(개인정보보호법) 개인정보 파기하기 | 개인정보가 불필요하게 되었을 때 사례 | 다른 법령에 따라 보존하여야 하는 경우

 

파기란?

개인정보를 복원이 불가능한 방법으로 영구 삭제, 파쇄 또는 소각하는 등 복구 또는 재생되지 않도록 하는 일체의 행위를 말합니다. 개인정보의 “파기”란 보유기간의 경과, 개인정보의 처리 목적 달성 등 그 개인정보가 불필요 하게 되었을 때 지체 없이 그 개인정보를 복원이 불가능한 방법으로 영구 삭제, 파쇄 또는 소각하여 복구 또는 재생되지 아니하도록 조치하는 것을 말합니다.

개인정보보호법

제21조(개인정보의 파기) ① 개인정보처리자는 보유기간의 경과, 개인정보의 처리 목적 달성, 가명정보의 처리 기간 경과 등 그 개인정보가 불필요하게 되었을 때에는 지체 없이 그 개인정보를 파기하여야 한다. 다만, 다른 법령에 따라 보존하여야 하는 경우에는 그러하지 아니하다. <개정 2023. 3. 14.> ② 개인정보처리자가 제1항에 따라 개인정보를 파기할 때에는 복구 또는 재생되지 아니하도록 조치하여야 한다. ③ 개인정보처리자가 제1항 단서에 따라 개인정보를 파기하지 아니하고 보존하여야 하는 경우에는 해당 개인정보 또는 개인정보파일을 다른 개인정보와 분리하여서 저장ㆍ관리하여야 한다. ④ 개인정보의 파기방법 및 절차 등에 필요한 사항은 대통령령으로 정한다.

개인정보보호법 시행령

제16조(개인정보의 파기방법) ①개인정보처리자는 법 제21조에 따라 개인정보를 파기할 때에는 다음 각 호의 구분에 따른 방법으로 해야 한다. <개정 2014. 8. 6., 2022. 7. 19.> 1. 전자적 파일 형태인 경우: 복원이 불가능한 방법으로 영구 삭제. 다만, 기술적 특성으로 영구 삭제가 현저히 곤란한 경우에는 법 제58조의2에 해당하는 정보로 처리하여 복원이 불가능하도록 조치해야 한다. 2. 제1호 외의 기록물, 인쇄물, 서면, 그 밖의 기록매체인 경우: 파쇄 또는 소각 ② 제1항에 따른 개인정보의 안전한 파기에 관한 세부 사항은 보호위원회가 정하여 고시한다.

 다른 법령에 따라 보존하여야 하는 경우?

다른 법령에 따라 개인정보를 계속 보존하여야 하는 경우에는 해당 법령에 따른 기간 동안 보존하여야 합니다. 해당 개인정보를 별도의 데이터베이스(DB)로 옮기거나 보관장소를 달리하여 보존하여야 합니다.

표준 개인정보 보호지침  [시행 2011. 9. 30.] [행정안전부고시 제2011-45호, 2011. 9. 30., 제정]

제10조(개인정보 수집 출처 등 고지) ① 개인정보처리자가 정보주체 이외로부터 수집한 개인정보를 처리하는 때에는 정당한 사유가 없는 한 정보주체의 요구가 있은 날로부터 3일 이내에 법 제20조제1항 각 호의 모든 사항을 정보주체에게 알려야 한다.  ② 법 제20조제2항 각 호에 근거하여 제1항에 따른 정보주체의 요구를 거부하는 경우에는 정당한 사유가 없는 한 정보주체의 요구가 있은 날로부터 3일 이내에 그 거부의 근거와 사유를 정보주체에게 알려야 한다.   제11조(개인정보의 파기방법 및 절차) ① 개인정보처리자는 개인정보의 보유기간이 경과된 경우에는 정당한 사유가 없는 한 보유기간의 종료일로부터 5일 이내에, 개인정보의 처리 목적 달성, 해당 서비스의 폐지, 사업의 종료 등 그 개인정보가 불필요하게 되었을 때에는 정당한 사유가 없는 한 개인정보의 처리가 불필요한 것으로 인정되는 날로부터 5일 이내에 그 개인정보를 파기하여야 한다.  ② 시행령 제16조제2호의 ‘복원이 불가능한 방법’이란 사회통념상 현재의 기술수준에서 적절한 비용이 소요되는 방법을 말한다.  ③ 개인정보처리자는 개인정보의 파기에 관한 사항을 기록·관리하여야 한다.  ④ 개인정보파기의 시행 및 확인은 개인정보 보호책임자의 책임하에 수행된다.  ⑤ 개인정보 보호책임자는 개인정보 파기 시행 후 파기 결과를 확인하여야 한다.  ⑥ 개인정보처리자 중 공공기관의 개인정보파일 파기에 관하여는 제62조 및 제63조를 적용한다.

개인정보가 불필요하게 되었을 때(제1항)

 개인정보의 파기(제21조)

╶ 개인정보 처리 목적 달성, 해당 서비스 폐지, 사업 종료 등 정당한 사유가 없는 한 필요 없게 된 날로부터 근무일 기준 5일 이내 개인정보 파기(표준지침 제10조 제1항)

╶ 개인정보의 보존 필요성이 있는지는 객관적으로 판단하여야 하며 자의적으로 해석해서는 안 됨

 개인정보가 불필요하게 되었을 때 사례

․ 개인정보처리자의 폐업·청산

․ 대금 완전 변제일이나 채권 소멸시효 완성일
․ 개인정보처리자가 당초 고지하고 동의를 받았던 보유기간의 경과
․ 동의를 받거나 법령 등에서 인정된 수집·이용·제공 목적의 달성
․ 회원탈퇴, 제명, 계약관계 종료, 동의철회 등에 따른 개인정보처리의 법적 근거 소멸

구 위원회 결정 제2014-25- 29호

개인정보 파기 관련 법령 해석  구 정보통신망법 제29제1항(현 「개인정보 보호법」 제21조 제1항)에 따라 정보통신서비스 제공자등은 개인정보 수집·이용 목적을 달성한 경우, 개인정보의 보유 및 이용기간이 끝난 경우, 사업을 폐업하는 경우 등에는 해당 개인정보를 지체 없이 파기하도록 하면서, 같은 항의 단서에서 “다른 법률에 따라 개인정보를 보존하여야 하는 경우”에는 그 예외를 인정하고 있습니다. 그러나 구 정보통신망법 및 현 「개인정보 보호법」의 목적 및 취지 등을 고려할 때, 위 단서 조항의 “다른 법률”에 해당하기 위해서는 해당 법률 규정(위임 규정 포함)이 개인정보의 보존에 관하여 구체적·명시적으로 규정하고 있어야 할 것입니다.