개인정보 삭제 요구권, 완벽 가이드
개인정보 보호법 제36조의 삭제 요구권이 열람에서 어떻게 출발하는지, 삭제를 거절할 수 있는 유일한 문언은 어디에 있는지, 처리정지와 동의 철회를 정한 제37조와는 어떻게 갈리는지를 조문 문언으로 짚습니다.
이 주제로 지누 리더에게 1:1 질문하기삭제 요구권은 열람에서 시작한다
개인정보 보호법 제4조는 정보주체가 자신의 개인정보 처리와 관련하여 가지는 권리를 여섯 가지로 나열하면서, 제4호에서 개인정보의 처리 정지와 정정 및 삭제, 파기를 요구할 권리를 명시합니다. 이 권리를 구체화한 조문이 개인정보 보호법 제36조입니다. 개인정보 보호법 제36조제1항은 개인정보 보호법 제35조에 따라 자신의 개인정보를 열람한 정보주체가 개인정보처리자에게 그 개인정보의 정정 또는 삭제를 요구할 수 있다고 정합니다. 문언이 말해 주듯 삭제 요구는 허공에서 시작되지 않습니다. 개인정보 보호법 제35조제1항에 따른 열람 요구로 내 정보가 무엇인지 확인하는 단계가 앞에 놓여 있고, 그 열람을 거쳐야 삭제 요구가 조문상의 권리로 작동합니다. 많은 분이 탈퇴했으니 지워졌겠거니 생각하지만, 개인정보 보호법이 설계한 순서는 열람으로 대상을 특정하고, 삭제를 요구하고, 개인정보처리자가 조사한 뒤 그 결과를 통지하는 것입니다.
핵심 용어 정리
정정 또는 삭제 요구권
개인정보 보호법 제36조제1항은 개인정보 보호법 제35조에 따라 자신의 개인정보를 열람한 정보주체가 개인정보처리자에게 그 개인정보의 정정 또는 삭제를 요구할 수 있다고 정합니다. 요구를 받은 개인정보처리자는 개인정보 보호법 제36조제2항에 따라 다른 법령에 특별한 절차가 규정되어 있는 경우를 제외하고는 지체 없이 그 개인정보를 조사하여 요구에 따라 필요한 조치를 한 후 그 결과를 정보주체에게 알려야 합니다. 삭제할 때에는 개인정보 보호법 제36조제3항에 따라 복구 또는 재생되지 아니하도록 조치하여야 하므로, 화면에서 보이지 않게 가리는 처리만으로는 조문이 요구하는 삭제에 이르지 못합니다.
다른 법령에서 수집 대상으로 명시된 개인정보
개인정보 보호법 제36조제1항 단서는 다른 법령에서 그 개인정보가 수집 대상으로 명시되어 있는 경우에는 그 삭제를 요구할 수 없다고 정합니다. 개인정보 보호법이 삭제 요구 자체를 막는 문언은 이 단서 하나뿐입니다. 개인정보처리자는 정보주체의 요구가 이 단서에 해당할 때에는 개인정보 보호법 제36조제4항에 따라 지체 없이 그 내용을 정보주체에게 알려야 합니다. 삭제가 안 된다는 답을 받았다면 어느 법령의 어느 조문이 그 정보를 수집 대상으로 명시하고 있는지가 함께 통지되어야 하며, 근거를 대지 않은 채 내부 방침만 내세운 거절은 개인정보 보호법 제36조제4항이 요구하는 통지에 미치지 못합니다.
처리정지 요구와 동의 철회
개인정보 보호법 제37조제1항은 정보주체가 개인정보처리자에 대하여 자신의 개인정보 처리의 정지를 요구하거나 개인정보 처리에 대한 동의를 철회할 수 있다고 정합니다. 개인정보처리자는 개인정보 보호법 제37조제2항 본문에 따라 지체 없이 개인정보 처리의 전부를 정지하거나 일부를 정지하여야 하고, 같은 항 각 호에 해당하는 경우에만 거절할 수 있습니다. 동의가 철회된 때에는 개인정보 보호법 제37조제3항에 따라 지체 없이 수집된 개인정보를 복구하거나 재생할 수 없도록 파기하는 등 필요한 조치를 하여야 합니다. 삭제 요구와 달리 동의 철회는 열람을 앞세우지 않아도 되는 권리입니다.
개인정보처리자의 파기 의무
개인정보 보호법 제21조제1항은 개인정보처리자가 보유기간의 경과, 개인정보의 처리 목적 달성, 가명정보의 처리 기간 경과 등 그 개인정보가 불필요하게 되었을 때에는 지체 없이 그 개인정보를 파기하여야 한다고 정하고, 다른 법령에 따라 보존하여야 하는 경우만 예외로 둡니다. 이 의무는 정보주체가 아무것도 요구하지 않아도 작동합니다. 개인정보 보호법 제21조제2항은 파기할 때 복구 또는 재생되지 아니하도록 조치할 것을 요구하고, 개인정보 보호법 제21조제3항은 예외에 따라 보존하는 경우 해당 개인정보를 다른 개인정보와 분리하여서 저장하고 관리하도록 요구합니다.
심층 분석
삭제 요구를 둘러싼 실무의 가장 흔한 오해는 거절 사유를 뒤섞는 데서 생깁니다. 개인정보 보호법 제36조제1항 단서가 정한 삭제 거절 사유는 다른 법령에서 그 개인정보가 수집 대상으로 명시되어 있는 경우 하나입니다. 반면 다른 사람의 생명이나 신체를 해할 우려가 있거나 다른 사람의 재산과 그 밖의 이익을 부당하게 침해할 우려가 있는 경우라는 문언은 개인정보 보호법 제37조제2항 제2호, 곧 처리정지 요구를 거절할 수 있는 사유에 들어 있고, 같은 취지의 문언이 개인정보 보호법 제35조제4항 제2호에서 열람을 제한하거나 거절할 수 있는 사유로 다시 등장합니다. 그 문언은 처리정지와 열람의 문턱이지 삭제의 문턱이 아닙니다. 마찬가지로 계약의 이행이 곤란한 경우라는 사유도 개인정보 보호법 제37조제2항 제4호의 처리정지 거절 사유일 뿐 삭제를 막는 근거가 아닙니다. 두 번째로 갈리는 지점은 무엇을 요구할 것인가입니다. 개인정보 보호법 제36조의 삭제는 열람으로 특정된 개인정보를 대상으로 하지만, 개인정보 보호법 제37조제1항의 동의 철회는 그 정보를 처리할 근거 자체를 거두는 행위입니다. 동의를 받아 수집한 정보라면 철회가 더 강하게 작동할 수 있습니다. 개인정보 보호법 제37조제3항이 동의를 철회한 때에 지체 없이 수집된 개인정보를 복구하거나 재생할 수 없도록 파기하는 등 필요한 조치를 하도록 정하기 때문입니다. 반대로 분쟁에 대비해 기록을 남겨야 한다면 개인정보 보호법 제37조제2항의 처리정지가 어울립니다. 세 번째는 아무것도 요구하지 않아도 작동하는 축입니다. 개인정보 보호법 제21조제1항은 개인정보가 불필요하게 되었을 때 지체 없이 파기할 의무를 개인정보처리자 자신에게 지웁니다. 다른 법령에 따라 보존하는 경우에는 개인정보 보호법 제21조제3항에 따라 그 정보를 다른 개인정보와 분리하여서 저장하고 관리해야 하므로, 보존 근거가 있다는 답을 받았더라도 그 정보가 영업용 데이터베이스에 그대로 섞여 있다면 그 사실 자체가 별개의 위반이 됩니다.
절차 안내
1단계: 처리방침에서 보유 항목과 보존 근거를 찾는다
개인정보 보호법 제30조제1항은 개인정보처리자가 개인정보의 처리 목적, 개인정보의 처리 및 보유 기간, 개인정보의 파기절차 및 파기방법, 정보주체와 법정대리인의 권리와 의무 및 그 행사방법에 관한 사항 등을 담은 개인정보 처리방침을 정하도록 요구합니다. 특히 개인정보 보호법 제30조제1항 제3호의2는 개인정보를 보존하여야 하는 경우 그 보존근거와 보존하는 개인정보 항목까지 적도록 하므로, 어디에서 거절이 예상되는지를 미리 가려낼 수 있습니다.
2단계: 개인정보 보호법 제35조에 따라 열람을 요구한다
개인정보 보호법 제35조제1항은 정보주체가 개인정보처리자가 처리하는 자신의 개인정보에 대한 열람을 해당 개인정보처리자에게 요구할 수 있다고 정합니다. 공공기관에 대해서는 개인정보 보호법 제35조제2항에 따라 직접 열람을 요구하거나 보호위원회를 통하여 요구할 수 있습니다. 삭제 요구는 개인정보 보호법 제36조제1항 문언상 열람한 정보주체에게 주어지므로, 이 단계에서 남아 있는 항목을 확정해야 다음 단계가 성립합니다.
3단계: 정해진 방법과 절차로 삭제를 요구한다
개인정보 보호법 제38조제1항은 열람과 전송, 정정 및 삭제, 처리정지와 동의 철회 등의 요구를 열람등요구로 묶어 부르면서 문서 등 대통령령으로 정하는 방법과 절차에 따라 대리인에게 하게 할 수 있다고 정합니다. 개인정보 보호법 제38조제4항은 열람등요구의 방법과 절차가 해당 개인정보의 수집 방법과 절차보다 어렵지 아니하도록 하여야 한다고 요구하므로, 가입보다 까다로운 삭제 절차는 이 조문으로 다툴 수 있습니다.
4단계: 조사 결과와 거절 사유를 통지받는다
개인정보 보호법 제36조제2항은 요구를 받은 개인정보처리자가 지체 없이 그 개인정보를 조사하여 필요한 조치를 한 후 그 결과를 정보주체에게 알리도록 정합니다. 요구가 개인정보 보호법 제36조제1항 단서에 해당해 삭제할 수 없다면 개인정보 보호법 제36조제4항에 따라 지체 없이 그 내용을 알려야 합니다. 개인정보 보호법 제36조제5항은 조사에 필요하면 증거자료를 제출하게 할 수 있다고 정하므로, 자료 요청 자체가 부당한 지연은 아닙니다.
5단계: 이의와 분쟁조정, 침해 신고로 나아간다
개인정보 보호법 제38조제5항은 개인정보처리자가 열람등요구에 대한 거절 등 조치에 불복이 있는 경우 이의를 제기할 수 있도록 필요한 절차를 마련하고 안내하여야 한다고 정합니다. 그래도 풀리지 않으면 개인정보 보호법 제43조제1항에 따라 분쟁조정위원회에 분쟁조정을 신청할 수 있고, 개인정보 보호법 제43조제3항은 통지를 받은 개인정보처리자가 특별한 사유가 없으면 조정에 응하여야 한다고 정합니다.
핵심 법령
아래 법령 조문은 게시 전 국가법령정보센터(law.go.kr)와 실시간 대조하여 실존을 확인했습니다.
개인정보 보호법 제4조
정보주체가 자신의 개인정보 처리와 관련하여 처리에 관한 정보를 제공받을 권리, 동의 여부와 동의 범위 등을 선택하고 결정할 권리, 처리 여부를 확인하고 열람 및 전송을 요구할 권리, 처리 정지와 정정 및 삭제, 파기를 요구할 권리 등을 가진다고 규정한다
개인정보 보호법 제36조
자신의 개인정보를 열람한 정보주체가 개인정보처리자에게 그 개인정보의 정정 또는 삭제를 요구할 수 있도록 하되 다른 법령에서 그 개인정보가 수집 대상으로 명시되어 있는 경우에는 삭제를 요구할 수 없도록 하고, 개인정보처리자가 지체 없이 조사하여 필요한 조치를 한 후 결과를 알릴 의무와 복구 또는 재생되지 아니하도록 조치할 의무를 규정한다
개인정보 보호법 제37조
정보주체가 개인정보 처리의 정지를 요구하거나 개인정보 처리에 대한 동의를 철회할 수 있도록 하고, 개인정보처리자가 지체 없이 처리의 전부 또는 일부를 정지할 의무와 각 호에 해당하는 경우 거절할 수 있음을 규정하며, 동의가 철회된 때 수집된 개인정보를 복구하거나 재생할 수 없도록 파기할 의무를 규정한다
개인정보 보호법 제21조
개인정보처리자가 보유기간의 경과나 처리 목적 달성 등으로 개인정보가 불필요하게 되었을 때 지체 없이 파기하여야 하되 다른 법령에 따라 보존하여야 하는 경우는 예외로 하고, 파기할 때 복구 또는 재생되지 아니하도록 조치할 의무와 보존하는 개인정보를 다른 개인정보와 분리하여서 저장하고 관리할 의무를 규정한다
실무 주의사항
- 삭제가 거절되었다면 그 거절이 개인정보 보호법 제36조제1항 단서에 해당하는지를 먼저 확인하십시오. 개인정보 보호법 제36조제4항은 요구가 그 단서에 해당할 때 지체 없이 그 내용을 정보주체에게 알리도록 정합니다. 어느 법령의 어느 조문이 그 개인정보를 수집 대상으로 명시했는지를 밝히지 않고 내부 방침만 내세운 답변은 요건을 갖춘 거절로 보기 어렵습니다.
- 앱을 지우는 행위와 개인정보 보호법 제36조의 삭제 요구, 개인정보 보호법 제37조제1항의 동의 철회는 서로 다른 행위입니다. 개인정보 보호법 제37조제3항은 동의를 철회한 때에 비로소 개인정보처리자가 지체 없이 수집된 개인정보를 복구하거나 재생할 수 없도록 파기하는 등 필요한 조치를 하도록 정하므로, 무엇을 행사하는지 의사표시 단계에서 분명히 특정해 두어야 나중에 다툴 근거가 남습니다.
- 삭제 대신 처리정지를 고르더라도 거절 가능성은 남습니다. 개인정보 보호법 제37조제2항 각 호는 법률에 특별한 규정이 있거나 법령상 의무 준수를 위하여 불가피한 경우, 다른 사람의 생명이나 신체를 해할 우려가 있는 경우, 계약의 이행이 곤란한 경우로서 정보주체가 계약 해지 의사를 명확하게 밝히지 아니한 경우 등을 거절 사유로 둡니다. 해지 의사를 함께 밝히면 마지막 사유는 막힙니다.
자주 묻는 질문
회원 탈퇴만 하면 내 정보가 전부 즉시 삭제되나요?
개인정보 보호법 제21조제1항은 보유기간의 경과나 처리 목적 달성 등으로 개인정보가 불필요하게 되었을 때 지체 없이 파기하도록 정하지만, 다른 법령에 따라 보존하여야 하는 경우는 예외로 둡니다. 그래서 탈퇴해도 남는 항목이 생깁니다. 다만 개인정보 보호법 제21조제3항은 그 개인정보를 다른 개인정보와 분리하여서 저장하고 관리하도록 요구합니다. 무엇이 어떤 근거로 남는지는 개인정보 보호법 제30조제1항 제3호의2에 따라 처리방침에 적혀 있어야 합니다.
기업이 삭제 요구를 거부할 수 있는 정당한 사유는 무엇인가요?
개인정보 보호법 제36조제1항 단서는 다른 법령에서 그 개인정보가 수집 대상으로 명시되어 있는 경우에만 삭제를 요구할 수 없다고 정합니다. 흔히 거절 사유로 언급되는 다른 사람의 생명이나 신체를 해할 우려나 계약의 이행이 곤란한 경우는 개인정보 보호법 제37조제2항 각 호가 정한 처리정지 거절 사유이고, 열람에 관해서는 개인정보 보호법 제35조제4항 각 호가 제한과 거절 사유를 따로 둡니다. 삭제를 요구했는데 처리정지 거절 사유로 답이 돌아왔다면 근거 조문을 다시 물으셔야 합니다.
전화번호가 바뀌었는데 예전 번호로 가입된 정보를 삭제할 수 있나요?
개인정보 보호법 제36조제5항은 개인정보처리자가 조사를 할 때 필요하면 해당 정보주체에게 정정 또는 삭제 요구사항의 확인에 필요한 증거자료를 제출하게 할 수 있다고 정합니다. 본인 확인 수단이 바뀌었더라도 이 조문을 통해 다른 자료로 본인임을 소명할 수 있습니다. 또 개인정보 보호법 제38조제4항은 열람등요구의 방법과 절차가 해당 개인정보의 수집 방법과 절차보다 어렵지 아니하도록 하여야 한다고 정하므로, 삭제 단계에서만 새 서류를 요구하는 운영은 다툴 여지가 있습니다.
삭제 대신 처리정지를 요구하는 편이 유리할 때가 있나요?
있습니다. 개인정보 보호법 제37조제2항 본문은 처리정지 요구를 받은 개인정보처리자가 지체 없이 개인정보 처리의 전부를 정지하거나 일부를 정지하여야 한다고 정하므로, 정보를 남겨 둔 채 이용만 멈추게 할 수 있습니다. 반대로 개인정보 보호법 제37조제1항의 동의 철회는 개인정보 보호법 제37조제3항에 따라 지체 없는 파기로 이어져 되돌릴 수 없습니다. 다만 개인정보 보호법 제37조제5항은 처리가 정지된 개인정보에 대하여도 지체 없이 파기 등 필요한 조치를 하도록 정합니다.
삭제를 요구했는데도 광고 문자가 계속 온다면 어떻게 하나요?
먼저 개인정보 보호법 제37조제1항에 따라 광고 목적 처리에 대한 동의를 철회하면서 처리정지를 함께 요구하십시오. 개인정보 보호법 제37조제4항은 개인정보처리자가 처리정지 요구를 거절하거나 동의 철회에 따른 조치를 하지 아니하였을 때 정보주체에게 지체 없이 그 사유를 알리도록 정하므로, 아무 답변 없이 발송만 이어지는 상태 자체가 다툴 지점이 됩니다. 그래도 멈추지 않으면 개인정보 보호법 제62조제1항에 따라 보호위원회에 침해 사실을 신고할 수 있습니다.
