개인정보 파기의 기준: 법령, 국제표준, 그리고 남겨야 할 기록

정보보호를 이야기할 때 사람들은 대개 침입 탐지나 암호화, 접근통제처럼 데이터가 살아 있는 동안의 보안을 먼저 떠올립니다. 그러나 사고가 실제로 터졌을 때 조사기관이 가장 먼저 들여다보는 지점 중 하나는 오히려 데이터의 마지막 순간, 즉 파기 단계입니다. 어떤 장비를, 언제, 어떤 방식으로 처리했는지, 그리고 그 사실을 누가 확인했는지는 사고 이후의 책임 소재를 가르는 핵심 근거가 됩니다. 최근 개인정보보호법이 큰 폭으로 개정되고 대형 유출 사고에 대한 제재 수위가 이례적으로 높아지면서, 이 문제는 더 이상 정보보호 담당자 개인의 꼼꼼함에 맡겨둘 수 있는 영역이 아니게 되었습니다. 평소에는 눈에 띄지 않던 파기 단계가, 막상 사고가 벌어진 뒤에는 가장 먼저 소환되는 이유가 여기에 있습니다.

강화된 법과 커진 책임

2026년 2월 12일 국회 본회의를 통과해 3월 10일 공포되고 9월 11일 시행을 앞둔 개인정보보호법 개정안은 이전과 무게감이 다릅니다. 가장 눈에 띄는 변화는 과징금입니다. 위반행위 관련 매출액의 3% 이내였던 과징금 상한이, 고의 또는 중대한 과실로 3년 이내 같은 위반을 반복하거나, 정보주체 피해 규모가 1천만 명 이상에 이르거나, 시정명령을 따르지 않아 유출이 발생한 경우에는 전체 매출액의 10% 이내까지 상향되었습니다(제64조의2 제2항). 매출액이 없거나 산정이 곤란한 사업자에 대해서는 50억 원을 상한으로 하는 별도 기준이 같은 항에 함께 마련되었고, 반대로 개인정보 보호 예산·인력·설비 등에 투자한 경우에는 고의·중과실이 아닌 한 과징금을 감경하도록 하여(제64조의2 제6항) 사전 투자를 유도하는 장치도 담겼습니다.

경영진의 책임도 명문화되었습니다. 개정법은 사업주 또는 대표자를 개인정보의 안전한 처리와 정보주체 권리 보호에 관한 최종 책임자로 명시하고, 전문 인력 확보와 예산 지원 등 총괄적 관리 조치를 이행할 법적 의무를 부과했습니다(제30조의3). 일정 기준 이상의 개인정보처리자는 개인정보 보호책임자(CPO)를 지정·변경·해제할 때 이사회 의결을 거쳐 보호위원회에 신고해야 하며(제31조 제3항), CPO의 업무에는 보호에 필요한 인력 관리와 예산 확보, 그리고 대표자 및 이사회에 대한 보호 현황 보고가 추가되었습니다(제31조 제4항). 유출 통지 의무의 기산점도 앞당겨져, 기존에는 유출 사실을 확인한 뒤 통지하면 되었지만 이제는 유출 가능성을 인지한 단계에서부터 지체 없이 정보주체에게 알려야 하고(제34조 제2항), 통지 대상인 '유출등'의 범위 역시 기존의 분실·도난·유출에 위조·변조·훼손까지 포함하도록 확대되었습니다(제23조 제2항, 제34조 제1항). 매출액과 개인정보 처리 규모 등 일정 기준을 충족하는 사업자에게는 ISMS-P 인증이 의무화되는데(제32조의2 제1항), 이 규정은 준비 기간을 고려해 2027년 7월 1일부터 적용될 예정입니다.

제30조의3(사업주 또는 대표자의 책임) : 개인정보처리자의 사업주 또는 대표자는 개인정보의 안전한 처리 및 정보주체의 권리 보호에 대한 최종적인 책임자로서 개인정보 보호에 필요한 전문 인력과 충분한 예산의 지원 등 총괄적인 관리 조치를 실효성 있게 하여야 한다.

제31조 제3항 : 매출액, 개인정보의 보유 규모 등을 고려하여 대통령령으로 정하는 기준에 해당하는 개인정보처리자는 다음 각 호의 사항을 준수하여야 한다. 1. 개인정보 보호책임자를 지정하거나 그 지정을 변경 또는 해제할 때에는 이사회(법인인 경우로 한정한다)의 의결을 거칠 것 2. 보호위원회에 대통령령으로 정하는 바에 따라 개인정보 보호책임자 지정·변경 또는 해제에 관한 사항을 신고할 것

제32조의2 제1항 단서 : 다만, 매출액, 개인정보의 처리 규모 등을 고려하여 대통령령으로 정하는 기준에 해당하는 개인정보처리자는 인증을 받아야 한다.

제64조의2 제2항 : 제1항에도 불구하고 보호위원회는 다음 각 호의 어느 하나에 해당하는 경우에는 해당 개인정보처리자에게 전체 매출액의 100분의 10을 초과하지 아니하는 범위에서 과징금을 부과할 수 있다. 다만, 매출액이 없거나 매출액의 산정이 곤란한 경우로서 대통령령으로 정하는 경우에는 50억원을 초과하지 아니하는 범위에서 과징금을 부과할 수 있다. 1. 이 조에 따른 과징금 처분을 받은 날부터 3년이 경과하기 전에 제1항 같은 호에 해당하는 위반행위를 한 경우(각각 고의 또는 중대한 과실이 있는 경우로 한정한다) 2. 고의 또는 중대한 과실로 제1항 각 호의 어느 하나에 해당하는 위반행위를 하고 정보주체의 피해 규모가 1천만명 이상인 경우 3. 제64조제1항에 따른 시정조치 명령에 따르지 아니하여 개인정보처리자가 제1항제9호의 위반행위를 한 경우

법령이 요구하는 파기의 최소 기준

개인정보보호법 제21조는 보유기간 경과나 목적 달성 등으로 개인정보가 불필요해지면 지체 없이 파기하도록 하고, 위반 시 3천만 원 이하 과태료를 부과합니다. 다른 법령상 보존이 필요한 경우에는 예외적으로 분리 보관할 수 있지만, 이를 어기면 1천만 원 이하 과태료 대상입니다. 같은 조는 파기 시 복구·재생되지 않도록 조치할 의무도 함께 규정합니다. 얼핏 보면 파기 여부만 다루는 조항처럼 보이지만, 실제로는 "언제 파기해야 하는가"와 "어떻게 파기해야 복구되지 않는가"라는 두 질문을 동시에 던지고 있어, 시점 관리와 방법 관리가 모두 법적 의무의 대상이라는 점을 보여줍니다.

구체적 방법은 「개인정보의 안전성 확보조치 기준」 제13조가 정합니다. 소각·파쇄 등 완전파괴, 자기장을 이용한 전용 소자장비 삭제, 복원 불가능한 초기화·덮어쓰기 중 하나를 선택해야 하며, 일부만 파기할 때는 전자파일은 삭제 후 복구되지 않도록 관리하고 종이 문서는 마스킹·천공하도록 별도로 규정합니다. 매체 특성상 이런 방법이 현저히 곤란한 경우에는 복원 불가능한 별도 조치를 취하도록 한 보충 규정(제3항)도 있어, 클라우드나 가상화 저장소처럼 물리적 파기가 성립하기 어려운 경우까지 염두에 두고 있습니다.

ISMS-P 인증기준 역시 파기 단계를 별도 통제항목으로 다룹니다. 개인정보의 보유기간 및 파기 관련 내부 정책을 수립하고, 파기 시점이 도래했을 때 안전성과 완전성이 보장되는 방법으로 지체 없이 파기했는지를 확인하는 것이 핵심입니다. 완전파괴의 예시로는 종이 문서나 하드디스크·자기테이프를 파쇄기로 파기하거나 소각로에서 태우는 방식이, 전용 소자장비 활용의 예시로는 디가우저로 하드디스크·자기테이프의 정보를 지우는 방식이 제시되어 있습니다. 결국 법이 요구하는 것은 "지웠다"는 사실이 아니라, 방식이 목적에 맞았고 결과가 확인되었다는 점입니다.

왜 파기 단계에서 사고가 되풀이되는가

수명이 끝난 저장매체를 통한 유출은 해킹보다 훨씬 오래된 유형입니다. 국내 방송 보도에서는 유통되는 중고 하드디스크에서 주민등록증·통장 사본 같은 민감정보가 그대로 발견된 사례가 지적된 바 있으며, 전문가는 단순 포맷으로는 파일 목록만 사라질 뿐 실제 내용은 지워지지 않는다고 밝혔습니다. 이런 지적은 시점이 다소 오래되었지만, 저장매체의 물리적 구조가 근본적으로 달라지지 않은 이상 지금도 유효한 문제의식입니다. 최근에는 폐가전 무상수거 과정에서 저장장치가 내장된 기기가 별다른 조치 없이 배출되는 사각지대도 지적됩니다. 화면이 켜지지 않는 고장 기기라도 전문 장비로 데이터 복구가 가능한 경우가 많아, 초기화 버튼을 눌렀다는 사실만으로는 충분하지 않습니다. 특히 기업 환경에서는 개인 기기 한 대와 비교할 수 없는 규모의 장비가 한꺼번에 교체되는 경우가 많아, 개별 기기의 초기화 여부를 일일이 확인하기보다는 처리 단계 자체를 표준화해 두는 편이 훨씬 안전합니다.

특히 매체 종류에 따라 유효한 삭제 기법이 완전히 다르다는 점이 자주 간과됩니다. 하드디스크나 자기테이프 같은 자성매체는 디가우저로 자기장을 가해 데이터를 무력화할 수 있지만, SSD·eMMC·NVMe·USB처럼 플래시 메모리 기반 매체는 자성을 띠지 않아 디가우징이 전혀 효과가 없고 오히려 장비만 손상시킵니다. 이런 매체는 웨어레벨링으로 데이터가 여러 위치에 분산 기록되어 일반 덮어쓰기만으로는 모든 사본이 지워지지 않을 수 있어, 매체가 지원하는 보안 삭제 명령이나 암호화 키를 무력화하는 인증된 소프트웨어 삭제가 필요합니다. 암호화가 기본 적용된 최신 매체에서는 데이터 자체보다 이를 암호화한 키를 파기하는 크립토그래픽 이레이즈 방식도 함께 논의되는데, 이 방식의 신뢰도는 암호화 구현 품질과 키 관리 절차에 달려 있어 모든 매체에 동일하게 적용할 수 있는 만능 해법은 아닙니다. 매체 특성을 무시한 채 하나의 방법만 반복하는 접근이 사고가 되풀이되는 근본 원인 중 하나입니다. 여기에 더해 장비가 실제로 파기되기 전까지 거치는 운송·집하 과정에서 관리가 느슨해지면, 삭제·파쇄 기술 자체는 안전하더라도 그 전 단계에서 매체가 분실되거나 유출될 위험이 남는다는 점도 함께 고려해야 합니다.

목적에 따라 갈리는 처리 방식

같은 장비라도 이후 용도에 따라 적합한 처리 방식은 달라집니다. 매각·기부 등으로 반출할 예정인 장비는 물리적 파괴보다 국제 인증 소프트웨어 삭제가 합리적입니다. SSD·eMMC·USB·NVMe 등 비자성 매체를 Blancco 같은 도구로 삭제하면 장비의 재사용 가치를 유지하면서도 정보는 복구 불가능한 수준으로 지워집니다. 이 방식의 장점은 삭제 이후에도 매체가 정상적으로 동작한다는 점으로, 임대 반납이나 사내 재배치처럼 자산 활용도와 정보보호를 동시에 만족시켜야 하는 상황에 적합합니다. 반대로 더 이상 쓰지 않을 장비는 완전 폐기가 안전합니다. 자성매체는 디가우징 후 천공·파쇄를, 그 밖의 매체는 물리적 파쇄를 거쳐야 「개인정보의 안전성 확보조치 기준」이 말하는 완전파괴 요건에 부합합니다. 목적을 먼저 정하지 않고 관행적으로 한 가지 방식만 반복하면, 재사용 가능한 자산을 불필요하게 파쇄하거나 반대로 민감 장비를 단순 초기화만으로 넘기는 불균형이 생기기 쉽습니다.

국제표준이 가리키는 방향

NIST는 2025년 9월 26일 2014년 개정판 1을 대체하는 「SP 800-88 Rev.2」를 발행했습니다. 삭제를 클리어(Clear)·퍼지(Purge)·디스트로이(Destroy) 세 단계로 구분하되, 이번 개정판은 매체별 세부 기법을 나열하는 대신 IEEE 2883이나 NSA 규격 등 최신 표준을 따르도록 권고하고, 조직 차원의 새니타이제이션 프로그램 수립과 위탁업체 검증을 강조하는 방향으로 초점을 옮겼습니다. IEEE 2883-2022는 매체 유형별로 이 세 단계에 해당하는 구체적 기법을 매핑합니다. 예를 들어 하드디스크의 퍼지 단계는 덮어쓰기·블록 소거·디가우징이지만, SSD의 퍼지 단계는 암호화 키 삭제나 전용 새니타이즈 명령이며 디가우징은 아예 해당하지 않습니다. 이처럼 매체 유형에 따라 같은 단계라도 적용 기법이 다르다는 점을 표준 스스로 명시하고 있다는 사실은, 처리 방식을 선택하기 전에 매체 판별이 얼마나 선행되어야 하는지를 잘 보여줍니다.

국내 「개인정보의 안전성 확보조치 기준」의 완전파괴·전용 소자장비·초기화 및 덮어쓰기 구분은 이 국제표준의 디스트로이·퍼지·클리어 개념과 구조적으로 맞닿아 있습니다. 국내 규정을 지키는 것과 국제표준을 참고하는 것이 서로 다른 두 갈래 작업이 아니라, 같은 문제의식을 다른 언어로 표현한 것에 가깝다고 볼 수 있습니다. 두 기준을 함께 놓고 처리 방식을 설계할 때 비로소 어느 한쪽 규정만으로는 드러나지 않는 빈틈을 메울 수 있습니다.

자원으로서의 폐기 장비, 그리고 남아야 할 기록

파기 대상 장비는 단순한 폐기물만은 아닙니다. 2026년 1월 1일부터 EPR(생산자책임재활용제도) 대상이 중·대형 가전 50종에서 사실상 모든 전기·전자제품으로 확대되었고, 정부는 연간 약 7만 6천 톤의 유가자원 회수와 2천억 원 이상의 편익을 기대하고 있습니다. 같은 맥락에서 과기정통부와 기후에너지환경부는 2026년부터 통신 3사와 함께 폐통신장비 순환이용 시범사업에 착수합니다. 폐전자제품에 포함된 구리·금·은·팔라듐·희토류 등은 반도체와 전기차 산업의 핵심 원료로 재평가받고 있어, 최근 글로벌 공급망이 불안정해지면서 이 흐름은 환경정책을 넘어 자원안보 전략의 일부로도 다뤄지고 있습니다. 다만 정보가 남아 있는 상태로 재활용 공정에 들어가면 자원 회수와 별개로 유출 위험이 생기는 만큼, 데이터 파기가 먼저 이루어진 뒤에야 자원으로 되돌리는 순서가 지켜져야 합니다.

한편 개정법이 CPO 책임과 과징금 수준을 함께 끌어올린 상황에서, 사고 발생 시 조직을 지켜주는 것은 결국 기록입니다. 어떤 장비를 어떤 방식으로 처리했고 누가 확인했는지가 남아야 사후에 조치의 타당성을 설명할 수 있으며, 이런 기록이 없으면 실제로 적절히 처리했더라도 입증할 방법이 없어 불리해집니다. 지난 통신사 사건에서도 개인정보위가 이동통신 서비스 전반의 처리 현황을 면밀히 파악해 안전조치를 강화하라고 요구한 것은, 평소 어떤 조치를 취했고 그것이 얼마나 실효성이 있었는지를 조직 스스로 설명할 수 있어야 한다는 점을 보여줍니다. 확인서·성적서·작업 전후 사진처럼 재확인 가능한 형태로 결과를 남겨두는 습관은 그래서 처리 자체만큼 중요합니다. 여러 부서나 사업장에서 동시에 장비 교체가 이루어지는 경우일수록, 처리 시점부터 결과 확인까지를 하나의 이력으로 묶어 보관해야 필요할 때 빠짐없이 다시 확인할 수 있습니다.

알테크코리아가 파기 단계에서 하는 일 ( https://blog.naver.com/with2mail/224001032534)

알테크코리아는 이 단계에 집중해 온 업체입니다. 자성매체인 하드디스크와 자기테이프에는 디가우징을 적용하고, 완전한 물리적 파괴가 필요한 장비에는 자체 파쇄 설비인 DieHDD™로 천공·파쇄를 진행합니다. SSD·eMMC·USB·NVMe 등 비자성 매체에는 국제 인증 도구인 Blancco 기반의 인증 영구삭제를 적용해, 재사용·반출이 예정된 장비의 데이터는 복구 불가능한 수준으로 지우면서 장비 가치는 보존합니다. 자성매체와 비자성매체가 요구하는 삭제 원리가 서로 다른 만큼, 매체 판별부터 방식 선택, 실제 처리까지를 하나의 흐름으로 연결해 운영하는 것이 이 단계의 핵심입니다. 파기라는 단일 작업이 아니라 매체 판별부터 방식 선택, 실행, 기록까지 이어지는 전체 흐름을 하나의 서비스 안에서 책임지는 것이 알테크코리아가 이 단계에 접근하는 방식입니다. 처리가 끝난 자산은 EPR 및 도시광산 자원순환 체계로 연계됩니다.

알테크코리아는 KISIA 회원사로서 ISO 14001 환경경영시스템 인증과 Blancco 인증을 기반으로 작업하며, 국내 「개인정보의 안전성 확보조치 기준」과 NIST SP 800-88 Rev.2, IEEE 2883-2022 같은 국제표준의 최신 방향을 함께 참고합니다. 개정된 개인정보보호법이 요구하는 수준의 책임성을 고객사가 스스로 입증할 수 있도록, 처리가 완료되면 결과를 확인서 등 재확인 가능한 자료로 남겨 고객사가 필요할 때 처리 이력을 다시 확인할 수 있도록 하고 있습니다.

마치며

정보보호는 데이터가 살아 있는 동안의 방어만으로 완성되지 않습니다. 데이터의 수명이 끝나는 순간까지 책임 있게 관리하고, 그 과정을 설명 가능한 형태로 남겨두는 것까지가 하나의 완결된 흐름입니다. 개정된 개인정보보호법이 요구하는 책임의 수준은 앞으로 더 높아지면 높아졌지 낮아지지는 않을 것으로 보입니다. 파기 단계를 관행적인 뒷정리가 아니라 관리체계의 마지막 관문으로 인식하는 조직과, 여전히 부수적인 업무로 취급하는 조직 사이의 격차는 사고가 발생했을 때 비로소 드러나게 됩니다. 법이 요구하는 최소 기준을 이해하고, 매체와 목적에 맞는 방식을 선택하며, 결과를 검증 가능한 기록으로 남기는 것. 알테크코리아는 그 마지막 단계를 안전하게 마무리하는 역할을 하고 있습니다.