이벤트 접수, 설문, 사전등록이 끝나면 담당자 PC와 공유 드라이브에는 비슷한 파일이 여러 개 남습니다. 신청자 명단 엑셀, 구글폼 응답 시트, 추첨용 사본, 대행사에 전달한 첨부파일처럼요.
동의서에는 개인정보 보유 기간을 적어두었지만, 실제 파일이 어디에 남아 있는지는 따로 정리하지 못한 경우가 많습니다. 이때 보유 기간은 “몇 개월로 썼는가”만의 문제가 아니에요. 그 기간이 끝났을 때 어떤 파일을, 누가, 어디까지 삭제할 수 있는지가 함께 맞아야 합니다.
이 글은 개인정보 보유 기간을 정할 때 확인할 기준과, 보유 기간이 끝난 뒤 파기까지 이어지도록 실무자가 남겨야 할 항목을 정리합니다. 기존 글의 침해 사례와 법적 기준은 유지하되, 폼 운영자가 바로 대입할 수 있는 순서로 다시 정리했어요.
개인정보 보유 기간 이해하기
개인정보를 수집하려면 먼저 동의받는 절차를 거칩니다. 이때 “개인정보 수집·이용 동의서” 안에는 어떤 개인정보를 왜 받는지, 그리고 얼마나 보관하는지를 함께 적어야 해요. 정보주체가 이 내용에 동의하면 담당자는 고지한 목적과 기간 안에서 개인정보를 보관할 수 있어요.
동의서에 보유 기간을 적는 이유는 단순히 문구를 채우기 위해서가 아닙니다. 나중에 접수 목적이 끝났을 때 “이 명단은 언제까지 보관하고, 언제 삭제해야 하는가”를 설명하기 위한 기준입니다.
예를 들어 세미나 신청자 명단은 행사 안내와 출석 확인이 끝나면 오래 보관할 이유가 줄어듭니다. 경품 발송 이벤트라면 배송, 문의 대응, 분쟁 처리에 필요한 기간을 별도로 봐야 할 수 있어요. 마케팅 수신 동의자는 광고 발송 동의일과 철회 기록을 따로 남겨두는 편이 좋습니다.
개인정보 보유 기간은 언제까지로 해야 할까?
보유 기간을 결정하는 기준은 ‘처리 목적을 위해 정말로 그 정보가 필요한지’입니다. 개인정보를 보관하려면 보관해야 하는 이유가 있어야 해요. 아무 근거 없이 터무니없이 긴 기간으로 동의받으면 안 됩니다. 구체적인 기간 없이 계속 보관하는 것도 적절하지 않습니다.
<개인정보 보호법 일부 발췌>
다만 개인정보 보호법 말고도 다른 법에서 특정 기록을 일정 기간 보관하도록 정한 경우가 있습니다. 예를 들어 결제와 관련된 기록은 5년, 소비자 불만 또는 분쟁 처리와 관련된 기록은 3년 동안 보관해야 하는 경우가 있어요. 그래서 보유 기간은 하나의 숫자로만 정하기보다 수집 목적, 보관 근거, 실제 운영 방식을 함께 확인해 두는 편이 안전합니다.
일반적인 개인정보 보유 기간을 정할 때는 아래 세 가지를 먼저 확인해 보세요.
보유 기간을 정했다면 여기서 한 단계 더 나아가야 합니다. 동의서에 쓴 기간과 실제 파일 위치가 맞아야 해요. 아래 항목을 같이 적어두면 나중에 파기할 대상을 찾기 쉬워집니다.
- 수집 목적: 이벤트 접수, 세미나 신청, 문의 응대, 만족도 조사 등
- 고지한 보유 기간: 행사 종료 후 3개월, 문의 처리 완료 후 1년 등
- 원본 위치: 폼 관리자 화면, 구글폼 응답 시트, 다운로드 파일
- 공유 위치: 팀 드라이브, 메신저 첨부, 내부 보고서 폴더
- 외부 전달 여부: 대행사 메일, 수탁사 작업 폴더, 배송 업체 전달 파일
- 삭제 담당자와 확인일: 누가 언제 삭제 완료 기록을 남길지
보유 기간이 다 되면 개인정보는 파기!
동의받을 때 약속한 보유 기간이 끝났다면 개인정보는 바로 파기해야 합니다. 예를 들어 위 동의서처럼 보유·이용 기간을 6개월로 정했다면, 수집한 날로부터 6개월이 지난 뒤 이름과 이메일을 삭제해야 합니다. 여기서 삭제란 복원이 불가능하도록 영구히 삭제하는 것을 의미합니다.
고객이 보유 기간이 끝나기 전에 동의를 철회하겠다고 요청하는 경우도 있습니다. 이때도 해당 목적에 필요한 처리가 끝났다면 지체 없이 파기해야 해요. 동의 철회 후 파기가 제대로 되지 않아 다시 메시지가 발송되면, 원래는 고객에게 좋은 인상을 남기려던 안내가 불편한 스팸처럼 받아들여질 수 있습니다.
실무에서는 원본 응답만 삭제했다고 끝나지 않는 경우가 많아요. 신청자 명단을 엑셀로 내려받고, 일부를 추려 대행사에 보내고, 내부 보고용 파일을 따로 만들었다면 모두 삭제 범위에 들어갈 수 있습니다. 보유 기간을 정할 때 파일 위치까지 같이 남겨야 하는 이유입니다.
폼 운영자가 이어서 확인할 글
보유 기간을 정리하다 보면 다음 질문은 보통 동의 문구, 응답 저장 위치, 이벤트 종료 후 삭제 범위로 이어집니다. 지금 막힌 지점에 맞춰 한 가지를 더 확인해 보세요.
보유 기간이 지나도 파기하지 않으면?
보유 기간이 지나도 개인정보를 삭제하지 않으면 3천만 원 이하의 과태료가 부과될 수 있어요. 다만 더 오래 남는 문제는 고객 신뢰입니다.
고객 정보를 계속 가지고 있으면 나중에 활용할 수 있을 것 같지만, 정보주체 입장에서는 불쾌감이 클 수 있어요. 개인이 규제 기관에 직접 신고할 수 있고, 실제 신고가 접수되면 사실 확인 과정에서 다른 관리 문제까지 함께 드러날 수 있습니다.
내부적으로 정확한 보유 기간을 정해두지 않고 “목적 달성 시”라고만 적어두면 파기 시점을 놓치기 쉽습니다. 엑셀, 스프레드시트, 공유 드라이브, 메일 첨부처럼 여러 문서로 나뉘어 관리하면 보유 기간이 지난 개인정보를 찾는 일도 어려워집니다. 누군가의 파일 안에 여전히 개인정보가 남아 있을 가능성이 있기 때문입니다.
사람마다 동의한 시점이 다르다는 점도 어렵습니다. 같은 이벤트 명단 안에서도 신청일, 철회일, 배송 완료일, 문의 처리일이 다를 수 있어요. 많은 정보를 수동으로 관리한다면 삭제 대상 식별과 완료 기록을 남기는 일이 금방 복잡해집니다.
<캐치시큐 동의/철회 이력 관리 화면>
고객별 동의 일자와 동의·철회 여부를 한 화면에서 관리하면 파기 대상도 더 쉽게 찾을 수 있어요.
개인정보 보유 기간을 연장할 수 있을까?
❓ : “회원 가입할 때 개인정보 보유 기간을 ‘회원 탈퇴 시 즉시 삭제’로 고지하고 있어요. 그런데 쿠폰이나 포인트를 부정 사용하는 회원들이 있어서 일부 개인정보는 탈퇴 후에도 3개월 동안 가지고 있고 싶습니다. 어떻게 해야 할까요?”
탈퇴하기 전에 부정 이용 방지를 위해 연장 보관하겠다는 내용을 고지하고 동의를 받는다면 가능한 경우가 있습니다. 이미 탈퇴했다면 기존에 고지했던 기준에 따라 해당 정보를 즉시 파기해야 합니다. 새로 가입하는 회원에게는 변경된 내용으로 고지하고 동의받아야겠죠.
광고 메시지를 계속 보내고 싶은 경우도 비슷하게 구분합니다. 광고 동의를 받을 때 보유 기간을 2년으로 정했다면, 동의일로부터 2년이 되기 전에 다시 동의를 받아야 계속 발송할 수 있습니다. 보유 기간이 끝난 뒤 같은 명단을 다른 목적으로 쓰려면, 기존 동의가 그 목적을 포함하는지 먼저 구분해야 해요.
오늘 남겨둘 체크리스트
개인정보 보유 기간을 정했다면 아래 항목을 같이 남겨두세요. 기간을 정하는 것보다 중요한 일은, 그 기간이 끝났을 때 실제로 삭제할 수 있게 만드는 것입니다.
- 수집 목적이 끝나는 시점을 적었나요?
- 동의서에 쓴 보유 기간과 실제 삭제 예정일이 맞나요?
- 신청자 명단 엑셀, 응답 시트, 다운로드 파일의 보관 위치를 적었나요?
- 대행사나 수탁사에 전달한 파일이 있는지 확인했나요?
- 동의 철회가 들어왔을 때 어느 파일까지 삭제할지 정했나요?
- 삭제 완료 기록을 누가 남길지 정했나요?
보유 기간은 숫자로만 끝나지 않습니다. “6개월”이라고 쓰는 데서 멈추지 말고, 6개월 뒤 남아 있는 신청자 명단을 실제로 찾고 지울 수 있어야 합니다.
여러 폼과 다운로드 파일이 흩어져 있다면, 상담을 신청하기 전에 현재 개인정보 파일이 어디에 남아 있는지부터 적어보세요. 캐치시큐는 개인정보 수집, 동의, 보유 기간, 파기 기준을 운영 문서와 함께 점검하도록 돕습니다.
세 줄 요약
- 개인정보를 수집할 때는 보유 기간을 정해야 해요.
- 이용 목적이 달성되거나 보유 기간이 끝나면 바로 삭제해요.
- 보유 기간이 지나도 개인정보가 필요하다면, 끝나기 전에 목적과 동의 기준을 다시 확인해요.
