‘파기 의무 위반’ 철두철미하게 준비해도 법 위반 지적 빈도수 높아
기한 경과된 개인정보 삭제가 어려운 3가지 이유는?
개인정보 가시성(visibility) 확보 위한 조직구성·업무연계 및 관련 솔루션 등 다양한 접근 가능해


■ 방송 : 보안뉴스TV(bnTV) <김진환 변호사의 개인정보 지키다> 16화
■ 진행 : 이소미 보안뉴스 기자
■ 출연 : 김진환 변호사


▲[김진환의 개인정보 지키다] 16화 시작 화면[이미지=보안뉴스]

□ 이소미 기자
bnTV 구독자 여러분, 안녕하세요. 보안뉴스와 김진환 변호사가 함께 하는 ‘개인정보, 지키다’ 진행의 이소미 기자입니다. 보호법 개정 이후에도 개인정보 유출 사건·사고는 끊이지 않고 있습니다. 외부 공격자에 의한 해킹 또는 내부자 유출까지 그 방법도 다양한데요. 이처럼 데이터 자산 가치가 높아지면서 많은 기업과 기관들이 개인정보보호에 노력을 기울이고 있지만, 문제는 미처 파기하지 않고 남아있던 개인정보가 유출되는 사례도 왕왕 발생하고 있다는 겁니다. 그렇다면 이 ‘파기 단계’에서의 문제점 그리고 해결책까지 함께 알아보겠습니다.

[가장 많이 보호법을 위반하는 ‘파기 단계’]
□ 이소미 기자
변호사님, 많은 기업과 기관들이 개인정보를 다루는 과정에서 가장 많이 보호법을 위반하기 쉬운 단계가 ‘파기’ 단계라고 하던데요. 왜 유독 파기 단계에서 놓치는 부분들이 많이 발생하는 걸까요?

■ 김진환 변호사
그동안 제가 경험한 수많은 케이스의 개인정보 관련 조사 대응 업무를 진행해 왔었는데요. 그 경험 내에서 비춰보더라도 기업이나 기관이 아무리 철저한 준비를 하더라도 상당히 높은 확률로 법 위반으로 지적되는 경우가 방금 말씀하신 개인정보 파기 부분입니다. 정확한 통계라고는 할 수 없겠지만, 체감 상 적어도 절반 정도는 다른 법 위반 사항들과 함께 이 파기 의무 위반에서 지적을 많이 당하는 것 같습니다. 어느 개인정보 담당자가 우스갯소리로 조사나 점검 과정에서 이렇다 할 법 위반 포인트를 발견할 수 없으면, 개인정보 담당자의 PC나 개인정보 데이터베이스에서 파기·삭제되지 않고 남아 있는 개인정보를 찾기 시작한다고 할 정도입니다. 이렇듯 개인정보 파기 의무에 대해서는 누구나 잘 알고 있지만, 실제 현실에서 이를 모두 준수하기에는 여러 가지 측면에서 쉽지 않다고 볼 수 있습니다.

특히, 과거 정보통신망법에서 온라인 서비스 제공자들의 개인정보 처리를 관장하던 때에는 개인정보 파기 의무 위반이 형사 처벌 대상이었기 때문에 너무 중한 법 위반으로 인식되기도 했습니다. 다행히 정보통신망법에서 개인정보 보호법으로 넘어오게 됐고, 최근 법 개정 과정에서 파기 의무 위반은 기존의 형사 처벌 대상이 아닌 과태료 사안으로 남아 있게 됐습니다.

[개인정보 보호 파기 관련 업무 현장 고충]
□ 이소미 기자
네, 개인정보 관련 업무 담당자라면, 말씀해 주신대로 파기가 의무라는 건 잘 알고 있는 내용일텐데요. 사실 일반적인 입장에서 볼 때는 이미 활용된 개인정보, 즉 이용기간이 경과된 개인정보를 찾아서 파기하는 과정이 그렇게 복잡하진 않을 것 같거든요. 그런데 또 이런 경우가 흔하다는 건 아무래도 업무 현장에서 겪는 남모를 어려움이 있을 것 같은데, 어떤가요?

■ 김진환 변호사
말씀하신 대로 목적 달성이나 이용기간 경과가 얼마 남지 않은 개인정보들을 미리부터 잘 분리·보관하고 있다가 기한이 경과하는 대로 바로 파기 조치를 취하면 됩니다. 하지만 실제 개인정보 관련 업무에서 사전에 해당되는 개인정보를 분류해 챙겨두는 일은 쉽지 않기 때문에 그게 가장 큰 문제입니다. 이 같은 문제의 원인으로 몇 가지를 들 수 있는데요.

첫째, 생각보다 많은 기업이나 기관이 애초 자신들이 사용하고 있는 개인정보가 어디에서 어떠한 용도로 존재하는지, 그리고 구체적으로 어떤 목적으로 활용되고 있는지 자체를 파악하지 못하고 있기 때문입니다. 이와 같이 어떤 조직 내에서 개인정보가 어디에 존재하고 어느 목적으로 활용되고 있는지 파악하는 것을 개인정보의 가시성, 즉, visibility 확보라고 하는데요. 여기서 문제가 발생된다면, 보유하고 있는 개인정보를 한 눈에 파악하지 못해 적절한 파기가 이루어질 수 없기 때문에 어찌 보면 당연하다고 볼 수 있습니다.

둘째로는, 대부분의 기업이나 기관에서 개인정보를 적극 활용하는 부서와 담당자가 따로 있고, 파기 대상이 되는 개인정보를 실질적으로 선별하고 파기하는 업무를 담당하는 부서와 담당자가 따로 있기 때문입니다. 그러다 보니 애초 법이 상정한 것처럼 개인정보의 이용 목적 달성 즉시 파기를 하는 등의 자연스러운 생애주기가 원활하게 돌아가지 않는 것 같습니다.

셋째, 사실 개인정보 파기는 그 성격상 통상적인 업무를 수행하는 과정에서 그 필요성을 인지하고 실행으로 옮기기까지 쉽지 않은 조치에 해당합니다. 예를 들어, 업무용 PC 내 엑셀 파일에 개인정보를 수집·처리하고 있다는 상황을 가정해 보면 어제까지 업무에 활용하던 엑셀 파일을 다음날 바로 삭제해야 할 대상으로 인지하는 것 자체가 업무 흐름상 쉽지 않다는 것이지요.

□ 이소미 기자
역시 이론적인 개념과 현장에서의 괴리감은 늘 존재하는 것 같습니다. 이렇게 ‘파기’ 단계에서 발생하는 문제에 대한 근본적인 원인으로 기업들이 보유하고 있는 개인정보에 대한 가시성, 즉 visibility의 문제라고 말씀해 주셨는데요. 우리 기업이 어떤 개인정보를 보유하고 있는지, 또 어디에, 어떤 목적으로 활용되고 있는지 잘 파악하고 있어야 된다는 중요한 내용 말씀해 주셨습니다. 또 현장에서 개인정보 활용과 파기 업무 담당자가 각각 따로 배치되다 보니, 아무래도 이 개인정보 생애주기 흐름에 맞추기가 쉽지 않다는 점도 지적해 주셨습니다.

[개인정보 보호 파기를 위한 조치 방안]
□ 이소미 기자
그렇다면 변호사님, 이런 문제점들을 해결하기 위해서 기업과 기관이 우선적으로 취해야 하는 조치로는 어떤 것들이 있을까요?

■ 김진환 변호사
방금 말씀드린 파기가 적절히 이루어지지 않은 이유를 거꾸로 해소하면 되지 않을까 싶습니다. 즉, 가장 우선적으로 챙겨야 할 것은 개인정보처리자 조직 내에서 개인정보에 대한 시계(視界)를 우선적으로 확보하는 것입니다. 내 눈에 보여야 삭제 여부도 결정할 수 있습니다. 개인정보에 대한 가시성 확보를 위한 최적의 방법은 전사적으로 △개인정보의 소재 △담당 부서 및 담당자 △개인정보의 수집 △이용 목적 등을 파악하는 이벤트를 진행하는 것입니다.

물론 외부 컨설팅업체의 도움으로 조직 내 이벤트를 진행하는 경우가 대부분이기는 합니다만, 자발적인 이벤트 진행도 의지의 문제이지 전혀 불가능한 것은 아닙니다. 아무런 동기나 수단 없이 무작정 진행하는 게 여의치 않다면, ‘지키다’ 서비스와 같은 개인정보 가시성 확보 솔루션의 도움을 받는 방법도 고려해 볼만 합니다.

다음으로, 개인정보를 실제로 처리하는 부서와 파기를 담당하는 부서가 서로 유기적인 관계 하에 업무를 진행할 수 있도록 조직적인 배려가 필요합니다. 이를 위해서 파기 담당 부서에서는 개인정보를 처리하는 부서에 정기적·비정기적으로 개인정보 파기에 대한 필요성과 그 대상이 되는 개인정보의 존재를 알려야 합니다. 이에 따라 개인정보처리 부서는 파기된 개인정보 현황을 정기적으로 리포트함으로써 소기의 목적을 달성할 수 있습니다. 그러나 제 경험상 목적이 달성된 개인정보를 바로 그 다음날 파기하는 식으로 조직화된 경우는 아직까지 본 적이 없습니다. 현실적인 관점에서 가장 바람직한 경우는 짧게는 일주일, 길게는 한 달 단위로 사내에 개인정보 파기 안내와 지속적인 리포트 회람이 이루어지는 정도로 생각합니다.

특히, 서비스를 제공하는 서버나 데이터베이스 단위에서는 정기적·비정기적인 파기 조치를 취하는 것이 어렵지 않으나, 업무용 PC단이나 업무용 파일서버 단계에서 개인정보 파기를 정기적으로 진행하는 것은 사실상 쉽지 않습니다. 따라서 가급적 업무용 PC나 업무용 파일서버에는 임시로 개인정보를 보관하거나 업무에 활용할 동안만 특정 폴더 내에 저장하도록 하고, 해당 폴더 내의 파일들은 정기적으로 복구되지 않는 방법으로 파기하는 방안을 참고할 필요가 있습니다.

실제 최근 개인정보 유출 때문에 수십억 원대의 과징금을 부과 받은 모 기업의 경우도 이 같은 방식을 취하지 않고 파일서버 내 개인정보가 포함된 파일들을 방만하게 저장해 둔 바람에 미처 파기하지 않고 남아 있던 개인정보가 유출된 케이스입니다.

[마무리]
□ 이소미 기자
모든 개인정보 관련 업무 처리에 있어서 보유하고 있는 개인정보에 대한 가시성 확보가 최우선인 것 같습니다. 관련해서 오늘 김진환 변호사님께서 솔루션을 제시해 주셨는데요. 기업이 현재 다루고 있는 개인정보의 종류와 목적과 소재 등 전사적인 파악이 필요하다, 그리고 개인정보 처리 담당과 파기 담당이 각각 분리돼 있다면, 서로 유기적인 업무 관계가 될 수 있도록 조직 구성이 필요하다고 정리해 주셨습니다. 또 개인정보와 관련된 전문적인 솔루션 활용을 고려해 보시는 것도 효율적인 방법이 될 수 있겠습니다.

저희 ‘개인정보 지키다’ 코너에서는 개인정보보호와 관련된 시청자분들의 궁금증들을 해결해 드리려고 합니다. 방송 보시면서 궁금한 사항이나 꼭 다뤄주었으면 하는 내용이 있으시다면 언제든 ‘bntv 소통창구’로 의견 남겨주세요.

이메일 또는 유튜브 댓글로 자유롭게 의견 남겨주시면 방송을 통해 여러분의 궁금증 시원하게 해결해 드리겠습니다. 김진환 변호사와 함께하는 개인정보보호의 모든 것 ‘개인정보 지키다!’ 저희는 다음 시간에 더욱 흥미로운 내용으로 준비해서 찾아뵙도록 하겠습니다. 시청해 주신 여러분 고맙습니다.
[이소미 기자(boan4@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>