탈퇴해도 주문기록은 5년·앱 방문기록은 3개월간 보유
CCTV 영상 기록은 30일 보관이지만 어린이집은 60일
학폭 기록은 징계 수준 따라 보유 기간 달라…퇴학은 영구 보존
쿠팡에서 3천만명이 넘는 고객 정보가 유출된 가운데 탈퇴 고객에게도 유출 사실이 공지되면서 개인정보 보관 기간 등에 대한 관심도 커지고 있다.
개인정보보호법상 개인정보는 탈퇴 등으로 목적이 달성됐을 때 지체 없이 파기하는 게 원칙이지만, 다른 법령에서 보존기간이 정해져 있으면 이를 따라야 한다.
이에 개인정보 보존기간과 관련 법령 등을 확인해봤다.
12월 3일 서울 송파구 쿠팡 본사 앞에서 참여연대와 민주사회를 위한 변호사모임 민생경제위원회, 한국소비자연맹이 연 '쿠팡 개인정보 유출 집단분쟁조정 신청 돌입 기자회견'에서 참가자들이 사과와 책임을 촉구하는 퍼포먼스를 하고 있다.[연합뉴스 자료사진]
◇ 쿠팡, 탈퇴회원 정보 파기·분리보관 의무 위반했나
보존기간이 정해져 있는 법령에 따라 탈퇴회원 등 정보를 보존해야 하는 경우 다른 개인정보와 반드시 분리해서 저장·관리해야 한다.
이번에 문제가 된 쿠팡의 경우 개인정보 처리방침에 따르면 아이디(이메일)·이름·휴대전화번호·비밀번호는 탈퇴 시 90일간 보관 후 파기하게 돼 있다. 또 부정행위가 탐지된 경우에는 탈퇴 후 해당 정보를 180일간 보관 후 파기한다.
아울러, 전자상거래법상 ▲ 대금결제 및 재화 등의 공급에 관한 기록(5년) ▲ 계약 또는 청약철회 등에 관한 기록(5년) ▲ 소비자의 불만 또는 분쟁 처리에 관한 기록(3년) ▲ 표시·광고에 관한 기록(6개월)은 탈퇴 시에도 정해진 기간만큼 보관한다.
위치정보법에 따른 '위치정보 수집·이용·제공사실 확인자료'(6개월)와 통신비밀보호법에 따른 '웹사이트·앱 방문 기록'(3개월)도 법령이 정한 기간대로 보관한다고 쿠팡은 공지했다.
[연합뉴스 자료사진]
문제는 쿠팡이 탈퇴 회원에게도 일반 이용 고객과 마찬가지로 '이름·이메일주소·배송지 주소록·주문정보가 노출됐다'고 공지한 점이다.
또 쿠팡이 올해 3분기 실적 발표 당시 내놓은 활성 고객(구매 이력이 있는 고객) 수는 2천470만명인데 유출된 고객 계정 수는 이보다 많은 3천370만개다.
이를 두고 쿠팡이 탈퇴 회원 정보 다수를 90일 이후에도 파기하지 않고 보관했거나 탈퇴 회원 정보를 분리하지 않고 일반 회원 정보와 함께 보관한 것은 아닌가 하는 의혹도 제기됐다.
쿠팡은 일단 탈퇴 계정을 별도로 관리한다는 입장을 내놨다.
쿠팡 프라이버시센터는 "이용자로부터 동의받은 개인정보 보유기간이 지나거나 처리목적이 달성됐음에도 다른 법령에 따라 개인정보를 계속 보존해야 하는 경우에는 해당 정보를 별도로 분리해 저장·관리한다"고 밝혔다.
쿠팡이 신고한 유출 계정 수와 활성 고객 수의 차이 900만개에는 휴면계정과 탈퇴 계정 등이 모두 포함된 것으로 추정된다.
쿠팡 측에서는 이러한 차이에 대한 연합뉴스 질의에 "수사 및 조사 중이라 확인이 어렵다"고 답했다.
다만 박대준 쿠팡 대표는 지난 2일 국회 현안 질의에서 정보 유출 범위에 대해 "휴면·탈퇴회원 정보도 일부 포함됐을 것"이라고 답했다.
[쿠팡 공지 캡처]
유출된 고객 정보의 범위도 불분명하다. 소비자들 사이에서는 해외 직접구매(직구) 시 사용하는 개인통관번호가 새어나갔다는 소문이 퍼졌다. 또 결제정보 유출을 우려해 쿠팡 앱에 등록된 신용카드 정보를 삭제하는 소비자들도 줄을 이었다.
쿠팡은 공지를 통해 '카드정보 등 결제정보 및 패스워드 등 로그인 정보는 노출이 없음을 확인했다. 고객이 추가로 조치할 사항은 없다'고 밝혔다.
박대준 쿠팡 대표도 국회 현안질의에서 "결제 정보는 유출되지 않았다. 망 분리가 돼 있어서 결제 정보는 같이 보관하고 있지 않다"고 답했지만, 비정상 로그인 시도, 해외 결제 승인 알림 사례가 나오면서 고객 불안은 지속되고 있다.
개인정보보호위원회는 지난 3일 쿠팡에 개인정보 '노출' 통지를 '유출' 통지로 수정하고, 유출 항목을 빠짐없이 반영해 재통지한 뒤 7일 이내 조치 결과를 제출하라고 요구한 상태다.
11월 30일 쿠팡이 피해 고객에게 보낸 개인정보 노출 통지 문자 메시지. [연합뉴스 자료사진]
◇ 업종별 개인정보 보관기간은…진료기록은 10년
개인정보의 보관 기간은 업종별로 차이가 크다. 우선, 쿠팡 등 온라인쇼핑 업체들은 전자상거래법에 따라 주문 기록 등을 5년간 보관한다. 법적 분쟁 등에 대비하기 위해서다.
의료기관의 경우 의료법 시행규칙에 따라 진료기록부와 수술 기록은 10년, 환자명부·검사내용 및 검사 소견 기록·방사선 사진 및 소견서·간호기록부·조산기록부는 5년간 보관한다.
진단서·사망진단서 등의 부본은 3년, 처방전 보관 기간은 2년이다. 계속적인 진료를 위해 필요한 경우에는 1회에 한 해 보존 기간은 연장할 수 있다.
공공기관의 일반 민원처리기록은 공공기록물법에 따라 10년간 보존된다.
은행 등 금융기관은 신용정보법에 따라 개인신용정보를 거래 종료 후 5년까지 보존한다. 다만, 상법에 따라 계약서와 거래신청서 등 중요서류는 10년간 보존한다.
KT 등 통신사도 전자상거래법에 따라 해지 고객의 계약·청약철회·대금결제 등에 관한 기록을 5년간 보관한다.
통신사들은 통화내역 등 통신사실확인자료 제공과 관련해 통화일시와 번호·발신기지국 위치정보 등을 12개월간 보관한다. 이는 통신비밀보호법에 정해져 있다.
또 국세기본법에 따라 이름과 주민등록번호·전화번호·청구지 주소·요금납부내역 등은 5년간 보관한다.
[연합뉴스 자료사진]
폐쇄회로(CC)TV 영상의 보존기간은 명시적인 기간이나 다른 법령에 특별한 규정이 없는 한 30일 이내라고 '표준 개인정보 보호지침'에 정해져 있다.
어린이집과 요양원의 CCTV 영상은 각각 영유아보육법과 노인장기요양보험법 시행규칙에 따라 60일 이상, 버스와 택시는 여객자동차법 시행규칙에 따라 3일 이상 보관해야 한다.
학교생활기록부와 학교생활세부사항기록부는 준영구 보존 대상으로, 학생 졸업 후 8년 동안 학교에서 보존하고 이후에는 관할 교육청의 기록관리 시스템으로 이관해 보존한다.
학교폭력 가해 기록은 징계 수준에 따라 보존 기간이 다르다.
초·중등교육법 시행규칙에 따라 학교폭력 가해 기록 가운데 서면사과와 접촉금지·학교봉사는 졸업과 동시에 삭제된다.
출석정지와 학급교체 기록은 졸업 후 4년간 보존하되 졸업 직전 심의를 통해 삭제할 수 있다. 그러나 전학은 예외 없이 4년 보존, 퇴학 기록은 영구보존(삭제불가)해야 한다.
noanoa@yna.co.kr
<<연합뉴스 팩트체크부는 팩트체크 소재에 대한 독자들의 제안을 받고 있습니다. 이메일(factcheck@yna.co.kr)로 제안해 주시면 됩니다.>>