폐업 후 고객 개인정보 파기 기준

가게나 온라인몰을 폐업하면 고객 이름·전화번호·주소·주문내역·회원계정·CCTV 영상을 모두 바로 삭제해야 할까요? 개인정보는 목적이 끝나면 지체 없이 파기하는 것이 원칙이지만, 전자상거래·세무·분쟁 대응 등 다른 법령에서 일정 기간 보존하도록 한 자료까지 즉시 삭제하면 안 됩니다. 반대로 보관 의무가 끝난 자료를 “나중에 필요할 수 있다”는 이유로 계속 쌓아두는 것도 위험합니다.

이 글은 2026년 9월 기준으로 폐업 시 고객 개인정보를 종류별로 분류하고, 법정 보존기간과 파기 시점을 정한 뒤, 수탁업체·클라우드·POS·CCTV까지 안전하게 정리하는 방법을 실무 순서로 정리했습니다. 의료·학원·여행·금융처럼 별도 보존 규정이 있는 업종은 해당 법령과 감독기관 안내를 함께 확인하세요.

1. 폐업과 개인정보 파기는 왜 연결되나?

개인정보 보호법은 처리 목적이 달성되거나 보유기간이 지나 정보가 불필요해지면 지체 없이 파기하도록 합니다. 개인정보보호위원회도 폐업·파산으로 계약과 서비스가 종료되어 개인정보가 불필요해진 경우 목적 범위에서 파기 의무가 발생한다고 안내합니다. 다만 다른 법령이 보존을 요구하면 그 기간 동안은 파기하지 않고 분리해 보관해야 합니다.

개인정보 보호법 제21조의 원칙을 아래 세 단계로 적용하면 됩니다.

2. 폐업 직후 고객정보 목록 만들기

먼저 시스템과 종이를 훑어 개인정보가 어디에 있는지 목록화합니다. 회원DB만 확인하고 POS·배달앱·택배·세무대리인 자료를 놓치는 경우가 가장 많습니다.

3. 법정 보존기간이 있는 고객 거래기록

온라인몰·예약 서비스처럼 전자상거래를 했다면 거래기록은 개인정보 보호법의 일반 파기 원칙만으로 판단할 수 없습니다. 전자상거래법 시행령 제6조는 다음 기록의 보존기간을 정하고 있습니다.

기간의 시작점과 기록 범위는 거래 유형에 따라 달라질 수 있습니다. 보존기간이 남은 파일은 ‘폐업 후 법정 보존’ 폴더나 별도 DB로 옮기고, 마케팅·접근 권한을 차단해 목적 외로 사용하지 마세요.

4. 회원·마케팅 개인정보는 언제 파기하나?

회원계정, 상담 연락처, 뉴스레터 수신자처럼 법정 거래기록이 아닌 정보는 처리 목적과 처리방침에 적은 보유기간을 기준으로 정리합니다. 서비스가 종료되면 회원 로그인·적립·이벤트 운영 목적은 대체로 끝나므로 필요 없는 정보를 계속 보관하지 않아야 합니다.

수신거부 목록도 바로 지워도 되나?

광고를 다시 보내지 않기 위해 수신거부 사실을 최소한으로 남겨야 하는 경우가 있습니다. 이름·전화번호 전체를 보관할 필요가 있는지, 해시나 차단목록처럼 최소 정보로 대체할 수 있는지 검토하고 처리방침과 내부 기준에 기록하세요. 광고 발송 서비스의 차단목록도 함께 확인해야 합니다.

5. 고객 결제정보는 직접 보관하지 않기

카드번호 전체, 비밀번호, 인증정보를 사업자가 별도로 보관했다면 즉시 보안 점검과 파기 대상입니다. PG사·카드사에서 토큰화한 결제정보는 계약 종료와 함께 수탁업체의 보존·파기 정책을 확인하고, 사업자가 내려받은 파일이나 메모에 카드정보가 남아 있지 않은지 찾으세요.

• 카드번호 전체·CVC·비밀번호가 적힌 메모와 엑셀을 검색합니다.
• PG·결제대행 관리자 계정과 API 키를 폐기하거나 권한을 회수합니다.
• 환불·차지백 기간에 필요한 주문번호와 결제금액만 남깁니다.
• 결제정보가 유출됐을 우려가 있으면 개인정보보호위원회·KISA 신고 기준을 확인합니다.

6. CCTV 영상과 출입기록

CCTV 영상은 영상정보처리기기 운영 목적과 내부 보유기간을 먼저 확인합니다. 폐업 후 매장 감시 목적이 끝났다면 보존 필요성이 없는 영상은 지체 없이 파기하되, 사고·분쟁·수사 요청으로 보존해야 하는 영상은 해당 범위를 표시해 별도로 보관합니다. ‘무조건 30일’처럼 모든 업종에 같은 기간이 적용된다고 단정하지 마세요.

7. 폐업한 가게를 양도할 때 고객정보를 넘겨도 되나?

영업을 양도하면서 예약명단·회원DB·고객 연락처를 새 운영자에게 넘기는 경우는 단순한 파일 전달이 아닙니다. 개인정보 보호법 제27조에 따라 이전 사실, 양수인의 정보, 이전을 원하지 않을 때의 방법 등을 정보주체에게 미리 알리고, 양수인은 원래 목적 범위에서만 이용해야 합니다.

8. 세무·분쟁 때문에 보관해야 하는 개인정보

세금계산서·거래명세·급여대장·환불서류에는 고객·거래처·직원 개인정보가 섞일 수 있습니다. 세법과 전자상거래법 등 다른 법령이 요구하는 기간 동안 필요한 자료만 보관하고, 일반 고객 DB와 분리해 세무·법무 담당자만 접근하도록 하세요.

법정 보존을 이유로 전체 회원DB를 그대로 보관할 필요는 없습니다. 이름·주소 전체 대신 주문번호, 거래일, 금액 등 목적에 필요한 최소 항목으로 축소할 수 있는지 검토하세요.

9. 수탁업체·클라우드·플랫폼 정리

개인정보를 대신 처리한 POS 업체, CRM·문자 발송 업체, 쇼핑몰 호스팅, 세무대리인, 배송업체가 보유한 자료도 폐업 정리 범위에 포함됩니다. 위탁계약의 반환·파기 조항을 확인하고, 계정 삭제와 백업 파기 여부를 서면으로 회신받으세요.

1. 수탁업체별로 어떤 정보와 기간을 보유하는지 목록화합니다.
2. 법정 보존이 필요한 자료와 즉시 파기할 자료를 구분해 지시합니다.
3. 운영 DB, 테스트 DB, 로그, 백업, 다운로드 파일까지 삭제 범위를 확인합니다.
4. 삭제 완료일·방법·담당자·예외 보관자료를 확인서로 받습니다.
5. 관리자 계정·API 키·공유 비밀번호를 폐기하고 접근 로그를 저장합니다.

10. 개인정보 파기 방법과 파기대장

개인정보 보호법 시행령은 전자파일을 복원이 불가능한 방법으로 영구 삭제하고, 종이·기록매체는 파쇄 또는 소각하도록 정합니다. 휴지통 비우기만으로 충분한지, 클라우드 백업에 남아 있는지 확인해야 합니다.

파기대장은 고객 개인정보 자체를 다시 복제하지 않도록 ‘파일명·기간·수량·근거·파기일·방법’ 정도의 최소 정보로 작성하세요. 법정 보존자료는 파기대상과 분리해 보관 종료일을 표시합니다.

1. 파기 대상 파일·문서를 확정하고 보존 근거가 있는지 다시 확인합니다.
2. 운영 DB와 백업에서 대상 정보를 삭제하거나 별도 보존 영역으로 이동합니다.
3. 전자·종이·영상 매체별 파기 방법을 실행하고 완료 화면·확인서를 저장합니다.
4. 파기대장과 예외 보관 목록을 검토해 누락·과다 보관이 없는지 점검합니다.

11. 직원·거래처 개인정보도 함께 정리

폐업 시 고객만 보고 직원의 주민등록번호, 급여계좌, 근무기록, 거래처 담당자 연락처를 놓치기 쉽습니다. 노동·세무 신고와 분쟁 대응에 필요한 자료를 남기되, 필요 이상으로 개인 파일을 복제하거나 개인 이메일에 보관하지 마세요.

• 퇴직·급여·원천세 신고에 필요한 직원 자료를 세무·노무 보관함으로 이동합니다.
• 직원용 POS·메일·메신저 계정과 접근권한을 회수합니다.
• 거래처 연락처는 미수금·채무 정산이 끝나면 파기하거나 최소화합니다.
• 개인 휴대전화에 저장된 고객·직원 연락처와 사진을 삭제합니다.
• 세무대리인에게 보낸 파일의 보관기간과 파기 예정일을 확인합니다.

12. 폐업 전 고객에게 알릴 내용

서비스를 종료하면 홈페이지·문자·이메일 등 기존 연락수단으로 환불·AS·문의 접수 방법과 개인정보 처리 방향을 안내하는 것이 좋습니다. 영업양도라면 개인정보 이전 통지 요건을 별도로 충족해야 하며, 단순 폐업 후 파기라면 불필요한 개인정보를 모아 다시 연락하지 않도록 최소 정보만 사용하세요.

13. 폐업 후 내부 점검 순서

1. 인벤토리: DB·문서·기기·수탁업체별 개인정보 목록을 만듭니다.
2. 법정 보존 매칭: 전자상거래·세무·노동·분쟁 관련 보존기간을 표시합니다.
3. 최소화·분리: 보존자료에서 불필요한 항목을 삭제하고 별도 저장소로 옮깁니다.
4. 접근 차단: 직원·대행사·클라우드 관리자 권한과 API 키를 회수합니다.
5. 파기 실행: 전자·종이·영상·백업을 복구 불가능하게 삭제합니다.
6. 확인·기록: 파기대장, 수탁업체 확인서, 예외 보관 목록을 보관합니다.
7. 사후 점검: 일정 기간 후 검색·백업·휴지통에 개인정보가 남았는지 재확인합니다.

14. 파기하지 않고 보관해야 하는 예외

보존 예외가 있다고 해서 모든 개인정보를 계속 보관할 수 있는 것은 아닙니다. 필요한 항목·기간·접근자를 문서로 한정하고, 사유가 끝나면 즉시 파기합니다.

15. 유출 위험을 줄이는 폐업 보안 조치

• 대표·직원·세무대리인·수탁업체의 관리자 계정을 회수합니다.
• 공유 비밀번호, API 토큰, FTP·클라우드 키를 변경하거나 폐기합니다.
• 노트북·POS·휴대전화·외장하드의 저장자료를 백업 후 안전하게 초기화합니다.
• 도메인·호스팅·문자 발송·택배 플랫폼의 접근권한을 최소화합니다.
• 개인정보가 포함된 파일을 개인 메일·메신저로 전달하지 않습니다.
• 파기 완료 전까지 잠금·암호화·접근기록을 유지합니다.

16. 공식 기준과 참고 법령

자주 묻는 질문

Q1. 폐업신고를 하면 고객 개인정보가 자동으로 삭제되나요?

아닙니다. 폐업신고와 개인정보 파기는 별도 절차입니다. 사업자와 수탁업체의 DB·문서·백업을 직접 확인하고 목적 종료·법정 보존기간에 따라 파기해야 합니다.

Q2. 고객 주문내역은 폐업 당일에 삭제해도 되나요?

전자상거래를 했다면 계약·청약철회, 결제·공급, 분쟁기록에 법정 보존기간이 적용될 수 있습니다. 보존 대상만 최소화해 별도 보관하고 기간이 끝난 뒤 파기하세요.

Q3. 회원 전화번호를 보관해 환불 안내를 해도 되나요?

환불·AS 등 계약 이행에 필요한 기간과 범위 안에서는 사용할 수 있습니다. 처리가 끝나면 연락처를 파기하고, 마케팅 목적으로 재사용하려면 별도 법적 근거와 고지를 검토해야 합니다.

Q4. 가게를 양도하면서 단골 명단을 새 사장에게 넘겨도 되나요?

개인정보 보호법상 영업양도 이전 통지 절차가 필요합니다. 고객에게 이전 사실·양수인·거부 방법을 알리고, 양수인은 원래 목적 범위에서만 이용해야 합니다.

Q5. CCTV는 폐업하면 바로 포맷하면 되나요?

사고·분쟁·수사 요청이 없다면 내부 보유기간과 목적 종료에 따라 파기할 수 있습니다. 보존 요청이나 법적 절차가 있으면 관련 시간대만 별도 보관하고 접근을 제한하세요.

Q6. 세무사에게 보낸 고객 자료도 내가 삭제해야 하나요?

위탁·제공 계약과 세법상 보존 필요성을 확인해야 합니다. 세무사에게 보관기간과 파기 예정일을 물어보고, 불필요한 복사본·공유폴더·메일 첨부파일은 함께 정리하세요.

Q7. 파기했다는 증거를 꼭 남겨야 하나요?

법에서 모든 사업자에게 동일한 양식의 파기대장을 요구하는 것은 아니지만, 파기일·범위·방법·담당자와 수탁업체 확인서를 남기면 유출·분쟁 발생 시 적절한 조치를 설명하기 쉽습니다.

Q8. 폐업 후 고객이 개인정보 열람·삭제를 요청하면 어떻게 하나요?

남아 있는 담당 창구를 운영하고 본인 확인 후 법정 보존 예외를 검토합니다. 삭제가 제한되는 자료라면 이유와 보존기간을 안내하고, 목적이 끝난 정보는 지체 없이 파기하세요.

Q9. 백업 파일에 개인정보가 남아 있으면 파기하지 않은 것인가요?

운영 DB뿐 아니라 백업·테스트·휴지통까지 파기 범위를 점검해야 합니다. 기술적으로 즉시 삭제가 어려운 백업은 복원·이용을 막고 보존기간과 자동 삭제 시점을 문서화하세요.

※ 이 글은 일반적인 폐업 개인정보 관리 안내입니다. 전자상거래·세무·노동·의료 등 업종별 보존 규정과 개인정보 처리방침이 우선할 수 있으므로, 파기 전 개인정보보호위원회·관할 기관·전문가의 최신 안내를 확인하세요.