DAC8에 대한 유럽 최초의 법적 도전이 시작됐다. 출발점은 예상과 달랐다. 세금 자체나 신고 의무를 문제 삼은 게 아니다. 데이터베이스 자체가 사람의 생명을 위협할 수 있다는 주장이 핵심이다.
소송을 제기한 곳은 정규 인가를 받은 거래소로, MiCA 라이선스까지 보유하고 있다. 규정 준수와 제도적 저항이 더 이상 양립 불가능한 개념이 아님을 보여주는 사례다.
사건의 경위
비트코인 전용 비수탁형 거래소 중 가장 오랜 역사를 가진 Bull Bitcoin은 프랑스 금융시장청(AMF)으로부터 MiCA 인가를 받은 업체다. 이 회사는 2026년 2월 24일 첫 청구를 제출한 데 이어, 프랑스 최고 행정법원인 Conseil d'État(국참사원)에 DAC8의 프랑스 국내법 수용 규정인 시행령 제2025-1276호의 취소를 요청하는 정식 소장을 제출했다.
In Europe, DAC8 has turned “Know Your Customer” into “Kill Your Customer.”
, BULLBITCOIN.COM (@BULLBITCOIN_) July 8, 2026
Today, Bull Bitcoin is officially opening the first legal front against DAC8.
We have brought a case before France's Conseil d'État, the country's highest administrative court, to strike down the decree… pic.twitter.com/e8ZXl6NVx0
Bull Bitcoin의 목표는 프랑스를 넘어선다. 회사 측은 DAC8뿐 아니라 그 글로벌 기반 표준인 OECD의 CARF 프레임워크까지 정지, 지연, 취소 또는 수정을 추진하며, 필요시 유럽연합 사법재판소(CJEU)까지 사건을 끌고 갈 준비가 돼 있다고 밝혔다. 캠페인 지원을 위해 dac8.com 사이트도 개설했다.
DAC8이 부과하는 의무
DAC8은 유럽 행정 협력 지침의 8번째 개정판이다. 2026년 1월 1일부터 발효된 이 지침은 암호화폐 서비스 제공업체에 이용자의 신원 정보와 거래 데이터를 수집해 각국 세무 당국에 전송하고. EU 27개 회원국 간에 자동으로 교환할 것을 의무화한다. 2026년 귀속 첫 보고는 2027년 9월 30일까지 이뤄져야 한다.
이는 유럽만의 현상이 아니다. DAC8은 OECD CARF의 EU판 이행 수단으로, 48개국이 2026년 중 도입을 추진 중이고 75개국이 채택을 약속한 상태다. 이 흐름은 사실상 암호화폐 과세 불투명 시대의 종말을 의미한다.
왜 ‘과잉’을 문제 삼는가
법적 주장의 핵심. 출처: Bull Bitcoin의 Conseil d'État 제출 소장, 2026년
- 은행 계좌
잔액과 최근 거래 내역만 노출된다. - 비트코인 주소
누구나 공개적으로 조회할 수 있는 완전하고 영구적인 금융 이력 전체가 드러난다.
비트코인 주소에 신원과 자택 주소까지 연결하면, 신고 대상이 아닌 사람도 포함해 모든 보유자의 완전한 신상 파일이 만들어진다.
논쟁의 전환점: 프라이버시가 아닌 신체 안전
사실, 소장의 법적 핵심은 EU 기본권 헌장 제52조를 근거로 삼는다. 이 조항은 모든 기본권 제한이 필요하고 적절하며 비례적이어야 한다고 규정한다. Bull Bitcoin은 DAC8이 세 가지 요건을 모두 충족하지 못한다고 주장한다. 적법한 세금 조사에 필요한 수준을 훨씬 넘어서 민감한 데이터를 중앙화하기 때문이다.
그러나 이 사건을 다른 사례들과 차별화하는 핵심 주장은 따로 있다. 암호화폐 주소와 신원을 연결한 중앙화 데이터베이스는 범죄자들의 표적이 된다는 것이다. 데이터가 유출되면 범죄자들은 누가 무엇을 소유하고 어디에 사는지 알게 된다. CEO Francis Pouliot은 이를 「Know Your Customer」가 「Kill Your Customer」로 바뀐다는 날카로운 표현으로 정리했다. X에 올린 게시물에서다 한편 이는 이론적 우려가 아니다. 프랑스는 암호화폐 보유자를 대상으로 한 물리적 공격 피해가 가장 심각한 국가 중 하나이며. 소장에는 프랑스 공공 데이터베이스 침해 사례도 구체적으로 적시돼 있다. 논점이 추상적인 시민의 자유 영역에서 훨씬 외면하기 어려운 공공 안전 영역으로 이동한 셈이다.
한국 투자자에게도 해당되는 이유
프랑스가 먼저 움직인 것은 이미 시행령이 마련돼 있기 때문이다. 하지만 동일한 DAC8 구조는 EU 27개 회원국 전체에 적용되며, CARF가 도달하는 모든 곳에서 법적 선례가 형성된다. 한국의 경우, 가상자산이용자보호법이 2024년 7월부터 시행 중이고 금융감독원(FSS) 및 금융위원회(FSC)가 FATF 권고에 따른 트래블 룰과 데이터 수집 의무를 강화하고 있다. 파리에서 형성되는 법적 선례는 향후 한국 당국이 유사한 데이터 중앙화 조치를 추진할 때 중요한 참조점이 된다.
In Europe, DAC8 has turned “Know Your Customer” into “Kill Your Customer.”
, BULLBITCOIN.COM (@BULLBITCOIN_) July 8, 2026
Today, Bull Bitcoin is officially opening the first legal front against DAC8.
We have brought a case before France's Conseil d'État, the country's highest administrative court, to strike down the decree… pic.twitter.com/e8ZXl6NVx0
이 사건이 드러내는 구조적 모순도 있다. EU는 규제 기업들이 데이터 보안에 책임을 지도록 MiCA, DORA, GDPR을 설계했다. DAC8은 정반대로 작동한다. 동일한 데이터를 수십 개의 서로 다른 인프라를 가진 세무 행정 기관들로 구성된 정부 간 네트워크로 집중시키는 방식이다. 시스템 전체의 보안은 가장 취약한 연결고리만큼만 강하다. 자신의 데이터에 대한 직접적인 통제가 여전히 가장 강력한 방어라는 점을 다시 확인시켜준다.
균형 잡힌 시각도 필요하다. 재정 협력 지침을 취소하는 것은 드문 결과이고, 세무 투명성은 정당한 목표를 가진다. 하지만 Bull Bitcoin이 선택한 논거는 유럽 집행위원회가 평범한 자유주의적 반론으로 무시할 수 없는 새로운 기록을 남겼다. 국참사원의 결정은 어떤 방향으로 나오든 세금 집행과 데이터 수집 대상자의 신체 안전 사이의 균형을 재정의하게 된다. 관련 기준은 유럽위원회 세무 포털과 OECD CARF 문서에서 확인할 수 있다.
