3.4.1 개인정보의 파기

1.통제 목적

개인정보의 보유기간 및 파기 관련 내부 정책을 수립하고 개인정보의 보유기간 경과, 처리목적 달성 등 파기 시점이 도달한 때에는 파기의 안전성 및 완전성이 보장될 수 있는 방법으로 지체 없이 파기하여야 한다.

 

2.주요 확인사항

• 개인정보의 보유기간 및 파기와 관련된 내부 정책을 수립하고 있는가?
• 개인정보의 처리목적이 달성되거나 보유기간이 경과한 경우 지체없이 해당 개인정보를 파기하고 있는가?
• 개인정보를 파기할 때에는 복구·재생되지 않도록 안전한 방법으로 파기하고 있는가?
• 개인정보 파기에 대한 기록을 남기고 관리하고 있는가?

 

3.결함 사례

 

1)회원탈퇴 등 목적이 달성되거나 보유기간이 경과된 경우 회원DB에서는 해당 개인정보를 파기하였으나 CRM ,DW 등 연계된 개인정보처리시스템에 복제되어 저장되어 있는 개인정보를 파기하지 않은 경우

 

2)특정 기간 동안 이벤트를 하면서 수집된 개인정보에 대해 이벤트가 종료된 이후에도 파기 기준이 수립되어 있지 않거나 파기가 이루어지고 있지 않은 경우

 

3)콜센터에서 수집되는 민원처리 관련 개인정보(상담이력, 녹취 등)를 전자상거래법을 근거로 3년간 보존하고 있으나, 3년이 경과한 후에도 파기하지 않고 보관하고 있는 경우