이벤트 신청자의 개인정보는 무조건 1년이나 3년 동안 보관해야 하는 것이 아닙니다. 일반적인 경품 이벤트나 체험단 신청이라면 이벤트 운영 목적에 실제로 필요한 기간을 먼저 정하고, 그 기간이 끝나거나 처리 목적이 달성되면 개인정보를 지체 없이 파기하는 것이 기본 원칙입니다.
예를 들어 이름과 휴대전화번호를 받아 이벤트 응모자를 확인하고 당첨자를 선정하기 위한 것이라면, 미당첨자의 정보를 이후 마케팅에 사용할 이유가 없다면 당첨자 발표와 필요한 후속 절차가 끝난 뒤 계속 보관할 근거를 다시 확인해야 합니다.
반대로 당첨자에게 경품을 배송하거나 제세공과금 처리, 분쟁 대응 등 별도의 업무가 남아 있다면 해당 목적에 필요한 정보까지 동시에 삭제해서는 안 됩니다. 핵심은 “이벤트 참가자니까 몇 개월”이 아니라 개인정보마다 처리 목적과 종료 시점을 연결하는 것입니다.
이 글의 목차
이벤트 개인정보에는 법으로 정해진 하나의 보관기간이 없습니다
국가법령정보센터의 개인정보 보호법 제15조를 보면, 개인정보 수집·이용 동의를 받을 때 정보주체에게 수집·이용 목적, 수집 항목과 함께 개인정보의 보유 및 이용 기간을 알려야 합니다.
따라서 이벤트 신청폼에 단순히 “개인정보 수집에 동의합니다”라고 적는 것보다 실제 운영에 맞게 보유기간을 정해 표시하는 것이 중요합니다.
그렇다고 모든 이벤트의 보관기간을 똑같이 “1년” 또는 “3년”으로 정해야 한다는 뜻은 아닙니다. 이벤트의 성격, 당첨자 선정 절차, 경품 지급 방법, 민원 처리 여부, 관계 법령에 따른 별도 보존 의무가 있는지를 구분해야 합니다.
수집 동의와 개인정보 처리방침이 어떻게 다른지 헷갈린다면 먼저 개인정보 수집·이용 동의서와 개인정보 처리방침의 차이를 구분해 두는 것이 좋습니다. 처리방침에 적어 놓았다는 사실만으로 필요한 수집·이용 동의를 대신할 수 있는 것은 아닙니다.
보관기간은 먼저 ‘무엇을 위해 받는 정보인가’부터 나눕니다
이벤트 신청폼 하나에서도 실제로는 여러 목적의 개인정보가 섞일 수 있습니다.
- 이벤트 신청 접수
- 중복 참여 확인
- 당첨자 선정
- 당첨 사실 안내
- 경품 발송
- 관련 문의와 이의제기 처리
- 광고성 정보 발송
이 항목들을 하나의 목적처럼 묶으면 보관기간을 정하기 어려워집니다. 특히 이벤트 진행과 마케팅은 가능한 한 구분해서 생각해야 합니다.
개인정보 보호법 제22조는 재화나 서비스를 홍보하거나 판매를 권유하기 위해 개인정보 처리 동의를 받는 경우를 별도로 구분하고 있습니다. 따라서 “이벤트 신청을 받았으니 앞으로 계속 광고 문자를 보내도 된다”는 식으로 접근하면 안 됩니다.
미당첨자 개인정보는 언제까지 보관하는 것이 좋을까?
미당첨자의 이름, 연락처, 이메일 등을 이벤트 참가 확인과 추첨 목적으로만 수집했다면 판단 기준은 비교적 단순합니다.
당첨자 선정, 결과 안내, 필요한 이의제기나 오류 확인 등 이벤트 운영 목적이 종료된 뒤에도 계속 보관할 이유가 있는지를 확인합니다.
예를 들어 회사가 내부적으로 다음과 같이 설계할 수 있습니다.
- 신청 기간: 이벤트 접수와 중복 응모 확인을 위해 사용
- 추첨 완료 후: 당첨자·미당첨자 확인과 결과 처리
- 결과 확정 후: 이의제기나 연락 오류 처리를 위한 짧은 운영기간 유지
- 운영 목적 종료 후: 다른 법적 보존 근거가 없는 미당첨자 개인정보 파기
여기서 “결과 발표 후 30일”, “이벤트 종료 후 3개월” 같은 기간은 회사가 이벤트 운영 구조와 필요성을 검토해 정할 수 있는 실무적 예시이지, 모든 이벤트 사업자에게 개인정보 보호법이 일률적으로 정해 놓은 법정 기간은 아닙니다.
따라서 단순히 다른 회사의 동의서에서 “3개월”이나 “1년”을 복사하기보다 왜 그 기간이 필요한지를 설명할 수 있어야 합니다.
당첨자 정보는 미당첨자와 보관기간이 달라질 수 있습니다
당첨자는 이벤트가 끝났다고 해서 즉시 모든 개인정보가 불필요해지는 것은 아닐 수 있습니다.
예를 들어 경품 배송을 위해 이름, 휴대전화번호, 주소가 필요하다면 배송 완료 시점까지 해당 정보를 처리할 필요가 있습니다. 경품 관련 문의나 재배송이 진행 중이라면 그 업무도 함께 고려해야 합니다.
또한 경품 지급 과정에서 세무 또는 거래 관련 법령에 따라 별도로 보존해야 하는 기록이 발생한다면 이벤트 신청정보 전체를 계속 보관하는 것이 아니라 법적으로 필요한 기록과 항목만 별도로 구분해 보존하는 구조를 검토해야 합니다.
즉, “당첨자니까 5년 보관”처럼 사람 단위로 기간을 정하기보다는 어떤 기록을 어떤 법적 근거와 목적으로 남기는지 분리하는 편이 정확합니다.
이벤트가 상품 구매와 연결되어 있다면 거래기록은 별도로 봐야 합니다
단순 무료 이벤트와 달리 상품 구매, 결제 또는 전자상거래 계약이 연결된 프로모션이라면 상황이 달라질 수 있습니다.
현행 전자상거래법 시행령 제6조의 거래기록 보존 기준에 따르면 전자상거래 사업자는 표시·광고 기록 6개월, 계약 또는 청약철회 관련 기록 5년, 대금결제 및 재화 등의 공급 기록 5년, 소비자 불만·분쟁처리 기록 3년 등 일정한 거래기록을 보존해야 하는 경우가 있습니다.
하지만 이것을 근거로 이벤트 응모자의 이름, 이메일, 설문 답변 등 모든 개인정보를 5년 동안 보관할 수 있다고 확대해서 해석해서는 곤란합니다.
전자상거래 거래기록과 이벤트 참가자 DB는 목적과 정보 범위가 다를 수 있기 때문입니다. 법정 보존 대상 기록은 별도로 구분하고, 이벤트 운영 목적으로만 수집한 정보는 해당 목적이 끝난 뒤 계속 필요한지 다시 판단해야 합니다.
보유기간이 끝나면 ‘사용 중지’가 아니라 파기까지 이어져야 합니다
개인정보 보호법 제21조는 보유기간이 지나거나 개인정보 처리 목적이 달성되는 등 개인정보가 불필요하게 되었을 때 개인정보를 지체 없이 파기하도록 규정하고 있습니다.
따라서 이벤트 관리 화면에서 신청자를 ‘종료’ 상태로 바꾸는 것만으로 파기가 완료되었다고 보기는 어렵습니다.
- 이벤트 신청 데이터베이스
- 담당자가 다운로드한 엑셀 파일
- 공유 드라이브
- 이메일 첨부파일
- 문자 발송 서비스
- CRM
- 외부 이벤트 운영업체
- 백업 시스템
같은 신청자 데이터가 여러 곳에 복제되어 있을 수 있으므로 실제 데이터 흐름을 기준으로 파기 범위를 확인해야 합니다.
파기 작업을 내부적으로 추적하는 방법은 고객정보 파기대장 작성 방법과 실무 예시에서 더 자세히 확인할 수 있습니다.
전자파일과 종이 신청서는 파기 방법도 다릅니다
보관기간만 정해 놓고 실제 삭제 방법이 없다면 정책이 반쪽짜리가 됩니다.
개인정보 보호법 시행령 제16조에 따르면 전자적 파일 형태의 개인정보는 원칙적으로 복원이 불가능한 방법으로 영구 삭제해야 하며, 종이문서 등은 파쇄 또는 소각하는 방법을 사용합니다.
따라서 다음과 같은 처리는 다시 점검할 필요가 있습니다.
- 엑셀 파일 이름에 ‘삭제예정’을 붙여 계속 보관
- 공유 폴더에서 다른 폴더로 이동
- 신청자를 비활성 상태로만 변경
- 종이 신청서를 일반 쓰레기통에 폐기
- 운영 DB에서는 삭제했지만 담당자의 PC에는 그대로 유지
보관기간 정책에는 “언제 삭제하는가”뿐 아니라 “어디에 존재하는 데이터를 누가 어떤 방식으로 삭제하는가”까지 들어가야 실제 운영이 가능합니다.
외부 이벤트 대행사가 정보를 가지고 있다면?
이벤트를 대행사, 문자 발송업체, 설문 플랫폼, 클라우드 서비스 등과 함께 운영하는 경우 자사 데이터베이스만 삭제해서 끝나는지 확인해야 합니다.
외부 업체가 회사의 이벤트 운영 업무를 대신해 개인정보를 처리하는 것인지, 아니면 받은 정보를 자기 목적에 사용하는 것인지에 따라 법적 관계가 달라질 수 있습니다. 먼저 개인정보 제3자 제공과 처리 위탁의 차이를 구분한 뒤 계약 종료나 이벤트 종료 시 데이터 반환·파기 절차가 있는지 확인하는 편이 좋습니다.
특히 이벤트 대행사가 참가자 명단을 엑셀로 내려받거나 자체 시스템에 업로드했다면 이벤트 페이지를 폐쇄했다는 것만으로 모든 신청자 정보가 없어졌다고 단정해서는 안 됩니다.
이벤트 종료 후 마케팅에 계속 쓰고 싶다면 별도로 설계합니다
이벤트를 통해 확보한 연락처를 이후 뉴스레터, 할인 정보, 신상품 안내 등에 이용하려는 경우가 있습니다.
이때 가장 피해야 할 방식은 이벤트 참가 동의 하나에 장기간의 마케팅 이용까지 묻어 넣는 것입니다.
개인정보 보호법 제22조의 동의 구분 기준을 보면 재화나 서비스를 홍보하거나 판매를 권유하기 위한 개인정보 처리 동의는 정보주체가 명확하게 인지할 수 있도록 구분하여 받아야 하는 사항에 포함됩니다.
따라서 실무적으로는 다음처럼 구분하는 편이 명확합니다.
- 이벤트 운영용 개인정보: 참가 접수, 추첨, 당첨 안내, 경품 지급
- 마케팅용 개인정보: 광고성 정보, 프로모션, 신상품 안내 등
이벤트 운영 목적이 끝났더라도 별도의 적법한 마케팅 처리 근거가 존재한다면 해당 목적과 범위에서 정보 처리가 이어질 수 있습니다. 반대로 마케팅 동의를 받지 않았다면 이벤트 참가자 명단을 단순히 ‘잠재 고객 DB’로 전환해 장기간 보관하는 방식은 피해야 합니다.
실무에서는 ‘보관기간 표’를 먼저 만들면 편합니다
신청폼 문구를 먼저 작성하지 말고 아래처럼 데이터별 종료 조건을 정리해 보세요.
| 데이터 | 처리 목적 | 종료 기준 |
|---|---|---|
| 전체 응모자 이름·연락처 | 접수·중복 확인·추첨 | 추첨과 필요한 후속 처리 종료 |
| 미당첨자 정보 | 결과 확인·이의제기 대응 | 해당 운영 목적 종료 |
| 당첨자 연락처 | 당첨 안내 | 안내 업무 종료 |
| 당첨자 배송지 | 경품 배송 | 배송·필요한 후속 처리 종료 |
| 거래·분쟁 관련 기록 | 법정 보존 또는 분쟁 처리 | 적용 법령이나 처리 목적에 따른 기간 |
| 마케팅 연락처 | 광고성 정보 발송 | 별도의 처리 근거와 보유기간에 따라 관리 |
이 표에서 중요한 것은 숫자를 먼저 채우는 것이 아닙니다. “이 데이터가 언제부터 더 이상 필요한가?”를 먼저 정한 뒤 그에 맞는 기간을 설정하는 것입니다.
동의서에는 이렇게 보유기간을 표현할 수 있습니다
다음은 구조를 이해하기 위한 예시입니다. 실제 문구는 회사의 이벤트 운영 방식과 데이터 흐름에 맞게 수정해야 합니다.
수집·이용 목적: 이벤트 참가 접수, 참가자 확인, 당첨자 선정 및 결과 안내
수집 항목: 이름, 휴대전화번호
보유·이용 기간: 이벤트 종료 및 당첨자 선정·결과 안내 등 관련 업무 종료 후 회사가 정한 필요한 기간까지 보관 후 파기. 단, 관계 법령에 따라 보존할 의무가 있는 정보는 해당 법령에서 정한 기간 동안 별도 보관
다만 “관련 업무 종료 후 일정 기간”처럼 너무 추상적인 표현만 두는 것보다 실제 운영상 기간을 확정할 수 있다면 이용자가 이해할 수 있도록 구체적으로 표시하는 편이 좋습니다.
예를 들어 회사가 실제 운영 절차상 이벤트 종료 후 30일 동안 문의와 이의제기를 받고 그 이후 미당첨자 정보를 삭제하기로 했다면, 그 내부 정책과 신청 화면의 고지 내용이 서로 어긋나지 않아야 합니다.
개인정보 처리방침에도 실제 운영기간을 반영합니다
개인정보 보호법 제30조는 개인정보 처리방침에 개인정보의 처리 및 보유기간과 파기절차·방법 등을 포함하도록 규정하고 있습니다.
따라서 이벤트를 반복적으로 운영하거나 홈페이지에서 상시 신청을 받는다면 이벤트 신청폼에 적힌 내용과 개인정보 처리방침의 보유기간 설명이 충돌하지 않는지도 확인해야 합니다.
처리방침 자체를 정비해야 한다면 개인정보 처리방침 작성 방법에서 수집 경로, 보유기간, 위탁업체와 파기 방법을 데이터 흐름에 맞춰 정리하는 방법을 함께 확인할 수 있습니다.
이벤트 담당자가 바로 확인할 7가지
- 이벤트 신청을 위해 정말 필요한 개인정보만 받고 있는가?
- 각 개인정보를 왜 수집하는지 목적이 명확한가?
- 동의를 받는 경우 보유·이용 기간을 신청자에게 알리고 있는가?
- 미당첨자와 당첨자의 종료 시점을 구분했는가?
- 마케팅 이용 동의를 이벤트 운영 동의와 구분했는가?
- 이벤트 대행사와 문자·메일 업체에 남은 데이터까지 확인할 수 있는가?
- 기간이 끝났을 때 실제 파기가 실행되는 절차가 있는가?
결국 중요한 것은 ‘몇 년’보다 삭제할 시점을 설명할 수 있는가입니다
이벤트 신청자 개인정보의 보관기간을 정할 때 가장 흔한 실수는 다른 회사의 개인정보 동의서에 적힌 “1년”이나 “3년”을 그대로 복사하는 것입니다.
먼저 이벤트 접수, 추첨, 당첨 안내, 배송, 문의 대응, 마케팅처럼 처리 목적을 분리하세요. 그다음 각 목적이 언제 끝나는지 확인하고 실제 필요한 기간만 설정합니다.
보유기간이나 처리 목적이 끝나 개인정보가 더 이상 필요하지 않다면 원칙적으로 지체 없이 파기해야 합니다. 다른 법령 때문에 일부 기록을 남겨야 한다면 필요한 정보만 구분하여 보존하고, 이벤트 신청자 DB 전체를 관성적으로 계속 쌓아 두는 방식은 다시 점검할 필요가 있습니다.
KEEP READING
