콜드메일, 나라마다 법이 다르다 — 미국 CAN-SPAM·EU GDPR·캐나다 CASL 총정리
해외 바이어에게 콜드메일을 보낼 때 나라마다 지켜야 할 법이 다릅니다. 미국은 옵트아웃 방식(CAN-SPAM), EU와 캐나다는 사전 동의 원칙(GDPR·ePrivacy, CASL)이 기본입니다. FTC·EU·CRTC 등 공식 규정을 근거로, 수출기업이 실무에서 지켜야 할 요건을 정리합니다.
해외 바이어에게 콜드메일을 보내는 일은 이제 수출기업의 기본 영업 방식이 됐습니다. 그런데 여기엔 자주 간과되는 사실이 하나 있습니다. 콜드메일을 규율하는 법이 나라마다 다르고, 그 방향이 정반대인 경우도 있다는 점입니다.
크게 보면 두 갈래입니다. 미국처럼 "일단 보내되 규칙을 지키고, 거부하면 멈춰라"는 옵트아웃(opt-out) 방식이 있고, EU·캐나다처럼 "원칙적으로 동의를 먼저 받아라"는 옵트인(opt-in) 방식이 있습니다. 어느 시장에 보내느냐에 따라 지켜야 할 선이 달라지는 것입니다.
이 글은 대표적인 세 법제(미국 CAN-SPAM, EU GDPR·ePrivacy, 캐나다 CASL)의 핵심 요건을 공식 규정 기준으로 정리합니다.
이 글은 일반적인 정보 제공이며 법률 자문이 아닙니다. 법 규정은 개정되고, 특히 B2B 적용은 나라와 사안에 따라 해석이 갈릴 수 있습니다. 실제 대량 발송 전에는 해당 국가의 최신 규정과 전문가 검토를 확인하시기 바랍니다.
미국 — CAN-SPAM (옵트아웃 방식)
2003년 제정된 CAN-SPAM은 미국의 상업용 이메일을 규율하는 기본법입니다. 이름 때문에 오해하기 쉬운데, 콜드메일 자체를 금지하지는 않습니다. 대신 상업용 이메일이라면 반드시 지켜야 할 요건을 정해두고, 사전 동의 없이 보내는 것은 허용하되 거부 의사는 반드시 존중하도록 합니다.
미국 연방거래위원회(FTC)가 정리한 핵심 요건은 이렇습니다. 발신 정보(From·수신·경로)를 정확하게 표시할 것, 제목을 내용과 다르게 속이지 말 것, 광고성 메시지임을 알 수 있게 할 것, 그리고 메일에 유효한 실제 우편 주소를 넣을 것. 여기에 더해 명확한 수신거부 수단을 제공하고, 수신거부 요청은 10영업일 이내에 처리해야 합니다. 수신거부 창구는 발송 후 최소 30일간 작동해야 하고, 한번 거부한 사람에게는 더 이상 보내서는 안 됩니다.
가볍게 볼 문제가 아닙니다. FTC 안내에 따르면 위반 이메일은 1건당 최대 5만 3천 달러 남짓(2025년 기준이며 매년 물가에 따라 조정)의 과징금 대상이 될 수 있고, 이는 캠페인 단위가 아니라 이메일 한 통 단위로 계산됩니다. 발송량이 많은 콜드 아웃리치에서는 리스크가 빠르게 불어날 수 있다는 뜻입니다.
EU — GDPR + ePrivacy (사전 동의 원칙)
EU는 결이 다릅니다. 두 규범이 함께 작동합니다.
하나는 GDPR입니다. 개인을 식별할 수 있는 이메일 주소는 '개인정보'로 취급되며, 이를 처리하려면 적법한 근거가 있어야 합니다. 위반 시 과징금이 최대 2천만 유로 또는 전 세계 연매출의 4% 중 큰 금액에 이를 수 있어, 세계에서 가장 강력한 축에 듭니다.
다른 하나는 전자 마케팅을 다루는 **ePrivacy 지침(Directive 2002/58/EC)**입니다. 여기서 원칙은 명확합니다. 마케팅 이메일은 **원칙적으로 사전 동의(옵트인)**를 받아야 합니다. 다만 제13조에 이른바 '소프트 옵트인' 예외가 있습니다. 상대의 연락처를 상품·서비스 판매 과정에서 얻었고, 유사한 자사 상품·서비스를 마케팅하며, 수집 시점과 모든 메일에서 손쉽게 수신거부할 수 있게 한 경우에는 사전 동의 없이 보낼 수 있습니다. 즉 기존 거래관계가 있는 상대에게 유사 제품을 알리는 정도가 이 예외에 해당하지, 아무 관계 없는 신규 대상에게 무작정 보내는 것과는 다릅니다.
참고. EU의 B2B 적용은 단순하지 않습니다. ePrivacy의 동의 규정을 회원국마다 다르게 시행하고 있고, info@처럼 개인을 특정하지 않는 대표 주소인지, 특정 담당자의 개인 주소인지에 따라서도 취급이 달라질 수 있습니다. 어느 경우든 발신자를 분명히 밝히고 수신거부·이의제기(반대할 권리) 수단을 제공해야 한다는 점은 공통입니다.
캐나다 — CASL (세계에서 가장 엄격한 축)
2014년 7월 발효된 캐나다의 CASL은 가장 엄격하고 처벌 수위가 높은 법으로 꼽힙니다. 상업용 전자 메시지(CEM)를 보내려면 세 가지를 갖춰야 합니다. 동의, 발신자 식별 정보, 그리고 수신거부 수단입니다.
핵심은 동의를 먼저 받아야 한다는 점입니다. 동의에는 두 종류가 있습니다. **명시적 동의(express)**는 상대가 직접 옵트인한 것으로, 철회 전까지 유효합니다. **묵시적 동의(implied)**는 특정 상황에서만 인정되고 대개 기한이 있습니다. 예컨대 기존 거래관계(구매·계약 후 2년 이내)나 문의(6개월 이내)가 있는 경우가 그렇습니다.
B2B 콜드메일과 관련해 특히 알아둘 항목이 하나 있습니다. '공개된 사업용 연락처(conspicuous publication)' 예외입니다. 상대가 자신의 사업용 이메일을 "마케팅을 원치 않는다"는 표시 없이 공개해 두었고, 보내는 메일이 그 사람의 직무와 관련된 내용이라면 묵시적 동의로 인정될 수 있습니다. 다만 이 경우에도 발신자 정보와 수신거부 수단은 반드시 넣어야 하고, 수신거부는 역시 10영업일 이내에 처리해야 합니다. 위반 시 과징금은 개인 최대 100만 캐나다달러, 기업 최대 1천만 캐나다달러에 이릅니다.
참고 — 한국에서 보낼 때
수출기업이 해외로 보낼 때는 원칙적으로 받는 나라의 법이 기준이 됩니다. 다만 한국의 규정도 알아둘 필요가 있습니다. 국내 정보통신망법은 영리 목적의 광고성 정보를 전송할 때 **수신자의 사전 동의(옵트인)**를 원칙으로 하고, 제목에 '(광고)' 표시, 야간(21시~익일 08시) 전송 시 별도 동의 등을 요구합니다(한국인터넷진흥원 안내). 국내 수신자를 대상으로 할 때는 이 기준을 따라야 합니다.
나라를 막론하고 통하는 기본기
법제가 제각각이라도, 지키면 대체로 안전하고 도달률에도 유리한 공통 원칙이 있습니다.
발신자 정보(회사명·실제 주소·연락처)를 정확히 밝히고, 제목과 본문을 속이지 않으며, 한 번에 처리되는 수신거부 수단을 넣고, 거부 요청은 지체 없이(늦어도 10영업일 이내) 반영하는 것입니다. 명단은 긁어오거나 사들이지 말고, 상대의 직무와 실제로 관련 있는 내용을 보내는 것이 좋습니다. 이 원칙들은 법적 안전장치인 동시에, 스팸 신고와 반송을 줄여 이메일 도달률을 지키는 길이기도 합니다. 도달률의 기술적 토대(SPF·DKIM·DMARC)는 콜드메일이 스팸함으로 가는 이유에서, 답장률을 높이는 요소는 콜드메일 답장률을 결정하는 5가지 변수에서 다룹니다.
마무리
콜드메일은 금지된 게 아니라, 규칙 위에서 하는 영업입니다. 미국은 옵트아웃 방식으로 "규칙을 지키고 거부는 존중하라"는 쪽이고, EU와 캐나다는 사전 동의를 원칙으로 두되 기존 관계나 공개된 사업용 연락처 같은 예외를 둡니다. 어느 시장을 두드리든, 발신자를 분명히 밝히고 수신거부를 쉽고 확실하게 보장하는 것이 공통의 출발점입니다. 이 선을 지키는 것이 규제 리스크를 줄이는 동시에, 장기적으로 도달률과 브랜드 신뢰를 지키는 길입니다.
규정을 지키면서 어떤 바이어에게 무엇을 보낼지 설계하는 일은, 해외 바이어 발굴부터 Pitchr 무료로 시작하기에서 시작할 수 있습니다.