[개인정보] 탈퇴해도 기업은 안 지웁니다 — 3년간 316만 건 유출된 ‘미파기 정보’ 확인하고 삭제 요청하는 2가지 경로
회원 탈퇴를 분명히 했는데도 기업이 지우지 않고 방치한 개인정보가 최근 3년간 316만 건이나 유출됐습니다.
안녕하세요, dailybetter입니다.
우리는 보통 “탈퇴 버튼을 눌렀으니 내 정보도 사라졌겠지”라고 생각합니다. 그런데 2026년 국정감사에서 드러난 숫자는 그 믿음을 정면으로 깹니다. 탈퇴한 사람의 정보가 서버 한구석에 남아 있다가, 그 회사가 해킹당하는 순간 함께 새어 나온 겁니다.
오늘은 이게 왜 벌어지는지, 그리고 지금 당장 내 ‘유령 정보’를 찾아 지우는 방법까지 짚어드리겠습니다.
무슨 일이 있었나 — 탈퇴한 회원 정보가 316만 건
2026년 국정감사에서 공개된 개인정보보호위원회 제출자료에 따르면, 탈퇴 회원의 미파기(파기되지 않은) 개인정보 유출 규모는 최근 3년간 누적 316만여 건입니다. 더 심각한 건 속도입니다. 2024년 한 해 38만 6천여 건이던 것이 2026년 상반기에만 276만여 건으로, 반년 치가 직전 연간 규모의 7배를 넘겼습니다.
원인은 단순합니다. “나중에 마케팅이나 데이터 분석에 쓸 수 있다”며 탈퇴 회원 정보를 지우지 않고 쌓아둔 겁니다. 하지만 개인정보 보호법 제21조는 보유 기간이 끝났거나 목적을 달성해 불필요해진 개인정보는 정당한 사유가 없는 한 지체 없이 파기하도록 정하고 있고, 어기면 3천만 원 이하의 과태료 대상입니다. 법이 있는데도 “관행”이라며 방치된 정보가, 보안이 뚫리는 순간 고스란히 피해로 돌아온 것입니다.
왜 ‘미파기 정보’가 현역 정보보다 더 위험한가
- 내가 감시하지 않습니다. 지금 쓰는 서비스는 유출 공지가 오면 바로 비밀번호를 바꾸지만, 몇 년 전 탈퇴한 사이트는 존재 자체를 잊고 있어 정보가 새도 알아차릴 길이 없습니다.
- 오래된 비밀번호가 돌아다닙니다. 탈퇴 당시 쓰던 비밀번호를 지금도 다른 사이트에서 쓰고 있다면, 그 조합이 ‘크리덴셜 스터핑'(유출된 아이디·비밀번호를 여러 사이트에 자동으로 대입해보는 공격)의 재료가 됩니다.
- 이름·전화번호·이메일만으로도 충분합니다. 유출 항목이 연락처뿐이어도 스미싱(문자 사칭 사기)과 피싱의 정밀 타깃이 됩니다. “○○사이트 회원님”이라며 과거 가입 사실까지 들먹이면 속을 확률이 훨씬 높아집니다.
실제로 티빙 3,954만 계정 유출, 우리은행 정보 유출 사고에서 보듯 한번 빠져나간 정보는 회수가 불가능합니다. 그렇다면 애초에 남아있을 이유가 없는 정보부터 지워두는 게 가장 확실한 방어입니다.
내 ‘유령 정보’ 확인하고 지우는 2가지 공식 경로
둘 다 개인정보보호위원회가 운영하는 무료 서비스입니다.
| 경로 | 무엇을 하나 | 이럴 때 |
|---|---|---|
| e프라이버시 클린서비스 (eprivacy.go.kr) |
본인확인(휴대폰·아이핀) 내역을 통합 조회해 ‘내가 가입한 사이트 목록’을 보여주고, 탈퇴·삭제를 대신 요청 | 어디에 가입했는지조차 기억 안 날 때, 한꺼번에 정리하고 싶을 때 |
| 개인정보 포털 (privacy.go.kr) |
‘정보주체 권리행사 → 개인정보 열람 등 요구’로 특정 기업에 열람·삭제·처리정지를 공식 청구 | 특정 회사가 내 정보를 안 지운 걸 알고, 직접 삭제를 요구할 때 |
두 번째 경로는 개인정보 보호법 제35조(열람)·제36조(정정·삭제)·제37조(처리정지)에 근거한 법적 권리 행사로, 기업은 요청을 받으면 원칙적으로 10일 이내에 조치해야 합니다.
삭제까지 끝내는 순서는 이렇습니다.
- e프라이버시 클린서비스에 접속해 본인인증 후 가입 이력 전체 조회
- 지금 쓰지 않는 사이트를 골라 회원탈퇴·개인정보 삭제 대행 신청
- 과거에 썼던 비밀번호를 지금도 다른 곳에서 쓰고 있다면 즉시 변경
- 특정 기업이 삭제 요청에 응하지 않으면 개인정보 포털에서 열람·삭제 공식 청구 후 거부 시 개인정보보호위원회 신고
읽다 보면 생기는 질문들
Q. 탈퇴했는데도 기업이 정보를 가지고 있어도 되나요?
안 됩니다. 보유 기간이 지났거나 목적을 다한 정보는 보호법 제21조상 지체 없이 파기해야 할 의무사항입니다. 단, 전자상거래법 등 다른 법이 일정 기간 보관을 의무화한 거래·결제 기록은 예외입니다.
Q. e프라이버시로 삭제 요청하면 바로 지워지나요?
요청은 대행해주지만 실제 파기는 각 사이트가 처리합니다. 보통 수일 내 반영되며, 일정 기간 뒤 삭제 여부를 다시 조회해 확인하는 게 좋습니다.
Q. 비용이 드나요?
두 서비스 모두 완전 무료입니다. ‘탈퇴 대행’을 명목으로 돈을 요구하는 사설 사이트는 이용하지 마세요.
이번 316만 건의 본질은 ‘해킹 실력’이 아니라 ‘안 지워도 된다는 관행’의 문제입니다. 기업엔 언젠가 쓸 수도 있는 자산이지만, 이용자 입장에선 지켜볼 수조차 없는 무방비 상태의 부채입니다.
개인정보보호위원회가 전수 점검과 상시 모니터링을 예고했지만, 감독이 모든 기업을 따라잡기 전까지 가장 빠른 방어는 ‘내 손으로 미리 지워두기’입니다. 내 정보가 저장된 곳의 총량, 즉 공격 표면을 줄이는 것이 개인이 할 수 있는 가장 효과적인 보안입니다.
* iPhone은 Safari / 갤럭시는 Chrome에서 설정 가능합니다
새 포스트가 올라오면 바로 알려드려요