안녕하세요, 지란지교소프트 데이터사업부문입니다.
우리 회사 PC와 서버에 개인정보가 담긴 비정형 문서는 몇 건이나 있을까요?
이 질문에 바로 답할 수 있는 회사는 많지 않습니다. 문서 파일은 직원마다 만들고 저장하는 방식이 달라, 어느 PC와 폴더에 있는지, 몇 개인지, 아직 필요한 파일인지 한곳에서 확인하기 어렵거든요.
개인정보가 포함된 비정형 문서란 엑셀, 한글, PDF, 이미지 등 다양한 파일 형태로 저장되며, 본문이나 표, 이미지 등에 개인정보가 담긴 문서를 말합니다. 파일 형식과 저장 위치, 개인정보가 포함된 위치가 다양해 보유 현황을 파악하기 어렵고, 관리 대상에서 누락된 파일은 개인정보 유출 위험으로 이어질 수 있습니다.
💡 우리 회사도 해당될까요?
✔ 입사 지원서나 계약서를 부서마다 받아 각자 보관한다
✔ 신분증 사본이나 서명한 계약서를 스캔해 PDF로 저장한다
✔ 고객 명단을 내려받아 ‘최종’, ‘최종_수정’ 파일로 고쳐 쓴다
✔ 개인정보 파일마다 보유 기간을 정해 두지 않았다
하나라도 해당한다면, 우리 회사 개인정보 문서도 지금 몇 건인지 답하기 어려운 상태입니다.
보유 현황을 왜 파악하기 어려운지, 파악하지 못하면 무엇이 문제인지 정리해 볼게요.
📌 개인정보가 포함된 비정형 문서는 왜 파악이 어렵나요?
문서마다 형식과 구조가 다르고, 개인정보가 포함된 위치와 표현 방식도 제각각이기 때문입니다. 따라서 단순히 파일 수를 세는 것만으로는 개인정보가 포함된 문서가 얼마나 있는지 정확히 파악하기 어렵습니다.
|
어려운 점 |
예시 |
어려운 이유 |
|---|---|---|
|
형식과 구조가 다름 |
엑셀은 셀, 한글은 문단, PDF는 페이지 |
형식마다 글자 추출하는 방법이 다름 |
|
개인정보 위치가 다양함 |
본문, 표, 붙여 넣은 이미지 |
문서 안 여러 곳을 봐야 함 |
|
표기 방식이 다름 |
하이픈 없는 전화번호, 띄어 쓴 주민번호 |
단순 패턴 검색으로 놓칠 수 있음 |
|
글자가 이미지로 저장됨 |
스캔 계약서, 신분증 사본, 캡처 |
문자 인식(OCR)이 필요함 |
|
개인정보 포함 여부가 다름 |
개인정보가 없는 파일, 수백 명의 정보가 담긴 파일 |
파일 수만으로 개인정보 포함 문서 수를 알 수 없음 |
이처럼 개인정보 문서를 정확하게 찾아내기 어렵다면, 기업은 다음과 같은 관리 현황도 파악하기 어려워집니다.
✔ 어디에 있나요? PC와 서버, 공유폴더 중 어디에 개인정보 문서가 저장되어 있는지
✔ 몇 개인가요? 개인정보가 포함된 문서가 몇 개이고, 복사본은 얼마나 존재하는지
✔ 아직 필요한가요? 업무상 보관이 필요한 문서인지, 불필요하게 남아 있는 문서는 없는지
💡 개인정보 문서 수와 개인정보 건수는 달라요
개인정보 문서 수는 개인정보가 담긴 파일의 개수이고, 개인정보 건수는 그 안에서 탐지된 개인정보의 개수예요.
EX) 고객 300명의 휴대전화번호가 담긴 엑셀 1개의 경우: 문서 1개, 개인정보 300건
01. 개인정보가 포함된 비정형 문서의 보유 현황은 왜 파악하기 어려운가요?
만드는 사람, 형식, 저장 위치, 보유 목적이 모두 제각각이기 때문이에요. 이유를 다섯 가지로 나눠 보면 다음과 같습니다.
|
이유 |
예시 |
파악이 어려운 이유 |
|---|---|---|
|
① 여러 사람이 각자 만듦 |
인사팀 입사 지원서, 영업팀 계약서, 고객지원팀 상담 기록 |
부서마다 따로 받고 따로 보관 |
|
② 형식이 제각각임 |
엑셀, 한글, PDF, 스캔본, 화면 캡처, 압축 파일 |
형식에 따라 검사 방법이 다름 |
|
③ 저장 위치가 흩어져 있음 |
개인 PC, 파일서버, 메일함, USB, 생성형 AI 서비스 |
한곳에서 모아 볼 수 없음 |
|
④ 사본이 계속 생김 |
내려받기, 편집, 메일 첨부, 공유 |
문서 하나가 여러 파일로 늘어남 |
|
⑤ 보유 목적과 기간이 남지 않음 |
담당자 퇴사, 업무 종료 뒤 남은 파일 |
아직 필요한지 판단할 근거가 없음 |
이처럼 개인정보가 포함된 비정형 문서는 담당자와 파일 형식, 저장 위치가 다양하고, 업무 과정에서 복사본이 늘어나기도 하며, 업무가 끝난 뒤에도 파일이 남아 있을 수 있어 전체 보유 현황을 파악하기가 쉽지 않습니다.
💡 사례로 보기: 고객 명단 엑셀 한 장
마케팅 담당자가 이벤트 당첨자 1,200명의 명단을 엑셀로 내려받았다고 해 볼게요. 다운로드 폴더, 고쳐 저장한 파일 2개, 보낸 메일함과 팀장 PC, 팀 공유폴더, 배송 협력사용 USB까지 일주일 만에 파일이 7개로 늘 수 있습니다. 관리자가 확인할 수 있는 건 시스템의 다운로드 기록 정도예요.
※ 이해를 돕기 위한 가상 사례이며, 실제 사고나 공식 통계가 아닙니다.
👉 이메일, USB, 출력 같은 유출 경로가 궁금하다면? DLP 정보유출방지란?｜기업이 반드시 준비해야 할 정보유출방지 전략
02. 보유 현황을 모르면 무엇이 문제인가요?
사고가 났을 때 누구의 어떤 정보가 몇 명분 유출됐는지 답하기 어려워져요. 2026년 9월 11일 시행된 개정 개인정보보호법은 1천 명 이상의 개인정보가 유출되면 알게 된 때부터 72시간 안에 신고하도록 정하고 있습니다(제34조 제4항, 시행령 제40조).
예를 들어 직원 노트북을 잃어버렸다면, 그 안에 몇 명분의 어떤 항목이 있었는지 알아야 신고 대상인지 판단할 수 있습니다. 주민등록번호 같은 고유식별정보가 있었다면 인원과 관계없이 신고 대상이 돼요. 개인정보보호위원회의 「개인정보 유출등 대응 안내서」는 유출 항목을 ‘등’으로 줄여 쓰지 말라고 안내하고 있습니다.
보안 위험도 커집니다. 관리자가 모르는 파일은 암호화나 접근 권한 같은 보호조치에서 빠지기 쉬워요. 퇴사자 PC나 외부 협력사에 남은 파일은 유출돼도 회사가 알아차리기 어렵고, 알아차린 뒤에도 72시간 안에 범위를 확인하기 어렵습니다.
검사 결과의 건수는 탐지된 개인정보 개수라서, 같은 사람이 여러 파일에 있으면 중복해서 세어집니다. 앞의 가상 사례처럼 1,200명 명단이 파일 7개에 있다면, 한 사람당 휴대전화번호 하나만 세도 8,400건이 됩니다. 신고 기준은 건수가 아니라 정보주체 수라는 점을 기억해야 해요.
|
관리 상황 |
관련 기준 |
확인할 것 |
|---|---|---|
|
시스템에서 내려받기 |
안전성 확보조치 기준의 출력과 복사 시 안전조치 |
필요한 항목만 내려받았는지 |
|
PC 보관 |
안전성 확보조치 기준의 암호화 |
고유식별정보가 든 파일의 암호화 |
|
공유폴더 |
안전성 확보조치 기준의 접근통제 |
권한 없는 사람이 열 수 있는지 |
|
유출 사고 |
개인정보보호법 제34조 |
정보주체 수와 유출 항목 |
|
보유 기간 종료, PC 교체 |
안전성 확보조치 기준의 파기 |
복구할 수 없게 지웠는지 |
「개인정보의 안전성 확보조치 기준」은 2025년 10월 31일 개정됐습니다(개인정보보호위원회 고시 제2025-9호). 내부 관리계획(회사가 개인정보를 어떻게 보호할지 정해 둔 내부 규정)의 출력과 복사, 파기 항목은 발령 1년 뒤인 2026년 10월 말부터 시행됐어요. 이에 따라 개인정보 문서의 다운로드부터 복사, 파기까지 전 과정을 내부 관리계획에 반영해야 합니다.
👉 유출 신고 조항의 바뀐 번호가 궁금하다면? 개인정보보호법 조항 번호, 개정 전후 한눈에 비교해요
03. 개인정보가 포함된 비정형 문서를 사람이 직접 세면 왜 놓치나요?
파일 이름과 형식이 바뀌며 흩어지기 때문이에요. ‘당첨자 명단.xlsx’는 ‘최종_진짜최종.xlsx’가 되고, 계약서는 스캔 PDF로, 신분증 사본은 캡처 이미지로 저장됩니다. 압축 파일 안에 들어가면 이름조차 보이지 않습니다.
실제 사고에서도 사람의 실수가 큰 비중을 차지합니다. 개인정보보호위원회에 따르면 2025년 접수된 개인정보 유출 신고 447건 가운데 업무 과실이 110건(25%)이었습니다. 해킹(276건, 62%) 다음으로 많은 원인입니다.
그래서 담당자의 기억에 기대는 대신, PC와 서버를 정기적으로 검사해 파일 ‘내용’으로 개인정보를 찾는 방식이 쓰입니다. 스캔본과 이미지는 글자를 읽어 내는 OCR 검사가 함께 필요하고, 개인정보 문서가 밖으로 나가는 길목에서 미리 막는 통제도 필요해요.
👉 캡처 이미지와 스캔본 속 개인정보가 궁금하다면? 비정형 데이터 보안 방법 : 2026 개인정보보호법 대응 전략
⁉️ 자주 묻는 질문
Q. 엑셀 고객 명단처럼 표로 정리된 파일도 비정형 문서에 해당하나요?
A. 네, 엑셀은 표 형태지만 파일마다 열 이름과 구조가 달라 한글, PDF와 함께 점검 대상에 넣어요. 개인정보를 체계적으로 정리한 명단이라면 개인정보 보호법상 ‘개인정보파일’에도 해당할 수 있습니다(제2조 제4호).
Q. 시스템에서 내려받은 파일도 따로 관리해야 하나요?
A. 네, 내려받은 순간부터 원본과 별개로 유출될 수 있어요. 개인정보 보호법 제29조의 안전조치 의무와 안전성 확보조치 기준의 암호화, 접근통제, 파기 기준이 똑같이 적용됩니다.
Q. 검사 결과가 1천 건을 넘으면 신고 기준인 1천 명을 넘은 건가요?
A. 건수만으로는 알 수 없어요. 신고 기준은 유출된 정보주체 수라서, 여러 파일에 겹쳐 세어진 건수와 별개로 실제 인원을 확인해야 해요. 고유식별정보나 민감정보가 유출되면 인원과 관계없이 신고해야 합니다.
Q. 스캔한 신분증이나 캡처 이미지도 점검 대상인가요?
A. 네, 이미지에 이름과 주민등록번호, 연락처가 보이면 개인정보예요. 일반 텍스트 검사로는 찾기 어려워 이미지 속 글자를 읽는 OCR 기반 검사가 필요합니다.
🤝 지란지교소프트와 함께 개인정보 문서를 관리하세요
지란지교소프트 필터 시리즈는 PC와 서버, 공유폴더 등 다양한 환경에 저장된 개인정보 문서를 찾아내고, 보안 정책에 따라 체계적으로 관리할 수 있도록 지원합니다.
|
제품 |
관리 영역 |
주요 기능 및 역할 |
|---|---|---|
|
PC필터 |
PC 개인정보 탐지·보호 |
PC 내 개인정보 포함 파일 탐지 및 보호조치 |
|
SERVER필터 |
서버 개인정보 탐지·보호 |
서버 내 개인정보 포함 파일 탐지 및 보호조치 |
|
WEB필터 |
웹 게시글·첨부 문서 개인정보 탐지·차단 |
게시글·첨부 문서 속 개인정보 탐지, 등록·다운로드 차단 |
|
AI필터 |
이미지·문서 내 개인정보 탐지·보호 |
이미지·스캔 문서에 포함된 개인정보 탐지 및 마스킹 처리 |
“우리 회사 개인정보 문서는 몇 건인가요?”라는 질문에 바로 답할 수 있도록, 지란지교소프트 데이터사업부문이 함께하겠습니다.
개인정보 문서 보유 현황, 어디서부터 파악할지 막막하다면
📞 1600-9185 ✉️ privacy@jiran.com
이런 글은 어때요?
› 개인정보보호법 개정 2026 총정리 | 9월 11일부터 무엇이 달라졌나요?
› 문서·비정형 데이터 비식별화 가이드
› AI-OCR이란 무엇인가?｜이미지 텍스트 인식 기술 완전 정리
참고 자료
• 개인정보보호위원회, 한국인터넷진흥원, 「2025년 개인정보 유출 신고 동향 및 조사·처분 사례」 (2026.5.15)
https://eiec.kdi.re.kr/policy/materialView.do?num=282049
• 개인정보보호위원회, 「개인정보의 안전성 확보조치 기준」 (고시 제2025-9호, 2025.10.31)
https://www.law.go.kr/행정규칙/개인정보의안전성확보조치기준
• 개인정보보호위원회, 「개인정보 유출등 대응 안내서」 (2026)
https://www.pipc.go.kr
• 국가법령정보센터, 「개인정보 보호법」 (법률 제21445호, 2026.9.11 시행)
https://www.law.go.kr/LSW/lsInfoP.do?lsiSeq=283839&efYd=20260911
근거 개인정보 보호법(법률 제21445호, 2026.9.11 시행), 개인정보의 안전성 확보조치 기준(고시 제2025-9호), 개인정보 유출등 대응 안내서(2026)
DATA INSIGHT vol.5
#개인정보포함비정형문서 #비정형데이터 #비정형개인정보 #개인정보문서 #개인정보파일 #개인정보보유현황 #개인정보문서관리 #개인정보보호법 #안전성확보조치기준 #개인정보유출신고 #DLP #개인정보보호 #지란지교소프트
