GDPR과 이메일 마케팅: 실무 컴플라이언스 가이드

GDPR이 이메일 마케터에게 실제로 요구하는 것

단도직입적으로 말하면, 일반 데이터 보호 규정(규정 (EU) 2016/679)에는 “이메일을 보내려면 동의가 필요하다”는 규칙이 없습니다. GDPR이 규율하는 것은 이메일 프로그램 뒤에 있는 개인정보입니다. 그 정보를 처리할 적법한 근거, 투명성, 정확성, 보관 기간 제한, 보안, 그리고 이 모든 것에 대한 입증이 필요합니다. 제5조 2항이 한 줄로 정리합니다. 컨트롤러는 처리 원칙에 대해 “책임을 지며, 그 준수를 입증할 수 있어야 한다”는 것입니다.

발송 버튼을 눌러도 되는지를 결정하는 규칙은 다른 법령, 즉 ePrivacy 지침에 있습니다. 이 주제를 다루는 대부분의 글은 둘을 뭉뚱그렸다가 답을 틀립니다. 둘을 분리해 두는 것이 이 가이드의 요점입니다.

이 글은 마케터를 위한 실무 안내이며 법률 자문이 아닙니다. 직접 확인할 수 있도록 1차 자료를 인용했지만, 데이터 보호법은 각국 규제기관과 법원이 적용하고, 국가별 이행 내용이 다르며, 각자의 상황이 중요합니다. 동의 흐름, 데이터 보관 규칙, 국제 이전을 변경하기 전에 관할 지역의 자격 있는 전문가에게 자문을 받으십시오.

GDPR과 ePrivacy: 두 개의 법령, 하나의 발송

ePrivacy 지침이 말하는 것

지침 2009/136/EC로 개정된 지침 2002/58/EC, 즉 ePrivacy 지침이 발송 규칙을 정합니다. 제13조 1항은 사전 동의를 한 가입자에 한해서만 직접 마케팅을 위한 전자우편을 허용합니다. “전자우편”은 넓고 기술 중립적으로 정의됩니다. 제29조 작업반의 의견 5/2004은 이 개념이 이메일 뉴스레터는 물론 SMS와 유사한 저장형 메시지까지 포괄한다고 확인했습니다. 제13조 2항은 기존 고객 예외를 두고, 제13조 4항은 발신자 신원을 숨기거나 “수신자가 그러한 통신의 중단을 요청할 수 있는 유효한 주소”가 없는 마케팅 이메일을 금지합니다.

이것이 실무에서 중요한 이유

동의는 ePrivacy 지침 안에 정의되어 있지 않습니다. 그 의미는 일반 데이터 보호법에서 가져옵니다. GDPR 제94조 2항은 폐지된 지침 95/46/EC에 대한 언급을 GDPR에 대한 언급으로 읽도록 규정합니다. 따라서 ePrivacy는 발송 행위에 언제 동의가 필요한지를 정하고, GDPR은 무엇이 동의로 인정되는지와 그것을 어떻게 입증하는지를 정합니다.

그러므로 연락처 레코드를 보유하고 분석할 유효한 GDPR 근거가 있으면서도 그 사람에게 이메일을 보낼 권리는 없을 수 있습니다. 그리고 ePrivacy는 규정이 아니라 지침이므로 각국 법으로 전환되며, 회원국 사이에 세부 내용이 다릅니다.

이메일 마케팅의 법적 근거 선택

동의

제6조 1항 (a)의 동의는 대부분의 소비자 대상 이메일 프로그램이 의존하는 근거이며, 그럴 만한 이유가 있습니다. 어차피 ePrivacy가 발송에 사전 동의를 요구하는 상황이라면, GDPR 근거도 동의로 맞추는 편이 이야기를 둘이 아니라 하나로 만듭니다. 대가는 제7조 3항에 따라 언제든 철회될 수 있다는 점입니다.

정당한 이익

제6조 1항 (f)는 정보주체의 이익이나 기본권이 우선하는 경우를 제외하고 컨트롤러의 정당한 이익을 위해 필요한 처리를 허용합니다. 전문 제47항은 “직접 마케팅 목적의 개인정보 처리는 정당한 이익을 위해 수행되는 것으로 볼 수 있다”고 명시적으로 말합니다.

이 문장은 동의가 선택 사항이라는 주장을 위해 끊임없이 인용됩니다. 그러나 주의 깊게 읽어야 합니다. 이는 처리에 대한 GDPR 근거에 관한 것이고, “볼 수 있다”고 말하므로 여전히 이익형량 심사를 수행하고 문서화해야 하며, 발송에 관한 ePrivacy 규칙에 대해서는 아무 말도 하지 않습니다. 정당한 이익은 세그먼테이션, 발송 억제, 분석처럼 프로그램 주변의 처리와, 국가별 규칙이 법인 가입자를 달리 취급하는 기업 간 연락에서 가장 방어하기 좋습니다. EU에서 콜드 소비자 이메일의 근거로는 취약합니다.

기존 고객을 위한 소프트 옵트인

ePrivacy 지침 제13조 2항이 진짜 예외입니다. 어떤 주체가 “상품이나 서비스의 판매 맥락에서” 고객의 이메일 연락처를 확보한 경우, 동일한 주체가 이를 사용해 “자신의 유사한 상품이나 서비스”를 마케팅할 수 있으며, 정보를 수집할 때와 이후의 모든 메시지에서 고객에게 “무료로, 쉬운 방법으로 반대할 기회가 명확하고 분명하게” 제공되어야 합니다.

제29조 작업반은 이 예외가 “여러 방식으로 제한되며 제한적으로 해석되어야 한다”고 밝혔습니다. 외워 둘 만한 세 가지 한계가 있습니다.

• 실제 고객에게만 적용됩니다. 체크아웃을 이탈한 사람은 해당하지 않습니다.
• 주소를 수집한 바로 그 법인만 발송할 수 있습니다. 자회사와 모회사는 같은 회사가 아닙니다.
• 유사한 상품이나 서비스만 해당하며, 그 판단은 발신자의 야심이 아니라 수신자의 합리적 기대를 기준으로 합니다.

회원국별로 달라지는 소프트 옵트인

지침이 각국 법으로 전환되었기 때문에, 바로 이 지점에서 같은 조언이 시장에 따라 실제로 갈라집니다.

아일랜드에서는 S.I. No. 336/2011의 규정 13(11)이 이 예외를 다시 규정하면서 엄격한 기한을 덧붙입니다. 판매가 “직접 마케팅 통신 발송 시점으로부터 12개월 이내에” 이루어졌거나, 그 기간 안에 마케팅 이메일에 그 정보가 사용되었어야 합니다.

영국에서는 PECR 규정 22가 이에 대응하는 규칙이며, ICO는 그런 기한을 두지 않습니다. ICO는 소프트 옵트인을 “과거에 유사한 상품이나 서비스를 구매했거나 구매 협상을 한” 기존 고객을 포괄하는 것으로 설명하고, 잠재 고객, 구매한 리스트, 자선 모금이나 정치 캠페인 같은 비상업적 홍보에는 적용되지 않는다고 밝힙니다.

이웃한 두 시장, 실질적으로 다른 두 규칙입니다. 자국 버전이 그대로 통할 것이라고 절대 가정하지 마십시오.

유효한 동의란 실제로 무엇인가

제4조 11항은 동의를 “정보주체가 진술 또는 명확한 적극적 행위로써 자신에 관한 개인정보의 처리에 동의함을 표시하는, 자유롭게 주어지고 구체적이며 충분한 정보에 기반한 명확한 의사 표시”로 정의합니다. EDPB는 2020년 5월 4일 채택된 동의에 관한 가이드라인 05/2020에서 각 요소를 확장해 설명했습니다.

네 가지 요소

• 자유롭게 주어진 것. 제7조 4항은 계약에 필요하지 않은 처리에 대한 동의를 계약의 조건으로 삼았는지를 “최대한 고려”한다고 말합니다. 마케팅 동의를 결제의 조건으로 만들지 마십시오.
• 구체적일 것. 처리 목적이 여러 개라면 모든 목적에 대해 동의를 받아야 합니다(전문 제32항). 목적이 다르면 선택지도 달라야 합니다. 뉴스레터 수신 동의는 SMS에 대한 동의도, 파트너와의 데이터 공유에 대한 동의도 아닙니다.
• 충분한 정보에 기반할 것. 제7조 2항은 더 넓은 선언문에 묶인 동의 요청이 “다른 사안과 명확히 구별되고, 이해하기 쉽고 접근하기 쉬운 형식으로, 명확하고 평이한 언어로” 제시될 것을 요구합니다.
• 명확할 것. 진술 또는 명확한 적극적 행위가 있어야 합니다.

인정되지 않는 것

전문 제32항은 단호합니다. “따라서 침묵, 미리 체크된 상자 또는 무행위는 동의를 구성해서는 안 된다.” 약관 속에 파묻힌 체크박스도, 이메일과 SMS와 프로파일링과 파트너 공유를 한꺼번에 묶은 체크 하나도 마찬가지입니다.

철회

제7조 3항은 언제든지 동의를 철회할 권리를 부여하고, 그 권리를 사전에 알릴 것을 요구하며, “동의를 주는 것만큼 철회하기도 쉬워야 한다”고 규정합니다. 한 번의 클릭으로 구독할 수 있었다면, 로그인과 깊이 숨겨진 설정 페이지를 요구하는 철회 흐름은 이 기준을 충족하지 못합니다. 철회는 소급하지 않습니다. 철회 이전에 수행된 처리는 계속 적법합니다.

입증: 무엇을 증명할 수 있어야 하는가

제7조 1항은 짧지만 무게가 큽니다. “처리가 동의에 근거하는 경우, 컨트롤러는 정보주체가 동의했음을 입증할 수 있어야 한다.” “수신 동의: 예”라는 열 하나는 아무것도 입증하지 못합니다. 동의의 순간을 재구성해 주는 기록이 입증합니다.

가입 시점에 기록할 것

연락처별, 목적별로 다음을 수집해 저장하십시오.

• 동의 행위의 타임스탬프, 일관된 시간대로 기록합니다.
• 출처와 방법: 어떤 폼, 페이지 URL, 채널 또는 오프라인 이벤트였는지입니다.
• 표시된 정확한 동의 문구와 개인정보 처리방침 버전. 모든 행에 전체 문구를 저장하기보다, 보관된 문구로 연결되는 버전 식별자가 실용적입니다.
• 동의한 구체적 목적들. 불리언 하나가 아니라 별개의 플래그로 저장합니다.
• 더블 옵트인을 사용하는 경우 확인 증거와 타임스탬프입니다.
• 위험에 비례하는 범위에서 IP 주소. 흔한 관행이자 유용한 증거이지만 법적 요구사항은 아니며, 그 자체가 개인정보입니다.

제30조는 별도로 대부분의 조직에 처리활동 기록을 유지할 것을 요구합니다. 목적, 정보주체와 데이터의 범주, 수령인, 이전, 보관 기간, 보안 조치입니다. 250인 미만 조직에 대한 면제는 좁아서, 처리가 권리와 자유에 위험을 줄 가능성이 있거나, 일시적이지 않거나, 특별 범주 데이터를 포함하면 사라집니다. 고객 데이터베이스를 대상으로 한 정기적 마케팅은 일시적이지 않습니다.

동의 증거를 얼마나 보관할 것인가

GDPR은 고정된 기간을 정하지 않습니다. 실무적인 원칙은 동의 증거가 그것이 정당화하는 마케팅보다 오래 남아야 하고, 여기에 현실적으로 이의가 제기될 수 있는 기간을 더해야 한다는 것입니다. 구독자 레코드는 삭제하되 허가를 입증하는 최소화된 로그 항목은 남겨 두는 것이 일반적입니다.

이메일 프로그램에 영향을 주는 정보주체의 권리

이메일 운영에서 반복적으로 등장하는 권리가 다섯 가지 있습니다.

• 열람권(제15조). 데이터를 처리하는지 여부의 확인, 그 사본, 그리고 목적, 데이터 범주, 수령인, 보관 기간, 출처, 자동화된 의사결정이나 프로파일링을 포함한 정보입니다. 이메일 프로그램에서는 주소뿐 아니라 참여 이력과 세그먼트 소속을 뜻하는 경우가 많습니다.
• 정정권(제16조). 부정확한 데이터를 부당한 지체 없이 바로잡고, 불완전한 데이터를 보완하는 것입니다.
• 삭제권(제17조). 동의가 철회되고 다른 근거가 없는 경우인 17조 1항 (b)와, 제21조 2항에 따라 반대한 경우인 17조 1항 (c)를 포함합니다.
• 직접 마케팅에 대한 반대권(제21조). 절대적인 권리입니다. 21조 2항에 따라 정보주체는 관련 프로파일링을 포함한 직접 마케팅 목적의 처리에 “언제든지 반대할 권리를 가진다”. 21조 3항에 따라 “그 개인정보는 해당 목적으로 더 이상 처리되지 않는다”. 적용할 이익형량 심사가 없습니다.
• 이동권(제20조). 처리가 동의나 계약에 근거하고 자동화된 경우에 적용되며, 본인이 제공한 데이터를 대상으로 합니다. 파생된 점수와 세그먼트는 일반적으로 범위 밖입니다.

응답 기한

제12조 3항은 부당한 지체 없이, 어떤 경우에도 접수 후 1개월 이내에 조치할 것을 요구합니다. 복잡성이나 요청 건수에 따라 2개월을 더 연장할 수 있으며, 첫 1개월 안에 사유와 함께 당사자에게 알려야 합니다. 마케팅에 대한 반대는 최대 기한보다 나은 대접을 받을 자격이 있습니다. 즉시 발송 억제로 처리하고, 서류 작업은 법정 기한 안에 마무리하십시오.

실무 적용

가입 폼

목적마다 체크되지 않은, 명확히 라벨이 붙은 체크박스 하나씩을 두십시오. 발신자를 밝히고, 무엇을 대략 어느 빈도로 보낼지 말하고, 개인정보 처리방침은 전문을 옮겨 적기보다 링크하십시오. 마케팅 동의를 약관 동의와 묶거나 구매의 전제 조건으로 만들지 마십시오. 나중에 화면에 무엇이 있었는지 입증할 수 있도록 폼 버전을 저장하십시오.

더블 옵트인과 그 법적 지위에 대한 솔직한 정리

더블 옵트인은 GDPR이나 ePrivacy 지침이 요구하는 것이 아닙니다. 이를 의무화하는 조항은 없습니다. 더블 옵트인이 만들어 내는 것은 증거입니다. 해당 메일함에서, 기록된 시각에 이루어진 확인 클릭은 그 주소를 통제하는 실제 사람이 동의했다는 사실에 대해 얻을 수 있는 최선에 가까운 증거입니다. 제29조 작업반은 가입자가 등록한 뒤 나중에 확인을 요청받는 방식이 “지침과 양립 가능해 보인다”고 언급했습니다.

그러므로 더블 옵트인은 권장되고, 때로는 강하게 권장되며, 일부 시장에서는 관행입니다. 법은 아닙니다. 구체적인 구현은 더블 옵트인 가이드에 있습니다.

환경설정 센터와 구독 해지 처리

모든 마케팅 메시지에는 수신 거부 요청을 받을 유효한 주소가 있어야 하며, 기존 고객 예외 아래에서는 모든 메시지에 쉽고 무료인 거부 경로를 두는 것이 예의가 아니라 조건입니다. 빈도와 주제를 고를 수 있는 환경설정 센터는 좋은 관행이지만, 단순한 한 단계짜리 전체 구독 해지는 항상 남아 있어야 합니다. 수신 거부는 자동으로 처리하십시오. 수작업 대기열은 조직이 반대 의사 표시 이후에도 발송하게 되는 전형적인 경로입니다.

이전 과정을 견뎌야 하는 발송 억제 리스트

구독 해지는 리스트별 설정이 아니라 영구적인 지시입니다. 억제 상태는 브랜드 전체, 반대가 미치는 채널 전체, 플랫폼 전체에 걸쳐 전역이어야 합니다. 위험한 순간은 이전이나 재임포트입니다. 구독자는 새 시스템으로 옮겨 가는데 반대 플래그는 따라오지 않습니다. 준수하던 프로그램이 조용히 위반 상태가 되는 가장 흔한 경로가 이것입니다.

같은 위험이 스토어와 CRM과 이메일 플랫폼 사이의 모든 연동에 존재하며, 바로 그곳에서 동의와 억제 상태가 이동 중에 사라집니다. Shopify 데이터를 Brevo로 옮기고 있다면 Tajo가 그 필드들을 시스템 사이로 실어 나르는 동기화 레이어입니다. 어떤 도구를 쓰든 시험 방법은 같습니다. 어떤 이전 이후든, 억제되어 있다고 알고 있는 주소가 여전히 억제 상태인지 확인하십시오.

보관과 오래된 리스트의 재동의

보관 기간 제한은 마케팅 리스트에도 적용되므로, 비활성 연락처에 대한 문서화된 보관 규칙을 정하고 집행하십시오. 리스트를 몇 년째 쓰지 않았다면 재동의 캠페인이 제안되곤 합니다. 조심하십시오. “계속 받아 보시겠습니까”라는 이메일 자체가 대부분의 해석에서 마케팅 통신이므로, 오늘 적법하게 이메일을 보낼 수 있는 사람에게만 보낼 수 있습니다. 지금 근거를 입증할 수 없다면 정직한 답은 삭제입니다. 위생 관리 측면은 이메일 리스트 정리 가이드에서 다룹니다.

여러분의 ESP는 처리자입니다

이메일 서비스 제공자는 여러분의 지시에 따라 개인정보를 처리하므로 제28조가 적용됩니다. 처리의 대상, 기간, 성격과 목적, 데이터 유형, 정보주체 범주를 정하는 계약이나 그 밖의 구속력 있는 법적 행위가 있어야 합니다. 이어서 제28조 3항은 문서화된 지시, 기밀 유지, 제32조 보안, 하위 처리자, 정보주체 요청 지원과 침해 시 의무, 서비스 종료 시 데이터 삭제 또는 반환, 감사권에 관한 조항을 요구합니다. 대부분의 제공자는 표준 DPA를 공개합니다. 하위 처리자 목록을 읽으십시오.

국제 이전

개인정보가 EEA를 벗어난다면 이전 메커니즘이 필요합니다. 제45조는 유럽 위원회가 적정성을 인정한 국가나 프레임워크로의 이전을 허용합니다. 그렇지 않으면 제46조가 적절한 안전장치를 요구하며, 가장 흔한 것은 위원회의 표준계약조항이거나 그룹 내 구속력 있는 기업 규칙입니다. 적정성 결정은 2023년 7월 10일 채택된 EU-US 데이터 프라이버시 프레임워크를 포함해 여러 관할 지역을 포괄합니다. ESP의 본사 소재지가 아니라 데이터를 어디에 저장하는지 확인하십시오.

시장별로 이 규정을 부르는 이름

법령 자체는 EU 전역에서 동일합니다. 이름은 그렇지 않습니다.

EU 밖에서는 용어가 또 달라집니다. 영국에는 PECR와 함께 영국 GDPR이 있습니다. 튀르키예에는 KVKK로 알려진 법률 제6698호, Kisisel Verilerin Korunmasi Kanunu가 있습니다. 브라질에는 2018년 8월 14일 법률 제13.709호, LGPD인 Lei Geral de Protecao de Dados Pessoais가 있습니다. 인도네시아에는 Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi가 있습니다. 이들은 번역본이 아니라 각자의 규칙을 가진 별개의 제도이며, GDPR을 충족한다고 해서 자동으로 충족되지 않습니다.

제재, 그리고 규제기관이 실제로 하는 일

제83조는 두 개의 층위를 둡니다. 83조 4항에 따라 최대 1천만 유로 또는 전 세계 연간 총매출의 2%, 83조 5항에 따라 최대 2천만 유로 또는 4%이며, 각각 둘 중 높은 금액입니다. 상위 층위는 제5조, 제6조, 제7조, 제9조의 기본 원칙과 동의 요건, 제12조부터 제22조까지의 정보주체 권리, 제44조부터 제49조까지의 이전 규칙을 포괄하므로 동의 실패와 무시된 반대는 여기에 속합니다. 각국 ePrivacy 규칙은 자체 제재를 더합니다. 아일랜드에서는 규정 13 위반이 형사 범죄이며 메시지 하나하나가 개별적으로 계산됩니다.

중견 규모의 발송자에게 일상적인 위험은 헤드라인을 장식하는 과징금이 아닙니다. 민원 하나가 규제기관의 질문을 촉발하는 것입니다. 이 주소에 대한 동의를 보여 주십시오.

컴플라이언스와 성과가 만나는 지점

제대로 하면 성과도 좋아집니다. 진정하고 구체적인 허락 위에 세워진 리스트는 참여도가 높고 불만이 적으며, 그것이 바로 도달률 시스템이 보상하는 지점입니다. 그 메커니즘은 이메일 도달률 가이드가 설명하고, 검증을 견디는 수집 방법은 이메일 리스트 구축 가이드가 다룹니다.

관련 글

• 더블 옵트인 이메일: 확인된 구독 완벽 가이드
• 이메일 도달률 완벽 가이드
• 이메일 리스트 구축 완벽 가이드
• 이메일 리스트 정리 완벽 가이드
• 구독 해지 페이지와 원클릭 구독 해지 베스트 프랙티스