경품 이벤트 개인정보는 고지한 보유기간이 지나거나 추첨·당첨확인·배송 등 처리 목적이 끝나 더 이상 필요하지 않게 되면 지체 없이 파기하는 것이 원칙입니다. 다만 당첨자 발표일 = 모든 응모정보의 즉시 파기일이라고 일률적으로 단정할 수는 없습니다.
어려운 말 먼저 보기 — 본문에 나오는 법률 용어를 일상적인 말로 풀었습니다.
- 개인정보: 살아 있는 개인에 관한 정보로서 그 개인을 알아볼 수 있거나 다른 정보와 쉽게 결합해 알아볼 수 있는 정보
- 손해배상: 위법한 행위나 계약 위반으로 생긴 손해를 갚는 책임
재추첨 가능기간, 중복응모·부정참여 확인, 당첨 이의처리처럼 응모자에게 미리 알린 운영 목적이 남아 있을 수 있기 때문입니다. 반대로 단지 나중에 마케팅에 쓸 수도 있다는 막연한 이유만으로 전체 응모정보를 계속 보관해서는 안 됩니다.
먼저 결론: 정보별 처리 기준
| 정보·상황 | 우선 확인할 기준 |
|---|---|
| 미당첨자 이름·연락처 | 고지한 보유기간, 재추첨·이의처리 종료일 |
| 당첨자 연락처·주소 | 본인확인·경품배송 완료와 분쟁처리 기간 |
| 당첨자 세무정보 | 세금처리에 필요한 법적 근거와 보존기간 |
| 광고 문자·전화 | 이벤트 동의와 분리된 마케팅 이용 근거 |
| 제휴사 전달 | 제3자 제공 동의 또는 다른 법적 근거 |
| 배송업체 전달 | 처리위탁의 목적·범위·수탁자 관리 |
| 사진·후기 공개 | 촬영·게시·홍보 이용에 대한 별도 고지·동의 |
| 삭제 요청 | 법정 보존의무·계약이행 등 예외가 있는지 |
개인정보는 ‘기업이 빌린 내 소유물’과 완전히 같은 개념은 아닙니다
이름·휴대전화번호·이메일·주소는 개인을 알아볼 수 있게 하는 개인정보입니다. 그러나 이를 물건의 소유권처럼 설명하기보다 정보주체가 자신의 개인정보 처리에 관해 통제하고 권리를 행사할 수 있는 정보라고 이해하는 편이 정확합니다.
개인정보처리자는 개인정보 보호법 제15조에 따른 동의·계약이행·법령상 의무 등 적법한 근거가 있어야 수집·이용할 수 있습니다.
동의를 받는다면 최소한 다음을 명확히 알려야 합니다.
- 수집·이용 목적
- 수집하는 항목
- 보유·이용기간
- 동의를 거부할 권리
- 거부할 때 생기는 불이익이 있다면 그 내용
이벤트 참여 및 제휴사 마케팅 등처럼 서로 다른 목적을 한 문장에 묶어 포괄적으로 동의받으면 응모자가 무엇을 선택하는지 알기 어렵습니다.
이벤트에 필요한 최소 정보만 받아야 합니다
개인정보 보호법 제16조에 따라 목적에 필요한 최소한의 개인정보만 수집해야 합니다.
응모 단계
일반적인 온라인 추첨이라면 다음 정보만으로도 운영할 수 있는지 검토합니다.
- 이름 또는 닉네임
- 당첨 연락용 휴대전화번호·이메일
- 중복응모를 확인할 최소 식별값
- 응모 조건을 확인할 정보
배송주소·계좌·주민등록번호가 당첨자에게만 필요하다면 모든 응모자에게 미리 받을 이유가 약합니다. 당첨 후 필요한 사람에게만 안전한 방식으로 추가 수집하는 편이 개인정보 최소수집 원칙에 맞습니다.
당첨 단계
- 본인 확인
- 경품 배송
- 제세공과금 등 세무 처리
- 배송오류·반송·분쟁 대응
목적별로 항목과 보유기간을 나누고, 고유식별정보가 필요하다면 법이 허용하는 별도 근거를 확인해야 합니다.
미당첨자 정보는 언제 불필요해지나
개인정보 보호법 제21조는 보유기간이 지나거나 처리 목적이 달성되는 등 개인정보가 불필요해졌을 때 지체 없이 파기하도록 합니다.
경품 이벤트에서는 다음 일정을 먼저 표로 만드세요.
- 응모 마감일
- 당첨자 추첨일
- 당첨자 발표·연락기간
- 연락 불가 시 재추첨기간
- 중복·부정응모 확인기간
- 이의제기·고객문의 처리기간
- 경품 발송·반송·재배송 종료일
- 고지한 개인정보 보유기간 종료일
예를 들어 당첨자 발표 후 30일까지라고 적법하게 고지했고 그 기간에 재추첨과 이의처리가 실제로 필요하다면 발표 당일 일괄 파기가 정답은 아닐 수 있습니다. 그러나 모든 절차가 끝났는데도 분석·마케팅 가능성만을 이유로 무기한 보유하는 것은 정당화되기 어렵습니다.
보유기간을 회원 탈퇴 시까지라고 적었다면 이벤트 응모가 실제 회원가입과 결합돼 있었는지, 필수 가입이 필요한지, 별도 서비스 계약이 성립했는지도 확인해야 합니다.
당첨자 정보는 미당첨자보다 오래 보관할 수 있지만 무제한은 아닙니다
당첨자는 본인확인·배송·세금·분쟁처리 때문에 추가 정보가 필요할 수 있습니다. 그렇더라도 전체 응모정보를 하나의 파일로 계속 두기보다 목적별로 분리합니다.
| 처리 목적 | 보관할 수 있는 정보의 예 | 종료 기준의 예 |
|---|---|---|
| 당첨 확인 | 성명·연락처·응모번호 | 확인·재추첨 종료 |
| 배송 | 수령인·주소·연락처 | 배송·반송·분쟁 종료 |
| 세무 | 법령상 필요한 식별·지급자료 | 해당 법령의 보존기간 |
| 민원 | 문의내용·처리기록 | 분쟁처리 필요기간 |
| 홍보 | 사진·후기·계정명 | 별도 동의의 목적·기간 |
다른 법령에 따라 보존해야 하는 정보는 파기하지 않을 수 있지만, 제21조는 해당 정보를 다른 개인정보와 분리해 저장·관리하도록 정합니다.
경품 응모 동의로 광고까지 할 수 있는 것은 아닙니다
경품 추첨을 위해 받은 전화번호를 보험·상품 광고에 사용하는 것은 원래 목적을 벗어날 수 있습니다. 개인정보 보호법 제18조는 수집 목적 범위를 초과한 이용·제공을 원칙적으로 제한합니다.
마케팅을 함께 하려면 다음을 구분하세요.
- 이벤트 운영에 필요한 필수 처리
- 광고·혜택 알림을 위한 선택 처리
- 제휴사에 정보를 넘기는 제3자 제공
- 이벤트 대행사가 주최자를 대신해 처리하는 위탁
- 당첨 후기·사진을 공개하는 홍보 이용
선택 동의란에 체크하지 않았다는 이유로 이벤트 응모를 막으려면 그 정보가 이벤트 제공에 실제로 필요한지 설명할 수 있어야 합니다. 개인정보 보호법 제22조의 동의 방식과 선택 여부를 확인하세요.
광고성 정보 전송에는 개인정보 보호법 외에도 매체·수신동의 방식에 따른 별도 규제가 적용될 수 있으므로 개인정보 동의 하나 받았으니 문자·전화·이메일을 모두 보낼 수 있다고 생각해서는 안 됩니다.
제3자 제공과 처리위탁은 다릅니다
제3자 제공
제휴사나 공동주최사가 자신의 목적을 위해 응모정보를 사용하는 구조입니다. 개인정보 보호법 제17조에 따른 제공받는 자, 제공 목적, 항목과 보유기간 등을 확인합니다.
처리위탁
배송업체·이벤트 대행사가 주최자의 지시에 따라 추첨·연락·배송만 수행하는 구조입니다. 개인정보 보호법 제26조에 따라 위탁업무와 수탁자를 공개하고 안전하게 관리·감독해야 합니다.
외부 업체에 넘겼으니 주최자는 책임이 없다거나, 반대로 외부업체가 관여하면 언제나 제3자 제공 동의가 필요하다고 단정하지 마세요. 누가 처리 목적과 방법을 결정하는지를 봐야 합니다.
파기는 복구되지 않는 방식이어야 합니다
제21조와 개인정보 보호법 시행령 제16조에 따라 파기할 때는 복구·재생되지 않도록 조치해야 합니다.
- 전자파일은 복구하기 어려운 방식으로 삭제
- 종이 응모지는 분쇄·소각 등으로 파기
- 업무용 PC·공유폴더·메일 첨부파일까지 점검
- 대행사·배송업체의 사본과 내려받기 파일 확인
- 백업본의 보존주기·접근통제·삭제 절차 관리
- 법정 보존자료는 별도 영역에 분리
엑셀 행을 화면에서 숨기거나 휴지통으로 옮긴 것만으로 파기가 끝났다고 보기 어렵습니다. 파기일·대상·방법·담당자를 기록해 실제 이행을 입증할 수 있어야 합니다.
응모자가 할 수 있는 요구
정보주체는 개인정보처리자에게 다음 권리를 행사할 수 있습니다.
요청할 때는 다음처럼 구체적으로 적으세요.
2026년 7월 1일 참여한 ○○ 경품 이벤트와 관련하여 현재 처리 중인 제 개인정보의 항목·목적·보유기간·제3자 제공 및 위탁 현황을 알려 주시기 바랍니다. 이벤트 운영 목적과 법정 보존의무가 끝난 정보는 삭제하고 마케팅 동의는 철회합니다.
처리자는 다른 법령의 보존의무, 계약이행과 제3자 권리 등 법정 사유가 있으면 일부 요구를 거절할 수 있지만, 그 사유를 알려야 합니다.
파기되지 않았거나 광고에 이용됐다면
- 이벤트 페이지와 개인정보 동의문을 저장합니다.
- 응모일·발표일·보유기간을 기록합니다.
- 받은 광고 문자·전화·이메일의 발신자와 내용을 보관합니다.
- 주최자·대행사·제휴사의 명칭을 확인합니다.
- 열람·삭제·처리정지 요구를 서면으로 보냅니다.
- 답변과 처리결과를 보관합니다.
- 해결되지 않으면 개인정보 침해신고·분쟁조정과 손해배상을 검토합니다.
- 유출 정황이 있다면 비밀번호 변경·명의도용 확인 등 피해확산을 먼저 막습니다.
위반이 있었다는 사실만으로 모든 응모자에게 같은 손해배상액이 자동 인정되는 것은 아닙니다. 처리의 위법성, 유출·광고 이용 범위, 실제 피해와 인과관계를 구체적으로 정리해야 합니다.
이벤트 운영자 체크리스트
- 응모에 꼭 필요한 항목만 받는가
- 배송주소는 당첨자에게만 추가로 받는가
- 필수 이벤트 동의와 선택 마케팅 동의를 분리했는가
- 보유기간이 구체적이고 실제 일정과 맞는가
- 재추첨·이의처리 종료 뒤 미당첨자 정보를 파기하는가
- 당첨자 세무·배송정보의 보존 근거를 구분했는가
- 제3자 제공과 처리위탁을 정확히 표시했는가
- 수탁자의 다운로드·사본·파기까지 확인하는가
- 접근권한·암호화·파기기록을 관리하는가
- 정보주체 요구를 받을 담당자와 절차가 있는가
경품 이벤트 개인정보는 당첨됐는지보다 처리 목적과 보유기간이 끝났는지를 기준으로 관리해야 합니다.
