[ISMS-P 인증심사원 준비]3.4 개인정보 파기 시 보호조치 완벽 이해하기

안녕하세요! 오늘은 기업의 개인정보보호 체계에서 가장 중요하면서도, 자칫 소홀해지기 쉬운 '개인정보의 파기'에 대해 알아보겠습니다.

수집할 때만큼이나 안전하게 버리는 것도 중요한 법이죠. 3.4.1 개인정보 파기와 3.4.2 처리목적 달성 후 보유 시 조치 두 가지 핵심 영역을 상세히 풀어서 설명해 드립니다.

 

ISMS-P 3.4 개인정보 파

 3.4.1 개인정보 파기

핵심 요약: 개인정보의 보유기간 및 파기 관련 내부 정책을 수립하고, 보유기간이 지나거나 처리 목적이 달성된 개인정보는 복구 불가능한 방법으로 지체 없이 파기해야 합니다.

1. 개인정보의 보유기간 및 파기와 관련된 내부 정책 수립

단순히 "때가 되면 지운다"가 아니라, 명문화된 규정이 있어야 합니다. 수집하는 각 개인정보 항목별로 언제까지 보관하고, 어떤 절차를 거쳐 누가 파기할 것인지 내부 관리계획에 명시해야 합니다.

• 실무 예시:
  • 사내 '개인정보 내부관리계획서'에 [회원가입 정보: 탈퇴 시 즉시 파기], [이벤트 참여 정보: 경품 지급 후 1개월 뒤 파기] 등으로 보유 기간을 명확히 정의합니다.
  • 파기 절차(예: 담당자 기안 -> 개인정보보호책임자(CPO) 승인 -> 파기 실행)를 문서화합니다.

2. 목적 달성 또는 보유기간 경과 시 지체 없는 파기

개인정보는 목적이 달성되거나 약속한 보유기간이 끝났다면 '지체 없이(통상 5일 이내)' 파기해야 합니다.

• 실무 예시:
  • 회원이 웹사이트에서 '탈퇴' 버튼을 누른 경우, 시스템에서 매일 새벽 배치(Batch) 프로그램을 통해 전일 탈퇴한 회원의 DB 정보를 자동으로 영구 삭제하도록 설정합니다.
  • 1년 이상 로그인하지 않은 회원의 정보(휴면 계정)를 정책에 따라 파기합니다.

3. 복구·재생되지 않는 안전한 파기 방법 사용

컴퓨터 휴지통에 넣거나 단순히 DELETE 쿼리를 날리는 것만으로는 데이터 복구가 가능할 수 있습니다. 완전히 복구 불가능한 기술적/물리적 조치가 필요합니다.

• 실무 예시:
  • 전자적 파일: 단순 삭제가 아닌, 로우 레벨 포맷(Low Level Format)이나 데이터 덮어쓰기(Wiping) 솔루션을 사용하여 복구할 수 없도록 DB를 파기합니다.
  • 종이 문서: 이력서, 이벤트 응모권 등 개인정보가 인쇄된 서류는 문서 파쇄기를 이용해 가루로 만들거나 소각 처리합니다.
  • 저장 매체: 불량 난 하드디스크를 폐기할 때는 천공기(구멍 뚫기)나 디가우저(강한 자기장으로 데이터 파괴)를 사용합니다.

4. 개인정보 파기 기록의 유지 및 관리

파기를 했다면, "우리가 언제, 어떤 데이터를, 어떻게 파기했다"는 증거를 남겨야 합니다. 이는 향후 감사나 점검 시 필수적인 소명 자료가 됩니다.

• 실무 예시:
  • 수기 파기의 경우 '개인정보 파기 관리대장'을 작성하고 CPO의 결재를 받습니다.
  • 시스템 자동 파기의 경우, 어떤 회원 ID(또는 식별값)의 데이터가 몇 년 몇 월 몇 일에 삭제되었는지 시스템 로그로 남겨 안전하게 보관합니다.

 3.4.2 처리목적 달성 후 보유 시 조치

핵심 요약: 목적을 달성했음에도 법령에 의해 불가피하게 보존해야 하는 경우, 해당 정보는 다른 정보와 분리하여 보관하고 접근 권한을 엄격히 통제해야 합니다.

1. 법령에 따른 최소한의 정보/기간 보존

내부 목적(마케팅 등)은 끝났지만, 「전자상거래법」, 「통신비밀보호법」 등 관련 법령에서 일정 기간 보관을 의무화하는 경우가 있습니다. 이때는 법에서 요구하는 '최소한의 정보'만 '정해진 기간' 동안만 보관해야 합니다.

• 실무 예시:
  • 회원이 탈퇴하더라도 「전자상거래법」에 따라 '대금결제 및 재화 등의 공급에 관한 기록'은 5년간 보존해야 합니다. 이때 회원의 취미나 마케팅 수신 동의 이력 등은 파기하고, 거래 내역(결제금액, 구매상품 등)만 남겨둡니다.

2. 분리 보관 (저장 및 관리의 물리적/논리적 분리)

보존해야 하는 데이터는 현재 서비스 중인 활성 데이터(Active Data)와 섞여 있어서는 안 됩니다. 시스템적으로 철저히 분리해야 합니다.

• 실무 예시:
  • 논리적 분리: 운영 DB 내에서 별도의 '탈퇴회원 법정보관 테이블'을 만들어 데이터를 이동시킵니다.
  • 물리적 분리: 아예 별도의 서버나 외부 저장 매체(망이 분리된 안전한 스토리지 등)에 암호화하여 백업해 둡니다.

3. 정해진 목적 범위 내에서의 처리 제한

분리 보관된 정보는 법령에서 정한 '그 목적(예: 소비자 분쟁 해결, 수사 협조 등)'으로만 사용해야 합니다. 절대 다른 용도로 꺼내 쓰면 안 됩니다.

• 실무 예시:
  • 분리 보관 중인 탈퇴 회원의 연락처를 이용해 "돌아오세요!"라는 내용의 복귀 프로모션 이메일이나 SMS를 발송하는 것은 심각한 법 위반입니다. 분쟁이나 환불 CS가 발생했을 때만 제한적으로 열람해야 합니다.

4. 접근권한의 최소 인원 제한

분리 보관된 데이터는 중요도가 높고 오남용의 위험이 크므로, 접근할 수 있는 사람을 극소수로 제한해야 합니다.

• 실무 예시:
  • 일반 CS 담당자나 마케터의 DB 접근 권한을 차단합니다.
  • 개인정보보호책임자(CPO)나 법적 분쟁을 담당하는 특정 관리자 등 최소한의 인원(예: 사내 1~2명)에게만 조회 권한을 부여하고, 열람 시 반드시 사유를 입력하고 로그를 남기도록 시스템을 구축합니다.

 마무리하며

개인정보 파기 및 분리 보관 조치는 기업의 법적 리스크를 줄이고 고객과의 신뢰를 지키는 가장 확실한 마침표입니다. 위 체크리스트를 바탕으로 자사의 개인정보 처리 흐름에 빈틈이 없는지 다시 한번 점검해 보시길 바랍니다!

 

실전 대비 문제

문제. 다음 중 기업의 '개인정보 파기 및 처리목적 달성 후 보유 시 조치(ISMS-P 인증 기준)'에 대한 설명으로 가장 적절하지 않은 것은?

① 개인정보의 처리목적이 달성되거나 내부 정책에 따른 보유기간이 경과한 경우에는 지체 없이(통상 5일 이내) 해당 개인정보를 파기해야 한다.

② 개인정보를 파기할 때에는 전자적 파일의 경우 데이터 덮어쓰기나 로우 레벨 포맷, 종이 문서의 경우 파쇄나 소각 등 복구 및 재생이 불가능한 안전한 방법을 사용해야 한다.

③ 관련 법령에 따라 보존 의무가 있어 파기하지 않고 보존하는 개인정보는, 현재 서비스에 이용 중인 활성 데이터(다른 개인정보)와 물리적 또는 논리적으로 분리하여 저장 및 관리해야 한다.

④ 분리 보관 중인 탈퇴 회원의 개인정보는 기업의 새로운 비즈니스 창출이나 마케팅 목적으로 활용할 수 있도록 예외를 두며, 신속한 업무 처리를 위해 가급적 많은 부서의 직원에게 접근 권한을 부여해야 한다.

⑤ 개인정보를 파기한 후에는 해당 파기 사실을 증명할 수 있도록 개인정보 파기 관리대장을 작성하거나 시스템 로그를 남기는 등 파기에 대한 기록을 관리해야 한다.

 정답 및 풀이

정답: ④번

상세 풀이: ④번은 '3.4.2 처리목적 달성 후 보유 시 조치'에 정면으로 위배되는 내용입니다. 처리목적이 달성되었으나(예: 회원 탈퇴) 관련 법령(예: 전자상거래법 등)에 의해 어쩔 수 없이 보존해야 하는 개인정보는 반드시 법령에서 정한 목적 범위 내에서만 제한적으로 처리해야 합니다. 따라서 마케팅이나 새로운 비즈니스 목적으로 절대 꺼내어 활용할 수 없습니다. 또한, 오남용을 막기 위해 분리 보관된 정보에 대한 접근 권한은 해당 법적 분쟁이나 특정 업무를 담당하는 '최소한의 인원'에게만 제한적으로 부여해야 합니다. 전 직원이나 많은 부서에 접근 권한을 주는 것은 심각한 보안 위반입니다.

오답 노트 (나머지 보기가 맞는 이유):

• ①번: 3.4.1 항목에 따른 지체 없는 파기 원칙의 올바른 설명입니다.
• ②번: 3.4.1 항목에 따른 '안전한 파기 방법(복구 불가능)'에 대한 올바른 설명입니다.
• ③번: 3.4.2 항목에 따른 필수 조치인 '분리 보관(물리적/논리적 분리)'에 대한 올바른 설명입니다.
• ⑤번: 3.4.1 항목의 점검 사항인 '파기 기록 유지 및 관리'에 대한 올바른 설명입니다. 향후 감사나 점검 시 필수적인 증빙 자료가 됩니다.