오렌지, 실제 메일로 위장한 광고를 780만 개의 이메일 수신함에 삽입 — 5,000만 유로 벌금

프랑스 최대 통신 사업자인 오렌지는 자사의 Mail Orange 이메일 서비스 안에 광고 공간을 판매했습니다. 광고는 실제 수신 메일들 사이에 삽입되었고 실제 메시지처럼 보이도록 설계되었습니다. 사용자들은 이를 수신하는 데 동의하지 않았습니다. 오렌지가 2023년 11월 이 관행을 중단하기 전까지 780만 명이 넘는 사람들이 자신의 수신함에서 이 광고를 보았습니다.

별도로, orange.fr 웹사이트에서는 사용자가 동의를 철회한 이후에도 오렌지와 그 파트너들이 쿠키를 계속 읽었습니다. CNIL은 사용자 기기에서 저장된 데이터를 읽는 행위는 이후에 그 데이터가 사용되는지 여부와 관계없이 동의 철회 후에는 금지된다고 판단했습니다.

2024년 11월 14일, CNIL의 제한 위원회는 오렌지에 5,000만 유로의 벌금을 부과했습니다. 위원회는 청중의 규모(780만 명), 오렌지의 시장 지위, 그리고 위반으로부터 얻은 재정적 이익을 근거로 들었습니다. 오렌지는 3개월 이내에 동의 철회 후 쿠키 읽기를 중단하라는 명령을 받았으며, 미준수 시 하루당 10만 유로의 과태료가 부과됩니다.

오렌지는 780만 개의 수신함에 광고를 삽입하고 쿠키 동의를 무시한 대가로 5,000만 유로의 벌금을 부과받았으며, 미준수 시 하루당 10만 유로의 과태료가 부과됩니다.

오렌지는 이메일 사용자의 사적 수신함 공간을 판매 가능한 광고 인벤토리로 취급했습니다 — CRM 관계가 광고 채널이 된 것입니다

광고는 실제 이메일처럼 보이도록 설계되어, 명확히 표시된 형식을 통해 주의를 얻는 대신 사용자가 수신함에 두는 신뢰를 악용했습니다

수신함 광고에 대한 동의 메커니즘은 존재하지 않았습니다: 사용자는 요청받지 않았고, 그 형식은 구조적으로 수신 거부를 불가능하게 만들었습니다

쿠키 위반은 웹사이트 수준에서 동일한 패턴을 보여주었습니다: 동의 철회는 기록되었으나 집행되지 않아 추적이 조용히 계속되었습니다

고객의 수신함은 광고 인벤토리가 아닙니다. 채널과 광고를 모두 통제하면 직접 수익화하려는 유혹이 생깁니다 — 동의가 존재하는 이유는 그 채널이 사적이기 때문입니다.

오렌지는 CNIL 판결 이전인 2023년 11월에 이미 수신함 광고 형식을 중단했습니다. 오렌지의 최신 광고 표시는 광고를 실제 이메일과 구분합니다. 이 사건은 유럽 데이터 보호 논의에서 직접 마케팅 위반에 대한 프랑스 최대 벌금 사례로, 그리고 커뮤니케이션 채널과 광고 사업을 모두 통제하는 모든 플랫폼에 대한 경고로 인용됩니다.