내 개인정보를 지워달라고 요구하면 회사는 10일 안에 답해야 합니다 — 열람·삭제·처리정지 청구의 절차와 거절 사유

권리는 네 가지로 나뉩니다

「개인정보 보호법」은 정보주체(= 내 정보의 주인)에게 서로 다른 네 개의 요구권을 줍니다. 이름이 비슷해서 뭉뚱그리기 쉬운데, 요건과 효과가 각각 다릅니다.

• 열람(제35조) — 나에 대해 무엇을 갖고 있는지 보여 달라
• 정정(제36조) — 틀린 내용을 고쳐 달라
• 삭제(제36조) — 지워 달라
• 처리정지(제37조) — 갖고는 있되 더 이상 쓰지 말라

순서가 중요합니다. 무엇을 갖고 있는지 모르면 무엇을 지워 달라고 할지도 정할 수 없습니다. 그래서 실무에서는 열람을 먼저 걸고, 회신을 받은 뒤 삭제나 처리정지로 넘어갑니다.

열람 요구 — 회사는 10일 안에 보여줘야 합니다

개인정보처리자가 열람 요구를 받으면 10일 이내에 해당 개인정보를 열람할 수 있게 해야 합니다. 기간 안에 열람하게 할 수 없는 정당한 사유가 있으면 그 사유를 알리고 연기할 수 있지만, 이때도 사유가 없어지면 지체 없이 열람하게 해야 합니다.

열람 범위는 보유 항목만이 아닙니다. 개인정보의 수집·이용 목적, 보유 및 이용 기간, 제3자 제공 현황, 처리에 동의한 사실과 내용까지 포함됩니다. "어디로 넘어갔는지"를 확인하는 통로가 바로 이 항목입니다. 광고 전화가 어디서 시작됐는지 추적할 때 실제로 쓰이는 부분입니다.

공공기관이 보유한 개인정보파일은 각 기관에 직접 내도 되고, 개인정보보호위원회가 운영하는 개인정보포털의 통합 창구를 이용해도 됩니다.

삭제 요구 — 안 되는 경우가 법에 정해져 있습니다

삭제도 10일 이내에 조치하고 그 사실을 결과 통지서로 알려야 합니다. 다만 제36조 제1항 단서에 예외가 있습니다. 다른 법령에서 그 개인정보를 수집 대상으로 명시하고 있으면 삭제를 요구할 수 없습니다.

이 조항 때문에 "왜 안 지워 주냐"는 분쟁이 자주 생깁니다. 전자상거래법이 정한 계약·청약철회 기록, 대금결제 기록, 소비자 불만 처리 기록처럼 법이 일정 기간 보관하라고 한 정보는 회사가 지우고 싶어도 지울 수 없습니다. 통신사·금융사의 거래 기록도 같습니다. 이때 회사가 "법령상 보존 의무"라고 답했다면 그것은 대체로 거절이 아니라 사실입니다.

처리정지 — 삭제가 막혔을 때의 실질적인 카드

삭제가 법령 때문에 막히면 남는 것이 처리정지(제37조)입니다. 정보를 보관은 하되 더 이상 이용하거나 제공하지 말라는 요구입니다. 이것도 10일 이내에 조치하고 결과를 통지해야 합니다.

광고 문자를 막는 데 실제로 효과가 있는 것이 이쪽입니다. 보존 의무 때문에 거래 기록은 남더라도, 마케팅 목적의 이용과 제3자 제공은 정지시킬 수 있기 때문입니다. "지워 주세요"라고만 말했다가 거절당한 사람이 많은 이유가 여기 있습니다. 요구의 이름을 바꾸면 결과가 달라집니다.

요구서는 서식이 정해져 있습니다

전화로 말해도 되지만, 기한과 기록을 남기려면 서면이 낫습니다. 「개인정보 보호법 시행규칙」에 '개인정보(열람·정정·삭제·처리정지) 요구서' 서식이 있고, 대부분의 기관이 홈페이지 개인정보처리방침 하단에 같은 양식을 걸어 둡니다. 체크박스로 어떤 요구인지 고르고, 요구 항목과 사유를 적는 구조입니다.

대리인이 낼 때는 위임장이 함께 필요합니다. 만 14세 미만 아동은 법정대리인이 요구합니다. 접수 사실을 남기는 것이 중요하므로 이메일이나 등기 등 날짜가 남는 방법을 쓰는 편이 좋습니다. 10일이라는 기한은 접수일부터 세기 때문입니다.

거절당하면 — 이의제기, 그리고 분쟁조정 60일

처리자가 요구를 거절할 때는 그냥 거절할 수 없습니다. 거절 사유와 이의제기 방법을 함께 알려야 합니다. 통지서에 이 두 가지가 없으면 그 자체가 문제입니다.

다음 단계는 두 갈래입니다. 침해 사실을 신고하는 개인정보 침해 신고(국번 없이 118)와, 손해 회복을 다투는 개인정보 분쟁조정입니다. 분쟁조정위원회는 신청을 받은 날부터 60일 이내에 조정안을 작성해야 하고, 개인정보처리자는 조정 통지를 받으면 특별한 사유가 없으면 응해야 합니다. 응하지 않아도 그만이었던 예전과 달라진 부분입니다. 비용이 들지 않고 소송보다 빠릅니다.

유출됐다면 300만원 — 다만 2025년 12월에 기준이 정리됐습니다

이미 유출된 뒤라면 조문이 달라집니다. 제39조의2 법정손해배상은 개인정보가 분실·도난·유출·위조·변조·훼손된 경우 300만원 이하 범위에서 손해액을 청구할 수 있게 하고, 처리자가 고의·과실이 없음을 스스로 입증하지 못하면 책임을 면할 수 없다고 정합니다. 피해액을 증명하기 어려운 개인을 위한 장치입니다.

그런데 이 조항의 문턱이 최근 명확해졌습니다. 대법원은 2025년 12월 4일 선고 2023다311184 판결에서, 법정손해배상이 인정되려면 ①처리자의 고의·과실로 인한 유출이 있고 ②통상적으로 발생하기 어려운 손해가 있으며 ③유출과 손해 사이에 인과관계가 있어야 한다고 판단했습니다. 제3자의 부정행위나 이용자 본인의 부주의처럼 중간에 끼어든 사정도 함께 따진다고 했습니다.

실무적으로는 이렇게 읽힙니다. "유출 통지를 받았다"만으로 자동으로 300만원이 나오지는 않습니다. 유출 이후 실제로 벌어진 일 — 그 정보로 개통이 시도됐다거나, 특정 경로의 사기 연락이 왔다거나 — 을 기록해 두는 쪽이 훨씬 중요합니다.

순서 정리

• ① 먼저 열람을 요구해 보유 항목·이용 목적·제3자 제공 현황을 받는다(10일)
• ② 회신을 보고 지울 것과 고칠 것을 정해 삭제·정정을 요구한다(10일)
• ③ 법령상 보존 의무로 삭제가 거절되면 처리정지로 바꿔 요구한다(10일)
• ④ 요구는 시행규칙 별지 서식으로, 날짜가 남는 방법(이메일·등기)으로 접수한다
• ⑤ 거절 통지에 사유와 이의제기 방법이 적혀 있는지 확인한다
• ⑥ 해결이 안 되면 118 신고 또는 분쟁조정 신청(조정안 60일)
• ⑦ 유출 사안이라면 통지문·문자·시도 기록을 날짜별로 보관한다

내 정보가 이미 돌아다니는지부터 확인하려면 '털린 내 정보 찾기' 조회가 출발점이고, 휴대폰을 잃어버린 상황이라면 30분 안에 할 일이 먼저입니다. 유출 이후 들어오는 미끼 문자는 스미싱 구별법으로 걸러내고, 계정 자체를 지키는 것은 2단계 인증이 가장 확실합니다.

이 글은 「개인정보 보호법」 제35조~제37조·제39조의2, 같은 법 시행령 및 시행규칙 별지 서식, 개인정보보호위원회 개인정보포털 '열람 등 요구' 안내, 개인정보 분쟁조정위원회 안내, 대법원 2025. 12. 4. 선고 2023다311184 판결(판례속보)을 정리한 것입니다(2026년 8월 확인). 개별 사안에서 요구가 인정되는 범위와 거절의 정당성은 처리자와 분쟁조정위원회·법원의 판단에 따르며, 이 글은 법률 자문을 대신하지 않습니다.