법령해석 사례 #15 공공기관이 가진 서류에 개인정보가 있을 때, 개보법을 따를지 기록물관리법을 따를지

논쟁 : 공공기관의 기록물은 공공기록물관리법 시행령의 [별표 1]에 규정된 기록물의 보존 기간별 책정 기준을 따라야 하는데, 해당 공공기록물에 개인정보가 포함되어 있는 경우 개인정보 파기 시 「공공기록물관리법」과 「개인정보 보호법」과의 관계는 어떻게 되는지

 

공공기관이 보유한 기록물 중 개인정보가 포함된 자료의 파기 시점을 결정할 때, 개인정보보호법상의 '목적 달성 시 지체 없이 파기' 원칙과 공공기록물관리법 시행령상의 '보존 기간별 책정 기준'이 서로 충돌하는 상황이 발생한다. 실무적으로 공공기관 담당자들은 개인정보보호법 제21조를 우선 적용하여 정보를 즉시 파기해야 하는지, 아니면 공공기록물법에 따른 보존 기간을 지켜야 하는지에 대해 법 적용의 혼선을 겪고 있다.

 

개인정보보호법은 개인정보 처리에 관한 일반법이지만, 제6조 제1항을 통해 다른 법률에 특별한 규정이 있는 경우 그 규정을 따르도록 명시하고 있다. 또한 법 제21조 제1항 단서에서도 '다른 법령에 따라 보존하여야 하는 경우'를 파기 원칙의 예외로 인정하고 있다. 이는 공공기록물로서의 역사적·행정적 가치를 보존해야 하는 특수성을 인정하여, 무분별한 개인정보 파기로 인해 공공기록물 관리 체계가 훼손되는 것을 방지하려는 의도가 담겨 있다.

 

공공기관이 처리하는 개인정보가 공공기록물관리법상 기록물에 해당한다면 개인정보보호법보다 공공기록물관리법이 우선 적용되므로, 해당 법령이 정한 보존 기간과 절차를 준수하여 관리해야 한다. 다만, 파기하지 않고 보관하는 개인정보는 개인정보보호법 제21조 제3항에 따라 다른 개인정보와 물리적 또는 논리적으로 분리하여 저장·관리해야 하며, 공공기록물법상 관리 대상에서 해제되거나 보관 필요성이 완전히 소멸한 경우에는 개인정보보호법에 따라 지체 없이 파기해야 한다.

 

결론 : 공공기관이 처리하는 개인정보가 공공기록물관리법 제3조에 따른 기록물에 해당 된다면, 동법이 정하는 절차와 방법에 따라 관리하여야 하므로 개인정보보호법 제21조 제1항의 단서조항에 해당되어, 개인정보보호법 제21조 제2항 등이 정한 파기절차에 따르지 않아도 된다. 다만, 공공기록물관리법이 정한 바에 따른 관리 대상 기록물에서 해제되거나 보관이 필요하지 않은 기록물은 개인정보보호법 제 21조에 따라 보유기간 만료 후 파기하여야 할 것이다.

 

관계 법령 : 공공기록물관리법 제3조, 제8조, 제19조, 해당 시행령 제26조 제1항, [별표 1], 개인정보보호법 제6조, 제21조, 해당 시행령 제16조, 개인정보의 안전성 확보조치 기준 제13조