TL;DR
- 법인 PC 및 서버를 불용 처리할 때는 개인정보보호법에 따라 데이터를 복구 불가능하게 파기하고, 이를 증빙하는 서류를 보관해야 합니다.
- 데이터 파기 증명서에는 파기 일시, 대상 장비의 시리얼 번호, 파기 방식, 담당자 서명, 파기 전후 사진이 반드시 포함되어야 합니다.
- 매각 및 폐기 시 전문 업체의 입회 하 파쇄 또는 소자(디가우징) 처리를 거쳐 증빙을 확보하는 것이 법적 리스크를 줄이는 핵심입니다.
핵심 개념
법인 PC를 매각하거나 폐기할 때는 데이터를 삭제하는 작업 자체보다, 그 파기 사실을 입증할 수 있는 '데이터 파기 증명서(파기 확인서)'를 확보하는 것이 중요합니다. 외부 감사나 법적 분쟁이 발생했을 때 개인정보를 적법하게 파기했음을 증명할 서류가 없으면, 삭제 여부와 무관하게 관리 책임을 지적받을 수 있습니다.
개인정보보호법 제21조 및 동법 시행령 제16조에 따르면, 보유 기간이 경과하거나 처리 목적이 달성된 개인정보는 지체 없이 파기해야 합니다. 저장매체를 재활용하거나 외부에 매각할 때는 복구할 수 없는 기술적 방법(덮어쓰기, Secure Erase, 물리적 파쇄 등)을 적용해야 합니다.
단계별 실행 가이드
- 불용 자산 이력 작성: 불용 처리할 PC, 노트북, 서버 및 내부 HDD/SSD의 고유 자산 번호와 시리얼 번호(S/N)를 리스트업합니다.
- 파기 방식 결정: 자산 재사용(매각) 여부에 따라 소프트웨어적 완전 삭제(DoD 5220.22-M, NIST SP 800-88 R1, NVMe/SATA Secure Erase) 또는 물리적 파쇄(천공, 디가우징, 쇄석)를 선택합니다.
- 작업 및 입회: 사내 담당자 입회 하에 파기 작업을 진행하거나, 전문 업체 방문 처리 시 작업 과정을 참관하고 기록합니다.
- 증빙 문서 수령 및 검증: 발급받은 데이터 파기 증명서에 필수 항목이 누락되지 않았는지 확인한 뒤, 관련 사진·영상 자료와 함께 사내 보안 문서로 보관합니다.
비교/체크리스트
데이터 파기 증명서 필수 기재 항목 체크리스트
| 구분 | 필수 포함 항목 | 검증 포인트 |
|---|---|---|
| 기본 정보 | 파기 일시, 파기 장소, 신청 부서 및 담당자 | 작업 시점이 정확히 기록되었는가 |
| 대상 장비 정보 | 기기 종류, 모델명, 자산 번호, HDD/SSD 시리얼 번호 | 장비 본체 및 드라이브 S/N가 일치하는가 |
| 파기 방법 | 물리적 파쇄, 디가우징, 소프트웨어 완전 삭제 규격 등 | 적용된 알고리즘 또는 파쇄 기기가 명시되었는가 |
| 증빙 자료 | 파기 전/후 사진, 시리얼 번호 촬영본, 파쇄 조각 사진 | 이미지로 시리얼 번호 식별이 가능한가 |
| 확인 및 서명 | 작업자 서명, 사내 보안/IT 담당자 승인 서명 | 문서 내 책임 소재가 명확히 서명되어 있는가 |
실무 사례 또는 예시
소프트웨어 개발 회사 A사는 사용 연한이 지난 노트북 50대를 중고 매각하면서 윈도우 기본 포맷만 진행한 채 처리했습니다. 이후 외부 감사 과정에서 개인정보 및 소스코드 유출 가능성에 대한 지적을 받았습니다.
반면, 자산 관리 절차를 정립한 B사는 전문 매입 업체를 통해 저장장치 시리얼 번호 매칭 작업을 거친 뒤, NIST SP 800-88 규격 기반 삭제와 드라이브 파쇄 작업을 입회 하에 진행했습니다. 작업 완료 직후 시리얼 번호와 작업 전후 사진이 첨부된 데이터 파기 증명서를 발급받아 감사에 대비했습니다.
자주 묻는 질문(FAQ)
Q1. SSD도 하드디스크(HDD)처럼 디가우징으로 데이터를 지울 수 있나요?
아니오, SSD는 자기장이 아닌 플래시 메모리에 데이터를 저장하므로 디가우징(강한 자기장 노출) 방식으로는 데이터가 지워지지 않습니다. SSD는 NVMe/SATA Secure Erase 방식의 완전 삭제를 적용하거나, 물리적으로 완전히 으깨는 쇄석·파쇄 방식을 사용해야 합니다.
Q2. 데이터 파기 증명서는 얼마 동안 보관해야 하나요?
관련 규정 및 내부 감사 지침에 따라 차이가 있으나, 자산 폐기 이력과 개인정보 파기 사실을 입증하기 위해 최소 3년 이상 증빙 서류(사진 및 확인서)를 보관하는 것을 권장합니다.
용어 설명
- NIST SP 800-88 R1: 미국 표준기술연구소(NIST)에서 제정한 미디어 Sanitization(위생화/완전파기) 가이드라인으로, SSD 및 HDD 파기 처리의 대표적 국제 표준입니다.
- 디가우징(Degaussing): 강력한 자성체를 이용해 자기 저장매체(HDD, 테이프 등)의 자성을 제거하여 데이터를 영구 불능 상태로 만드는 기술입니다.
- Secure Erase: SSD 컨트롤러 차원에서 내부 저장 셀 전체를 초기 상태로 리셋하는 완전 삭제 기술입니다.
마무리
법인 PC와 서버의 불용 처리는 단순한 중고 매각이나 폐기물 처리 절차가 아니라, 기업의 데이터 보안을 마무리하는 마지막 단계입니다. 규정에 맞는 파기 절차와 증명서 확보를 통해 법적 리스크를 예방하세요.
데이터 정리가 끝났다면 이제 가치를 확인할 차례입니다. 무료 견적 받기