개인정보 법정 보유기간: 근거 법률과 적용 대상

개인정보를 언제까지 보관해야 하는지는 회사가 정하는 것이 아니라 어떤 사업을 하느냐가 정합니다. 쇼핑몰이면 전자상거래법이 계약 기록을 5년 보관하라고 하고, 문의 폼만 있는 회사 홈페이지에는 그 조항이 적용되지 않습니다. 개인정보 처리방침에 흔히 붙는 보유기간 표를 그대로 복사하면 우리에게 해당하지 않는 의무를 스스로 떠안게 됩니다. 이 문서는 법률별 적용 대상과 기간을 정리하고, 파기 의무와 보존 의무가 어떻게 함께 서는지를 설명합니다.

법률 자문이 아닙니다. 조문은 확인해 적었지만 실제 적용 여부는 사업 형태에 따라 달라지므로, 규제 산업이거나 다툼이 예상되면 법률 전문가의 확인을 받는 것이 일반적입니다.

법률별 보유기간과 적용 대상

근거 법률	적용 대상	대상 기록	기간
통신비밀보호법 시행령 제41조	전기통신사업자	인터넷 로그기록, 접속지 추적자료	3개월
전자상거래법 제6조·시행령 제6조	통신판매업자	표시·광고에 관한 기록	6개월
전자상거래법 제6조·시행령 제6조	통신판매업자	계약 또는 청약철회 등에 관한 기록	5년
전자상거래법 제6조·시행령 제6조	통신판매업자	대금결제 및 재화 등의 공급에 관한 기록	5년
전자상거래법 제6조·시행령 제6조	통신판매업자	소비자의 불만 또는 분쟁처리에 관한 기록	3년
전자금융거래법 제22조·시행령 제12조	금융회사·전자금융업자	전자금융거래에 관한 기록	5년
신용정보법 제20조	신용정보회사·채권추심회사 등	업무 처리에 관한 기록	3년
특정금융정보법 제5조의4	금융회사 등	고객확인 자료, 보고 관련 자료	5년 (거래관계 종료일부터)

표시·광고 6개월은 처리방침 표에서 자주 빠집니다. 나머지 세 줄만 옮겨 적은 표가 많아서인데, 통신판매업자라면 이 줄도 함께 적용됩니다.

적용되는 줄만 남기는 기준

여덟 줄 중 실제로 해당하는 것은 대개 하나이거나 아예 없습니다.

통신비밀보호법은 전기통신사업자에게 적용됩니다. 기간통신·부가통신 사업자로 신고한 곳을 말하고, 일반적인 회사 홈페이지나 사내 업무 시스템은 여기 들어가지 않습니다. 그런데도 "IP 등 로그기록 3개월"이 거의 모든 처리방침에 붙어 있습니다. 서버 로그를 3개월 두는 것 자체는 운영상 합리적이지만, 그것을 이 법의 의무로 적으면 근거가 사실과 달라집니다.

전자상거래법은 통신판매업자에게 적용됩니다. 재화나 용역을 온라인으로 판매하고 통신판매업 신고를 한 경우입니다. 소개와 문의만 받는 홈페이지, 사내에서만 쓰는 업무 시스템은 대상이 아닙니다. 반대로 결제를 붙이는 순간 계약·결제 기록 5년이 따라옵니다.

전자금융거래법·신용정보법·특정금융정보법은 금융회사, 전자금융업자, 신용정보회사처럼 인허가를 받은 사업자에게 적용됩니다. 결제대행사를 통해 카드 결제만 받는 쇼핑몰은 여기 해당하지 않습니다. 전자금융거래 기록을 5년 보관할 의무는 결제대행사 쪽에 있습니다.

파기 의무와 보존 의무가 함께 서는 자리

여기서 자주 막힙니다. 개인정보보호법 제21조는 처리 목적을 달성했으면 지체 없이 파기하라고 하는데, 위 법들은 몇 년을 보관하라고 합니다. 둘 다 지키는 것이 가능한지 의문이 생깁니다.

같은 조문이 답을 함께 담고 있습니다. 제21조 제1항 단서는 다른 법령에 따라 보존해야 하는 경우를 파기 의무에서 빼 두고, 제3항은 그렇게 보존하는 개인정보를 다른 개인정보와 분리하여 저장·관리하라고 정합니다.

그래서 실무의 답은 삭제냐 보관이냐가 아니라 분리 보관입니다. 회원이 탈퇴하면 회원 테이블에서는 지우되, 법이 요구하는 거래 기록은 별도 영역으로 옮겨 그 기간 동안만 둡니다. 옮긴 쪽은 접근 권한을 따로 두고 서비스 화면에서는 조회되지 않게 합니다.

분리가 형식적으로 그치는 경우가 많습니다. 같은 테이블에 deleted_at 만 찍어 두고 분리했다고 보는 방식이 그렇습니다. 조회 쿼리가 한 줄만 잘못돼도 탈퇴 회원이 화면에 다시 나타납니다.

의무에서 사라진 1년 휴면 전환

오래된 처리방침에는 "1년간 미접속 시 휴면계정으로 전환한다"가 법령 의무처럼 적혀 있습니다. 근거였던 개인정보 유효기간제는 2023년 9월 15일 시행 개정법에서 폐지되었습니다.

지금은 휴면 정책을 둘지, 둔다면 몇 개월로 할지를 사업자가 정합니다. 연 단위로 쓰는 서비스라면 1년 휴면이 오히려 이용자를 불편하게 만들고, 민감한 정보를 다루면 6개월이 나을 수 있습니다. 폐지되었으니 아무것도 안 해도 된다는 뜻은 아니고, 판단의 주체가 법에서 사업자로 옮겨 왔다고 보는 편이 맞습니다.

처리방침에 옛 문구가 남아 있으면 지금 하는 일과 적힌 내용이 어긋납니다. 처리방침과 실제 처리가 다른 것은 그 자체로 문제가 됩니다.

개발 단계에서 정해 두어야 하는 것

보유기간은 문서가 아니라 코드와 스키마에 남습니다. 착수 전에 네 가지를 정해 두면 나중에 뜯어고치지 않습니다.

• 항목별 보유기간. 회원 정보, 주문 기록, 문의 내역, 접속 로그가 각각 다른 기간을 갖습니다. 하나로 묶으면 가장 긴 기간이 전체에 적용됩니다
• 분리 보관 위치. 별도 테이블인지 별도 스키마인지, 접근 권한을 어떻게 나눌지
• 파기 시점과 방법. 배치로 지울지, 기간이 지나면 조회에서 빠지게 할지. 백업본에 남는 사본을 어떻게 다룰지도 여기서 정합니다
• 기록을 남기는 방법. 언제 무엇을 파기했는지 남겨 두어야 나중에 설명할 수 있습니다

듀오랩스는 개발 범위 안에서 이 구조를 구현하지만, 어떤 법이 적용되는지에 대한 최종 판단은 사업을 하는 쪽에서 확인해 주셔야 합니다. 프로젝트 착수 전에 확인하는 항목은 개인정보 포함 프로젝트 협의 안내에 정리해 두었습니다.

다음 단계

처리방침을 새로 쓰거나 손보실 때는 위 표에서 적용 대상 칸을 먼저 보고 해당하는 줄만 남기는 것부터 하시면 됩니다. 해당하지 않는 줄을 지우는 것이 줄을 더하는 것보다 안전합니다.

조문 원문은 국가법령정보센터에서 확인하실 수 있고, 전자상거래법상 사업자 의무는 찾기쉬운 생활법령정보에 정리되어 있습니다. 서비스에 어떤 항목을 수집하고 얼마나 두어야 할지 함께 정리해야 한다면 문의해 주시면 됩니다.