가입 양식이 받은편지함 스팸으로 이어지는 과정

가입 양식이 내 주소로 할 수 있는 일

가입 양식에 주소를 제출하면 사이트가 이를 사용할 수 있으며, 공개된 정보 공유, 판매 또는 이전, 데이터 침해, 공개 게시물에서의 수집을 통해 주소가 퍼질 수도 있습니다. CAN-SPAM에 따른 수신 거부는 해당 발신자가 앞으로 보내는 적용 대상 마케팅을 중단시키고, 수신 거부된 주소를 이후에 이전하는 것도 제한합니다. 하지만 이미 공개되거나 판매되거나 유출되거나 수집된 사본까지 회수하지는 못합니다.

양식이 받는 것은 단순한 문자열만이 아닙니다. 실제로 작동하는 주소와 함께 무엇에 관심을 보였는지, 어느 페이지를 통해 들어왔는지, 언제 방문했는지 등의 맥락도 받습니다. 이러한 정보의 조합 때문에 주소를 다른 곳에 넘길 가치가 생기며, 바로 그 때문에 아래와 같은 경로들이 존재합니다.

애초에 특정 양식에 어떤 주소를 제공할지 결정하는 중이라면, 그 양식에 대한 일회용 주소를 만드세요 일상적으로 사용하는 받은편지함을 여기에 노출하지 않을 수 있습니다. 그러한 주소에 붙은 명칭만으로 실제 작동 방식이 결정되는 것은 아니며, 그 차이는 일회용, 일회용, 그리고 일회성 이메일의 차이점에서 정리합니다. 아래 내용은 주소가 제출된 뒤 어떤 일이 일어나는지를 다룹니다.

이 글 전체에는 한 가지 한계가 있습니다. 적용되는 규정과 공개된 정책을 바탕으로 가능한 경로를 설명할 뿐, 특정 사이트가 실제로 귀하의 주소를 어떻게 처리하는지 안다고 주장하지는 않습니다.

자체 후속 연락과 제3자로의 확산

미국 CAN-SPAM에 따르면 수신 거부 요청은 적용 대상 상업성 메시지의 발신자에게 적용되며, 그 발신자가 최초 사이트인지 이후에 주소를 받은 회사인지는 관계없습니다. 이 요청이 주소를 보유한 모든 곳에 적용되는 전역 차단 명령을 만드는 것은 아닙니다.

사용자의 관점에서는 관찰할 수 있는 두 가지 상황이 있으며, 법적 구분은 아니지만 설명을 위해 이름을 붙여 두면 유용합니다. 하나는 주소를 제공한 사이트에서 오는 메일로, 해당 사이트의 뉴스레터, 할인 제안, 제품 안내 등이 여기에 해당합니다. 다른 하나는 주소를 직접 제공한 적이 없는 회사에서 오는 메일입니다.

핵심은 여기서 어떤 결론이 나오는가입니다. 이후에 주소를 받은 회사가 미국 CAN-SPAM의 적용을 받는 상업성 메시지의 발신자라면 그 회사에도 자체적인 수신 거부 의무가 있습니다. 법적 기준은 적용 대상 발신자인지 여부이지, 그 발신자에게 주소가 최초 사이트의 자체 이용을 통해 전달되었는지 이후 확산을 통해 전달되었는지가 아닙니다. 법은 주소를 보유한 모든 곳에 적용되는 전역 차단 명령을 만들지 않습니다.

정보 공유, 명단 판매, 데이터 침해, 스크래핑은 서로 다른 경로입니다

주소가 사이트 시스템에 들어가면 사이트는 자체 메일 발송에 이를 사용할 수 있습니다. 이와 별개로 주소는 네 가지 경로를 통해 퍼질 수 있으며, 각 경로에 따라 사용자가 취할 수 있는 조치도 다릅니다.

고지된 정보 공유. 사이트의 개인정보처리방침에 파트너나 계열사와 데이터를 공유한다고 명시되어 있고, 실제로 그렇게 공유하는 경우입니다. 관련 고지가 사용자가 읽을 수 있는 곳에 적혀 있으므로 제출 전에 확인할 수 있는 경로입니다.

판매 또는 이전. 주소가 자산으로서 다른 회사에 넘어가는 경우입니다. 여기에는 알아둘 만한 실질적인 제약이 있습니다. 미국 CAN-SPAM 규정에 따르면 수신 거부를 한 뒤에는 해당 발신자가 메일링 리스트의 일부로 제공하는 경우를 포함해 귀하의 주소를 판매하거나 이전할 수 없습니다. 명시된 유일한 예외는 해당 발신자의 법률 준수를 돕도록 고용된 회사에 이전하는 경우입니다. 이 제약은 발신자가 이후에 하는 행위에 적용될 뿐, 수신 거부 전에 이전된 사본까지 회수하지는 않습니다.

데이터 침해. 사이트의 의도와 무관하게 주소가 사이트의 통제 밖으로 유출되는 경우입니다.

공개 게시물에서의 수집. 주소가 공개된 곳에 올라가면 그곳에서 수집될 수 있습니다. 이 경로는 주소가 먼저 공개되어야만 가능하므로 모든 가입에 적용되는 것은 아닙니다.

수신 거부 요청이 실제로 바꾸는 것

이는 미국 CAN-SPAM 규정으로, 기업이 보낼 수 있는 모든 메시지가 아니라 적용 대상인 상업성 마케팅 이메일에 적용됩니다.

이 범위에서 수신 거부는 호의가 아니라 기한이 정해진 의무입니다. 발신자는 10영업일 이내에 요청을 이행해야 합니다. 발신자가 제공하는 수신 거부 수단은 메시지를 보낸 뒤 최소 30일 동안 요청을 처리할 수 있어야 합니다. 이는 해당 수단이 얼마 동안 유효해야 하는지에 관한 요건이지, 사용자의 요청을 처리해야 하는 기한이 아닙니다.

또한 규정은 발신자가 요청을 이행하는 조건으로 사용자에게 요구할 수 있는 사항도 제한합니다. 수수료를 부과해서는 안 되고, 이메일 주소 외의 개인 식별 정보를 요구해서도 안 됩니다. 또한 이메일로 회신하거나 단일 웹페이지를 방문하는 것 외에 다른 절차를 요구해서도 안 됩니다.

수신 거부 후에는 앞서 설명한 판매 및 이전 제한이 해당 발신자에게 적용됩니다. 이러한 규정을 위반한 개별 이메일마다 벌금이 부과될 수 있으므로, 이 의무는 단순한 권고가 아니라 실질적인 구속력을 지닙니다.

수신 거부로 주소를 회수할 수 없는 이유

CAN-SPAM은 적용 대상 상업성 메시지 발신자에게 명확한 의무를 부과합니다. 이와 별개로 EU GDPR 또는 영국 GDPR이 적용되고 유효한 삭제권이 인정되는 경우, 개인정보처리자는 적용 대상 데이터를 삭제해야 합니다. 다만 제17조 2항과 제19조의 후속 의무에는 합리적인 조치와 이행 불가능성에 관한 제한적인 예외가 있습니다. 어느 체계도 기술적으로 데이터를 회수하는 장치를 제공하지는 않습니다.

더 살펴보기 전에 한 가지 중요한 차이를 알아야 합니다. 마케팅 중단을 위한 수신 거부 요청이 자동으로 제17조에 따른 삭제 요청이 되는 것은 아닙니다. 두 요청은 서로 다른 규정에 따라 이루어지고 범위도 다릅니다. EU GDPR 제17조 1항에 따르면 열거된 사유 중 하나가 적용될 때 삭제가 요구될 수 있습니다. 여기에는 데이터가 더 이상 필요하지 않은 경우, 다른 법적 근거 없이 동의가 철회된 경우, 직접 마케팅에 이의를 제기한 경우, 처리가 위법한 경우, 법률상 삭제가 필요한 경우가 포함됩니다. 제17조 3항은 표현과 정보의 자유, 법적 의무의 이행이나 공적 업무, 공중 보건, 요건을 충족하는 기록 보존·연구·통계 목적, 법적 청구에 필요한 처리를 허용합니다. ICO는 이에 상응하는 영국 GDPR상의 권리를 절대적 권리가 아닌 조건부 권리로 설명합니다.

유효한 삭제 의무가 있는 경우에는 후속 의무에서 그 한계가 드러납니다. 제19조는 개인정보처리자가 데이터를 제공했던 각 수신자에게 삭제 사실을 통지하도록 요구합니다. 다만 통지가 불가능하거나 과도한 노력이 필요한 경우는 예외입니다. 또한 정보주체가 요청하면 개인정보처리자는 해당 수신자가 누구인지 알려야 합니다. 제17조 2항은 그 개인정보처리자가 데이터를 공개했고 이를 삭제할 의무가 있는 경우에 적용됩니다. 이때 개인정보처리자는 이용 가능한 기술과 이행 비용을 고려해 합리적인 조치를 취하여, 해당 데이터의 링크, 사본 또는 복제본에 관한 정보주체의 삭제 요청을 다른 개인정보처리자에게 알려야 합니다.

영국 감독 당국의 지침은 이 권리가 요청 이후에 생성된 데이터가 아니라 요청이 접수된 시점에 보유하고 있던 데이터에 적용된다고 덧붙입니다.

이 내용을 종합하면 제목의 질문에 대한 답을 알 수 있습니다. 두 제도 모두 기업에 조치를 강제할 수 있습니다. 하지만 어느 제도도 다른 회사의 시스템에 접근해 복사본을 삭제할 수 있는 수단을 제공하지는 않습니다. 따라서 조치를 취하기에 유용한 시점은 제출 후가 아니라 제출 전입니다.

가입 양식을 제출하기 전에 확인하는 방법

버튼을 누르기 전에 네 가지를 살펴볼 수 있으며, 각각을 통해 구체적인 정보를 알 수 있습니다.

동의 문구. 체크박스가 이미 선택되어 있는지 확인하고, 실제로 무엇에 동의하는지 읽어보세요. 한 회사의 메일을 받는 데 동의하는 것과 그 회사가 내 정보를 파트너와 공유하는 데 동의하는 것은 서로 다릅니다.

개인정보처리방침의 정보 공유 항목. 이 항목에는 공개된 정보 공유 방식이 설명되어 있거나, 관련 내용이 없을 수 있습니다. 수신자 유형을 명시한 방침은 단순히 데이터를 제3자와 공유할 수 있다고만 밝힌 방침보다 더 많은 정보를 제공합니다.

발신자 신원. 실제 발신자가 누구인지 확인하세요. 작성 중인 양식의 회사가 아니라 파트너나 플랫폼에서 메일을 보낸다면, 아직 선택권이 있을 때 이를 알아두는 것이 좋습니다.

명시된 발송 빈도. 무엇을 얼마나 자주 보낼지 알려주는 양식은 나중에 받은 메시지와 대조해 볼 수 있는 약속을 한 것입니다. 아무런 설명도 없는 양식은 그런 약속을 하지 않은 것입니다.

자주 묻는 질문

구독을 취소하면 주소가 활성 상태임을 확인해 주는 셈이 되나요?

알고 있는 발신자라면 해당 발신자의 수신 거부 기능을 이용하세요. 예상하지 못했거나 의심스러운 메시지라면 링크를 클릭하지 말고 스팸 또는 정크 메일로 표시한 뒤, 필요한 경우 피싱으로 신고하세요. 질문을 문자 그대로 해석하면, 고유 링크를 통해 누군가 메시지에 반응했다는 사실이 드러날 수 있습니다. 다만 메시지가 도착했다는 사실 자체만으로도 발신자는 이미 해당 주소가 유효하다는 것을 알 수 있었습니다.

발신자가 다른 회사에서 제 주소를 입수했는지 어떻게 알 수 있나요?

메시지만으로는 해당 회사가 주소를 어디에서 입수했는지 확인하기 어려울 수 있습니다. 주소를 제공한 적이 없는 회사에서 온 메일은 그 주소가 다른 경로를 통해 넘어갔다는 증거이지만, 그 경로가 고지된 정보 공유인지, 양도인지, 정보 유출인지, 공개 게시물에서의 수집인지는 알 수 없습니다.

받은편지함을 바꾸면 사이트가 이미 보유한 데이터도 삭제되나요?

아니요. 다른 받은편지함으로 옮기면 새 메일이 도착하는 위치만 달라집니다. 회사가 이미 저장한 정보는 바뀌지 않으며, 이전에 제공한 동의도 철회되지 않습니다. 특정 회사가 보유한 데이터를 삭제하려면 관련 규정이 그러한 권리를 부여하는 경우 해당 회사를 상대로 그 권리를 행사해야 합니다. 어떤 종류의 받은편지함으로 옮길지는 별개의 결정이며, 별칭과 별도의 받은편지함 중 선택 그 선택에 따라 이후의 메일이 도착하는 곳이 결정됩니다.