프랑스 CNIL의 추적 픽셀 규정과 이메일 마케팅 업계 전반에 미치는 영향에 대한 추가 정보를 검색했습니다. CNIL은 2025년 12월 18일 최종 권고를 채택했고, 2026년 1월 18일 관보에 공식 게재하여 이메일 참여도 추적 방식을 근본적으로 바꿀 새로운 규정을 확정했습니다. CNIL은 2025년 6월 이메일의 추적 픽셀에 관한 공개 의견 수렴을 시작했으며, 기본적인 이메일 오픈 추적까지도 명시적 동의를 요구할 가능성을 제시했습니다. 오픈율을 핵심 지표로 삼는 모든 마케터와 성장 팀에게 이는 참여도 데이터를 수집하고 활용하는 방식의 중대한 변화를 의미합니다.
이중 동의 요건이 모든 것을 바꾼다
CNIL은 사용자가 두 가지 독립적인 동의를 제공해야 한다고 제안합니다. 하나는 마케팅 이메일 수신에 대한 동의이고, 다른 하나는 추적 픽셀 배포에 특화된 별도의 동의입니다. 이는 단순한 규제 세부 사항이 아닙니다. "마케팅 이메일 수신에 동의합니다"라는 단일 체크박스로 동의를 묶는 관행이 더 이상 추적 픽셀 사용을 포함하지 않는다는 뜻입니다.
이중 동의 요건은 조직이 두 가지 별도의 허가를 필요로 한다는 의미입니다. 즉, ePrivacy 지침 제13조에 따른 이메일 수신 동의와 쿠키를 규율하는 동일한 규정인 제5.3조에 따른 추적 동의입니다. 이러한 구분은 뉴스레터 가입에 추적 동의를 묶는 일반적인 관행을 무효화합니다. "마케팅 이메일 수신에 동의합니다"라고 명시된 체크박스는 추적 픽셀 배포를 포함하지 않습니다. 각 작업은 자체적인 명시적 옵트인이 필요합니다.
이는 이메일 캠페인 세분화, 개인화, 리드 스코어링에 영향을 미칩니다. 오픈을 추적하여 참여도를 판단하고, 연락처를 활성으로 표시하거나, 오픈 행동에 기반해 발송 빈도를 조정한다면 이제 그 특정 추적에 대한 별도 동의의 서면 증거가 필요합니다.
소급적 동의 철회는 어떻게 되나?
가장 기술적으로 복잡한 측면 중 하나는 철회 권리입니다. 구독 해제 또는 동의 철회 링크는 이전에 발송된 메시지에 대해서도 즉시 소급 효력을 가져야 합니다. 이 요건은 특별한 구현 과제를 제시합니다. 사용자가 동의를 철회한 후 이전에 수신한 메시지를 다시 열더라도 픽셀 활성화를 방지할 수 있는 기술 인프라를 개발해야 하기 때문입니다.
이는 이메일 추적 시스템이 단순히 오픈 데이터를 저장하고 보관할 수 없다는 의미입니다. 대신 사용자가 추적 동의를 철회하면, 철회 전에 발송된 이메일이라도 조직은 픽셀 활성화를 중단해야 합니다. 일반적인 추적 픽셀은 정적입니다. 한번 이메일에 임베드되면 동일한 방식으로 계속 작동합니다. 새로운 규정은 사실상 발송 시점이 아니라 픽셀 로드 시점에 동의 상태를 확인할 수 있는 동적 추적 시스템을 요구합니다.
예외는 생각보다 제한적이다
CNIL은 특정 조건 하에서 명시적 동의 없이 일부 추적을 허용합니다. 예외는 순수 기술 목적(보안, 인증)에 사용되는 픽셀이나 집계되고 식별 불가능한 오픈율 측정에 적용될 수 있습니다. 그러나 개별적으로 누가 이메일을 열었는지 식별하고, 오픈 행동에 따라 연락처를 타겟팅하거나, 개별 오픈 상호작용에 기반해 콘텐츠를 개인화하는 것은 모두 명시적 동의를 필요로 합니다. 그러나 캠페인 수준이나 수신자 도메인별로 익명화된 전체 오픈율을 측정하는 것은 추가 동의가 필요하지 않습니다.
이 구분은 전달성 팀에게 중요합니다. 운영 목적이라도 동의 없이 개별 오픈 데이터를 사용하여 바운스 주소를 식별하거나 비활성 세그먼트를 파악할 수 없습니다.
B2B는 가장 큰 미지수
B2B 부문이 가장 큰 영향을 받을 가능성이 높습니다. 지금까지 B2B 상업 이메일이 일반적으로 옵트아웃 체계에서 작동했기 때문입니다. 많은 B2B 마케터는 명시적 동의 없이 오픈 추적을 중심으로 워크플로우를 구축했으며, 비즈니스 이메일에 대한 소프트 옵트인 규칙에 의존해왔습니다. CNIL의 틀에서 그러한 보호는 더 이상 추적 픽셀에 적용되지 않습니다.
준수 시행 일정 및 실무 단계
CNIL은 초기 시행 기간에 관대한 입장을 보일 가능성이 높으며, 벌금 부과 전 통지를 발행할 것입니다. 그러나 조직은 사실상 2026년 1월까지 준수를 달성해야 합니다. 그 이후 시행 조치가 훨씬 가능성이 높아집니다. 그 기한이 이미 지났으므로 준수는 더 이상 선택 사항이 아닙니다.
CNIL은 2025년 EMDay 컨퍼런스에서 조직이 최종 권고를 기다리지 말고 이러한 요건을 준수해야 한다고 강조했습니다. 이메일 추적에 대한 동의를 얻을 법적 의무는 2018년 GDPR 시행 이후 존재해왔습니다.
마케터와 성장 팀이 지금 해야 할 일
먼저 실제로 추적 중인 데이터와 마케팅 결정이 어떤 데이터에 의존하는지 감사하는 것으로 시작하세요. 조직은 규제 감시 중 언제든지 사용자 동의를 입증해야 하며, 동의를 얻은 시기, 동의된 특정 추적 내용, 동의 메커니즘이 어떻게 제시되었는지에 대한 상세한 기록을 유지해야 합니다.
추적에 대한 별도의 동의를 수집하도록 가입 양식을 업데이트하세요. 개별 오픈 데이터에 의존하는 자동화 워크플로우를 재설계하여 동의가 있는 세그먼트에서만 작동하도록 하거나, 익명화된 집계 지표로 전환하세요. 문서화된 추적 동의가 없는 기존 연락처 데이터베이스의 경우 두 가지 선택지가 있습니다. 이러한 연락처에 대한 추적을 중단하거나, 동의 수집을 증명할 수 없는 한 관행을 완전히 중단하세요.
규제 환경이 EU 전역에서 변화하고 있으며, 프랑스 CNIL이 그 속도를 설정하고 있습니다. 지난 5년간 일반적이던 관행이 이제는 준수 리스크입니다. 별도 동의 메커니즘과 동의 인식형 추적 시스템으로 조기에 전환하는 조직은 시행이 강화되기 전에 워크플로우와 메시징을 조정할 시간을 가질 수 있습니다.
