독일 언론인 가빈 카를마이어(Gavin Karlmeier)는 팟캐스트 Haken dran에서 W Social 인증 이용자의 법적 이름과 국적, 대략적인 출생 연도가 일반 웹에 공개돼 있고 CSV 파일로 내려받을 수 있다고 보도했다. W Social은 이를 무단 유출이 아니라 ‘처음부터 공개하도록 설계된’ 기능이라고 설명했다. 엘레나 로시니(Elena Rossini)는 이 처리 방식이 과거 회사의 개인정보 보호 관련 설명과 충돌하고 이용자가 공개 범위를 제대로 알고 동의했는지 의문이라고 주장한다.

W Social은 유럽에서 운영되는 소셜 네트워크로 ATproto를 기반으로 한다. 게시와 일부 기능 이용에는 정부 발급 신분증을 이용한 인증이 필요하다. 로시니가 인용한 수치에 따르면 2026년 10월 13일 기준 계정은 약 4만7000개지만, 신분증 인증을 마친 이용자는 약 1만300명이며 게시물이나 답글을 한 번이라도 올린 계정은 약 4289개다. 인증은 W Identity 앱을 통한 절차 외에도 지원팀과의 영상 통화로 이뤄지기도 한다. 로시니는 독일 구글 플레이 스토어에서 W Identity 앱이 평균 5점 만점에 1.1점, 268개 리뷰를 받았으며 여권 스캔이 작동하지 않는다는 불만이 있다고 전했다.

공개된 CSV에는 계정의 분산 식별자(DID), 인증 날짜와 계정 유형, 이름, 성, 국적, 연도를 포함한 대략적인 생년 정보 등이 들어 있다고 로시니는 설명했다. DID를 atproto.at 같은 사이트에 입력하면 W Social 사용자 이름을 찾을 수 있어, 실제 신원과 소셜 계정이 분리돼 있다는 설명이 충분하지 않다는 것이 로시니의 견해다. 다만 로시니는 이용자 목록으로 이어지는 직접 링크는 공개하지 않았다.

W Social은 카를마이어에게 해당 정보가 공개된 것은 의도된 설계라고 답했다. 이후 공식 계정은 인증 배지에 이름 공개 여부와 연령대, 인증에 사용한 국적 정보를 표시하도록 바꿨으며, 이용자가 인증 과정에서 공개에 동의했다고 밝혔다. 회사는 실명 공개는 선택 사항이고 정확한 생년월일은 공개하지 않으며 프로필에는 연령대만 나타난다고 설명했다. 하지만 로시니는 CSV에 대략적인 출생 연도가 포함돼 있고, 회사가 말한 ‘연령대’와 실제 공개 정보 사이에 차이가 있다고 지적했다. 로시니가 확인한 바에 따르면 실명·국적·대략적인 출생 정보가 포함된 첫 기록은 2026년 9월 17일에 나타났으며, 회사의 공식 설명은 카를마이어의 보도가 나온 뒤에야 공개됐다.

이전 설명과의 차이도 쟁점이다. W Social의 개발 책임자 얀 린드블라드(Jan Lindblad)는 2026년 3월 AtmosphereConf 발표에서 W Identity가 여권을 스캔해 정보를 이용자의 휴대전화에 보관하고 W Social에는 신원을 전달하지 않는다고 설명했다. 그는 W Social이 이용자의 국적과 출생 연도를 공유할 계획이라고도 말했다. CEO 안나 차이터(Anna Zeiter)는 5월 카를마이어의 팟캐스트에서 인증 뒤 신분증 정보를 저장하지 않으며, Trust Anchor Group이 인증을 마치면 관련 데이터를 곧 삭제한다고 설명했다. 당시에는 서비스가 이용자가 사람인지, 18세 이상인지를 확인한다고도 말했다.

로시니는 공개 기록을 살펴본 결과, 가명으로 활동하는 이용자 중 12명 이상에게 실명이 기록돼 있었고, 적어도 5개 계정에는 성 옆에 생일 전체가, 8개 기록에는 생일 일부로 추정되는 숫자가 들어 있었다고 주장한다. 그는 수동 인증 과정에서 정보를 지우지 못한 사례일 가능성을 제기했지만, 해당 내용이 실제 생일인지 여부는 확인되지 않았다. 개인정보 보호를 위해 사례는 가명으로 바꿔 설명했다.

W Social 인증 이용자의 동의가 충분히 고지된 상태에서 이뤄졌는지, 현재 방식이 유럽연합 일반개인정보보호법(GDPR)에 위배되는지는 아직 쟁점으로 남아 있다. 로시니는 익명의 ATproto 개발자가 이용자가 네트워크 공개 범위를 제대로 이해하지 못할 수 있다고 우려했다고 전했다. 독일 작가이자 팟캐스터인 사샤 팔렌베르크(Sascha Pallenberg)도 관련 글에서 개인정보 보호 문제를 다뤘다. W Social의 데이터 보호 책임자는 8월 이용자 문의에 데이터 처리와 저장은 유럽경제지역(EEA) 안에서 이뤄진다고 답했지만, 로시니는 공개 웹에 게시된 정보가 전 세계에서 열람될 수 있다는 점은 그 답변으로 설명되지 않는다고 지적한다.

W Social은 비판과 허위 주장, 왜곡된 사실, 정당한 질문이 뒤섞여 있다며 사실관계를 설명하는 상세한 문서를 추후 공개하겠다고 밝혔다. 개인정보 처리의 적법성이나 이용자 동의 여부에 대한 결론은 아직 제시되지 않았다.