대전 유성구에 사는 김모씨(34)는 2020년 쿠팡 물류센터에서 노동자 사망이 반복되자 불매운동 차원에서 쿠팡을 탈퇴했다. 그러나 지난달 30일 쿠팡으로부터 ‘개인정보 유출 피해 안내’ 문자메시지를 받았다. 김씨는 “탈퇴한 지 5년이나 지났는데 주소와 연락처가 그대로 남아 있었다는 사실에 황당했다”며 “한국에서 개인정보는 ‘공공재’인가”라고 말했다.

쿠팡에서 3370만개 계정 개인정보가 유출되자 수년 전 탈퇴한 이용자까지 피해를 봤다는 사례가 이어지고 있다.

탈퇴자 정보가 장기간 보관되는 이유는 현행법 때문이다. ‘전자상거래 소비자보호법’은 거래기록 보관을 의무화하고 있다. 계약·결제 기록은 5년, 분쟁·민원 기록은 3년, 표시·광고 기록은 6개월간 보관해야 한다. 쿠팡 개인정보처리방침에도 계약 및 청약철회 기록은 5년 보관하도록 명시돼 있다. 탈퇴했다고 자동 삭제되는 게 아니라 소비자가 별도로 요청해야만 삭제가 가능하다. 개인정보보호법 21조는 탈퇴 회원 정보를 법령상 일정 기간 분리 보관해야 한다고 규정한다. 이번 쿠팡 사태에서는 정상적으로 분리 보관된 탈퇴 회원 정보까지 유출됐거나, 쿠팡이 개인정보를 무분별하게 함께 관리했을 가능성이 제기된다.

이에 탈퇴 즉시 개인정보를 폐기하거나 보관 기간을 줄일 것을 요구하는 목소리가 나온다. 그러나 전문가들은 보관 기간을 단축하는 게 능사가 아니라고 말한다. 수년이 지난 소비자 피해 구제, 제품 보증 등을 위해선 구매기록이 필요하기 때문이다. 구태언 변호사(법무법인 린)는 “가습기살균제 참사처럼 오래된 거래 내역이 소비자 권리 구제의 근거가 되기도 한다”며 “기록의 ‘존재’ 자체가 권리 보호 장치가 될 때도 있다”고 말했다.

전문가들은 대안으로 ‘데이터 세분화 관리’를 제시했다. 탈퇴자·휴면회원·활동회원의 데이터를 한데 묶지 않고, 목적에 따라 저장 기간·열람 권한·보안 단계 등을 차등화해야 한다는 것이다. 현재는 이러한 세밀한 구분 없이 모든 데이터를 일괄적으로 관리하고 있다. 김형중 전 고려대 정보보호대학원 교수는 “주식도 분산 투자를 하고 군사기밀도 등급별로 접근 권한을 나누는데, 개인정보를 한 바구니에 담아 관리하는 것이 과연 타당한가”라고 지적했다.