개인정보의 관리와 파기는 왜 중요한가?

“개인정보”란 살아 있는 개인에 관한 정보로서 성명, 주민등록번호 및 영상 등을 통하여 개인을 알아볼 수 있는 정보(해당 정보만으로는 특정 개인을 알아볼 수 없더라도 다른 정보와 쉽게 결합하여 알아볼 수 있는 것을 포함함)를 말합니다. (「개인정보 보호법」 제2조제1호).

이러한 개인정보를 당사자 동의 없이 유출했다가 법에 저촉되면, 기업이 파산해야 할 정도의 엄청난 과징금과 처벌을 피할 수 없습니다. 실제로 페이스북은 페이스북 외의 웹사이트에서 사용자에게 알리지 않고 행동을 추적하고, 광고 타깃팅을 위해 방대한 개인 정보 데이터베이스를 수집한 것 등이 발각되어 CNIL(프랑스 정보 보호 기관)로부터 15만 유로의 벌금을 부과받은 적도 있습니다. 더불어 개인정보 유출 피해자들의 집단 소송도 다수 발생하고 있습니다. 기업들이 개인정보보호 관리와 파기에 주의해야 하는 이유입니다. 기업의 개인정보 담당자들은 이러한 내용을 숙지하고 개인정보의 관리와 파기를 더욱 철저히 해야 합니다.

개인정보의 관리와 파기 방법

개인정보의 관리는 보통 4단계를 거칩니다. "수집 → 저장 → 활용 → 파기"의 단계를 거치며, 각 단계별 관리가 중요합니다. 먼저 수집을 할 때는 필히 당사자의 동의를 얻고 개인정보를 수집해야 하며, 사용처 동의 역시 명시하고 함께 받아야 합니다. 저장과 활용 단계에서도 역시 보유 및 활용 목적을 명확히 해야 합니다.

일반적으로 여기까지는 잘 지켜지지만 파기 방법과 절차에서는 심각한 문제가 발생하고 있습니다. 가령, 파기 방법 및 절차가 모호하거나, 파기돼야 할 개인정보를 보유하거나 유출하는 사례가 종종 발생하고 있는 것입니다. 기본적으로 현행법상에서 밝힌 개인정보 파기와 보관 규정은 다음과 같습니다.

현행법상 개인정보는 보유 기간이 경과하면 목적 달성 후 5일 이내에 파기 관리 대장을 작성해서 파일 명칭, 파기 방법 등을 기재하고 개인정보 보호책임자 승인을 받아 파기해야 합니다. 파기한 개인정보는 복원이 불가능하도록 조치해야 하고, 개인정보 보호책임자는 개인정보 파기 시행 후 파기 결과를 확인해야 합니다. 파기 절차와 방법에 대해 조금 더 구체적으로 설명하면 아래와 같습니다.

1) 개인정보 파기 시 지켜야 할 절차는?

개인정보 파기 공문 작성(담당자) → 부서장 결재 → 보관처리

2) 법령에 따른 개인정보 파기 방법은?

1. 파기가 필요한 문서 : 관리대장에 기록하고 세절(파쇄) 조치

2. 전산자료 : 물리적인 파기나 디가우징을 통해 파기

개인정보처리 위반 사례 

이번에는 빈번히 일어나는 개인정보 파기 위반 사례를 소개합니다. 위반 시 기업의 생존을 위험할 수 있으니 담당자들은 참고하세요.

01 법적 보유기간이 지난 개인정보 파기 미이행

개인정보 보유기간(5년)이 지났음에도 개인정보를 파기하지 않는 것은 개인정보보호법 제21조제1항 위반에 해당합니다. 개인정보처리자는 보유기간의 경과, 처리 목적 달성 등 해당 개인정보가 불필요하게 됐을 때에는 지체 없이 개인정보를 파기해야 합니다.

02 탈퇴 회원 개인정보 파기 미이행

정보주체자의 자발적인 회원 탈퇴는 곧 개인정보 수집·이용 및 보관 등에 대한 동의 소멸을 의미합니다. 따라서 해당 개인정보는 탈퇴 처리와 함께 지체 없이 파기되어야 하며, 이를 어길 시 개인정보보호법 제21조제1항 위반에 해당합니다.

03 목적이 달성된 개인정보 파기 또는 분리 보관 미수행

목적(ex. 고객 배송정보)이 달성된 개인정보는 반드시 파기해야 합니다. 목적이 달성된 개인정보를 파기하지 않고, 분리해 보관하지 않았기 때문에 개인정보보호법 제21조제3항 위반입니다.

[참고 : ‘2013~2017 개인정보 실태 점검 및 행정 처분 사례집’]

앞으로 개인정보처리방침은 점점 더 강화될 전망입니다. 그리고 자칫 개인정보를 잘못 처리했다가는 큰 위기와 직면할 수 있습니다. 잊지 마세요. 개인정보는 언제나 빈틈없이, 그리고 꼼꼼하게 처리하세요!