탈퇴한 회원 정보, 5년 보관해야 할까 - 법제처가 정리한 전자상거래법 제6조 제2항의 의미

법제처 법령해석 25-1025 (2026. 2. 19. 회신) / 질의기관: 공정거래위원회 해석례 원문은 국가법령정보센터 법령해석 검색에서 확인할 수 있습니다.

 

고객센터에서 문의가 넘어옵니다. 탈퇴한 회원이 자기 정보를 전부 지워달라고 했는데 어떻게 답해야 하느냐고요.

이때 담당자가 자주 쓰는 답이 있습니다. 전자상거래법에 따라 계약과 청약철회 기록은 5년간 보존해야 하므로 삭제가 어렵다는 것입니다.

그런데 올해 2월 법제처가 이 문제에 답을 내놨습니다. 공정거래위원회가 질의한 건인데, 동의를 철회한 소비자에 대해서까지 보존을 강제하는 것은 아니라는 결론입니다.

조문이 두 개로 나뉘어 있습니다

먼저 전자상거래법 제6조를 정확히 읽어볼 필요가 있습니다. 제1항과 제2항이 서로 다른 말을 하고 있기 때문입니다.

① 사업자는 전자상거래 및 통신판매에서의 표시·광고, 계약내용 및 그 이행 등 거래에 관한 기록을 상당한 기간 보존하여야 한다. ② 제1항에 따라 사업자가 보존하여야 할 거래기록 및 그와 관련된 개인정보(성명·주소·전자우편주소 등 거래의 주체를 식별할 수 있는 정보로 한정한다)는 소비자가 개인정보의 이용에 관한 동의를 철회하는 경우에도 「개인정보 보호법」 등 대통령령으로 정하는 개인정보보호와 관련된 법률의 규정에도 불구하고 이를 보존할 수 있다.

 

제1항은 "보존하여야 한다"이고 제2항은 "보존할 수 있다"입니다.

보존 기간을 정한 것은 시행령입니다. 표시·광고에 관한 기록 6개월, 계약 또는 청약철회 등에 관한 기록 5년, 대금결제 및 재화등의 공급에 관한 기록 5년, 소비자의 불만 또는 분쟁처리에 관한 기록 3년입니다. 통신판매중개자는 자신의 정보처리시스템을 통해 처리한 기록의 범위에서 보존하면 됩니다.

우리가 흔히 인용하는 "5년"은 여기서 나온 것이고, 제1항에 붙은 기간입니다.

 

법제처의 판단

질의는 이랬습니다. 소비자가 개인정보 이용 동의를 철회하는 경우에도 사업자는 제6조 제2항에 따라 거래기록을 반드시 보존해야 하는지.

회신은 이렇습니다.

소비자가 개인정보의 이용에 관한 동의를 철회하는 경우 사업자가 전자상거래법 제6조제2항에 따라 거래기록등을 반드시 보존해야 하는 것은 아닙니다.

 

근거가 세 갈래인데, 세 번째가 이 해석의 핵심입니다.

첫째, 문언이 다릅니다. 제2항은 "보존할 수 있다"이지 "보존해야 한다"가 아닙니다. 동의를 철회한 경우에 대해 의무를 부과하는 규정을 두지 않았다는 것입니다.

둘째, 제재 규정에서 빠져 있습니다. 이 부분은 조문을 직접 대조해보면 분명합니다. 전자상거래법 제32조 제1항 제1호는 시정조치 대상이 되는 위반행위를 열거하는데, 그 목록에 "제6조제1항"은 있고 제2항은 없습니다. 의무를 지운 조항이라면 위반에 대한 제재가 따라붙었을 텐데 그렇지 않습니다.

셋째, 이 조항은 예외를 열어준 것입니다. 개인정보 보호법과 신용정보법은 파기 의무를 정하고 위반 시 과태료를 부과합니다. 제6조 제2항은 그 의무에 대한 예외를 만들어준 조항입니다. 법제처는 이 예외의 취지를 이렇게 봤습니다.

사업자가 소비자 보호를 위하여 거래기록등을 보존할 필요성이 있는 경우에 그 거래기록등을 보존할 수 있는 근거를 마련하기 위한 것으로, 사업자로 하여금 거래기록등을 반드시 보존하도록 강제하려는 취지로 해석하기는 어렵다

 

무슨 뜻이냐면, 원래는 동의가 철회되면 개인정보 보호법에 따라 파기해야 하는데 그러면 나중에 분쟁이 생겼을 때 사업자가 아무 자료도 없게 됩니다. 그래서 "파기하지 않아도 된다"는 길을 열어준 것이지, "파기하면 안 된다"고 막은 게 아니라는 겁니다.

참고로 여기서 말하는 개인정보 관련 법률은 시행령 제5조의2가 지정하고 있습니다. 개인정보 보호법 제21조 제1항 본문, 제36조 제2항, 제37조 제5항, 제39조의7 제3항과 신용정보법 제37조 제1항 본문입니다.

 

실무에서 무엇이 달라지나

처리방침 문구를 점검해볼 만합니다.

"전자상거래법에 따라 5년간 보존합니다"라고만 적혀 있다면, 그게 제1항 기준인지 제2항 기준인지 구분되어 있지 않을 가능성이 높습니다. 탈퇴하거나 동의를 철회한 회원에 대해서까지 의무 보존인 것처럼 읽힌다면 정확한 설명은 아닙니다.

"법 때문에 못 지웁니다"는 답변이 약해집니다.

동의를 철회한 소비자의 기록에 관한 한, 보존은 사업자가 선택할 수 있는 영역입니다. 그러면 "왜 우리는 보존하기로 했는가"를 설명할 수 있어야 합니다. 분쟁 대응을 위해서인지, 반품이나 환불 절차가 남아 있어서인지요. 근거 없이 관행으로 남겨두고 있었다면 그 부분은 다시 볼 필요가 있습니다.

보존하기로 했다면 분리해야 합니다.

이 요건이 두 군데에 있습니다. 개인정보 보호법 제21조 제3항이 법령에 따라 보존하는 개인정보를 다른 개인정보와 분리해 저장·관리하도록 하고, 전자상거래법 시행령 제6조 제2항 제3호도 같은 취지를 정하고 있습니다.

사업자가 법 제6조제2항에 따라 개인정보의 이용에 관한 동의를 철회한 소비자의 거래기록 및 개인정보를 보존하는 경우에는 개인정보의 이용에 관한 동의를 철회하지 아니한 소비자의 거래기록 및 개인정보와 별도로 보존할 것

 

같은 테이블에 상태값만 바꿔두는 방식으로는 이 요건을 만족한다고 보기 어렵습니다. 탈퇴 회원 데이터를 별도 저장소로 옮기거나 최소한 접근 경로를 분리하는 설계가 필요합니다.

보존 대상의 범위도 확인해야 합니다.

제6조 제2항이 말하는 개인정보는 "성명·주소·전자우편주소 등 거래의 주체를 식별할 수 있는 정보"로 한정되어 있습니다. 이 조항을 근거로 회원 프로필 전체나 접속 이력, 관심 상품 목록까지 남겨두는 것은 범위를 넘어섭니다.

 

해석례를 어떻게 다뤄야 하나

한 가지 짚어둘 것이 있습니다. 이것은 법원의 판단이 아니라 법제처의 유권해석입니다.

법령해석은 행정기관이 법령을 집행할 때 기준으로 삼는 것이고, 법원의 판결과는 성격이 다릅니다. 같은 쟁점이 소송으로 가면 법원이 독자적으로 판단하게 됩니다.

다만 이 건은 소관 부처인 공정거래위원회가 질의하고 법제처가 회신한 것입니다. 집행 단계에서는 이 해석이 기준이 될 가능성이 높다고 보는 편이 실무적으로 안전합니다.

법령과 고시와 해석례가 각각 어떤 층에 있는지는 법률·시행령·고시는 뭐가 다른가에 정리해뒀습니다.

 

이 해석이 답하지 않은 것

이 해석은 "반드시 보존해야 하는 것은 아니다"까지만 말합니다. 그러면 반대로 파기해야 하는가는 열려 있습니다.

개인정보 보호법 제21조 제1항은 보유기간이 지났거나 목적을 달성해 불필요해진 개인정보를 지체 없이 파기하도록 하면서, 다른 법령에 따라 보존하여야 하는 경우를 단서로 제외합니다. 전자상거래법 제6조 제2항이 "보존할 수 있다"인 이상 이 단서에 해당하는지가 다시 문제될 수 있습니다.

법제처 해석은 이 지점까지 나아가지 않았습니다. 개별 사안에서 보존 필요성이 실제로 있는지, 어느 항목까지인지는 사업자가 판단하고 설명할 수 있어야 하는 영역으로 남아 있습니다.

 

참고

• 법제처 법령해석 25-1025 (2026. 2. 19. 회신, 질의기관 공정거래위원회)
• 전자상거래 등에서의 소비자보호에 관한 법률 제6조, 제32조 제1항 제1호
• 전자상거래 등에서의 소비자보호에 관한 법률 시행령 제5조의2, 제6조
• 개인정보 보호법 제21조
• 원문은 국가법령정보센터(law.go.kr)에서 확인할 수 있습니다.