개정 개인정보 보호법 시행일이 한 달 앞으로 다가왔습니다. 2026년 3월 10일 공포된 개정 법률은 오는 9월 11일부터 효력이 발생합니다.

반복적이거나 중대한 침해 행위에 대해서는 전체 매출액의 최대 10%까지 과징금을 부과할 수 있게 되고, 사업주와 대표자의 책임이 법에 명시되며, 개인정보 보호책임자의 지정과 변경 절차도 한층 무거워집니다. 종전 상한이 전체 매출액의 3%였던 점을 생각하면 제재의 무게가 크게 달라지는 셈입니다.

이 시점이 되면 많은 조직이 접근 통제와 암호화, 접속기록 관리, 인증 취득 현황 같은 항목을 다시 들여다봅니다. 그런데 정작 사무실 한쪽이나 창고 선반에 쌓여 있는 상자는 점검 목록에 잘 오르지 않습니다. 교체하고 남은 노트북, 서버에서 빼낸 하드디스크, 반납받은 업무용 휴대전화, 철수한 지점에서 회수해 온 복합기 같은 것들입니다. 담당자에게 물어보면 대답은 대개 비슷합니다. "언젠가 한 번에 처리하려고 모아두고 있습니다."

그리고 이런 상자는 최근 들어 오히려 늘어나는 추세입니다. 조직 개편과 사무실 이전, 원격 근무 정책 변경, 노후 서버 교체가 겹치면서 한꺼번에 빠져나오는 장비가 많아졌고, 저장장치 가격 변동으로 교체 주기를 조정하는 조직도 생겼습니다. 나오는 물량은 늘었는데 처리 주기는 예전 그대로인 경우, 남는 매체는 창고에 축적됩니다.

이 글에서 다루려는 것이 바로 그 "언젠가"입니다. 저장매체 파기를 이야기할 때 논의는 대부분 어떤 방법으로 파기할 것인가에 집중됩니다. 그러나 법이 정한 파기 의무에는 방법만 붙어 있는 것이 아닙니다. 시점도 함께 붙어 있습니다. 그리고 실무에서 가장 자주, 가장 조용히 어긋나는 지점이 바로 이 시점입니다.

파기 의무에는 마감 시한이 함께 붙어 있습니다

개인정보 보호법은 보유기간이 지났거나 처리 목적을 달성해 개인정보가 불필요하게 되었을 때 지체 없이 파기하도록 정하고 있습니다(제21조 1항). 여기서 눈여겨봐야 할 표현이 "지체 없이"입니다. 언젠가 정리하라는 뜻이 아니라, 사유가 발생한 그 시점부터 곧바로 의무가 작동한다는 뜻입니다.

그렇다면 "지체 없이"는 실무적으로 며칠을 의미할까요. 표준 개인정보 보호지침은 이 부분을 구체적인 날짜로 풀어 놓고 있습니다. 보유기간이 지난 경우에는 정당한 사유가 없는 한 보유기간 종료일로부터 5일 이내에, 처리 목적 달성이나 서비스 폐지, 사업 종료 등으로 개인정보가 불필요해진 경우에도 그 사실이 인정되는 날로부터 5일 이내에 파기해야 한다는 것이 지침이 제시하는 기준입니다.

5일입니다. 예산 집행 주기도, 분기 결산도, 물량이 모일 때까지의 대기 기간도 아닙니다. 이 기준을 처음 접하는 담당자들은 대체로 놀랍니다. 창고에 반년째 놓여 있는 하드디스크 상자를 떠올리면 그 놀라움은 더 커집니다.

그리고 이 의무를 지키지 않았을 때의 결과도 법에 적혀 있습니다. 제21조 1항을 위반해 개인정보를 파기하지 않은 경우 3천만원 이하의 과태료를 부과받을 수 있습니다(제75조 2항 4호). 유출 사고가 나지 않아도, 누군가 피해를 입지 않아도, 파기하지 않은 상태 자체가 제재 대상이 된다는 점이 핵심입니다.

"아직 버리지 않았다"는 것은 안전지대가 아닙니다

여기서 관점을 한 번 바꿔야 합니다. 실무자들은 장비를 기준으로 생각하는 데 익숙합니다. 노트북 스무 대를 반납받아 창고에 넣어 두었다면, 그 장비들은 아직 처분되지 않았을 뿐 사고가 난 것도 아니고 외부로 나간 것도 아닙니다. 관리하고 있다는 감각이 있습니다.

그러나 법이 보는 대상은 장비가 아니라 그 안에 담긴 개인정보입니다. 노트북 스무 대가 창고에 있다는 사실은, 그 안의 고객 명단과 인사 자료와 거래 기록이 아직 파기되지 않은 채 조직 안에 남아 있다는 뜻입니다. 처리 목적은 이미 끝났고 보유 근거도 사라졌는데 데이터만 그대로 존재하는 상태입니다. 장비 관점에서는 "보관 중"이지만, 데이터 관점에서는 "미파기"입니다.

이 차이가 실무에서 만들어 내는 착시는 생각보다 큽니다. 자산 대장에서 불용 처리를 마치고 결재까지 끝냈다면 담당자의 업무는 종결된 것처럼 보입니다. 회계상으로도 정리가 되었을 것입니다. 그런데 개인정보 처리 단계에서는 아무것도 종결되지 않았습니다. 파기가 실제로 수행되고 그 결과가 확인되기 전까지, 그 조직은 파기 의무를 이행하지 않은 상태에 계속 머물러 있습니다.

같은 문제는 원본이 아닌 사본에서도 똑같이 발생합니다. 운영 시스템에서 데이터를 정리했더라도 그 데이터가 담긴 백업 매체나 이중화 사본이 창고 어딘가에 남아 있다면, 조직은 여전히 해당 개인정보를 보유하고 있는 상태입니다. 파기 대상을 정리할 때 운영 매체만 세고 백업 매체를 빠뜨리는 일은 실무에서 드물지 않습니다. 오히려 백업 매체 쪽이 더 오래, 더 조용히 남아 있는 경우가 많습니다.

더 곤란한 것은 이 상태가 시간에 비례해 누적된다는 점입니다. 하루가 지나면 하루만큼, 반년이 지나면 반년만큼 위반 상태가 길어집니다. 사고가 터진 뒤 조사가 시작되면 가장 먼저 확인되는 것 중 하나가 바로 이 기간입니다. 언제 불필요해졌고, 언제 파기했는가. 그 사이의 간격이 곧 설명해야 할 대상이 됩니다.

파기는 왜 늘 뒤로 밀리는가

파기가 미뤄지는 데는 대체로 나름의 이유가 있습니다. 담당자가 게을러서가 아니라 조직의 구조가 그렇게 만들어져 있는 경우가 많습니다.

첫째는 비용과 물량의 문제입니다. 매체 열 개를 처리하나 백 개를 처리하나 절차와 행정 부담은 비슷하니, 어느 정도 모아서 한 번에 처리하는 편이 합리적으로 보입니다. 그래서 다음 대량 교체 시기까지 기다리게 됩니다.

둘째는 재사용 가능성을 열어 두기 때문입니다. 성능이 남아 있는 장비는 다른 부서에서 쓸 수도 있고 매각할 수도 있으니 일단 보류해 둡니다. 그런데 이 보류에는 대개 기한이 없습니다. 쓸지 말지 결정하지 않은 채 시간만 흐르는 상태가 이어집니다.

셋째는 승인 절차의 길이입니다. 불용 결정, 자산 대장 반영, 예산 확인, 외부 처리 계약까지 밟아야 할 단계가 여럿이고 각 단계마다 결재선이 다릅니다. 어느 한 곳에서 멈추면 전체가 멈춥니다.

넷째는 담당자의 부재나 교체입니다. 파기는 정기 업무가 아니라 사건성 업무이기 때문에, 담당자가 바뀌면 인수인계 목록에서 빠지기 쉽습니다. 창고의 상자는 남았는데 그것이 왜 거기 있고 언제부터 있었는지 아는 사람이 사라집니다.

다섯째는 우선순위입니다. 파기는 미뤄도 당장 아무 일도 일어나지 않습니다. 시스템이 멈추지도, 고객이 항의하지도 않습니다. 그래서 항상 다른 업무에 밀립니다. 문제가 눈에 보이지 않는다는 사실 자체가 이 업무의 가장 큰 취약점입니다.

미뤄지는 동안 조용히 쌓이는 것들

파기가 지연되는 기간 동안 조직에는 몇 가지가 함께 쌓입니다.

먼저 위치 정보가 흐려집니다. 운영 중인 장비는 어디에 있는지 명확하지만, 불용 처리된 매체는 대개 창고나 유휴 공간으로 옮겨지면서 관리 체계 밖으로 나갑니다. 이동 기록이 남지 않는 경우도 많습니다. 처음에는 스무 개였는데 나중에 세어 보니 열여덟 개인 상황이 여기서 생깁니다.

다음으로 접근 통제 수준이 낮아집니다. 서버실이나 전산실에는 출입 통제가 있지만 창고에는 없는 경우가 흔합니다. 운영 중일 때보다 훨씬 느슨한 환경에, 오히려 삭제되지 않은 원본 데이터가 그대로 담긴 매체가 놓이는 역전이 일어납니다.

그리고 이력이 소실됩니다. 시간이 지날수록 이 매체가 어느 시스템에서 나왔고 어떤 정보가 들어 있었는지 아는 사람이 줄어듭니다. 나중에 파기를 진행할 때조차 무엇을 파기했는지 정확히 기록하기 어려워집니다. 파기 자체는 수행했지만 그 파기가 어떤 데이터에 대한 것이었는지 설명하지 못하는 상황이 만들어집니다.

마지막으로 사고 대응 여력이 줄어듭니다. 침해 사고가 발생했을 때 조직이 가장 먼저 해야 할 일은 영향 범위를 좁히는 것입니다. 그런데 어딘가에 미파기 매체가 얼마나 남아 있는지 모른다면 범위를 좁힐 근거가 없습니다. 파기 지연은 사고 자체를 만들지는 않지만, 사고가 났을 때 대응할 수 있는 폭을 확실히 줄입니다.

개정법이 바꾸는 것은 지연의 무게입니다

9월 11일 시행되는 개정 개인정보 보호법은 이 문제의 성격을 바꿔 놓습니다. 지금까지 파기 지연은 실무 담당자의 업무 적체 정도로 취급되는 경우가 많았습니다. 바빠서 못 했다, 예산이 안 나왔다, 다음 분기에 하기로 했다는 설명이 통용되었습니다.

개정법은 사업주와 대표자를 개인정보의 안전한 처리에 관한 최종 책임자로 명시하고, 개인정보 보호책임자의 지정과 변경을 이사회 의결 사항으로 끌어올렸습니다. 여기에 반복적이거나 중대한 위반에 대한 과징금 상한이 전체 매출액의 10%까지 확대됩니다. 일정 규모 이상의 개인정보처리자에게는 인증 취득 의무도 부과됩니다.

이 변화가 파기 실무에 주는 함의는 분명합니다. 파기 지연은 더 이상 담당자 선에서 설명하고 넘어갈 사안이 아니라, 경영진이 책임 범위 안에서 관리해야 할 항목이 됩니다. 그리고 관리한다는 것은 결국 주기와 기록을 갖춘다는 뜻입니다.

인증 의무가 확대된다는 점도 같은 방향을 가리킵니다. 인증 심사는 조직이 무엇을 하겠다고 선언했는지가 아니라, 선언한 대로 실제로 수행했고 그 근거를 제시할 수 있는지를 확인하는 절차입니다. 파기 항목에서 이 확인은 매우 구체적인 형태로 이루어집니다. 파기 대상을 어떻게 식별했는지, 언제 처리했는지, 결과를 어떤 문서로 남겼는지를 묻습니다. 창고에 쌓인 매체는 이 질문 앞에서 설명하기 가장 까다로운 대상입니다.

참고할 만한 모델은 이미 공공 영역에 있습니다. 표준 개인정보 보호지침은 공공기관에 대해 보유기간과 처리 목적을 반영한 개인정보 파기계획을 수립하고 시행하도록 요구하고, 파기 사유가 발생한 대상을 선정해 파기요청서에 명칭과 방법을 적어 개인정보 보호책임자의 승인을 받도록 하며, 시행 이후에는 결과를 확인해 관리대장에 남기도록 정하고 있습니다. 계획, 선정, 승인, 시행, 확인, 기록으로 이어지는 흐름입니다. 민간 기업에 그대로 적용되는 규정은 아니지만, 파기를 사건이 아니라 절차로 다루는 방식의 표본으로 삼기에는 충분합니다.

"모아서 한 번에"의 비용을 다시 계산해 보십시오

앞서 파기가 미뤄지는 첫 번째 이유로 물량을 모으는 관행을 꼽았습니다. 이 판단은 처리 단가만 놓고 보면 타당합니다. 그러나 계산에 빠져 있는 항목이 있습니다.

물량을 모으는 기간은 곧 위반 상태가 유지되는 기간입니다. 6개월을 기다려 한 번에 처리했다면 처리 단가는 낮아졌겠지만, 그동안 조직은 6개월치의 미파기 상태와 6개월치의 보관 위험을 떠안은 것입니다. 여기에 창고 공간, 재고 확인에 드는 시간, 이력 소실로 인한 추후 확인 비용까지 더하면 실제 손익은 처음 계산과 달라집니다.

현실적인 대안은 두 가지 방향입니다. 하나는 주기를 고정하는 것입니다. 물량이 모일 때까지 기다리는 대신, 월 단위나 분기 단위처럼 미리 정한 시점에 그때까지 발생한 대상을 처리하는 방식입니다. 물량이 적은 달에는 단가가 조금 올라가겠지만, 지연 기간의 상한이 정해진다는 점이 훨씬 큰 가치를 가집니다. 다른 하나는 반출 자체를 줄이는 것입니다. 매체를 외부로 옮기지 않고 사업장 안에서 파기를 완료하면 물량 대기와 운송 대기라는 두 단계가 동시에 사라집니다.

기한 안에 끝내려면 매체 유형부터 갈라야 합니다

파기를 정해진 기간 안에 마치려면, 대상 매체에 맞지 않는 방법을 고르는 데서 오는 재작업을 피해야 합니다. 여기서 가장 중요한 구분이 자성 매체와 플래시 매체입니다.

하드디스크나 자기 테이프처럼 자기 방식으로 데이터를 기록하는 매체는 강한 자기장을 가해 기록 자체를 무력화하는 디가우징이 유효합니다. 여기에 물리적 파괴를 더하면 매체가 형태를 유지한 채 남는 상황도 함께 차단할 수 있습니다.

반면 SSD, NVMe, eMMC, USB 메모리처럼 플래시 방식으로 데이터를 기록하는 매체에는 디가우징이 통하지 않습니다. 자기장으로 지울 자기 기록이 애초에 없기 때문입니다. 이 구분을 모른 채 모든 매체를 같은 라인에 올렸다가, 나중에 플래시 매체는 처리되지 않았다는 사실을 뒤늦게 확인하고 다시 절차를 밟는 사례가 실제로 발생합니다. 기한을 맞추려다 오히려 기한을 놓치는 전형적인 경로입니다.

그래서 기한 관리의 출발점은 목록을 만들 때 매체 유형을 함께 적어 두는 일입니다. 대상 목록에 수량만 적혀 있으면 처리 단계에 가서야 유형을 확인하게 되고, 그때부터 방법을 다시 정하고 일정을 다시 잡아야 합니다. 반대로 목록 작성 단계에서 자성 매체와 플래시 매체가 이미 나뉘어 있으면, 각각에 맞는 처리 방식과 소요 시간을 미리 계산할 수 있습니다. 같은 물량이라도 준비 방식에 따라 완료 시점이 몇 주씩 벌어집니다.

노트북이나 서버처럼 겉으로 유형이 드러나지 않는 장비도 주의해야 합니다. 같은 모델이라도 도입 시기에 따라 안에 들어 있는 저장장치가 다를 수 있고, 하드디스크와 SSD를 함께 탑재한 구성도 흔합니다. 장비 단위가 아니라 매체 단위로 세어야 하는 이유가 여기에 있습니다.

개인정보의 안전성 확보조치 기준은 파기 방법으로 소각이나 파쇄 같은 완전파괴, 전용 소자장비를 이용한 삭제, 복원되지 않도록 하는 초기화 또는 덮어쓰기를 제시하고 있습니다(제13조 1항). 어느 방법을 선택하든 결과가 복구 불가능해야 한다는 조건은 동일하며, 그 조건을 충족하는 방법이 매체 유형에 따라 달라진다는 점이 핵심입니다.

재사용을 선택해도 기한은 그대로입니다

불용 매체를 다루는 조직의 판단은 결국 두 갈래로 나뉩니다. 다시 쓸 것인가, 없앨 것인가입니다.

여기서 흔한 오해가 하나 있습니다. 재사용하기로 결정하면 파기 의무가 사라진다고 여기는 것입니다. 그렇지 않습니다. 매체를 계속 쓰는 것과 그 안에 남아 있던 개인정보를 파기하는 것은 별개의 문제입니다. 재사용을 선택했다면 오히려 더 분명하게, 기한 안에 데이터만 복구 불가능하게 지워 냈다는 사실을 증명할 수 있어야 합니다.

이 지점에서 인증된 영구삭제가 역할을 합니다. 소프트웨어 기반의 영구삭제는 매체를 살려 둔 채 데이터만 복구 불가능한 상태로 만들고, 그 수행 결과를 검증 가능한 보고서로 남깁니다. 삭제가 완료된 시점이 곧 파기 의무를 이행한 시점으로 확정되고, 그 시점이 문서에 기록으로 남는다는 점이 실무적으로 중요합니다. 사내 재배치든 매각이든, 매체가 다음 사용자에게 넘어가기 전에 이 과정이 끝나 있어야 합니다.

반대로 재사용하지 않기로 결정했다면 판단을 미룰 이유가 없습니다. 자성 매체는 디가우징과 물리적 파괴를 함께 적용하고, 플래시 매체는 매체 유형에 맞는 방식으로 처리하면 됩니다. 어느 쪽이든 결정을 내리는 순간부터 시계는 이미 돌아가고 있습니다.

증빙에서 가장 중요한 항목은 날짜입니다

파기 증빙을 이야기할 때 대부분 무엇을, 어떤 방법으로 파기했는지에 관심이 쏠립니다. 물론 중요합니다. 그러나 시점 관리라는 관점에서 보면 증빙에서 가장 결정적인 항목은 날짜입니다.

파기 의무는 사유 발생일과 파기 수행일 사이의 간격으로 판단됩니다. 따라서 증빙에는 그 매체가 언제 불필요해졌는지와 언제 파기되었는지가 함께 남아 있어야 의미가 있습니다. 파기 확인서에 수행 일자만 있고 사유 발생 시점이 어디에도 기록되어 있지 않다면, 기한을 지켰는지 여부를 증명할 방법이 없습니다.

여기에 개별 매체를 식별할 수 있는 정보가 함께 있어야 합니다. 몇 개를 처리했다는 수량 기록만으로는 특정 매체가 그 안에 포함되었는지 확인할 수 없습니다. 시리얼 번호 단위로 남은 기록이라야 나중에 특정 자산을 지목한 질문에 답할 수 있습니다.

기록을 남기는 시점도 중요합니다. 파기가 끝난 뒤 한참 지나 기억에 의존해 정리한 문서와, 각 단계에서 그때그때 남긴 문서는 신뢰도가 다릅니다. 특히 사유 발생일은 파기 작업이 아니라 그 이전 단계에서 결정되는 정보이기 때문에, 불용 판단을 내리는 순간 함께 적어 두지 않으면 나중에는 복원하기 어렵습니다. 결재 문서에는 남아 있는데 파기 기록에는 연결되지 않는 상황이 여기서 생깁니다.

정리하면, 언제 사유가 발생했고, 무엇을 대상으로, 어떤 방법으로, 언제 처리했으며, 누가 확인했는지가 하나의 기록 안에서 연결되어야 합니다. 이 연결이 끊어져 있으면 파기를 실제로 수행했더라도 그 사실을 설명하는 데 어려움을 겪게 됩니다.

알테크코리아가 맡는 구간

알테크코리아는 데이터 파기 브랜드 DieHDD™를 통해 디가우징, 유압천공, 분쇄파기, 소각파기의 네 가지 방식으로 저장매체를 파기하고, Blancco 공식 파트너로서 인증된 영구삭제를 제공합니다. 자산 관리 체계를 설계하거나 조직의 보유기간 정책을 대신 정해 드리지는 않습니다. 그 판단은 각 조직의 몫입니다. 다만 파기하기로 결정한 대상을 정해진 기간 안에 복구 불가능하게 처리하고, 그 사실을 문서로 남기는 구간은 저희가 맡습니다.

시점 관리라는 관점에서 특히 눈여겨보실 부분은 온사이트 방식입니다. 매체를 사업장 밖으로 옮기지 않고 현장에서 파기를 완료하면, 운송 일정을 기다리는 시간과 반출 승인 절차에 드는 시간이 사라집니다. 물량이 모일 때까지 기다릴 이유도 줄어듭니다. 대량 물량을 한 번에 처리해야 하는 상황이라면 센터로 이송해 처리하는 오프사이트 방식이 더 효율적일 수 있습니다. 어느 쪽이든 파기 결과는 확인서로 남습니다.

이 글을 여기까지 읽으셨다면, 창고나 유휴 공간에 지금 무엇이 얼마나 있는지 한 번 확인해 보시기를 권합니다. 언제부터 있었는지, 그 안의 데이터가 언제 불필요해졌는지, 그리고 오늘까지 며칠이 지났는지를 함께 세어 보십시오. 숫자가 나오면 판단은 어렵지 않습니다.

개정법 시행까지 남은 시간은 한 달입니다. 그동안 새 시스템을 도입하거나 조직을 개편하기는 어렵지만, 창고에 쌓인 미파기 매체를 정리하는 일은 충분히 가능합니다. 그리고 이것은 시행일 이후에 확인받게 될 항목 중 가장 오래 방치되어 있었을 가능성이 높은 항목이기도 합니다.

파기해야 할 매체가 어디에 얼마나 있는지 정리되어 있다면, 알테크코리아에 처리 방식과 일정을 문의해 주십시오. 매체 유형에 맞는 방법과 현장 여건에 맞는 수행 방식을 함께 검토해 드리겠습니다. 지금 창고에 있는 것들의 시계는 이미 돌아가고 있습니다.

법령 원문

제21조 1항 : 개인정보처리자는 보유기간의 경과, 개인정보의 처리 목적 달성, 가명정보의 처리 기간 경과 등 그 개인정보가 불필요하게 되었을 때에는 지체 없이 그 개인정보를 파기하여야 한다. 다만, 다른 법령에 따라 보존하여야 하는 경우에는 그러하지 아니하다.

제21조 2항 : 개인정보처리자가 제1항에 따라 개인정보를 파기할 때에는 복구 또는 재생되지 아니하도록 조치하여야 한다.

제21조 3항 : 개인정보처리자가 제1항 단서에 따라 개인정보를 파기하지 아니하고 보존하여야 하는 경우에는 해당 개인정보 또는 개인정보파일을 다른 개인정보와 분리하여서 저장ㆍ관리하여야 한다.

제75조 2항 4호 : 제21조제1항을 위반하여 개인정보를 파기하지 아니한 자 (3천만원 이하의 과태료)

개인정보의 안전성 확보조치 기준 제13조 1항 : 개인정보처리자는 개인정보를 파기할 경우 다음 각 호 중 어느 하나의 조치를 하여야 한다. 1. 완전파괴(소각ㆍ파쇄 등) 2. 전용 소자장비(자기장을 이용해 저장장치의 데이터를 삭제하는 장비)를 이용하여 삭제 3. 데이터가 복원되지 않도록 초기화 또는 덮어쓰기 수행

표준 개인정보 보호지침 제55조 2항 : 공공기관은 개인정보파일의 보유기간, 처리 목적 등을 반영한 개인정보 파기계획을 수립ㆍ시행하여야 한다. 다만, 영 제30조제1항제1호에 따른 내부 관리계획이 수립되어 있는 경우에는 내부 관리계획에 개인정보 파기계획을 포함할 수 있다.

표준 개인정보 보호지침 제55조 3항 : 개인정보취급자는 보유기간 경과, 처리 목적 달성 등 파기 사유가 발생한 개인정보파일을 선정하고, 별지 제4호서식에 따른 개인정보파일 파기요청서에 파기 대상 개인정보파일의 명칭, 파기방법 등을 기재하여 개인정보 보호책임자의 승인을 받아 개인정보를 파기하여야 한다.