정보폐기에 관한 법

전산시스템에서 은행·개인정보 등 모든 정보폐기에 대한 대한민국 법률적 근거를 실무 중심으로 체계적으로 정리해드립니다.

---

1. 개인정보 폐기 기본법: 「개인정보 보호법」

제21조(개인정보의 파기)

전산시스템상 모든 개인정보 폐기의 핵심 근거입니다.

폐기 의무 발생 사유:

• 보유기간 경과
• 처리목적 달성
• 가명정보 처리기간 경과
• 업무 폐지 등으로 불필요하게 된 경우

전산 파일 파기 방법 (시행령 제16조, 개인정보보호위원회 고시 제2023-6호):

• 전용 소자장비 이용 (디가우저 등 자기장 삭제 장비)
• 완전 초기화 또는 덮어쓰기 (3회 이상 권고)
• 암호화 후 키 삭제: 안전한 알고리즘으로 암호화 후 키를 무작위 값으로 덮어쓰기
• 기술적 곤란 시: 익명처리하여 복원 불가능하도록 조치

예외 규정:

• 다른 법령(신용정보법, 전자금융거래법 등)에 따라 보존해야 하는 경우 분리 저장·관리

제75조 위반 시 제재: 미파기 시 3천만원 이하 과태료

---

2. 금융정보 특별법: 「신용정보의 이용 및 보호에 관한 법률」(신용정보법)

제20조의2(개인신용정보의 보유기간 및 삭제)

은행에 가장 중요한 파기 규정으로, 개인정보보호법보다 우선 적용됩니다.

핵심 내용:

• 거래 종료 후 최장 5년 이내 파기 의무
• 3개월 이내 처리목적 달성 시 그 시점부터 3개월 내 파기
• 백업TAPE 포함: 원본·백업 모두 동일 기준 적용

제20조(업무처리기록 보존)

• 파기 실행기록은 3년간 별도 보존
  • 파기일자, 정보항목, 사유, 근거, 방법, 담당자

파기 로그 예시:

 

[2024-01-15] 고객번호 12345, 신용정보(거래내역), 
거래종료 5년 경과, 신용정보법 제20조의2, 
데이터 덮어쓰기 3회, 담당: 홍길동

---

3. 전자금융 기록: 「전자금융거래법」

제22조(전자금융거래기록의 생성·보존 및 파기)

은행 전산시스템의 전자적 기록에 직접 적용됩니다.

보존기간 (시행령 제12조):

구분	보존기간	파기시점
1만원 초과 거래승인기록	5년	보존기간 경과 및 거래종료 후 5년 이내
1만원 이하 거래기록	1년	동일
접속기록(로그)	5년	동일

파기 방법:

• 개인정보보호법 시행령 제16조 준용 (복원 불가능한 삭제)
• 신용정보법과 중복 적용 시 신용정보법 우선 (금융감독원 해석)

---

4. 정보통신 업무: 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」

제64조의2(자료 등의 보호 및 폐기)

• 과기정통부 등이 수집한 자료는 목적 달성 후 즉시 폐기
• 개인정보·영업비밀 유출 방지를 위한 보안조치 의무

---

5. 공공기관 전산기록: 「공공기록물 관리에 관한 법률」

시행령 제43조(기록물 평가 및 폐기)

• 전산기록물도 기록물평가심의회 심의를 거쳐 폐기
• 영구·준영구: 보존 / 일시: 폐기
• 공공기관용 클라우드 저장 데이터 포함

---

6. 금융감독원 가이드라인 (실무 기준)

「금융분야 개인정보보호 가이드라인」(금융위원회, 2017)

핵심 내용:

• 거래종료 후 5년 개인신용정보 파기 및 분리보관 의무화
• 필수·선택 정보 구분 동의 (신용정보법 제32조)
• 정보주체 삭제요구권 (신용정보법 제38조의3)
• 마케팅용 활용 시 별도 동의

금융감독원 검사 핵심 체크포인트:

1. 파기 주기 자동화 시스템 구축 여부
2. 백업TAPE 파기 계획 수립 및 실행 기록
3. 분리보관 시스템 접근통제 설정 (5년 경과 데이터)
4. 파기 로그 3년간 보존 여부

---

7. 전산시스템 특화 파기 방법 (실무 가이드)

하드디스크/SSD

• 완전 포맷: 3회 이상 무작위 데이터 덮어쓰기
• 디가우저: 자기장 발생 장비로 물리적 삭제 (하드디스크 전용)
• 암호화 삭제: AES-256 암호화 후 키 삭제

백업TAPE/데이터베이스

• TAPE 재사용 시: 전체 볼륨 초기화 후 3회 덮어쓰기
• DB 레코드 삭제: DELETE 후 VACUUM 또는 shredding 실행
• 클라우드 백업: CSP(클라우드 서비스 제공자) 파기 인증서 확보

가명정보

• 가명처리: 추가정보 없이 재식별 불가능하도록 조치
• 별도 DB 분리: 원본과 물리적/논리적 분리 저장
• 파기 시: 가명정보 처리기간 경과 시 원본·추가정보 동시 파기

---

8. 실무 적용 체크리스트 (은행 전산부서용)

1단계: 정보 분류

• [ ] 개인신용정보인가? (신용정보법 적용)
• [ ] 전자금융거래기록인가? (전자금융거래법 적용)
• [ ] 공공기관 데이터인가? (공공기록물 관리법 적용)

2단계: 보존기간 산정

• [ ] 거래 종료일 확인 (시스템 기준 일자)
• [ ] 최근 거래일 기준 5년 경과 여부 확인
• [ ] 법정 보존기간과 비교 (전자금융거래법 1년/5년)

3단계: 파기 실행

• [ ] 자동 스크립트 작성 (5년 경과 데이터 검색→파기)
• [ ] 백업 데이터 포함 여부 확인
• [ ] 데이터 덮어쓰기 3회 이상 실행 로그 남김
• [ ] 파기 확인서 (Destruction Certificate) 발급

4단계: 기록 보존

• [ ] 파기 로그를 별도 DB에 3년간 보존 (신용정보법 제20조)
• [ ] 내부 감사용 증빙자료 출력 보관

---

9. 주의사항 및 법적 리스크

주의사항

1. 백업TAPE 폐기: 주기적으로 TAPE 재활용 시 파기 절차 반드시 문서화
2. 5년 경과 데이터 분리: 생산 시스템에서 물리적 분리 (별도 서버 또는 암호화된 볼륨)
3. 삭제요구권 대응: 고객 요청 시 법적 검토 (신용정보는 거절 가능 사유 명확히)
4. 가명정보 혼동 주의: 가명정보 처리기간 경과 시 원본+추가정보 동시 파기

위반 시 제재

법령	위반	내용 제재
개인정보보호법	미파기, 불완전 파기	3천만원 이하 과태료
신용정보법	보유기간 위반, 미기록	과태료 및 형사처벌
전자금융거래법	기록 보존·파기 위반	과태료

---

10. 결론 및 실무 권고사항

은행 전산시스템에서의 정보폐기 순서:

1. 신용정보법이 가장 엄격 → 5년 파기 의무 우선 적용
2. 전자금융거래법으로 전자기록 보존기간 확인
3. 개인정보보호법으로 파기 방법 및 절차 준수
4. 금융감독원 가이드라인에 따라 내부지침 수립
5. 자동화 스크립트 구축으로 인위적 오류 방지
6. 파기 로그 3년 보존으로 감사 대비

권고: 금융회사는 ILM(Information Lifecycle Management) 솔루션 도입을 검토하여 자동 파기 프로세스를 구축하고, 법무·컴플라이언스·전산부서가 협업하여 분기별 파기 실태 점검을 실시해야 합니다.