유출 사고가 나면 탈퇴 회원 정보는 어디에서 다시 나타나나요? 결정문 12건으로 본 대상 특정과 통지

유출 사고의 보상안을 결재하는 회의에서는 금액보다 먼저 대상 명단이 논의됩니다. 사고 당시에는 회원이었으나 지금은 탈퇴한 사람을 명단에 넣을지, 넣는다면 어떤 경로로 신청하게 할지가 그 자리에서 문제가 됩니다. 티빙이 2026년 9월 3일 게시한 「사이버 침해 사고 사과 및 보상 안내」는 보상 대상을 「사고 대상자로 안내받은 회원」으로 정하고, 홈페이지나 앱에 로그인한 뒤 MY 메뉴에서 본인 확인을 거쳐 신청하도록 했으며 고객센터로는 신청을 받지 않는다고 밝혔습니다. 보도(국민일보 2026. 10. 1.)에 따르면 탈퇴한 회원은 보상을 받으려면 다시 가입해야 합니다. 이 글은 탈퇴 회원의 정보가 사고 국면의 어느 자리에서 다시 문제가 되는지를 개인정보보호위원회(이하 "개인정보위") 결정문으로 확인합니다.

핵심 요약 탈퇴 회원의 정보는 유출 사고가 나면 유출 대상 특정과 통지 두 자리에서 다시 드러나고, 이 두 자리는 결정문으로 확인됩니다. 셋째 자리인 보상 수령 경로는 결정문이 없습니다. datalaw.kr 제재 DB에서 탈퇴 회원이 사고 사실관계에 등장한 의결은 적어도 12건이고, 그중 9건은 유출과 탈퇴 회원 미파기(개인정보 보호법 제21조 제1항)가 함께 인정된 의결입니다. 이 9건 가운데 파기되지 않은 정보가 실제 유출 대상에 들어갔다고 결정문이 명시한 것은 쿠팡과 엔에이치엔위투 2건이고, 나머지 3건 중 2건은 제21조 인정 없이 탈퇴 회원 정보가 유출 대상에 들어간 의결입니다. 탈퇴 회원의 보상 수령 경로를 판단한 결정문은 찾지 못했습니다.

결정문에서 탈퇴 회원은 어디에 등장하나요?

datalaw.kr 제재 DB의 결정문 텍스트에서 '탈퇴’와 '유출’이 함께 나오는 의결을 찾아 해당 대목을 읽었습니다. 검색어로 찾은 것이어서 아래 건수는 하한입니다(2026년 10월 2일 기준). 탈퇴 회원이 사고 사실관계에 등장한 의결은 적어도 12건이었습니다. 9건에서는 유출과 함께 탈퇴·계약 종료 회원의 정보 미파기(제21조 제1항)가 인정됐고, 2건에서는 제21조 인정 없이 탈퇴 회원 정보가 유출 대상에 들어갔으며, 1건에서는 탈퇴 회원에게 통지가 가지 못한 사실이 대응 경과에 적혔습니다. 아래 표는 앞의 9건입니다.

파기되지 않은 탈퇴 회원 정보가 실제 유출 대상에 들어갔다고 결정문이 명시한 의결은 9건 가운데 쿠팡과 엔에이치엔위투 2건입니다. 나머지 7건에서는 같은 의결 안에서 유출과 탈퇴 회원 미파기가 함께 인정됐다는 사실까지만 확인했습니다.

첫째 자리: 유출 대상을 특정할 때 탈퇴 회원 정보가 나옵니다

사고를 조사하는 회사는 유출된 저장소에 누구의 정보가 들어 있었는지를 먼저 세어야 하고, 탈퇴 회원의 정보는 이 단계에서 처음 드러납니다. 쿠팡의 처리방침은 탈퇴 후 90일이 지나면 파기하고(일부는 분리 보관) 주소와 계좌번호는 탈퇴 즉시 파기한다고 안내했습니다. 실제는 달랐습니다. 쿠팡 의결(제2026-011-075호)에 따르면 쿠팡은 탈퇴회원 884,972개 계정의 배송지 정보 2,465,592건을 주소 DB에 남겨 두었고, 「그 중 100,696개 탈퇴계정의 배송지 정보(이름, 전화번호, 주소 131,223건)는 실제 유출까지 이어졌다」고 합니다. 결정문은 탈퇴회원 계좌번호 318,499건이 90일간 보관된 사실과, 문자·이메일 발송용 복제 DB에 탈퇴 후 90일이 지난 717,865명의 이름·전화번호·이메일이 남아 있던 사실도 적었습니다. 이 의결에서 제21조 제1항 위반의 과태료 기준금액은 600만 원(1회 위반)이었고, 유출 건 과징금은 4,235억 7,500만 원이었습니다.

엔에이치엔위투 의결(제2025-004-015호)에서 유출된 것은 「회원·탈퇴회원·판매자의 개인정보」입니다. 문제가 된 저장소는 구DB였습니다. 엔에이치엔위투는 2013년 2월 신DB로 이전한 뒤에도 구DB의 회원 524,620건, 탈퇴회원 10,095건, 판매자 316건을 2023년 9월 17일까지 파기하지 않았습니다. 결정문은 유출 규모를 총 534,903건으로 적었고, 이 수치와 구DB 보관 건수의 관계는 따로 설명하지 않았습니다. 엔에이치엔위투는 2016년 11월 인수 당시 구DB의 존재를 몰랐다고 소명했으나, 개인정보위는 합병으로 책임이 포괄승계됐다고 보았습니다.

법령에 따라 남겨 둔 정보도 유출 대상에 들어갑니다. 제21조 제1항 단서가 허용하는 법정 보존의 범위는 회원이 탈퇴하면 개인정보를 바로 지워야 하나요에서 다뤘습니다. 온라인 쇼핑몰 의결(제2023-004-035호)에서는 주문정보 테이블이 유출됐는데, 결정문은 유출 규모에 관하여 「전자상거래법 상 보존정보(5년) 및 비회원 주문 건 등이 포함되어, 탈퇴 등을 반영한 현재 보유 회원정보 수와 차이 발생」이라고 적었습니다. 엔에이치엔커머스 의결(제2026-002-004호, 인정 조문 제29조·제34조)에서도 쇼핑몰 솔루션에서 탈퇴회원 정보가 회원·판매자 정보와 함께 유출됐습니다. 현재 회원 수만으로 유출 규모를 추정하면 실제 유출 대상보다 적게 세게 됩니다.

둘째 자리: 통지 대상과 통지 방법에서 다시 나옵니다

개인정보 보호법 제34조 제1항은 개인정보처리자가 유출등을 알게 되었을 때 「지체 없이 해당 정보주체에게」 정해진 사항을 알리도록 하고, 시행령 제39조 제1항은 서면등의 방법으로 72시간 이내에 통지하도록 합니다. 제34조 제1항은 통지 상대를 「해당 정보주체」로 적고 있고, 문언에는 현재 회원인지에 관한 조건이 없습니다.

쿠팡 결정문의 3차 유출 신고·통지 경과에는 「'26. 1. 27. ~ 29. 탈퇴시점, 배송지 생성 시점 등 고려하여 165,455개 계정 유출 확인」이라고 적혀 있고, 개인정보위는 쿠팡이 2026년 1월 30일 인지한 뒤 정당한 사유 없이 72시간을 넘긴 2월 5일에 통지했다고 판단했습니다. 나아가 유출된 배송지에 포함된 「회원이 아닌 정보주체」 4,338,368명에 대해서는 개인정보위가 네 차례 촉구했으나 쿠팡은 의결일까지 통지하지 않았고, 개인정보위는 이들에게 유출 통지를 실시하라고 시정명령을 했습니다. 이 4,338,368명은 탈퇴 회원과 다른 범주의 정보주체입니다. 다만 회사가 계정으로 연락할 수 없는 사람에게도 통지가 요구됐다는 점은 탈퇴 회원의 통지를 설계할 때 참고할 만합니다.

통지가 닿지 않는 경우도 결정문에 나옵니다. 엔에이치엔위투는 유출 통지 이메일 512,382건을 보냈는데 그중 197,012건이 실패했고, 이틀 뒤 홈페이지 공지를 추가했습니다. 한국고용정보원 의결(제2024-002-008호, 유출 236,527명)의 대응 경과표에는 「미통지: 1,987명(전화, 이메일 등 연락처 없음 1,789명 / 탈퇴회원 198명)」이라고 적혀 있습니다. 다만 한국고용정보원 의결에서 인정된 조문은 제29조와 제24조의2 제2항이고, 이 미통지가 통지 위반으로 판단된 것은 아닙니다.

시행령 제39조 제3항은 「정보주체의 연락처를 알 수 없는 경우 등 정당한 사유가 있는 경우」 인터넷 홈페이지에 30일 이상 게시하는 것으로 통지를 갈음할 수 있다고 정합니다. 온라인 쇼핑몰 의결(제2023-004-035호)에서 개인정보위는 「당초 유출된 이용자 정보가 특정되지 않아 홈페이지 공지사항을 통해 유출통지 하였으나, 조사과정에서 확인된 이용자」에게 별도로 통지하지 않은 행위를 통지 위반으로 보았습니다. 이 의결에 비추어 보면, 대상이 확인되고 개별 연락이 가능해진 뒤에는 앞서 올린 공지만으로 통지를 마쳤다고 인정받기 어려울 수 있습니다. 연락처를 알 수 없는 정보주체는 여전히 게시 갈음의 대상입니다. 게시된 통지문은 공개 통지문 모음에 있습니다.

셋째 자리: 보상 수령 경로를 판단한 결정문은 찾지 못했습니다

이번 검색 범위에서는 탈퇴 회원의 보상 수령 경로를 다룬 의결이 나오지 않았습니다. 조문도 보상안의 신청 경로를 직접 정하지 않고, 제34조 제1항 제6호가 손해배상, 법정손해배상, 분쟁조정 등 법적 권리와 행사 방법에 관한 정보를 통지 사항에 넣도록 했을 뿐입니다. 그래서 아래 세 가지는 회사가 보상안 설계 단계에서 스스로 정해야 하는 문제로 남고, 정한 이유를 기록해 두기를 권합니다.

1. 신청 경로가 로그인 전용이라면 탈퇴한 정보주체가 신청할 경로를 따로 둘지 정합니다.
2. 회사가 보상 수령을 위해 탈퇴한 정보주체로부터 다시 받는 정보의 범위를 정합니다. 재가입 방식에서는 회사가 탈퇴한 사람의 정보를 다시 수집하게 됩니다. 그 수집의 근거와 범위는 수집·이용에 관한 조문으로 따로 검토해야 하고, 이 글에서는 다루지 않았습니다.
3. 통지 대상 명단과 보상 대상 명단이 같은지 확인하고, 다르다면 그 이유를 적어 둡니다.

보상과 과징금 감경의 관계는 유출 피해자에게 먼저 보상하면 과징금이 줄어드나요?에서, 분쟁조정 절차는 개인정보 유출 조정안, 15일 안에 회신하지 않으면 수락입니다에서 다뤘습니다.

사고 전에 무엇을 점검하고 무엇을 남겨야 하나요?

회사가 사고 전에 점검하고 기록으로 남길 항목은 아래 네 가지입니다.

1. 탈퇴 계정의 상태값만 바꾸고 정보를 그대로 둔 DB가 있는지 확인합니다. 쿠팡은 탈퇴 후 90일까지 유효회원과 같은 DB에 전체 정보를 두고 상태값만 '탈퇴’로 변경했습니다. 복제 DB와 인수·합병으로 넘겨받은 구DB도 점검 대상입니다.
2. 처리방침의 파기 문구와 실제 파기 결과를 대조합니다. 표의 쇼핑몰·쇼핑앱 운영사, 듀오정보, 쿠팡에서는 처리방침에 적은 기간이 지난 정보가 남아 있었습니다.
3. 법령에 따라 보존하는 정보를 분리해 둡니다. 개인정보 보호법 제21조 제3항은 이 경우 「해당 개인정보 또는 개인정보파일을 다른 개인정보와 분리하여서 저장ㆍ관리하여야 한다」고 정하고, 쿠팡 의결(제2026-011-075호)의 개선권고도 탈퇴회원 정보의 보관기간·항목이 적절한지를 분리 보관을 포함해 검토하라는 내용이었습니다.
4. 통지 실패 건수와 사유를 기록하고, 게시로 갈음했다면 시행령 제39조 제3항의 「정당한 사유」에 해당한다고 본 근거를 남깁니다.

이 글이 말하지 않은 것

이 글의 12건은 검색어로 찾은 하한이고, 표의 9건 중 7건은 유출과 미파기가 같은 의결에서 함께 인정됐다는 사실만 확인했습니다. 보상 수령 경로에 관해서는 결정문을 찾지 못했으므로 셋째 자리의 내용은 기준으로 읽을 수 없습니다. 티빙에 대한 조사나 처분은 확인된 바 없고, 이 글은 티빙 보상안의 적법 여부를 판단하지 않았습니다.

자주 묻는 질문

Q. 탈퇴한 회원에게도 유출 통지를 해야 하나요?

제34조 제1항은 통지 상대를 「해당 정보주체」로 적고 있고, 문언에는 현재 회원인지에 관한 조건이 없습니다. 탈퇴 회원에 대한 통지 의무를 직접 판단한 결정문은 이번 검색에서 찾지 못했습니다. 다만 쿠팡 의결(제2026-011-075호)에서 개인정보위는 탈퇴 회원과는 다른 범주인 「회원이 아닌 정보주체」에게도 유출 통지를 실시하라고 명했습니다. 연락처를 알 수 없는 경우 등 정당한 사유가 있으면 시행령 제39조 제3항에 따라 홈페이지 30일 이상 게시로 갈음할 수 있습니다.

Q. 탈퇴한 회원이 보상을 받으려면 다시 가입하게 해도 되나요?

이 문제를 판단한 개인정보위 결정문은 찾지 못했고, 조문도 직접 말하지 않습니다. 이 글이 그 방식의 적법 여부를 판단할 근거는 없습니다. 회사로서는 로그인 없이 신청할 경로를 둘지, 본인 확인을 위해 다시 받는 정보를 어디까지로 할지, 통지 대상 명단과 보상 대상 명단이 같은지를 보상안 결재 단계에서 정하고 그 이유를 남겨 두기를 권합니다.

이 글은 일반적인 정보 제공을 위한 것이며 개별 사안에 대한 법률 자문이 아닙니다.

참고 자료

• 개인정보 보호법(2026. 9. 11. 시행) 제21조 제1항·제3항, 제34조 제1항
• 개인정보 보호법 시행령 제39조 제1항·제3항
• 인용한 의결 12건은 제재 DB에서 의결번호로 찾을 수 있습니다
• 티빙 공지 「사이버 침해 사고 사과 및 보상 안내」(2026. 9. 3.)
• 국민일보 2026. 10. 1. 보도
• 회원이 탈퇴하면 개인정보를 바로 지워야 하나요
• 유출 피해자에게 먼저 보상하면 과징금이 줄어드나요?
• 개인정보 유출 조정안, 15일 안에 회신하지 않으면 수락입니다
• 공개 통지문 모음