“할리스는 이미 탈퇴했는데, 왜 저한테 개인정보 유출 안내가 오나요?”
이번 할리스 유출 보도에서도 이미 탈퇴했는데 문자를 받았다는 제보가 나왔습니다. “비밀번호를 변경하세요”라는 안내만으로는 그 사람의 질문이 풀리지 않습니다. 회원 관계가 끝났는데 왜 비밀번호를 포함한 정보가 남아 있었는지부터 알고 싶기 때문입니다.
안내문을 읽고 비밀번호를 바꾼 다음에도 이 의문은 남습니다. 법적으로 확인할 출발점은 보상금 액수가 아니라 회사가 내 정보를 계속 보유할 근거가 있었는지입니다. 아래에서는 회사에 보낼 질문과, 받은 답변에서 빠진 내용을 찾는 기준을 짚어보겠습니다.
할리스가 설명한 ‘임시 데이터 파일’, 그 말로 끝나지 않는 이유
10월 19일 연합뉴스 보도에 따르면 할리스는 과거 멤버십 개편을 위해 제공한 임시 데이터 파일이 유출된 것으로 파악한다고 밝혔습니다. 신고 규모는 약 276만 건으로, 중복 회원을 포함한 추정치입니다. 정확히 276만 명의 피해자가 확인됐다는 의미는 아닙니다.
파일을 만든 목적과 계속 보유할 근거는 구분해야 합니다. 서비스 개편을 위해 복사할 필요가 있었다고 하더라도, 작업이 끝난 뒤까지 그 복사본을 보관할 이유가 있었는지는 별개의 질문입니다.
따라서 사고를 검토할 때는 해킹 경로만 살펴서는 충분하지 않습니다. 어떤 정보가 어느 시점에 복사됐고, 처리 목적이 끝났는지, 보유기간과 파기 절차는 무엇이었는지도 확인해야 합니다. 보도만으로 할리스의 구체적인 위법이나 배상책임을 확정할 수는 없습니다.
탈퇴 후 개인정보 보관기간, 거래기록과 계정정보를 나눠 보세요
개인정보 보호법 제21조는 보유기간이 지났거나 처리 목적을 달성하는 등 개인정보가 불필요해지면 지체 없이 파기하도록 정합니다. 모든 회원정보에 공통으로 적용되는 “탈퇴 후 몇 년”이라는 기간이 따로 있는 것은 아닙니다.
다른 법령이 보존을 요구하는 거래기록 등은 예외적으로 보관할 수 있습니다. 그러나 그 예외는 해당 법령이 요구하는 정보와 기간을 벗어나지 않아야 합니다. 법정 보존 대상 정보는 다른 개인정보와 분리해 저장·관리해야 한다는 것이 같은 조 제3항의 기준입니다.
여기서 놓치기 쉬운 차이가 있습니다. 거래기록을 보존해야 한다는 설명이 곧 회원의 비밀번호와 주소 등 계정정보 전체를 통째로 남겨도 된다는 설명은 아닙니다. 회사가 실제로 남겨둔 항목과 제시하는 보유 근거가 맞물리는지 확인해야 합니다.
회사 답변에서 빠진 내용을 찾는 방법
아래 답변은 할리스가 실제로 했다는 말이 아니라, 독자가 설명을 판단하는 데 쓸 수 있는 예시입니다.
“관련 법령에 따라 보관했습니다”라는 답을 받았다면
어떤 법령의 어느 보존 의무인지, 그 의무에 해당하는 정보가 무엇인지, 보관 종료일이 언제인지 물어보세요. “개인정보를 보관했다”는 큰 설명을 “내 이름·연락처·비밀번호 중 무엇을 어떤 근거로 보관했는가”라는 항목별 설명으로 바꾸는 것입니다. 분리관리 여부도 함께 확인할 필요가 있습니다.
“이전 시스템에서 사용한 자료입니다”라는 답을 받았다면
이전 시스템의 자료라는 사실은 파일의 출처를 설명할 뿐입니다. 작업 종료 시점, 종료 후에도 보유할 필요와 근거가 있었는지, 파기 대상이었다면 실제 삭제가 이뤄졌는지를 추가로 확인해야 합니다. “오래된 자료”라는 설명만으로 파기 의무를 검토하지 않을 수는 없습니다.
“탈퇴 여부부터 확인해야 합니다”라는 답을 받았다면
본인이 갖고 있는 탈퇴 완료 메일·문자와 날짜를 먼저 대조하세요. 앱을 삭제한 기억과 탈퇴한 사실은 다를 수 있습니다. 할리스의 현재 처리방침도 앱 삭제만으로 자동 탈퇴되지 않는다고 안내합니다. 다만 현재 공개 방침만으로 과거에도 같은 방침이 적용됐거나 실제로 준수됐다고 볼 수는 없습니다.
바로 사용할 확인 질문과 남겨둘 증거
문의할 때는 다음처럼 범위를 특정할 수 있습니다.
“제 정보가 이번 유출 대상에 포함됐는지와 해당 항목을 확인해 주세요. 회원탈퇴 후에도 정보를 보유했다면 항목별 처리 근거·보유기간을 알려주시고, 법정 보존 정보의 분리관리 여부와 파기 대상 정보의 처리 경위도 설명해 주세요.”
위 문구는 문의에 쓸 수 있는 예시입니다. 탈퇴 날짜를 확인했다면 덧붙이고, 안내 문자·이메일·공지·답변을 받은 형태 그대로 보관하세요. 이후 답변이 보유 항목, 근거, 기간에 각각 답했는지 대조하면 추가로 확인할 부분이 드러납니다.
그 사이 보안 조치를 미루지는 마세요. 공식 앱이나 홈페이지에 직접 접속해 비밀번호를 바꾸고, 같은 비밀번호를 쓰는 다른 계정도 점검해야 합니다. 회원탈퇴만으로 이미 외부에 유출된 사본이 회수되는 것은 아닙니다.
유출 통지는 손해배상의 출발점이지, 자동 보상 결정이 아닙니다
보상 가능성을 검토할 때는 개인정보 보호법 제39조의 일반 손해배상과 제39조의2의 법정손해배상을 구분합니다. 일반 손해배상은 법 위반으로 손해를 입은 경우 청구하는 것으로, 위반행위·손해·인과관계 등을 검토해야 합니다. 다만 고의 또는 과실이 없다는 점은 회사가 입증하지 못하면 책임을 면할 수 없습니다.
법정손해배상은 회사의 고의 또는 과실로 개인정보가 유출되는 등의 경우 300만원 이하 범위에서 상당한 금액을 청구할 수 있도록 한 제도입니다. 구체적인 손해의 증명이 어려운 피해자의 부담을 덜어주지만, 300만원을 일률적으로 지급하는 제도는 아닙니다. 여기서도 고의·과실이 없다는 점은 회사가 입증해야 합니다.
현금 피해가 없다고 청구 가능성이 무조건 사라지는 것은 아닙니다. 반대로 유출 사실만 확인되면 반드시 배상을 받는다고 단정해서도 안 됩니다. 유출 정보의 종류와 성격, 확산 가능성, 회사의 관리 상황과 사후 조치 등 개별 사정을 살펴야 합니다.
국번 없이 118은 개인정보 침해 신고·상담을 안내받는 창구입니다. 배상 등 당사자 사이의 분쟁은 개인정보분쟁조정이나 민사소송을 검토할 수 있습니다. 침해 신고 접수와 배상 청구는 같은 절차가 아닙니다.
이 사건을 읽고 남겨야 할 질문은 “보상금이 얼마인가”에 앞서 “내 정보가 왜 그곳에 남아 있었는가”입니다. 그 질문을 항목·근거·기간으로 구체화하면, 막연한 불안을 회사가 설명해야 할 사실로 바꿀 수 있습니다.
확인한 보도·법령과 구제 절차
연합뉴스(2026.10.19): 할리스 개인정보 유출 보도
https://www.yna.co.kr/view/AKR20261019012452030
개인정보 보호법 제21조: 개인정보의 파기
https://www.law.go.kr/lsLinkCommonInfo.do?lsJoLnkSeq=1027063705
개인정보 보호법 제39조: 손해배상책임
http://www.law.go.kr/LSW/lsLawLinkInfo.do?chrClsCd=010202&lsJoLnkSeq=900078756
개인정보 보호법 제39조의2: 법정손해배상의 청구
https://law.go.kr/lsLinkCommonInfo.do?chrClsCd=010202&lsJoLnkSeq=1022696079
할리스 개인정보 처리방침
https://www.hollys.co.kr/customer/pop/customerInfoPolicy.do
찾기쉬운 생활법령정보: 개인정보 침해 신고와 분쟁조정
https://www.easylaw.go.kr/CSP/CnpClsMainBtr.laf?ccfNo=3&cciNo=1&cnpClsNo=1&csmSeq=1257
임호균 변호사 소개
https://lawyerlim.com/about-lawyer-lim
임호균 변호사 | 디센트 법률사무소
2026년 10월 22일 확인 자료를 바탕으로 작성한 일반 법률정보입니다. 개별 사건의 판단은 사실관계에 따라 달라집니다. 대표이미지는 AI로 제작한 설명용 이미지입니다.