오늘날 기업과 기관은 고객과 직원 등 다양한 사람들의 개인정보를 수집 이용하고 있습니다. 하지만, 그 정보를 무기한 보관하는 것은 오히려 위험이 될 수 있습니다. 그래서, 개인정보보호법에서는 일정한 보관기간이 지나면 개인정보를 반드시 파기하도록 정하고 있습니다.

 

 

개인정보 파기의 법적 근거는 무엇일까요 ?

개인정보보호법 제21조(개인정보의 파기)는 다음과 같이 명시합니다.

개인정보보호법 제21조(개인정보의 파기) ① 개인정보처리자는 보유기간의 경과, 개인정보의 처리 목적 달성, 가명정보의 처리 기간 경과 등 그 개인정보가 불필요하게 되었을 때에는 지체 없이 그 개인정보를 파기하여야 한다. 다만, 다른 법령에 따라 보존하여야 하는 경우에는 그러하지 아니하다. ② 개인정보처리자가 제1항에 따라 개인정보를 파기할 때에는 복구 또는 재생되지 아니하도록 조치하여야 한다.

즉, 정보가 더 이상 필요 없을때에는 보관하지 말고 완전하고 안전하게 삭제해야 한다는 뜻입니다.

 

개인정보의 파기 방법

개인정보의 파기에는 물리적인 방법과 전저작인 방법이 있습니다. 파기 시에는 재생, 복구가 불가능해야 하며, 아래와 같은 방법을 권장합니다.

전자파일 형태의 개인정보

파일 삭제 후 디가우징 (Disk Wiping)

전용 삭제 프로그램 사용 (예: Eraser, DBAN)

저장매체 초기화 및 물리적 파손 병행

2. 종이문서 형태의 개인정보

문서 분쇄기(파쇄기) 이용

소각 또는 용해 처리

 

개인정보 파기 절차 체크리스트

파기 대상 식별

- 보유기간 경과 또는 처리 목적 달성 여부 확인

- 관련 기록 (로그, DB 등) 추출

파기 계획 수립

- 파기 대상 목록 자성

- 파기 방법 결정 (전자파일 / 문서)

- 위탁 처리 여부 검토

파기 실행

- 전자 파일 : 복구 불가능한 방식으로 삭제

- 종이문서 : 분쇄기, 소각 등 안전한 물리적 방법 사용

파기결과 기록

- 파기일시, 방법, 책임자, 대상 수 등 기록

- 파기 결과 보고 및 승인 (내부 감사 또는 개인정보보호책임자)

사후 관리

- 파기 결과 3년 이상 보관

- 위탁시 수탁자 이행여부 확인

- 관련 교육 및 문서화 완료

※ 파기내역은 최소 3년간 보존하도록 개인정보보호위원회가 권고하고 있습니다.

 

파기기록 예시 (보관용) 파기일시 : 2025년 7월 12일 파기대상 : 회원 탈퇴자 1250명 파기방법 : DB삭제 및 복구불능 처리 책임자 : 개인정보보호담당자 강하늘 비고 : 주기적 점검에 따른 정기 파

개인정보 파기를 소홀히 하게 되면 발생하는 일

파기를 하지 않거나 지연하게 되면 다음과 같은 법적 책임이 따를 수 있습니다.

행정처분 : 과태료 또는 시정명령

형사처벌 : 고의성이 있을 경우

신뢰도 하락 : 고객의 불신 초래 및 브랜드 가치 하락

 

가명정보의 경우 가명처리된 정보 중 이용 기간이 경과하거나 이용 목적을 달성하는 경우 가명정보에 대해서도 파기를 수행하여야 합니다. 또는 가명처리 과정에서 재식별이 발생하는 경우, 해당 내용을 보고하고 바로 파기하여야 합니다. 파기에 대한 기록을 관리하고 3년간 보관하여야 합니다.

 

개인정보는 잘 관리하는것도 중요하지만, 적절한 시점에 안전하게 파기하는것 또한 개인정보보호의 핵심입니다. 불필요한 정보는 과감하게 삭제하고, 법적 책임과 보안사고의 위험에 대비하셔야 합니다.