这是罚款决定的一手来源。建议对照原文，确认三项违规理由各自对应哪些条款。
- European Commission，“Commission accepts X’s action plan to comply with Digital Services Act”，2026年7月15日。 ··· 这是X承诺的整改措施的具体清单，可作为六个月后核对履行情况的检查表。
- Iamnitchi, A.，“If at first you don’t succeed: reflections on a rejected Art. 40 DSA data access request”，DSA Observatory，2026年3月12日。 ··· 这是一位被拒研究者亲笔写下的记录。文中逐步列出了申请过程在哪个环节被卡住，是最具体的资料。
- 广播媒体通信委员会，《防止非法·虚假操纵信息流通〈信息通信网法〉施行令及指南》，2026年7月。 ··· 这是韩国制度的原文。在义务清单中寻找“研究者”一词，就能立刻看清今天这篇文章的论点所在。
背景知识
- European Commission，“Commission adopts delegated act on data access under the Digital Services Act”，2025年7月2日。 ··· 这是让第40条真正运转起来的细则规定。了解制度的设计方式之后，就更能明白为什么它依然没能运转起来。
- van de Kerkhof, J.，“Unpacking the EU’s Digital Services Act Delegated Regulation on Data Access”，Tech Policy Press，2025年7月。 ··· 这篇文章对正文中提到的“数据死结”概念做了最清晰的梳理，也很适合用来学习制度批评的逻辑。
同时值得一读的往期文章
- 670万美元估值的论文平台，历经35年终获独立 ··· 探讨的是学术基础设施的所有权问题。今天这篇讲的是连要放进这个基础设施的数据本身都拿不到，两篇正好前后呼应。
- 封锁造就了中国，如今它却关上了自己的门 ··· 讲的是国家如何锁上数据与技术的大门。而今天讲的，则是企业锁门的一面。
📝 术语说明
注释
-
超大型在线平台（VLOP）：指在欧盟境内月均用户超过4,500万的服务。一旦被列入这份名单，就会附带更为沉重的义务，比如风险评估、外部审计、向研究者提供数据等。 ↩
-
数字服务法（DSA）：欧盟于2022年制定的在线平台监管法。其特点是把应对非法内容、广告透明度、算法解释责任等一并纳入统一框架。 ↩
-
授权立法（delegated act）：上位法只规定大原则，具体程序则授权由欧盟委员会另行制定的下位规定。可以理解为大致相当于我们法律体系中的施行令。 ↩
-
爬取（scraping）：通过程序抓取网页上显示内容的方式。由于不是像API那样的正式通道，采集范围有限，像账号的完整关注者名单这类信息就很难获取。 ↩