2026년 10월부터 바뀐 개인정보 안전조치 — DB 받는 광고주 체크리스트

메타나 당근 광고로 상담 신청을 받으면, 그 순간 사장님은 법에서 말하는 '개인정보처리자'가 됩니다. 직원이 1명이든 10명이든 마찬가지입니다. 2025년에 개정된 개인정보의 안전성 확보조치 기준(고시 제2025-9호)은 일부 조항을 1년 유예했고, 그 유예가 2026년 10월 말 전후로 끝납니다. 시행일은 해설 자료마다 조금씩 달라 원문 확인이 필요하지만, 방향은 분명합니다.

가장 크게 바뀌는 것: 2단계 인증 대상

외부에서 개인정보처리시스템에 접속할 때 안전한 인증수단을 쓰라는 조항(제6조 제2항)의 대상이 '개인정보 취급자 중 일부'에서 '접근권한을 가진 사람 전체'로 넓어집니다. 쉽게 말해 집이나 카페에서 상담 DB 화면에 들어가는 직원은 모두 비밀번호 외에 OTP나 문자 인증 같은 두 번째 수단을 써야 한다는 뜻입니다. 구글 시트로 DB를 받고 있다면 시트에 접근하는 구글 계정마다 2단계 인증을 켜야 합니다.

다운로드 사유와 접속기록 점검

개인정보를 내려받을 때 사유를 확인하는 절차는 원래도 있었습니다(제8조). 바뀌는 건 점검 주기를 '월 1회'로 고정하던 것에서 내부 관리계획에 정한 주기로 점검하도록 바뀌는 부분입니다. 주기가 자유로워진 대신, 계획을 세우고 그대로 했다는 기록이 있어야 합니다. 엑셀로 받을 때마다 누가, 언제, 왜 받았는지 남기는 습관이 가장 간단한 대비입니다.

원래 있던 규칙인데 많이 놓치는 것

• 직원끼리 계정 하나를 같이 쓰는 것 — 계정 공유는 금지입니다(제5조).
• 엑셀 파일을 비밀번호 없이 카톡으로 전달하는 것 — PC·모바일에 저장할 때 암호화가 필요합니다(제7조 제5항).
• 보유기간 없이 DB를 계속 쌓아 두는 것 — 목적을 다하면 파기해야 합니다(제13조, 개인정보 보호법 제21조).
• 퇴사자 계정을 그대로 두는 것 — 권한 변경은 지체 없이 하고 이력을 3년 보관합니다.

오늘 확인할 9가지

• 상담 DB를 보는 모든 계정에 2단계 인증이 켜져 있다.
• 직원마다 계정이 따로 있고, 퇴사자 계정은 지웠다.
• 엑셀로 받은 파일에는 비밀번호를 건다.
• DB 보유기간을 정했고 지난 것은 지웠다. 지운 기록이 있다.
• 상담 폼에 목적·항목·보유기간·거부권이 적혀 있다.
• 마케팅 수신 동의는 별도 체크박스이고 기본 미체크다.
• 처리방침에 위탁 업체(랜딩 서비스, 문자 발송 업체)와 국외이전 내용을 적었다.
• 신청자에게 보내는 자동응답에 이벤트·할인 문구가 없다.
• 유출이 의심되면 72시간 안에 통지·신고할 담당자를 정했다.

랜딩 서비스를 쓰면 책임이 넘어가나

넘어가지 않습니다. 랜딩 서비스는 사장님에게서 처리를 위탁받은 수탁자이고, 정보주체에 대한 책임의 중심은 여전히 사장님입니다. 다만 수탁자도 과징금 직접 대상이 되었기 때문에(개인정보 보호법 제26조 제8항), 제대로 된 서비스라면 위 항목 대부분을 기본값으로 켜 두고 위수탁 계약서를 먼저 내밀 겁니다. 서비스를 고를 때 '위수탁 계약서를 주는지', '재수탁자 목록이 공개돼 있는지'를 물어보세요.

이 글은 법률 자문이 아니며, 조항은 개인정보보호위원회 안내서와 해설 자료 기준입니다. 정확한 시행일과 문구는 국가법령정보센터 원문으로 확인하세요.