GDPR과 이메일이란?

정의

일반 개인정보 보호법(GDPR)은 2018년 5월에 시행된 EU의 포괄적인 개인정보 보호법이에요. 식별되었거나 식별 가능한 개인과 관련된 모든 정보인 개인정보의 처리를 규율해요. 이름이 들어간 업무용 주소나 개인 주소 같은 이메일 주소는 특정인을 가리키기 때문에 분명히 개인정보에 해당해요.

이메일 마케팅에서 이것이 중요한 이유는 구독자 주소로 하는 거의 모든 일이 GDPR상 처리이기 때문이에요. 폼으로 수집하고, 데이터베이스에 저장하고, 유효한지 검증하고, 이를 기준으로 오디언스를 세분화하고, 캠페인을 보내는 것 모두 포함돼요. 각 처리 활동에는 적법한 근거가 있어야 하고, 데이터를 왜 어떻게 쓸지 결정하는 컨트롤러(controller)가 그 근거를 선택하고 문서화할 책임을 져요.

꼭 알아야 할 세부 사항이 하나 있어요. GDPR은 개인정보를 규율하지만, 원치 않는 마케팅 메일을 보내는 행위 자체는 ePrivacy 지침의 적용도 받아요. 이 지침은 영국의 PECR 같은 회원국 법률로 시행돼요. 따라서 규정을 준수하는 마케팅 이메일에는 일반적으로 두 가지가 필요해요. 주소 처리를 위한 GDPR상의 적법한 근거, 그리고 메일을 보내기 위한 ePrivacy 규정상의 유효한 허락이에요. 두 가지를 함께 받을 수 있는 경우가 많지만, 법적으로는 별개예요.

작동 방식

GDPR은 여러 원칙과 적법한 근거 목록으로 작동해요. 원칙에 따르면 개인정보는 무엇보다 적법하고 공정하며 투명하게 처리되어야 하고, 명시된 목적을 위해 수집되어야 하며, 필요한 범위로 제한되고, 정확하게 유지되며, 필요한 기간보다 오래 보관되지 않아야 해요. 정확성 원칙은 눈여겨볼 만해요. 리스트를 검증하고 관리하는 것이 GDPR과 충돌하지 않고 오히려 부합하는 이유 중 하나이기 때문이에요.

마케팅 이메일의 경우 GDPR의 6가지 적법한 근거 중 현실적인 것은 두 가지예요. 첫 번째는 GDPR 제6조 제1항 (a)호에 따른 동의예요. 유효한 GDPR 동의는 자유롭게 주어지고, 구체적이며, 충분히 안내받은 상태에서, 명확하게 이루어져야 해요. 미리 체크된 박스가 아니라 분명한 적극적 행동으로 표현되어야 하고, 언제 어떻게 동의했는지 기록을 남겨야 해요. 동의는 소비자 대상 홍보 이메일의 기본 근거예요. 두 번째는 제6조 제1항 (f)호에 따른 정당한 이익이에요. 일부 B2B 마케팅과 기존 고객 대상 커뮤니케이션의 근거가 될 수 있지만, 진정한 비즈니스 목적이 있고, 이메일이 그 목적에 필요하며, 개인의 권리를 침해하지 않는다는 점을 보여주는 정당한 이익 평가를 수행하고 문서화한 뒤에만 가능해요.

구독자에게는 반드시 보장해야 하는 권리도 있어요. 자신의 데이터에 대한 열람권, 부정확한 데이터의 정정권, 삭제권, 그리고 언제든 다이렉트 마케팅에 반대할 수 있는 강력한 반대권이에요. 누군가 마케팅에 반대하면 예외 없이 그 목적의 데이터 처리를 중단해야 해요. 범위가 좁은 소프트 옵트인은 일부 상황에서 기존 고객에게 유사한 상품을 마케팅하는 것을 허용하지만, 제한적이고 쉽게 거부할 수 있는 방법을 제공할 의무는 결코 사라지지 않아요.

이메일 도달률에 중요한 이유

GDPR은 개인정보 보호법이지 도달률 기준은 아니에요. 그런데 GDPR에 맞게 만든 리스트는 대체로 도달률도 좋아요. 이유는 메일함 제공업체가 쓰는 참여도 논리와 같아요. 진정하고 자유로운 동의로 만든 리스트는 실제로 메일을 원하는 사람들로 이루어져 있어요. 이들은 메일을 열고, 클릭하고, 스팸으로 신고하는 일이 드물어요. 이것이 바로 Gmail과 Yahoo가 받은편지함 배치로 보상하는 긍정적 신호예요.

적절한 적법 근거 없이 만든 리스트는 반대로 움직이는 경향이 있어요. 진짜 동의 없이 모으거나, 웹에서 스크래핑하거나, 오래된 출처에서 가져온 주소는 참여도가 낮고 스팸 신고율이 높으며, 하드 바운스를 일으키는 오래전에 버려진 메일함과 평판을 해치는 재활용 스팸 트랩이 섞여 있을 가능성도 높아요. 도달률 피해와 법적 위험은 같은 근본 원인에서 나와요. 바로 제대로 만들어지지 않은 리스트예요.

GDPR의 정확성 원칙이 이를 뒷받침해요. 개인정보를 정확하고 최신 상태로 유지해야 하는데, 이메일 리스트라면 더 이상 작동하지 않는 주소를 제거하고 잘못된 데이터를 바로잡는 걸 뜻해요. 이렇게 하는 컨트롤러는 반송률도 낮게 유지하게 돼요. 금전적 측면을 생각하면 이 관리는 선택이 아니에요. 가장 심각한 GDPR 위반은 최대 2,000만 유로 또는 전 세계 연간 매출의 4% 중 더 높은 금액의 과징금으로 이어질 수 있어요.

VeriMails의 처리 방식

VeriMails는 이메일 검증 서비스이지 법률 컴플라이언스 제품이 아니며, 검증이 마케팅의 적법한 근거를 만들어주지는 않아요. 근거를 선택하고, 유효한 동의를 받고, 반대 요청을 존중하고, 처리 내역을 문서화하는 것은 컨트롤러의 책임이고, 복잡한 문제는 자격을 갖춘 법률 전문가에게 문의하는 것이 좋아요. VeriMails가 기여하는 부분은 GDPR의 정확성 측면이고, 이는 규정을 준수하는 데이터 처리의 엄연한 일부예요.

이메일 주소 검증 자체도 처리에 해당하며, GDPR이 원칙으로 담고 있는 데이터 정확성에 직접 기여하기 때문에 일반적으로 정당한 이익의 범위에 무리 없이 들어가요. VeriMails로 리스트를 검증하면 각 주소가 여러 단계의 전체 과정을 거쳐요. 구문 검증, MX 및 DNS 확인, 수신 메일 서버와의 실시간 SMTP 핸드셰이크, 캐치올 도메인, 일회용 주소, 역할 기반 주소 감지가 포함돼요. 유효하지 않은 주소와 위험 주소를 제거하면 구독자 데이터가 정확하고 최신 상태로 유지되는데, 이것이 바로 정확성 원칙이 요구하는 것이고, 동시에 반송도 줄어들어요.

검증 서비스를 쓸 때는 이를 데이터 처리자(processor)로 보고 데이터 처리 계약(DPA)을 체결해야 해요. VeriMails는 제출된 주소를 검증 결과를 돌려주는 용도로만 처리하며, 데이터를 보관하거나 재판매하지 않고 안전하게 다루도록 설계되어 있어요. 대량 CSV 업로드로 검증하거나, REST API로 주소를 하나씩 검증할 수 있어요. 예를 들어 새 가입자를 저장하기 전에 확인할 수 있어요. 검증 결과는 API와 대량 워크플로 모두에 명확한 도달률 분류로 제공돼요. 신규 계정은 가입 시 신용카드 없이 만료되지 않는 무료 크레딧 100개를 받고, 검증은 이메일당 0.0019달러, 즉 10,000 크레딧에 19달러부터이며, 연간 플랜은 연 단위 결제 시 월 $12.50부터예요.

자주 묻는 질문