법이 요구하는 것은 파쇄나 삭제라는 행위가 아니라, 복구되지 않는 상태라는 결과입니다

이사를 사흘 앞둔 사무실은 평소보다 어수선합니다. 회의실 한쪽에는 캐비닛에서 꺼낸 서류철이 상자째 쌓여 올라가고, 복도 끝에는 교체를 마친 데스크톱과 외장하드, 오래된 백업테이프가 담긴 파란 플라스틱 상자가 놓여 있습니다. 총무 담당자는 서류 상자를 세어 보다가 사무실 구석의 문서세단기를 쳐다봅니다. 저 분량을 저 기계로 다 넘기려면 며칠이 걸릴지 가늠이 되지 않습니다.

전산 담당자는 하드디스크를 들여다보며 포맷만 해서 넘겨도 되는 것인지, 아니면 따로 업체를 불러야 하는 것인지 판단이 서지 않습니다. 두 사람 모두 개인정보는 파기해야 한다는 원칙은 알고 있습니다. 막히는 지점은 그다음입니다. 어떤 방법으로, 어디까지 해야 파기한 것으로 인정받는가. 이 질문에 대해 법령은 생각보다 구체적인 답을 이미 마련해 두고 있고, 그 답은 종이와 전자파일에 대해 서로 다른 방식을 요구합니다.

법령은 파기 방법을 매체의 형태에 따라 나누어 정하고 있습니다

개인정보 보호법은 보유기간이 지나거나 처리 목적을 달성해 개인정보가 불필요하게 되었을 때 지체 없이 파기하도록 하고, 파기할 때에는 복구 또는 재생되지 아니하도록 조치할 것을 요구합니다(제21조 1항, 제21조 2항). 그리고 구체적인 방법은 시행령으로 넘깁니다.

시행령이 정한 구분은 단순하지만 분명합니다. 전자적 파일 형태인 경우에는 복원이 불가능한 방법으로 영구 삭제해야 하고, 그 외의 기록물과 인쇄물, 서면, 그 밖의 기록매체인 경우에는 파쇄 또는 소각해야 합니다(제16조 1항). 여기서 후자에 해당하는 것이 이른바 종이문서입니다. 가입신청서, 계약서, 상담 이력지, 명부, 출력물처럼 손으로 만질 수 있는 형태로 개인정보가 남아 있는 자료는 지우는 것이 아니라 없애는 것이 원칙이라는 뜻입니다.

이 조문에서 놓치기 쉬운 점은 법령이 나열한 것이 방법이 아니라 도달해야 할 상태라는 사실입니다. 파쇄를 했느냐, 삭제 버튼을 눌렀느냐가 아니라 그 결과 개인정보가 복구되거나 재생될 수 없는 상태가 되었느냐가 판단 기준입니다. 같은 파쇄기를 돌렸더라도 결과물이 다시 맞춰질 수 있다면 요건을 충족했다고 보기 어렵고, 같은 삭제 명령을 실행했더라도 데이터 영역이 그대로 남아 있다면 마찬가지입니다. 실무에서 벌어지는 대부분의 문제는 방법을 몰라서가 아니라, 방법만 지키고 결과를 확인하지 않아서 생깁니다.

복원이 불가능한 방법이란 절대적인 기준이 아닙니다

그렇다면 어느 정도까지 해야 복원이 불가능한 것일까요. 이 물음에 대해서는 표준 개인정보 보호지침이 정의를 두고 있습니다. 복원이 불가능한 방법이란 현재의 기술수준에서 사회통념상 적정한 비용으로 파기한 개인정보의 복원이 불가능하도록 조치하는 방법을 말한다는 것입니다(제10조 2항).

이 정의는 두 가지를 함께 말해 줍니다. 하나는 세상의 모든 기술을 동원해도 절대 복구할 수 없는 수준까지 요구하지는 않는다는 것이고, 다른 하나는 기준이 고정되어 있지 않다는 것입니다. 현재의 기술수준과 적정한 비용이라는 표현은 시간이 지나면 기준선도 함께 움직인다는 뜻입니다. 복구 도구가 저렴해지고 성능이 좋아질수록 예전에 충분했던 처리 방식이 더 이상 충분하지 않게 되는 구간이 생깁니다. 몇 년 전에 만들어 둔 사내 파기 절차를 그대로 쓰고 있다면, 그 절차가 지금의 기술수준에서도 여전히 유효한지 한 번쯤 다시 따져 볼 필요가 있는 이유입니다.

전자파일 파기에는 세 갈래 길이 있습니다

전자적 파일을 복원 불가능하게 만드는 구체적 수단은 개인정보의 안전성 확보조치 기준이 정하고 있습니다. 개인정보를 파기할 때에는 완전파괴, 전용 소자장비를 이용한 삭제, 데이터가 복원되지 않도록 하는 초기화 또는 덮어쓰기 가운데 어느 하나의 조치를 하도록 규정합니다(제13조 1항).

첫 번째인 완전파괴는 매체 자체를 물리적으로 없애는 방식입니다.

하드디스크나 자기테이프를 파쇄기로 부수거나, 용해하거나, 소각로에서 태우는 처리가 여기에 해당합니다. 두 번째인 전용 소자장비는 고시가 괄호 안에 직접 정의를 달아 두었는데, 자기장을 이용해 저장장치의 데이터를 삭제하는 장비를 말합니다. 흔히 디가우저라고 부르는 장비입니다. 세 번째는 매체를 남겨 둔 채 데이터만 복원되지 않도록 만드는 방식으로, 완전포맷이나 데이터 영역에 대한 덮어쓰기가 여기에 속합니다. 소관 부처의 안내서는 완전포맷과 무작위 값 덮어쓰기 모두 3회 이상을 권고하고 있고, 드라이브 전체를 안전한 알고리즘으로 암호화해 저장한 뒤 삭제하고 암호화에 사용된 키를 완전히 파기하는 방식도 함께 예시로 들고 있습니다.

여기서 반드시 짚어야 할 단서가 하나 있습니다. 안내서는 메모리 저장장치의 경우 첫 번째 방법인 완전파괴와 세 번째 방법인 초기화 또는 덮어쓰기를 적용해야 한다고 명시합니다. 두 번째 방법인 전용 소자장비가 빠져 있는 것입니다. 이유는 원리에 있습니다. 디가우저는 강한 자기장으로 자성 기록을 흐트러뜨리는 장비인데, 플래시 메모리는 자기가 아니라 전하 상태로 데이터를 보관하기 때문에 자기장을 걸어도 저장된 값이 사라지지 않습니다. 그래서 하드디스크와 백업테이프에는 세 가지 방법이 모두 열려 있지만, SSD와 NVMe, eMMC, USB 메모리 같은 플래시 매체에는 물리적 파괴 또는 검증된 삭제라는 두 갈래만 남습니다. 매체를 구분하지 않고 디가우징 한 번으로 전부 처리했다면, 그중 플래시 매체는 사실상 아무 조치도 하지 않은 것과 같은 상태로 남아 있을 수 있습니다.

세 번째 방법인 덮어쓰기 역시 매체에 따라 결과가 달라집니다. 하드디스크는 논리 주소와 물리 위치가 대체로 일대일로 대응하기 때문에 같은 자리에 새 값을 여러 번 써 넣으면 이전 값이 사라집니다. 반면 플래시 매체는 수명을 고르게 나누기 위해 쓰기 위치를 계속 옮기는 구조로 동작하고, 사용자가 접근할 수 없는 예비 영역도 별도로 두고 있습니다. 그래서 겉으로는 드라이브 전체를 덮어쓴 것처럼 보여도 이전 데이터가 다른 블록에 남아 있을 가능성이 남습니다. 플래시 매체를 재사용할 목적으로 데이터만 지워야 한다면, 삭제 명령을 실행했다는 사실보다 지워졌음을 확인한 결과를 함께 확보하는 편이 안전한 이유가 여기에 있습니다.

종이문서는 파쇄 또는 소각, 문제는 어느 정도로 하느냐입니다

종이 쪽은 조문만 보면 훨씬 단순합니다. 파쇄 또는 소각, 두 가지뿐입니다. 안내서는 여기에 실무적인 구분을 덧붙여, 소량의 종이문서는 세단기로 파기하고 대량의 종이문서는 소각이나 용해 같은 방법으로 파기하도록 안내하고 있습니다. 분량에 따라 현실적인 처리 경로가 달라진다는 점을 인정한 것입니다.

그런데 종이에도 앞서 본 원칙이 똑같이 적용됩니다. 파쇄라는 행위를 했다는 사실이 아니라 그 결과 복구되지 않는 상태가 되었는지가 기준입니다. 법령이 파쇄 조각의 크기나 절단 방식에 대한 수치 규격을 따로 정해 두지는 않았지만, 그렇다고 어떤 세단 방식이든 무방하다는 뜻으로 읽기는 어렵습니다. 세로로만 길게 잘리는 방식은 조각이 크고 글자의 행이 그대로 남기 때문에, 시간과 인력을 들이면 원본에 가깝게 되맞출 여지가 남습니다. 반면 가로세로로 잘게 잘리는 방식은 같은 문서라도 조각 수가 훨씬 많아지고 문맥 복원이 어려워집니다. 어느 쪽을 쓸지는 조직이 문서의 민감도를 기준으로 스스로 정해야 하는 영역이고, 그 판단의 근거를 남겨 두는 것까지가 실무의 몫입니다.

종이 쪽에서 실제로 자주 새는 곳은 정식 서류철이 아니라 그 주변입니다. 회의를 위해 뽑았다가 자리에 그대로 둔 명단, 상담 중에 메모한 종이, 복합기 배출함에 며칠째 쌓여 있는 출력물, 그리고 한쪽 면만 썼다는 이유로 이면지 통에 들어간 출력물이 여기에 해당합니다. 이런 자료는 문서 대장에 올라 있지 않기 때문에 파기 대상 목록을 만들 때부터 빠지고, 결국 일반 폐지와 함께 건물 밖으로 나가게 됩니다. 개인정보가 담긴 출력물이라면 정식 서류와 동일한 경로로 처리되어야 한다는 원칙을 사내 규정에 한 줄 넣어 두는 것만으로도 이 구멍은 상당 부분 줄어듭니다.

대량 문서를 외부에 맡기는 경우에는 판단해야 할 항목이 하나 더 늘어납니다. 소각이나 용해는 사내에서 처리할 수 없는 방식이므로 문서가 반드시 건물 밖으로 나가게 되는데, 이 이동 구간이 곧 통제가 끊기는 구간이 됩니다. 상자에 담겨 트럭에 실린 뒤부터 실제 처리가 끝날 때까지 무슨 일이 있었는지는 위탁한 쪽에서 직접 확인할 방법이 마땅치 않습니다. 그래서 처리 방식을 고르는 일만큼이나 인계 시점과 운송 책임 범위, 처리 완료를 확인하는 방법을 미리 문서로 정해 두는 일이 중요해집니다.

일부만 파기할 때는 규칙이 하나 더 붙습니다

실무에서 훨씬 자주 마주치면서도 가장 자주 빠뜨리는 것이 일부 파기입니다. 매체 전체를 없애는 것이 아니라, 살아 있는 시스템이나 문서 안에서 일부 정보만 지워야 하는 상황입니다. 운영 중인 데이터베이스에서 탈퇴 회원의 정보를 지우는 경우, 백업 디스크나 테이프에 담긴 자료 중 보유기간이 끝난 특정 정보주체의 개인정보만 걷어내는 경우, 보관해야 할 신청서에서 주민등록번호 칸만 없애야 하는 경우가 모두 여기에 해당합니다.

고시는 이런 상황을 따로 규정합니다. 개인정보의 일부만을 파기하는데 앞서 본 세 가지 방법으로 처리하기가 어려울 때에는, 전자적 파일 형태인 경우 개인정보를 삭제한 후 복구 및 재생되지 않도록 관리하고 감독해야 하며, 그 외의 기록물과 인쇄물, 서면, 그 밖의 기록매체인 경우에는 해당 부분을 마스킹하거나 구멍을 뚫는 등의 방법으로 삭제해야 합니다(제13조 2항).

전자적 파일에 대해 관리 및 감독이라는 표현을 쓴 대목이 중요합니다. 일부만 지우는 상황에서는 매체를 부술 수도, 전체를 덮어쓸 수도 없으니 삭제 기능을 쓸 수밖에 없는데, 그 대신 비인가된 복구가 일어나지 않는지 지켜보라는 요구가 따라붙는 것입니다. 안내서는 복구 관련 기록과 활동을 모니터링하거나 주기적으로 점검하는 방식을 예로 들고 있습니다. 삭제 시점의 조치 한 번으로 끝나는 것이 아니라 이후의 상태를 계속 확인하는 일까지 의무의 범위에 들어온다는 뜻입니다.

종이 쪽의 마스킹과 구멍 뚫기도 마찬가지 취지입니다. 보관해야 하는 서류에서 특정 항목만 없애야 할 때, 해당 부분을 오려내거나 천공하거나 덧칠해 다시 읽을 수 없게 만들라는 것입니다. 여기서도 결과가 기준이 됩니다. 검은 펜으로 그었지만 빛에 비추면 읽히는 정도라면 삭제가 이루어졌다고 보기 어렵습니다.

일부 파기에서 가장 흔한 함정은 원본과 사본의 분리입니다. 운영 데이터베이스에서는 지웠는데 같은 정보가 담긴 백업본은 그대로 남아 있는 상황, 서류 원본은 처리했는데 이전에 떠 둔 스캔 파일이 공유 폴더에 남아 있는 상황이 대표적입니다. 파기 대상을 정할 때 그 정보가 지금 어디에 몇 벌 존재하는지부터 확인하지 않으면, 파기는 절반만 이루어진 채 끝나게 됩니다.

기술적으로 파기가 곤란한 경우의 예외

기술 특성 때문에 위의 방법으로 파기하는 것이 현저히 곤란한 경우에는, 더 이상 개인을 알아볼 수 없는 정보로 처리해 복원이 불가능하도록 조치하는 길이 열려 있습니다(제13조 3항). 안내서는 기록 이후 수정이나 변경이 불가능한 블록체인을 대표적인 예로 들면서, 개인정보는 별도 저장소에 두고 블록체인상에는 개인을 알아볼 수 없게 처리한 값만 저장하는 방식을 함께 안내합니다.

다만 이 조항은 예외이지 우회로가 아닙니다. 파기가 번거롭다거나 비용이 든다는 사정은 현저히 곤란한 경우에 해당하지 않습니다. 매체의 기술적 특성 자체가 파기를 불가능하게 만드는 좁은 상황에만 적용되는 규정으로 읽는 편이 안전합니다.

기한과 책임자, 그리고 남겨야 할 기록

방법 못지않게 자주 문제가 되는 것이 시점입니다. 표준 개인정보 보호지침은 개인정보가 불필요하게 되었을 때 정당한 사유가 없는 한 그로부터 5일 이내에 파기하도록 정하고 있 습니다(제10조 1항). 창고에 쌓아 둔 채 언젠가 한 번에 처리하겠다는 방식은 이 기한과 정면으로 어긋납니다.

책임 소재도 명확합니다. 안내서는 개인정보 파기의 시행과 파기 결과의 확인이 개인정보 보호책임자의 책임하에 수행되어야 하며, 파기에 관한 사항을 기록하고 관리해야 한다고 밝히고 있습니다. 아울러 파기를 전문으로 수행하는 업체를 활용할 수 있다는 점도 함께 안내하고 있습니다. 외부에 맡기는 것 자체는 허용되지만, 시행과 결과 확인의 책임은 위탁했다고 해서 넘어가지 않는다는 구조입니다.

기록에 무엇을 담을지도 미리 정해 두는 편이 낫습니다. 무엇을 파기했는지 특정할 수 있는 정보, 언제 어디서 처리했는지, 어떤 방식을 적용했는지, 누가 시행하고 누가 확인했는지가 함께 남아 있어야 나중에 설명이 가능해집니다. 저장매체라면 장비명이 아니라 일련번호 단위로 목록을 만들어야 특정이 되고, 종이문서라면 문서의 종류와 수량, 보유기간이 끝난 근거가 함께 정리되어야 왜 지금 파기했는지를 답할 수 있습니다. 처리했다는 사실만 적힌 기록은 정작 확인이 필요한 순간에 아무것도 증명해 주지 못합니다.

2026년 10월 31일부터는 문서로 정해 두어야 합니다

한 가지 더 짚어 둘 변화가 있습니다. 개인정보의 안전성 확보조치 기준은 2025년 10월 31일 개정되면서, 종전에는 내부 관리계획 수립 대상에 들어 있지 않던 출력과 복사 시 안전조치, 그리고 개인정보 파기에 관한 사항을 내부 관리계획 항목으로 새로 포함시켰습니다. 인터넷망 차단조치 관련 규제 완화 조항은 즉시 시행되었지만, 내부 관리계획 수립처럼 준비가 필요한 조항은 1년의 유예를 두어 2026년 10월 31일부터 적용됩니다.

의미는 분명합니다. 지금까지 파기가 담당자의 관행과 경험으로 처리되어 왔다면, 앞으로는 어떤 매체를 어떤 방식으로 파기하고 누가 확인하며 결과를 어떻게 남기는지가 내부 관리계획이라는 문서 안에 들어가 있어야 합니다. 점검을 받을 때 확인되는 것도 실제 처리 내역과 그 문서가 서로 맞는지입니다. 유예기간이 두 달 남짓 남았다는 점을 감안하면, 지금이 사내 파기 기준을 한 번 정리해 둘 시점입니다.

인증심사에서 반복적으로 지적되는 대목들

정보보호 및 개인정보보호 관리체계 인증심사에서 파기와 관련해 되풀이되는 결함 사례를 보면, 어디가 취약한지가 그대로 드러납니다. 재사용할 컴퓨터에 대해 삭제 프로그램으로 완전삭제하도록 절차를 만들어 두고도 실제로는 기본 포맷만 하고 넘기는 경우, 파기한 하드디스크를 대장에 기록하면서 일련번호가 아니라 시스템명만 적어 두어 어떤 장비가 처리되었는지 추적할 수 없는 경우, 외부업체에 매체 파기를 맡기면서 계약서에 안전한 파기 절차와 보호대책이 빠져 있고 이행 증적 확인이나 실사도 이루어지지 않는 경우, 그리고 회수해 온 파기 대상 하드디스크가 완전삭제되지 않은 상태로 잠금장치 없는 장소에 방치되는 경우가 대표적으로 꼽힙니다.

네 가지 모두 방법을 몰라서 생긴 문제가 아닙니다. 절차는 있는데 이행되지 않았거나, 처리는 했는데 기록이 남지 않았거나, 맡기기는 했는데 확인하지 않은 경우입니다. 파기가 결과로 판단되는 의무라는 점을 생각하면, 이 지점들이 곧 실제 위험이 발생하는 자리이기도 합니다.

알테크코리아가 담당하는 구간

정리하면 파기는 두 갈래로 나뉩니다. 종이문서는 파쇄나 소각으로, 저장매체는 매체 특성에 맞는 방식으로 처리해야 합니다. 알테크코리아는 이 가운데 저장매체 파기 구간을 담당합니다.

알테크코리아는 데이터파기 브랜드 DieHDD™를 통해 디가우징, 유압천공, 분쇄파기, 소각파기 네 가지 방식을 운영합니다. 하드디스크나 백업테이프처럼 자성 방식으로 기록되는 매체에는 디가우징을 적용하고, 매체 자체를 무력화해야 하는 경우에는 유압천공과 분쇄파기를, 완전히 소멸시켜야 하는 경우에는 소각파기를 적용합니다. 반면 SSD와 NVMe, eMMC, USB 메모리처럼 플래시 방식으로 기록되는 매체는 디가우징이 통하지 않으므로 물리적 파기로 처리하거나, 매체를 재사용해야 하는 상황이라면 Blancco 기반의 인증 영구삭제로 데이터만 지우고 그 결과를 리포트로 확인합니다. 알테크코리아는 Blancco Korea 공식 파트너이자 KISIA 회원사입니다.

처리 결과는 대상 목록과 작업 일시, 적용한 파기 방식, 처리 전후 기록을 포함한 형태로 전달합니다. 담당자가 바뀌거나 몇 년이 지난 뒤에 그때의 처리 내역을 다시 설명해야 하는 상황이 오더라도, 문서만 열어 보면 무엇을 어떤 방식으로 처리했는지 답할 수 있게 하는 것이 이 기록의 목적입니다. 정리를 앞둔 저장매체가 있다면 매체 종류와 수량, 재사용 여부를 정리해 문의해 주시기 바랍니다. 적용 가능한 파기 방식과 남길 수 있는 증빙의 형태를 함께 안내해 드리겠습니다.

마무리

파기 방법을 둘러싼 혼란은 대부분 하나의 착각에서 출발합니다. 정해진 동작을 수행하면 의무가 끝난다는 생각입니다. 그러나 법령이 요구하는 것은 파쇄기를 돌렸다는 사실도, 삭제 명령을 실행했다는 사실도 아닌, 그 결과 개인정보가 복구되거나 재생될 수 없는 상태에 도달했다는 것입니다. 전자파일과 종이문서에 서로 다른 방법이 규정된 이유도 결국 같습니다. 매체가 정보를 붙들고 있는 방식이 다르니 그것을 놓게 만드는 방법도 달라야 한다는 것입니다.

그러니 점검해야 할 순서도 자연스럽게 정해집니다. 지금 처리를 기다리는 자료가 종이인지 전자파일인지, 전자파일이라면 자성 매체인지 플래시 매체인지, 전부를 없애야 하는지 일부만 지워야 하는지, 그리고 그 결과를 나중에 다시 확인할 수 있는 형태로 남길 수 있는지입니다. 이 네 가지가 정리되면 나머지는 실행의 문제로 좁혀집니다. 유예기간이 끝나기 전에 이 순서를 문서 한 장으로 정리해 두는 것만으로도, 다음 점검과 다음 담당자 앞에서 설명할 수 있는 조직과 그렇지 못한 조직의 차이가 갈립니다.