Insights
신고가 끝나면 저절로 없어지지 않습니다. 언제까지 갖고 있어도 되고, 언제 지워야 하는지부터 정리합니다.
경품 당첨자의 주민등록번호를 받아 원천징수 신고를 마치고 나면, 그 정보는 담당자 PC나 구글 시트 어딘가에 그대로 남아 있는 경우가 많습니다. 신고가 끝났다고 자동으로 삭제되는 게 아니라 담당자가 직접 파기해야 하기 때문입니다.
2026-09-11 시행 개정으로 개인정보 유출 시 과징금 상한이 매출액의 10%까지 확대되면서, “신고만 끝내면 된다”는 생각이 더 위험해졌습니다.
이벤트 하나가 끝나면 담당자는 다음 이벤트로 넘어갑니다. 신고까지 마친 당첨자 명단은 우선순위에서 밀려나고, 구글 시트나 메일함 어딘가에 그대로 남습니다. 문제는 이 정보가 주민등록번호를 포함한 고유식별정보라는 점입니다. 유출되면 담당자 개인과 회사 모두 책임을 지게 됩니다.
담당자가 바뀌거나 업무를 인수인계할 때도 위험합니다. 예전 이벤트 자료를 통째로 넘기는 과정에서 파기했어야 할 개인정보가 함께 넘어가는 경우가 실무에서 자주 발생합니다.
개인정보보호법은 개인정보처리자가 개인정보의 처리 목적을 달성한 경우 지체없이 그 개인정보를 파기하도록 정하고 있습니다. 경품 이벤트에서는 원천징수 신고와 지급명세서 제출이 끝난 시점이 곧 “목적을 달성한 시점”입니다.
“지체없이”가 정확히 며칠은 아닙니다
법 문언은 구체적인 일수를 못 박지 않고 “지체없이”라고만 표현합니다. 그래서 실무에서는 목적 달성 시점을 기준으로 합리적인 기간 내에 파기했는지가 쟁점이 됩니다. 기준을 너무 느슨하게 잡아두면 “왜 몇 달씩 갖고 있었냐”는 질문에 답하기 어려워집니다.
유니큐브는 원천징수 신고와 지급명세서 제출까지 끝난 시점을 기준으로 1개월 이내에 당첨자 개인정보를 파기하는 것을 내부 운영 기준으로 삼고 있습니다. 법이 정한 구체적인 일수는 없지만, “지체없이”라는 원칙을 실무에서 지킬 수 있는 형태로 정해둔 것입니다.
파기가 완료되면 그 사실을 정산 자료와 함께 고객사에 알려, 담당자가 별도로 확인하지 않아도 파기 여부를 알 수 있도록 합니다.
경품 구매·발송은 다른 업체에 맡기고, 제세공과금 처리만 유니큐브가 진행하는 경우에도 당첨자 개인정보는 유니큐브로 전달됩니다. 이때 개인정보 처리위탁 계약을 먼저 체결해, 수집·보관·파기 각 단계의 책임 소재를 문서로 명확히 해둬야 합니다.
계약 없이 명단만 주고받으면, 나중에 유출이나 분쟁이 생겼을 때 어느 쪽 책임인지 가리기가 어려워집니다. 계약서에는 수집 목적, 보관 기간, 파기 방법과 시점을 구체적으로 적어두는 것이 좋습니다.
파기는 했지만 기록이 없으면, 추후 감사나 문의가 들어왔을 때 소명할 방법이 없습니다. 파기 완료 일자와 대상 건수를 정산 자료에 함께 남겨두면, 필요할 때 바로 확인할 수 있습니다.
기록 항목
파기 일자
기록 항목
파기 대상 건수
기록 항목
파기 방법
| 실수 | 왜 위험한가 |
|---|---|
| 신고 후에도 엑셀 파일 보관 | 목적을 달성했는데도 계속 갖고 있으면 지체없이 파기 원칙 위반 |
| 인수인계 문서에 명단 포함 | 담당자 교체 시 파기 대상 정보가 오히려 더 퍼짐 |
| 파기 여부를 기록하지 않음 | 실제로 파기했어도 증명할 방법이 없음 |
이 글은 개인정보보호법의 일반 원칙을 바탕으로 작성했습니다. 구체적인 보관·파기 기준은 처리하는 개인정보의 종류와 이벤트 성격에 따라 달라질 수 있으므로, 실제 적용 전에는 개별 확인을 권해 드립니다.
유니큐브는 당첨자 개인정보 수집부터 원천징수 신고, 신고 완료 후 1개월 이내 파기까지 처리위탁 계약을 통해 대행합니다. 담당자 메일함이나 구글 시트에 주민등록번호가 남지 않는 구조로 진행합니다.
경품 구매를 맡기지 않으셨어도 제세공과금과 개인정보 처리만 단독으로 진행할 수 있습니다.
