현장에서 곧바로 끝내는 차량 분쇄, 트럭이 서버실 앞에 멈춰 서는 이유

트럭 한 대가 서버실 앞에 멈춰 섭니다. 리프트가 하드디스크를 담은 박스를 통째로 들어 올려 투입구에 밀어 넣으면, 금속 하우징과 기판이 순식간에 잘려 나가고 몇 초 지나지 않아 손바닥만 한 파편이 쏟아집니다. 저장매체가 사업장 부지를 벗어나기 전에 파기가 끝나는 구조입니다. 언뜻 보면 편의를 위한 서비스처럼 보이지만, 실제로 이 방식이 해결하는 것은 편의가 아니라 책임의 문제입니다. 파기를 어디에서 수행하느냐에 따라 개인정보처리자가 감당해야 할 위험의 크기가 달라지기 때문입니다.

많은 조직이 저장매체 파기를 '언젠가 처리해야 할 일'로 인식하고, 불용 처리된 하드디스크와 백업 테이프를 창고나 전산실 한쪽에 모아 둡니다. 그러다 일정 수량이 쌓이면 업체를 불러 한 번에 실어 보냅니다. 이 흐름에서 가장 주목받지 못하는 지점이 바로 매체가 트럭에 실려 사업장을 떠난 시점부터 실제로 파기가 완료되는 시점까지의 구간입니다. 이 구간은 서류상으로는 이미 '파기 처리 중'이지만, 실제로는 데이터가 온전히 살아 있는 상태로 조직의 물리적 통제 밖에 놓여 있는 시간입니다.

 파기는 사건이 아니라 구간입니다

파기를 하나의 사건으로 이해하면 이 구간이 보이지 않습니다. 파기 확인서에 적힌 날짜 하나만 남고, 그 앞뒤의 시간은 관리 대상에서 빠집니다. 그러나 실무의 관점에서 파기는 매체를 반출하는 순간에 시작되어 복구 불가능한 상태가 확인되는 순간에 끝나는 하나의 구간입니다. 그리고 위험은 구간의 길이에 비례해 커집니다. 차량 이동 시간, 중간 집하장 대기 시간, 처리 순번을 기다리는 적재 시간이 모두 여기에 포함됩니다.

법령 역시 이 구간을 별도의 관리 대상으로 다루고 있습니다. 개인정보의 안전성 확보조치 기준은 개인정보가 포함된 보조저장매체를 잠금장치가 있는 안전한 장소에 보관하도록 정하고, 나아가 해당 매체의 반출·입 통제를 위한 보안대책을 마련하도록 요구합니다(제10조 2항, 제10조 3항). 즉 매체가 건물 밖으로 나가는 행위 자체가 이미 규율 대상입니다. 파기를 목적으로 반출한다고 해서 이 의무가 면제되는 것은 아닙니다. 오히려 파기 대상 매체는 조직 내에서 가장 오래, 가장 많은 데이터를 담고 있던 매체인 경우가 많아 반출 통제의 중요성이 더 큽니다.

이 구간이 특히 다루기 까다로운 이유는 통제 주체가 불분명해지기 때문입니다. 매체가 사업장 안에 있을 때는 출입통제와 보관 절차라는 명확한 관리 체계가 작동하지만, 트럭에 실린 이후에는 위탁 업체의 내부 절차에 의존하게 됩니다. 게다가 이송과 파기가 서로 다른 주체에 의해 수행되는 구조라면 상황은 더 복잡해집니다. 개인정보 보호법은 수탁자가 위탁받은 처리 업무를 제3자에게 다시 위탁하려는 경우 위탁자의 동의를 받도록 정하고 있으나(제26조 6항), 실무에서는 운송이나 중간 보관이 별도의 협력사를 통해 이루어지고 있다는 사실 자체를 위탁자가 인지하지 못하는 경우가 적지 않습니다. 계약 상대방과 실제로 매체를 다루는 주체가 다를 수 있다는 점은 반드시 확인해야 할 사항입니다.

현장에서 곧바로 분쇄가 이루어지면 이 구간의 성격이 근본적으로 달라집니다. 반출되는 것은 데이터가 담긴 저장매체가 아니라 이미 복구 불가능한 상태가 된 파편이기 때문입니다. 이동 중 분실이나 도난이라는 위험 시나리오 자체가 성립하지 않게 되는 셈입니다. 이는 통제를 강화하는 접근이 아니라 통제가 필요한 구간을 없애는 접근이며, 관리 부담의 총량 자체를 줄이는 방식이라는 점에서 성격이 다릅니다.

통제 공백에서 실제로 벌어진 일

이 구간이 방치되었을 때 어떤 결과로 이어지는지를 보여 주는 대표적인 사례가 해외에 있습니다. 미국의 한 대형 투자은행은 데이터센터 두 곳을 정리하면서 데이터 파기 경험이 없는 이사·보관 전문 업체에 수천 대의 하드디스크와 서버 처리를 맡겼고, 그 과정을 제대로 감독하지 않았습니다. 해당 업체는 장비를 제3자에게 매각했고, 일부는 암호화되지 않은 고객 정보가 남은 상태로 온라인 경매 사이트에서 거래됐습니다. 회수된 것은 극히 일부에 그쳤습니다.

이 사건에서 은행이 감독당국으로부터 지적받은 내용은 파기 기술이 부족했다는 것이 아니라, 위탁 업체 선정과 수행 과정에 대한 관리·감독이 이루어지지 않았다는 것이었습니다. 매체가 건물을 떠난 뒤 무슨 일이 벌어졌는지를 아무도 확인하지 않았고, 확인하지 않은 상태로 시간이 흘렀습니다. 감독당국의 제재금과 별도로 집단소송 합의금까지 더해지면서 최종 부담은 처음 절감하려 했던 비용과는 비교할 수 없는 규모가 되었습니다.

주목할 부분은 이 사건에서 데이터가 유출된 지점이 시스템도, 네트워크도 아니었다는 사실입니다. 매체는 정상적으로 반출되었고, 서류상 절차도 존재했습니다. 무너진 것은 매체가 통제 밖에 있던 구간을 아무도 들여다보지 않았다는 점 하나였습니다. 국내 환경에서도 구조는 다르지 않습니다. 반출은 했는데 파기 완료 시점을 특정할 수 없고, 그 사이에 매체가 어디에 어떤 상태로 있었는지 설명할 수 없다면, 사고가 발생했을 때 조직이 내놓을 수 있는 자료가 사실상 없습니다.



위탁 계약서가 책임을 옮겨 주지는 않습니다

데이터 파기를 외부 업체에 맡기는 것은 개인정보 보호법상 개인정보 처리 업무의 위탁에 해당합니다. 그리고 이 법은 위탁자에게 수탁자를 교육하고 처리 현황을 점검하는 등 수탁자가 개인정보를 안전하게 처리하는지를 감독할 의무를 명시적으로 부여하고 있습니다(제26조 4항). 나아가 수탁자가 위탁 업무와 관련해 법을 위반하여 손해배상책임이 발생한 경우, 수탁자를 개인정보처리자의 소속 직원으로 본다고 규정합니다(제26조 7항). 계약서에 서명하는 것으로 책임이 이전되지 않는다는 뜻입니다.

문제는 감독 의무를 실제로 어떻게 이행하느냐입니다. 매체를 실어 보낸 뒤 며칠이 지나 파기 확인서를 받아 보는 구조에서, 위탁자가 확인할 수 있는 것은 문서 한 장뿐입니다. 그 문서가 실제 파기 결과를 정확히 반영하는지, 반출된 수량과 파기된 수량이 일치하는지, 중간에 누락된 매체가 없는지를 검증할 수단이 사실상 없습니다. 이 상태에서 감독 의무를 이행했다고 설명하기는 어렵습니다.

현장 파기는 이 문제의 성격을 바꿉니다. 감독의 방식이 사후 서류 검증에서 실시간 입회 확인으로 이동하기 때문입니다. 담당자가 투입 수량을 직접 확인하고, 파쇄 과정을 눈으로 지켜보고, 완료 시점에 서명하는 절차는 그 자체로 감독 의무 이행의 증적이 됩니다. 별도의 점검 계획을 세우고 실사를 나가는 것보다 훨씬 자연스럽고 확실한 방식입니다. 파기 업무만큼은 위탁했더라도 위탁자가 전 과정을 직접 목격할 수 있는 몇 안 되는 영역이라는 점을 활용하는 것입니다.

현장 분쇄가 성립하기 위한 조건들

다만 현장 파기가 실제로 가능하려면 장비가 갖춰야 할 조건이 적지 않습니다. 데이터센터, 연구소, 금융기관 전산실처럼 현장 파기의 필요성이 가장 큰 장소는 동시에 외부 장비 반입에 가장 민감한 장소이기도 합니다. 전원 계통에 부하를 주어서는 안 되고, 분진이 공조 설비로 유입되어서도 안 되며, 소음이 인접 업무 공간에 영향을 주어서도 곤란합니다.

이 때문에 차량 탑재형 분쇄 설비는 자체 발전기를 갖춰 외부 전원 없이 독립적으로 가동될 수 있어야 하고, 투입에서 배출까지의 전 과정이 차체 내부에서 이루어져 분진과 소음이 밖으로 새어 나가지 않도록 설계되어야 합니다. 파쇄 결과물 역시 개방된 상태로 쌓이는 것이 아니라 밀폐 적재함에 압축·적재되어 봉인된 상태로 관리되어야 합니다. 이 조건들이 충족되지 않으면 현장 파기는 이론상으로만 가능하고, 실제로는 시설 관리 부서의 반입 승인 단계에서 막히게 됩니다.

운영 측면에서도 검토할 부분이 있습니다. 보안구역에 외부 차량과 인력이 진입하는 절차, 작업 시간대 조정, 매체 반출 대장과 실제 투입 수량의 대조 방식은 사전에 정리되어야 작업이 매끄럽게 진행됩니다. 특히 수량 대조는 형식적인 절차로 다루기 쉽지만 실제로는 가장 중요한 통제 지점입니다. 자산 대장에 등록된 수량, 전산실에서 실제로 회수된 수량, 투입구에 들어간 수량이 모두 일치해야 비로소 누락 없이 파기되었다고 말할 수 있기 때문입니다. 세 숫자 가운데 하나라도 어긋난다면 어딘가에 매체가 남아 있다는 뜻이며, 이는 파기 작업이 끝난 뒤에 확인하는 것보다 현장에서 즉시 확인하는 편이 훨씬 수월합니다.

증적 확보 장치도 마찬가지입니다. 투입구와 파쇄부, 배출부를 각각 비추는 다채널 카메라가 실시간으로 화면에 표시되면, 담당자는 차체 안을 들여다보지 않고도 파쇄가 실제로 완료되었는지를 확인할 수 있습니다. 이 영상 기록은 이후 감사나 사고 대응 상황에서 파기 사실을 입증하는 자료로 활용됩니다. 파기 확인서가 결과만 보여 준다면, 영상 기록은 과정을 보여 줍니다. 감사 대응에서 실제로 요구되는 것은 대부분 후자입니다.

칼날의 문제: 종이용 장비와 저장매체용 장비는 다릅니다

현장 파기를 검토하는 단계에서 가장 흔히 간과되는 부분이 장비의 사양입니다. 이동식 파쇄 차량이라는 외형은 비슷해 보여도, 문서 파쇄를 주된 목적으로 설계된 장비와 저장매체 파쇄를 목적으로 설계된 장비는 칼날 강도와 모터 토크에서 근본적으로 다릅니다. 종이는 인장 강도가 낮고 두께가 얇지만, 서버용 하드디스크는 두꺼운 금속 하우징과 강성이 높은 플래터를 가지고 있습니다. 최근 대용량 제품에 널리 쓰이는 헬륨 충전 구조는 기밀 유지를 위해 하우징이 더 견고하게 밀봉되어 있고, 서버용 SSD 중에는 표면 처리와 방열 구조 때문에 일반 소비자용 제품보다 훨씬 단단한 것들이 있습니다.

설계 목표가 다른 장비에 이런 매체를 투입하면, 완전히 절단되지 못한 채 중간에 멈추거나 형태만 변형된 상태로 배출되는 상황이 발생할 수 있습니다. 이 결과는 단순한 작업 실패로 끝나지 않습니다. 파쇄가 이루어졌다는 기록은 남았는데 실제로는 데이터 영역이 온전히 보존된 조각이 남아 있는 상태가 되기 때문입니다. 확인서가 발급되었기 때문에 아무도 다시 들여다보지 않고, 그 조각은 파기가 완료된 것으로 간주되어 관리 대상에서 빠집니다. 불완전한 파기가 파기하지 않은 것보다 위험할 수 있다고 말하는 이유가 여기에 있습니다.

그래서 파기 업체를 검토할 때는 이동식 차량을 운영하는지 여부보다 그 차량이 어떤 매체를 처리하도록 설계되었는지를 먼저 확인하는 편이 정확합니다. 문서 파쇄와 저장매체 파쇄를 같은 장비로 겸하는 구성인지, 서버용 대용량 하드디스크와 서버용 SSD를 실제로 처리한 이력이 있는지, 파쇄 결과물의 크기가 어느 수준으로 나오는지를 질문해 볼 수 있습니다. 이 질문들은 기술적으로 들리지만 실제로는 매우 실무적인 확인 절차입니다. 답변이 구체적으로 돌아오지 않는다면, 파기 결과의 균질성을 담보하기 어렵다고 판단할 근거가 됩니다.

저장매체 전용으로 설계된 커터는 시간당 수백 대 규모의 서버용 하드디스크를 연속 처리할 수 있는 수준의 토크와 내구성을 갖추고 있습니다. 처리 속도 자체가 목적은 아니지만, 대량의 매체를 중단 없이 일정한 품질로 파쇄할 수 있다는 것은 곧 마지막 한 대까지 동일한 강도로 처리된다는 의미이기도 합니다. 장비 선정 단계에서 처리 능력과 대상 매체 사양을 함께 확인해야 하는 이유입니다.

매체 종류에 따라 요구되는 파쇄 수준이 다릅니다

물리적 파기를 논할 때 반드시 짚어야 할 것이 매체 유형별 차이입니다. 하드디스크와 백업 테이프처럼 자성을 이용해 데이터를 저장하는 매체는 자기 신호를 무력화하는 방식과 물리적 파괴 방식이 모두 유효합니다. 반면 SSD와 NVMe, eMMC처럼 플래시 메모리를 사용하는 매체는 데이터를 전하 형태로 저장하기 때문에 자기장을 이용한 소자 방식이 통하지 않습니다. 이 구분을 놓치면 파기했다고 믿었는데 데이터가 그대로 남아 있는 상황이 발생합니다.

물리적 파쇄에서도 차이가 있습니다. 하드디스크는 플래터가 조각나면 데이터 영역이 함께 분할되지만, 플래시 매체는 데이터가 개별 메모리 칩 안에 집적되어 있어 칩이 온전한 형태로 남으면 이론적으로 접근 가능성이 남습니다. 그래서 플래시 매체를 물리적으로 파기할 때는 자성 매체보다 더 미세한 수준의 파쇄가 요구된다는 것이 국제적으로 통용되는 인식입니다. 참고로 미국 국립표준기술연구소가 2025년 9월 개정 발간한 저장매체 정화 지침은 특정 밀리미터 단위 파쇄 규격을 일률적으로 규정하지 않고, 선택한 방식이 해당 저장 기술과 위험 수준에 대해 유효한지를 조직이 검증하도록 하는 접근을 취하고 있습니다. 매체별 판단이 필요하다는 뜻입니다.

백업 테이프 역시 현장 파기를 검토할 때 함께 다루어야 할 대상입니다. 테이프는 자성 매체이므로 소자가 유효하지만, 보관 위치가 전산실이 아닌 별도의 보관 시설인 경우가 많아 파기 대상 목록에서 누락되기 쉽습니다. 카트리지 한 개에 담긴 데이터 용량이 크고 보존 기간이 길게 설정되어 있는 경우가 많다는 점을 고려하면, 하드디스크보다 오히려 우선순위가 높은 매체일 수 있습니다. 차량이 현장에 도착했을 때 처리 대상에 테이프가 포함되어 있는지, 그리고 해당 차량이 카트리지 형태를 처리할 수 있는 구성인지를 사전에 확인해 두는 것이 좋습니다.

국내 법령의 기준도 이 판단을 뒷받침합니다. 개인정보 보호법은 파기 시 복구 또는 재생되지 아니하도록 조치할 것을 요구하고(제21조 2항), 시행령은 전자적 파일 형태인 경우 복원이 불가능한 방법으로 영구 삭제하도록 정합니다(제16조 1항). 안전성 확보조치 기준은 완전파괴, 전용 소자장비를 이용한 삭제, 복원되지 않는 초기화 또는 덮어쓰기를 파기 방법으로 열거합니다(제13조 1항). 요구되는 것은 특정 장비의 사용이 아니라 복구 불가능이라는 결과이며, 그 결과를 달성하는 방법은 매체 유형에 따라 달라져야 한다는 것이 이 조문들이 함께 가리키는 지점입니다.

파기 업무에서 마지막까지 남는 과제는 증적입니다. 개인정보 보호법은 복구 또는 재생되지 아니하도록 조치할 것을 요구하지만, 조치했다는 사실을 어떻게 입증할 것인지는 조직의 몫으로 남습니다. 사고가 발생하거나 감사를 받는 상황에서 조직이 제출해야 하는 것은 파기했다는 주장이 아니라 파기 과정을 재구성할 수 있는 자료입니다.

여기서 자주 발생하는 오해가 파기 확인서를 증적의 전부로 여기는 것입니다. 확인서는 결과를 선언하는 문서이지 과정을 증명하는 문서가 아닙니다. 확인서에 몇 대를 파기했다고 적혀 있더라도, 그 수량이 어떤 근거로 산정되었는지, 개별 매체의 일련번호가 어떻게 대조되었는지가 함께 남아 있지 않으면 검증 가능한 자료라고 보기 어렵습니다. 감사에서 문제가 되는 지점도 대개 확인서의 유무가 아니라, 확인서에 적힌 숫자를 뒷받침할 자료가 있는지 여부입니다.

현장 파기 방식은 이 자료를 자연스럽게 만들어 냅니다. 반출 전 매체 목록과 일련번호, 투입 과정의 영상 기록, 담당자 입회 서명, 완료 시각이 하나의 시간축 위에 놓이기 때문입니다. 매체를 실어 보낸 뒤 며칠 후 확인서를 받는 구조에서는 이 시간축에 공백이 생기지만, 현장에서 완결되는 구조에서는 공백이 생길 여지가 줄어듭니다. 감사 대응에서 방어력의 차이를 만드는 것은 대개 문서의 형식이 아니라 이 시간축의 연속성입니다.

알테크코리아가 맡는 자리

알테크코리아는 데이터 라이프사이클의 마지막 단계, 즉 저장매체를 복구 불가능한 상태로 만들고 그 결과를 증적으로 남기는 영역에 집중해 온 기업입니다. 자성 매체에 대해서는 디가우징으로 자기 정보를 무력화하고, 천공과 분쇄를 통해 물리적 형태까지 파괴합니다. 소자가 유효하지 않은 플래시 매체에 대해서는 블랑코(Blancco) 공식 파트너로서 인증 기반 영구삭제를 제공해, 매체를 재사용해야 하는 상황에서도 복구 불가능이라는 요건과 검증 가능한 증적을 동시에 확보할 수 있도록 지원합니다. DieHDD™ 브랜드는 디가우징, 유압천공, 분쇄파기, 소각파기의 네 가지 파기 방식을 갖추고 있어 매체 유형과 보안 요구 수준에 맞춘 조합이 가능합니다.

파기를 미루는 관행과 매체를 멀리 보내는 관행은 모두 같은 전제 위에 서 있습니다. 아직 아무 일도 일어나지 않았으니 괜찮다는 전제입니다. 그러나 규제와 감사가 확인하는 것은 사고 발생 여부가 아니라 통제가 유지되었는지 여부입니다. 저장매체가 통제 밖에 머무는 시간을 얼마나 짧게 만들 수 있는지, 그리고 그 짧아진 시간을 어떤 기록으로 남길 수 있는지가 결국 조직의 대응력을 결정합니다. 알테크코리아는 그 시간을 현장에서 끝내는 방식으로 함께 줄여 나가겠습니다.

법령 원문

개인정보 보호법 제21조 2항 : 개인정보처리자가 제1항에 따라 개인정보를 파기할 때에는 복구 또는 재생되지 아니하도록 조치하여야 한다.

개인정보 보호법 제26조 4항 : 위탁자는 업무 위탁으로 인하여 정보주체의 개인정보가 분실·도난·유출·위조·변조 또는 훼손되지 아니하도록 수탁자를 교육하고, 처리 현황 점검 등 대통령령으로 정하는 바에 따라 수탁자가 개인정보를 안전하게 처리하는지를 감독하여야 한다.

개인정보 보호법 제26조 7항 : 수탁자가 위탁받은 업무와 관련하여 개인정보를 처리하는 과정에서 이 법을 위반하여 발생한 손해배상책임에 대하여는 수탁자를 개인정보처리자의 소속 직원으로 본다.

개인정보 보호법 시행령 제16조 1항 : 개인정보처리자는 법 제21조에 따라 개인정보를 파기할 때에는 다음 각 호의 구분에 따른 방법으로 해야 한다. 1. 전자적 파일 형태인 경우: 복원이 불가능한 방법으로 영구 삭제. 다만, 기술적 특성으로 영구 삭제가 현저히 곤란한 경우에는 법 제58조의2에 해당하는 정보로 처리하여 복원이 불가능하도록 조치해야 한다. 2. 제1호 외의 기록물, 인쇄물, 서면, 그 밖의 기록매체인 경우: 파쇄 또는 소각

개인정보의 안전성 확보조치 기준 제10조 2항 : 개인정보처리자는 개인정보가 포함된 서류, 보조저장매체 등을 잠금장치가 있는 안전한 장소에 보관하여야 한다.

개인정보의 안전성 확보조치 기준 제10조 3항 : 개인정보처리자는 개인정보가 포함된 보조저장매체의 반출·입 통제를 위한 보안대책을 마련하여야 한다. 다만, 별도의 개인정보처리시스템을 운영하지 아니하고 업무용 컴퓨터 또는 모바일 기기를 이용하여 개인정보를 처리하는 경우에는 이를 적용하지 아니할 수 있다.

개인정보의 안전성 확보조치 기준 제13조 1항 : 개인정보처리자는 개인정보를 파기할 경우 다음 각 호 중 어느 하나의 조치를 하여야 한다. 1. 완전파괴(소각·파쇄 등) 2. 전용 소자장비(자기장을 이용해 저장장치의 데이터를 삭제하는 장비)를 이용하여 삭제 3. 데이터가 복원되지 않도록 초기화 또는 덮어쓰기 수행