# CNIL 이메일 추적 픽셀 규칙: 동의가 필요한 경우

정식 URL: https://brew.new/ko/blog/cnil-tracking-pixel-rules-email
글쓴이: Philip Sørensen
게시일: 2026-10-06
수정일: 2026-10-06

프랑스 개인정보 보호 기관인 CNIL의 이메일 추적 픽셀 권고는, 수신자가 메시지를 열었다는 사실을 발신자에게 알려 주는 보이지 않는 이미지에 동의 규칙이 어떻게 적용되는지에 대한 프랑스의 공식 해석이에요. 오픈 픽셀은 수신자의 기기에서 정보를 읽기 때문에, 좁게 정해진 두 가지 예외 중 하나에 해당하지 않는 한 사전 동의가 필요해요. CNIL은 2026년 3월 12일 의결 제2026-042호로 이 권고를 채택했고, 2026년 4월 14일 프랑스 관보(Journal Officiel)에 게재했으며, 2026년 7월 22일에는 27개 질문으로 된 FAQ를 추가했어요.

대부분의 ESP처럼 내 ESP도 모든 이메일에 픽셀을 넣는데 가입 폼에서는 이를 한 번도 언급하지 않는다면, 회사가 어디에 있든 프랑스 수신자 모두가 문제가 돼요. CNIL의 문서는 프랑스어로 되어 있어요. 이 글의 인용문은 FAQ와 웨비나를 포함해 모두 저희가 한국어로 옮긴 것이고, 권고 인용문은 CNIL이 참고용으로 제공하는 [영어 번역본](https://www.cnil.fr/sites/default/files/2026-05/recommandation_tracking_pixels_emails.pdf)과 [프랑스어 원문](https://www.cnil.fr/sites/default/files/2026-04/recommandation-pixels_de_suivi.pdf)을 바탕으로 했어요.

이 글은 법률 자문이 아니에요. 권고 스스로도 “규제 문서가 아니며, 모든 경우를 망라하지도 않는다”고 밝히고 있으니, 현재 설정은 법률 전문가에게 검토를 받으세요.

## 핵심 요약

- 캠페인 최적화, 프로필 구축, 부정행위 탐지에 쓰는 오픈 데이터에는 사전 동의가 필요해요.
- 예외는 두 가지예요. 인증 보안, 그리고 수신자가 요청한 이메일에서 비활성 수신자에게 보내는 메일을 줄이거나 멈추려고 마지막 오픈 날짜만 보관하는 전달성 픽셀이에요. 소프트 옵트인(soft opt-in) 이메일과 장바구니 이탈 이메일은 해당하지 않아요.
- 2026년 4월 14일 이전에 수집한 연락처에는 7월 14일까지 안내하고 거부할 기회를 줬어야 해요. 그러지 않았다면 이제는 동의가 필요해요.
- 주소를 받는 폼에서 픽셀 동의를 별도의 선택 항목으로 받고, 모든 푸터에 동의 철회 링크를 넣으세요.
- 추적 링크도 같은 제82조 기준을 적용받고, 목적에 따라 판단돼요.

## 규칙의 근거

전자 프라이버시 지침(ePrivacy Directive) 제5조 제3항([통합본](https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:02002L0058-20091219))은 사용자의 기기에 정보를 저장하거나 기기에서 정보를 읽는 것을 사용자가 “동의한 경우에만” 허용해요. 예외는 통신을 전송하는 데 그 접근이 필요하거나, 사용자가 명시적으로 요청한 서비스에 “반드시 필요한” 경우예요. 프랑스는 이 조항을 [정보처리 및 자유에 관한 법률(loi Informatique et Libertés) 제82조](https://www.cnil.fr/fr/le-cadre-national/la-loi-informatique-et-libertes#article82)로 국내법에 반영했고, 이 조항은 CNIL이 다룬 쿠키 사건들의 근거이기도 해요.

유럽개인정보보호이사회(EDPB)의 [가이드라인 2/2023](https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-22023-technical-scope-art-53-eprivacy-directive_en)(2024년 10월 7일 채택된 2.0 버전)은 이미 URL이나 이미지에 담긴 추적 정보가 “단말 장치에 대상 정보를 되돌려 보내라는 지시에 해당한다”고 밝혔어요. 그다음에 일어나는 일은 GDPR이 규율해요. 제7조 제1항에 따른 동의 증명도 여기에 포함돼요.

| 날짜 | 내용 |
|---|---|
| 2025년 6월 12일~7월 24일 | 초안에 대한 [공개 의견 수렴](https://www.cnil.fr/fr/consultation-publique-projet-recommandation-pixels-de-suivi) |
| 2026년 3월 12일 | CNIL, 의결 제2026-042호 채택 |
| 2026년 4월 14일 | 관보(Journal Officiel)에 [게재](https://www.cnil.fr/fr/recommandation-pixel-suivi-courriels). 새 주소에는 즉시 적용 |
| 2026년 5월 28일, 6월 4일 | 발신자와 이메일 제공업체 대상 웨비나 |
| 2026년 7월 14일 | 기존 연락처 안내 기간 종료 |
| 2026년 7월 22일 | [FAQ 게시](https://www.cnil.fr/fr/faq-recommandation-pixels-courriers-electroniques) |

[2025년 6월 초안](https://www.cnil.fr/sites/default/files/2025-06/projet_de_recommandation_pixels_de_suivi.pdf)은 전체 오픈율만 예외로 두고, 모든 수신자에게 똑같은 픽셀을 쓰라고 권고했어요. 최종본은 이보다 완화되어, 엄격한 조건 아래 개인별 전달성 측정을 예외로 인정해요.

## 적용 범위

권고는 추적 픽셀을 URL에 “보통 사용자나 맥락에 관한 개별화된 설정이 들어 있는” 원격 이미지라고 설명해요. 이 이미지를 불러오면 픽셀 ID, IP 주소 같은 데이터가 픽셀을 넣은 쪽으로 전송돼요. 제82조가 규율하는 것이 바로 이 부분이에요.

- **모든 이메일**: 고객, 잠재 고객은 물론 업무용 주소를 쓰는 자사 직원에게 보내는 이메일도 포함돼요(FAQ 3번 질문).
- **모든 발신자**: 프랑스에 있는 사람을 픽셀로 추적한다면 EU 기업이든 아니든 해당돼요(FAQ 2번 질문). 원스톱숍(one-stop-shop) 메커니즘은 제82조 점검에는 적용되지 않아요.
- **모든 당사자**: 발신자는 컨트롤러(controller)예요. ESP는 보통 프로세서(processor)이지만, 픽셀 데이터를 자기 목적으로 쓰고 계약서에도 그렇게 정해져 있다면 공동 컨트롤러(joint controller)가 돼요.

은행의 보안 메시지 센터처럼 다른 프로토콜로 운영되는 서비스는 제외돼요.

## 동의가 필요한 픽셀 용도

3.1절은 네 가지를 꼽아요.

1. “메시지 내용을 맞춤화하거나 발송 빈도 또는 커뮤니케이션 채널을 조정해 캠페인 성과를 측정하고 최적화하기 위한 이메일 오픈율 분석.” 측정 데이터에서 광고 사기를 걸러 내는 것도 포함돼요.
2. 웹사이트, 앱, 기타 채널에서 타기팅하기 위한 “수신자 프로필 생성”.
3. “비정상적이거나 대량으로 발생한 이메일 오픈을 식별하는 등 부정행위 의심 사례의 탐지 및 분석.”
4. 3.2절의 예외에 해당하지 않는, 전달성을 위한 개인별 오픈 측정.

가장 영향이 큰 건 1번이에요. 오픈 기록을 바탕으로 정한 발송 시간, ‘최근 30일 안에 오픈함’ 세그먼트, 오픈 여부로 나뉘는 자동화 분기 모두 동의가 필요해요.

보내도 된다는 허락만으로는 해결되지 않아요. 4.2절은 픽셀 동의가 “원칙적으로 수신자의 동의가 필요하지 않은 이메일에도 필요할 수 있다”고 하면서, 주문 확인, 소프트 옵트인 마케팅, 자선 모금 요청, B2B 영업 메일을 예로 들어요.

## 두 가지 예외

![CNIL 권고에 따라 이메일 유형과 목적별로 어떤 이메일 추적 픽셀 용도에 동의가 필요한지 보여 주는 판단표.](/images/blog/cnil-tracking-pixel-rules-email-decision-table.png)

*CNIL 권고와 2026년 7월 FAQ를 기준으로, 이메일 유형과 픽셀 목적별로 동의가 필요한 경우를 정리했어요.*

### 인증 보안

인증 보안에만 쓰는 픽셀은 예외가 될 수 있어요. 예를 들어 로그인 코드 이메일이 사용자가 평소 쓰는 기기에서 열렸는지 확인하는 경우예요. FAQ 13번 질문은 비밀번호 재설정도 여기에 포함해요. 일반적인 부정행위 방지, 봇 탐지, 광고 인벤토리 보호는 해당하지 않아요.

### 전달성

대부분의 발신자가 기대게 될 예외예요. 네 가지 조건을 모두 충족해야 해요.

1. **수신자가 그 이메일이나 바탕이 되는 서비스를 요청했어야 해요.** 권고는 웰컴 이메일, 계정 알림, 배송 알림, 주문 확인, 인보이스, 비밀번호 재설정, 고객 지원 답변, 예약 리마인더, 결제 알림, 개인정보 유출 통지를 예로 들어요. 프로모션이 들어간 주문 확인 이메일은 더 이상 해당하지 않아요(FAQ 16번 질문).
2. **데이터는 리스트 정리에만 써야 해요.** “이른바 ‘비활성’ 수신자에게 보내는 이메일의 빈도를 조정하거나 발송을 중단하는” 데 필요한 범위로 제한돼요. 채널을 바꾸는 것과, 법적으로 필요한 통지가 전달됐음을 증명하는 것도 허용돼요.
3. **마지막 오픈 날짜만 보관해야 해요.** 원칙적으로 “마지막으로 확인된 오픈의 날짜만(일 단위로, 시각은 기록하지 않고)” 남기고, 오픈할 때마다 덮어써야 해요. FAQ 7번 질문에 따르면 IP 주소나 사용자 에이전트를 수집하면, 곧바로 익명화하더라도 예외에서 벗어나요.
4. **그 데이터를 실제로 활용해야 해요.** FAQ 8번 질문은 발신자가 오픈하지 않는 수신자에게 발송을 멈추거나, 줄이거나, 채널을 바꾸고, 이를 문서로 남기기를 기대해요. 비활성 때문에 삭제한 연락처의 비율 같은 기록이 그 예예요.

직접 가입한 뉴스레터는 요청한 이메일로 보기 때문에, 전달성 픽셀이 예외가 될 수 있어요. 프랑스 우편·전자통신법 L34-5조([CNIL 가이드](https://www.cnil.fr/fr/la-prospection-commerciale-par-courrier-electronique))의 소프트 옵트인 예외에 따라 보내는 마케팅은 그렇지 않아서, 픽셀에 동의가 필요해요(FAQ 15번, 17번 질문). 장바구니 이탈 이메일은 프로모션이라 마찬가지로 동의가 필요해요.

### 집계 오픈율

FAQ 18번 질문에 따르면 집계 데이터만 수집한다고 해서 동의 요건이 사라지지는 않아요. 제82조는 “데이터가 개인정보이든 아니든” 적용되기 때문이에요. 6번 질문에 따르면 예외에 해당하거나 동의를 받은 픽셀로 적법하게 수집한 데이터는, 추가 동의 없이 익명화해 캠페인 오픈율로 만들 수 있어요.

즉 예외에 해당하는 픽셀로도 캠페인 오픈율은 얻을 수 있지만, 오픈 시각, 기기 데이터, 세그먼트는 얻을 수 없어요. 픽셀 하나가 예외 목적과 동의 기반 목적을 함께 수행할 수는 있지만(10번 질문), 동의를 받을 때까지 쓰지 않고 심어만 둘 수는 없어요.

## 동의를 받는 방법

**주소를 받는 폼에서 물어보세요.** 짧은 목적 라벨, 간단한 설명, 자세한 내용으로 가는 링크를 함께 두세요. 어떤 주소에 적용되는지, 추적이 모든 기기에 적용된다는 점도 보여 주세요.

**CNIL의 문구에서 출발하세요.** 캠페인 측정용 예시 문구는 다음과 같아요(저희 번역). “[발신자] 및 [제3자]은(는) 메시지 내용을 개인화하고 발송 빈도나 사용하는 채널을 조정하기 위해 추적 기술(추적 픽셀)을 사용해, 고객님이 이메일을 여시는지, 언제 여시는지, 어떤 기기를 쓰시는지 확인해요.”

**목적별로 물어보세요.** 두 번째 화면에서 목적별로 고를 수 있다면 ‘모두 동의’ 버튼을 둬도 괜찮아요. 개인화를 내세운 뉴스레터처럼 목적이 밀접하게 연결된 경우에는 동의 하나로 묶을 수 있어요.

**나중에 물어본다면, 동의가 필요한 픽셀이 없는 이메일에서만 물어보세요.** 메일 클라이언트가 링크를 미리 불러오는 것만으로 동의 처리가 되지 않도록, 적극적인 행동이 필요한 페이지로 연결하세요. 응답이 없으면 거부로 봐야 하고, 거부는 동의만큼 쉬워야 해요. CNIL은 다시 묻기 전에 6개월을 기다리는 것을 좋은 관행이라고 표현해요.

**모든 푸터에 동의 철회 수단을 넣으세요.** 주소를 입력할 필요 없는 수신자별 링크여야 해요. 픽셀 동의 철회와 수신 거부를 한 페이지에서 처리해도, 단계가 늘어나지 않는다면 괜찮아요. 철회한 뒤에는 이전 픽셀에서 들어오는 요청을 무시하고, 동의만을 법적 근거로 삼았던 데이터는 삭제하세요.

**사람마다 증거를 남기세요.** 각 동의와 그 동의를 받은 방법을 기록하세요. 파트너가 동의를 받았다는 계약 조항은 증거가 되지 않아요.

## 7월 14일 전환 기한

2026년 4월 14일 이후에 수집한 주소에는 규칙이 전부 적용돼요. 그 이전 주소는 발신자가 3개월 안에, 즉 2026년 7월 14일까지 수신자에게 알리고 거부할 기회를 줬다면 픽셀을 계속 쓸 수 있었어요. FAQ 25번 질문은 대량 발송을 시차를 두고 나눠 진행했다는 사실을 문서로 남긴 경우에만 “합리적인” 연장을 허용해요. CNIL 발표 자료에 따르면 발송 증거가 남는 별도의 안내 이메일이나, 일반 이메일에 눈에 잘 띄게 넣은 안내 모두 인정돼요.

- **안내했고, 거부하지 않은 경우.** 조건이 바뀔 때까지는 그 안내에 기대도 돼요. 새 파트너 때문에 어차피 새로 동의를 받아야 한다면, 그때 픽셀 동의도 함께 받으세요(FAQ 27번 질문).
- **안내했고, 거부한 경우.** 그 사람에게 보내는 이메일에는 픽셀을 더 이상 넣지 마세요. CNIL 발표 자료에 따르면 권고 게재 전에 수집한 데이터는 남겨 둬도 돼요.
- **안내하지 않은 경우.** FAQ 26번 질문에 따르면 이제는 동의가 필요해요. 동의가 없다면 그 픽셀은 쓰지 마세요.

## 제재 위험

권고에 따르면 CNIL은 픽셀에 관한 “신고와 민원을 점점 더 많이 받고 있으며”, 앞으로의 조사에서 이를 점검할 계획이에요. 픽셀은 CNIL의 [2026년 우선 점검 주제](https://www.cnil.fr/fr/controles-prioritaires-2026)에 들어 있지 않지만, 위안이 되기는 어려워요. CNIL은 민원, 신고, 이전 시정 조치, 언론 보도를 계기로 매년 수백 건의 조사를 하는데, 그중 우선 점검 주제에서 나오는 건 약 20%뿐이거든요.

프랑스 법 제20조는 과징금 상한을 1,000만 유로 또는 전 세계 연간 매출액의 2% 중 더 높은 금액으로 정하고, 특정 GDPR 위반에는 2,000만 유로 또는 4%로 정해요. 2025년 9월 1일 CNIL은 Gmail 메시지 사이에 넣은 광고와 계정 생성 시의 쿠키 동의 문제로 [Google에 3억 2,500만 유로의 과징금을 부과했어요](https://www.cnil.fr/fr/publicites-inserees-entre-les-courriels-et-cookies-la-cnil-sanctionne-google-dune-amende-de-325). 2025년 11월에는 [American Express에 150만 유로의 과징금을 부과했는데](https://www.cnil.fr/en/cookies-american-express-fined-eu15-million-cnil), 그 이유 중 하나가 “동의를 철회했는데도 이전에 설치된 쿠키를 계속 읽은 것”이었어요. 동의 철회 뒤에도 오픈을 계속 기록하는 이전 픽셀은 같은 위반이에요. 비교적 단순한 사건은 [간이 절차](https://www.cnil.fr/fr/la-procedure-de-sanction-simplifiee)로 처리되는데, 과징금 상한은 20,000유로이고 매출액이 5,000만 유로를 넘으면 100,000유로예요.

## 바꿔야 할 것

프랑스에 있는 사람에게 이메일을 보낸다면, 저희는 이 순서로 하겠어요.

1. **메일 흐름별로 픽셀을 목록으로 정리하세요**(트랜잭션, 가입 뉴스레터, 소프트 옵트인, B2B 영업, 장바구니 회수, 윈백). 광고, 설문, 분석 픽셀도 포함하세요.
2. **각 용도를 판단표에 대입해 보세요.** 세그먼트, 발송 시간 모델, 리포트에 쓰이는 오픈 데이터에는 동의가 필요해요.
3. **주소를 받는 모든 폼에 체크되지 않은 픽셀 동의 체크박스를 추가하세요.** 응답, 타임스탬프, 폼 버전, 정확한 문구를 함께 저장하세요.
4. **픽셀 동의는 별도의 연락처 필드로 저장하세요.** 구독 상태와는 분리해야 해요.
5. **동의하지 않은 연락처에게는 픽셀을 빼세요.** 그럴 수 없다면 예외 요건을 충족하는 전달성 추적만 쓰거나, 해당 오디언스의 오픈 추적을 끄세요.
6. **쓸 수 있는 데이터로 측정하세요.** 예외에 해당하는 마지막 오픈 날짜는 휴면 연락처 정리 규칙에 쓸 수 있어요. 성과는 전환, 매출, 답장, 수신 거부로 판단하세요([믿을 만한 지표](/ko/blog/email-metrics-that-matter)).
7. **푸터에 동의 철회 링크를 넣으세요.** 철회한 뒤에는 이전 픽셀이 더 이상 기록하지 않는지도 확인하세요.

### 클릭

추적 링크는 권고가 “직접적으로” 다루지는 않지만, FAQ 1번 질문은 추적 링크도 제82조를 충족해야 한다고 말해요. 어차피 클릭이 더 나은 데이터이기도 해요. Apple의 [Mail Privacy Protection](https://support.apple.com/guide/iphone/use-mail-privacy-protection-iphf084865c7/ios)이 이미 “사용자가 이메일 메시지를 열었는지 발신자가 알 수 없게” 하고 있으니까요. EDPB는 제5조 제3항을 추적 링크에도 적용하고, CNIL 발표 자료는 동의 여부가 “기술이 아니라 목적에 따라 달라진다”고 말해요. 캠페인 최적화에 쓰는 수신자별 추적 링크는 픽셀과 같은 취급을 받는다고 보는데, 이는 CNIL이 아니라 저희의 해석이에요. 공용 UTM 태그로는 누구도 식별할 수 없고, 사이트에서 일어나는 전환은 웹사이트의 쿠키 동의 대상이에요.

## 현재 Brew에서의 작동 방식

Brew는 1x1 픽셀로 오픈을, 수신자 태그가 붙은 링크로 클릭을 측정해요([주요 지표 문서](https://docs.brew.new/analytics/key-metrics-and-terms)).

- **동의는 연락처에 저장돼요.** 연락처마다 출처, 수집 시각, 정책 버전, 증거가 담긴 마케팅 수신 동의 기록을 둘 수 있어요. 가입할 때 `pixelConsent` 속성을 추가하고, [이 속성으로 오디언스를 필터링하세요](https://docs.brew.new/audience/create-audiences).
- **가져올 때 이전 픽셀이 제거돼요.** Brew는 가져온 HTML에 있는 이전 플랫폼의 오픈 픽셀을 작동하지 않게 처리해요.
- **철회는 클릭 한 번이면 돼요.** 모든 마케팅 이메일에는 수신자마다 고유한 서명된 수신 거부 링크가 들어 있어요.
- **Intelligent Send는 최근 오픈과 클릭을 바탕으로 사람마다 발송 시간을 정해요**([작동 방식](https://docs.brew.new/create-emails/send-options#intelligent-send)). 이는 3.1절의 최적화에 해당하므로, 동의한 연락처에만 쓰세요.
- **모든 발송에서 추적이 켜져 있어요.** 아직 발송별, 연락처별, 도메인별로 픽셀을 끄는 스위치가 없어요. 그러니 당분간은 픽셀 동의가 없는 프랑스 거주자를 해당 발송에서 필터링해 제외하고, 스위치가 필요하다면 저희에게 알려 주세요.

FAQ를 더 짧게 요약한 내용은 [The State of Email 9월호](/ko/blog/state-of-email-september-2026)에 있어요.

## 자주 묻는 질문

### 프랑스에서 이메일 오픈 추적에 동의가 필요한가요?

대부분의 마케팅 용도라면 필요해요. 예외는 인증 보안용 픽셀과, 수신자가 요청한 이메일에서 엄격하게 제한된 전달성 픽셀뿐이에요.

### CNIL의 픽셀 규칙은 프랑스 밖의 기업에도 적용되나요?

네. 프랑스에 있는 사람을 추적한다면, 회사가 다른 EU 국가에 있든 EU 밖에 있든 적용돼요. 원스톱숍 메커니즘은 제82조 점검에는 적용되지 않아요.

### 트랜잭션 이메일은 픽셀 동의에서 면제되나요?

전달성 용도일 때만 면제돼요. 이때 픽셀은 비활성 수신자에게 보내는 메일을 멈추거나 줄이기 위해 마지막 오픈 날짜만 보관해야 해요. 분석이나 개인화에는 동의가 필요하고, 프로모션을 넣으면 예외가 사라져요.

### 동의 없이 집계 오픈율을 리포트할 수 있나요?

네. 데이터가 예외에 해당하거나 동의를 받은 픽셀에서 나왔고, 효과적으로 익명화했다면 가능해요. 다만 집계 데이터만 수집한다고 해서 동의 요건이 사라지지는 않아요. 제82조는 개인정보가 아닌 데이터에도 적용되기 때문이에요.

### 클릭 추적도 CNIL 권고의 적용 대상인가요?

직접적인 적용 대상은 아니에요. 다만 CNIL은 추적 링크도 여전히 제82조의 적용을 받고 목적에 따라 판단된다고 말해요. 권고는 푸터에 넣는 고유한 동의 철회 링크를 예외에 해당하는 보안 조치로 봐요.