마음토스 데이터 파기 증빙 — 기관 도입 전 확인할 검토 항목

데이터 파기 증빙이란 무엇인가

기관에서 상담 AI 도구를 검토할 때 보안팀이 먼저 확인하는 항목 중 하나가 데이터 파기 증빙입니다. 마음토스처럼 회기 녹음과 전사 자료를 다루는 도구라면, 내담자 자료가 보존 기간 이후 실제로 삭제되었는지 확인할 수 있는 절차와 근거가 도입 심의의 관문이 됩니다. 데이터 파기 증빙은 보유했던 회기 기록·오디오·전사 텍스트가 정해진 시점에 파기되었음을 조직이 확인하고 남길 수 있게 하는 문서·로그·절차의 묶음을 뜻합니다.

이 글에서는 상담 데이터 파기 증빙의 개념과 법적 배경, 기관 보안 검토에서 확인할 항목, 그리고 마음토스가 공개한 데이터 보호 정책의 검증된 범위를 정리합니다. 도입 담당자와 보안 의사결정자가 내부 심의 자료를 준비할 때 참고할 수 있도록 실무 관점으로 구성했습니다.

기관이 상담 데이터 파기 증빙을 요구하는 이유

상담 자료는 민감정보에 해당하므로, 보유 목적이 끝나면 지체 없이 파기하는 것이 개인정보 보호의 기본 원칙입니다. 「개인정보 보호법」은 보유 기간이 경과하거나 처리 목적이 달성된 개인정보를 원칙적으로 파기하도록 규정하고 있으며, 파기의 시점과 방법을 관리하도록 요구합니다.

임상 현장에서도 기록 보관과 폐기는 윤리 규정의 일부로 다뤄집니다. 상담 기록은 일정 기간 보관한 뒤 안전하게 폐기하는 것이 원칙이며, 위탁·기관 상담에서는 이 절차를 계약과 내부 규정으로 문서화하는 경우가 많습니다. 외부 도구를 도입할 때 파기 증빙을 요구하는 것은, 위탁한 자료가 통제 범위를 벗어나 남아 있지 않다는 점을 조직이 확인하기 위한 최소한의 안전장치입니다.

파기 증빙에서 확인할 핵심 항목

데이터 파기 증빙을 검토할 때는 문서 한 장의 유무보다, 파기가 어떤 기준과 흐름으로 이뤄지는지를 함께 확인하는 편이 실무에 도움이 됩니다. 기관 심의 자료를 준비할 때 다음 항목을 점검 목록으로 활용할 수 있습니다.

• 파기 대상: 오디오 원본, 전사 텍스트, 파생 노트·사례개념화 결과물 등 어디까지 포함되는지
• 파기 시점: 삭제 요청 시 처리, 목적 달성 후 처리 등 트리거가 무엇인지
• 파기 방법: 복구 불가능한 방식으로 처리되는지, 백업본까지 포함되는지
• 확인 방식: 삭제 완료를 요청자가 확인할 수 있는 절차가 있는지
• 책임 주체: 위수탁 관계에서 파기 책임과 범위가 계약에 명시되는지

이 항목들은 특정 도구의 기능을 전제하지 않고, 어떤 상담 데이터 처리에도 공통으로 적용할 수 있는 검토 틀입니다.

마음토스의 데이터 보호 정책 — 검증된 범위

마음토스가 공개한 보안 정책에서 확인할 수 있는 범위는 다음과 같습니다. 도입 검토 시에는 아래 항목을 기준으로 이해하시길 권합니다.

• 내담자 데이터를 모델 학습에 사용하지 않습니다. 외부 모델 제공자에게도 학습 미사용 원칙이 적용됩니다.
• 데이터는 저장 시 암호화, 전송 구간 암호화로 보호됩니다.
• 접근 권한 분리와 비식별화를 통해 식별정보 노출을 줄입니다.
• 이용자 본인의 삭제 및 삭제 요청 처리를 지원합니다.

데이터 파기 증빙과 직접 맞닿는 부분은 이 삭제 요청 처리 기능입니다. 보유 자료에 대한 삭제 요청이 발생했을 때 이를 처리하는 흐름이 마련되어 있다는 점까지가 현재 공개된 범위에서 단정할 수 있는 사실입니다.

파기 증빙·보관 기간은 도입 상담에서 확인

한편 파기 증빙 문서의 서식, 백업본을 포함한 보관 기간, 파기 방법의 세부 알고리즘, 보안 인증 취득 여부와 같은 항목은 공개 정책만으로 단정하기 어렵습니다. 이런 세부 사항은 기관 도입 시 별도로 안내되고 협의되는 영역으로 보는 편이 정확합니다.

따라서 파기 증빙을 심의 요건으로 두는 기관이라면, 요구하는 문서 형식과 확인 주기를 도입 상담 단계에서 구체적으로 제시하고 협의하시길 권합니다. 개인정보 위수탁 계약에 파기 책임·범위·확인 방식을 명시해 두면, 이후 내부 감사나 외부 평가에서 근거로 활용할 수 있습니다. 기관 플랜에서는 여러 상담사 계정과 권한 관리, 기관 양식 맞춤 템플릿, 도입 지원과 보안 협의를 다루므로, 파기 관련 요건도 이 협의 과정에서 정리하는 것이 현실적입니다.

기관 보안 검토 체크리스트

도입 심의 자료를 준비하는 담당자를 위해, 데이터 파기 증빙과 인접 항목을 함께 점검할 수 있는 순서를 정리합니다.

1. 내부 보존·파기 규정과 도구의 삭제 처리 흐름이 어긋나지 않는지 대조합니다.
2. 삭제 요청 시 어떤 데이터가 처리 대상에 포함되는지 범위를 확인합니다.
3. 필요한 파기 증빙 문서의 형식과 확인 주기를 정의해 도입 상담에서 요청합니다.
4. 위수탁 계약서에 파기 책임·범위·확인 방식을 조항으로 포함합니다.
5. 학습 미사용·암호화·접근 권한 분리 등 보호 정책을 심의 근거 자료로 첨부합니다.

이 절차는 특정 기능의 존재를 전제하지 않고, 확인된 정책과 협의가 필요한 항목을 구분해 정리하는 데 초점을 둡니다.

마무리

데이터 파기 증빙은 상담 자료를 다루는 조직에게 신뢰의 문제이자 규정 준수의 문제입니다. 마음토스의 공개 정책에서 확인되는 학습 미사용·암호화·접근 권한 분리·삭제 요청 처리를 기준으로 삼고, 증빙 문서와 보관 기간처럼 세부 확인이 필요한 부분은 도입 상담에서 명확히 협의하시길 권합니다. 검토 항목을 미리 정리해 두면, 도입 심의 과정이 한결 수월해집니다.