반납된 노트북을 창고에 쌓아 두는 사이, 데이터는 조직의 통제 밖에서 계속 살아 있습니다.

퇴사 처리를 마친 직원의 노트북 한 대가 IT팀 책상 위에 올라옵니다. 전원을 켜 보니 로그인 화면이 그대로 뜨고, 바탕화면에는 마지막으로 열어 두었던 파일들이 그대로 남아 있습니다. 담당자는 잠시 화면을 들여다보다가 전원을 끄고 창고 선반에 올려둡니다. "나중에 한꺼번에 정리하지"라는 생각으로요. 그 노트북은 몇 주, 어쩌면 몇 달 동안 그 자리에 머무르게 됩니다. 그 사이 옆자리에는 비슷한 사연을 가진 데스크톱과 외장하드가 하나둘 늘어납니다.

이 장면이 낯설지 않은 이유는 대부분의 사무실에서 반복되는 풍경이기 때문입니다. 퇴사자가 반납한 노트북, 교체 시기가 지난 데스크톱, 사무실을 이전하며 뜯어낸 NAS까지, 창고 한쪽에는 늘 처리를 기다리는 장비가 쌓여 있습니다. 문제는 이 장비들이 결국 사무실 밖으로 나가는 경로가 제각각이라는 데 있습니다. 어떤 것은 다른 직원에게 재배치되고, 어떤 것은 리스 계약 종료로 반납되고, 어떤 것은 파기업체를 통해 완전히 처리됩니다. 그리고 이 경로마다 담당자가 확인해야 할 것이 다릅니다.

이 반납 장비들이 창고에서 오래 머무는 데는 나름의 이유가 있습니다. 담당 부서가 애매한 경우가 많습니다. 인사팀은 퇴사자 처리가 끝났다고 생각하고, IT팀은 새 장비 지급이 더 급한 업무이고, 총무팀은 "그건 IT팀 소관 아니냐"고 되묻습니다. 특히 IT 인력이 소수인 조직에서는 신규 장비 세팅과 장애 대응처럼 눈에 보이는 업무가 항상 우선순위를 차지하고, 창고에 쌓인 오래된 장비는 당장 급한 불이 아니라는 이유로 계속 뒤로 밀립니다. 여기에 사무실 이전이나 조직 개편처럼 일정이 정해진 큰 프로젝트가 겹치면, 반납된 장비를 처리하는 일은 우선순위에서 더욱 밀려납니다. 아무도 악의를 가지고 방치하는 것이 아니라, 누구의 업무인지가 분명하지 않아서 자연스럽게 뒤로 밀리는 것에 가깝습니다.

"지웠다"는 말보다 "어떻게 확인했는가"가 중요합니다

업무용 PC와 노트북을 반출하기 전 가장 먼저 부딪히는 착각은 초기화나 포맷을 데이터 삭제와 같은 의미로 받아들이는 것입니다. 하드디스크는 자성을 이용해 데이터를 기록하는 매체여서, 파일을 삭제하거나 휴지통을 비워도 실제 데이터 영역은 그대로 남고 인덱스 정보만 사라집니다. 일반적인 포맷 명령 역시 데이터 영역을 새로 쓰는 것이 아니라 파일 시스템 구조만 초기화하는 경우가 많아, 복구 도구를 이용하면 상당 부분이 되살아납니다.

SSD는 여기서 한 단계 더 나아간 문제를 안고 있습니다. SSD는 데이터를 전하 형태로 저장하기 때문에 자기장을 이용하는 소자 방식이 애초에 통하지 않을뿐더러, 내부적으로 데이터를 물리적 셀에 그대로 쓰지 않고 웨어 레벨링이라는 방식으로 분산해 기록합니다. 운영체제가 특정 파일을 지웠다고 표시해도, 실제로 그 데이터가 있던 셀은 한동안 그대로 남아 있는 구조입니다. 여기에 더해 컨트롤러가 TRIM 명령을 처리하는 방식이나 남아 있는 예비 영역의 크기는 제조사와 모델마다 달라서, 같은 방식으로 초기화했다고 해도 매체마다 실제 결과가 다르게 나타날 수 있습니다.

업무용 노트북 대부분이 SSD로 전환된 지금, HDD를 기준으로 익힌 삭제 상식을 그대로 적용하면 처리 방식 자체가 어긋나게 됩니다. 국제적으로 통용되는 저장매체 정화 지침 역시 매체별로 획일적인 삭제 방법을 규정하기보다, 선택한 방식이 해당 저장 기술에 대해 실제로 유효한지를 조직이 검증하도록 요구하는 방향으로 정리되어 있습니다.

여기에 NAS까지 더해지면 판단은 한층 복잡해집니다. NAS는 부서 단위로 공유하는 저장 장치인 경우가 많아, 개별 직원의 PC보다 훨씬 많은 사람의 자료가 한곳에 모여 있습니다. 인사 자료, 계약서, 회계 문서처럼 여러 사람이 함께 접근하던 파일이 그대로 쌓여 있는 경우가 흔합니다. 그런데 실무에서는 NAS를 "네트워크 장비"로 분류해 PC·노트북 파기 목록에서 누락시키는 경우가 적지 않습니다. 게다가 NAS 내부에는 여러 개의 디스크가 RAID 구성으로 묶여 있어, 디스크 한 개만 따로 처리하고 나머지는 남겨 두는 실수가 벌어지기도 합니다. 장비를 교체하면서 예전 NAS는 그대로 창고 구석에 밀어 두고, 새 NAS로 자료만 옮겨 오는 경우도 드물지 않습니다.

이 문제는 데스크톱과 노트북에서 끝나지 않습니다. 업무용으로 지급된 외장하드나 USB 메모리, 백업용으로 쓰다가 서랍 한편에 넣어 둔 예비 SSD까지 포함하면 대상은 훨씬 넓어집니다. 이런 보조저장매체는 개별 자산 번호가 부여되지 않는 경우가 많아, 애초에 자산 목록에 잡히지 않기도 합니다. 목록에 없는 물건은 반출 절차에서도 누락되기 쉽고, 결국 아무도 그 존재를 기억하지 못한 채 서랍 어딘가에 계속 남아 있게 됩니다. 매체 종류마다 데이터가 남는 방식이 다르고, 매체마다 담고 있는 정보의 범위도 다르다는 사실을 인정하는 것이 처리 기준을 세우는 출발점입니다.

정책은 있어도 확인이 없을 때 벌어지는 일

해외의 한 대도시 시정부는 수년간 사용한 업무용 컴퓨터를 온라인 공개 경매로 처분해 왔습니다. 내부 규정에는 매각 전 반드시 하드디스크를 제거하도록 명시되어 있었습니다. 그런데 한 지역 방송사의 취재팀이 경매로 사들인 컴퓨터를 포렌식 전문가에게 의뢰해 조사한 결과, 조사한 38대 가운데 23대에는 하드디스크가 그대로 남아 있는 것으로 드러났습니다.

그중 한 대에서는 10만 건이 넘는 의료 기록이 담긴 데이터베이스가 발견되었고, 다른 기기들에서는 운전면허증 사진, 수표 이미지, 주민등록번호가 적힌 문서, 개인 사진과 동영상, 심지어 1만 시간이 넘는 음성 녹음 파일까지 나왔습니다. 해당 기관 담당 부서는 취재에 대해 "하드디스크를 제거해야 한다는 절차가 있었는데도 지켜지지 않았다는 뜻"이라고 인정할 수밖에 없었습니다.

이 사례에서 눈여겨봐야 할 지점은 기술이 부족했던 것이 아니라는 사실입니다. 규정은 이미 존재했고, 방법도 명확했습니다. 무너진 것은 그 규정이 실제로 지켜졌는지를 아무도 확인하지 않았다는 한 가지였습니다. 정책 문서에 "하드디스크를 제거한다"라고 적어 두는 일과, 반출되는 기기 하나하나가 그 절차를 실제로 거쳤는지 확인하는 일은 완전히 다른 작업입니다.

비슷한 시기 미국의 한 주정부에서도 유사한 문제가 드러난 적이 있습니다. 회계 감사 부서가 매각을 앞둔 잉여 컴퓨터를 표본 조사한 결과, 조사 대상의 상당수에서 여전히 접근 가능한 정보가 발견되었습니다. 그중에는 법원에서 쓰던 노트북도 있었는데, 변호사의 비위 의혹을 정리한 메모와 판사 개인의 재무 정보가 그대로 남아 있었습니다.

아동복지 관련 부서의 장비에서는 아동의 생년월일과 의료보장 번호가, 다른 장비에서는 공무원의 주민등록번호와 인사평가 기록이 발견되었습니다. 감사 보고서는 한 기관이 하드디스크를 자기적으로 삭제하는 장비를 이미 보유하고 있었는데도, 소음이 크다는 이유로 직원들이 사용을 꺼렸다는 사실까지 지적했습니다. 장비도, 예산도, 규정도 갖추어져 있었지만 정작 그것을 일상적으로 사용하게 만드는 습관과 확인 체계가 빠져 있었던 셈입니다.

두 사례 모두 업무용 PC와 노트북처럼 대수가 많고 일상적으로 오가는 장비일수록 확인 절차가 형식적인 서명 한 줄로 흐르기 쉽다는 점을 보여줍니다. 장비를 보유한 기관이나 기업의 규모, 업종과 무관하게 반복되는 패턴이라는 뜻이기도 합니다. 국내 환경이라고 사정이 크게 다르지는 않습니다. 반출 대장에는 처리 완료로 기록되어 있지만, 실제로 그 기기가 어떤 방식으로 처리되었는지 구체적으로 설명할 수 있는 자료는 남아 있지 않은 경우를 실무에서 종종 마주하게 됩니다.

업무용 컴퓨터는 통제 대상이 아니라는 착각

여기서 실무자들이 자주 오해하는 지점이 하나 있습니다. 개인정보의 안전성 확보조치 기준은 개인정보가 담긴 보조저장매체의 반출·입을 통제하기 위한 보안대책을 마련하도록 정하면서도, 별도의 개인정보처리시스템을 운영하지 않고 업무용 컴퓨터나 모바일 기기로 개인정보를 처리하는 경우에는 이 통제 대책을 적용하지 않을 수 있다는 예외를 함께 두고 있습니다(제10조 3항). 이 조문만 보면 일반 사무직 PC는 반출 관련 규제에서 자유롭다고 읽힐 여지가 있습니다.

이런 예외를 둔 배경은 짐작하기 어렵지 않습니다. 모든 사무직 PC를 별도의 개인정보처리시스템 수준으로 통제하려면, 반출입 신청서와 승인 절차를 모든 직원의 일상 업무에 적용해야 하는데 이는 현실적으로 과도한 부담이 될 수 있습니다. 그래서 개인정보처리시스템을 별도로 운영하지 않는 일반 업무용 컴퓨터에는 이 통제 대책을 유연하게 적용할 여지를 남겨 둔 것입니다.

그러나 이 예외는 어디까지나 반출·입 통제 대책을 마련해야 하는 의무에 한정된 것입니다. 개인정보를 파기할 때 복구되지 않도록 조치해야 하는 의무(제21조 2항)나, 완전파괴·전용 소자장비·초기화 및 덮어쓰기 가운데 하나로 처리해야 한다는 방법 기준(안전성 확보조치 기준 제13조 1항)에는 이러한 예외가 존재하지 않습니다. 다시 말해 업무용 PC를 반출할 때 별도의 승인 절차를 밟지 않아도 되는 경우는 있어도, 그 PC를 파기할 때 데이터를 복구 불가능하게 만들어야 하는 의무는 예외 없이 적용됩니다. 반출 절차가 간소하다는 것과 파기 기준이 느슨하다는 것은 전혀 다른 이야기입니다.

재사용이냐 완전 파기냐, 먼저 나눠야 할 갈림길

업무용 PC와 노트북이 사무실을 나서는 이유는 한 가지가 아닙니다. 퇴사자가 반납한 뒤 다른 부서나 신규 입사자에게 재배치되는 경우, 교체 주기가 지나 완전히 파기되는 경우, 리스 계약이 끝나 반납되는 경우, 외주 인력이나 파견 직원에게 대여했던 장비가 돌아오는 경우까지 경로가 다양하게 뒤섞여 있습니다. 이 갈림길에서 먼저 판단해야 할 것은 해당 기기가 앞으로도 쓰일 것인지, 아니면 여기서 수명을 마칠 것인지입니다.

재사용이 예정된 기기는 물리적으로 파괴할 수 없으므로 소프트웨어 기반의 인증 삭제가 적합한 선택입니다. 삭제 결과가 검증되고 매체 단위로 인증서가 발급되는 방식이라면, 기기를 온전한 형태로 유지하면서도 복구 불가능이라는 요건과 확인 가능한 증빙을 동시에 확보할 수 있습니다. 반대로 완전히 파기할 기기라면 물리적 파괴가 더 확실한 선택입니다. 소프트웨어 삭제는 매체가 정상적으로 동작한다는 전제가 있어야 결과를 신뢰할 수 있는데, 노후 장비는 배드 섹터나 오작동으로 이 전제 자체가 흔들리는 경우가 있기 때문입니다. 삭제 프로그램이 정상적으로 끝까지 실행되었는지조차 확인하기 어려운 상태의 장비를 재사용으로 분류해 넘기는 것은 오히려 더 위험한 선택이 될 수 있습니다.

처리 방식을 먼저 정하지 않은 채 창고에 함께 쌓아 두면, 나중에는 어떤 기기가 재사용 대상이었고 어떤  기기가 파기 대상이었는지조차 구분하기 어려워집니다. 실제로 현장에서는 재사용 예정 기기와 파기 예정 기기가 같은 선반에 뒤섞여 있다가, 급하게 장비가 필요해진 담당자가 삭제 여부를 확인하지 않은 채 재사용 기기를 그대로 지급해 버리는 상황도 벌어집니다. 반출 전에 이 갈림길을 먼저 나누어 두는 것이 이후의 모든 절차를 단순하게 만드는 첫 단추입니다.

담고 있는 데이터의 민감도도 함께 살펴야 합니다

같은 노트북이라도 누가, 어떤 업무에 썼는지에 따라 위험의 크기는 달라집니다. 사내 게시판 열람과 일정 관리 정도로만 쓰인 기기와, 인사 평가 자료나 고객 계약서, 회계 원장을 다루던 기기는 같은 수준으로 처리해도 되는 대상이 아닙니다. 그런데 반납 시점에는 이 기기가 어떤 업무에 쓰였는지 파악할 방법이 마땅치 않은 경우가 많습니다.

사용자가 퇴사했거나 부서를 옮긴 뒤라면 더욱 그렇습니다. 그래서 반출 전 단계에서는 사용 부서와 담당 업무를 기준으로 민감도를 가늠해 보는 절차가 필요합니다. 인사, 재무, 법무, 영업처럼 개인정보나 계약 정보를 상시로 다루는 부서의 장비라면 처리 강도를 한 단계 높여, 재사용을 검토하더라도 인증 삭제 이상의 방식을 기본값으로 두는 편이 안전합니다. 반면 민감도가 낮은 일반 업무용 기기라 해도 최소한의 확인 절차 자체를 생략해서는 안 됩니다. 민감도 판단은 처리 방식을 완화하기 위한 기준이 아니라, 어디에 더 신경을 써야 하는지를 정하기 위한 기준으로 써야 합니다.

저장매체 처리와 별개로 짚어야 할 부분도 있습니다. 업무용 PC에는 이메일, 메신저, 클라우드 저장소 계정이 로그인된 상태로 남아 있는 경우가 흔합니다. 저장매체 자체를 완벽하게 삭제하거나 파기하더라도, 그 기기가 반출되기 전에 계정 로그아웃과 인증 해제가 이루어지지 않았다면 위험이 완전히 사라졌다고 보기는 어렵습니다. 데이터 저장매체 처리와 계정·인증 정리는 서로 다른 층위의 문제이지만, 반출이라는 같은 시점에 함께 처리해야 하는 항목이라는 점에서는 다르지 않습니다. 특히 부서 공용 계정으로 로그인되어 있던 NAS나 클라우드 저장소는 처리 권한이 특정 개인 한 명에게 있지 않은 경우가 많아, 반출 시점에 오히려 더 쉽게 놓치게 됩니다.

반출 전에 남겨야 하는 기록

처리 방식을 정했다면 그다음은 기록입니다. 장비명, 시리얼 번호, 매체 종류, 처리 방식을 한곳에 정리해 두면, 나중에 특정 기기의 처리 여부를 두고 의문이 생겼을 때 곧바로 확인할 수 있습니다. 여기서 중요한 것은 자산 대장에 등록된 수량과 실제로 회수된 수량, 처리 업체에 넘긴 수량이 서로 일치하는지 대조하는 일입니다. 세 숫자 가운데 하나라도 어긋난다면, 어딘가에 아직 처리되지 않은 기기가 남아 있다는 뜻입니다.

인수인계 기록도 마찬가지로 중요합니다. 누가 언제 기기를 넘겼고, 누가 언제 받았으며, 처리가 언제 완료되었는지가 하나의 시간축 위에 이어져야 감사나 문의가 들어왔을 때 설명이 가능합니다. 특히 퇴사자 반납처럼 사람이 바뀌는 지점에서는 서명 한 줄이 나중에 결정적인 근거가 됩니다. 반납 시점의 기기 상태, 반납받은 담당자, 이후 처리 방식까지 이어지지 않으면, 문제가 생겼을 때 "그 기기를 누가 마지막으로 다뤘는지"조차 특정하기 어려워집니다.

처리 결과를 사진이나 리포트로 남겨 두는 것도 마찬가지입니다. "파기했다"는 진술만 남아 있는 것과, 처리 전후 상태를 확인할 수 있는 기록이 함께 남아 있는 것은 실제 감사 상황에서 전혀 다른 무게를 가집니다. 확인서 한 장보다, 그 확인서의 숫자를 뒷받침하는 자료가 있는지가 더 자주 문제가 됩니다. 이 기록들을 반출 시점에 미리 준비해 두면, 나중에 뒤늦게 자료를 짜맞추는 수고를 덜 수 있습니다.

확인하지 않았을 때 남는 것은 과태료만이 아닙니다

개인정보 보호법은 개인정보처리자가 보유 목적을 달성한 개인정보를 지체 없이 파기하도록 정하고, 파기할 때는 복구 또는 재생되지 않도록 조치할 것을 요구합니다(제21조 1항, 2항). 이를 위반해 파기 등 필요한 조치를 하지 않은 경우 3천만원 이하의 과태료가 부과될 수 있습니다(제75조 2항). 업무용 PC 한두 대를 놓친 것뿐이라 하더라도, 그 안에 담긴 개인정보의 종류와 규모에 따라 책임의 크기는 달라집니다. 조사가 시작되면 "몇 대를 반납받았고, 몇 대를 처리했는지" 숫자만으로 설명이 끝나지 않는 경우가 많습니다. 각 기기가 어떤 방식으로 처리되었는지, 그 처리가 언제 어떻게 확인되었는지까지 소명해야 하는 상황에 놓이게 됩니다.

파기 업무를 외부 업체에 맡기는 경우에도 책임이 사라지는 것은 아닙니다. 위탁자는 수탁자를 교육하고 처리 현황을 점검하는 등의 방법으로 수탁자가 개인정보를 안전하게 처리하는지 감독해야 할 의무를 지고 있습니다(제26조 4항). 계약서에 서명했다는 사실만으로 감독 의무를 다했다고 보기는 어렵습니다. 반출된 수량과 처리된 수량이 실제로 일치하는지, 처리 결과를 확인할 수 있는 자료가 남아 있는지를 조직 스스로 점검할 수 있어야 합니다.

그리고 과태료보다 더 오래 남는 것은 대개 신뢰의 손상입니다. 반납된 노트북 한 대에서 나온 정보가 언론에 보도되거나 정보주체의 민원으로 이어지면, 그 피해는 처리 비용을 훨씬 넘어서는 범위로 번지기 쉽습니다. 처음 반납 서명을 받는 순간부터 이 가능성을 염두에 두는 것과, 사고가 난 뒤에야 되짚어 보는 것은 조직이 감당해야 하는 부담의 크기 자체가 다릅니다.

알테크코리아가 함께 확인하는 지점

알테크코리아는 업무용 PC, 노트북, NAS를 포함한 저장매체를 복구 불가능한 상태로 만들고, 그 결과를 검증 가능한 증빙으로 남기는 일에 집중해 온 기업입니다. 재사용이 예정된 기기에는 블랑코(Blancco) 공식 파트너로서 인증 기반 영구삭제를 제공해, 매체를 온전히 유지한 채로도 복구 불가능이라는 요건과 매체 단위 인증서를 함께 확보할 수 있도록 지원합니다. 완전히 파기할 기기에는 DieHDD™ 브랜드의 디가우징, 유압천공, 분쇄파기, 소각파기 네 가지 방식을 갖추고 있어, 매체 유형과 보안 요구 수준에 맞춘 처리가 가능합니다. 처리 결과는 매체별 인증서와 기록으로 남겨, 반출 시점부터 처리 완료 시점까지를 조직이 스스로 설명할 수 있는 자료로 제공합니다.

창고에 쌓인 노트북 한 대는 그 자체로는 위험해 보이지 않습니다. 위험은 그 노트북이 어떤 경로로, 누구의 확인도 거치지 않은 채 사무실 밖으로 나가는 순간부터 시작됩니다. HDD든 SSD든 NAS든, 재사용을 앞둔 기기든 완전히 수명을 다한 기기든, 판단의 출발점은 늘 같습니다. 지금 이 장비가 어떤 데이터를 담고 있고, 어디로 향할 예정인지를 먼저 확인하는 것입니다. 결국 남아야 하는 것은 "지웠다"는 말이 아니라, 무엇을 어떻게 확인했는지에 대한 기록입니다. 알테크코리아는 그 확인의 마지막 단계를 검증 가능한 형태로 남기는 역할을 함께하겠습니다.

법령 원문

개인정보 보호법 제21조 1항 : 개인정보처리자는 보유기간의 경과, 개인정보의 처리 목적 달성, 가명정보의 처리 기간 경과 등 그 개인정보가 불필요하게 되었을 때에는 지체 없이 그 개인정보를 파기하여야 한다. 다만, 다른 법령에 따라 보존하여야 하는 경우에는 그러하지 아니하다.

개인정보 보호법 제21조 2항 : 개인정보처리자가 제1항에 따라 개인정보를 파기할 때에는 복구 또는 재생되지 아니하도록 조치하여야 한다.

개인정보 보호법 제26조 4항 : 위탁자는 업무 위탁으로 인하여 정보주체의 개인정보가 분실·도난·유출·위조·변조 또는 훼손되지 아니하도록 수탁자를 교육하고, 처리 현황 점검 등 대통령령으로 정하는 바에 따라 수탁자가 개인정보를 안전하게 처리하는지를 감독하여야 한다.

개인정보 보호법 제75조 2항 : 다음 각 호의 어느 하나에 해당하는 자에게는 3천만원 이하의 과태료를 부과한다. (제4호) 제21조제1항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 개인정보의 파기 등 필요한 조치를 하지 아니한 자.

개인정보의 안전성 확보조치 기준 제10조 3항 : 개인정보처리자는 개인정보가 포함된 보조저장매체의 반출·입 통제를 위한 보안대책을 마련하여야 한다. 다만, 별도의 개인정보처리시스템을 운영하지 아니하고 업무용 컴퓨터 또는 모바일 기기를 이용하여 개인정보를 처리하는 경우에는 이를 적용하지 아니할 수 있다.

개인정보의 안전성 확보조치 기준 제13조 1항 : 개인정보처리자는 개인정보를 파기할 경우 다음 각 호 중 어느 하나의 조치를 하여야 한다. 1. 완전파괴(소각·파쇄 등) 2. 전용 소자장비(자기장을 이용해 저장장치의 데이터를 삭제하는 장비)를 이용하여 삭제 3. 데이터가 복원되지 않도록 초기화 또는 덮어쓰기 수행