DB 마케팅은 불법인가 — 합법과 불법을 가르는 선 4개

DB 마케팅 자체는 불법이 아닙니다. 상담을 신청한 사람에게 연락해 상품을 안내하는 일은 수많은 회사가 매일 하는 합법적인 영업입니다. 불법이 되는 지점은 네 곳입니다 — ① 법적 근거(보통은 동의) 없이 모을 때 ② 동의한 범위 밖으로 넘길 때(이른바 "DB 판매") ③ 광고를 거부한 사람에게 계속 보낼 때 ④ 어디서 났는지 모르는 DB를 사고팔 때.

이 네 선은 모든 업종에 공통입니다. 병원·보험·대출은 그 위에 업종법이 하나 더 있습니다 — 2026년 가을 뉴스에 나온 "병원 DB 마케팅 경찰 수사"가 바로 그 선이고, 아래 따로 정리했습니다.

"db마케팅 불법"을 검색하는 사람은 둘 중 하나입니다. DB를 받아 영업하려는데 괜찮은지 궁금한 사람, 그리고 DB를 모아 넘기려는데 괜찮은지 궁금한 사람. 이 글은 두 쪽 모두를 위해 조항과 벌칙을 그대로 적고 선을 긋습니다.

이 글은 법률 자문이 아닙니다. 조항 원문 링크를 함께 적었으니, 결정 전에는 원문과 전문가 확인을 거치세요. 조항 번호·벌칙은 2026-10-30 기준(개인정보 보호법 2026-09-11 시행본, 정보통신망법 2026-10-02 시행본)이며 법은 바뀝니다.

#먼저 용어 세 개

DB. 상담형 광고 현장에서 "디비"라고 부르는 것은 상담을 신청한 사람의 이름·전화번호·신청 내용 한 건입니다. 해외에서는 리드(lead)라고 합니다(용어 사전). 랜딩 폼으로 받았든 메타 인스턴트 양식이든 당근 리드폼이든, 이름·전화번호가 들어오면 전부 같은 DB이고 같은 규칙이 적용됩니다.

개인정보. 살아 있는 사람을 알아볼 수 있는 정보입니다. 이름과 전화번호는 물론이고, 전화번호 하나만 있어도 개인정보입니다. 그래서 DB 한 건을 다루는 순간 개인정보 보호법이 적용됩니다.

과태료·과징금과 벌금·징역. 과태료와 과징금은 행정기관이 매기는 돈이라 전과가 남지 않습니다. 벌금·징역은 법원이 내리는 형사처벌이라 전과가 남습니다. 이 글에서 "범죄"라고 쓴 곳은 벌금·징역이 걸린 곳입니다.

#선 1 — 모을 때: 법적 근거 없는 수집은 과징금 (개인정보 보호법 제15조)

개인정보를 모으려면 정보주체(그 사람)의 동의를 받거나, 법이 정한 다른 근거가 있어야 합니다(제15조 제1항). 상담 신청 폼은 보통 "동의"로 받습니다. 2023년 개정 뒤에는 상담이라는 서비스에 꼭 필요한 이름·연락처는 동의 대신 "계약 체결·이행"(제15조 제1항 제4호)을 근거로 받고 그 사실을 알리는 방식도 개인정보보호위원회가 권장합니다. 어느 쪽이든 다른 회사에 넘기는 것은 별도 동의가 필요합니다(통합 안내서 70쪽).

동의로 받을 때 알려 줘야 하는 것이 네 가지입니다(제15조 제2항).

1. 무엇에 쓰는지(수집·이용 목적)
2. 무엇을 받는지(항목)
3. 언제까지 갖고 있는지(보유·이용 기간)
4. 거부할 수 있다는 것과, 거부하면 어떤 불이익이 있는지

폼 아래 "개인정보 수집·이용에 동의합니다" 한 줄만 있고 위 네 가지가 어디에도 없으면, 자유로운 의사에 따른 동의로 보기 어려워 결국 동의 없는 수집이 될 수 있습니다. 어떤 문장을 어디에 적는지는 랜딩 개인정보 동의문 체크리스트에 문장째 있습니다.

어기면. 법적 근거 없이 모으면 개인정보보호위원회가 과징금을 매길 수 있습니다(제64조의2 제1항 제1호 — 전체 매출액의 3% 이하, 매출이 없거나 계산하기 어려우면 20억 원 이하). 동의를 받는 방법(제22조)을 어기면 1천만 원 이하 과태료가 따로 있습니다(제75조 제4항 제3호).

#선 2 — 넘길 때: "DB 판매"는 제3자 제공이고, 동의 없이는 범죄 (제17조·제71조)

여기가 가장 많이 걸리는 선입니다. 내가 모은 DB를 다른 회사(광고주·대행사)에 넘기는 것은 법에서 제3자 제공(제17조)입니다. 제3자 제공을 하려면 모을 때와는 별도로 동의를 받아야 하고, 이때 알려 줄 것이 있습니다(제17조 제2항).

1. 누구에게 주는지(제공받는 자)
2. 그 회사가 무엇에 쓰는지
3. 어떤 항목을 주는지
4. 그 회사가 언제까지 갖는지
5. 거부할 수 있다는 것과 불이익

실무에서 자주 틀리는 곳은 1번입니다. "제휴사·협력사에 제공할 수 있습니다"처럼 받는 회사를 적지 않은 동의는 개인정보위 안내서가 인정하지 않는 포괄 표기입니다(「개인정보 처리 통합 안내서」 2025.7, 68~70쪽 — "제공받는 자란 이름 또는 상호"). 받는 회사가 정말 미리 정해질 수 없는 사정이 있으면 그 사정과 어떤 종류의 회사인지를 알리고 확인 링크를 두는 방법이 안내서에 있지만, 안내서는 "제휴업체가 자주 바뀐다"는 이유만으로 이름을 뺀 서점을 위반 사례로 들고 있습니다.

어느 광고주에게 갈지 정해진 DB만 동의를 받고 넘길 수 있습니다. "일단 모아서 사겠다는 데 판다"는 구조는 이 선을 넘습니다.

어기면. 제17조 제1항을 어기고 제공한 사람은 5년 이하 징역 또는 5천만 원 이하 벌금입니다(제71조 제1호). 파는 쪽만이 아니라, 동의 없이 넘어온 DB라는 사정을 알면서 받은 쪽도 같은 형입니다. 2024년 대법원은 출처를 확인하지 않고 샀다는 것만으로는 처벌하기 어렵다고 보았지만(2019도3402), 같은 사건에서 그 DB를 다른 업체에 넘긴 행위는 유죄로 확정됐습니다. "몰랐다"가 통하길 기대하고 사는 것은 도박이고, 되파는 순간은 확실히 범죄입니다.

위탁과는 다릅니다. 제공인지 위탁인지는 누구 이름으로 동의를 받았는지로 갈립니다. 광고주가 대행사에게 "우리 대신 상담 신청을 받아 달라"고 맡기고, 대행사가 광고주 이름으로 동의를 받아 광고주에게 전달하는 구조는 위탁(제26조)입니다. 위탁은 별도 동의 대신 세 가지가 핵심입니다. ① 위탁 계약서(문서, 제26조 제1항) ② 위탁 업무와 수탁자를 처리방침 등에 공개(제2항) ③ 홍보·판매 권유 업무를 맡긴 것이면 신청자에게 "○○(대행사)가 상담 접수를 대행한다"고 따로 알림(제3항, 어기면 3천만 원 이하 과태료). 대행사가 맡은 범위를 넘어 그 번호를 쓰거나 넘기면 5년 이하 징역 또는 5천만 원 이하 벌금입니다(제26조 제5항·제71조 제2호).

#선 3 — 연락할 때: 광고는 사전 동의, 거부하면 멈춘다 (정보통신망법 제50조)

상담을 신청한 사람에게 그 상담 때문에 연락하는 것은 광고가 아니라 신청한 일을 처리하는 것입니다. 문제는 그다음입니다. 상담이 끝난 뒤 이벤트·할인 안내를 보내거나, 다른 상품을 권하는 순간부터는 영리 목적 광고성 정보가 되어 정보통신망법 제50조가 적용됩니다.

문자·카카오톡·이메일은 물론 전화(음성)도 영리 목적 광고라면 제50조 대상입니다.

• 보내기 전에 명시적 사전 동의를 받아야 합니다(제1항). 상담 신청 동의와는 별개의 체크박스입니다.
• 오후 9시부터 다음 날 오전 8시 사이에 보내려면 별도 동의가 필요합니다(제3항, 이메일은 제외 — 시행령 제61조 제2항).
• 내용 앞에 (광고) 표기(시행령 제61조 제3항·별표 6)와 보내는 사람 이름·연락처, 수신거부 방법을 적어야 합니다(법 제50조 제4항).
• 수신거부 의사를 밝힌 사람에게 다시 보내면 안 됩니다(제2항).

어기면 과태료 3천만 원 이하입니다(제76조 제2항 제7호·제8호). 카카오톡은 접수 확인·상담 일정 같은 정보성 메시지(알림톡)와 이벤트·할인 같은 광고성 메시지(친구톡)가 실무에서 나뉘고, 광고성은 위 규칙을 그대로 따릅니다.

전화에는 예외가 하나 있습니다. 방문판매법상 전화권유판매자가 통화 중에 "이 번호는 ○○에서 수집했다"고 육성으로 출처를 밝히고 권유하는 경우에는 사전 동의 없이 걸 수 있습니다(제50조 제1항 제2호). 대신 이 경우 방문판매법의 의무가 따라옵니다 — 전화로 권유해 파는 일을 업으로 하려면 신고가 필요하고(제5조 제1항, 안 하면 1년 이하 징역 또는 3천만 원 이하 벌금 — 제62조 제1호), 걸기 전에 공정거래위원회 수신거부 등록시스템(두낫콜)에서 등록 여부를 확인해야 하며 등록한 사람에게는 걸 수 없습니다(제42조 제2항, 어기면 1천만 원 이하 과태료 — 제66조 제2항 제9호).

정리하면, "신청한 상담"은 연락해도 되고, "그 밖의 광고"는 따로 동의를 받은 사람에게만, 거부하면 즉시 멈춤입니다.

#선 4 — 출처: 모르는 DB는 사지 않고, 물으면 답한다 (제59조·제20조)

"보험 DB 1,000건 ○○만 원" 같은 글이 커뮤니티에 돕니다. 이런 DB는 세 가지 중 하나일 가능성이 큽니다 — 동의 범위 밖으로 되팔린 것(선 2 위반), 유출된 것, 또는 아예 가짜.

개인정보 보호법 제59조는 거짓이나 부정한 수단으로 개인정보를 얻는 것(제1호), 업무상 알게 된 개인정보를 누설하거나 권한 없이 남에게 주는 것(제2호), 권한 없이 이용·유출하는 것(제3호)을 금지합니다. 제1호는 3년 이하 징역 또는 3천만 원 이하 벌금(제72조 제2호), 제2호·제3호는 5년 이하 징역 또는 5천만 원 이하 벌금(제71조 제9호·제10호)이고, 그 사정을 알면서 영리 목적으로 받은 사람도 같습니다.

받은 쪽의 의무도 있습니다. 남이 모은 DB를 받아 쓰는 회사는 그 사람이 "내 정보 어디서 났느냐"고 물으면 출처·목적·처리 정지 요구권을 즉시 알려야 합니다(제20조 제1항, 어기면 3천만 원 이하 과태료). 대답할 출처가 없는 DB는 이 질문 하나로 드러납니다.

사는 쪽의 자기 방어는 세 가지를 요구하는 것입니다. ① 동의서 화면 사본(우리 회사 이름이 "제공받는 자"로 있는지) ② 수집한 랜딩 주소 ③ 수집 일시. 셋 중 하나라도 못 주면 사지 않습니다.

실제 사례. 2024년 12월 개인정보보호위원회는 동의하지 않은 고객에게 "동의 변경" 창을 띄워 정보를 모아 마케팅에 쓴 손해보험사 4곳에 과징금 92억 원을 매겼습니다(2024-12-12 보도자료). 2025년 3월에는 가맹점주 20만여 명의 정보를 카드 모집인에게 넘겨 신규 발급 영업에 쓴 카드사에 134억 원을 매겼습니다(목적 외 이용, 제18조). 법원 쪽에서는 2024년 6월 대법원이 "모르고 산" 텔레마케팅 업체는 무죄, "다시 넘긴" 행위는 유죄로 확정했습니다(2019도3402).

#병원·보험·대출 — 업종법이 하나 더 있습니다

위 네 선을 다 지켜도, 이 세 업종은 다른 법에 먼저 걸릴 수 있습니다. 2026년 가을 "db마케팅 불법" 검색 결과를 채운 뉴스가 전부 여기서 나왔습니다.

병원 — 의료법 제27조 제3항(환자 소개·알선·유인 금지). "누구든지" 영리를 목적으로 환자를 의료기관에 소개·알선·유인하면 안 되고, 어기면 3년 이하 징역 또는 3천만 원 이하 벌금입니다(제88조). 주체가 "누구든지"라 병원만이 아니라 광고업체·퍼블리셔도 대상입니다. 병원 상담 DB를 건당으로 파는 것 자체가 곧바로 불법이라고 확정한 판결은 찾지 못했습니다. 그러나 ① 내원·시술 성과에 연동된 대가 ② 업체가 직접 전화해 예약까지 잡는 구조 ③ 초저가 미끼 광고로 모은 DB는 알선으로 수사·처벌될 수 있고, 2026년 10월 현재 서울경찰청이 DB·텔레마케팅 업체 10곳 이상을 압수수색하며 그 구조(건당 5~7만 원 계약)를 수사 중입니다(메디칼타임즈 2026-10-06, 팍스메디컬뉴스 2026-09-26). 대한치과의사협회도 환자 유인·알선과 개인정보 매매로 규정하고 단속을 요구했습니다. 병원 랜딩에 쓸 수 있는 표현과 심의는 병원·대출 광고, 랜딩에 꼭 적어야 할 것에 있습니다.

보험 — DB 구매 자체를 보험업법이 막지는 않습니다. 걸리는 선은 ① 개인정보 보호법(동의 없는 DB는 받는 쪽도 제71조) ② 전화·문자 권유에 정보통신망법 제50조(신용정보법 제40조 제2항으로 보험회사에도 준용) ③ 금융소비자보호법 제21조의2(소비자가 연락 금지를 요구하면 즉시 이행, 오후 9시오전 8시 방문·연락 금지 — 위반 각 1천만 원 이하 과태료)입니다. 2026년 7월 금융감독원은 보험대리점(GA)이 DB업체 100여 곳에서 1인당 5만13만 원에 산 정보로 권유하는 "DB 영업"에 소비자경보를 내고 감독 강화를 예고했습니다.

대출 — 대부업법이 2025년부터 "대출 DB 유통"을 직접 겨냥합니다. 등록 없이 대출 상담 광고를 돌리면 대부중개업 광고 금지(대부업법 제9조의2 제2항, 10년 이하 징역 또는 5억 원 이하 벌금) 또는 금융소비자보호법 제12조 미등록 영업(5년 이하 징역 또는 2억 원 이하 벌금)에 해당할 수 있습니다. 대출 과정에서 모은 개인정보를 다른 데 쓰거나 넘기면 2025년 1월 신설된 제9조의9(5년 이하 징역 또는 2억 원 이하 벌금)이고, 대출받는 사람에게서 중개수수료를 받으면 제11조의2 제2항(3년 이하 징역 또는 3천만 원 이하 벌금)입니다.

#그래서 합법 DB 마케팅은 이렇게 생겼습니다

법 쪽에서 확인할 것만 추렸습니다. 무엇을 어디에 적는지는 동의문 체크리스트에 문장째 있습니다.

텐핑 같은 네트워크 캠페인에서 네트워크가 준 폼을 그대로 쓴다면, 동의는 네트워크·광고주 이름으로 받는 구조라 파트너가 따로 동의문을 만들 일은 없습니다. 대신 폼을 바꾸거나 따로 받지 않고, 받은 번호를 내가 저장·연락하지 않는 것이 규칙입니다(텐핑 어뷰징 규제정책 2.(4)⑦·⑨). 반대로 내 폼으로 받아 넘기는 순간 위 표 전부가 내 일이 됩니다.

#자주 묻는 질문

#병원 DB 마케팅은 왜 경찰 수사를 받나요?

개인정보 동의 문제에 더해, 의료법 제27조 제3항이 "영리 목적으로 환자를 소개·알선·유인하는 행위"를 금지하기 때문입니다. 상담 신청자를 모아 병원에 건당 돈을 받고 넘기고, 업체가 예약 전화까지 돌리는 구조가 알선인지가 2026년 10월 현재 수사의 쟁점입니다. 병원도 업체도 모두 대상입니다.

#보험 DB를 사서 영업해도 되나요?

동의서에 우리 회사가 "제공받는 자"로 적혀 있지 않은 DB는 받는 순간 제17조 위반에 해당할 수 있고, 그 사정을 알면서 받았다면 받는 쪽도 처벌 대상입니다. 출처를 증명하지 못하는 DB는 사지 않는 것이 가장 안전한 선택입니다. 샀다면 권유 전화·문자에도 정보통신망법 제50조와 금융소비자보호법 제21조의2가 따라옵니다.

#이미 받은 동의로 다른 상품도 권해도 되나요?

"○○ 상담"으로 받은 동의로 △△ 상품을 권하면 목적 외 이용(제18조 제1항)입니다. 5년 이하 징역 또는 5천만 원 이하 벌금(제71조 제2호)과 과징금 대상이고, 2025년 카드사 134억 원 과징금이 이 조항이었습니다. 다른 상품도 권하고 싶다면 처음 동의문에 그 범위를 적거나, 다시 동의를 받아야 합니다.

이 글은 사업자 기준입니다. 내 번호가 어디서 팔렸는지 궁금한 소비자는 개인정보침해 신고센터(국번 없이 118)에 신고할 수 있습니다.

다음에 볼 글: 랜딩 개인정보 동의문 체크리스트