개인정보 유효기간제 폐지, 내 정보 삭제 기준은 어떻게 바뀌었나

개인정보 유효기간제는 오랫동안 이용하지 않은 이용자의 개인정보를 일정 기간이 지나면 파기하거나 분리보관하도록 했던 제도를 가리킨다. 이 제도가 폐지되었다는 말이 검색되는 이유는 간단하다. 서비스에 가입만 해 두고 오래 쓰지 않은 계정의 정보가 언제 지워지는지, 폐지 이후에는 그 기준이 어떻게 달라지는지 궁금해서다. 이 글은 유효기간제가 어떤 제도였는지, 왜 폐지 논의가 나왔는지, 폐지 이후 개인정보는 어떤 원칙으로 관리되는지, 그리고 이용자 입장에서 무엇을 확인해야 하는지를 차례로 살펴본다.

유효기간제는 어떤 제도였나

개인정보 유효기간제는 회원 정보를 수집한 뒤 일정 기간 로그인이나 이용 실적이 없는 계정을 대상으로, 그 정보를 별도로 분리해 보관하거나 파기하도록 사업자에게 의무를 지운 방식이었다. 목적은 명확했다. 실제로 쓰이지 않는 개인정보가 서버에 계속 쌓여 있으면 그 자체로 유출 위험이 커지기 때문에, 이용하지 않는 정보는 선제적으로 정리하도록 유도하려는 취지였다. 다만 이 제도는 사업자마다 기준일과 처리 방식이 제각각이어서 이용자 입장에서는 언제 내 정보가 어떻게 처리되는지 예측하기 어렵다는 지적이 꾸준히 있었다.

왜 폐지 쪽으로 방향이 바뀌었나

유효기간제가 재검토된 배경에는 몇 가지 실무적인 문제가 있다. 우선 정보를 파기하지 않고 별도 보관만 하는 경우, 그 보관용 저장소 자체가 또 하나의 관리 대상이 되어 오히려 보안 부담을 늘린다는 지적이 나왔다. 또한 이용자가 오랜만에 서비스를 다시 쓰려고 접속했을 때 계정이 휴면 처리되어 있거나 정보가 분리 보관되어 있어 본인 확인 절차를 다시 거쳐야 하는 불편도 반복해서 제기됐다. 결국 일률적으로 기간을 정해 놓고 그 시점에 자동으로 조치를 취하는 방식보다, 개인정보를 처음 수집할 때 정한 보유·이용 목적이 끝나면 지체 없이 파기하도록 하는 원칙이 더 실효성 있다는 방향으로 논의가 흘러갔다.

폐지 이후 개인정보는 어떤 기준으로 관리되나

유효기간제라는 별도의 장치가 없어졌다고 해서 개인정보를 무기한 보관해도 된다는 뜻은 아니다. 오히려 원칙은 더 단순해졌다고 볼 수 있다. 개인정보를 수집할 때 이용자에게 알린 보유 기간이 지나거나, 애초에 정보를 모은 목적이 달성되면 사업자는 그 정보를 지체 없이 파기해야 한다는 일반 원칙이 그대로 적용된다. 여기에 더해 계약이나 법령에 따라 일정 기간 보관이 요구되는 정보라면, 그 근거가 되는 기간 동안에는 계속 보관되고 그 기간이 끝나면 파기 대상이 된다. 즉 특정 시점에 자동으로 분리 보관하던 절차 하나가 사라진 대신, 수집 목적과 보유 기간이라는 기본 원칙을 더 꼼꼼히 지키도록 관리 방식이 바뀐 셈이다.

상황별로 달라지는 처리 방식도 함께 살펴볼 필요가 있다. 모든 개인정보가 같은 방식으로 처리되는 것은 아니다. 이용자가 회원 탈퇴를 하면 원칙적으로 해당 정보는 목적을 다한 것으로 보아 파기 절차를 밟는다. 반면 거래 기록처럼 관련 법령에서 별도로 보관 기간을 정해 둔 정보는 탈퇴 이후에도 그 기간만큼은 보관될 수 있다. 서비스를 장기간 이용하지 않아 사실상 휴면 상태인 계정의 경우에도, 사업자가 약관과 개인정보처리방침에서 미리 정해 둔 보유 기간과 처리 절차를 따르게 된다. 그래서 실제로 내 정보가 언제 어떻게 처리되는지는 제도의 이름보다 해당 서비스의 개인정보처리방침에 적힌 내용을 확인하는 쪽이 더 정확하다.

자주 헷갈리는 부분

유효기간제 폐지를 두고 개인정보 보호 의무 자체가 느슨해졌다고 오해하는 경우가 있는데, 이는 사실과 다르다. 폐지된 것은 일정 기간마다 정보를 자동으로 분리 보관하도록 강제하던 개별 절차이지, 개인정보를 목적 범위 안에서만 이용하고 목적이 끝나면 파기해야 한다는 기본 원칙이 사라진 것이 아니다. 또 하나 자주 나오는 오해는 이 제도가 국내에만 있던 것이 아니라 보편적인 국제 기준이라고 생각하는 것이다. 정보를 목적 달성 후 삭제하도록 하는 원칙은 여러 나라의 개인정보 관련 법제에서 공통적으로 찾아볼 수 있지만, 구체적으로 유효기간을 정해 자동으로 분리·파기를 강제하는 방식은 나라마다 제도 설계가 다르며 우리나라의 세부 구조와 같지 않다는 점을 함께 알아 둘 필요가 있다.

개발 단계에서 참고할 부분

개인정보 수집 유효기간을 특정 프로그래밍 언어로 어떻게 구현하느냐는 질문도 자주 검색되는데, 이는 언어 자체의 문법 문제가 아니라 시스템 설계의 문제로 접근하는 것이 맞다. 어떤 언어를 쓰든 핵심은 개인정보 항목마다 수집 시점, 수집 목적, 그에 따른 보유 기간을 함께 기록해 두고, 그 기간이 지나면 자동으로 파기하거나 별도 검토 절차로 넘기는 구조를 만드는 것이다. 파이썬이든 자바든 C++이든 언어가 제공하는 것은 날짜 계산이나 예약 작업 실행 같은 도구일 뿐이고, 실제로 지켜야 할 보유 기간과 파기 기준은 서비스별 개인정보처리방침과 관련 법령에서 정한 내용을 따라야 한다. 따라서 코드를 짜기 전에 먼저 해당 서비스가 각 개인정보 항목을 얼마나, 왜 보관하는지부터 정리하는 작업이 선행되어야 한다.

결국 내 정보가 언제, 어떤 기준으로 처리되는지 정확히 알고 싶다면 제도의 명칭보다 실제로 가입한 서비스가 공개한 개인정보처리방침을 확인하는 것이 가장 확실하다. 그 안에는 개인정보 항목별 보유 기간과 파기 절차, 탈퇴 시 처리 방식이 구체적으로 안내되어 있다. 궁금한 내용이 방침에 명확히 나와 있지 않다면 해당 서비스의 개인정보 보호책임자 연락처로 문의해 확인하는 것이 다음 순서다.

· · · · · · · · · ·

스페셜타임스는 AI 기술의 도움을 받아 더 빠르고 다양한 뉴스를 독자에게 전달하기 위해 노력하고 있습니다.