내 메일 주소로 스팸 메일이 온다면: 주소 판 곳 찾는 5단계

내 메일 주소로 스팸 메일이 올 때, 누가 주소를 팔거나 유출했는지 확실히 알아낼 수 있는 경우는 그 회사에만 준 주소를 썼을 때뿐입니다. 여러 해 동안 써 온 주 이메일 주소라면 보통 범위를 좁힐 수는 있어도 범인을 특정할 수는 없습니다. 그 주소는 수십 곳의 고객 데이터베이스에 들어 있고, 스팸 메일 한 통이 주소를 내보낸 곳을 거꾸로 가리키는 일은 드물기 때문입니다. 알아낼 수 있는 것은 누가 어떤 서비스를 통해 메일을 보내는지, 알려진 유출 사고에서 어느 회사가 내 주소를 유출했는지, 그리고 EU와 영국에서는 회사가 내 주소를 어디서 얻었다고 말하는지입니다. iPhone, iPad, Mac용 CatchNone은 회사마다 다른 주소를 쓰는 방식을 기본으로 만들어 줍니다. 메시지마다 도착한 별칭이 배지로 표시되므로, 다음 유출은 그 출처를 스스로 가리킵니다.

순서는 다음과 같습니다.

1. 처음 받은 원치 않는 메일을 찾고, 그 메일이 도착한 정확한 주소를 확인하세요.
2. 헤더를 읽어 보낸 곳과 그곳이 쓰는 메일 발송 서비스를 파악하세요.
3. Have I Been Pwned에서 그 주소가 포함된 유출 사고가 있는지 확인하세요.
4. 보낸 곳에는 내 주소를 어디서 얻었는지, 의심 가는 회사에는 내 주소를 어느 회사들에 넘겼는지 물어보세요.
5. 앞으로는 회사마다 각각 다른 주소를 주세요.

내 이메일 주소를 판 곳을 알아낼 수 있을까?

경우에 따라 가능합니다. 어떤 증거가 있느냐에 달려 있습니다.

• 헤더는 누가 어떤 서비스를 통해 메일을 보냈는지 보여 줍니다(DKIM 서명이 통과되면 어느 도메인이 서명했는지 증명됩니다). 명단이 어디서 왔는지는 보여 주지 않습니다.
• 유출 기록은 한 회사에서 내 주소가 유출되었다는 것을 증명하지만, 다른 회사의 가능성을 배제하지는 않습니다.
• 법에 근거한 요청을 하면, 회사가 출처를 알고 있는 경우 아는 내용을 밝히게 할 수 있습니다(캘리포니아에서는 범주로만).
• 한 회사에만 준 무작위 주소는 출처를 곧바로 가리킵니다. 그 주소로 다른 곳에서 메일이 오면, 판매든 공유든 도난이든 그 회사에서 주소가 나갔다는 뜻입니다.

스팸 메일이 갑자기 쏟아지는 데는 다른 이유가 있을 수 있습니다. 스팸 메일이 갑자기 늘어나는 이유를 참고하세요. 애초에 주소가 판매, 유출, 수집, 추측을 통해 어떻게 퍼지는지는 스패머가 이메일 주소를 알아내는 방법에서 설명합니다.

1단계: 처음 온 메일과 그 메일이 도착한 주소 찾기

낯선 보낸 사람을 검색해 가장 오래된 결과를 찾으세요. 첫 메일이 주소가 다른 손에 넘어간 시점에 가장 가깝습니다. 그 메일이 정확히 어느 주소로 왔는지, 인사말에서 나를 어떻게 부르는지 확인하세요. 한 번만 썼던 옛 주소나 오타가 난 주소, 주소에 +tag를 붙인 변형, 한 가입 양식에서만 잘못 적힌 이름, 한 회사만 알던 정보는 모두 출처를 가리킵니다.

EU와 영국에서는 첫 메일의 하단 문구와 개인정보 처리방침 링크도 읽어 보세요. GDPR 제14조에 따르면, 다른 곳에서 개인정보를 얻은 회사는 “개인정보가 어느 출처에서 비롯되었는지”를 알려야 합니다. 그 정보로 연락한다면 기한은 “늦어도 첫 연락 시점”입니다. 첫 메일에 수집 출처가 없었다면 4단계 요청에서 그 점을 지적하세요.

2단계: 이메일 헤더 확인하기

헤더는 메일 위에 숨겨진 여러 줄의 정보입니다. 헤더에는 보낸 곳과 메일을 실어 나른 서비스가 나오므로, 4단계에서 누구에게 연락할지 알 수 있습니다.

헤더를 보는 방법

각 업체 도움말 페이지에 나온 경로입니다(2026년 9월 기준).

Gmail의 지름길도 있습니다. 웹에서 보낸 사람 이름 아래의 아래쪽 화살표를 클릭하면 메일을 보낸 도메인과 서명한 도메인인 ‘Mailed by’(발송 도메인)와 ‘Signed by’(서명 도메인)를 볼 수 있습니다.

실제 예시

설명을 위해 일부만 남긴 가상의 헤더입니다. 내 주소는 k7qm-2xrd@example.com으로, 원예용품점 한 곳에만 준 무작위 주소입니다. 브랜드는 dealsdaily.example.net이고, mailer.example.org는 이 브랜드가 쓰는 메일 발송 서비스입니다.

Delivered-To: k7qm-2xrd@example.com
Received: from out-7.mailer.example.org (out-7.mailer.example.org [192.0.2.25])
        by mx.example.com; Thu, 24 Sep 2026 09:14:02 +0000
Return-Path: <bounce-7f3a@mailer.example.org>
Authentication-Results: mx.example.com; dkim=pass header.d=mailer.example.org
DKIM-Signature: v=1; a=rsa-sha256; d=mailer.example.org; s=s1; ...
From: Deals Daily <news@dealsdaily.example.net>
To: k7qm-2xrd@example.com
List-Id: Weekly offers <weekly.dealsdaily.example.net>
List-Unsubscribe: <https://unsub.mailer.example.org/u/abc123>

이 예에서 보낸 곳은 mailer.example.org를 통해 메일을 보내는 Deals Daily이고, 메일이 도착한 주소는 원예용품점에만 준 무작위 주소입니다. 따라서 주소는 원예용품점에서 나갔습니다. Deals Daily가 그 주소를 어떻게 얻었는지는 헤더로 알 수 없습니다. 헤더는 보낸 곳을 알려 줄 뿐, 판 곳은 절대 알려 주지 않습니다. ICANN Lookup에서 낯선 도메인의 등록 정보를 볼 수 있지만, 소유자 정보는 대부분 가려져 있습니다.

3단계: 회사의 유출 사고로 주소가 새었는지 확인하기

Have I Been Pwned(HIBP)에서는 어떤 유출 사고와 스팸 리스트에 주소가 들어 있는지 볼 수 있습니다. 2026년 9월 25일 기준으로 유출된 웹사이트 1,038곳과 178억 개가 넘는 유출 계정이 올라 있습니다(여러 유출 사고에 들어 있는 주소는 사고마다 한 번씩 셉니다).

• 유출 사고 항목에는 데이터를 유출한 서비스와 시기가 나옵니다. 그 직후에 스팸 메일이 오기 시작했다면 유력한 단서입니다.
• 스팸 리스트 항목은 표적형 스팸 메일에 쓰이는 데이터에서 내 주소가 발견되었다는 뜻입니다. 이런 리스트는 “여러 출처에서 취합된 경우가 많아서” 원래 회사가 드러나는 일은 드뭅니다. 페이스트(paste) 사이트에서 나온 항목이나, HIBP가 조작되었거나 검증되지 않았다고 표시한 유출 사고는 더 약한 단서입니다.
• 민감한 유출 사고는 로그인한 뒤 그 주소로 메일을 받는다는 것을 인증해야만 표시됩니다.

아무것도 나오지 않았다면 HIBP에 등록된 유출 사고에 그 주소가 없다는 뜻일 뿐, 아무도 주소를 팔지 않았다는 뜻은 아닙니다. 무료 Notify Me(알림 신청) 알림을 켜 두세요. 내 도메인에서 회사마다 다른 주소를 쓴다면, 도메인을 인증한 뒤 Domain Search(도메인 검색)에서 어느 주소가 어느 유출 사고에 들어 있는지 볼 수 있습니다(규모가 큰 도메인은 보통 구독이 필요합니다). 예전 가이드에서 권하던 Google의 다크 웹 보고서는 2026년 초에 종료되었습니다.

4단계: 회사에 직접 물어보기

EU와 영국: 어디서 왔는지, 어디로 갔는지 묻기

개인정보 열람권을 이용하면 두 회사에 두 가지 질문을 할 수 있습니다.

• 보낸 곳에는 내 주소를 어디서 얻었는지 물어보세요. GDPR 제15조 제1항 (g)호는 “그 출처에 관한 모든 가용 정보”를 받을 권리를 보장합니다. 유럽 데이터 보호 이사회가 승인한 투명성 지침은 다른 곳에서 개인정보를 얻은 회사가 불가능한 경우가 아니라면 구체적인 출처를 밝혀야 한다고 설명합니다.
• 의심 가는 회사에는 내 주소를 어느 회사들에 넘겼는지 물어보세요. 제15조 제1항 (c)호와 관련해 EU 사법재판소는 Österreichische Post 사건(C-154/21)에서, 아직 수령인을 특정할 수 없거나 요청이 명백히 근거가 없거나 과도한 경우가 아니라면 회사는 요청을 받았을 때 실제 수령인을 밝혀야 한다고 판결했습니다. 영국의 개인정보 감독기관인 ICO도 UK GDPR에 따라 같은 입장입니다.

어느 요청도 판 곳을 반드시 밝히게 하지는 못합니다. 회사는 모른다고 하거나, 여러 출처에서 데이터를 얻었다고 답할 수 있습니다(전문 제61항). 다만 얼버무리는 답변은 민원을 제기할 근거가 됩니다. 각 회사의 개인정보 처리방침에 나온 연락처를 사용하되, 노골적인 스패머에게는 보내지 마세요. 연락하면 내 주소가 실제로 쓰인다는 것을 확인해 주는 셈입니다.

그대로 복사해 쓸 수 있는 개인정보 열람 요구서입니다(의심 가는 회사에 보낼 때는 4번 항목을 빼세요).

제목: GDPR 제15조에 따른 개인정보 열람 요구

GDPR(또는 UK GDPR) 제15조에 따라, 제 이메일 주소 you@example.com에 관해 다음 사항을 알려 주시기 바랍니다.

1. 이 주소를 어디서 얻었는지, 구체적인 출처(제15조 제1항 (g)호)
2. 이 주소를 제공한 수령인의 이름(제15조 제1항 (c)호)
3. 저에 관해 보유하고 있는 개인정보와 그 사본
4. [날짜]에 제게 보낸 첫 메일에서 그 출처를 밝히지 않은 이유(제14조 제2항 (f)호 및 제14조 제3항 (b)호)

또한 직접 마케팅에 반대합니다(제21조). 한 달 이내에 답변해 주시기 바랍니다(제12조 제3항).

[이름]

답변은 보통 무료입니다(기한은 아래 표에 있습니다). 직접 마케팅에 반대하면, 그 뒤로는 내 데이터를 직접 마케팅에 쓸 수 없습니다.

영국에서 답변이 없거나 얼버무리는 답변이 왔다면 먼저 회사에 불만을 제기하세요. 2026년 6월 19일 이후 제기된 불만에 대해서는 Data (Use and Access) Act(데이터 이용 및 접근법)에 따라 회사가 30일 이내에 접수를 확인해야 합니다. 그다음 회사와 마지막으로 의미 있는 연락을 한 날로부터 3개월 이내에 ICO에 민원을 제기하세요. EU에서는 제77조에 따라 데이터 보호 감독기관에 민원을 제기할 수 있습니다.

미국: 캘리포니아와 오리건

캘리포니아의 CCPA “알 권리” 요청을 하면 출처의 범주와 제3자의 범주, 그리고 보유 중인 개인정보를 받을 수 있지만, 누가 주소를 팔았는지는 알 수 없습니다. 답변은 무료입니다. 기업에 내 데이터의 판매나 공유를 중단하라고 요구하거나, 나에게서 수집한 정보를 삭제하라고 요청할 수도 있습니다. 이 법은 연 매출 26,625,000달러 초과처럼 정해진 기준을 넘는 기업에만 적용됩니다(2026년 9월 기준).

오리건에 산다면, 오리건 개인정보 보호법이 적용되는 회사는 요청을 받으면 데이터를 제공한 구체적인 제3자의 목록을 알려야 합니다. 다만 내 데이터가 아니라 어떤 개인정보든 받은 제3자의 목록을 줄 수도 있습니다(ORS 646A.574). 이런 권리는 주법에서 나오므로, 요청할 수 있는 내용은 사는 곳에 따라 다릅니다.

캘리포니아 주민은 삭제 요청 및 옵트아웃 플랫폼(Delete Request and Opt-out Platform)인 DROP으로 등록된 모든 데이터 브로커에 삭제 요청을 한 번에 보낼 수도 있습니다. DROP은 2026년 1월 1일에 열렸고, 2026년 8월 1일부터 브로커는 최소 45일마다 요청을 처리해야 합니다. DROP이 닿는 곳은 데이터 브로커, 즉 나와 직접적인 관계가 없는 기업뿐이며, 내가 주소를 알려 준 쇼핑몰은 해당하지 않습니다.

캘리포니아, 버몬트, 텍사스, 오리건의 데이터 브로커 등록부는 누구나 검색할 수 있습니다. 보낸 곳의 회사 이름과 2단계에서 찾은 도메인으로 검색해 보세요. 일치하는 항목이 있으면 보낸 곳이 등록된 데이터 브로커라는 뜻이며, 캘리포니아에 산다면 DROP이 닿는 기업 중 하나입니다.

요청별로 받을 수 있는 것

어디서나: 메일 발송 서비스

DKIM-Signature d=, Return-Path, List-Unsubscribe에 나오는 메일 발송 서비스에는 자체 규칙이 있습니다. 예를 들어 Mailchimp의 이용 정책(Acceptable Use Policy)은 “구매, 임대, 제3자, 공동 등록(co-reg), 공개 데이터, 파트너 리스트 등 어떤 종류든” 그런 리스트로 보내는 것을 금지하고, 악용 신고 창구는 “전체 이메일 헤더”를 요구합니다(둘 다 2026년 9월 25일 확인). 서비스의 악용 신고 창구에 전체 헤더를 보내세요. 누가 주소를 팔았는지 알려 주지는 않지만, 보낸 곳이 그 서비스를 쓰지 못하게 막을 수 있습니다.

출처를 알아낸 뒤 할 일

• 그 주소는 그만 쓰세요. 주소를 유출한 회사에는 새 주소를 주거나 계정을 해지한 다음, 예전 주소를 끄거나 삭제하세요. 열람 요구에 대한 답변을 받을 때까지는 예전 주소를 살려 두세요. 답변이나 본인 확인 메일이 그 주소로 올 수 있습니다. 주 이메일 주소라면 필터를 사용하세요.
• 메일이 멈추게 하세요. 제21조에 따른 반대 의사를 보내거나(EU, 영국), 정상적인 미국 발신자라면 수신거부하거나, 판매·공유를 거부하고 DROP을 이용하세요(캘리포니아). 전에 수신거부가 통하지 않았다면 수신거부가 통하지 않는 이유를 읽어 보세요.
• 신고하세요. 미국에서는 ReportFraud.ftc.gov에서, 영국에서는 ICO의 스팸 메일 신고 도구로(개별 회신은 하지 않습니다), 또는 메일 발송 서비스의 악용 신고 창구에 신고하고, 메일 앱에서 스팸 메일로 표시하세요.
• 유출 사고였다면 계정 보안도 강화하세요(자주 묻는 질문 참고).

회사는 내 이메일 주소를 팔까? 그건 합법일까?

그렇습니다. 파는 회사도 있습니다. FTC에 따르면 “회사에 이메일 주소를 알려 주면, 회사가 그 주소를 제3자와 공유하거나 제3자에게 팔 수도 있습니다.” 미국에서는 연방법상 수신을 거부하기 전까지 허용됩니다. 영국과 EU에서는 회사가 구매한 리스트로 메일을 보내려면 내 동의가 필요하고, 영국에서는 리스트를 팔 때도 일반적으로 동의가 필요합니다.

• 미국: 연방법인 CAN-SPAM에 따르면 회사가 마케팅 메일을 보내는 데 동의가 필요하지 않습니다. 수신을 거부하면 회사는 영업일 기준 10일 안에 발송을 멈춰야 하며, 내 주소를 팔거나 넘길 수 없습니다. 캘리포니아는 여기에 판매 거부권을 더합니다. 캘리포니아법의 “판매”에는 임대나 “그 밖의 가치 있는 대가”를 받고 데이터를 제공하는 것도 포함되므로, 돈이 오가지 않는 파트너와의 교환도 판매에 해당할 수 있습니다. “공유”는 교차 맥락 행동 광고(cross-context behavioral advertising)를 가리키는 별도 용어입니다.
• 영국: 개인정보 및 전자통신 규정(PECR)에 따르면, 회사는 구매한 리스트에 있는 사람들이 그 회사로부터 “그런 종류의 메시지를 받는 데 명시적으로 동의한” 경우에만 메일을 보낼 수 있습니다. 아무 제3자에게나 해당하는 포괄적 동의로는 충분하지 않으며, 리스트를 팔려면 일반적으로 리스트에 있는 사람들의 동의가 필요합니다(ICO 지침, Data (Use and Access) Act 이후 재검토 중). 직장 이메일 주소에는 다른 규칙이 적용됩니다.
• EU: ePrivacy 지침은 “사전 동의”가 있을 때만 마케팅 메일을 허용합니다. 예외는 판매자가 자기 고객에게 비슷한 상품을 홍보하는 경우인데, 리스트를 산 회사는 이 예외를 쓸 수 없습니다.

플러스 주소 트릭이 약한 증거인 이유

“Gmail 트릭”은 you@example.com 대신 you+shopname@example.com처럼 태그를 붙인 주소로 가입하고, 어떤 태그가 스팸 메일에 나타나는지 지켜보는 방법입니다. Google의 설명에 이미 약점이 드러나 있습니다. “현재 주소나 더하기 기호를 붙인 모든 변형 주소로 보낸 메일은 모두 현재 받은편지함에 도착합니다.”

• 실제 주소가 그대로 드러납니다. 태그를 지워도 메일은 그대로 도착하고, 증거는 사라집니다.
• 보내는 쪽에게 태그는 아무 의미가 없습니다. @ 앞부분을 해석하는 것은 내 메일 제공업체뿐이며(RFC 5321, §2.3.11), 구분 기호도 시스템마다 다릅니다(RFC 5233).
• 생각보다 증명하는 것이 적습니다. 태그를 붙인 주소로 스팸 메일이 오면 그 회사에서 주소가 나갔다는 것은 알 수 있지만, 판매인지 공유인지 유출인지는 알 수 없습니다. 태그 붙은 스팸 메일이 오지 않는다고 누군가의 혐의가 벗겨지는 것도 아닙니다. 그냥 태그를 지웠을 수도 있습니다.

한 회사에는 your.name, 다른 회사에는 yo.urname으로 가입하는 점 트릭은 더 약합니다. 개인 계정 주소에서는 Gmail이 점을 무시하므로 누구나 점을 지울 수 있습니다(직장 또는 학교 계정에서는 점이 구분됩니다). 그래도 플러스 주소(이름+태그@)는 필터링에는 여전히 유용합니다. 어디서 쓸 수 있는지는 플러스 주소 가이드에서 설명합니다.

5단계: 다음 유출은 주소가 스스로 알려 주게 하기

확실한 방법은 앞으로를 대비하는 것입니다. 회사마다 실제 주소가 들어 있지 않은 전용 주소를 주세요. 한 쇼핑몰에 준 주소로 다른 곳에서 메일이 오면 주소가 어디서 나갔는지 알 수 있고, 그 주소만 끌 수 있습니다.

• CatchNone은 회사마다 전용 별칭을 주고 모든 메시지에 도착한 별칭을 배지로 표시하므로, 헤더를 읽지 않아도 팔린 주소가 드러납니다. @catchnone.com 주소는 Premium이 필요하며, 내가 소유한 도메인은 무료 요금제에서도 쓸 수 있습니다.
• Apple의 나의 이메일 가리기(iCloud+에 포함), DuckDuckGo Email Protection, SimpleLogin, addy.io, Firefox Relay 같은 이메일 별칭 서비스는 메일을 평소 쓰는 받은 편지함으로 전달합니다. 차이점은 이메일 별칭 서비스 비교에서 설명합니다.
• 내 도메인의 캐치올(catch-all) 주소는 그 도메인의 어떤 주소로 온 메일이든 받으므로, 가입할 때마다 주소를 새로 지어 쓸 수 있습니다. 예를 들어 Cloudflare Email Routing(이메일 라우팅)은 무료 요금제와 유료 요금제에서 모두 쓸 수 있으며(2026년 9월 기준), 캐치올 규칙을 제공합니다. 장단점은 캐치올 이메일 주소란 무엇인가에서 확인하세요.

gardenshop@example.com처럼 추측하기 쉬운 주소는 스패머가 캐치올 주소로 지어낼 수 있으므로 무작위 주소를 쓰고, 어느 주소를 어디에 줬는지 기록해 두세요.

CatchNone: 메시지마다 도착한 주소를 표시

CatchNone은 5단계를 위해 만들어졌습니다. 쇼핑몰, 뉴스레터, 계정마다 전용 별칭을 주면, 앱의 모든 메시지에 그 메시지가 도착한 별칭이 배지로 표시됩니다. 원예용품점에만 준 주소로 모르는 곳에서 메일이 오면, 헤더를 읽지 않아도 배지가 주소가 나간 곳을 보여 줍니다. ‘활동’은 ‘사용 안 함’으로 표시한 별칭으로 온 메일과 처음 메일을 보낸 발신자를 짚어 주며, 유출된 @catchnone.com 주소는 끌 수 있습니다. 그러면 보낸 사람에게 메일이 반송되고, 다른 별칭은 계속 작동합니다.

Premium에서는 abcde-12345@catchnone.com 같은 무작위 @catchnone.com 주소를 도메인, DNS, 메일박스 설정 없이 쓸 수 있고, 숨은참조(Bcc)로 받은 메일도 어느 별칭으로 왔는지 구분됩니다. 또는 메일 제공업체가 이미 메일을 받은 편지함으로 배달하고 있는 내 도메인을 쓸 수도 있습니다. 앱은 내 기기에서 직접 IMAP 또는 JMAP으로 그 메일박스를 읽기 전용으로 읽으며, 무료 요금제에서는 별칭을 최대 10개까지, Lite와 Premium에서는 제한 없이 쓸 수 있습니다. CatchNone은 iPhone, iPad, Mac에서 사용할 수 있습니다.

CatchNone은 앞으로를 대비하는 도구이며, 이전에 쓰던 주소를 거슬러 올라가 추적하지는 못합니다. 유출 데이터베이스나 유출 감지 기능도 없습니다. 배지와 ‘활동’의 안내는 내가 직접 따져 볼 증거입니다. 내 도메인에서는 받은 편지함만 읽으며, 받는 사람(To), 참조(Cc), 숨은참조(Bcc)에 내 도메인의 주소가 있는 메일만 읽습니다. 따라서 정크 폴더로 분류된 스팸 메일은 나타나지 않습니다. 내 도메인에서 별칭을 ‘사용 안 함’으로 표시하면 라벨만 붙을 뿐이므로, 유출된 주소는 메일 제공업체에서 차단하세요. @catchnone.com 메시지는 도착 후 30일이 지나면 삭제되므로, 증거로 필요한 메시지는 플래그를 달아 전체 내용을 기기에 보관하세요.

자주 묻는 질문

회사가 내 이메일 주소를 유출했다면 어떻게 해야 할까?

Have I Been Pwned에서 주소를 조회해 어떤 유출 사고에 포함되었는지, 함께 유출된 정보가 무엇인지 확인하세요. 그 사이트의 비밀번호와, 같은 비밀번호를 재사용한 모든 곳의 비밀번호를 바꾸고 2단계 인증을 켜세요. 유출된 정보를 들먹이는 피싱 메일이 올 수 있으니, 유출 사고를 언급하는 메시지의 링크는 누르지 마세요. 그 회사에만 준 주소였다면 그 주소는 그만 쓰고 회사에 새 주소를 주세요.

LinkedIn이나 Google은 내 이메일 주소를 팔까?

두 회사 모두 개인정보를 판다고 하지는 않지만, LinkedIn은 교차 맥락 광고를 위해 개인정보를 공유한다고 밝힙니다. LinkedIn의 캘리포니아 개인정보 공시에는 “개인정보를 판매하지 않습니다”라고 적혀 있으며, 캘리포니아 주민은 그 공유를 거부할 수 있습니다. Google의 안전 센터에는 “Google은 누구에게도 사용자의 개인정보를 절대 판매하지 않습니다”라고 나와 있고, 개인정보처리방침(2026년 5월 26일 시행)에서는 명시된 경우에만 Google 외부와 개인정보를 공유하며 그 첫 번째가 사용자가 동의한 경우라고 설명합니다. 세 페이지 모두 2026년 9월 25일에 확인했습니다. 다른 회사는 방침을 직접 읽고 “판매”와 “공유”를 구분해서 보세요.

이메일 주소는 누가 살까?

데이터 브로커, 리스트 브로커, 마케터입니다. 위에서 소개한 주별 등록부에서 등록된 브로커를 볼 수 있습니다. 이런 거래는 공개적으로 이루어지기도 합니다. Österreichische Post 사건에서 오스트리아의 우편 사업자는 개인정보를 “마케팅 목적으로 거래 파트너에게” 제공한다고 밝혔고, 나중에는 “메일링 리스트 제공업체”를 포함한 수령인 목록을 내놓았습니다. 다만 이 사건은 이메일 주소가 아니라 우편 사업자가 보유한 데이터에 관한 것이었습니다.