개인정보 파기, 방법은 법에 정해져 있고 확인서는 다섯 칸이면 됩니다

이 글은 개인정보를 보유한 한국 내 회사와 그 인사·IT·컴플라이언스 담당자를 위한 안내입니다. 개인정보가 불필요해지면 법이 정한 방법으로 지체 없이 파기해야 합니다. 법정 확인서 서식은 없지만 파기를 증명할 기록이 필요하고, 그 기록은 다섯 칸이면 충분합니다.

파기 확인서를 쓰는 이유

가장 흔한 문제는 파기는 하는데 기록이 없는 것입니다. 개인정보 보호법 제21조는 파기 의무만 정하고 확인서 서식을 요구하지 않습니다. 그런데 위탁사 점검(개인정보 처리를 맡긴 고객사의 점검)이나 감독기관 조사에서는 파기한 사실을 증명해야 합니다. 증명 수단이 없으면 하지 않은 것과 같게 취급됩니다. 확인서를 쓰는 이유는 법정 서식이라서가 아니라 증명 때문입니다.

언제 파기하는가

제21조 제1항은 보유기간의 경과, 개인정보의 처리 목적 달성, 가명정보의 처리 기간 경과 등 그 개인정보가 불필요하게 되었을 때 지체 없이 파기하도록 합니다. 단서는 다른 법령에 따라 보존하여야 하는 경우를 예외로 둡니다.

예외에 해당해 보존하는 경우에도 그냥 두면 안 됩니다. 제21조 제3항은 해당 개인정보 또는 개인정보파일을 다른 개인정보와 분리하여 저장·관리하도록 요구합니다. 근로기준법상 보존 의무가 있는 서류, 세법상 증빙, 전자상거래법상 거래 기록이 여기에 해당합니다. 이들을 운영 중인 데이터베이스에 섞어 두면 분리보관 의무 위반이 됩니다.

법이 정한 파기 방법

제21조 제2항은 복구 또는 재생되지 아니하도록 조치할 것을 요구합니다. 시행령 제16조 제1항이 방법을 구분합니다.

휴지통으로 옮기기, 파일명 바꾸기, 폴더 숨기기는 영구 삭제가 아닙니다. 백업본이 남아 있으면 원본을 지워도 복원할 수 있으므로 파기로 보기 어렵습니다. 클라우드 스토리지의 버전 관리 기능과 휴지통 보관 기간을 함께 확인해야 하는 이유입니다.

같은 조 제2항은 안전한 파기에 관한 세부 사항을 보호위원회(개인정보 보호위원회)가 정하여 고시하도록 위임합니다. 기술적 방법의 구체적 기준은 그 고시에서 확인하는 것이 정확합니다.

확인서에 들어가는 다섯 칸

• 파기일
• 파일명 또는 대상 개인정보파일의 식별 정보
• 파기 사유(보유기간 경과, 목적 달성, 동의 철회 등)
• 파기 방법(영구 삭제, 파쇄, 소각 중 어느 것인지)
• 처리자(실제로 파기를 수행한 사람)

다섯 칸을 넘기면 오히려 작성되지 않습니다. 월말에 그달 파기분을 한 장으로 취합하고, 연 단위로 묶어 보관하는 운영이 현실적입니다.

보유기간을 먼저 정합니다

파기가 시작되지 않는 회사의 공통점은 보유기간이 정해져 있지 않다는 것입니다. 제21조 제1항의 요건은 보유기간의 경과, 처리 목적 달성, 가명정보 처리 기간 경과입니다. 앞의 둘은 누군가 판단해야 발동됩니다. 그 판단이 없으면 파기 의무는 관념으로만 존재하고 데이터는 계속 쌓입니다.

출발점은 개인정보파일 단위로 목록을 만들고 파일마다 보유기간과 파기 트리거를 적는 것입니다. 회원 탈퇴 후 며칠, 계약 종료 후 몇 개월, 채용 불합격 통보 후 며칠처럼 조건을 구체적으로 적어야 월말 파기 작업이 기계적으로 돌아갑니다.

보존 예외도 파일 단위로 붙여 둡니다. 어느 법령 몇 조에 따라 몇 년을 보존하는지 적어 두면 분리 저장 대상이 자동으로 정해집니다. 그 기간이 끝나는 시점은 다시 파기 트리거가 됩니다. 이 표가 있으면 위탁사 점검에서 요구하는 자료의 상당 부분이 그대로 해결됩니다. 점검 대응은 개인정보 수탁사 점검 회신에 정리했습니다.

체크리스트: 점검에서 드러나는 빈틈

• 보유기간이 정해지지 않은 개인정보파일이 없습니다.
• 누군가 목적 달성 시점을 판단해 파기가 실제로 시작됩니다.
• 운영 DB만이 아니라 백업·로그·스냅숏도 지웁니다.
• 개발·스테이징 환경에 복사해 둔 운영 데이터를 지웁니다.
• 담당자 PC 다운로드 폴더의 추출본을 지웁니다.
• 메신저·이슈트래커에 붙여 넣은 목록을 지웁니다.
• 메일 첨부로 주고받은 명단이 메일함에 남지 않습니다.
• 출력물을 일반 쓰레기로 버리지 않습니다.
• 파쇄했으면 기록을 남깁니다.
• 법령상 보존 대상은 원본과 같이 두지 않고 분리 저장합니다.
• 분리 저장한 데이터의 접근권한을 그대로 두지 않습니다.
• 수탁자에게 넘긴 데이터의 파기 여부를 확인합니다.
• 위탁 계약이 끝나면 반환 또는 파기 조항을 이행합니다.
• 파기 확인서에 처리자 서명이 있습니다.
• 확인서가 담당자 개인 폴더에만 있지 않습니다.

마지막 세 항목이 점검에서 실제로 지적되는 지점입니다. 내부 파기만 챙기고 수탁자 쪽 파기를 확인하지 않으면, 우리 쪽 기록이 아무리 깔끔해도 데이터는 외부에 남아 있게 됩니다.

수탁자 쪽은 계약으로 관리합니다. 위탁 계약에 개인정보의 반환 또는 파기 시점과 방법, 파기 확인 자료의 제출 의무를 넣어 두면 계약 종료 시 요구할 근거가 생깁니다. 조항이 없으면 협조를 구할 수는 있어도 강제할 수단이 없습니다. 유출이 생겼을 때의 절차는 개인정보 유출 통지와 신고를 보십시오.