보유기간이 지났거나 처리 목적을 달성하는 등 개인정보가 불필요해지면 개인정보처리자는 지체 없이 파기해야 한다(개인정보 보호법 제21조 제1항). 다만 다른 법령에 따라 보존해야 하는 경우는 예외다. 이용이 끝났다는 설명과 모든 기록을 즉시 없앨 수 있다는 결론을 나누어 확인한다.
정보가 불필요해진 이유를 살핀다
가령 특정 서비스를 위해 개인정보를 제공했는데 그 목적이 끝난 뒤에도 회사가 계속 보관한다고 하자. 설명용 가상 사례다. 어떤 정보가 무슨 목적으로 수집됐고 보유기간은 어떻게 안내됐는지 확인한다. 제21조 제1항은 보유기간 경과, 처리 목적 달성, 가명정보 처리 기간 경과 등을 불필요해진 경우로 든다. 정보마다 처리 목적과 보유 사유가 다를 수 있으므로 회원 정보와 거래 관련 기록 등을 이유 없이 하나로 묶어 판단하지 않는다.
보존 법령이 있으면 분리하여 관리한다
다른 법령에 따라 파기하지 않고 보존해야 하는 개인정보나 개인정보파일은 다른 개인정보와 분리하여 저장 · 관리해야 한다(제21조 제3항). 오래 보관하고 싶다는 회사의 사정과 법령상 보존 의무는 다르다. 어떤 법령에 따라 어느 항목을 보존해야 하는지 확인한다. 이 글은 개별 거래 기록의 보존기간을 일괄 정하지 않으며, 회사가 말한 보존 근거의 실제 적용 여부도 자료를 보고 따로 살펴야 한다.
화면에서 안 보이는 것과 파기는 다르다
제21조 제2항은 개인정보를 파기할 때 복구 또는 재생되지 않도록 조치하게 한다. 화면에서 정보가 보이지 않는다는 사실만으로 실제 파기를 단정하지 않는다. 제36조의 정정 · 삭제 요구와 구별해, 이 글은 정보가 불필요해졌을 때 처리자에게 생기는 파기 의무를 다룬다. 수집 당시 안내와 보유기간, 처리 목적이 끝났음을 보여 주는 경과, 회사의 보관 사유와 회신을 모아 본다. 파기 대상과 법정 보존 대상을 나누어 질문해야 실제 조치를 확인하기 쉽다. 구체적인 파기방법과 절차는 대통령령을 함께 확인할 사항이다.
