개인정보 파기 기준과 방법, 보유기간·법정 보존·분리 저장 시 확인사항

개인정보 보유기간이 지나거나 처리 목적이 달성된 경우에는 해당 개인정보의 파기 여부를 검토하게 됩니다. 불필요한 개인정보를 계속 보유하면 파기 의무가 문제될 수 있고, 반대로 법령상 보존해야 하는 개인정보까지 삭제하면 보존 의무 위반이 문제될 수 있습니다. 다만 보유기간의 경과나 처리 목적의 달성이 곧바로 삭제를 의미하는 것은 아니며, 다른 법령에 따른 보존 의무와 개인정보의 저장 형태 등에 따라 파기 여부와 방법이 달라질 수 있습니다.

원칙적으로 「개인정보 보호법」에 따라 개인정보처리자는 보유기간이 경과하거나 처리 목적이 달성되는 등 해당 개인정보가 불필요하게 되었을 때 지체 없이 파기해야 합니다. 개인정보의 파기란 단순히 이용을 중단하거나 접근을 막는 데 그치지 않고, 해당 개인정보가 다시 복구되거나 재생되지 않도록 조치하는 것을 말합니다.

따라서 파기 시점을 판단할 때에는 개인정보가 불필요해졌는지만 확인해서는 충분하지 않습니다. 다른 법령에 따라 계속 보존해야 하는 개인정보가 있는지도 함께 확인해야 하며, 보존이 필요한 개인정보 또는 개인정보파일은 다른 개인정보와 분리하여 저장·관리해야 합니다. 이 때문에 실제 파기에 앞서 파기 대상과 보존 대상을 구분할 필요가 있습니다.

파기 대상이 확정된 경우에는 개인정보가 저장된 형태에 맞는 방법으로 파기해야 합니다. 전자적 파일 형태의 개인정보는 복원이 불가능한 방법으로 영구 삭제해야 하고, 기록물·인쇄물·서면 등 전자적 파일이 아닌 형태라면 파쇄하거나 소각하는 방법으로 파기해야 합니다.

다만 블록체인과 같이 기술적 특성으로 전자적 파일을 영구 삭제하는 것이 현저히 곤란한 경우에는 일반적인 영구 삭제 방법을 그대로 적용하기 어렵습니다. 이러한 경우에도 파기 의무가 면제되는 것은 아니며, 시간·비용·기술 등을 합리적으로 고려하여 다른 정보를 사용하더라도 더 이상 개인을 알아볼 수 없는 상태가 되도록 처리해야 합니다.

이러한 파기 기준은 개인정보처리방침이나 동의서에 기재하는 것만으로 충분하지 않습니다. 문서에 정한 보유기간과 파기 방법이 실제 시스템과 개인정보 처리 절차에도 적절하게 반영되어 있는지를 함께 점검할 필요가 있습니다.

나아가 파기 및 보존 기준을 지키지 않으면 법령상 제재로 이어질 수 있습니다. 개인정보가 불필요해졌음에도 필요한 파기 조치를 하지 않거나, 다른 법령에 따라 보존해야 하는 개인정보를 분리하여 저장·관리하지 않은 경우에는 각각 과태료가 부과될 수 있습니다.

따라서 파기 및 보존 의무 위반에 따른 불이익을 예방하기 위해서는, 보유기간의 경과나 처리 목적의 달성뿐만 아니라 다른 법령에 따른 보존 의무와 개인정보의 저장 방식, 기술적 특성, 실제 운영 절차를 함께 고려하여 파기 여부와 방법을 판단할 필요가 있습니다.

이처럼 개인정보 파기는 단순히 보유기간이 지난 정보를 삭제하는 절차에 그치지 않고, 법령상 보존 의무와 파기 방법, 실제 시스템과 업무 절차가 서로 맞물려 있는지를 함께 살펴야 하는 문제입니다. 특히 문서에 정한 기준과 실제 운영 사이에 차이가 있는 경우에는 파기 의무가 적절하게 이행되고 있는지를 구체적으로 점검할 필요가 있습니다.

법무법인 비트는 개인정보 보유기간과 파기 시점, 파기 방법을 비롯하여 관련 문서에 정한 기준이 실제 시스템과 업무 절차에 적절하게 반영되어 있는지를 검토하고, 필요한 정비 방향을 제시하여 드리고 있습니다. 나아가, 개인정보 파기를 포함하여 개인정보·신용정보·위치정보와 관련한 규제 대응과 보호 체계의 구축·운영, 관련 문서 정비 등 개인정보 컴플라이언스 전반에 관한 검토와 자문을 제공하고 있습니다.

[자주 묻는 질문]

Q. 개인정보 파기는 기업의 개인정보 관리에서 어떤 단계에 해당할까요?

A. 개인정보 파기는 개인정보 관리의 마지막 단계에 해당합니다. 개인정보를 수집하고 이용하는 과정뿐만 아니라, 더 이상 필요하지 않게 된 정보를 적절하게 정리하는 과정까지 관리 범위에 포함됩니다. 따라서 기업의 개인정보 관리 체계를 점검할 때에는 보유와 이용뿐 아니라 파기 절차가 관련 법령의 기준에 따라 실제로 운영되고 있는지도 함께 확인할 필요가 있습니다.