녹음은 합법인데 저장은 아닐 수 있다

부스에서 상담 하나가 잘 끝났다. 방문객이 명함을 놓고 갔다. 카운터 위 기기는 그 8분을 통째로 파일로 남겼다. 여기까지는 전시장에서 흔한 장면이다. 흔하지 않은 건 여기 걸리는 법이 하나가 아니라는 점이다.

부스 상담 녹음 동의를 한 덩어리로 묻는 사람이 많다. 녹음해도 되냐는 질문 하나면 끝난다고 본다. 한국 법은 그 질문을 둘로 쪼개서 받는다. 녹음이라는 행위를 규율하는 법과 그 결과물을 규율하는 법이 다르다. 답이 나오는 자리도 다르다.

이 글은 법률 자문이 아니라 일반 정보다. 게시일 기준으로 공개된 법령과 규제기관 자료를 정리했다. 녹음을 규율하는 법은 나라마다 다르고, 대면 대화인지 전화인지에 따라 또 다르다. 바뀌는 속도도 빠르다. 녹음하기 전에 자기 상황은 자격 있는 변호사에게 확인해야 한다.

관할 범위. 이 글은 대한민국 법령만 다룬다. 미국 네바다·캘리포니아와 EU를 나란히 놓은 비교는 관할별로 갈라지는 부스 녹음 규정에 있다. 여기서는 국내 법 세 개가 어떻게 층을 이루는지만 본다.

부스 상담 녹음 동의는 하나가 아니라 세 개의 동의다. 첫째는 대화를 녹음해도 되느냐다. 이 층을 규율하는 법이 통신비밀보호법이다. 이 법이 금지하는 것은 공개되지 아니한 타인간의 대화를 녹음하는 행위다(제3조제1항, 제14조제1항, 시행 2025. 8. 1.). 둘째는 그 녹음을 남기고 써도 되느냐다. 이 층은 개인정보 보호법이 받는다. 목적과 항목과 보유 기간과 거부권을 먼저 알린 뒤에 동의를 받아야 한다. 동의 없이 처리할 수 있는 개인정보라는 입증책임은 사업자가 진다(제15조제1항·제2항, 제22조제3항, 시행 2025. 10. 2.). 셋째는 상담이 끝난 뒤 보내는 광고성 메일과 문자다. 정보통신망법 제50조제1항이 수신자의 명시적인 사전 동의를 요구한다(시행 2026. 7. 7.). 첫 층을 통과해도 둘째 층은 따로 통과해야 한다. 둘째 층을 통과해도 셋째 층은 또 따로다. 부스에서 터지는 자리는 대개 첫 층이 아니다. 둘째 층과 셋째 층이다. 시행일도 제각각이다. 한 번 만들어 둔 고지문이 계속 맞는다는 보장이 없다. 통신비밀보호법은 2025년 8월, 개인정보 보호법은 2025년 10월, 정보통신망법은 2026년 7월에 각각 현행 조문이 시행됐다. 부스 안내판을 쓰는 사람이 확인할 것은 녹음이라는 단어 하나가 아니라 이 세 층이 각각 요구하는 내용이다.

부스에서 오간 대화를 녹음해도 되나

직원이 방문객과 마주 앉아 대화를 나눈다. 그 직원 쪽에서 녹음하는 경우는 통신비밀보호법이 금지하는 유형에 들어가지 않는다. 금지 대상이 공개되지 아니한 타인간의 대화이기 때문이다. 직원은 그 대화의 당사자다. 같은 카운터에 놓인 기기가 직원이 끼지 않은 대화까지 담기 시작하면 사정이 완전히 달라진다.

이 두 문장은 늘 붙어 다녀야 한다. 앞의 절반만 떼어 읽으면 위험한 결론이 나온다. 방문객 둘이 카운터 옆에 서서 자기들끼리 이야기한다. 그동안 기기가 계속 켜져 있었다면 타인간의 대화를 녹음한 것이다. 통신비밀보호법 제16조제1항이 여기 붙는다. 형량은 1년 이상 10년 이하의 징역과 5년 이하의 자격정지다. 바닥이 벌금이 아니라 징역이다. 같은 조 제1항제2호는 그렇게 알게 된 대화 내용을 공개하거나 누설한 자를 따로 처벌한다. 전사본을 팀 채널에 붙이는 행위가 여기 닿는다.

부스 카운터는 정확히 이 경계 위에 놓인 가구다. 상담 자리에 앉은 사람의 말과 그 뒤 1미터에서 오가는 말이 같은 마이크로 들어온다. 부스에서 두 대화가 동시에 돌아갈 때 생기는 문제는 기록 품질만이 아니다. 어느 대화가 당사자 녹음이고 어느 대화가 아닌지가 파일 하나 안에서 섞인다. 항상 켜 두는 설계가 가장 편해 보이면서 가장 위험한 이유다.

통신비밀보호법이 금지하는 대화

제3조제1항의 문장은 이렇다. “누구든지 이 법과 형사소송법 또는 군사법원법의 규정에 의하지 아니하고는 우편물의 검열ㆍ전기통신의 감청 또는 통신사실확인자료의 제공을 하거나 공개되지 아니한 타인간의 대화를 녹음 또는 청취하지 못한다.” 제14조제1항이 같은 금지를 대화 쪽으로 다시 못 박는다. 조문은 국가법령정보센터에서 확인할 수 있다.

눈여겨볼 곳은 이 법이 무엇을 말하지 않았는가다. 제2조는 통신과 우편물과 전기통신과 당사자와 감청을 정의한다. 대화 자체는 정의하지 않는다. 제2조제4호가 정의한 당사자도 우편물과 전기통신에만 걸리고 대화에는 걸리지 않는다. 당사자 녹음을 허용한다고 적은 조문은 한국 법에 없다. 있는 것은 타인간의 대화를 금지한다는 조문뿐이다. 나머지는 그 금지의 바깥에 있을 뿐이다.

공개되지 아니한이라는 요건도 마찬가지다. 어떤 부스 대화가 여기 해당하는지 정해 주는 조문이 없다. 사방이 트인 통로 쪽 카운터와 벽 세 면이 막힌 상담실은 같은 부스 안에서도 조건이 다르다. 부스 고정형이 어디까지 잡고 어디서 멈추는지를 기하학으로 정리해야 하는 이유가 여기 하나 더 생긴다. 커버리지 경계가 곧 법적 판단이 갈리는 경계이기도 하다.

개인정보 보호법이 요구하는 네 가지 고지

녹음이 첫 층을 통과했다고 파일을 남길 수 있는 건 아니다. 목소리와 이름과 소속이 담긴 파일은 개인정보다. 개인정보 보호법 제15조제1항은 수집·이용의 적법 근거 일곱 가지를 둔다. 그중 제1호가 정보주체의 동의다. 동의를 근거로 삼는다면 제2항이 정한 네 가지를 빠짐없이 알린 뒤에 받아야 한다.

네 가지는 수집·이용 목적, 수집하려는 항목, 보유 및 이용 기간, 동의를 거부할 권리와 거부에 따른 불이익이다(시행 2025. 10. 2., 국가법령정보센터). 부스에 세워 둔 안내판 대부분이 첫 번째만 적어 두고 나머지 셋을 빠뜨린다. 녹음 중이라는 사실은 항목도 기간도 거부권도 아니다.

파일이 회사 밖으로 나가면 제17조제2항이 별도로 붙는다. 제공받는 자, 그 자의 이용 목적, 제공하는 항목, 그 자의 보유·이용 기간, 거부권과 불이익까지 다섯 가지를 알리고 다시 동의를 받아야 한다. 전사를 벤더 클라우드로 보내거나 파트너 CRM에 넘기는 구조라면 여기 걸린다. 기록 장비 업체에 물어야 할 질문에서 오디오를 어디서 처리하느냐가 첫 줄에 오는 이유가 이 조항이다.

제22조는 동의를 받는 방법을 규율한다. 제1항은 각각의 동의 사항을 구분해서 명확하게 인지할 수 있도록 알리라고 요구한다. 녹음 동의와 마케팅 동의를 한 체크박스로 묶는 방식이 여기서 막힌다. 제5항은 선택 동의를 거부했다는 이유로 서비스를 거절하는 것을 금지한다. 녹음에 동의하지 않은 방문객에게 상담을 못 해 준다고 말할 수 없다.

가장 날카로운 문장은 제22조제3항에 있다. “이 경우 동의 없이 처리할 수 있는 개인정보라는 입증책임은 개인정보처리자가 부담한다.” 방문객이 동의했다고 사업자가 믿는 것으로는 부족하다. 동의가 있었다는 사실, 또는 동의가 필요 없었다는 사실을 사업자가 증명해야 한다. 사흘 행사에서 수백 명이 지나간 뒤 그 증명을 어떻게 남길지가 실무의 전부다.

명함을 받았다는 것은 어디까지 동의인가

방문객이 명함을 건넸으니 연락해도 된다는 생각이 부스에서 가장 널리 퍼진 오해다. 국내 실무 해설에는 명함 교부를 일정 범위의 묵시적 동의로 보는 해석이 있다. 다만 그 해석에 조항 번호를 붙일 수는 없다. 2차 자료가 정리한 설명이다. 명함을 직접 다룬 조문은 개인정보 보호법에 없다.

범위를 생각해 보면 한계가 분명해진다. 명함에는 목적이 적혀 있지 않다. 보유 기간도 없다. 거부권 고지도 없다. 명함은 제15조제2항이 요구하는 네 가지 중 하나도 채우지 못한다. 상담 내용을 확인하려고 한 번 연락하는 것과 8분짜리 음성 파일을 6개월 보관하는 것은 같은 범위 안에 놓이지 않는다.

명함이 실무에서 그렇게 강하게 작동하는 건 다른 이유 때문이다. 명함은 남는데 그 사람과 무슨 이야기를 했는지는 안 남는다. 비어 있던 메모 칸이 그 자리를 그대로 보여 준다. 맥락이 사라진 상태에서 명함만 쌓이면 그 명함을 근거로 뭐라도 보내고 싶어진다. 동의의 범위를 넓혀 해석하고 싶은 압력이 거기서 나온다. 입증책임이 사업자에게 있다는 제22조제3항을 다시 읽어야 하는 지점이다.

세 법을 한 표로

세 법이 규율하는 대상이 다르다. 요구하는 동의의 모양도 다르다. 부스 운영을 동의서 한 장으로 묶으려는 시도가 매번 실패하는 이유가 여기 있다. 조항 번호와 시행일을 붙여 나란히 놓으면 각 층이 부스에서 무엇을 뜻하는지가 분리된다. 조문 원문은 모두 국가법령정보센터에 있다.

표의 세 번째 줄은 오해를 부르기 쉽다. 제25조제5항은 고정형 영상정보처리기기 운영자에게 녹음기능을 쓸 수 없다고 못 박는다. 예외도 형량 비교도 없다. 이 조는 영상기기를 규율하므로 카메라 없는 음성 전용 기기는 그 규율 바깥에 놓인다. 바깥에 있다는 말은 허용된다는 말과 다르다. 한국이 공개된 장소의 고정 기기를 두고 입법한 유일한 자리에서 마이크를 통째로 금지했다는 사실이 남는다. 음성 전용 기기는 그 대신 제15조의 일반 수집 규칙 위에 선다.

정보통신망법 제50조제3항은 조건 하나를 더 건다. 오후 9시부터 오전 8시 사이에 광고성 정보를 보내려면 별도의 사전 동의를 받아야 한다. 상담 동의, 마케팅 동의, 야간 발송 동의가 각각 다른 동의다.

표준지침에는 전시장이 없다

여기서 우리가 직접 확인한 것을 하나 적어 둔다. 개인정보보호위원회의 개인정보보호지침, 곧 표준지침은 개인정보보호위원회훈령 제115호로 시행 2024. 4. 30. 자다. 전문을 받아 검색어 다섯 개를 걸었다. 전시 0회, 이벤트 0회, 녹음 0회, 음성 0회다. 행사는 4회 나오는데 전부 권리행사라는 단어의 일부였다.

한국의 표준 개인정보 지침은 전시회 부스라는 상황을 다루지 않는다. 이건 자료를 못 찾았다는 말이 아니다. 그 자리가 비어 있다는 확인이다. 부스 운영자가 참고할 공식 지침을 찾지 못했다면 검색을 잘못한 게 아니다. 지침에 그 항목이 없다.

빈자리는 판단이 사업자에게 넘어온다는 뜻이기도 하다. 제22조제3항의 입증책임과 겹쳐 읽으면 무게가 분명해진다. 기준을 알려 주는 지침은 없고 증명 책임은 사업자에게 있다. 부스에서 무엇을 어떻게 고지했는지를 기기가 아니라 운영 기록으로 남겨야 하는 이유다.

표시등을 끄지 못하게 만든 이유

우리가 만드는 부스 고정형 기기에는 켜져 있는 동안 꺼지지 않는 녹음 표시등이 있다. 소프트웨어로도 못 끈다. 이 설계는 법을 지키게 해 주는 장치가 아니다. 표시등이 있다고 처리가 적법해지지 않는다. 적법성은 제15조와 제22조가 요구하는 고지와 동의에서 나온다. 그 증명은 사람과 문서가 한다.

표시등이 하는 일은 좁다. 대화가 시작되기 전에 기기가 무슨 상태인지 방문객이 눈으로 보게 만든다. 끄는 스위치가 없는 표시등은 그 상태를 직원의 기억이나 성실성에 맡기지 않는다. 사흘째 오후의 직원은 고지를 잊는다. 기기는 안 잊는다.

같은 이유로 착용하지 않는 기기를 골랐다. 몸에 붙은 마이크는 직원을 따라 통로로, 옆 부스로, 저녁 리셉션으로 간다. 그 자리들은 고지를 걸 문턱이 없는 자리다. 카운터에 고정된 기기는 자기가 겨눈 자리 바깥으로 나가지 않는다. 규율이 쉬워서가 아니라 경계가 그려져서다.

법을 먼저 읽고 설계를 나중에 한 게 아니다. 순서는 반대였다. 아무도 아무것도 착용하지 않고 아무것도 누르지 않는다는 제약을 먼저 정했다. 그 제약이 남긴 물건을 한국 법 세 개에 대 봤다. 걸리는 자리는 기기가 아니라 운영에 있었다. 고지문을 누가 쓰고, 방문객이 그걸 언제 보고, 동의가 있었다는 증거를 어디에 남기는가.

세 층을 다시 짚는다. 녹음이라는 행위는 통신비밀보호법이 본다. 파일을 남기고 쓰는 일은 개인정보 보호법이 본다. 상담 뒤에 보내는 메일은 정보통신망법이 본다. 첫 층을 통과했다는 안도감이 나머지 둘을 가리는 순간이 부스에서 가장 자주 일어나는 실수다. 조항 번호와 시행일을 붙여 둔 이유가 그거다. 이 글은 2026년 8월 28일 기준이고, 법은 그 뒤에도 바뀐다.