마케팅 개인정보 규제

한동안 마케팅 팀의 일은 명단을 늘리는 것이었습니다. 어디선가 이메일 주소 3만 건을 구해 오면 그 주에 바로 발송했고, 사이트에 광고 회사가 준 코드를 한 줄 붙여 두면 방문한 사람이 다른 사이트에서 무엇을 보는지까지 따라갈 수 있었습니다. 허락을 받는 절차는 없었습니다. 기술이 먼저 가능해졌고 규칙은 아직 만들어지지 않았기 때문입니다.

불편은 양쪽에 쌓였습니다. 고객 쪽에서는 한 번 들여다본 운동화가 두 주 동안 모든 사이트를 따라다녔고, 이름을 들어 본 적도 없는 회사에서 광고 메일이 왔습니다. 어디서 내 주소를 얻었는지 물을 곳도, 그만 보내라고 말할 곳도 마땅치 않았습니다. 회사 쪽에서도 문제가 자랐습니다. 명단에 든 3만 건이 어디서 왔는지 아무도 설명하지 못하는 상태가 됩니다. 몇 해 전 행사에서 받은 것, 대행사가 넘긴 것, 제휴사가 준 것이 한 표에 섞여 있으니 나중에 문제가 생겨도 어느 줄을 지워야 하는지 알 수 없습니다.

그 상태는 회의에서 이런 모양으로 나타났습니다. 현우가 명단 3만 건을 확보했다고 보고하고, 규원이 어디서 온 것이냐고 묻고, 현우가 대행사에서 받았다고 답합니다. 거기서 대화가 멈춥니다. 보내도 되는지 아닌지를 가를 기준이 회사 안에 없었기 때문입니다. 기준이 없으니 결정은 늘 담당자의 배짱에 달렸고, 발송 목표가 걸려 있는 이상 대체로 보내는 쪽으로 기울었습니다.

규칙은 세 방향에서 한꺼번에 들어왔습니다. 하나는 법입니다. 2018년 유럽이 GDPR을 시행하면서 회사의 전 세계 매출을 기준으로 과징금을 매기기 시작했고, 한국의 개인정보보호법도 같은 흐름에서 기준을 촘촘하게 다듬었습니다. 둘은 플랫폼입니다. 2021년 애플이 앱 추적 투명성을 도입해 앱이 사용자를 추적하기 전에 팝업으로 허락을 받도록 강제했고, 주요 브라우저가 서드파티 쿠키를 막기 시작했습니다. 셋은 사람입니다. 따라다니는 광고를 불쾌하게 여기는 정서가 이미 쌓여 있어서, 거절할 수 있는 버튼이 생기자 많은 사용자가 그쪽을 눌렀습니다.

상위 분야인 마케팅은 방향을 정하는 전략, 고객이 지나는 길을 그리는 퍼널과 채널, 실제로 말을 거는 실행, 그리고 결과를 읽고 도구와 규칙을 다루는 뒷단으로 갈립니다. 마케팅 개인정보 규제는 그 뒷단에 놓입니다. 측정이 무엇이 통했는지를 가려내고 도구가 그 일을 돌린다면, 이 갈래는 그보다 앞에서 애초에 무엇을 모아 둘 수 있고 모은 것을 어디까지 쓸 수 있는지를 정합니다. 뒷단에 적혀 있지만 순서는 맨 앞이라, 캠페인을 다 만든 뒤에 확인하면 만든 것을 버리게 됩니다.

마케팅 개인정보 규제 아래 묶인 용어는 일곱이고 두 갈래로 나뉩니다. 지켜야 할 선을 정해 둔 법규, 그리고 그 선이 실제로 걸리는 자리인 수집 수단입니다. 앞이 기준이고 뒤가 현장입니다.

법규는 무엇이 허용되고 무엇이 금지되는지를 정한 갈래로 셋입니다.

1. GDPR — 유럽의 개인정보 보호 규정입니다. 유럽에 사는 사람의 데이터를 다루면 회사가 어디에 있든 적용되니, 한국 회사가 유럽 사용자를 몇 명 받고 있다면 남의 일이 아닙니다. 특징은 둘입니다. 하나는 동의를 받는 방식을 까다롭게 정해 둔 것으로, 미리 체크해 둔 상자나 약관에 묻어 둔 문장은 동의로 치지 않습니다. 다른 하나는 과징금을 전 세계 연 매출의 최대 4퍼센트로 정한 것입니다. 금액이 회사 규모를 따라 올라가는 구조라 매출이 커질수록 무거워집니다.
2. 개인정보보호법 — 한국에서 개인정보를 어떻게 다뤄야 하는지 정한 법입니다. 모을 때 무엇을 왜 모으는지 알리고 동의를 받게 하고, 정한 목적 밖으로 쓰지 못하게 하고, 다 쓴 데이터는 지우게 합니다. 마케터가 가장 자주 부딪히는 조항은 목적 제한입니다. 회원가입 때 받은 주소로 서비스 점검 안내를 보내는 것과 할인 소식을 보내는 것은 다른 목적이라, 뒤엣것은 동의를 따로 받아야 합니다. 무엇을 어떻게 다루는지 밖에 공개해 둔 문서가 개인정보처리방침이고, 실제 운영이 그 문서와 달라지면 그 자체가 문제가 됩니다.
3. 광고 수신 동의 — 광고성 정보를 보내기 전에 받아야 하는 동의입니다. 앞의 둘이 데이터 전반을 다룬다면 이것은 발송 행위에 직접 걸립니다. 한국에서는 정보통신망법이 이 부분을 맡아, 동의 없이 나간 광고 메일과 문자에 과태료를 매깁니다. 실무에서 자주 걸리는 세부 조항이 셋 있습니다. 밤 9시부터 아침 8시 사이에 광고 문자를 보내려면 야간 수신 동의를 따로 받아야 하고, 메일 제목에는 광고 표기를 붙여야 하고, 메시지마다 수신 거부 수단을 넣어야 합니다.

수집은 데이터가 실제로 들어오는 통로를 다루는 갈래로 넷입니다. 법규가 선을 긋는다면 이쪽은 그 선에 발이 닿는 지점입니다.

1. 쿠키 동의 — 추적 쿠키를 심기 전에 받는 동의 절차입니다. 쿠키는 브라우저에 저장되는 작은 기록으로, 같은 사람이 다시 왔다는 것을 알아보게 해 줍니다. 유럽 사이트에 처음 들어갔을 때 화면 아래에서 올라오는 배너가 이것입니다. 만드는 요령은 거절 버튼을 동의 버튼과 같은 크기, 같은 자리에 두는 것입니다. 거절을 설정 화면 두 단계 뒤에 숨기면 동의율은 오르지만 나중에 유효한 동의로 인정받지 못합니다.
2. 서드파티 쿠키 — 우리가 아니라 광고 회사가 심어, 여러 사이트를 가로질러 한 사람을 따라가던 쿠키입니다. 우리 사이트를 본 사람에게 다른 사이트에서 다시 광고를 보여 주는 리타기팅이 오래 기대 온 재료였습니다. 브라우저가 차단 쪽으로 움직이면서 이 재료가 얇아졌고, 같은 사람을 사이트 밖에서 알아보는 일이 어려워졌습니다.
3. 퍼스트파티 데이터 — 우리 채널에서 직접 모은 고객 데이터입니다. 가입 정보, 우리 사이트와 앱 안에서의 행동 기록, 문의 이력이 여기 듭니다. 남의 추적에 기대지 않고 우리가 동의를 받아 모은 것이라 규제가 바뀌어도 남습니다. 앞 항목이 얇아지면서 값이 오른 쪽이 여기라, 최근 몇 해 마케팅 조직이 뉴스레터와 회원 가입에 다시 힘을 쏟는 이유가 됩니다.
4. 앱 추적 투명성 — 앱이 다른 회사 서비스에서의 활동까지 추적하기 전에 팝업으로 허락을 받게 한 애플의 정책입니다. 허용하지 않은 사용자는 광고 식별자가 빈 값으로 나가고, 그러면 광고를 보고 들어온 사람과 앱 안에서 결제한 사람을 같은 사람으로 잇지 못합니다. 어느 광고가 성과를 냈는지 따지는 어트리뷰션이 앱 쪽에서 흔들린 이유가 이것입니다.

두 갈래는 따로 돌지 않습니다. 법규가 무엇을 받아야 하는지 정하면 수집 수단이 그 동의를 받는 화면과 절차가 되고, 수집 수단이 막히면 법규를 지키면서도 쓸 수 있는 데이터가 무엇인지 다시 정리하게 됩니다. 서드파티 쿠키가 막히자 퍼스트파티 데이터로 무게가 옮겨 간 흐름이 그 예입니다. 그래서 이 갈래를 두 사람이 나눠 맡으면 대개 어긋납니다. 법규만 아는 사람은 현장에서 어떤 버튼이 실제로 눌리는지 모르고, 도구만 아는 사람은 켜 둔 기능이 어느 조항에 걸리는지 모릅니다.

"이 명단 3만 건 중에 광고 수신 동의 받은 건만 골라서 몇 건인지 먼저 알려 주세요."

가지고 있는 연락처와 보내도 되는 연락처는 다른 숫자라는 전제에서 나온 요청입니다.

"이 이벤트에 이메일이랑 전화번호를 같이 실으면 안 됩니다. 분석 도구 쪽으로 개인정보가 그대로 넘어가요."

측정을 위해 심는 기록에 식별 가능한 값을 태우면 그 도구가 개인정보 처리 대상이 된다는 지적입니다.

"유럽 사용자에게도 이 배너가 뜨나요? 지금 화면에는 거절 버튼이 안 보이는데요."

동의 배너가 있느냐가 아니라 거절이 동의만큼 쉬운가를 묻는 말입니다.

페이지덱에서 이 갈래가 처음 문제로 떠오른 것은 웨비나 하나 때문이었습니다. 현우가 문서 협업을 주제로 온라인 행사를 열어 신청자 1,200명을 모았고, 다음 주에 유료 플랜 할인 안내를 그 명단 전체에 보내려 했습니다. 지현이 신청 화면을 다시 열어 보니 동의 항목이 하나뿐이었습니다. 행사 안내를 받겠다는 동의였고, 광고를 받겠다는 동의는 없었습니다. 1,200건 가운데 보낼 수 있는 대상은 예전 가입 경로에서 광고 수신 동의를 받아 둔 310건뿐이었습니다.

규원은 그 자리에서 발송을 막는 대신 절차를 하나 만들었습니다. 캠페인을 기획할 때 대상 명단의 출처와 동의 항목을 한 줄로 적어 두는 칸을 기획서에 넣은 것입니다. 이후 페이지덱의 마케팅 기획서에는 이 캠페인이 누구에게 나가는지 옆에 그 사람들이 무엇에 동의했는지가 나란히 적힙니다. 덕분에 다음 분기 웨비나에서는 신청 화면에 광고 수신 동의가 선택 항목으로 따로 붙었고, 신청자의 절반이 그 상자를 눌렀습니다. 절반은 낮은 숫자처럼 보이지만, 보내도 되는 600건이 보내면 안 되는 1,200건보다 값이 나갑니다.

이 일을 법무팀 몫으로 넘기는 오해가 가장 흔합니다. 법 이름이 붙어 있고 위반하면 과징금이 나오니 법률 업무로 보이는 것이 자연스럽습니다. 하지만 규칙이 실제로 걸리는 자리는 법무팀 책상이 아니라 마케팅 팀이 매일 손대는 화면과 도구입니다. 가입 화면의 동의 상자를 어떻게 배치할지, 분석 도구에 어떤 값을 실어 보낼지, 광고 계정에 고객 명단을 올릴지 말지가 전부 마케터의 결정입니다. 법무팀은 그 결정이 이미 내려진 뒤에야 문서를 봅니다. 그대로 두면 캠페인을 다 만들어 놓고 발송 전날 검토에서 막히는 일이 반복되고, 몇 번 반복되면 현장은 검토를 건너뛰는 쪽을 택합니다.

동의만 받아 두면 그 데이터를 마음대로 쓸 수 있다고 여기는 것도 자주 어긋납니다. 동의 상자에 체크를 받았으니 허락을 얻었다고 읽는 것인데, 동의는 무엇에 쓰겠다고 적어 둔 그 목적에만 붙습니다. 서비스 안내를 받겠다고 한 사람에게 할인 광고를 보내면 동의를 받은 데이터로 동의받지 않은 일을 한 것이 됩니다. 보관 기간도 함께 걸립니다. 5년 전 행사 신청자 명단을 아직 쥐고 있다면 그 자체가 문제가 되고, 사용자가 동의를 거둬들이면 그 시점부터 발송 대상에서 빠져야 합니다. 이 세 가지를 챙기지 않은 팀은 명단이 커질수록 쓸 수 있는 비율이 줄어드는 상태에 놓입니다. 표에는 10만 건이 있는데 실제로 보낼 수 있는 대상은 2만 건이고, 나머지 8만 건은 지우지도 못한 채 위험만 쌓아 둔 채로 남습니다.