답변
재가입 어뷰징 때문에 골치 아프셨을 텐데, 결론부터 말씀드리면 목적을 부정이용 방지로 좁히고 절차를 갖추면 일부 보관은 가능합니다. 다만 지금처럼 '나중에 필요할지도 모르니까'라는 이유로 탈퇴 회원 정보 전체를 원본 그대로 남겨 두는 방식은 원칙에서 벗어나 있을 가능성이 높습니다. 왜 그런지, 그리고 무엇을 어떻게 바꾸면 되는지 순서대로 짚겠습니다. 출발점은 개인정보 보호법 제21조입니다. 이 조문은 보유기간이 지나거나 처리 목적을 달성해 개인정보가 불필요해지면 지체 없이 파기하도록 정합니다. 회원 탈퇴는 서비스 제공이라는 원래 목적이 끝난 시점이므로, 원칙은 그 시점에 파기입니다. 예외는 하나뿐입니다. 다른 법령이 보존을 요구하는 경우에는 그 정보를 다른 정보와 분리해서 저장·관리해야 합니다. 여기서 헷갈리시면 안 되는 부분이, '부정이용 방지'는 이 예외가 말하는 '다른 법령의 보존 의무'가 아니라는 점입니다. 전자상거래법이 계약·결제 기록 보존을 요구하는 것과 달리, 부정이용 방지는 사업자가 스스로 정한 목적입니다. 그래서 이 목적으로 정보를 남기려면 제21조의 예외 조항에 기대는 것이 아니라, 애초에 그 목적을 이용자에게 알리고 근거를 만들어 두는 절차가 필요합니다. 실무에서 쓰는 방법은 이렇습니다. 첫째, 개인정보처리방침과 회원가입·탈퇴 동의 화면에 '재가입 혜택 부정 수령 방지를 위해 탈퇴 후에도 일정 기간, 일부 정보를 보관한다'는 목적과 보관 항목, 보관 기간을 명시해 둡니다. 탈퇴 처리 화면에서 이 사실을 한 번 더 고지하고 진행하게 하면 절차가 더 탄탄해집니다. 이 고지 없이 갑자기 탈퇴 후에 정보를 남겨 두면, 정보주체 입장에서는 파기됐어야 할 정보가 왜 남아 있는지 설명할 근거가 없는 상태가 됩니다. 둘째, 보관 항목을 부정가입 판별에 필요한 최소한으로 좁힙니다. 이름, 주소, 주문 내역, 상담 기록까지 통째로 남기는 것이 아니라, 휴대전화번호나 결제수단처럼 재가입 여부를 가려낼 수 있는 값만 남기고, 그것도 해시(SHA-256 같은 일방향 암호화) 처리해 원본을 그대로 들고 있지 않는 방식이 위험을 크게 줄입니다. 셋째, 이 최소 정보는 다른 회원 데이터베이스와 분리해서 보관하고, 마케팅이나 CS 같은 원래 목적으로는 다시 쓰지 않도록 접근 권한을 따로 관리합니다. 넷째, 보관 기간을 짧게 정합니다. 실무에서는 탈퇴 시점부터 6개월에서 1년 사이의 기간을 쓰는 경우가 흔하지만, 이 기간을 직접 정한 법 조문은 없고 사업자가 스스로 정해서 고지하는 방식입니다. 혜택 악용 방지라는 목적에 비해 지나치게 긴 기간을 잡으면 목적과 수단이 맞지 않는다는 지적을 받을 여지가 커집니다. 반대로 하시면 안 되는 방식도 분명히 있습니다. 탈퇴 회원 정보를 별도 고지나 동의 없이 원래 회원 데이터베이스에 그대로 남겨 두는 것, 부정이용 방지라는 명목으로 사실상 전체 회원 정보를 무기한 보관하는 것, 재가입 판별과 무관한 구매 이력·상담 내용까지 같이 남기는 것입니다. 이런 형태는 파기 원칙 위반으로 지적받을 수 있고, 파기하지 않고 개인정보를 보유한 사업자에게는 과태료가 부과될 수 있습니다. 또한 탈퇴 회원이 나중에 '내 정보가 왜 아직 남아 있냐'고 문의하거나 개인정보보호위원회에 신고하면, 그 시점에 목적과 근거를 설명해야 하는데 사전 고지가 없었다면 방어하기 어렵습니다. 한 가지 함께 짚어 드릴 것은, 탈퇴 회원 정보를 무조건 오래 갖고 있는 것이 이득이라는 생각은 다시 보셔야 한다는 점입니다. 정보를 오래, 넓게 갖고 있을수록 유출 사고가 났을 때 피해 범위와 책임도 그만큼 커집니다. 부정이용 방지라는 목적 하나를 위해 회원정보 전체를 인질처럼 붙들고 있는 것보다, 판별에 필요한 최소 식별값만 짧게 남기고 나머지는 원칙대로 파기하는 쪽이 리스크 관리 측면에서도 낫습니다. 정리하면, 재가입 어뷰징 방지를 위한 보관 자체는 목적이 정당하다면 못 할 이유가 없습니다. 다만 그 정당성은 저절로 생기는 것이 아니라 사전 고지, 최소 항목, 짧은 기간, 분리·비식별 보관이라는 절차를 갖췄을 때 인정됩니다. 지금 이미 탈퇴 회원 정보를 남기고 계신다면, 처리방침에 이 목적이 적혀 있는지부터 확인하시고, 없다면 방침을 먼저 개정한 뒤 보관 항목과 기간을 위 기준에 맞게 줄이시는 순서로 진행하시기 바랍니다. 한 가지는 확인하지 못했습니다. 부정이용 방지 목적 보관이 과도하다고 판단될 때 실제로 어떤 기준으로 제재나 과태료가 부과되는지 구체적 처분 사례는 이번 확인 범위에서 찾지 못했습니다. 개인정보보호위원회 개인정보포털(privacy.go.kr)의 처분 사례나 개인정보침해신고센터(국번없이 118)로 문의하시면 최신 기준과 유사 사례를 확인하실 수 있습니다.