전시회에서 받은 명함, 그대로 마케팅에 써도 될까요 — 방문객 개인정보 처리 가이드

전시회가 끝나면 많은 기업이 수집한 명함과 리드 목록을 그대로 뉴스레터 발송 명단에 올립니다. 그런데 결론부터 말씀드리면, 명함을 받았다는 사실만으로는 마케팅 활용에 동의받은 것이 아닙니다. 명함은 "연락해도 좋다"는 신호일 수는 있지만, "광고 메일을 계속 보내도 좋다"는 동의는 아니기 때문입니다. 전시회에서 수집한 방문객 정보도 개인정보이고, 개인정보보호법(PIPA)의 원칙이 그대로 적용됩니다. 이 글에서는 부스에서 리드를 수집하는 참가기업과 행사를 여는 주최사가 각각 무엇을 챙겨야 하는지, 수집부터 파기까지 단계별로 정리합니다.

이 글은 일반적인 정보 제공을 위한 콘텐츠이며 법률 자문이 아닙니다. 구체적인 사안은 개인정보보호 전문 변호사나 관계 기관에 확인하시기 바랍니다.

명함을 건네받았는데, 왜 마음대로 쓰면 안 되나요?

명함에는 이름, 회사, 직책, 전화번호, 이메일이 담겨 있습니다. 모두 특정 개인을 알아볼 수 있는 정보, 즉 개인정보입니다. 개인정보보호법의 기본 구조는 단순합니다 — 개인정보는 "무엇에 쓰겠다"고 알린 목적의 범위 안에서만 쓸 수 있다는 것입니다.

방문객이 부스에서 명함을 건넨 맥락을 생각해 보면 이해가 쉽습니다. 대부분은 "상담한 건에 대해 연락을 주고받자"는 의미로 명함을 줍니다. 상담 후속 연락 — 약속한 견적서 발송, 미팅 일정 조율 — 은 이 맥락 안에 있습니다. 하지만 정기 뉴스레터 구독, 신제품 광고 메일, 다른 계열사와의 명단 공유는 방문객이 예상한 범위를 벗어납니다. 범위를 벗어난 활용에는 별도의 근거, 특히 광고성 정보라면 명시적인 동의가 필요합니다.

실무에서 자주 발생하는 위험 패턴은 세 가지입니다.

1. 묵시적 동의로 간주하기 — "명함을 줬으니 동의한 것"이라는 해석은 통하지 않습니다. 동의는 무엇에 쓰는지 알리고 받아야 유효합니다.
2. 동의 여부를 기록하지 않기 — 현장에서 구두로 "메일 보내드려도 될까요?"라고 물었더라도, 언제 누가 어떤 항목에 동의했는지 기록이 없으면 나중에 증명할 방법이 없습니다.
3. 명단을 무기한 보관하기 — 행사가 끝나고 몇 년이 지난 리드 명단이 공유 폴더에 그대로 남아 있는 경우가 많습니다. 목적이 달성된 개인정보는 파기하는 것이 원칙입니다.

전시회 리드 처리, 어떤 원칙을 지켜야 하나요?

개인정보보호법의 세부 조항을 외울 필요는 없습니다. 다음 다섯 가지 원칙을 업무 절차에 녹이는 것이 핵심입니다.

첫째, 수집할 때 목적을 알리고 동의를 받습니다. 무엇을 수집하는지(이름·연락처·상담 내용), 왜 수집하는지(상담 후속 연락, 마케팅 정보 발송 등), 얼마나 보관하는지를 알린 뒤 동의를 받아야 합니다. 특히 광고성 정보 수신 동의는 상담 후속 연락과 구분해서 별도로 받는 것이 안전합니다. 부스 태블릿의 체크박스 하나, 동의 시각 기록 한 줄이 나중에 큰 차이를 만듭니다.

둘째, 알린 목적 안에서만 사용합니다. "상담 후속 연락"으로 동의받은 리드를 전사 마케팅 명단에 합치는 순간 목적 외 이용이 됩니다. 목적을 넓히고 싶다면 추가 동의를 받아야 합니다.

셋째, 보관 기간을 정하고 지나면 파기합니다. "언젠가 쓸지 모르니 보관"은 원칙에 어긋납니다. 행사 리드의 보관 기간을 내부 기준으로 정해 두고(예: 후속 영업 사이클 기준), 기간이 지나거나 목적이 달성되면 복구 불가능한 방법으로 파기합니다. 명함 스캔 이미지와 엑셀 사본까지 포함해서요.

넷째, 제3자 제공과 처리 위탁을 구분합니다. 리드 명단을 다른 회사가 자기 목적으로 쓰도록 넘기는 것은 "제3자 제공"이고, 별도 동의가 필요합니다. 반면 우리 회사의 업무를 대신 처리하도록 맡기는 것 — 예를 들어 리드 관리 SaaS 이용 — 은 "처리 위탁"으로, 동의 대신 수탁자 관리 책임이 따라옵니다. 둘은 법적 취급이 완전히 다르므로 헷갈리면 안 됩니다.

다섯째, 위탁하는 도구와 업체를 관리합니다. 리드 관리 앱, 이메일 발송 도구, 클라우드 저장소 모두 수탁자입니다. 수탁자와는 개인정보 처리에 관한 계약(DPA)을 맺고, 접근 통제와 보안 조치가 갖춰져 있는지 확인해야 합니다. 사고가 나면 위탁한 쪽도 책임에서 자유롭지 않습니다.

단계별로 무엇을 확인해야 하나요?

부스 운영 흐름에 맞춰 확인 사항을 표로 정리했습니다. 행사 전 준비 회의에서 이 표를 그대로 점검 목록으로 쓰셔도 됩니다.

단계	확인할 것
수집 시	수집 항목·이용 목적·보관 기간 고지 / 마케팅 수신 동의를 상담 연락과 분리해 받기 / 동의 여부와 동의 시각 기록 남기기
보관 중	접근 권한을 담당자로 제한 / 명함 이미지·리드 파일을 개인 폰이 아닌 통제된 저장소에 보관 / 누가 언제 열람했는지 기록 유지
활용 시	동의받은 목적 범위 확인 후 발송 / 광고성 메일에는 수신 거부 방법 안내 / 제3자 제공은 별도 동의 확인
파기 시	보관 기간 경과·목적 달성 여부 점검 / 원본·사본·스캔 이미지까지 복구 불가능하게 삭제 / 파기 사실 기록

이 표에서 가장 자주 빠지는 항목이 "기록"입니다. 동의를 받았어도 기록이 없으면 없는 것과 같고, 접근·파기도 기록이 남아야 나중에 소명할 수 있습니다.

주최사(운영사)는 무엇을 챙겨야 하나요?

행사를 여는 주최사·운영사는 참가기업보다 넓은 시야가 필요합니다. 행사장에서 수집되는 방문객 데이터의 전체 구조 — 누가 수집하고, 어디에 저장되며, 누구 소유인지 — 를 설계하고 안내할 위치에 있기 때문입니다.

주최사가 챙길 것은 크게 세 가지입니다. 먼저 처리 구조를 명확히 하는 것입니다. 사전등록 데이터는 누가 관리하는지, 부스에서 참가기업이 수집한 상담 기록은 누구 책임인지 역할을 문서로 정리해 두어야 합니다. 다음으로 참가기업 안내입니다. 부스에서 개인정보를 수집할 때 지켜야 할 최소 기준 — 목적 고지, 마케팅 동의 분리, 수집 항목 최소화 — 을 참가 매뉴얼에 포함하면 행사 전체의 리스크가 내려갑니다. 마지막으로 위탁 계약 정비입니다. 등록 시스템, 리드 수집 도구 등 외부 서비스를 쓴다면 해당 업체와 DPA를 체결하고, 데이터 소유권이 주최사와 참가기업에 있음을 계약상 분명히 해야 합니다.

방문객 입장에서 "내 정보가 어디로 가는지" 물었을 때 주최사가 한 문장으로 답할 수 있다면, 그 행사의 데이터 구조는 건강한 것입니다.

원칙을 지키려면 기록이 남는 도구가 필요합니다

위 원칙들의 공통분모는 결국 "기록"입니다. 동의를 받았다는 기록, 열람했다는 기록, 파기했다는 기록. 엑셀과 명함첩으로는 이 기록이 남지 않습니다.

TagBooth는 QR·NFC 태그 기반 전시회 상담기록 SaaS로, 이 기록 문제를 구조적으로 풀도록 설계되어 있습니다. 상담 기록에는 동의 여부와 동의 시각 필드가 있어 현장에서 받은 동의가 그대로 데이터로 남습니다. 명함 이미지는 공개 URL이 아닌 비공개 저장소에 보관되고, 권한이 확인된 요청에만 시간 제한이 있는 열람 링크가 발급됩니다. 참가기업 간 데이터는 완전히 격리되어 다른 회사의 리드를 볼 수 없고, 로그인은 비밀번호 없이 이메일 인증코드로 이뤄집니다. 특히 모든 데이터 접근은 감사로그로 기록되어 매일 해시체인으로 봉인되고 비트코인(OpenTimestamps)에 각인되기 때문에, "누가 언제 어떤 기록을 열람했는지"를 위·변조 불가능한 형태로 증빙할 수 있습니다. 기업용 접근이력 열람 화면과 DPA(수탁자 계약) 제공, 폰 분실 시 세션 원격 초기화까지 — 데이터 소유권은 기업과 운영사에 있고 TagBooth는 위탁 처리자로서의 역할에 충실합니다. 물론 도구가 법적 의무를 대신 이행해 주는 것은 아닙니다. 다만 원칙을 지키는 데 필요한 기록을 자동으로 남겨 줍니다. 데모에서 설치 없이 바로 체험할 수 있고, 전체 흐름은 이용 방법에서 확인하실 수 있습니다.

FAQ

방문객이 명함을 먼저 건넸다면 마케팅 동의로 볼 수 있나요?

아니요. 명함 교환은 통상 상담 관련 연락을 주고받자는 의미로 해석되며, 광고성 정보 수신에 동의한 것으로 보기 어렵습니다. 뉴스레터 등 마케팅 발송에는 목적을 알리고 받은 별도의 동의가 필요합니다.

상담 후속 메일과 광고 메일은 어떻게 다르게 취급하나요?

상담에서 약속한 견적서나 자료를 보내는 것은 방문객이 예상한 범위의 연락입니다. 반면 신제품 안내, 프로모션, 정기 뉴스레터는 광고성 정보로, 명시적 수신 동의와 수신 거부 수단 안내가 필요합니다. 두 가지를 수집 단계에서부터 분리해 관리하는 것이 안전합니다.

수집한 리드는 언제까지 보관할 수 있나요?

법이 일률적인 기간을 정해 두기보다, 고지한 보관 기간과 이용 목적이 기준이 됩니다. 후속 영업 사이클 등을 고려해 내부 보관 기준을 정해 방문객에게 알리고, 기간이 지나거나 목적이 달성되면 사본과 스캔 이미지까지 파기하는 절차를 갖추시기 바랍니다.

리드 관리 SaaS를 쓰면 제3자 제공에 해당하나요?

일반적으로는 제3자 제공이 아니라 처리 위탁에 해당합니다. SaaS가 자기 목적이 아니라 우리 회사의 업무를 위해 데이터를 처리하기 때문입니다. 다만 위탁에는 수탁자 관리 책임이 따르므로, DPA 체결 여부와 접근 통제·감사 기록 같은 보안 조치를 갖춘 서비스인지 확인하고 선택해야 합니다.