웹 푸시와 GDPR: 여러분이 책임져야 할 것

이 가이드는 법률 자문이 아닙니다. 저는 창업자이지 변호사가 아니고, 여러분의 구성은 국가, 시장, 보내는 내용에 따라 달라집니다. 일하시는 곳에서 개인정보보호를 담당하는 분과 상의하세요.

제가 할 수 있는 것은 움직이는 부품들을 설명하는 일입니다. 브라우저의 권한 대화상자가 모든 것을 해결해 준다고 생각하는 분이 많기 때문입니다. 그렇지 않습니다.

브라우저 프롬프트가 다루는 것

방문자가 허용을 누르면, 브라우저에 여러분 사이트의 알림을 표시해도 된다는 권한을 주는 것입니다. 분명하고 능동적인 선택이고, 좋은 토대입니다.

하지만 그것은 법적인 의미에서 여러분이 누구인지, 무엇을 보낼지, 그 사람에 대해 어떤 데이터를 보관하는지, 또 누가 그것을 처리하는지 방문자에게 알려 주지 않습니다. 브라우저는 그런 것을 알 수 없습니다. 그 부분은 여러분의 몫입니다.

푸시 구독은 개인정보입니다

누군가 구독하면 브라우저는 구독을 만듭니다. 브라우저 업체의 푸시 서비스에 있는 엔드포인트 주소, 그리고 그곳으로 가는 메시지를 암호화하기 위한 키입니다. 그 구독은 한 기기의 한 브라우저를 식별합니다.

구독과 거기에 붙이는 모든 것을 개인정보로 다루는 것이 가장 안전합니다. 구독자가 어떤 페이지를 읽었는지, 어떤 세그먼트에 속하는지, 언어나 국가, 언제 클릭했는지 같은 것들입니다.

그러면 통상적인 GDPR 의무가 여기에 적용됩니다.

여러분이 책임져야 할 것

법적 근거. 마케팅 알림이라면 보통 동의이고, 옵트인이 충분한 정보를 바탕으로 이루어졌다면 그 동의를 얻은 것입니다. 중요한 말은 "충분한 정보"입니다. 무엇을 받게 되는지 말해 주는 프롬프트가 그냥 "허용"이라고만 하는 프롬프트보다 낫습니다.

투명성. 개인정보 처리방침에는 브라우저 알림을 쓴다는 것, 무엇을 보내는지, 구독자에 대해 어떤 데이터를 얼마나 오래 보관하는지, 어떤 공급사가 관여하는지가 적혀 있어야 합니다.

쉬운 철회. 사람들은 시작한 만큼 쉽게 멈출 수 있어야 합니다. 실제로는 브라우저에서 알림을 차단하면 전달이 멈춥니다. 처리방침에서 그 방법을 설명하고, 만료되었거나 사라진 것으로 돌아오는 구독은 삭제하세요.

최소화. 관련 있는 메시지를 보내고 그것을 측정하는 데 필요한 것만 보관하세요. "혹시 몰라서" 수집하는 일은 피하세요.

수탁자. 푸시 공급사는 여러분을 대신해 구독자 데이터를 처리하므로, 그들과 데이터 처리 계약(DPA)을 맺어야 하고 그들이 어떤 하위 수탁자를 쓰는지 알아야 합니다.

보관과 삭제. 구독을 해지했거나 구독이 더 이상 작동하지 않는 사람의 데이터를 얼마나 오래 보관할지 정하고, 요청이 있으면 구독자를 삭제할 수 있어야 합니다.

브라우저 업체도 그 연결 고리의 일부입니다

웹 푸시 메시지는 브라우저 업체가 운영하는 푸시 서비스를 통해 전달됩니다. Web Push 표준은 서버와 구독자의 브라우저 사이에서 메시지 내용을 암호화하므로, 푸시 서비스는 읽을 수 없는 메시지를 운반합니다. 그래도 어떤 엔드포인트로 메시지가 전달되고 있다는 사실은 봅니다.

이것은 모든 공급사에게 공통인 웹 푸시의 작동 방식이고, 개인정보 처리방침에서 흐름을 설명할 때 알아 둘 만합니다.

피해야 할 것

• 시스템 대화상자처럼 보이도록 만들었거나, 무엇에 동의하는지 감추는 프롬프트.
• 사람들이 가입하지 않은 종류의 콘텐츠 보내기. 경기 결과를 구독한 사람은 쇼핑 혜택에 동의하지 않았습니다.
• 관련 있는 메시지를 보내는 데 필요하지 않은 상세한 프로필 만들기.
• 리스트가 커 보인다는 이유로 죽은 구독을 영원히 보관하기.

EngageNudge가 하는 일

EngageNudge는 스웨덴에서 만들어졌고, EU-first이며, 데이터 최소화가 기본값입니다. 푸시 구독 엔드포인트는 암호화되어 저장됩니다. 고객마다 데이터가 격리되고, 고객은 자체 VAPID 키를 씁니다.

위치는 구독 시점의 국가와 지역만 저장하며, IP 주소나 원본 사용자 에이전트는 저장하지 않습니다. 만료되었거나 사라진 것으로 돌아오는 구독은 자동으로 정리되고 절대 청구되지 않습니다. 오디언스 내보내기와 삭제 경로는 문서화되어 있고, DPA와 하위 수탁자 목록은 이 사이트에 공개되어 있습니다.

이 중 어느 것도 여러분 자신의 개인정보 처리방침이나 법적 검토를 대신하지 않습니다. 도구가 그 일을 더 어렵게 만들지 않는다는 뜻일 뿐입니다.