데이터 삭제 요청권(GDPR 등)

유럽연합의 일반 개인정보 보호법(GDPR) 제17조는 '삭제할 권리(Right to erasure)' 또는 '잊힐 권리(Right to be forgotten)'라고도 불리는 데이터 삭제 요청권을 명시적으로 규정하고 있다. 이 규정은 정보주체가 자신의 개인정보 처리에 대한 통제권을 행사할 수 있도록 보장하는 핵심 권리 중 하나이다.

GDPR 제17조는 데이터 주체가 특정 조건이 충족될 경우 데이터 관리자에게 자신의 개인정보 삭제를 요구할 수 있는 권리를 부여한다. 삭제 요구가 가능한 주요 조건으로는 개인정보가 수집 또는 처리 목적에 더 이상 필요하지 않은 경우, 데이터 주체가 처리에 대한 동의를 철회한 경우, 데이터 주체가 처리에 이의를 제기하고 그 이의가 우선하는 정당한 근거가 없는 경우, 개인정보가 불법적으로 처리된 경우 등이 포함된다.

데이터 관리자는 이러한 요청을 받으면 지체 없이 조치를 취해야 하며, 삭제 조치를 취한 경우 해당 데이터를 처리하고 있던 모든 제3자에게 삭제 요청을 전달할 의무가 있다. 또한, 데이터 관리자는 공개된 개인정보를 삭제할 때 이용 가능한 기술과 구현 비용을 고려하여 합리적인 조치를 통해 삭제 사실을 알리도록 요구받는다.

그러나 이 권리는 절대적인 것이 아니며, 표현의 자유 및 정보의 자유 유지, 법적 의무 준수, 공중 보건 분야의 공익, 과학 또는 역사 연구 목적, 법적 소송의 제기·수행·방어를 위한 필요성 등 GDPR 제17조 제3항에 명시된 특정 예외 사유가 적용될 경우 데이터 관리자는 삭제 요청을 거부할 수 있다.

유럽연합의 일반 개인정보 보호법(GDPR) 제17조는 '삭제할 권리'를 명시하며, 정보주체가 요청 시 데이터 관리자가 지체 없이 개인정보를 삭제해야 할 의무를 부과한다. 이는 정보의 정확성, 처리 목적 달성, 동의 철회, 불법 처리 등 다양한 상황에서 적용된다. GDPR은 데이터 이동성 권리와 함께 강력한 통제권을 부여하는 것이 특징이다.

대한민국의 개인정보 보호법 제36조는 '개인정보의 정정·삭제 요구'를 규정한다. 정보주체는 법정 사유가 있을 때 처리정지, 삭제, 제3자 제공 금지를 요구할 수 있다. 다만, 다른 법령에서 보존 의무가 있거나 공공기관의 기록 관리 의무와 충돌할 경우 등에는 제한될 수 있다. 한국 법률은 GDPR에 비해 공공기관의 기록 관리와의 조화에 초점을 둔 측면이 있다.

미국은 GDPR과 같은 포괄적 연방 개인정보 보호법이 없으나, 캘리포니아주의 캘리포니아 소비자 프라이버시법(CCPA) 및 그 개정법인 캘리포니아 개인정보 보호법(CPRA)이 유사한 권리를 인정한다. CCPA/CPRA는 '삭제 요청권'을 규정하며, 기업은 소비자의 요청을 받고 특정 예외에 해당하지 않으면 개인정보를 삭제해야 한다. 미국의 접근법은 주별로 차이가 있으며, 소비자 보호의 관점에서 규제를 구성한다.

이처럼 다국적 법률은 모두 정보주체의 통제권 강화라는 공통 목표를 공유하지만, 그 권리의 명칭, 적용 범위, 예외 사유 및 법체계에 따른 차이를 보인다. 이는 기업이 글로벌 사업을 운영할 때 각 관할권의 법률을 별도로 준수해야 하는 복잡성을 초래한다.

데이터 주체가 자신의 개인정보 삭제를 요청하는 방법은 관련 법률에 따라 구체적으로 정해져 있다. 일반적으로 데이터 처리자인 기업이나 조직은 데이터 주체가 쉽게 권리를 행사할 수 있도록 명확하고 접근 가능한 경로를 마련해야 할 의무가 있다.

주요 요청 방법으로는 우선 해당 기관의 공식 웹사이트나 애플리케이션 내에 마련된 개인정보 관리 페이지나 고객센터를 통해 온라인 양식으로 제출하는 것이 일반적이다. 또한, 이메일이나 서면 우편, 전화 등 기관이 공개한 모든 연락 채널을 통해서도 요청이 가능하다. 요청 시에는 본인 확인을 위해 일정한 신원 확인 절차가 수반될 수 있으며, 이는 권리 남용을 방지하고 정당한 주체의 요청인지 확인하기 위함이다.

데이터 주체는 자신의 정보가 처리되고 있다고 판단되는 모든 데이터 처리자에게 요청할 수 있다. 이때 요청은 특정한 형식을 요구받지 않으며, 자유로운 형식으로 가능하다. 그러나 처리자가 요청을 명확히 식별하고 신속히 대응할 수 있도록, 관련 개인정보와 요청 사항(예: 어떤 정보의 삭제를 원하는지)을 구체적으로 기재하는 것이 효과적이다. 유럽연합의 일반 개인정보 보호법(GDPR)을 비롯한 많은 법률은 데이터 처리자에게 이러한 요청을 받은 시점부터 한 달 이내에 응답할 의무를 부과하고 있다.

데이터 처리자는 정보주체로부터 데이터 삭제 요청을 받은 경우, 이를 검토하고 적절히 응답할 법적 의무를 진다. GDPR 제12조는 이러한 요청에 대한 응답이 명확하고 투명하며 이해하기 쉬운 방식으로 이루어져야 함을 규정한다. 구체적으로, 데이터 처리자는 요청을 받은 후 지체 없이, 그리고 어떤 경우에도 1개월 이내에 조치를 취하고 그 결과를 정보주체에게 통지해야 한다. 요청이 복잡하거나 다수인 경우 응답 기간을 최대 2개월까지 연장할 수 있으나, 그 사유와 함께 1개월 이내에 정보주체에게 통지해야 한다.

응답 의무의 핵심은 요청에 대한 실질적 검토와 그에 따른 조치이다. 요청이 정당한 경우, 데이터 처리자는 해당 개인정보를 지체 없이 삭제해야 하며, 이때 데이터 처리자와 하위 처리자 모두의 데이터가 삭제 대상이 된다. 또한, 삭제된 사실을 데이터가 공유되었을 수 있는 제3자에게도 통지할 의무가 있다. 반면, 요청이 거부되는 경우도 있다. 예를 들어, 법적 의무 준수를 위해 처리해야 하거나, 공익 목적의 기록 보존, 또는 과학적·역사적 연구 목적 등 GDPR 제17조 제3항에서 명시된 예외 사유에 해당하는 경우가 이에 해당한다. 이때 데이터 처리자는 거부 사유를 정보주체에게 설명해야 한다.

데이터 처리자의 응답 절차와 관련 의무는 다음과 같이 요약할 수 있다.

이러한 응답 체계는 정보주체의 권리 실현을 보장하고, 데이터 처리자로 하여금 체계적인 개인정보 관리 체계를 구축하도록 유도하는 역할을 한다. 따라서 기업은 데이터 삭제 요청을 처리할 수 있는 내부 절차와 이를 기술적으로 지원하는 시스템을 마련하는 것이 중요하다.

데이터 삭제 요청권은 절대적인 권리가 아니며, 법률이 정한 특정한 경우에는 그 행사가 제한될 수 있다. GDPR 제17조 제3항 및 대한민국 개인정보 보호법 제36조 제2항은 데이터 처리자가 법적 의무를 준수하기 위해 개인정보를 보유해야 하는 경우, 데이터 삭제 요청을 거부할 수 있는 예외 사유를 명시하고 있다.

이러한 법적 의무 준수 예외는 주로 세무, 회계, 노동법, 소비자 보호, 금융 거래 규제 등 다양한 분야의 법령에서 데이터 보관을 의무화하는 경우에 적용된다. 예를 들어, 상법이나 부가가치세법에 따른 거래 기록 보관 의무, 전자상거래법에 따른 계약 내용 보관 의무, 또는 금융실명거래법에 따른 금융 거래 기록 보관 의무가 있다. 데이터 처리자는 이러한 법적 의무의 존속 기간 동안에는 정보주체의 삭제 요청에 응할 수 없다.

따라서 기업은 정보주체로부터 삭제 요청을 받았을 때, 해당 개인정보의 처리 목적이 법적 준수 의무와 직접적으로 연관되어 있는지를 신중히 검토해야 한다. 이 경우, 데이터 처리자는 삭제 요청을 거부하는 결정과 그 법적 근거를 정보주체에게 명시하여 통지하는 의무가 있다. 이는 정보주체의 권리와 공공의 이익 또는 법적 안정성 사이의 균형을 유지하기 위한 중요한 장치로 작동한다.

데이터 삭제 요청권은 절대적인 권리가 아니며, 공익 목적을 위한 개인정보 처리의 경우 그 행사가 제한될 수 있다. 이는 개인의 권리 보호와 사회 전체의 이익 사이의 균형을 고려한 규정이다.

공익 목적 처리의 대표적인 예로는 공중 보건, 과학적 연구, 역사적 연구, 통계 작성 등을 위한 데이터 처리가 있다. 예를 들어, 전염병 확산 방지를 위한 역학 조사나 의학 연구를 위해 수집된 익명화된 데이터는 공익적 가치가 인정되어 삭제 요청이 거부될 수 있다. 또한, 국가 기록원이나 도서관 등이 공공 기록 보존을 위해 처리하는 개인정보도 이에 해당한다.

이러한 예외는 데이터 처리의 목적과 공익성의 정도에 따라 신중하게 평가된다. 데이터 처리자는 삭제 요청을 거부할 경우, 해당 처리가 공익 목적에 부합함을 입증하고 정보주체에게 그 근거를 설명할 의무가 있다. 이는 GDPR 제17조 제3항(d)호 및 개인정보 보호법 제36조 제2항 등에 명시되어 있다.

자유로운 표현의 권리는 데이터 삭제 요청권이 적용되지 않는 중요한 예외 사유 중 하나이다. 이는 표현의 자유와 언론의 자유와 같은 기본권이 개인정보 보호권보다 우선할 수 있는 상황을 의미한다. 특히 GDPR 제17조는 삭제 요청이 "정보의 자유로운 수신 및 전달을 위한 표현의 자유 행사에 필요"한 경우에는 적용되지 않는다고 명시하고 있다.

이러한 예외는 주로 언론 매체, 학술 연구, 예술 활동 분야에서 두드러진다. 예를 들어, 보도나 논평, 예술 작품 또는 학술 출판물에서 특정 개인의 정보가 공개된 경우, 해당 개인이 삭제를 요청하더라도 공익을 위한 표현의 자유를 이유로 요청이 거부될 수 있다. 이는 역사적 기록의 보존이나 공공의 이익에 관한 논의가 제한받지 않도록 하기 위한 것이다.

다만, 표현의 자유를 근거로 삭제 요청을 거부할 때에도 일정한 제한이 따른다. 처리되는 개인정보가 과도하거나 관련성이 없으며, 정보주체의 이익이나 기본권이 표현의 자유보다 더 중요할 수 있는 경우에는 삭제 요청이 받아들여질 수도 있다. 따라서 데이터 처리자는 각 사안을 균형 있게 평가하여, 표현의 자유와 개인정보 보호권 사이의 정당한 조화를 모색해야 할 의무가 있다.

데이터 삭제 요청권에 대응하기 위해 기업은 법적 요구사항을 준수할 수 있는 포괄적인 내부 체계를 구축해야 한다. 이는 단순히 요청을 접수하고 처리하는 절차를 넘어, 개인정보 보호 책임자(DPO)의 임명, 직원 교육, 내부 정책 수립, 기술적 인프라 검토까지 포함하는 체계적인 접근이 필요하다. 특히 GDPR은 위반 시 과징금 부과 등 엄격한 제재를 규정하고 있어, 기업은 사전 예방적 조치에 중점을 둔다.

기업의 대응 체계는 일반적으로 다음 단계를 따른다. 첫째, 요청 접수 채널을 명확히 공개하고 접수된 요청을 신속히 식별하는 절차를 마련한다. 둘째, 요청자의 신원을 확인하여 불법 또는 악의적 요청을 방지한다. 셋째, 해당 요청이 법정 적용 예외 사유에 해당하는지 검토한다. 넷째, 실제 삭제 작업을 수행하고, 해당 데이터를 제3자에게 제공한 경우에는 그 제3자에게도 삭제를 지시해야 할 의무가 있다. 마지막으로, 요청자에게 조치 결과를 통지하고 모든 과정을 문서화하여 증빙 자료로 관리한다.

이를 효과적으로 운영하기 위해 많은 기업은 고객 관계 관리(CRM) 시스템이나 개인정보 관리 시스템(PIMS)을 활용하여 요청부터 처리 완료까지의 워크플로우를 자동화한다. 또한 정기적인 개인정보 영향 평가(DPIA)를 통해 데이터 처리 활동을 사전에 검토하고, 데이터 수명 주기 정책을 수립하여 불필요한 데이터를 장기 보유하지 않도록 하는 것이 중요하다. 이러한 체계적 대응은 규제 준수 차원을 넘어 소비자 신뢰를 강화하는 기반이 된다.

데이터 삭제 요청권을 이행하기 위한 기술적 구현 방안은 데이터 처리자의 시스템 설계와 운영 방식에 직접적인 영향을 미친다. 핵심은 개인정보가 저장된 모든 위치를 식별하고, 해당 데이터를 완전히 삭제하거나 비식별화하는 것이다. 이를 위해 기업은 데이터 흐름을 정확히 파악하는 데이터 매핑 작업을 선행해야 하며, 중앙집중식 데이터베이스 관리뿐만 아니라 백업 시스템, 클라우드 스토리지, 제3자 공급업체와의 데이터 공유 채널 등 모든 데이터 저장소를 관리 범위에 포함시켜야 한다.

구체적인 기술적 접근법은 데이터의 저장 형태와 사용 목적에 따라 달라진다. 데이터 삭제 요청이 접수되면, 시스템은 관련된 모든 데이터 복사본을 찾아 물리적 삭제 또는 복원 불가능한 방식의 비식별화 처리를 수행한다. 특히 로그 파일, 분석용 데이터 웨어하우스, 캐시 데이터 등 간과하기 쉬운 2차 저장소에 대한 처리가 중요하다. 또한, 블록체인이나 특정 분산 데이터베이스처럼 불변성을 특징으로 하는 기술 환경에서는 데이터를 직접 삭제하는 것이 구조적으로 불가능할 수 있어, 해당 데이터에 대한 접근을 영구적으로 차단하는 암호화 키 삭제 등의 대체 수단을 마련해야 한다.

효율적인 권리 이행을 자동화하기 위해 많은 기업이 개인정보 관리 시스템이나 동의 관리 플랫폼을 도입한다. 이러한 시스템은 데이터 삭제 요청을 받는 포털을 제공하고, 요청자의 신원을 검증한 후, 사전에 정의된 워크플로우에 따라 관련 부서에 작업을 배분 및 추적한다. 최근에는 인공지능과 머신 러닝을 활용해 다양한 데이터 저장소에 흩어져 있는 한 개인의 정보를 자동으로 탐지하고 삭제 프로세스를 실행하는 솔루션도 등장하고 있다. 이러한 기술적 조치는 단순히 규정 준수를 넘어, 데이터 최소화 원칙에 부합하는 효율적인 데이터 거버넌스 체계 구축의 기반이 된다.