개인정보가 담긴 파일을 보낼 때 기본은 필요한 정보만, 안전조치를 갖춰, 필요한 기간만 보관하고, 일이 끝나면 지우는 것입니다. 전송 서비스에 처리를 맡긴다면 위탁 관계를 정리하고, 파일이 한국 밖에 저장된다면 국외 이전 요건도 확인해야 합니다. 개인정보 보호법은 도구를 인증하지 않습니다. 의무는 개인정보를 보내는 조직(개인정보처리자)에 있고, 알맞은 서비스는 그 의무를 지키기 쉽게 해 줄 뿐입니다.
이 글은 이력서, 급여명세서, 진료 기록, 신분증 사본, 고객 명단처럼 개인정보가 담긴 파일을 보낼 때 관련된 「개인정보 보호법」 조항을 정리하고, 유럽 고객이나 거래처가 있을 때 함께 봐야 할 GDPR과 비교한 뒤 체크리스트로 바꿉니다. 국가법령정보센터의 현행 법률(2026년 9월 11일 시행)과 개인정보보호위원회 안내를 바탕으로 한 2026년 10월 기준의 일반 정보이며, 법률 자문이 아닙니다. 구체적인 판단은 개인정보 보호책임자나 전문가에게 확인하세요.
파일을 보낼 때 개인정보 보호법이 적용되나요?
파일에 개인정보가 들어 있다면 적용됩니다. 법 제2조는 개인정보를 성명, 주민등록번호, 영상 등으로 살아 있는 개인을 알아볼 수 있는 정보와, 다른 정보와 쉽게 결합해 알아볼 수 있는 정보로 정의합니다. 이름과 연락처가 적힌 계약서, 고객 엑셀 파일, 신분증 스캔, 얼굴을 알아볼 수 있는 사진 모두 해당합니다. 같은 조의 「처리」에는 저장, 보유, 제공, 파기 등이 포함되므로, 파일을 보내고 전송 서비스가 잠시 보관하는 과정도 처리에 해당한다고 보는 것이 자연스럽습니다.
파일 전송과 관련된 개인정보 보호법 조항
| 조항 | 요지 | 파일 전송에서의 의미 |
|---|---|---|
| 제3조 개인정보 보호 원칙 | 목적에 필요한 최소한의 개인정보, 위험 정도를 고려한 안전한 관리, 사생활 침해 최소화 | 받는 사람에게 필요한 파일과 항목만 보내기 |
| 제21조 개인정보의 파기 | 보유기간 경과나 목적 달성 등으로 불필요해지면 지체 없이 파기 | 만료되는 링크를 쓰고, 일이 끝나면 사본 삭제 |
| 제26조 업무위탁 | 처리 위탁은 목적 외 처리 금지, 기술적·관리적 보호조치 등을 담은 문서로 | 서비스에 처리를 맡긴다면 위탁 조건 확인 |
| 제28조의8 국외 이전 | 국외 제공·처리위탁·보관은 법이 정한 경우에만 | 파일이 어느 나라에 저장되는지 확인 |
| 제29조 안전조치의무 | 유출 방지를 위한 기술적·관리적·물리적 조치 | 암호화, 비밀번호, 접근 제한 |
| 제34조 유출 통지·신고 | 정보주체에게 지체 없이 통지, 보호위원회 등에 신고 | 잘못 보냈을 때의 절차 알아 두기 |
| 제64조의2 과징금 | 전체 매출액의 100분의 3 이내 | 위반의 대가가 작지 않음 |
전송 서비스에 맡긴다면: 위탁 관계 확인하기
전송 서비스가 내 대신 파일을 보관하고 전달한다면 개인정보 처리 업무를 맡기는 것으로 볼 수 있습니다. 제26조는 위탁을 할 때 위탁업무 목적 외 처리 금지, 기술적·관리적 보호조치 등을 담은 문서로 하도록 하고, 위탁하는 업무와 수탁자를 정보주체가 쉽게 확인할 수 있게 공개하도록 합니다. 수탁자가 다시 위탁하려면 위탁자의 동의가 필요하고, 위탁자는 수탁자를 교육하고 감독해야 합니다. 업무용으로 쓴다면 서비스의 이용 약관과 개인정보 처리방침, 처리를 맡기는 다른 업체 목록을 확인해 두세요.
개인정보는 꼭 암호화해서 보내야 하나요?
법 제29조는 개인정보가 유출되지 않도록 대통령령으로 정하는 바에 따라 기술적·관리적·물리적 조치를 하라고 규정합니다. 제3조도 정보주체의 권리가 침해될 가능성과 위험 정도를 고려해 안전하게 관리하라고 합니다. 인터넷으로 개인정보를 보낸다면 암호화는 사실상 기본이고, 주민등록번호처럼 민감한 정보일수록 보호를 겹겹이 쌓는 것이 좋습니다. 세부 기준은 시행령 등 하위 규정에 있으므로 조직의 내부 관리계획과 함께 확인하세요.
가장 강한 형태는 서비스조차 파일을 읽을 수 없는 종단간 암호화입니다. 파일이 브라우저에서 암호화되고 키는 링크 안에 들어가므로, 서버에 남는 것은 키 없이는 읽을 수 없는 데이터뿐입니다. 원리는 「종단간 암호화 뜻」에서 설명합니다.
보관 기간과 파기: 만료되는 링크가 도움이 되는 이유
몇 년째 열려 있는 공유 폴더는 개인정보가 불필요해지면 지체 없이 파기하라는 제21조와 맞지 않습니다. 며칠 뒤 만료되고, 만료되면 파일이 지워지는 전송 링크는 누군가 정리를 기억하지 않아도 파기 원칙을 지키게 해 줍니다. 상황별 권장 기간은 「링크 비밀번호 설정과 만료 기간」에 정리했습니다.
잘못 보냈다면: 개인정보 유출 신고 72시간
먼저 링크를 바로 삭제하거나 만료시키고, 파일이 내려받아졌는지 확인한 뒤 정보주체에게 미칠 위험을 따져 보세요. 제34조는 개인정보가 유출된 사실을 알게 되면 지체 없이 정보주체에게 유출 항목, 시점과 경위, 피해를 줄이는 방법, 대응조치, 연락처 등을 알리고, 보호위원회 또는 전문기관에 신고하도록 합니다. 2026년 3월 개정으로 유출 가능성이 있음을 알게 된 경우의 통지 조항(제34조 제2항)도 새로 생겼습니다.
개인정보보호위원회 안내(2026년 10월 기준)에 따르면 1천 명 이상의 정보주체에 관한 개인정보가 유출된 경우, 민감정보나 고유식별정보가 유출된 경우, 외부의 불법적인 접근으로 유출된 경우에는 72시간 이내에 신고해야 합니다. 신고는 개인정보 유출신고 시스템(brss.pipc.go.kr)으로 합니다. 예방 습관은 「파일 안전하게 보내기」 체크리스트에서 다룹니다.
개인정보 국외 이전: 해외에 저장되는 서비스를 써도 될까요?
제28조의8은 개인정보를 국외로 제공(조회 포함), 처리위탁, 보관하는 것을 원칙적으로 금지하고, 다음과 같은 경우에만 허용합니다. 정보주체에게 국외 이전에 대한 별도 동의를 받은 경우, 법률이나 조약에 특별한 규정이 있는 경우, 계약 체결과 이행에 필요한 처리위탁·보관으로서 이전 국가, 항목 등을 개인정보 처리방침에 공개하거나 정보주체에게 알린 경우, 받는 쪽이 보호위원회가 고시한 인증을 받고 필요한 조치를 한 경우, 그리고 이전받는 국가의 보호 수준이 이 법과 실질적으로 동등하다고 보호위원회가 인정한 경우입니다.
유럽은 마지막 경우와 관련이 있습니다. 개인정보보호위원회는 2025년 9월 EU와 유럽경제지역(EEA)에 대해 국내 첫 동등성 인정을 했고, 이로써 한국과 EU 사이에서 개인정보가 양방향으로 이동할 수 있게 되었다고 밝혔습니다. 적용 범위와 예외는 위원회 공고에서 직접 확인하세요.
개인정보를 더 안심하고 보내세요
만료 기간, 비밀번호, 다운로드 제한, 종단간 암호화까지 무료 플랜에 포함. 1회 100GB까지.
유럽 개인정보를 다룬다면: GDPR 요점
유럽에 사업장이 있거나 유럽 사람들에게 서비스를 제공한다면 EU 일반개인정보보호규정(GDPR, 규정 (EU) 2016/679)도 적용될 수 있습니다. 파일 전송과 관련된 내용은 개인정보 보호법과 비슷하지만 표현과 기준이 다릅니다. 제5조는 최소화(1항 c), 보관 기간 제한(1항 e), 무결성과 기밀성(1항 f)을 원칙으로 두고, 제28조는 처리자(processor)와의 계약을, 제32조는 위험에 맞는 보안을 요구하며 그 예로 가명처리와 암호화를 듭니다.
GDPR 제33조는 위험이 있는 침해를 알게 된 뒤 지체 없이, 가능하면 72시간 이내에 감독기관에 통지하도록 합니다. 제34조 제3항 (a)는 데이터가 암호화처럼 권한 없는 사람이 알아볼 수 없게 처리되었다면 정보주체 통지가 필요 없다고 규정하고, 유럽정보보호이사회(EDPB) 지침은 키가 유출되지 않은 제대로 된 암호화에만 해당한다고 덧붙입니다. 72시간을 96시간으로 늘리는 유럽연합 집행위원회의 「디지털 옴니버스」 제안(2025년 11월)은 2026년 10월 기준 채택되지 않았습니다.
EU에서 한국으로 오는 데이터에 대해서는 유럽연합 집행위원회가 2021년 12월 17일 한국 적정성 결정을 채택했고, 2026년 7월 23일 첫 정기 검토를 마치며 한국이 계속 적정한 보호 수준을 제공한다고 결론 내렸습니다. 미국 기업에 대해서는 2023년 7월 10일 채택된 EU-미국 데이터 프라이버시 프레임워크가 있으며, 2025년 9월 일반법원이 이에 대한 소송을 기각했고 항소가 계속 중입니다.
| 한국 개인정보 보호법 | EU GDPR | |
|---|---|---|
| 감독기관 | 개인정보보호위원회 | 각 회원국 감독기관 |
| 유출 신고 기한 | 요건 해당 시 72시간 이내(위원회 안내) | 지체 없이, 가능하면 72시간 이내(제33조) |
| 당사자 통지 | 지체 없이(제34조) | 위험이 높을 때, 암호화 등은 예외(제34조) |
| 처리 맡기기 | 위탁 문서, 수탁자 공개·감독(제26조) | 처리자 계약(제28조) |
| 국외 이전 | 동의, 동등성 인정 등 법정 사유(제28조의8) | 적정성 결정, 표준계약조항 등(제44조~제49조) |
| 최대 과징금 | 전체 매출액의 3% 이내(제64조의2) | 2,000만 유로 또는 전 세계 매출 4%(제83조) |
체크리스트: 개인정보를 보내기 좋은 전송 서비스
- 명확한 개인정보 처리방침과 이용 약관, 처리를 맡기는 업체 정보.
- 저장 지역이 명시되어 있고, 필요하면 지역을 고를 수 있음.
- 전송 중·저장 시 암호화, 민감한 파일을 위한 종단간 암호화.
- 만료 기간과 자동 삭제, 비밀번호, 다운로드 횟수 제한.
- 보내는 쪽의 접근 관리: 2단계 인증, 팀 역할.
- 잘못 보냈을 때 즉시 삭제할 수 있는 기능.
체크리스트: 개인정보 파일을 보내는 순서
1단계
최소화
받는 사람에게 필요한 서류와 항목만 보내고, 주민등록번호 뒷자리처럼 필요 없는 정보는 가리세요.
2단계
보호
다른 경로로 알려 주는 비밀번호를 걸고, 민감정보나 신분증 사본에는 종단간 암호화를 켜세요.
3단계
기간 제한
짧은 만료 기간과 받는 사람 수에 맞춘 다운로드 제한을 고르세요.
4단계
받는 사람 확인
주소를 다시 확인하세요. 메일 오발송은 대표적인 유출 원인입니다.
5단계
정리
필요 없어진 내 컴퓨터의 사본과 보낸 첨부파일을 지우세요.
6단계
기록
쓰는 도구와 내부 규칙을 문서로 남기고, 규칙은 짧고 모두가 알게 하세요.
자주 있는 상황별 권장 설정
보호 수단 전체를 비교하려면 「안전한 파일 전송」 페이지를 참고하세요.