개인정보의 보유기간이 끝나거나 처리 목적이 달성되어 정보가 불필요해지면 개인정보 보호법은 지체 없는 파기를 원칙으로 합니다. 다만 다른 법령에 따라 보존해야 하는 경우는 예외이며, 그 개인정보는 다른 개인정보와 분리해 저장·관리해야 합니다.
따라서 ‘보존 기간이 있다’는 말만으로 전체 고객 정보를 원래 서비스 데이터와 함께 계속 쓰는 것은 설명되지 않습니다. 무엇을 어떤 법적 근거로 보존하는지와 분리·접근 범위를 각각 확인하세요. 이 예시는 교육용이며 특정 거래 기록의 적용 법률이나 보존 기간을 자문하지 않습니다.
불필요해진 정보는 파기가 기본입니다
서비스 탈퇴를 받은 뒤에도 과거 주문 기록 중 일부를 법적 의무 때문에 남겨야 하는 상황을 생각해 보겠습니다. 개인정보 보호법 제21조는 보유기간 경과, 처리 목적 달성 등으로 개인정보가 불필요해졌을 때 지체 없이 파기하도록 합니다. 단서로 다른 법령에 따라 보존해야 하는 경우를 두며, 이때 해당 개인정보 또는 개인정보파일을 다른 개인정보와 분리해 저장·관리해야 합니다. 이 구조는 ‘파기 원칙’과 ‘다른 법률상 보존’이 함께 존재한다는 뜻입니다. 모든 계정 정보를 원래 서비스 이용 데이터와 같은 방식으로 계속 사용하는 허가로 읽으면 안 됩니다. 문제를 풀 때는 보존 대상, 근거, 기간, 저장 분리, 이용 목적을 각각 확인해야 합니다.
탈퇴한 고객 기록을 세 묶음으로 나눕니다
| 기록 묶음 | 가정된 상태 | 점검할 처리 | 결론 범위 |
|---|---|---|---|
| 서비스 계정 설정 | 목적 달성, 별도 보존 근거 미제시 | 파기 대상인지 확인 | 계속 보유할 근거가 없으면 파기 원칙 검토 |
| 법률상 보존 대상일 수 있는 거래기록 | 다른 법령 적용 가능성이 문제에 제시됨 | 정확한 법률·기록 항목·기간 확인 | 다른 데이터와 분리해 보존 여부 확인 |
| 탈퇴 후 판촉용 연락처 목록 | 별도 보존 근거와 목적 없음 | 불필요 여부와 추가 이용 여부 확인 | 보존 예외로 판촉을 정당화할 수 없음 |
두 번째 행에서 ‘다른 법률 때문’이라는 가정만으로 구체적인 기간이나 항목을 만들어서는 안 됩니다. 실제 기록 종류에 따라 적용 법령과 보존 기간이 달라질 수 있으므로 문제에서 해당 근거를 제시했는지 확인합니다. 법 제21조가 요구하는 분리는 단순히 파일 이름만 바꾸는 것이 아니라 보존 대상이 일반 이용 데이터와 구별되어 관리되는지를 묻습니다. 누가 접근할 수 있는지, 어떤 목적으로 이용되는지, 보존 종료 후 어떤 파기 절차를 따르는지 역시 점검 질문입니다. 여기서는 개별 분야 법률의 기간을 나열하지 않고, 보존 예외를 판단하는 구조에만 집중합니다.
보유 상태를 다섯 단계로 점검합니다
- 처리 목적이 아직 남아 있는지 또는 보유기간이 끝났는지 확인합니다.
- 불필요해졌다면 파기 원칙을 적용할지 판단합니다.
- 다른 법령상 보존 근거가 문제에 명시됐는지 확인하고 대상 항목과 기간을 특정합니다.
- 파기하지 않고 보존하는 자료를 일반 개인정보와 분리해 저장·관리하는지 확인합니다.
- 보존 목적이 끝난 뒤 복구·재생이 불가능하도록 파기하는지 점검합니다.
처리방침의 보유기간을 읽을 때도 기간 숫자만 보지 마세요. 개인정보 보호법 제30조는 처리방침에 개인정보 처리 및 보유 기간, 제21조제1항 단서에 따라 보존해야 하는 경우의 보존 근거와 보존 항목 등을 포함하도록 합니다. 이는 보존 근거가 있으면 기록의 범위와 이유를 알 수 있게 해야 한다는 점을 연결해 줍니다. 다만 처리방침 문구에 근거를 적었다고 실제 데이터 분리나 접근 통제가 자동으로 이루어졌다고 증명되는 것은 아닙니다. 문서의 설명과 시스템의 실제 보관·이용 상태를 구별하세요.
보존 의무를 원래 목적의 연장으로 바꾸지 않습니다
자주 나오는 실수는 일부 거래기록 보존 의무가 있다는 이유로 탈퇴 계정 전체를 계속 활용할 수 있다고 추론하는 것입니다. 보존할 항목과 목적은 법률이 요구하는 범위에 맞춰 한정해야 합니다. 반대 방향의 오류는 목적이 끝난 개인정보는 예외 없이 당장 지워야 하므로 다른 법률의 보존 의무도 무시해도 된다고 말하는 것입니다. 제21조는 두 조건을 함께 둡니다. 문제에 다른 법령상 근거가 명시되어 있지 않다면 임의로 예외를 만들어 넣지 말고, 근거 확인이 필요하다고 답하세요.
파기 대상과 분리 보존 대상을 각각 답합니다
복습할 때 기록을 ‘목적이 남은 정보’, ‘불필요해져 파기할 정보’, ‘다른 법률에 따라 분리 보존할 정보’로 나누세요. 한 데이터셋에 여러 유형이 섞이면 보존 예외가 적용되는 부분만 특정하고 나머지는 별도로 판단합니다. 파기 여부와 분리 저장 여부는 한 가지 질문이 아닙니다. 보존 근거를 말한 뒤 분리 관리 조치까지 덧붙여야 완전한 답이 됩니다. 보존 기간과 대상이 문제에 주어지지 않았다면 숫자를 추측하지 않는 것도 핵심입니다.
정답을 가리고 확인해 보세요
이 글을 위해 만든 학습 예시이며 공식 기출문제나 판매 카드의 인용이 아닙니다.
서비스 탈퇴 후 일부 거래기록을 다른 법령에 따라 보존해야 한다고 문제에 명시되어 있다. 제21조 기준으로 어떤 처리와 관리 조건을 답해야 하며, 무엇을 일반 고객 데이터와 함께 둘 수 있다고 추론하면 안 되나요?
정답과 해설 확인
보존 대상과 법적 근거·기간을 특정하고, 보존 자료를 다른 개인정보와 분리해 저장·관리해야 합니다. 이 예외를 탈퇴 계정 전체의 계속 이용이나 판촉 목적 사용 허가로 확대해서는 안 됩니다.제21조는 불필요해진 개인정보의 지체 없는 파기를 원칙으로 하고 다른 법령상 보존을 예외로 둡니다. 예외에 따라 파기하지 않는 자료도 다른 개인정보와 분리해 관리해야 합니다.