유효기간제, 왜 아직도 '1년 의무'로 알려져 있나

한동안 정보통신서비스 제공자는 1년간 서비스를 이용하지 않은 이용자의 개인정보를 파기하거나 다른 정보와 분리해 보관해야 한다는 규정을 법적으로 지켜야 했습니다. 이 규정 때문에 많은 쇼핑몰이 "1년 미접속 시 휴면 전환"이라는 정책을 시스템에 못박아 운영해왔고, 그 관행이 지금까지도 "법이 정한 1년 규칙"으로 알려져 있는 경우가 많습니다.

하지만 이 유효기간제 규정은 2023년 9월 15일 개인정보보호법 개정으로 삭제됐습니다. 정보주체와 개인정보처리자의 의사를 존중해, 서비스 특성에 맞게 휴면 회원 개인정보를 관리하도록 자율성을 넓혀준 취지입니다. 지금 이 조문을 근거로 "우리는 반드시 1년 기준을 지켜야 한다"고 설명하고 있다면, 그 설명부터 바로잡아야 합니다.

폐지됐다는 것이 곧 관리를 안 해도 된다는 뜻인가

법적 의무가 사라졌다고 해서 휴면 회원 데이터를 무한정 보관해도 된다는 뜻은 아닙니다. 개인정보보호법의 대원칙은 수집 목적이 달성되거나 더 이상 필요하지 않은 개인정보는 지체 없이 파기하는 것입니다. 유효기간제가 폐지된 이후에도 각 사업자는 자사 개인정보 처리방침에 미이용 기준 기간(6개월, 1년, 2년 등 서비스 특성에 맞게 자율 선택)과 그에 따른 조치(파기 또는 분리보관)를 명시하고, 그 기준을 스스로 지켜야 합니다.

문제는 처리방침에 적어놓은 기준과 실제 시스템 운영이 어긋나는 경우입니다. 예를 들어 처리방침에는 "1년 미접속 시 분리보관"이라고 명시해놓고 실제로는 이 처리를 하지 않고 있다면, 이는 유효기간제라는 법 조항 위반이 아니라 스스로 공개한 처리방침을 지키지 않은 문제로 다뤄질 수 있습니다.

휴면 전환 프로세스는 실무적으로 어떻게 설계하나

휴면 전환을 운영하기로 정했다면, 우선 처리방침에 미이용 기준 기간을 명시하고 그 기간에 맞춰 시스템에서 자동으로 대상자를 추출하는 절차를 마련해야 합니다. 기준 도래 30일 전쯤 이메일이나 문자로 "계속 서비스를 이용하려면 로그인해달라"는 사전 통지를 보내는 절차는 법적 의무는 아니지만, 이용자의 알 권리를 보장하는 차원에서 실무 표준으로 널리 쓰이고 있습니다.

기준 시점이 도래하면 파기와 분리보관 중 어느 방식을 택할지도 정해야 합니다. 파기는 데이터를 완전히 삭제하는 방식이고, 분리보관은 다른 회원 데이터와 물리적·논리적으로 분리된 별도 데이터베이스에 옮겨 접근을 제한하는 방식입니다. 마케팅 활용 관점에서는 분리보관 데이터는 별도 동의 없이는 재활용할 수 없다는 점을 전제로 설계해야 합니다.

마케팅팀이 특히 주의해야 할 지점은 무엇인가

휴면 전환 정책은 시스템·법무팀이 정하지만, 실제로 그 데이터를 캠페인에 활용하려는 쪽은 마케팅팀인 경우가 많습니다. 분리보관 상태의 휴면 회원에게 재유입 캠페인을 보내고 싶다면, 그 발송이 가능한지부터 확인해야 합니다. 분리보관된 개인정보는 원칙적으로 열람·이용이 제한되므로, 마케팅 목적의 문자·이메일 발송에 활용하려면 별도의 절차나 동의가 필요할 수 있습니다.

또한 이용자가 휴면 상태에서 로그인해 서비스를 재개하면 그 시점부터 다시 활성 회원으로 전환되므로, 재유입을 유도하는 캠페인은 로그인 자체를 유도하는 방식(예: "로그인하면 쿠폰 지급")으로 설계하는 것이 안전합니다.

업종에 따라 기준 기간을 어떻게 다르게 정할 수 있나

법이 1년이라는 획일적인 기준을 강제하지 않게 되면서, 서비스 특성에 맞게 미이용 기준 기간을 조정할 여지가 생겼습니다. 예를 들어 계절 상품 위주로 운영되는 쇼핑몰이라면 성수기 한 번을 놓치지 않도록 기준을 1년보다 길게(예: 18개월~2년) 잡는 경우가 있습니다. 반대로 개인정보 민감도가 높은 서비스(금융·건강 관련)라면 보안 리스크를 줄이기 위해 기준을 6개월처럼 짧게 잡는 경우도 있습니다.

기준 기간을 정할 때는 마케팅팀의 재유입 캠페인 주기와도 맞춰보는 것이 좋습니다. 재유입 캠페인을 통상 6개월~1년 주기로 운영한다면, 그 캠페인이 끝나는 시점 이후로 휴면 기준을 잡아야 캠페인 효과를 볼 기회조차 없이 회원이 분리보관 처리되는 상황을 피할 수 있습니다.

처리방침 문구를 점검할 때 무엇을 확인해야 하나

처리방침을 다시 검토할 때는 "정보통신망법 제29조" 또는 "1년간 미이용 시 파기"처럼 폐지된 옛 조문을 근거로 든 문구가 남아 있는지부터 확인해야 합니다. 이런 문구가 남아 있으면 이용자에게 잘못된 법적 근거를 안내하는 셈이 되고, 실제 운영 기준과도 어긋날 가능성이 큽니다. 문구를 고칠 때는 "당사가 정한 기준"이라는 점을 명확히 하고, 그 기준을 회사 내부 정책 문서에도 동일하게 반영해야 합니다.

법무·개발·마케팅 세 부서가 각각 다른 기준을 알고 있는 경우도 실무에서 흔히 발견됩니다. 처리방침에는 1년이라고 적혀 있는데 실제 시스템은 18개월로 돌아가고 있거나, 마케팅팀은 여전히 옛 규정을 기준으로 캠페인 일정을 짜는 식입니다. 세 부서가 같은 기준 문서를 공유하고 있는지 한 번은 대조해볼 필요가 있습니다.