TL;DR
개인정보보호법 실사에 대응하려면 PC 처분 시 데이터 삭제만으로는 부족하며, 복구 불가능한 파기 증빙과 이력 관리 체계가 필요합니다. 개인정보가 저장됐던 매체는 NIST SP 800-88 등 표준에 맞춰 영구 삭제하거나 물리 파기하고, 파기 확인서와 삭제 로그를 발급받아야 합니다. 관련 서류는 사내 규정과 ISMS-P 인증 기준에 따라 최소 3년간 보존하는 것이 안전하며, PC 본체 시리얼 번호와 저장장치 S/N을 1:1로 매칭한 증빙 체계를 구축해야 합니다.
개인정보보호법상 PC 파기 및 기록 보존 요건
개인정보보호법 제21조(개인정보의 파기) 및 동법 시행령 제16조에 따라, 개인정보의 보유 기간이 경과하거나 처리 목적이 달성된 경우 지체 없이 해당 개인정보를 복구·재생할 수 없는 형태로 파기해야 합니다. PC, 노트북, 서버 등 전산 자산을 교체하거나 매각·폐기할 때는 내부 저장장치(HDD, SSD)에 남아 있는 개인정보 처리 여부가 감사의 핵심 확인 대상이 됩니다.
개인정보보호위원회 및 한국인터넷진흥원(KISA)의 개인정보 파기 관련 가이드라인에 따르면, 파기 조치 후에는 파기 집행에 관한 기록을 작성·관리해야 합니다. 실무에서는 개인정보 파기 관리대장, 파기 확인서, 외부 전문업체의 수거·처리 증명서를 ISMS-P 인증 심사나 실사 대응을 위해 최소 3년간 보관하는 것이 일반적인 기준입니다. 구체적인 보존 기한은 관련 법령, 사내 개인정보 처리방침, 내부 감사 규정에 따라 달라질 수 있으므로 정기적인 사전 점검이 필요합니다.
실사 대비 PC 처분 증빙 문서 관리 절차
실사에서 증빙의 유효성을 인정받으려면 불용 처리 결정 단계부터 최종 파기 및 정산까지 일관된 이력 관리가 이뤄져야 합니다.
- 자산 실사 및 대상 식별: 처분 대상 PC 본체의 S/N(Serial Number)과 탑재된 HDD/SSD의 S/N을 전수 조사하여 대장을 작성합니다.
- 파기 방식 확정: 매각 및 리퍼비시 재활용 대상은 소프트웨어적 영구 삭제(Wiping)를 적용하고, 고장 자산이나 고보안 자산은 물리적 파기(천공, 디가우싱, 파쇄)를 결정합니다.
- 작업 수행 및 증빙 수집: 영구 삭제 시 NIST SP 800-88 Rev.1, DoD 5220.22-M 등 공인 알고리즘 적용 여부를 확인하고 삭제 성공 로그(Success Log)를 수집합니다. 물리 파기 시에는 작업 전후 사진과 시리얼 번호가 식별되는 채증 자료를 확보합니다.
- 개인정보 파기 확인서 작성: 파기 일시, 파기 장소, 파기 대상(S/N 포함), 파기 방법, 작업자, 개인정보 보호책임자(CPO) 결재 서명을 포함한 문서를 완성합니다.
- 통합 이력 보관: 발급된 파기 확인서, 삭제 로그, 자산 인수증, 세금계산서 등을 자산 관리 시스템 또는 보안 서류 보관함에 최소 3년간 보존합니다.
PC 파기 및 매각 방식별 증빙서류 체크리스트
| 구분 | 소프트웨어 영구 삭제 (매각·재사용) | 물리적 파기 (천공·파쇄·폐기) |
|---|---|---|
| 적용 대상 | 정상 작동 PC, 노트북, 잔존 가치가 있는 자산 | 고장 자산, 보안 등급 '상' 저장매체 |
| 필수 수집 증빙 | 개인정보 파기 확인서, 영구 삭제 로그(NIST/DoD 준수), 자산 인수증 | 개인정보 파기 확인서, 물리 파기 현장 사진·동영상, 폐기물 처리 또는 수거 확인서 |
| S/N 관리 수준 | PC 본체 S/N 및 저장장치 S/N 1:1 매칭 | 저장장치별 표기 S/N 전수 대조 |
| 감사 주요 확인점 | 덮어쓰기 알고리즘의 적정성 및 불량 섹터 존재 여부 | 파기된 매체의 물리적 재사용 불능 상태 확인 |
| 문서 보존 연한 | 최소 3년 (사내 보안 규정 및 감사 기준) | 최소 3년 (사내 보안 규정 및 감사 기준) |
실사 현장 지적 사례 및 대응 방안
실제 보안 실사나 데이터 파기 감사에서 자주 지적되는 항목과 대책은 다음과 같습니다.
- 지적 사례 1: PC 본체 자산 번호만 기재되고 저장장치 S/N이 누락된 경우
- 원인: 자산 관리 대장에 PC 관리번호만 존재해 실제 제거된 HDD/SSD와의 연관성을 입증하지 못함.
- 대응: 반출 전 단계에서 PC 본체 시리얼과 내부 저장장치 시리얼을 매핑한 작업 리스트를 작성하고, 이를 파기 증명서에 첨부합니다.
- 지적 사례 2: 외부 전문 업체의 파기 확인서에 내부 승인 절차가 생략된 경우
- 원인: 외주 업체가 발급한 문서만 보관하고, 사내 CPO 또는 담당 부서장의 기안 결재가 누락됨.
- 대응: 외주 업체의 '데이터 파기 확인서'를 첨부 문서로 하여 사내 전자결재 시스템을 통해 '개인정보 파기 완료 보고서'를 승인받고 이력을 보관합니다.
자주 묻는 질문(FAQ)
Q1. PC를 폐기하지 않고 매각할 때도 개인정보 파기 증명서가 감사 증빙으로 인정되나요?
네, 인정됩니다. NIST SP 800-88 Rev.1, DoD 5220.22-M 등 국제 표준 기술 기준에 따라 데이터가 완전히 덮어씌워졌음을 증명하는 영구 삭제 로그와 전문 삭제 증명서가 발급되었다면, 매각 대상 PC도 개인정보보호법상 안전한 파기로 인정받을 수 있습니다.
Q2. 개인정보 파기 증빙 서류는 법적으로 정확히 몇 년 동안 보관해야 하나요?
개인정보보호법에 파기 확인서의 개별 보존 연한이 별도로 명시되어 있지는 않습니다. 다만 개인정보의 안전성 확보조치 기준 및 ISMS-P 인증 심사 기준에 따라 파기 결과 기록은 최소 3년 이상 보관하는 것이 감사 대응의 일반적인 실무 기준입니다. 구체적인 보존 기준은 사내 규정 및 세무·회계 관련 법령을 함께 확인해야 합니다.
용어 설명
- NIST SP 800-88: 미국 국립표준기술연구소(NIST)가 제정한 미디어 가이던스로, 저장매체 내 데이터를 안전하게 영구 삭제(Clear, Purge, Destroy)하기 위한 기준입니다.
- ISMS-P: 개인정보보호위원회와 과학기술정보통신부가 공동 운영하는 정보보호 및 개인정보보호 관리체계 인증 제도입니다.
마무리
개인정보보호법 실사에 차질 없이 대응하려면 PC 매각·폐기 시 데이터 파기 기술뿐 아니라 자산 시리얼 매칭, 내부 결재 절차, 보존 연한 관리까지 함께 이뤄져야 합니다. 증빙 체계를 사전에 갖춰야 외부 감사나 실사에서 법적 리스크를 예방할 수 있습니다.
처분 대상 리스트가 있다면 그대로 보내 주세요. NEO PC가 법인 견적으로 답해 드립니다. 일정이 확정되지 않았어도 괜찮습니다. 무료 견적 받기로 예상 회수 가치를 먼저 확인해 보세요.