개인정보 유출 사고 예방을 위한 마케팅 팀 내 보안 수칙: 엑셀 다운로드 권한 통제 및 암호화 파일 관리 규칙

캠페인 성과를 분석하거나 세그먼트를 나눌 때, 마케터는 자연스럽게 회원 데이터베이스에서 이름·연락처·구매 이력을 엑셀 파일로 내려받는 경우가 많습니다. 문제는 이렇게 내려받은 파일이 일단 시스템 밖으로 나오는 순간, 시스템 자체의 접근 통제나 로그 기록의 보호를 받지 못한다는 점입니다. 개인 노트북 바탕화면, 공유 드라이브, 심지어 메신저로 주고받는 상황까지 이어지면 유출 경로는 급격히 늘어납니다.

실제로 개인정보보호위원회는 2026년 배달·홈쇼핑·온라인쇼핑·렌탈·유선통신 5개 분야의 개인정보처리자와 고객센터 등 수탁사를 대상으로 사전 실태점검을 실시했습니다. 이 점검의 계기가 된 사건은 한 배달 서비스의 고객센터 상담사가 고객 정보를 무단으로 조회해 악용한 사고였습니다. 점검 항목에는 접근권한 최소부여 여부, 계정 공유 여부, 접속기록 관리 실태가 포함돼 있어, 마케팅팀의 데이터 취급 방식도 같은 기준으로 들여다볼 필요가 있습니다.

가장 기본적인 원칙은 '최소 권한 부여'입니다. 캠페인 기획·분석 업무를 실제로 담당하는 인원에게만 다운로드 권한을 주고, 관련 없는 팀원이나 인턴에게까지 일괄적으로 권한을 열어두는 방식은 피해야 합니다. 권한을 부여할 때는 어떤 항목(이름, 연락처, 이메일, 구매 이력 등)까지 다운로드할 수 있는지도 함께 구분해, 캠페인에 실제로 필요한 항목 이상은 내려받을 수 없도록 시스템을 설계하는 것이 이상적입니다.

권한을 부여한 뒤에도 그 상태를 방치하면 안 됩니다. 분기 단위로 "지금 다운로드 권한을 가진 사람이 실제로 그 업무를 하고 있는가"를 점검하는 절차를 두는 것이 좋습니다. 업무가 바뀐 담당자가 예전 권한을 그대로 유지하고 있는 경우가 실무에서 흔히 발견되는 허점입니다.

회원 데이터가 담긴 엑셀 파일은 다운로드하는 순간부터 암호화된 상태로 관리해야 합니다. 파일 자체에 비밀번호를 걸거나, 회사에서 지정한 암호화 저장소에만 보관하도록 규칙을 정해야 합니다. 개인 PC 바탕화면이나 다운로드 폴더에 암호 없이 저장해두는 습관은 노트북 분실이나 악성코드 감염 시 그대로 유출 사고로 이어집니다.

또한 캠페인 분석이 끝난 파일은 정해진 기간 안에 삭제하는 규칙이 필요합니다. "나중에 다시 쓸지도 모른다"는 이유로 오래된 회원 명단 파일을 계속 보관하는 습관은 유출 위험을 키울 뿐 아니라, 개인정보를 목적 달성 후에도 불필요하게 보유하는 문제로도 이어질 수 있습니다. 파일명과 보관 위치를 팀 내에서 규칙화해, 누가 언제 어떤 목적으로 내려받았는지 추적할 수 있게 하는 것도 중요합니다.

말로만 전달된 보안 수칙은 시간이 지나면 흐려지기 마련입니다. 다운로드 권한 신청·승인 절차, 파일 암호화 방법, 보관 기간, 삭제 절차를 문서로 정리해 팀 내 온보딩 자료에 포함시켜야 새로 합류하는 팀원도 같은 기준으로 데이터를 다룹니다. 정기적으로(예: 반기 1회) 팀 전체가 이 규칙을 다시 확인하는 짧은 교육 시간을 갖는 것도 실질적인 효과가 있습니다.

무엇보다 이 규칙은 마케팅팀 혼자 만들기보다 정보보호 담당 부서와 함께 설계해야 합니다. 회사 전체의 안전조치 기준과 마케팅팀의 실제 업무 흐름이 어긋나면 규칙이 있어도 지켜지지 않는 경우가 많기 때문입니다.

캠페인을 준비하다 보면 회원 명단 엑셀 파일을 메신저나 이메일로 동료·대행사에 공유하는 일이 자주 생깁니다. 이때 암호화 없이 파일을 그대로 첨부하면, 메신저 서버나 이메일 계정이 뚫렸을 때 곧바로 대량 유출로 이어질 수 있습니다. 파일을 공유해야 한다면 비밀번호를 건 압축 파일로 만들고, 비밀번호는 별도 채널(전화, 다른 메신저방)로 전달하는 방식이 안전합니다.

외부 광고 대행사에 캠페인 타겟 리스트를 넘겨야 하는 경우에는, 파일을 직접 주고받기보다 접근권한이 통제되는 공유 저장소를 이용하는 방법을 우선 검토해야 합니다. 대행사가 작업을 마친 뒤에는 전달했던 파일과 사본을 삭제하도록 요청하고, 이 절차를 위탁 계약서에 명시해두는 것이 바람직합니다.

회원 명단 파일이 잘못된 곳에 전달됐거나, 권한 없는 사람이 다운로드한 정황을 발견했다면 마케팅팀 선에서 조용히 덮으려 하지 말고 즉시 정보보호 담당 부서에 알려야 합니다. 개인정보보호법은 유출을 인지한 시점부터 신고 시한이 진행되는 구조이기 때문에, 발견 즉시 보고하는 것 자체가 이후 대응 시간을 벌어주는 가장 중요한 조치입니다. 이 신고 시한과 구체적인 대응 절차는 이어지는 12강에서 더 자세히 다룹니다.