학습자 개인정보와 교육이력, 얼마나 보관하고 언제 파기하나

교육 담당자 자리에 앉아 있으면 정반대 방향의 요구를 동시에 받습니다. 감사·점검 부서는 "3년 전 그 과정 이수자 명단 다시 뽑아 주세요"라고 하고, 정보보호 부서는 "목적 끝난 개인정보 언제 파기하셨어요, 대장 주세요"라고 합니다. 그래서 대부분의 조직이 고르는 답은 "일단 다 갖고 있는다"인데, 이건 두 요구를 다 만족시키는 선택이 아니라 두 요구를 다 어기는 선택입니다.

결론부터 말씀드리면, 학습자 개인정보와 교육이력 관리의 핵심은 보관 기간을 정하는 게 아니라 교육 데이터를 성격별로 쪼개 각각 다른 보존 근거를 붙이는 것입니다. 개인정보 보호법은 보유기간이 지나거나 처리 목적을 달성해 개인정보가 불필요해지면 지체 없이 파기하도록 하는 원칙을 두면서, 다른 법령에 보존 의무가 있는 경우는 예외로 두고 있습니다(발행 시점 2026-07 기준). 다만 과정 성격별 구체적인 보존 연한과 필수 항목은 소관 법령·관할 기준(HRD-Net·소관 고시·직능원 등)에 따라 다르므로 반드시 확인이 필요합니다. 이 글은 그 확인 작업을 하기 전에 담당자가 먼저 정리해 둬야 할 분류와 절차를 다룹니다.

"다 갖고 있는다"가 왜 최악의 선택인가

교육 데이터를 통째로 쌓아두면 두 방향에서 동시에 깨집니다. 개인정보 쪽에서는 목적을 다한 이름·연락처·주민등록번호가 파기되지 않은 채 남아 있으니 원칙 위반이고, 사고가 나면 유출 규모가 그대로 커집니다. 감사 쪽에서도 사정이 낫지 않습니다. 십수 년치 데이터가 정리 없이 쌓이면 정작 필요한 차수의 이수 근거를 찾는 데 며칠이 걸립니다.

더 흔한 문제는 데이터가 시스템 밖으로 새어 있다는 것입니다. 담당자 PC의 2019년_상반기_수료자_최종.xlsx, 메일함에 남은 명단 첨부파일, 위탁사에 보낸 공유 드라이브 링크. LMS 안의 데이터는 권한과 로그로 통제되지만 이 파생 파일들은 아무도 관리하지 않습니다. 파기 절차를 만들 때 가장 먼저 손봐야 하는 게 사실 이 지점입니다.

그래서 출발점은 "몇 년 보관할까"가 아니라 "이 데이터는 어떤 성격이고, 무엇을 근거로 남아 있는가"입니다.

교육 데이터는 한 덩어리가 아니다 — 네 가지로 쪼갠다

한 명의 학습자가 한 과정을 듣고 나면 시스템에는 성격이 전혀 다른 데이터가 함께 쌓입니다. 이걸 구분하지 않으니 "다 남기거나 다 지우거나"의 이분법에 갇히는 겁니다.

• ① 식별정보 — 이름, 연락처, 이메일, 소속·사번, (수집 근거가 있는 경우의) 주민등록번호, 배송 주소. 특정 개인을 지목하는 항목입니다.
• ② 학습 과정 로그 — 접속 기록, 차시별 진도, 학습 시간, 시험 응시 기록, 과제·설문 제출 이력. '어떻게 이수했나'를 소명하는 데이터입니다.
• ③ 이수 결과·발급물 — 수료 여부, 수료일, 수료번호, 발급된 수료증·자격증 이력. 대외로 나가고 진위 조회 대상이 되는 데이터입니다.
• ④ 결제·정산 기록 — 수강료 결제·환불 내역, 세금계산서, 강사 정산 자료. 회계·거래 성격이 강합니다.

이 네 가지는 필요해지는 시점도, 필요 없어지는 시점도 다릅니다. 예를 들어 ①은 과정이 끝나고 안내·증명 발급이 마무리되면 대부분 목적을 다하지만, ③은 몇 년 뒤 "그 수료증 진짜냐"는 조회에 답해야 할 수 있습니다. ②는 감사·점검 대응에서 ③의 근거로 쓰이지만, 감사 대응이 끝난 뒤에도 접속 IP 단위까지 개인 단위로 붙들고 있어야 할 이유는 거의 없습니다.

성격별로 보존 근거가 다르다

여기서 주의할 점이 있습니다. 아래 표에 "몇 년"이라는 숫자 칸을 일부러 만들지 않았습니다. 연한은 과정이 법정의무교육인지, 환급과정인지, 자체 직무교육인지에 따라 달라지고 소관 법령과 관할 기준이 정합니다. 담당자가 먼저 확정해야 하는 건 숫자가 아니라 '무엇을 근거로 남아 있는가'라는 성격입니다. 성격이 정해져야 어느 기관 기준을 확인하러 가야 하는지가 정해집니다.

법정의무교육처럼 실시 자체가 의무인 과정은 ②·③의 보존 요건이 자체 직무교육과 다르고, 환급과정처럼 정산까지 얽힌 과정은 ④가 별도의 근거로 묶입니다. 과정 유형별로 무엇이 증빙으로 남아야 하는지는 환급과정 LMS 운영 가이드에서 운영 흐름과 함께 정리했습니다.

파기는 삭제만이 아니다 — 이게 실무의 알맹이

담당자들이 파기를 미루는 진짜 이유는 대개 이겁니다. "지우면 나중에 통계를 못 뽑는데요." 맞는 걱정입니다. 그런데 그 통계에 이름이 필요한 경우는 거의 없습니다. 필요한 건 "2024년 2분기 A부서 정보보호 교육 이수율 92%" 같은 결과값이지, "홍길동 이수" 같은 개인 단위 기록이 아닙니다.

개인정보 보호법은 통계작성·과학적 연구·공익적 기록보존 등을 위해 가명정보를 처리할 수 있는 근거를 두고 있고, 특정 개인을 알아볼 수 없도록 처리한 정보는 개인정보로 다루지 않습니다(발행 시점 2026-07 기준). 그래서 실무 선택지는 '전부 보관'과 '전부 삭제' 사이에 최소 세 개가 더 있습니다.

1. 완전 파기 — 목적을 다했고 다른 근거도 없는 항목. 복구·재생이 불가능한 상태로 지웁니다. 운영 DB만이 아니라 백업본, 담당자 PC의 다운로드 파일, 메일 첨부까지 대상입니다.
2. 식별정보만 제거하고 결과값 보존 — 이수 통계·교육 실적 보고용. 개인 단위 행을 지우고 과정·차수·부서·이수 여부 집계만 남기는 방식입니다.
3. 가명 처리 후 보존 — 개인 단위 추적이 필요하지만 신원은 필요 없는 경우(예: 재수강 패턴 분석). 식별 키를 별도 관리하는 대체값으로 바꿔 둡니다.
4. 분리 보관 + 접근 제한 — 법령·계약상 보존 의무가 남은 항목. 일상 운영 화면에서는 보이지 않게 하고, 열람 권한을 최소 인원으로 좁힙니다.

여기서 실수가 잦은 지점이 백업본입니다. 안정적으로 운영되는 시스템일수록 백업 정책이 촘촘한데, 백업이 여러 벌 있다는 건 파기 대상이 여러 벌 있다는 뜻이기도 합니다. 맑은소프트의 LMS는 데이터 4중 백업으로 운영되며 국내 최초 CSAP(클라우드 보안인증) 인증 LMS이지만, 보안 수준이 높은 것과 파기 절차가 정의된 것은 별개 문제입니다. 파기 규칙을 만들 때는 "운영 데이터를 지운 뒤 백업본은 어떤 주기로 어떻게 처리하는가"를 조항으로 함께 적어 두셔야 합니다. 인프라를 직접 운영하는지 클라우드로 쓰는지에 따라 이 책임 경계가 달라지는데, 그 차이는 자체구축 vs 클라우드 LMS 비교에서 다뤘습니다.

LMS에서 실제로 무엇을 세팅해 두나

원칙이 아무리 좋아도 매번 손으로 하면 안 돌아갑니다. 맑은이러닝 LMS의 관리자 화면 기준으로, 담당자가 미리 세팅해 두면 이 흐름이 절차로 굴러가는 지점들을 정리했습니다. 참고로 개인정보를 자동으로 파기해 주는 스케줄러 기능은 별도로 두고 있지 않습니다. 시스템이 대신 판단해 주지 않으니, 아래 항목들은 운영 절차와 짝을 이뤄야 작동합니다.

1) 회원 상태값으로 '탈퇴'와 '삭제'를 구분한다. 회원정보관리의 회원관리는 상태를 정상·중지·탈퇴·삭제로 나눠 관리합니다. 탈퇴는 이용 관계 종료, 삭제는 데이터 처리의 종결로 성격이 다릅니다. 이 둘을 같은 버튼으로 처리해 버리면 "언제 무엇을 파기했나"를 나중에 설명할 수 없습니다. 관리자 대시보드에 탈퇴회원 처리 대기 위젯이 있으니, 탈퇴 접수 → 보존 의무 확인 → 삭제 전환을 정해진 주기로 도는 루틴을 만드는 편이 낫습니다.

2) 권한을 계층으로 쪼개 열람 범위를 좁힌다. 회원유형은 회원·과정운영자·소속운영자·운영자·최고관리자로 나뉘고, 회원소속·회원그룹·회원등급으로 대상을 묶을 수 있습니다. 위탁사나 협력사 담당자에게 전체 회원 목록 권한을 주는 대신 소속운영자 권한으로 담당 소속만 보게 하는 것이 개인정보 최소 처리 원칙에 맞습니다. 권한 설계가 곧 개인정보 통제 설계입니다.

3) 엑셀 다운로드를 '기능'이 아니라 '절차'로 다룬다. 회원·수강생 목록 상단에는 메일·SMS·쪽지·EXCEL 일괄 액션이 있습니다. 편리하지만, 엑셀로 내려받는 순간 그 파일은 LMS의 통제 밖으로 나갑니다. 다운로드 권한을 가진 계정을 최소화하고, 내려받은 파일의 보관 위치·파기 시점을 내부 규칙으로 못 박아 두시길 권합니다. 실무 사고의 상당수가 시스템이 아니라 이 파생 파일에서 납니다.

4) 남겨야 할 것은 결과값 중심으로 남긴다. 과정관리의 수료관리·통합수강생관리에서 이수 결과를, 인증서관리(인증서템플릿관리)에서 수료증·자격증 발급 이력을 관리합니다. 감사 대응의 뼈대는 수료번호와 발급 이력이라는 결과값이지 학습자의 연락처가 아닙니다. 증빙 사슬을 어떻게 엮는지는 교육 이수·증빙 체계 만들기에서 단계별로 정리했으니 함께 보시면 좋습니다.

5) 예외는 기록으로 남긴다. 과정관리의 수동처리관리는 정상 흐름을 벗어난 처리를 사유와 함께 남기는 안전판입니다. "그 사람 이력은 왜 지웠나요", "왜 이 건만 남겼나요"에 답하려면 예외 처리의 흔적이 있어야 합니다.

6) 처리방침을 실제 운영과 일치시킨다. 홈페이지관리의 디자인관리 > 페이지관리에서 이용약관·개인정보처리방침 페이지를 관리합니다. 문제는 이 문서가 몇 년째 그대로인데 실제 운영은 바뀌어 있는 경우입니다. 수집 항목이나 위탁 구조가 바뀌면 이 페이지도 함께 고쳐야 합니다.

7) 마케팅 수신동의는 이수 데이터와 분리한다. 위시리스트관리는 이메일 수신동의 여부까지 필터로 잡아 대상자를 추출할 수 있습니다. 편리한 만큼, 교육 목적으로 받은 연락처를 마케팅 발송에 섞어 쓰지 않도록 대상 추출 기준을 분리해 두셔야 합니다.

담당자 실행 체크리스트

당장 이번 분기에 해볼 수 있는 순서로 정리했습니다.

• 운영 중인 과정을 성격별로 분류했는가 — 법정의무 / 환급 / 자체 직무 / 유료 판매
• 과정 유형별로 ②·③의 보존 근거를 어느 기관 기준에서 확인해야 하는지 적어 두었는가 (HRD-Net·소관 고시·직능원 등, 발행 시점 기준으로 확인)
• 수집 중인 개인정보 항목 목록을 뽑고, 각 항목의 수집 근거(동의 / 계약 / 법령)를 옆에 적었는가
• 수집은 하는데 실제로 쓰지 않는 항목이 있는가 — 있다면 다음 차수부터 수집 항목에서 뺀다
• 탈퇴 회원 처리 주기와 담당자가 정해져 있는가, 탈퇴와 삭제를 구분해 기록하는가
• 파기 시 백업본·다운로드 엑셀·메일 첨부까지 대상에 포함돼 있는가
• 통계 목적으로 유지하는 데이터에서 식별정보를 떼어낼 수 있는가 (분리 후에도 지표가 나오는지 실제로 테스트)
• 위탁·수탁 관계가 있다면 위탁사 담당자 권한이 담당 소속 범위로 제한돼 있는가
• 개인정보처리방침에 적힌 내용과 실제 운영이 일치하는가
• 파기 실행 기록(언제·무엇을·누가)이 남는 양식이 있는가

이 중 절반만 채워도 감사와 개인정보 점검 양쪽에서 할 말이 생깁니다. 반대로 하나도 정리되지 않은 채 "다 갖고 있습니다"로 버티면, 어느 쪽 질문에도 답이 궁색해집니다.

맑은소프트는 기업·대학·공공기관·협회 등 약 375개 기관의 교육 운영을 지원하면서 회원 상태 관리·권한 분리·이수 데이터 보존 같은 요건을 다뤄 왔습니다. 지금 쓰고 계신 시스템에서 이 분류와 권한 설계가 가능한지 확인이 필요하시다면, 무료 상담·데모로 실제 관리 화면을 놓고 함께 짚어 보시길 권합니다. 보존과 파기 규칙은 문서보다 화면에서 먼저 맞춰 두는 편이 훨씬 빠릅니다.