상담 기록 보관·폐기 가이드: 개인정보보호법 기준과 109 위기 사례

상담 기록 보관과 폐기, 109 위기 사례까지 한 번에 정리

상담 기록(Charts)은 단순한 업무 일지가 아니라 내담자의 가장 취약한 정보가 담긴 민감정보의 집약체입니다. "이 축어록 파일을 바탕화면에 둬도 괜찮을까", "5년 전 종결한 내담자의 상담 일지, 이제 파쇄해도 될까" 같은 질문 앞에서 망설이신 적이 있으실 겁니다. 자살예방 상담전화 109로 연계했던 위기 사례처럼 기록의 무게가 다른 경우라면 고민은 더 깊어집니다.

상담 수련 과정에서 법적 보관 기한이나 데이터 암호화를 깊이 배우기는 어렵습니다. 그래서 이 글에서는 개인정보보호법과 학회 윤리규정을 기준으로 보관 기간, 안전조치, 파기 방법, 위반 시 제재, 내담자의 열람·삭제 요구 대응까지 실무 순서대로 정리했습니다.

1. 기관 유형별 보관 기간: 10년, 3~5년, 자체 규정

"법적으로 몇 년을 보관해야 하느냐"는 질문의 답은 하나가 아닙니다. 기관의 운영 형태에 따라 적용 법령이 달라지기 때문입니다.

[표 1] 기관 유형별 상담·진료 기록 보관 기준 비교

실무에서 놓치기 쉬운 세 가지를 짚겠습니다.

1. 동의서가 기준선입니다. 사설 센터는 상담 구조화 단계의 '개인정보 수집·이용 동의서'에 보관 기간(예: 종결 후 3년)과 파기 시점을 명시하고 서명을 받아야 합니다. 이 기간이 실질적 기준이 됩니다.
2. 소멸시효를 고려합니다. 손해배상 청구 등 분쟁에 대비해 통상 최소 3년에서 5년 보관을 권장합니다.
3. 위기 사례는 별도로 관리합니다. 아동학대, 109 연계가 필요했던 자살 위험 사례 등은 법적 증거 능력을 고려해 별도의 보안 절차를 거쳐 더 장기간 보관하기도 합니다. 이때도 보관 근거와 기간을 문서로 남겨야 합니다.

한국상담심리학회·한국상담학회 윤리규정은 기록의 비밀보장과 안전한 보관·폐기 의무를 규정합니다. 법령이 하한선이라면 윤리규정은 상담자 개인에게 적용되는 또 하나의 기준으로, 두 가지를 함께 충족해야 합니다.

2. 파기할 수 없는 기록은 '분리 저장·관리'가 원칙입니다

개인정보보호법 제21조는 보유기간 경과, 처리목적 달성 등으로 개인정보가 불필요해지면 지체 없이 파기하도록 정합니다. 다만 다른 법령에 보존 의무가 있으면 파기하지 않고, 해당 정보를 다른 개인정보와 분리하여 저장·관리해야 합니다. 상담 현장에서 자주 빠지는 항목이 바로 이 분리 보관입니다.

• 종이 기록: 일반 상담 기록과 다른 잠금장치 캐비닛(또는 별도 구획)에 분리 보관
• 전자 기록: 별도 폴더·별도 저장소로 분리하고 접근 권한을 최소 인원으로 축소
• 목록 관리: 보존 근거 법령, 보존 종료일, 접근 가능자를 적은 관리대장 유지
• 목적 제한: 분리 보관한 정보는 보존 목적 외 열람·활용 금지

3. 종이와 전자, 안전조치는 따로 설계합니다

서랍에 넣거나 폴더에 저장하는 것만으로는 개인정보보호법의 안전조치 의무를 충족하기 어렵습니다. 특히 정신건강 관련 정보는 제23조의 민감정보에 해당해 별도 동의와 강화된 보호 조치가 필요합니다.

[표 2] 기록 유형별 안전조치 비교

축어록과 심리검사 결과지가 디지털화되면서 접근 기록(로그)을 남기는 일도 중요해졌습니다. 누가, 언제, 어떤 기록을 열었는지 확인할 수 없다면 유출 사고가 났을 때 범위를 특정할 수 없습니다.

4. 파기: 전자파일은 복원 불가능하게, 종이는 파쇄 또는 소각

'Delete' 키를 누르는 것만으로는 부족합니다. 법은 복구 불가능한 방법의 파기를 요구하며, 기록 형태에 따라 방법을 구분합니다.

1. 전자적 파일: 복원이 불가능한 방법으로 영구 삭제합니다. 단순 삭제·휴지통 비우기는 복구 프로그램으로 되살릴 수 있으므로, 전용 영구 삭제 프로그램(Wiping Software)이나 저장장치 초기화·덮어쓰기를 사용합니다.
2. 종이·인쇄물·서면 기록: 파쇄기로 조각내거나 소각합니다. 대량 문서는 전문 업체에 위탁해 소각·용해하고 파기 증명서를 받아둡니다. 일반 쓰레기 배출은 금지입니다.
3. 일부만 파기할 때: 전체를 없앨 수 없다면 해당 부분을 마스킹(먹칠)하거나 천공해 복원할 수 없게 만듭니다.

파기 후에는 일시, 대상, 방법, 담당자를 적은 파기 대장을 남겨야 합니다. 기록을 없앴다는 사실 자체를 증명하는 문서이기 때문입니다.

위반하면 어떤 제재가 따르나

• 파기하지 않은 경우: 3천만원 이하의 과태료
• 분리 저장·관리 의무를 지키지 않은 경우: 1천만원 이하의 과태료
• 안전조치 의무 위반으로 정보가 유출된 경우: 과태료와 별도로 손해배상 책임이 발생할 수 있습니다.
• 민감정보를 별도 동의 없이 처리한 경우: 형사처벌 대상에 해당할 수 있습니다.

액수를 외울 필요는 없지만, "파기를 미루는 것" 자체가 제재 대상이라는 점은 기억하실 필요가 있습니다.

5. 비밀보장의 예외, 그리고 내담자의 열람·삭제 요구

비밀보장은 절대적이지 않습니다. 다음 상황에서는 최소한의 범위로 정보를 제공할 수 있으며, 이때 무엇을 누구에게 얼마나 제공했는지 기록에 남겨야 합니다.

• 내담자 또는 타인의 생명·안전에 급박한 위험이 있는 경우(자·타해 위험 등)
• 감염성이 있는 치명적 질환과 관련된 경우
• 법원의 제출 명령·요구가 있는 경우
• 아동학대·노인학대 등 법정 신고 의무가 발생한 경우

자살 위험이 확인되면 기록 관리보다 안전 확보가 우선입니다. 자살예방 상담전화 109(24시간)나 정신건강 위기상담 등 연계 자원을 안내하고, 개입 경위와 연계 내용을 사실 위주로 기록합니다. 이렇게 남긴 109 연계 기록은 추후 사례 검토와 법적 확인 과정에서 상담자와 내담자를 함께 보호하는 근거가 됩니다.

내담자가 기록의 열람이나 삭제를 요구하는 경우도 있습니다. 개인정보보호법은 정보주체의 열람·정정·삭제 요구권을 인정하며, 요구를 받으면 원칙적으로 10일 이내에 조치하고 결과를 알려야 합니다.

• 다른 법령에 보존 의무가 있어 삭제할 수 없다면, 거절 사유와 근거 법령을 문서로 통지합니다.
• 삭제가 어려운 경우에도 처리 정지나 분리 보관 등 대안을 검토합니다.
• 열람이 내담자 본인이나 타인의 생명·신체를 해칠 우려가 있다면 그 범위를 제한할 수 있으며, 제한 사유도 함께 안내합니다.

6. 연 1회 점검 체크리스트

기록 관리는 행정 업무가 아니라 내담자를 보호하는 상담의 연장선입니다. 아래 항목을 매년 같은 시점(예: 연말)에 점검해 보시기 바랍니다.

• 동의서에 보관 기간과 파기 시점이 명확히 기재되어 있는가
• 보관 기한이 만료된 기록을 일괄 파기하고 파기 대장을 작성했는가
• 법령상 보존 의무가 있는 기록을 다른 기록과 분리해 저장하고 있는가
• 종이 기록 캐비닛과 전자 기록 계정의 접근 권한이 최소 인원으로 유지되는가
• 위기 개입(109 연계 등) 사례 기록의 보관 근거와 기간이 문서로 남아 있는가
• 내담자의 열람·삭제 요구가 들어왔을 때의 처리 절차가 정해져 있는가

기록 관리의 부담을 줄이면서 보안을 높이는 방법으로 상담 전용 AI 축어록 서비스를 검토해 볼 수 있습니다. 개별적으로 파일 암호를 걸고 USB를 관리하는 대신, 암호화와 접근 로그가 갖춰진 환경에서 기록을 관리하고 요약 작성 시간을 줄이는 방식입니다. 다만 어떤 도구를 쓰더라도 보관 기간 설정과 파기 책임은 상담자와 기관에 남습니다.

기술은 윤리를 대체하지 않고, 윤리를 더 정확히 지킬 수 있도록 돕는 도구입니다. 안전한 기록 관리로 내담자와 상담자가 함께 보호받는 상담실을 만들어 가시길 응원합니다.