장기 미접속 회원 정리, 2023년 유효기간제 폐지 후 기준

장기 미접속 회원 정리는 2023년 9월 15일 개정 개인정보 보호법 시행으로 1년 미이용 시 파기 등을 하던 유효기간제가 없어진 뒤, 사이트가 정한 보유 기간과 목적에 따라 처리하는 방식으로 바뀌었습니다. 이 글에서는 바뀐 내용과 휴면 회원 데이터를 정리하는 순서를 설명합니다.

개인정보 유효기간제는 무엇이었나

흔히 휴면 회원 제도라고 부르던 규정은 개정 전 개인정보 보호법 제39조의6(개인정보의 파기에 대한 특례)이었습니다. 국가법령정보센터에서 2020년 8월 시행 법률을 확인하면 내용은 다음과 같습니다.

• 정보통신서비스 제공자등은 1년 동안 서비스를 이용하지 않은 이용자의 개인정보를 보호하기 위해 파기 등 필요한 조치를 해야 했습니다.
• 다른 법령이나 이용자의 요청에 따라 그 기간을 달리 정할 수 있었습니다.
• 기간이 끝나기 30일 전까지 파기되는 사실, 만료일, 파기되는 항목 등을 전자우편 같은 방법으로 이용자에게 알려야 했습니다.

그래서 많은 사이트가 1년 동안 로그인하지 않은 회원을 휴면 상태로 바꾸고, 정보를 별도 저장소로 분리하거나 파기하고, 그 전에 안내 메일을 보내 왔습니다.

2023년 개정으로 바뀐 점

2023년 3월 14일 공포된 개정 개인정보 보호법(법률 제19234호)은 부칙에 따라 공포 후 6개월이 지난 2023년 9월 15일부터 시행되었습니다. 이 개정에서 제39조의6은 전문개정되어 소송기록 열람 청구 통지에 관한 다른 조문이 되었고, 1년 미이용 기준과 30일 전 안내를 정하던 유효기간제 규정은 법에서 빠졌습니다. 2026년 10월 현재 시행 중인 법률에도 이 규정은 없습니다.

아래 표는 개정 전 유효기간제와 지금 적용되는 기준을 항목별로 비교한 것입니다.

구분	개정 전(제39조의6)	현재
적용 대상	정보통신서비스 제공자등	모든 개인정보처리자(제21조 파기 규정)
처리 기준	1년 미이용 시 파기 등 조치	보유기간 경과·처리 목적 달성 등으로 불필요해지면 지체 없이 파기
사전 안내	기간 만료 30일 전 통지	유효기간제에 따른 30일 전 통지 조항은 없어짐
기간을 정하는 주체	법이 1년으로 정함	개인정보처리자가 정하고 처리방침에 공개

표처럼 바뀐 것은 1년이라는 일률적인 기준과 그에 딸린 통지 규정입니다. 장기 미접속 회원 정보를 기한 없이 보관해도 된다는 뜻은 아닙니다. 사이트가 정한 보유 기간이 지나거나 목적을 달성한 정보는 여전히 파기해야 합니다.

개정 뒤에도 지켜야 하는 기준

현행 개인정보 보호법에서 장기 미접속 회원 정리와 직접 관련된 조문은 다음과 같습니다.

제21조 개인정보의 파기

보유기간의 경과, 처리 목적 달성 등으로 개인정보가 불필요하게 되면 지체 없이 파기해야 합니다. 다른 법령에 따라 보존해야 하는 경우는 예외지만, 이때는 다른 개인정보와 분리해서 저장·관리해야 합니다. 파기할 때는 복구하거나 재생할 수 없도록 조치해야 합니다.

제30조 개인정보 처리방침

개인정보 처리방침에는 개인정보의 처리 및 보유 기간과 파기 절차·방법을 적어야 합니다. 휴면 전환이나 미이용 회원 정리 정책을 바꾸면 처리방침도 함께 고쳐 공개해야 합니다. 처리방침 작성 기준은 개인정보처리방침 작성 필수 항목에서 정리했습니다.

제20조의2 이용·제공 내역의 통지

대통령령으로 정하는 기준에 해당하는 개인정보처리자는 개인정보 이용·제공 내역을 주기적으로 정보주체에게 알려야 합니다. 대상 기준은 시행령에서 정하므로 우리 사이트가 해당하는지 따로 확인해야 합니다.

휴면 회원 데이터를 정리하는 5단계

유효기간제가 없어졌다고 기존 휴면 정책을 그냥 두면 처리방침과 실제 운영이 어긋나기 쉽습니다. 아래 순서로 정책을 다시 정하고 정리합니다.

1. 현재 문구 확인: 개인정보 처리방침과 이용약관에 적힌 휴면 전환, 분리 보관, 파기 관련 문구를 모두 찾습니다.
2. 데이터 현황 파악: 회원별 마지막 로그인 날짜를 확인할 수 있는지, 휴면 회원을 분리해 둔 저장소가 따로 있는지, 백업에 어떤 정보가 남아 있는지 확인합니다.
3. 정책 결정: 일정 기간 이용하지 않은 회원을 탈퇴 처리하고 파기할지, 휴면 상태로 유지할지, 일반 회원으로 되돌릴지 목적에 맞게 정합니다.
4. 처리방침 개정과 안내: 정한 보유 기간과 파기 방법을 처리방침에 반영하고, 회원이 바뀐 내용을 알 수 있도록 공지합니다.
5. 실행과 기록: 복구할 수 없는 방식으로 파기하고, 다른 법령에 따라 남겨야 하는 정보는 분리해 보관한 뒤 처리 내역을 기록합니다.

그림의 3단계에서 1년 미이용 시 휴면 전환 같은 기존 정책을 계속 쓰기로 정할 수도 있습니다. 법이 기준을 정하지 않게 된 것일 뿐이므로, 사이트가 목적에 맞게 기간을 정하고 처리방침에 공개해 그대로 운영하면 됩니다.

정책을 정할 때 따져 볼 점

• 회원 정보가 계속 필요한 목적이 실제로 있는가
• 쇼핑몰의 거래 기록처럼 다른 법령에 따라 보존해야 하는 정보가 있는가
• 예전에 분리해 둔 휴면 회원 저장소를 계속 둘 이유가 있는가
• 홈페이지 프로그램의 휴면 전환·자동 파기 기능이 새 정책대로 설정되어 있는가
• 백업 파일에 남은 정보를 어떻게 처리할지 정했는가

보존 의무가 있는 법령과 기간은 업종에 따라 다르므로, 판단이 어렵다면 개인정보보호위원회 상담이나 전문가의 확인을 받으세요. 파기 방법과 보관 기간을 정하는 기준은 개인정보 보관 기간과 파기 방법에서 더 자세히 다뤘습니다.

디코랩이 돕는 방식

디코랩은 운영 중인 사이트의 수정·오류·개선 요청을 받아 처리합니다. 휴면 전환 기능을 끄거나 미이용 회원 정리 기준을 바꾸는 작업이 필요하다면 유지보수 접수 게시판에 비밀글로 사이트 주소와 원하는 정책을 남겨 주세요. 정책 자체의 법률 판단은 전문가 확인을 함께 받는 것을 권합니다.

자주 묻는 질문

이제 1년 미접속 회원을 휴면 전환하지 않아도 되나요?

법에서 1년 기준이 빠졌으므로 법이 정한 의무로서의 휴면 전환은 없어졌습니다. 다만 사이트가 정한 보유 기간이 지나거나 목적을 달성한 정보는 제21조에 따라 파기해야 합니다.

기존 휴면 정책을 그대로 유지해도 되나요?

유지할 수 있습니다. 사이트가 스스로 정한 기준으로 운영하는 것이므로, 처리방침에 기간과 처리 방법을 정확히 적고 실제 운영도 그대로 맞추면 됩니다.

예전에 분리 보관한 휴면 회원 정보는 어떻게 하나요?

새로 정한 정책에 따라 파기하거나 일반 회원 정보로 되돌리는 방법이 있습니다. 어느 쪽이든 처리방침에 반영하고 회원이 알 수 있도록 안내하는 것이 바람직하며, 세부 절차는 개인정보보호위원회나 전문가에게 확인하세요.

파기는 데이터를 지우기만 하면 되나요?

법은 복구하거나 재생할 수 없도록 조치하라고 정하고 있습니다. 운영 데이터뿐 아니라 백업과 내려받은 파일에 같은 정보가 남아 있지 않은지도 함께 확인해야 합니다.

장기 미접속 회원 정책을 바꾸면서 사이트 기능도 함께 손봐야 한다면 사이트 주소와 현재 정책을 적어 디코랩 프로젝트 문의로 보내 주세요.