경품 이벤트 개인정보 파기: 미당첨자 보유기간·마케팅 동의

경품 이벤트 개인정보는 고지한 보유기간이 지나거나 추첨·당첨확인·배송 등 처리 목적이 끝나 더 이상 필요하지 않게 되면 지체 없이 파기하는 것이 원칙입니다. 다만 “당첨자 발표일이 곧 모든 응모정보의 파기일”이라고 일률적으로 단정할 수는 없습니다.

• 개인정보: 살아 있는 개인에 관한 정보로서 그 개인을 알아볼 수 있거나 다른 정보와 쉽게 결합해 알아볼 수 있는 정보
• 손해배상: 위법한 행위나 계약 위반으로 생긴 손해를 갚는 책임

재추첨 가능기간, 중복응모·부정참여 확인, 당첨 이의처리처럼 응모자에게 미리 알린 운영 목적이 남아 있을 수 있기 때문입니다. 반대로 단지 “나중에 마케팅에 쓸 수도 있다”는 막연한 이유만으로 전체 응모정보를 계속 보관해서는 안 됩니다.

응모자라면 이벤트 페이지나 동의문에 적힌 보유기간부터 확인하세요. 그 기간이 지났는데도 광고 연락이 오거나 정보가 남아 있는 것 같다면, 주최자에게 열람과 삭제를 요구할 수 있습니다.

정보 종류별로 언제까지 보관할 수 있나

정보·상황	우선 확인할 기준
미당첨자 이름·연락처	고지한 보유기간, 재추첨·이의처리 종료일
당첨자 연락처·주소	본인확인·경품배송 완료와 분쟁처리 기간
당첨자 세무정보	세금처리에 필요한 법적 근거와 보존기간
광고 문자·전화	이벤트 동의와 분리된 마케팅 이용 근거
제휴사 전달	제3자 제공 동의 또는 다른 법적 근거
배송업체 전달	처리위탁의 목적·범위·수탁자 관리
사진·후기 공개	촬영·게시·홍보 이용에 대한 별도 고지·동의
삭제·처리정지 요청	삭제는 다른 법령상 수집 대상인지, 처리정지는 제37조의 거절 사유가 있는지 각각 확인

개인정보는 ‘기업이 빌린 내 소유물’과 완전히 같은 개념은 아닙니다

이름·휴대전화번호·이메일·주소는 개인을 알아볼 수 있게 하는 개인정보입니다. 그러나 이를 물건의 소유권처럼 설명하기보다 정보주체가 자신의 개인정보 처리에 관해 통제하고 권리를 행사할 수 있는 정보라고 이해하는 편이 정확합니다.

개인정보처리자는 개인정보 보호법 제15조에 따른 동의·계약이행·법령상 의무 등 적법한 근거가 있어야 수집·이용할 수 있습니다.

동의를 받는다면 최소한 다음을 명확히 알려야 합니다.

• 수집·이용 목적
• 수집하는 항목
• 보유·이용기간
• 동의를 거부할 권리
• 거부할 때 생기는 불이익이 있다면 그 내용

“이벤트 참여 및 제휴사 마케팅 등”처럼 서로 다른 목적을 한 문장에 묶어 포괄적으로 동의받으면 응모자가 무엇을 선택하는지 알기 어렵습니다.

이벤트에 필요한 최소 정보만 받아야 합니다

개인정보 보호법 제16조에 따라 목적에 필요한 최소한의 개인정보만 수집해야 합니다.

응모 단계

일반적인 온라인 추첨이라면 다음 정보만으로도 운영할 수 있는지 검토합니다.

• 이름 또는 닉네임
• 당첨 연락용 휴대전화번호·이메일
• 중복응모를 확인할 최소 식별값
• 응모 조건을 확인할 정보

배송주소·계좌·주민등록번호가 당첨자에게만 필요하다면 모든 응모자에게 미리 받을 이유가 약합니다. 당첨 후 필요한 사람에게만 안전한 방식으로 추가 수집하는 편이 개인정보 최소수집 원칙에 맞습니다.

당첨 단계

• 본인 확인
• 경품 배송
• 제세공과금 등 세무 처리
• 배송오류·반송·분쟁 대응

목적별로 항목과 보유기간을 나누고, 고유식별정보가 필요하다면 법이 허용하는 별도 근거를 확인해야 합니다.

미당첨자 정보는 언제 불필요해지나

개인정보 보호법 제21조는 보유기간이 지나거나 처리 목적이 달성되는 등 개인정보가 불필요해졌을 때 지체 없이 파기하도록 합니다.

경품 이벤트에서는 다음 일정을 먼저 표로 만드세요.

1. 응모 마감일
2. 당첨자 추첨일
3. 당첨자 발표·연락기간
4. 연락 불가 시 재추첨기간
5. 중복·부정응모 확인기간
6. 이의제기·고객문의 처리기간
7. 경품 발송·반송·재배송 종료일
8. 고지한 개인정보 보유기간 종료일

예를 들어 “당첨자 발표 후 30일까지”라고 적법하게 고지했고 그 기간에 재추첨과 이의처리가 실제로 필요하다면 발표 당일 일괄 파기가 정답은 아닐 수 있습니다. 그러나 모든 절차가 끝났는데도 분석·마케팅 가능성만을 이유로 무기한 보유하는 것은 정당화되기 어렵습니다.

보유기간을 “회원 탈퇴 시까지”라고 적었다면 이벤트 응모가 실제 회원가입과 결합돼 있었는지, 필수 가입이 필요한지, 별도 서비스 계약이 성립했는지도 확인해야 합니다.

당첨자 정보는 미당첨자보다 오래 보관할 수 있지만 무제한은 아닙니다

당첨자는 본인확인·배송·세금·분쟁처리 때문에 추가 정보가 필요할 수 있습니다. 그렇더라도 전체 응모정보를 하나의 파일로 계속 두기보다 목적별로 분리합니다.

처리 목적	보관할 수 있는 정보의 예	종료 기준의 예
당첨 확인	성명·연락처·응모번호	확인·재추첨 종료
배송	수령인·주소·연락처	배송·반송·분쟁 종료
세무	법령상 필요한 식별·지급자료	해당 법령의 보존기간
민원	문의내용·처리기록	분쟁처리 필요기간
홍보	사진·후기·계정명	별도 동의의 목적·기간

다른 법령에 따라 보존해야 하는 정보는 파기하지 않을 수 있지만, 제21조는 해당 정보를 다른 개인정보와 분리해 저장·관리하도록 정합니다.

경품 응모 동의로 광고까지 할 수 있는 것은 아닙니다

경품 추첨을 위해 받은 전화번호를 보험·상품 광고에 사용하는 것은 원래 목적을 벗어날 수 있습니다. 개인정보 보호법 제18조는 수집 목적 범위를 초과한 이용·제공을 원칙적으로 제한합니다.

마케팅을 함께 하려면 다음을 구분하세요.

• 이벤트 운영에 필요한 필수 처리
• 광고·혜택 알림을 위한 선택 처리
• 제휴사에 정보를 넘기는 제3자 제공
• 이벤트 대행사가 주최자를 대신해 처리하는 위탁
• 당첨 후기·사진을 공개하는 홍보 이용

선택 동의란에 체크하지 않았다는 이유로 이벤트 응모를 막으려면 그 정보가 이벤트 제공에 실제로 필요한지 설명할 수 있어야 합니다. 개인정보 보호법 제22조의 동의 방식과 선택 여부를 확인하세요.

광고성 정보 전송에는 개인정보 보호법 외에도 매체·수신동의 방식에 따른 별도 규제가 적용될 수 있습니다. “개인정보 동의 하나 받았으니 문자·전화·이메일을 모두 보낼 수 있다”고 생각해서는 안 됩니다.

제3자 제공과 처리위탁은 다릅니다

제3자 제공

제휴사나 공동주최사가 자신의 목적을 위해 응모정보를 사용하는 구조입니다. 개인정보 보호법 제17조에 따른 제공받는 자, 제공 목적, 항목과 보유기간 등을 확인합니다.

처리위탁

배송업체·이벤트 대행사가 주최자의 지시에 따라 추첨·연락·배송만 수행하는 구조입니다. 개인정보 보호법 제26조에 따라 위탁업무와 수탁자를 공개하고 안전하게 관리·감독해야 합니다.

“외부 업체에 넘겼으니 주최자는 책임이 없다”거나, 반대로 외부업체가 관여하면 언제나 제3자 제공 동의가 필요하다고 단정하지 마세요. 누가 처리 목적과 방법을 결정하는지를 봐야 합니다.

파기는 복구되지 않는 방식이어야 합니다

제21조와 개인정보 보호법 시행령 제16조에 따라 파기할 때는 복구·재생되지 않도록 조치해야 합니다.

• 전자파일은 복구하기 어려운 방식으로 삭제
• 종이 응모지는 분쇄·소각 등으로 파기
• 업무용 PC·공유폴더·메일 첨부파일까지 점검
• 대행사·배송업체의 사본과 내려받기 파일 확인
• 백업본의 보존주기·접근통제·삭제 절차 관리
• 법정 보존자료는 별도 영역에 분리

엑셀 행을 화면에서 숨기거나 휴지통으로 옮긴 것만으로 파기가 끝났다고 보기 어렵습니다. 파기일·대상·방법·담당자를 기록해 실제 이행을 입증할 수 있어야 합니다.

응모자가 할 수 있는 요구

정보주체는 개인정보처리자에게 다음 권리를 행사할 수 있습니다.

• 제35조에 따른 열람 요구
• 제36조에 따른 정정·삭제 요구
• 제37조에 따른 처리정지와 동의 철회

요청할 때는 다음처럼 구체적으로 적으세요.

○○○○년 ○월 ○일 참여한 ○○ 경품 이벤트와 관련하여 현재 처리 중인 제 개인정보의 항목·목적·보유기간·제3자 제공 및 위탁 현황을 알려 주시기 바랍니다. 이벤트 운영 목적과 법정 보존의무가 끝난 정보는 삭제하고 마케팅 동의는 철회합니다.

요구별 예외를 구분해야 합니다. 제36조의 삭제 요구는 다른 법령에서 해당 정보를 수집 대상으로 명시한 경우 제한됩니다. 제37조의 처리정지·동의 철회에는 법령상 의무나 다른 사람의 권리 침해 우려 등 별도 예외가 있습니다. 계약이행을 이유로 한 예외도 개인정보를 처리하지 않으면 약정한 서비스를 제공하기 곤란하고, 정보주체가 계약해지 의사를 명확히 밝히지 않은 경우에 적용됩니다. 계약이 있다는 이유만으로 모든 삭제 요구를 거절할 수 있는 것은 아니며, 거절하거나 철회에 따른 조치를 하지 않을 때에는 사유를 알려야 합니다.

파기되지 않았거나 광고에 이용됐다면

1. 이벤트 페이지와 개인정보 동의문을 저장합니다.
2. 응모일·발표일·보유기간을 기록합니다.
3. 받은 광고 문자·전화·이메일의 발신자와 내용을 보관합니다.
4. 주최자·대행사·제휴사의 명칭을 확인합니다.
5. 열람·삭제·처리정지 요구를 서면으로 보냅니다.
6. 답변과 처리결과를 보관합니다.
7. 해결되지 않으면 개인정보 침해신고·분쟁조정과 손해배상을 검토합니다.
8. 유출 정황이 있다면 비밀번호 변경·명의도용 확인 등 피해확산을 먼저 막습니다.

예를 들어 카페 쿠폰 이벤트에 이름과 전화번호만 적어 응모했는데, 몇 달 뒤 처음 듣는 회사에서 보험 상담 전화가 왔다고 해 봅시다. 먼저 동의문에 제3자 제공 항목이 있었는지, 있었다면 받는 곳으로 그 회사가 적혀 있었는지 확인합니다. 전화를 건 회사에는 내 정보를 어디서 받았는지 출처를 묻고, 주최자에게는 누구에게 제공했는지 열람을 요구할 수 있습니다. 두 답이 맞지 않거나 동의한 적 없는 제공이라면 그 기록이 침해신고의 핵심 자료가 됩니다.

위반이 있었다는 사실만으로 모든 응모자에게 같은 손해배상액이 자동 인정되는 것은 아닙니다. 처리의 위법성, 유출·광고 이용 범위, 실제 피해와 인과관계를 구체적으로 정리해야 합니다. 회사가 요구에 응하지 않으면 한국인터넷진흥원의 개인정보침해 신고센터에 신고하거나 개인정보 분쟁조정위원회에 조정을 신청하는 방법을 검토할 수 있습니다. 개인정보 유출 통지를 받았다면 개인정보 유출 통지 대응 순서도 함께 확인하세요.

자주 묻는 질문

당첨자 발표가 끝나면 미당첨자 정보를 그날 바로 지워야 하나요?

발표일이 언제나 파기 기준일인 것은 아닙니다. 중복응모 확인, 당첨 취소에 따른 재추첨, 이의처리처럼 미리 알린 운영 목적이 남아 있을 수 있습니다. 그 일까지 끝났거나 고지한 보유기간이 지났다면 지체 없이 파기해야 합니다.

경품 응모에 동의했으면 광고 문자도 보낼 수 있나요?

추첨·연락·배송을 위한 동의와 광고·마케팅 이용은 목적이 다릅니다. 마케팅에는 따로 고지한 선택 동의 같은 별도 근거가 있어야 합니다. 그 선택 동의를 거부했다는 이유만으로 응모 자체를 막는 것도 정당화하기 어렵습니다.

당첨자의 주소와 주민등록번호는 오래 보관해도 되나요?

당첨자라도 필요한 항목을 필요한 기간만 처리해야 합니다. 배송이 끝나면 주소는 분쟁처리에 필요한 기간을 넘겨 둘 이유가 약해집니다. 주민등록번호는 법령상 근거가 있을 때만 처리할 수 있는 고유식별정보이므로, 세무처리 등 근거가 되는 범위로 한정하고 다른 응모정보와 분리해 보관해야 합니다.

내 정보가 아직 남아 있는지 확인하고 지워 달라고 할 수 있나요?

열람, 정정·삭제, 처리정지와 동의 철회를 요구할 수 있습니다. 삭제 요구에는 다른 법령이 해당 정보를 수집 대상으로 명시한 경우의 제한이 있고, 처리정지·철회에는 제37조의 별도 예외가 있습니다. 특히 계약이행 예외는 서비스 제공이 곤란하고 계약해지 의사가 명확하지 않은 경우이므로 단순히 계약이 있다는 사정만으로 삭제를 거절할 수는 없습니다. 처리자는 적용되는 거절 사유를 알려야 합니다.

이벤트 운영자 체크리스트

• 응모에 꼭 필요한 항목만 받는가
• 배송주소는 당첨자에게만 추가로 받는가
• 필수 이벤트 동의와 선택 마케팅 동의를 분리했는가
• 보유기간이 구체적이고 실제 일정과 맞는가
• 재추첨·이의처리 종료 뒤 미당첨자 정보를 파기하는가
• 당첨자 세무·배송정보의 보존 근거를 구분했는가
• 제3자 제공과 처리위탁을 정확히 표시했는가
• 수탁자의 다운로드·사본·파기까지 확인하는가
• 접근권한·암호화·파기기록을 관리하는가
• 정보주체 요구를 받을 담당자와 절차가 있는가

경품 이벤트 개인정보는 “당첨됐는지”보다 처리 목적과 보유기간이 끝났는지를 기준으로 관리해야 합니다.

정정 안내: 개인정보 삭제 요구의 제한과 처리정지·동의 철회의 예외를 구분하고, 계약이행을 이유로 한 거절의 요건을 명확히 했습니다.