지자체나 공공기관 SNS 담당자라면 한 번쯤 고민해 보셨을 문제입니다.
“이벤트 참여자에게 팔로우 + 댓글 + 연락처를 같이 받으면 안 되나요?”
“기프티콘 발송 업체에 명단 엑셀 파일 보내도 되지 않나요?”
“파기는 그냥 엑셀 파일 삭제하면 되는 거 아닌가요?”
결론부터 말씀드리면, 세 가지 모두 위반 소지가 있습니다.
공공기관은 「개인정보보호법」의 적용을 받는 개인정보처리자이며, 2023년 5월 개인정보보호위원회가 공식 발간한 「개인정보 보호 가이드라인(온라인 경품행사편)」은 이 문제를 구체적인 사례와 준수사항으로 명시하고 있습니다. 오늘은 해당 가이드라인과 관련 법령을 토대로 공공기관 SNS 이벤트 개인정보 처리의 모든 것을 정리해 드립니다.
[한눈에 보는 핵심 요약]
공공기관 이벤트 경품 개인정보 처리 핵심 3원칙
- 사전 수집 금지 : 경품 발송용 개인정보(성명·연락처·주소)는 당첨자 발표 이후 당첨자에 한해서만 수집해야 한다. 참여 단계에서 모든 참여자의 연락처를 받는 것은 「개인정보보호법」 제16조의 최소수집 원칙 위반이다.
- 입증책임은 기관에 있다 : 수집한 개인정보가 ‘목적에 필요한 최소한’임을 입증할 책임은 개인정보처리자(기관)에게 있다(보호법 제16조 제1항)
- 발송 대행 위탁 시 서면 계약 필수 : 기프티콘 발송 업체 등에 당첨자 명단을 이관하는 경우, 이는 개인정보 처리 위탁에 해당하며 서면 위탁계약 체결 및 기관 홈페이지 처리방침에 수탁사명 공개가 의무다(보호법 제26조)
일반 기업 vs 공공기관, 무엇이 다를까?
공공기관이 민간 기업보다 더 엄격한 기준을 적용받는 이유는, 개인정보처리자로서 시민의 신뢰를 직접 다루기 때문입니다. 아래 비교표를 참고하세요.
| 구분 | 민간 기업 | 공공기관 (지자체 등) |
| 수집 시점 | 참여 시 사전 수집 가능 (동의 시) | 당첨자 발표 후 수집 원칙 |
| 수집 근거 | 정보주체의 동의 | 정보주체 동의 (이벤트 특성상 법령 수행 단독 근거 적용 제한) |
| 최소 수집 | 마케팅 활용 목적 포함 가능 | 경품 발송 목적으로만 제한 |
| 위탁 처리 | 약관 고지 후 진행 | 서면 위탁계약 + 홈페이지 수탁사 공개 의무 |
| 파기 시점 | 보유기간 이내 | 목적 달성 즉시 “지체 없이” 파기 |
단계별 개인정보 처리 준수사항
개인정보보호위원회 가이드라인은 SNS 이벤트를 기획·공지 → 추첨·발표 → 경품 발송 → 행사 종료의 4단계로 구분하고, 각 단계별 준수사항을 명시하고 있습니다.
1단계 — 행사 기획·공지
- 핵심 원칙 : 참여 방법에 개인정보를 포함하지 않는다
댓글 작성, SNS 계정 팔로우, 해시태그 추가, 사진 게시 등의 방식은 참여자의 개인정보가 직접 포함되지 않아 적합합니다. 반면 참여 폼(Form)이나 DM에 이름·연락처 항목을 넣으면 당첨 여부와 무관하게 전원의 개인정보를 수집하는 결과가 되어 최소수집 원칙 위반입니다.
[ 공지 시 반드시 포함해야 할 내용 ]
아래 두 문장은 공지 게시물에 의무적으로 포함해야 합니다.
① 경품 발송에 필요한 개인정보(성명·연락처·주소 등)는 당첨자 발표 이후 당첨자에 한하여 수집합니다.
② 수집된 개인정보는 경품 발송에만 이용되며, 경품 발송 완료 후 지체 없이 파기됩니다.
[ 사칭 계정 주의 문구도 필수 ]
가이드라인은 공식 계정 사칭을 통한 개인정보 수집 및 결제 유도 사례를 명시하며, 아래 안내 문구를 공지에 포함할 것을 권장합니다.
※ 사칭 계정을 통해 개인정보 수집 및 결제를 유도하는 사례가 있으니, 관련 개별 메시지를 받는 경우 반드시 정식 계정 여부를 확인하시기 바랍니다.
(본 계정은 카드 등록 및 결제 관련 정보를 절대 요구하지 않습니다.)
2단계 — 당첨자 추첨·발표
- 권장 방식 : 개별 DM 통보
공식 계정에서 당첨자에게 개별 메시지(DM)로 직접 안내하는 것입니다. 전체 명단 공개 없이 당첨자만 본인 수상 사실을 알 수 있어 가장 안전합니다.
[ 전체 명단 발표가 불가피한 경우 ]
전체 게시물 댓글이나 스토리 등으로 명단을 공개해야 한다면, 본인만 알아볼 수 있도록 처리해야 합니다.
- 이름 : 홍*동, 김**영 (가운데 글자 마스킹)
- 아이디 : h**n_user (일부 마스킹)
주의 : “당첨자 발표 시 이름 전부 마스킹이 법적 의무”는 아닙니다. 가이드라인은 “개별 안내 우선, 전체 공개가 불가피한 경우 본인만 알아볼 수 있게 처리”라고 안내합니다. 전체 공개 자체를 금지하지는 않으나, 실명 기반 SNS에서 당첨자의 실명이 그대로 공개되는 것은 주의해야 합니다.
3단계 — 경품 발송 및 위탁
당첨자에게 개인정보를 요청하기 전에 반드시 개인정보 수집·이용 동의서를 제공하고 동의를 받아야 합니다. 동의서에는 아래 항목이 모두 포함되어야 합니다.
- 수집 항목 : 성명, 연락처, 주소 (기프티콘의 경우 연락처만으로 가능)
- 수집 목적 : 경품 발송
- 보유 및 이용 기간 : “경품 발송 완료 후 지체 없이 파기” 또는 단기 보관 시 구체적 기간(예: “발송 후 14일 보관 후 파기”)
- 동의 거부 권리 및 거부 시 불이익(경품 수령 불가)
참고 : 5만 원 초과 경품의 경우 소득세법에 따라 제세공과금 납부를 위해 주민등록번호 수집이 필요할 수 있습니다. 이 경우 해당 사실과 법적 근거(소득세법 등)를 반드시 별도 안내해야 합니다.
[ 기프티콘 발송 대행사 이용 = 개인정보 처리 위탁 ]
기프티콘·상품권 발송 업체에 당첨자 명단(이름·연락처)을 이관하는 행위는 법적으로 개인정보 처리 위탁에 해당합니다. 이 경우 다음 두 가지가 필수입니다.
① 서면 위탁계약 체결 (보호법 제26조①)
계약서에 반드시 포함되어야 할 내용
- 위탁업무 수행 목적 외 개인정보 처리 금지
- 개인정보의 기술적·관리적 보호조치
- 수탁자의 재위탁 제한
- 수탁자의 개인정보 보호 관련 의무 위반 시 손해배상 책임
② 기관 홈페이지 처리방침에 수탁사 공개 (보호법 제26조②, 시행령 제28조②)
기관 홈페이지 개인정보 처리방침의 “개인정보 처리 위탁” 항목에 수탁사명과 위탁 업무 내용을 지속적으로 게재해야 합니다. 이벤트 종료 후 처리방침도 원상복구 또는 업데이트가 필요합니다.
위탁 부담을 줄이는 실무 방법 : 핀(PIN) 발행 방식 활용
위탁계약 체결과 처리방침 공개는 번거롭고, 담당자가 놓치기 쉬운 절차입니다. 이 부담을 구조적으로 줄이는 방법이 있는데, 바로 당첨자 연락처를 발송 플랫폼에 업로드하지 않는 방식입니다.
센드비(SendBee) 같은 기프티콘 발송 서비스는 핀발행(PIN 발행) 기능을 제공합니다. 쿠폰 코드(PIN)를 암호화 파일로 내려받아 기관이 직접 당첨자에게 DM으로 전달하는 방식입니다. 당첨자 연락처가 외부 서버를 전혀 거치지 않기 때문에, 개인정보 처리 위탁 자체가 발생하지 않습니다.
위탁이 번거롭다면, [ PIN형 기프티콘 가이드 ] 참고하기
4단계 — 행사 종료 및 파기
파기 범위와 방법
단순히 “파일 삭제”로는 부족합니다. 아래 모든 저장 위치의 데이터를 완전히 삭제해야 합니다.
- 로컬 PC 엑셀 파일 → 삭제 + 휴지통 비우기
- 공유 드라이브(구글 드라이브, OneDrive 등) → 파일 삭제 + 휴지통 비우기
- 구글폼·네이버폼 등 수집 폼 → 응답 데이터 완전 삭제
- 업무용 메신저(카카오워크, 슬랙 등) 내 수신 파일 → 삭제
- 이메일 첨부파일 → 해당 메일 삭제
파기 사실 기록 보관
파기 완료 일시, 파기 대상, 파기 방법을 내부 기록으로 남겨두는 것이 권장됩니다.
공공기관 이벤트 개인 정보 관련 FAQ
Q1. 이벤트 댓글에 비공개로 번호를 남기게 하면 안 되나요?
A. 안 됩니다. SNS 플랫폼의 설정에 따라 타인에게 노출될 위험이 있고, 당첨 여부와 무관하게 모든 참여자의 연락처를 받는 것은 최소수집 원칙 위반 소지가 있습니다. 참여 자격은 댓글·팔로우·해시태그로만 확인하고, 연락처는 당첨자에게 DM으로 개별 요청하는 방식이 올바릅니다.
Q2. CS 대응을 위해 발송 후 한 달 정도 명단을 보관해도 되나요?
A. 원칙적으로 목적 달성(발송 완료) 후 지체 없이 파기입니다. 단기 보관이 필요하다면, 동의서에 “경품 발송 완료 후 OO일 보관 후 파기”라고 보유기간을 사전에 명시하고 동의를 받아야 합니다. 사전 공지 없는 보관은 위반입니다.
Q3. 기프티콘 발송 플랫폼 이용 시 위탁계약이 꼭 필요한가요?
A. 당첨자 명단(이름·연락처)을 플랫폼에 업로드하는 방식이라면 개인정보 처리 위탁에 해당합니다. 보호법 제26조에 따라 서면 위탁계약 체결 및 기관 홈페이지 처리방침에 수탁사명 공개가 의무입니다. 다만 단순 발송 위탁의 경우, 당첨자의 별도 동의는 불필요합니다.
실무 점검 체크리스트
이벤트 진행 전·후 아래 항목을 순서대로 확인하세요.
[기획 단계]
- 참여 방법에 개인정보(성명·연락처) 항목 미포함
- 사칭 계정 주의사항 공지 문구 포함
- 발송 위탁 업체 선정 및 서면 위탁계약 체결 준비
[공지 단계]
- “경품 발송 개인정보는 당첨자에 한해 수집” 명시
- 수집 목적, 보유기간, 파기 시점 안내 포함
- 처리 위탁 시 수탁사명 및 위탁 업무 내용 기관 홈페이지 처리방침 업데이트
[발표·수집 단계]
- 당첨자 개별 DM 안내 또는 이름 마스킹 처리
- 개인정보 수집·이용 동의서 제공 후 동의 수령 확인
- 동의서 내 수집 항목·목적·보유기간·거부 권리 포함 여부 확인
[발송 단계]
- 핀발행 방식 사용 여부 사전 확인 (연락처 업로드 없이 운영 가능한지 검토)
- 연락처 업로드 방식 사용 시: 기프티콘 대행사 등과 서면 위탁계약 체결 완료
- 연락처 업로드 방식 사용 시: 위탁계약서에 목적 외 처리 금지 등 필수 내용 포함 여부 확인
- 연락처 업로드 방식 사용 시: 기관 홈페이지 처리방침에 수탁사명 업데이트
[파기 단계]
- 엑셀·스프레드시트 파일 완전 삭제 (휴지통 비우기 포함)
- 구글폼·네이버폼 등 수집 폼 내 응답 데이터 완전 삭제
- 공유 드라이브, 이메일, 메신저 내 수신 파일 삭제
- 파기 완료 일시·대상·방법 내부 기록 보관
- 기관 홈페이지 개인정보 처리방침 업데이트 (수탁사 정보 정리)
SNS 이벤트는 시민과의 소통 창구인 동시에, 한 번의 실수가 기관 신뢰도에 직결되는 리스크 지점이기도 합니다. “몰랐다”는 이유가 면책 사유가 되지 않는 만큼, 이 가이드를 이벤트 기획 단계부터 체계적으로 적용하시길 권장드립니다.
*본 콘텐츠는 공공기관 SNS 이벤트 실무자를 대상으로 개인정보보호위원회 공식 가이드라인 및 관련 법령을 바탕으로 작성되었습니다. 법적 자문이 필요한 경우 전문가와 별도로 상담하시기를 권장합니다.
참고 자료 및 출처
- 「개인정보 보호법」 제3조(처리 원칙), 제15조(수집·이용), 제16조(수집 제한), 제18조(목적 외 이용 금지), 제21조(파기), 제26조(업무위탁에 따른 처리 제한)
- 「개인정보 보호법 시행령」 제28조(위탁 업무 및 수탁자 공개 방법) https://www.law.go.kr
- 개인정보보호위원회, 「개인정보 보호 가이드라인 — 온라인 경품행사편」, 2023년 5월, 발간등록번호 11-1790365-000021-01
- 개인정보보호위원회, 「알기쉬운 개인정보 처리 동의 안내서」, 2022년 3월
- 개인정보보호위원회, 「개인정보 처리 위·수탁 안내서」, 최신판 https://www.privacy.go.kr
