자료실
회원사 세미나 - 불법스팸 규제 강화에 따른 분양 마케팅의 규제 리스크 대응 방안 (캐치시큐 조아영 대표, 2026.10.16)
작성일 : 2026-10-16 조회수 : 896
첨부파일 : [회원사 세미나] 불법스팸 규제 강화에 따른_분양마케팅의 규제리스크 대응 방안_ 캐치시큐_조아영 대표_20261016.pdf
회원사 세미나 · Member Seminar
불법스팸 규제 강화에 따른
분양 마케팅의 규제 리스크 대응 방안
목차
세미나 자료
- 발제 자료집 「불법스팸 규제 강화에 따른 분양 마케팅의 규제 리스크 대응 방안」(캐치시큐 조아영, 51쪽) — 이 글의 첨부파일
- 협회 해설서 「광고성 정보 전송 실무 해설 — 정보통신망법 불법스팸 규정과 과징금」: krema.ai/pages/sub06_07_view.php?no=472
- 세미나 안내·참가 확정 공지(사전 질의 6건 포함): krema.ai/pages/sub04_01_view.php?no=410
1. 세미나 개요
| 행사명 | 한국부동산마케팅협회 회원사 세미나 「불법스팸 규제 강화에 따른 분양 마케팅의 규제 리스크 대응 방안」 |
| 일시 | 2026년 10월 16일(금) 14:00~16:00 |
| 장소 | 협회 교육장(서울 강남구 언주로 711, 건설회관 5층) |
| 주최 | 한국부동산마케팅협회 |
| 강사 | 조아영 ㈜오내피플(캐치시큐) 대표이사 — 한양대학교 산업융합학과 겸임교수, ISMS-P 인증심사원, 국제 (개인)정보보호·클라우드 인증 심사원(ISO 27001·27017·27018·27019), 국제 정보시스템 감사사(CISA), 개인정보 영향평가사(PIA). ㈜오내피플은 2018년 설립된 정보보안서비스·개인정보보호 솔루션(캐치시큐) 기업으로, 스타트업·대기업·공공기관과 분양대행사·보험 GA 조직 등에 개인정보 컨설팅·자문·서비스를 제공함 |
| 대상 | 회원사 대표 및 마케팅 실무 담당자(사전 신청제, 정원 50명, 무료) |
| 경위 | 2026년 10월 13일(화) 정기 이사회에서 소개된 「불법스팸 규제 리스크」 내용을 회원사 대상으로 심화해 개최함. 참가 신청 시 접수된 사전 질의 6건은 참가 확정 공지에 게시함 |
| 진행 | 발제(두 법의 개정 → 고객정보 흐름과 양대 의무 → 수집·동의 → 위수탁 → 광고 발송 → 파기·유출 → 대응 체계) — 사례·퀴즈 10문항을 참석자 응답 방식으로 진행, 중간·종료 시 질의응답 |
| 발제 범위 | 위반 시 과징금·과태료로 바로 이어지는 핵심 의무만 추려 설명한 것으로, 두 법의 전체 의무는 이보다 많다는 점을 강사가 전제함 |
2. 두 법의 개정과 과징금 — 정보통신망법·개인정보 보호법
정보통신망법 개정 — 불법스팸 과징금 신설 자료집 p.3
- 종전에는 과태료 수준(강사 설명: 위반 횟수에 따라 3회 최대 3천만원 정도)이었으나, 개정으로 관련 매출액의 1~6% 과징금으로 제재 수위가 높아짐
- 개정의 세 가지 포인트 — ① 과징금 신설 ② 전송자격인증제 도입(대량문자 전송 서비스는 전송자격인증업체에 위탁) ③ 부당이익 환수제도 추진
- 배경(강사 설명): 지난해 개인정보 유출 사고와 유출 정보를 이용한 스팸이 급증했고, 규제와 현장 실무의 간극을 더 이상 간과하지 않겠다는 취지임
| 항목 | 내용 |
|---|---|
| 과징금 | 관련 매출액의 1~6% |
| 적용 대상 | 시행 이후 발생한 위반행위 |
| 일반 위반 | 관련 매출액의 1~4% 기준율 |
| 중대 위반 | 관련 매출액의 3~6% 기준율 |
| 매출액 산정 곤란 | 법정 상한 20억원 |
| 관련 매출액 | 전체 매출액에서 위반행위와 관련이 없는 매출액을 제외한 매출액 — 질의응답에서 강사는 「회사 전체가 아니라 해당 현장의 매출액」으로 설명함 |
개인정보 보호법 개정 — 징벌적 과징금과 투자 감경 자료집 p.4
- 고의 또는 중대한 과실로 3년 이내 개인정보 유출 사고를 반복하거나 1천만명 이상 개인정보 유출 시 매출액의 최대 10% 징벌적 과징금
- 예산·인력·설비 투자 규모와 지속성, 대표자와 CPO의 보호체계 운영 수준, 안전조치 강화를 위한 추가 노력이 인정되는 先투자기업은 최대 40% 감경
- 강사 설명: 규제가 강화되는 한편, 먼저 투자하고 노력한 기업에는 문제 발생 시 감경해 주는 기조가 함께 있음
※ 시행일 표기: 자료집은 정보통신망법 개정안 시행을 「10월 2일」(함께 실린 방송미디어통신위원회 안내 이미지는 「10월 1일 공포·시행」), 개인정보보호법 개정안 시행을 「9월 15일」로 적음. 법제처 국가법령정보센터(2026. 10. 16. 조회) 기준으로 과징금·전송자격인증 조항을 신설한 정보통신망법(법률 제21500호)은 2026. 10. 1. 시행, 현행본 시행일은 2026. 10. 2.이며, 개인정보 보호법과 같은 법 시행령은 2026. 9. 11. 시행임
3. 분양 마케팅의 고객정보 흐름과 양대 의무
고객정보의 입구와 흐름 자료집 p.5
- 입구 — 관심고객·견본주택 방문객: 홈페이지 / 방문카드 / 상담전화 / 이벤트 / 소개. 오픈채팅방 / 이전 분양 상담 고객 / 불법유통은 출처가 불분명하거나 관리 밖에 있는 경로로 표시함
- 발주 — 시공사(건설사)·시행사: 관심고객 정보를 받아 분양대행사에 전달하는 구조
- 실행 — 분양대행사: 직원 · 프리랜서 · 광고문자 발송 업체 · CRM 솔루션 공급업체. 대행사가 자체 수집해 직원·프리랜서에게 TM을 맡기거나, 프리랜서가 스스로 모은 정보로 영업하는 등 경로가 다양함
- 강사 설명: 정보가 흐르는 모든 주체가 각각 의무를 지며, 「시행사에서 정보만 받았으니 일부만 지키면 된다」는 예외는 없음
양대 의무 — 광고성 정보 관련과 개인정보 보호 관련 자료집 p.5
| 광고성 정보 관련(정보통신망법) — 관련 매출액의 최대 6% | 개인정보 보호 관련(개인정보 보호법) — 관련 매출액의 최대 10% |
|---|---|
| 명시적 사전동의 | 명시적 사전동의 |
| 야간 별도 동의(21:00~08:00) | 개인정보처리방침 공개 |
| 광고 표시 발송 | 개인정보의 안전성 확보조치 |
| 무료 수신거부 방법 제공 및 철회 | 수탁사 관리 감독 |
| 처리 결과 통지 | 목적 외 이용 금지 |
| 2년 주기 광고수신 동의 여부 확인 통보 | 이용 목적 달성 시 파기 |
핵심 Point — 두 법 모두 대응, 답은 「증빙」 자료집 p.6·p.46·p.47
- 개인정보보호법과 정보통신망법을 모두 대응해야 함 — 스팸 규제의 기저에는 정보 수집 단계부터 개인정보 보호법이 깔려 있음
- 남겨야 할 것: 고객정보를 어디에서 얻었는지, 어느 회사가 이용할 수 있는지, 언제까지 사용할 수 있는지에 대한 증빙
- 스팸 신고 등으로 소명 요구를 받으면 당시 동의서 제출과 함께 그 사람이 실제로 동의한 사실까지 입증해야 하므로, CRM의 한 줄 기록이 아니라 그 기록의 출처(동의서)까지 연결되어야 함
- 「몰랐어요」는 더 이상 통하지 않으며, 조사의 질문은 「예방하기 위해 무엇을 했나요」로 바뀜 — 정책이 예방 통제 중심으로 이동함
4. 수집·동의 — 정보와 광고성 정보의 구분, 동의서 설계
사례 1 — 분양사무소에 전화를 걸어온 고객, 광고 동의 없이 상담할 수 있는가 자료집 p.7·p.8
- 고객이 스스로 연락한 문의(인바운드)에 대한 상담 진행은 가능 — 광고가 아니라 정보에 해당함
- 다만 그 연락처를 CRM에 저장하려면 개인정보 수집·이용 동의가 필요함(「CRM 저장 시 동의」)
- 이후 추가 연락은 정보주체의 요청에 따른 계약 체결 과정의 조치(분양가격·위치·청약 일정·계약 절차 설명)에 한해 가능함
정보 vs 광고성 정보 자료집 p.8·p.10
| 구분 | 정보 (개인정보 동의) | 광고성 정보 (광고성 정보 수신 동의) |
|---|---|---|
| 예시 문장 | 「다음 주에 계약 가능 일정을 알려주세요」 | 「잔여세대 특별 혜택이 나왔어요」 |
| 인바운드 | 고객이 연락한 문의에 대한 상담 진행 · CRM 저장 시 동의 | 원칙 — 광고성 정보 수신 동의를 받아서 연락해야 함 · 고객이 반드시 알지 않아도 되는 정보 발송 시 · 계약하지 않은 고객에게 지속적으로 연락 · 예: 새로운 분양상품 홍보, 판촉행사, 다른 현장 방문 권유 |
| 아웃바운드 | 정보주체의 요청에 따른 계약 체결 과정의 조치를 위해 필요한 경우 · 예: 분양가격, 위치, 청약 일정, 계약 절차 설명 |
사례 1-2 — 먼저 전화 온 고객에게 일주일 뒤 상담원이 다시 전화하는 것은 광고인가 자료집 p.9·p.10
- 2026. 10. 1. 고객이 분양사무실에 전화해 상담 → 2026. 10. 7. 상담원이 전화해도 되는가 — 답은 「용건에 따라 다름」(참석자 응답과 일치)
- 지난 상담에서 요청한 일정 안내처럼 앞선 문의에 이어지는 내용이면 정보에 해당해 가능함
- 고객이 묻지 않은 특별 분양·할인 프로모션을 알리려는 것이면 광고성 정보이므로 별도의 광고성 정보 수신 동의가 있어야 함
- 강사 설명: 광고인지 여부는 「돈을 버느냐」가 아니라 「고객이 요청하지 않았는데 내가 주고 싶은 정보인가」로 가름 — 전화라는 행위가 아니라 그 안의 콘텐츠로 판단함
동의서는 어떻게 만들어야 하는가 — 두 동의의 구성 요소가 다름 자료집 p.11·p.12
- 개인정보 동의: 수집·이용 목적, 항목, 보유·이용 기간, 동의 거부권 및 불이익을 알리고 명시적 의사표시(동의함 / 동의하지 않음)를 받음. 「개인정보 수집에 동의하십니까」 한 줄에 체크박스 하나만 둔 것은 유효한 동의로 보지 않음
- 광고성 정보 수신 동의: 광고성 정보 발송 사실을 알리고 광고 발송에 대한 명시적 의사표시를 받음 — 세부 내용보다 어느 채널에 동의했는지 체크한 기록이 핵심(스팸 신고 시 증빙)
- 개인정보 동의는 「이 정보를 CRM에 무슨 근거로 저장하는가」, 광고 수신 동의는 「이 사람에게 문자·전화를 해도 되는가」의 동의로, CRM에 저장되어 있다고 모두에게 광고를 보낼 수 있는 것이 아니라 광고 동의한 사람에게만 보낼 수 있음
- 보통 상담 신청서 등에 [필수] 개인정보 수집·이용 동의 + [선택] 광고성 정보 수신 동의 구조로 둠 — 광고 동의를 하지 않으면 상담을 못 받는 식의 필수 처리는 불가함
- 위반 시(강사 설명): 광고 사전 동의 없는 발송은 과태료 3천만원 + 과징금 매출액의 1~4%, 개인정보 동의 없는 수집은 과태료 5천만원 — 체크박스 두 개가 각각 별개의 규제를 받음
- 이벤트 참가 신청서(이름·전화번호·주소 필수, 이메일 선택) 예시의 점검 질문 두 가지 — ① 고객정보를 어떤 근거로 수집·보유·이용할 수 있는가(개인정보 보호) ② 그 개인정보로 광고 문자·전화를 보내도 되는가(광고성 정보)
사례 1-4 — A아파트에서 수집한 고객정보를 B아파트 홍보에 활용할 수 있는가 자료집 p.13·p.14
- 개인정보 이용 목적이 「A아파트 분양 상담」, 광고 수신동의가 「A아파트 분양정보 문자 수신」으로 한정되어 있으면 B아파트 홍보에는 사용할 수 없음(참석자 응답과 일치)
- 해법: A아파트만이 아니라 회사가 향후 취급하는 다른 분양사업의 광고까지 포함하도록 개인정보 수집·이용 목적과 광고성 정보 수신동의를 분리하여 설계함
동의서 세 칸 분리 설계 — 자료집 서식 자료집 p.14
| 칸 | 내용 |
|---|---|
| ① [필수] 관심고객 등록을 위한 개인정보 수집·이용 동의 | 개인정보처리자 ○○분양대행사 · 수집·이용 목적: 분양 상담 신청 및 상담 이력 관리 · 수집 항목: 성명, 휴대전화번호, 관심 유형 · 보유·이용기간: 수집일로부터 1년 · 동의 거부 권리 및 불이익: 거부할 수 있으나 관심고객 등록 및 요청한 상담 서비스 제공이 제한될 수 있음 · □ 동의함 □ 동의하지 않음 |
| ② [선택] 향후 분양사업 광고·마케팅 목적 개인정보 수집·이용 동의 | 개인정보처리자 ○○분양대행사 · 수집·이용 목적: 분양 마케팅을 수행하는 현재 및 향후 아파트·오피스텔 등 부동산 분양사업의 신규 공급, 청약·분양 일정, 견본주택 방문 행사 및 분양 관련 프로모션 안내 · 수집·이용 항목: 성명, 휴대전화번호 · 보유·이용기간: 동의 철회 시 · 동의를 거부하더라도 A아파트 관심고객 등록 및 기본 상담 서비스 이용에는 제한 없음 · □ 동의함 □ 동의하지 않음 |
| ③ [선택] 광고성 정보 수신동의 | ○○분양대행사가 현재 및 향후 분양 마케팅을 수행하는 아파트·오피스텔 등 부동산 분양사업의 공급정보, 분양 일정, 견본주택 행사 및 분양 관련 프로모션을 광고성 정보로 전송하는 것에 동의하십니까? · 수신 매체: □ 문자(SMS·LMS·MMS) □ 전화 □ 이메일 □ 카카오톡 메시지 · □ 광고성 정보 수신에 동의함 □ 동의하지 않음 |
동의서 작성 시 유의사항 — 처리자 명의·보유기간·강조 표시 강사 설명
- 개인정보처리자(회사명)를 명확히 적음 — 동의서의 주체가 데이터의 이용 권한을 가르는 기준임. 시행사 명의의 포괄 동의서로 받은 정보는 대행사가 자기 정보로 쓸 수 없으므로, 계속 영업에 쓰려면 대행사 명의의 동의서로 받아야 함
- 보유·이용기간은 구체적으로 — 「이용 목적 달성 시」는 조직·시행사·시공사마다 달성 시점이 달리 해석되어 유효한 동의로 보지 않음. 「분양 계약 완료 후 3개월」, 「상담 종료 후 1년」처럼 산정 가능한 시점으로 적음. 광고·마케팅 목적 동의의 「동의 철회 시」는 2년 주기 수신동의 확인 통보가 전제됨
- 개인정보 동의에는 법이 정한 강조 표시 항목(보유·이용기간 등)이 있어 서식에서 강조해야 함
- 개인정보는 정보주체의 것이며 기업은 잠시 빌려 쓰는 개념 — 차용증처럼 목적·항목·기간·거부 시 불이익을 알려야 하는 이유임
5. 위수탁 — 제3자 제공과 업무위탁, 계약·교육·점검·파기
사례 2-1 — 시행사가 분양대행사에 고객 DB를 주면 제3자 제공인가 자료집 p.15·p.16
- 답은 「알 수 없다」 — 시행사와 대행사의 계약 관계, 고객에게 받은 동의 내용에 따라 제3자 제공일 수도 업무위탁일 수도 있음(참석자 응답과 일치)
- 일상 용어로는 모두 「제공」이지만, 개인정보 보호법에서는 제3자 제공과 업무위탁으로 나뉘고 관리·감독 범위와 과징금, 해야 할 일의 난이도·개수가 크게 다름
- 기준은 「고객정보를 누가, 누구의 목적을 위해 처리하는가」 — 별도의 자기 목적이면 제3자 제공, 위탁사의 목적·이익을 위한 업무대행이면 위수탁
| 구분 | 제3자 제공 | 위수탁 |
|---|---|---|
| 정보 제공받는 자 | 제3자 | 수탁사 |
| 이전 목적 | 별도의 자기 목적·이익을 위해 고객정보 제공받음 | 위탁사의 목적·이익을 위해 고객정보 전달 후 업무대행 |
| 예시 | 제공받은 고객정보로 대행사 자체 광고 수행 | 홈페이지 운영대행, 마케팅 대행, 상담 대행 |
| 동의 여부 | 사전 동의 필수 | 동의 불요 |
| 공개 | 개인정보 처리방침에 공개 필요 | 개인정보 처리방침에 공개 필요 |
| 관리·감독 | 관리·감독 의무 없음 | 관리·감독 의무 발생 — 계약서, 점검, 교육, 파기확인 |
| 손해배상 | 개인정보를 제공받는 자 | 위탁사·수탁사 공동책임 |
제3자 제공과 위수탁의 실무상 의미 강사 설명
- 제3자 제공: 정보주체에게 「당신의 정보를 ○○에 줄 것」이라는 동의를 받고 개인정보의 관리·감독 권한을 제공받는 회사에 넘기는 것 — 제공한 쪽은 관리·감독 의무도, 유출 사고 책임도 지지 않고 제공받은 쪽이 책임짐. 동의서의 처리자 란이 「나」면 개인정보 동의, 「남」이면 제3자 제공 동의임
- 위수탁: 우리 회사의 일(홈페이지 운영·개발, 마케팅 대행, TM 상담 대행 등)을 맡기는 것으로 동의는 받지 않으나 관리 주체가 여전히 우리 회사이므로 관리·감독 의무가 있고, 수탁사 유출 사고의 책임을 공동으로 짐
- 시행사로부터 업무위탁으로 받은 DB는 현장이 바뀌면 계속 쓸 수 없고, 제3자 제공 동의를 받아 받은 정보면 쓸 수 있음 — 외부에서 받는 정보가 어느 쪽인지 반드시 구분해야 「계속 쓸 수 있는 DB」인지 「그 현장에서 끝나는 DB」인지 판단할 수 있음
- 제3자 제공 동의는 보통 선택 동의라 수신율이 낮아, 현실에서는 동의 없는 업무위탁으로 가는 경우가 많음
사례 2-2 — 위수탁에서 누가 누구를 관리해야 하는가: 위탁자·수탁자·재수탁자 자료집 p.17·p.18
- 시행사(위탁자) → 분양대행사(수탁자) → 프리랜서(조직)(재수탁자) → 광고문자 발송업체(재재수탁자) / 분양대행사 → 광고문자 발송업체·CRM 솔루션 공급업체(재수탁자)
- 원칙은 「위탁사는 수탁사를 관리한다」 — 시행사는 분양대행사를, 분양대행사는 프리랜서·발송업체·CRM 솔루션·홈페이지 운영대행사를, 프리랜서 조직은 자기가 쓰는 발송업체를 관리함. 각 층위에서 위탁자·수탁자 관계만 기억하면 됨
- 자료집은 프리랜서(조직)와 그 아래 발송업체를 따로 묶어 표시함 — 대행사의 관리가 가장 닿지 않는 자리임
- 수탁자는 동의 없이 정보를 활용할 수 있으므로 어느 업체든 선정해 쓸 수 있으나, 그만큼 관리·감독하고 문제가 생기면 책임져야 함
위탁자–수탁자: 계약이 수탁사의 수집·이용 근거 자료집 p.19·p.20
- 상담 대행·분양계약 대행 등 수탁사의 개인정보 수집·이용 근거는 위탁사와 수탁사의 개인정보 처리 위수탁 계약임
- 위탁사: 수탁사에 대한 관리·감독 의무 발생, 수탁사가 개인정보 보호법을 위반할 시 손해배상 책임 부담 / 수탁사: 위탁사가 요청한 관리·감독에 응해야 하며, 수탁사 또한 손해배상 책임이 발생할 수 있음
- 수탁사도 손해배상 책임에서 자유로울 수 없으므로 수탁사의 개인정보취급자 역시 처리 시 주의가 필요함
- 강사 설명: 하도급 관계에서 위탁사가 수탁사에 교육·점검을 직접 지시할 수는 없으므로 계약으로 묶어야 함. 회사가 다른 조직에 영업 DB를 주면서 「유출하지 않겠다」는 서명 한 장을 받는 것으로는 끝나지 않고 업무 위탁 계약을 맺어야 함
- 카드 3사 개인정보 유출 사고(강사 인용) — 신용평가 대행 수탁사 직원이 정보를 빼내 판매, 위탁사인 카드사가 영업정지 등 1차 책임을 지고 사과했으며, 수탁사에 대한 구상권 청구는 약 10년 뒤 확정됨. 분양대행사와 조직의 관계에서도 조직의 유출 사고는 대행사가 1차 책임을 지고 구상권은 그 뒤의 일이므로, 평소 주의 의무를 다해야 구상권 청구라도 가능함
위수탁 계약 단계별 주의사항 자료집 p.21~p.23
① 계약 체결 시점 — 반드시 문서에 의하여야 함 자료집 p.21
- 위수탁 문서는 반드시 별도로 작성해야 하는 것은 아니며, 계약서 등에 「문서에 포함되어야 할 내용」만 포함되어 있다면 별도의 위수탁 문서는 작성하지 않아도 됨
- 위탁하는 업무 내용과 수탁자를 인터넷 홈페이지 등에 공개 · 홍보나 판매 권유 업무 위탁 시 업무 내용과 수탁자를 정보주체에게 통지 · 수탁자가 개인정보를 안전하게 관리할 수 있도록 수탁자 교육·감독 · 수탁자는 위탁받은 업무 범위를 초과한 개인정보 이용 및 제3자 제공 금지
- 문서에 포함되어야 할 내용(법정): ① 위탁업무의 목적 및 범위 ② 위탁업무 수행 목적 외 개인정보 처리 금지에 관한 사항 ③ 위탁업무와 관련하여 보유하고 있는 개인정보의 관리 현황 점검 등 감독에 관한 사항 ④ 개인정보의 기술적·관리적 보호조치에 관한 사항(접근 제한 등 안전성 확보 조치) ⑤ 재위탁 제한에 관한 사항 ⑥ 수탁자가 준수하여야 할 의무를 위반한 경우 손해배상 등 책임에 관한 사항
- 강사 설명: 재위탁은 「하지 않는다」 또는 「사전 승인을 받는다」를 문서에 못 박아야 함 — 위탁사는 그 아래 줄줄이 맡겨진 업무의 유출 사고까지 책임지므로 모르는 재위탁이 있어서는 안 됨. 손해배상은 위탁사가 1차 책임을 지고 수탁사에 구상권을 청구하는 구조임
② 계약 이행 시점 — 수탁자 교육 및 관리감독 수행 자료집 p.22
- 수탁자 교육: 직접 교육(위탁자가 직접 실시) · 간접 교육(개인정보 보호 교육 전문가, 전문 교육기관 등을 통해 실시) · 증빙 제출(수탁자 스스로 교육 실시 후 위탁자에게 증빙 제출)
- 개인정보 처리현황 관리감독: 자료제출 요구(현황 확인 가능한 캡처 화면, 점검 체크리스트 전송 후 회신 요청 등) · 현장 방문(개인정보처리시스템 접근 제한, 파기 현황 등 직접 확인) · 원격 점검(수탁자 시스템 원격 접근, 점검 도구 배포·실행 요청 후 결과 확인)
- 강사 설명: 교육만으로는 부족하고 교육과 점검을 둘 다 해야 함. 방식(집체 교육 사진·참가자 명단, 서면 점검·현장 실사 등)은 정할 수 있으나 핵심은 증빙임. 수탁사가 회신하지 않더라도 「언제까지 회신해 달라」는 리마인드를 남기는 등 우리 쪽 노력의 기록이 있어야 책임 선을 그을 수 있음
- 자료집 각주: 개인정보보호법 제26조(업무위탁에 따른 개인정보의 처리 제한)
③ 계약 종료 이후 시점 — 수탁사에 저장된 개인정보 파기 자료집 p.23
- 수탁자 수행 활동: ① 개인정보 수령 ② 개인정보 파기 ③ 시스템 권한 회수 등
- 파기 확인서 예시 항목: 개인정보 항목(이름, 휴대전화번호, 이메일, 주소) · 개인정보 수령 여부 · 개인정보 수령 일자 · 수탁사 개인정보 파기일 · 수탁사 개인정보 파기 위치(수탁사 ○○시스템 DB)
- 강사 설명: 조직이 파기 확인서를 주고도 지우지 않은 채 다른 현장에서 영업하다 적발되어 출발 현장까지 소명 요구가 오는 경우가 있음 — 현장 종료 시 대표자의 파기 확인서까지 받아 두었다면 책임을 벗어날 수 있으나, 「계약 끝났으니 끝」으로 마무리하면 안 됨
Quiz — 분양대행사가 위탁받은 고객 DB를 다른 분양현장에도 사용해도 되는가 자료집 p.24
- 자료집 답: 안 됨 — 위탁 업무 범위 내에서만 사용 후 파기
- 강사 설명: 다만 위탁 계약의 업무 범위가 A현장만이 아니라 B·C·D현장이나 「올해 내내」로 되어 있다면 해석이 달라질 수 있으며, 동의서와 계약서의 업무 범위 문구에 따라 현장마다 다름 — 모든 현장에 대응하는 표준 템플릿 동의서·계약서는 존재하지 않음
6. 광고 발송 — 정보통신망법 제50조 위반 유형과 표기 요건
정보통신망법 개정 — 위반행위별 과태료·과징금 자료집 p.26 · 매출액은 전체 매출액에서 위반행위와 관련이 없는 매출액을 제외한 매출액
| 구분 | 주요 위반행위 | 과태료 | 과징금 | 비고 |
|---|---|---|---|---|
| 일반 위반 (제50조) | 사전 동의 없는 광고 발송 (1항) | 3천만원 이하 | 매출액의 1~4% | 과태료 중복 부과 가능 |
| 수신거부·동의철회 후 재발송 (2항) | 3천만원 이하 | |||
| 야간시간(21시~08시) 무단발송 (3항) | 3천만원 이하 | |||
| 전송자정보·수신거부 방법 미기재 등 (6항) | – | |||
| 수신거부·동의철회 비용을 수신인에게 부담 행위 (6항) | 3천만원 이하 | |||
| 수신동의·거부·철회 처리결과 미통지 (7항) | 1천만원 이하 | |||
| 정기적(2년 주기) 수신동의 여부 미확인 (8항) | 3천만원 이하 | |||
| 중대 위반 (제50조 제5항) | 수신거부·동의철회 회피·방해 | – | 매출액의 3~6% | 형사처벌 병과 (1년 이하 징역 또는 1천만원 이하 벌금) |
| 전화번호·이메일 자동 생성·등록기 이용 | – | |||
| 발신번호 변작 및 신원·출처 은닉 | – | |||
| 기망을 통한 회신 유도 등 | – |
야간시간(21시~08시) 무단발송 (3항) — 야간 발송은 「별도」 동의 자료집 p.27
- 21시부터 다음 날 오전 8시까지 전화·문자·팩스 등을 보내려면 별도 동의가 필요하며, 이메일은 제외(쉬는 시간의 삶에 직접 영향을 주지 않는다는 취지)
- 동의서 예시 — □ [선택] 광고성 정보 수신 동의 · □ [선택] 야간 광고성 정보 수신 동의(두 칸을 따로 둠). 별도의 상세 내용 없이 명시적 표시가 중요함
전송자정보·수신거부 방법 미기재 등 (6항) — 이메일과 문자의 표기 요건 자료집 p.28~p.30
- 이메일: 제목은 「(광고)」로 시작 · 전송자의 명칭을 반드시 기재 · 수신 거부 또는 수신동의 철회 의사표시를 무료로 할 수 있는 방법을 한글과 영문으로 안내 · 전송자의 연락처를 반드시 기재
- 문자: 「(광고) {회사명}」으로 시작하고 전송자 명칭 기재 · 수신 거부 또는 수신동의 철회 방법을 쉽게 할 수 있도록 안내(예: 「무료 수신거부: {회사명} 홈페이지 > 설정 > 마케팅 정보 알림」) · 전송자 연락처는 발신번호로 표시되므로 본문에 적지 않아도 됨
- 강사 설명: 「(광고)」는 괄호 시작·광고·괄호 닫기 그대로여야 함 — 꺾쇠, 대괄호, 따옴표는 불가(메일·문자 사업자의 스팸 필터 키워드를 정부가 법으로 정한 것). 이 표기 요건 하나라도 빠지면 과태료 없이 바로 과징금임
- 전송자 명칭은 광고 동의를 받은 회사여야 함 — 동의받은 회사의 광고만 보낼 수 있고 남의 회사 광고를 모아 보내는 것은 불가함
- 수신거부·동의철회 비용 수신인 부담 금지(6항): 수신거부 방법은 무료 제공이어야 함 — 080 무료 수신 전화가 아니라 1588 등 유료 통화로 연결되면 과태료 대상임(자료집 p.30)
수신동의·거부·철회 처리결과 미통지 (7항) — 14일 이내 자료집 p.31
- 수신동의, 수신거부 또는 수신동의 철회 의사를 표시한 날부터 14일 이내에 ① 전송자의 명칭 ② 처리 사실과 날짜 ③ 처리 결과를 알려야 함
- 예시 화면 — 「광고성 정보 수신 거부 처리 결과: 전송자 ○○ · 일시 · 내용: 수신거부 처리 완료 · 광고성 정보 수신 동의는 MY>[앱 설정]에서 변경 가능합니다」
- 강사 설명: 홈페이지 토글 뒤에 뜨는 짧은 토스트 메시지(전송자 명칭·처리 사실과 날짜·처리 결과)로도 충분하며, 시스템에 구현되어 있지 않으면 수기로라도 14일 이내 보내야 함. 개인정보 관련 민원 처리(삭제 요청·처리 결과 통지 등)는 모두 14일임
정기적(2년 주기) 수신동의 여부 미확인 (8항) 자료집 p.32
- 필수 항목 — 전송자의 명칭(㈜○○분양대행) · 수신동의 날짜 및 동의 사실(2024년 10월 15일 광고성 정보 수신동의) · 수신동의 유지 또는 철회 방법(안내 링크 / 무료 수신거부 080-XXXX-XXXX)
- 안내 문안 예시(자료집): 「[광고성 정보 수신동의 확인 안내] 안녕하세요. ㈜○○분양대행입니다. 고객님께서는 2024년 10월 15일 당사의 분양 관련 광고성 정보 수신에 동의하셨으며, 현재 동의가 유지되고 있음을 안내드립니다. · 수신동의일: 2024.10.15 · 동의 매체: 문자(SMS/LMS) · 동의 상태: 수신동의 유지 중 · 무료 수신거부: 080-XXXX-XXXX. 별도의 의사표시가 없으면 기존 수신동의가 유지됩니다.」
- 강사 설명: 사람들은 언제 어디에 광고 동의를 했는지 기억하지 못하므로 2년에 한 번 알려서 원치 않으면 직접 끌 수 있게 하라는 취지임. 광고 동의의 보유·이용기간을 「동의 철회 시」로 받는 것이 문제되지 않으려면 이 통보가 지켜져야 함. 공공기관은 광고 동의 유효기간이 2년으로 고정되어 있고, 민간은 영업하기 좋게 열린 대신 이 통제를 빠뜨리면 안 됨
중대 위반 — 1년 이하 징역 또는 1천만원 이하 벌금, 과징금 3~6% 자료집 p.33
| 위반행위 | 위반 사례 |
|---|---|
| 수신거부·동의철회 회피·방해 | 분양 홍보문자의 수신거부 번호가 연결되지 않도록 설정하거나, 수신거부 링크를 눌러도 오류만 발생하도록 운영 |
| 전화번호·이메일 자동 생성·등록 | 오토콜 프로그램, 엑셀 등으로 전화번호를 자동 생성해 전화 · 인터넷 크롤링 또는 주차장 등에 공개된 연락처를 수집 |
| 발신번호 변작 및 신원·출처 은닉 | 전화·문자·팩스의 발신번호(이메일 포함)를 전송자가 변경·조작 · 실제 발송주체를 숨길 목적으로 발신번호를 다른 업체의 번호로 조작 |
| 기망을 통한 회신 유도 | 전화벨이 1~2번 울린 뒤 수신 전에 끊거나, 수신 직후 끊어 상대방이 다시 전화하도록 유도하는 행위 |
- 강사 설명: 중대 위반은 과태료 없이 바로 과징금(3~6%)이며, 수신거부 기능이 작동하지 않는 것은 당일 행위로 보아 중대 위반임. 주차장 등 공개된 연락처 수집 후 문자 발송, 다른 업체 번호로 발신하는 행위가 분양 현장에서 특히 주의할 유형임
7. 파기·유출 — 파기 방법과 시점, 유출 대응, 과태료 감경
사례 3-1 — 분양팀 사무실 이전 시 분양계약서 사본을 쓰레기장에 버려도 되는가 자료집 p.34·p.35
- 안 됨 — 개인정보보호법 제29조(안전조치 의무)와 제21조(개인정보의 파기) 두 가지를 모두 위반함
- 파기의 첫째 원칙은 종이·디지털 등 형태와 무관하게 복구 불가능한 방식으로 파기하는 것 — 분리수거장에 두면 재활용 과정에서 여전히 식별 가능한 상태이므로 해당하지 않음
- 매체별 방법: 문서 — 파쇄기 / 파일 — 휴지통 비우기·완전삭제 프로그램 / HW — 디가우저, 파쇄(산산조각)
- 파기 증빙 세 가지: 파기 로그 · 파기하는 장면의 사진 · 파기 확인서. 휴지통 비우기는 로그를 찾기 어려우므로 완전삭제 프로그램의 삭제 로그를 남기고, 대행사·홈페이지 운영사·조직에서는 파기 확인서를 받음
파기는 언제 해야 하는가 자료집 p.36
- 이용목적 달성 시 — 동의서에 적은 보유·이용기간이 기준(예시 화면 「보유·이용기간: 수집일부터 1개월까지」). 보유기간이 「이용 목적 달성 시」로만 적혀 있으면 파기 시점을 찾기 어렵고 누가 파기를 결정할지도 정해지지 않아 현실에서 파기를 못 하는 가장 큰 이유가 됨(강사 설명: 금융회사 파기 프로젝트도 결국 CEO 보고까지 올라감) — 동의서 작성 단계부터 구체적 시점을 정해야 함
- 법령에 정한 기간 도래 시 — 회원 탈퇴 등에도 의무적으로 보유해야 하는 기간이 있음: 전자상거래법(계약 또는 청약철회 기록 5년 · 불만 또는 분쟁처리 기록 3년 · 표시·광고에 관한 기록 6개월) / 세무 및 회계(상업장부 10년 · 세금계산서 발행 및 거래 증빙 서류 5년 · 계약서 및 부속서류 5년) / 인사 노무(근로계약서 및 인사서류 3년 · 연말정산관련 서류 5년 · 채용서류 180일)
사례 3-2 — 쓰레기장에서 발견된 분양계약서 사본은 개인정보 유출인가 자료집 p.37·p.38
- 유출임 — 개인정보보호법 제34조(개인정보 유출등의 통지·신고) 대상
- 유출의 정의(표준 지침): 개인정보의 분실·도난·유출(유출등)은 법령이나 개인정보처리자의 자유로운 의사에 의하지 않고 개인정보가 해당 개인정보처리자의 관리·통제권을 벗어나 제3자가 그 내용을 알 수 있는 상태에 이르게 된 것 — 해킹 사고만 유출이 아님
- 자료집 퀴즈 「유출이 아닌 것은?」 보기: 개인정보가 포함된 USB 분실 · 개인정보가 포함된 스프레드시트의 공유 범위가 모든 웹 사용자인 경우 · 단체메일 발송 시 개별 발송 하지 않음 · 개인정보가 포함된 이메일 발송 실수 · 홈페이지에 이벤트 참가자 명단이 공개 · 호기심에 조회해본 개인정보를 친구에게 이야기하는 경우
- 강사 설명: USB 분실은 유출이나 파일이 암호화되어 열 수 없었다면 유출이 아님. 단체메일을 개별 발송하지 않아 수신자 전원에게 다른 사람의 이메일이 보이면 유출이며, 관련 없는 사람 한 명에게라도 잘못 보내면 유출임 — 실수 한 번으로도 발생하므로 메일 발송·권한 범위 설정 시 특히 주의해야 함
개인정보 유출 시 대응 — 72시간 자료집 p.39
- 1건이라도 유출 시 통지: 72시간 이내 해당 정보주체에게 지체 없이 유출 사실을 통지 — ① 유출 등이 된 개인정보의 항목 ② 유출 등이 된 시점과 그 경위 ③ 피해를 최소화하기 위하여 정보주체가 할 수 있는 방법 등에 관한 정보 ④ 개인정보처리자의 대응조치 및 피해구제 절차 ⑤ 피해 신고 등을 접수할 수 있는 담당부서 및 연락처
- 신고 의무: 아래 조건 중 하나에 해당하면 72시간 이내 개인정보보호위원회 또는 인터넷진흥원에 신고 — ① 1,000명 이상의 정보주체 개인정보 유출 ② 1건 이상 민감정보 또는 고유식별정보(주민등록번호·여권번호·외국인등록번호, 장애 여부·소득 관련 정보 등) 유출 ③ 외부로부터 PC·시스템의 불법적인 접근으로 인한 유출(랜섬웨어, 해킹 등)
- 강사 설명: 72시간 안에 다섯 가지를 모두 알 수 없으므로 먼저 알게 된 사실부터 통지하고 이후 밝혀지는 내용을 보완해 재통지함(쿠팡 유출 사고 때 여러 번 문자를 받은 이유). 랜섬웨어 감염으로 유출 여부를 아직 모르는 상황도 결론은 신고 — 해킹 정황이 있으면 72시간 이내 신고하라는 논의가 입법 추진 중이며, 최근에는 정황 단계에서 통보·공지·신고하는 사례가 있음. 4~5년 전과 달리 지금은 직원 정보 십여 명 유출도 뉴스가 될 만큼 분위기가 바뀜
Quiz — 분양대행사가 위탁받은 고객 DB를 다른 분양현장에서 사용하면 개인정보 유출인가 자료집 p.40
- 강사 답: 유출임 — 업무 범위 외 사용에 해당하고 개인정보 유출에도 해당함(참석자 응답과 일치)
사례 3-3 — 쓰레기장에 버린 것이 문제가 되었다면 조치는: 적극 협조 자료집 p.41~p.43
- 관련 조항: 개인정보보호법 시행령 [별표 1의5] 과징금의 산정기준과 산정절차(제60조의2제7항 관련) · [별표 2] 과태료의 부과기준(제63조 관련)
- 과태료 경감 핵심 사유: ① 법 위반상태를 시정하거나 해소하기 위하여 노력한 것이 인정되는 경우 ② 위반행위로 인한 피해의 회복 및 피해 확산 방지 조치를 이행한 경우 ③ ISMS-P 인증을 받거나 자율적인 보호 활동을 하는 등 개인정보 보호를 위하여 노력한 것이 인정되는 경우 ④ 위반행위 사실을 자진신고한 경우
- 강사 설명: 수습 과정을 일자별로 소상히 조사기관에 알리는 것, 정보주체 통지 시 쿠폰·보험 가입 등 피해 확산 방지 조치를 하는 것, 평소 백신·시스템 등 보안 활동을 해 온 것이 모두 감경 사유가 됨
- 실제 사례(자료집 p.43, 로앤피 2026. 8. 25. 기사 발췌, 회사명 가림): 사무실 이사 과정에서 개인정보 서류가 폐기물로 반출된 사건으로 유출 인지 뒤 72시간을 넘겨 통지 — 두 위반행위 각각 1회 위반 기준금액 600만원을 토대로 산정하되, 위반 정도가 경미하고 중기업이며 조사에 협조하고 사전통지·의견제출 기간 종료 전 시정을 마친 점을 고려해 기준금액의 85%를 감경, 최종 과태료 총 180만원
- 강사 설명(자진신고 관련): 개인정보 관련 내부 고발(파파라치) 제도가 하반기 입법 추진 중으로 2026. 9. 4. 보도되었고, 내년 예산 94억원이 편성되어 내년이 첫 시행해가 될 전망임 — 은폐·증거 조작·폐기 등을 신고해 처분에 기여한 사람에게 과징금의 일정 비율을 지급하는 구조. 퇴사 직원이 회사를 신고하는 경우도 현실적으로 많음
8. 대응 체계 — 실무 사례 6가지
마무리 Quiz — 실제 업무 사례 6가지 자료집 p.44 · 위험·대응 칸은 강사의 마무리 설명으로 채움
| 실제 업무 사례 | 개인정보·광고 규제 위험 | 대응 방안(강사 설명) |
|---|---|---|
| ① 기존 분양 현장 DB 재활용 | 동의받은 목적·수신 대상·현장 범위를 벗어난 이용 | 기존 동의의 목적·수신 대상·현장이 재활용하려는 내용과 맞는지 확인한 뒤 동의 목적을 벗어나지 않는 범위에서만 가능함 |
| ② 방문객 명단으로 홍보 문자 발송 | 상담 목적 동의만으로는 홍보 불가(사전 동의 없는 광고 발송) | 개인정보 수집 동의와 홍보 목적 동의를 구분해 받음 |
| ③ 상담사 개인 휴대전화·엑셀 관리 | 고객정보 무단 반출·장기 보관 — 개인정보 유출로 확대될 수 있음 | 회사의 점검 의무 범위이므로 개인 휴대전화·개인 엑셀 관리를 모니터링함 |
| ④ 시행사·대행사·상담사 간 DB 공유 | 제3자 제공인지 업무위탁인지 불명확한 공유는 유출 사고로 확대될 수 있음 | 관계를 명확히 하고 계약(위탁) 또는 동의(제3자 제공)에 따라 공유함 |
| ⑤ 수신거부 후 다른 상담사가 재발송 | 수신거부·동의철회 후 재발송, 처리결과 미통지 | 발송 주체별로 수신거부를 관리하고 14일 이내 처리결과 통보, 재발송 차단 |
| ⑥ 현장 종료 후 고객 DB 방치 | 보유·이용기간 경과 후 미파기 — 개인정보 유출로 확대될 수 있음 | 현장 종료 시 DB를 함께 파기하고 증빙함 |
※ 자료집은 ①②⑤를 정보통신망법 위반 사항, ③④⑥(②의 개인정보 측면 포함)을 개인정보 보호법상 유출 사고로 확대될 수 있는 영역으로 구분함
대응 체계 마련 — 다섯 단계 자료집 p.45 · 앞 두 단계는 관련 매출액의 최대 6%(광고성 정보), 뒤 세 단계는 최대 10%(개인정보 보호)에 걸림
| 단계 | 과징금 축 | 할 일 |
|---|---|---|
| ① 수집 및 동의 | 최대 6% | 고객DB 관리 · 출처와 수집 시점, 적법한 이용 범위 식별 · 홍보 목적 이용동의와 광고 수신동의 구분 및 기록 |
| ② 광고발송 | 최대 6% | 발송 명단 및 표기사항 검토 · 시간대 통제 · 거부정보 반영 및 재발송 차단 · 수신 동의 및 철회 처리결과 통지 · 2년 주기 통보 |
| ③ 안전성 확보조치 | 최대 10% | 접속기록, 필요 최소한의 권한통제 및 다운로드 사유 모니터링 · 엑셀 및 개인정보 반출 관리 |
| ④ 위수탁 관리 | 최대 10% | DB공유, TM영업 관련 시행사·대행사·상담사·프리랜서·발송업체 역할 규정 · 위수탁 규정에 따른 문서화(계약 시 반영) · 주기적 점검 및 교육 |
| ⑤ 파기 | 최대 10% | 현장 종료 시 DB 반환·삭제 및 증빙 |
향후 안내 — 개별 컨설팅과 정부 지원 사업 자료집 p.48·p.49
- 강사 측 안내: 희망 기업을 대상으로 실제 업무 흐름·동의서를 검토해 실질적인 위반 가능성 축소 방안을 마련하는 개별 컨설팅과 개인정보보호 솔루션 도입 지원, KISA 중소기업 정부 지원 사업 연계
- 「2026년 ICT 중소기업 정보보호 지원 사업 수요기업 모집 공고」(선착순, 정부지원 80%): 기업당 지원 금액 예시 — 컨설팅 Light 330만원(정부지원 300만원·부가세 30만원 수요기업 부담) · Standard 550만원(500만원·50만원) · Advanced 770만원(500만원·수요기업 200만원·부가세 70만원) · IT 보안 패키지 660만원(480만원·120만원·60만원) · SECaaS 패키지 495만원(360만원·90만원·45만원)
- 모집대상은 지역센터별 전략산업 우선이나 「그 밖에 침해사고 예방·대응을 위해 지원이 필요하다고 인정되는 업종」, 「해당분야에 해당되지 않을 경우 기타로 신청 가능」 문구가 있으며, 전략산업 우선 지원 기간은 지역별로 달라 지역센터 확인이 필요함(신청 전 해당 연도 공고 원문 확인 사항)
수요기업 모집 — 2026년 ICT 중소기업 정보보호 지원사업(SECaaS 패키지) 캐치시큐 공지
- 과학기술정보통신부·한국인터넷진흥원(KISA)의 ICT 중소기업 정보보호 지원사업(SECaaS 패키지 지원)에 캐치시큐가 공급기업으로 선정되어 수요기업을 모집함 — 전국 전 지역 신청 가능, 선착순(예산 소진 시 조기 마감)
- 지원 내용: SECaaS 서비스 이용료(최대 360만원 지원 — 엔터프라이즈·수명관리·처리방침관리 등 클라우드 기반 개인정보 보호 서비스) · 정보보호·개인정보 전문 컨설팅 · 이행 점검 및 월간 관리 리포트
- 지원 구조: 정부 지원 80%, 수요기업 부담 20%(부가가치세 별도) — 공지 예시: 360만원 상당 패키지 도입 시 정부 288만원·수요기업 72만원
- 대상: 전국 모든 지역의 중소기업(개인정보 전담 인력이 없거나 규제 준수와 보안 강화를 함께 달성하려는 기업)
- 신청: KISA 수요기업 신청 폼 risc.kisa.or.kr/cloudSolution/solutionRequestList.do · 문의 캐치시큐 070-7776-8552, contact@catchsecu.com
- 공지 원문: catchsecu.com/archives/24931 「2026년 캐치시큐 SECaaS 수요기업 모집, 최대 80% 지원」
9. 현장 질의응답
발제 중간과 종료 시 참석자 질의에 강사가 답한 내용을 주제별로 정리함
수집·동의
대표 콜로 들어온 고객 정보를 영업 조직에 넘길 때 동의는 어디서 받는가 참석자 질의
Q. 대표 콜을 받아 아웃바운드 영업 직원에게 연결하는 구조에서 정보 수신 동의를 대표 콜 단계에서 받아야 하는가
강사 개인정보는 저장하기 전에 동의를 받아야 하므로 앞단(대표 콜)에서 받아야 함. 통화상으로 목적·항목·보유이용기간·동의 거부 시 불이익을 알리고 「네, 동의합니다」를 녹취해 두는 것이 가장 원초적인 증빙임. 내용이 길면 동의 내용을 문자로 보내고 고객이 「보내 주세요」라고 한 기록을 남길 수 있으나 문자만으로는 반쪽짜리이고, 문자에 링크를 넣어 고객이 동의 내용을 확인하고 체크까지 하게 하면 완성됨. 반쪽인 상태로 TM에 넘어가면 TM 단계에서 보완해야 하며, 단계가 나뉘더라도 유효한 동의는 100점짜리여야 계속 쓸 수 있음
광고 목적 수집 동의와 수신 동의를 따로 받아야 하는가 참석자 질의
Q. 세 칸 중 광고 목적 개인정보 수집 동의와 광고성 정보 수신 동의를 따로 받아야 하는가, 고객이 수집에는 동의하고 수신에는 동의하지 않으면 어떻게 되는가
강사 따로 받아야 함 — 수집은 개인정보 보호법, 수신은 정보통신망법의 동의임. 수집에만 동의하고 수신에 동의하지 않은 고객에게는 광고 연락을 할 수 없음
수신 매체를 반드시 나눠서 동의받아야 하는가 참석자 질의
Q. 전화·문자·이메일 등 매체를 구분하지 않고 「전화나 문자로 연락드리는 것에 동의하십니까」 한 칸으로 받으면 안 되는가
강사 법과 가이드에 매체를 반드시 나누라는 규정은 없음. 다만 문제가 생겼을 때 「문자에 동의한 것인지 전화에 동의한 것인지」를 두고 다툼이 생기므로, 회사가 쉽게 증명하기 위한 사전 예방 통제로 매체를 구분해 받는 것이 가장 깔끔함. 안내문에 전화·문자로 발송될 수 있다고 적고 한 칸에 체크받는 방식도 가능함
관심고객 등록에 로그인을 요구하는 것은 문제인가 참석자 질의
Q. 홈페이지에서 관심고객 등록을 하려면 반드시 로그인(회원 가입)을 해야 하는 브랜드가 있는데 문제가 없는가
강사 UX 구성은 회사의 선택이며 규제 측면에서 중요한 것은 동의를 받았는지, 동의 내용의 목적이 무엇인지, 누구의 동의서로 받아 누구에게 제공했는지임
동의 거부 시 불이익을 「상담·입장 불가」로 고지해도 되는가 참석자 질의
Q. 보통 「수신을 거부해도 기본 상담은 가능」으로 적지만, 어떤 회사는 기본 상담이나 모델하우스 입장도 어렵다고 더 강하게 적는데 가능한가
강사 정보주체 관점에서 해석하므로 그렇게 제한하는 확실한 이유를 회사가 입증할 수 있어야 가능함. 얼굴 인식으로 본인을 확인하고 한 번에 입장 인원을 제한하는 프리미엄 분양 사무실처럼 개인정보 없이는 입장 자격 확인이 어렵다면 「입장 불가」가 가능할 수 있으나, 열려 있는 모델하우스처럼 운영한다면 동의하지 않았다고 입장을 막을 수 없음 — 실제 운영 방식에 따라 달라짐
위수탁·책임
시행사·시공사가 개인정보처리자로 수집한 DB는 대행사가 못 쓰는가 참석자 질의
Q. 발주처가 있는 도급 구조에서는 시행사·시공사가 개인정보처리자로 수집하는 경우가 대부분인데, 그 경우 대행사는 관련 DB를 못 쓴다고 보면 되는가
강사 못 씀. 업무위탁으로 받은 정보면 현장이 바뀌었을 때 계속 쓸 수 없고, 제3자 제공 동의를 받아 받은 정보라면 쓸 수 있음 — 받은 정보가 어느 쪽인지 구분해야 함(5장)
계약·교육·점검·파기 확인서까지 갖추면 100% 면책되는가 참석자 질의
Q. 계약서에 법정 내용을 넣고 교육·관리 감독을 하고 파기 확인서까지 받으면 100% 면책이 되는가, 경감 정도인가
강사 서로의 노력 정도에 따라 다르며, 할 노력을 다했음에도 문제가 발생했다면 100% 면책되기도 함. 다만 면책이 어느 시점에 이루어지느냐가 쟁점으로, 문제가 생기면 1차적으로 위탁사가 소명해야 하고 그 다음에 수탁사가 실제로 얼마나 관리 감독에 응했는지로 넘어감 — 위탁사가 할 일을 다 했으면 다음 단계를 수월하게 넘어갈 수 있음
양벌규정의 매출액 기준과 책임 전가 합의서의 효력 참석자 질의
Q. 과징금이 양벌규정으로 나오면 사업 주체는 자기 매출, 대행사는 자기 매출 기준인가. 위탁자가 수탁자에게 손해배상·민원 책임을 모두 지우고 이의 제기도 못 하게 하는 합의서를 요구해 작성했다면 법적 효력이 있는가
강사 매출액은 각자 기준이 맞음. 합의서는 법률 다툼을 해 봐야 알지만, 계약 규모나 실제 위임 업무의 역할에 비해 과도하게 책임을 전가하는 계약은 유효하지 않다고 보는 해석들이 있으므로 계약 규모·상황에 따라 별도 법률 검토가 필요함. 원칙적으로 관리 책임 의무는 위탁자·수탁자 둘 다에게 있음
제3자 제공으로 하면 대행사가 모든 책임을 질 수 있는가 — 이익 공유, 복수 처리자 참석자 질의
Q. 사업 주체는 대행사에 책임을 지우고 싶고 대행사도 감수하겠다면 제3자 제공으로 할 경우 대행사가 다 책임질 수 있는가. 대행사가 자기 목적을 취해도 시행사에 이익이 생기는데 「별도의 자기 목적」에 해당하는가. 개인정보처리자를 시행사와 대행사 복수로 지정해 하나의 DB를 함께 쓸 수는 없는가
강사 제3자 제공이 가장 정확한 방법으로, 관리·감독 의무 없이 문제가 생기면 제3자(대행사)가 책임짐. 다만 동의가 쉽지 않아 현실에서는 업무위탁이 훨씬 많음. 제3자 제공 동의는 주기 전에 받아야 하고, 시공사 한 곳이 대행사 세 곳과 진행한다면 세 곳을 모두 나열해 각각 동의를 받아야 하므로 관심고객을 지역·대행사별로 어떻게 분배할지 정책이 먼저 정해져야 올바른 동의서를 만들 수 있음(「일단 정보부터 받고 나중에」가 아니라 사전 검토가 필요함). 이익이 함께 생기는 것은 괜찮으며 현실의 모호함은 계약으로 정함. 개인정보처리자 복수 지정은 불가 — 각각 동의를 받아야 하며, 개인정보 보호법은 개인의 이익 관점에서 보수적으로 해석됨
홈페이지 제작사·광고 대행사 등 수탁사를 어디까지 나열하는가 참석자 질의
Q. 홈페이지는 광고 대행사가 제작하고 분양대행사는 상담만 하는 등 수탁사가 여럿인데 동의서와 처리방침에 어디까지 적어야 하는가
강사 개인정보 처리방침에는 홈페이지 운영 대행·상담 업무 대행·마케팅 대행 등 위탁 업무의 목적과 업체를 모두 적고 재위탁사까지 적어야 함. 동의서에는 위탁은 동의를 받지 않으므로 홈페이지 운영 업체·상담 업체·TM 업체를 적지 않아도 되나, 광고 발송의 경우에는 대행사를 동의서에 명시하도록 하고 있음
LMS 발송 업체는 재수탁자인가, 위탁자가 교육해야 하는가 — 조직 인원 변동 시 파기 확인서 참석자 질의
Q. 전송자격인증을 받은 LMS 발송 업체는 재수탁자인가, 그렇다면 위탁자 쪽에서 LMS 업체를 교육해야 하는가. 영업 조직은 입·퇴사가 잦고 갑자기 사라지기도 하는데 파기 확인서를 그때그때 받아야 하는가
강사 시행사→분양대행사가 위탁자·수탁자이고 대행사가 쓰는 문자 발송 업체는 재수탁사임. 이 관계에서 가장 중요한 것은 각 층위의 개인정보 처리방침 공개 — 시행사 처리방침에는 분양대행사와 그 재위탁사(광고·CRM 업체)까지 적도록 법이 개정되었고, 분양대행사 처리방침에는 자기 수탁사(CRM·발송 업체·프리랜서 조직)와 조직이 쓰는 발송 업체까지 적음. 정보주체가 「건설사 홈페이지에 가입했는데 왜 대행사에서 연락이 오는가」를 확인할 수 있는 법상 위치가 처리방침이며, 미공개 시 과태료 1천만원임. 조직 인원 변동은 현실에서 가장 어려운 부분으로, 입사일에 필요 구비서류에 관련 내용을 넣어 개별로 받거나 조직의 장에게 대표로 하나만 받는 등 정책은 현장마다 정하면 되고 법에 정해진 증빙 방식은 없음 — 핵심은 우리에게 유리한 증빙을 남기는 것임
프리랜서가 스스로 수집·관리한 개인 DB의 문제도 회사 책임인가 참석자 질의
Q. 업무 위탁 약정을 한 프리랜서가 본인이 수집·관리·처리·활용한 개인 DB에서 문제가 생겨도 회사에 관리 책임이 있는가(회사는 수집·관리·처리·활용에 전혀 개입하지 않은 DB)
강사 그 사람이 어떤 목적으로 수집했는지를 봐야 하며, 우리 영업장에서의 활동에 그 DB가 쓰였다면 책임이 완전히 없다고 보기 어려움 — 현실에서 나누기 상당히 어려운 영역임. 분양사무소 관련 판례는 없으나 보험 GA 조직에서 종종 일어나는 일로, 설계사를 별도의 개인정보처리자로 보지 않고 소속 GA·보험회사의 업무를 위한 처리로 해석한 판례가 있음. 불법 수집 DB에 대해 회사가 책임지지 않는다는 이행각서가 포함되어 있었다면 「그 사람 개인의 일탈」로 선을 그을 수 있음 — 회사가 어느 부분에서 면책되는지 상호 합의한 증빙이 핵심임
수탁사가 바뀔 때마다 정보주체에게 통지해야 하는가 참석자 질의
Q. 개인정보 처리 동의를 한 사람에게 수탁사가 변경될 때마다 다시 알려야 하는가
강사 그렇지 않음. 홈페이지 푸터에 항상 공개되어 있는 개인정보 처리방침을 업데이트하고 공지사항 정도만 올리면 되며, 이메일·휴대전화로 개별 통지할 필요는 없음
광고 발송
과징금 산정의 매출액 기준 참석자 질의
Q. 매출액의 1~6%에서 매출액은 어떤 매출을 보는가 — 한 현장에서 마케팅했다면 그 현장 매출액인가, 회사 전체 매출액인가
강사 관련 매출액, 즉 해당 현장의 매출액을 봄
수신거부 처리결과 통지 — 080 음성 안내, 전화 응대 참석자 질의
Q. 080번으로 전화하면 해제되었다는 안내 음성을 내보내는 것도 즉시 통지로 볼 수 있는가. 고객이 전화로 수신거부를 요청했을 때 「지금부터 수신거부 해드리겠습니다」라고 답하고 실제 삭제하면 되는가
강사 080 시스템이 마지막에 「몇 월 며칠 동의 철회가 완료되었습니다」까지 안내하고 끊기면 통지한 것으로 보고, 안내 없이 그냥 끊기면 통지하지 않은 것으로 봄. 전화 응대로 바로 통보하고 실제 삭제까지 하면 그것으로 끝나지만, 통화 녹음이 없으면 「14일 이내 통지를 못 받았다」는 민원이 왔을 때 증빙이 애매하므로 요즘은 대부분 처리 완료 문자를 보냄
오픈채팅방·단톡방에 올리는 정보마다 (광고) 표기가 필요한가 참석자 질의
Q. 입장 시 개인정보 동의·광고 수신 동의를 받은 단톡방에서 글을 올릴 때마다 (광고) 등 표기를 넣어야 하는가, 처음만 하면 되는가
강사 해석하기 나름이며 커뮤니티 운영 방식에 따라 별도 검토가 필요함. 강사의 주관적 해석으로는, 서울 지역 신규 청약에 관심이 있어 제 발로 찾아 들어온 오픈채팅방 참여자에게 새 분양·프로모션 정보를 주는 것은 정보의 영역에 가깝다고 보나, 「무조건 정보」로만 해석하면 위험할 수 있음
문자·이메일에 적는 회사명 — 시행사인가 대행사인가, 현장명만 적어도 되는가 참석자 질의
Q. 대행사가 발송하면 대행사명을 써야 하는가 시행사명을 써야 하는가. 문자·이메일에는 보통 회사명 대신 현장명을 쓰는데 문제가 되는가
강사 첫째 원칙은 동의를 받은 개인정보처리자 주체(수집자)를 쓰는 것임. 대행사 명함을 받은 고객에게 갑자기 건설사 명의로 메일이 오면 어색할 수 있으므로, 대행사명으로 프로모션을 보내고 맨 아래 「○○건설사로부터 업무 위탁을 받아 처리한 메일」이라고 적는 방식도 가능함 — 상황마다 디테일이 다름. 현장명을 쓰더라도 어디에서(동의를 받은 수집자) 보냈는지는 반드시 포함되어야 함. 동의한 곳만 광고를 보낼 권한이 있으며, 발신번호를 다른 곳 번호로 바꾸거나 동의한 회사와 다른 회사에서 보내는 것은 중대 위반에 해당함
유출·파기
공개된 책상 위에 개인정보 서류를 두는 것도 문제인가 — 파파라치 악용 참석자 질의
Q. 유출 사고가 나야만 문제인가, 누구나 볼 수 있는 책상 위에 개인정보가 놓여 마음만 먹으면 유출할 수 있는 상태로 관리하는 것도 문제인가. 관리가 소홀하면 파파라치가 악의적으로 신고할 수도 있는가
강사 유출의 정의는 「제3자가 그 내용을 알 수 있는 상태에 이르게 된 것」뿐이므로 사무실에 주민등록등본 등을 그대로 두고 퇴근한 상태도 그 상태에 해당하며, 일부가 사라졌다면 유출임. 다만 회사가 개인별 시건 장치·서류 보관 지침·월 1회 현장 점검 등 평소 노력을 했다면 경감 사유가 됨. 민간에서는 드물지만 공공 1급 기관에는 청소부의 USB 바이러스, 도안 절취·판매 사례가 실제로 있어 규제 정의가 넓게 되어 있음. 관리 소홀 자체를 신고할 수 있고, 직원이 퇴사하면서 회사를 신고하고 나가는 경우도 현실에 많음
10. 사전 질의 6건과 세미나에서 다룬 곳
| Q | 질의 요지 | 세미나에서 다룬 곳 |
|---|---|---|
| 1 | 개인정보 파기 증빙 방법 | 7장 파기 증빙 세 가지(파기 로그·파기 장면 사진·파기 확인서), 5장 ③ 계약 종료 시점의 파기 확인서 항목 |
| 2 | 카드사·통신사 등 광고사를 통한 문자 발송 절차 | 5장 위수탁 계약 단계(문서·공개·통지·교육·점검·파기), 9장 「LMS 발송 업체는 재수탁자」 답변, 2장 전송자격인증제 |
| 3 | 시공사 문자 시스템 이용 시 민원 책임 비율과 대행사의 책임 경감 방안 | 9장 「양벌규정의 매출액 기준과 책임 전가 합의서」, 「100% 면책」, 「제3자 제공으로 하면」 답변 — 책임 비율 자체는 계약 규모·상황에 따른 법률 검토 사항으로 답함 |
| 4 | 건설사→대행사→발송업체 구조에서 최종 발송업체의 전송자격인증으로 적법 위탁이 인정되는지 | 2장 전송자격인증제 도입, 9장 재수탁 구조의 처리방침 공개·관리 답변 — 다단계 위탁에서의 인증 인정 여부 자체는 현장에서 별도로 답하지 않음 |
| 5 | 관심고객 등록 시 광고 수신동의 항목 추가로 충분한지, 별도 폼 필요 여부, 필수 조치 | 4장 동의서 세 칸 분리 설계(같은 폼 안에서 분리), 9장 「광고 목적 수집 동의와 수신 동의는 따로」, 「수신 매체 구분」 답변, 6장 표기·야간·처리결과 통지·2년 확인 |
| 6 | 조직분양 안전 규제 마련 가능성 | 세미나 범위 밖으로 다루지 않음 |
