GDPR

개인정보는 오랫동안 모을 수 있으면 모아 두는 자원이었습니다. 가입 화면 맨 아래 마케팅 활용 동의 상자는 미리 켜진 채로 놓여 있었고, 광고를 보내도 된다는 조항은 아무도 끝까지 읽지 않는 약관 안쪽에 있었습니다. 모은 데이터를 광고 회사에 넘기는 데도 따로 절차가 없었습니다.

사용자 쪽에서 보면 이런 모양이었습니다. 가입한 기억이 없는 회사에서 광고 메일이 오고, 수신 거부를 누르면 한 달 뒤 다른 이름으로 또 옵니다. 내 주소를 누가 받아 갔는지 물어볼 데도, 지워 달라고 말할 창구도 없습니다.

회사 쪽도 편하지만은 않았습니다. 유럽은 1995년에 나온 지침을 나라마다 자기 법으로 옮겨 놓은 상태라 독일과 프랑스와 스페인의 기준이 조금씩 달랐고, 유럽 전체에 서비스하는 회사는 기능 하나를 놓고 스무 개가 넘는 기준을 따로 맞춰야 했습니다.

2018년 5월에 시행된 GDPR은 두 가지를 바꿨습니다. 흩어져 있던 기준을 유럽 전체에 같은 내용으로 통일했고, 동의를 받았다고 말하려면 무엇이 갖춰져야 하는지를 조문으로 못 박았습니다. 여기에 과징금을 회사 매출에 연동하면서, 어기는 쪽이 지키는 쪽보다 싸게 먹히는 구조가 무너졌습니다.

개인정보를 다루려면 먼저 여섯 가지 법적 근거 가운데 하나를 댈 수 있어야 합니다. 동의, 계약 이행, 법적 의무, 생명 보호, 공익 수행, 정당한 이익입니다. 근거를 댈 수 없으면 그 데이터는 쓰지 못하는 정도가 아니라 애초에 모을 수 없습니다. 마케팅에서 실제로 쓰는 근거는 대개 동의와 정당한 이익 둘뿐입니다.

동의를 근거로 삼으려면 네 조건을 모두 채워야 합니다.

1. 자유롭게 준 것이어야 합니다. 광고 수신에 동의해야만 가입이 되게 만들면 그 동의는 자유롭지 않아서 무효입니다.
2. 목적마다 따로 받아야 합니다. 서비스 안내와 할인 광고는 다른 목적이라 한 상자로 묶을 수 없습니다.
3. 알고 한 것이어야 합니다. 누가 무엇을 얼마 동안 쓰는지가 동의 화면에서 읽혀야 합니다.
4. 분명한 행동이어야 합니다. 미리 체크해 둔 상자, 아무 반응도 하지 않은 상태, 페이지를 끝까지 내린 행동은 동의로 치지 않습니다.

철회는 동의만큼 쉬워야 합니다. 받을 때는 상자 하나를 눌렀는데 뺄 때 고객센터에 전화해야 한다면 그 조건이 깨집니다.

사용자에게는 권리가 붙습니다. 내 데이터를 보여 달라, 틀린 것을 고쳐 달라, 지워 달라, 다른 서비스로 옮기게 내보내 달라, 이 용도로는 쓰지 말라고 요구할 수 있고 회사는 한 달 안에 답해야 합니다. 데이터가 유출되면 72시간 안에 감독기구에 알려야 합니다.

과징금은 두 단계입니다. 기록 관리 같은 절차 위반은 1천만 유로와 전 세계 연 매출 2퍼센트 중 큰 쪽, 동의 없이 데이터를 쓰거나 사용자 권리를 무시한 경우는 2천만 유로와 연 매출 4퍼센트 중 큰 쪽입니다. 금액이 회사 규모를 따라 올라가는 구조라 매출이 커질수록 무거워집니다.

마케터가 이 규정과 부딪히는 자리는 조문을 읽을 때가 아니라 화면과 명단을 손볼 때입니다. 네 군데에서 반복해 걸립니다.

1. 가입 화면. 서비스 약관 동의와 광고 수신 동의를 한 상자에 묶어 두었다면 분리해야 합니다. 광고 동의 상자는 기본이 꺼짐이고, 동의하지 않아도 가입이 끝까지 진행돼야 합니다.
2. 쿠키 배너. 방문자를 알아보는 기록을 심기 전에 받는 절차가 쿠키 동의입니다. 거절 버튼을 동의 버튼과 같은 크기, 같은 자리에 둬야 합니다. 거절을 설정 화면 두 단계 뒤에 숨기면 동의율은 오르지만 나중에 유효한 동의로 인정받지 못합니다.
3. 발송 명단. 주소마다 언제 어디서 어떤 문구에 동의를 받았는지가 남아 있어야 합니다. 명단을 사 오거나 다른 서비스에서 긁어 온 주소는 이 기록을 만들 수 없어서 그대로 위험이 됩니다. 우리 채널에서 직접 모은 퍼스트파티 데이터의 값이 오른 이유가 여기 있습니다.
4. 삭제 요청 처리. 지워 달라는 요청이 들어오면 서비스 데이터베이스만 비워서는 끝나지 않습니다. 메일 발송 도구, 분석 도구, 고객 관리 도구에 복사돼 있는 같은 사람의 기록까지 함께 지워야 합니다.

무엇을 어떻게 다루는지 밖에 공개해 둔 문서가 개인정보처리방침입니다. 실제 운영이 그 문서와 달라지면 그 차이 자체가 위반이 되기 때문에, 도구를 하나 새로 붙일 때마다 이 문서를 같이 고치는 습관이 필요합니다.

"유럽 사용자가 세 명이라도 GDPR 적용 대상이에요. 가입 화면부터 고쳐야 합니다."

사용자 수가 적으니 넘어가자는 판단을 막는 말입니다.

"이 명단 GDPR 쪽이 걸려요. 어디서 받은 주소인지 기록이 없어요."

동의 이력을 증명할 수 없으니 이 명단으로는 발송하지 말자는 뜻입니다.

"삭제 요청 들어왔는데 메일 도구랑 분석 도구에서도 지워야 하나요?"

같은 사람의 기록이 여러 도구에 흩어져 있다는 것을 이제 막 깨달은 질문입니다.

페이지덱이 유럽 이용자에게 무료 플랜을 열던 달, 현우가 가입 화면을 다시 뜯어봤습니다. 기존 화면은 약관, 개인정보 처리, 마케팅 수신을 한 상자로 묶고 그 상자를 미리 켜 둔 상태였습니다. 국내 기준으로는 한 번 고쳐야 할 수준이었지만 유럽 기준으로는 세 조건이 동시에 깨진 화면이었습니다.

현우는 상자를 셋으로 나누고 마케팅 수신만 기본 꺼짐으로 돌렸습니다. 예상대로 동의율이 절반 아래로 떨어졌고, 대신 메일 열람률이 올랐습니다. 받겠다고 직접 누른 사람만 명단에 남았기 때문입니다.

한국 회사에는 해당하지 않는다고 넘기는 경우가 가장 흔합니다. 법을 만든 곳이 유럽이니 유럽 회사의 일이라고 읽는 것인데, 이 규정은 회사가 어디 있는지가 아니라 데이터 주인이 어디 사는지를 기준으로 삼습니다. 유럽에 있는 사람에게 서비스를 제공하거나 그 사람의 행동을 추적하면 적용됩니다. 그대로 두면 문제는 대개 영업 쪽에서 먼저 터집니다. 유럽 고객사가 보안 검토 단계에서 규정 준수 여부를 묻고, 답을 못 하면 계약이 그 자리에서 멈춥니다.

동의만 받아 두면 무엇이든 해도 된다고 읽는 것도 흔합니다. 동의는 여섯 근거 중 하나일 뿐이고, 받은 목적 밖으로 나가는 순간 그 동의는 효력이 없습니다. 서비스 점검 안내를 보내려고 받은 주소로 할인 소식을 보내면 동의서가 있어도 위반입니다.