GDPR 과징금 €61.1억 돌파 — "전부 영구 보관"은 컴플라이언스 위험일까요?

2026년 3월 기준, EU에서 기록된 GDPR 과징금 총액은 약 €61.1억이며 금액과 날짜가 기록된 과징금은 2,685건입니다. 출처는 CMS GDPR Enforcement Tracker Report 2025/2026입니다. 정보가 불완전한 항목까지 포함하면 보고서에는 3,062건이 기록되어 있습니다. 개별 과징금은 최대 €12억에 이릅니다. 2018년 GDPR 도입 당시 조직의 위험 평가가 어떠했든, 8년이 지난 지금의 집행은 더 이상 이론적인 문제가 아닙니다. 데이터를 부적절하게 처리하는 기업이 실제로 부담하는 비용으로 꾸준히 기록되고 있습니다.

메일 보존에 관한 조언 대부분은 엉뚱한 실패 방식을 겨냥합니다. 규정 준수를 위해 어떤 종류의 메일을 얼마나 간직해야 하는지 알려 줍니다 — 재무 기록은 7년, 지원 티켓은 2년 — 마치 위험은 늘 너무 일찍 지우는 쪽에만 있다는 듯이 말입니다. 그 위험은 실재합니다. 하지만 규제 기관은 반대쪽 실수, 곧 무엇이든 지우기가 겁나서 전부 무기한 보관하는 것 역시 그 자체로 위반이라고 점점 분명히 말하고 있습니다.

대부분의 보존 정책이 건너뛰는 원칙

GDPR은 메일에 대해 정해진 보존 기간을 알려 주지 않으며, 그 모호함 때문에 수많은 조직이 "혹시 모르니 아무것도 지우지 말자"로 기울어집니다. 하지만 저장 제한 원칙인 제5조 제1항 (e)는 개인정보를 수집 목적에 "필요한 기간을 넘겨" 보관하지 못하도록 요구하며, 그 옆에는 데이터 최소화 원칙인 제5조 제1항 (c)가 나란히 있습니다. 무기한 보관은 두 원칙 어느 쪽에서도 안전한 기본값이 아닙니다. 오히려 그 원칙들이 금지하려고 쓰인 바로 그것입니다.

실무적으로 이는, 조직이 보유한 모든 메일 범주에 대해 왜 보관하고 있으며 앞으로 얼마나 더 보관할 것인지 답할 수 있어야 한다는 뜻입니다. "언젠가 필요할지도 모른다"는, 그 심정이 아무리 이해되더라도 감독 기관이 받아들이는 답이 아닙니다.

이제 감독 기관은 정책 문서가 아니라 증거를 원합니다

또 하나 눈여겨볼 변화가 있습니다. 컴플라이언스 폴더에 들어 있는 문서 형태의 보존 정책만으로는 더 이상 집행 기준을 충족하지 못합니다. 감독 기관이 요구하는 것은 그 정책이 실제로 지켜지고 있다는 감사 가능한 증거입니다 — 문서화된 삭제 절차, 개별 직원의 재량에 맡기지 않고 서버 수준에서 적용되는 보존 일정, 그리고 소송이 합리적으로 예상될 때 통상적인 삭제를 올바르게 중단시키는 법적 보존 절차입니다.

인접 분야의 집행에서도 같은 흐름이 보입니다. 프랑스 CNIL과 이탈리아 Garante는 2026년 4월 받은편지함을 개인 사생활의 연장으로 다루는 공식 지침을 발표했습니다 — 지침은 일반적으로 추적 픽셀에 동의를 요구하지만 정해진 예외와 전환 조치가 있습니다. 구체적인 용도에 해당하는 감독기관의 규칙을 확인하세요. 보존 규제와는 다른 장치이지만, 그 밑에 깔린 태도는 같습니다. 감독 기관은 정책 문서가 어딘가에 있는지가 아니라, 기업이 메일의 내용을 가지고 무엇을 하는지를 들여다보고 있습니다.

실제로 버티는 보존 일정

여기에 특별한 도구가 필요하지는 않습니다. 방어 가능한 구조는 몇 개 되지 않는 범주와, 각각에 붙은 문서화된 이유와 기간으로 이루어집니다:

일상적인 업무 메일 — 내부 조율, 일정 잡기, 독립적인 법적 또는 재무적 의미가 없는 일상 연락. 흔히 1년쯤 두었다가 비웁니다.

고객 지원 서신 — 대체로 더 오래, 흔히 2년 정도 두어 보증과 분쟁 기간을 덮습니다.

재무와 세무 관련 기록 — 해당 관할의 세무와 감사 규정이 요구하는 대로이며, 흔히 7년입니다.

법적 보존 명령이 걸린 것 — 종류와 상관없이 명령이 풀릴 때까지 보관하며, 다른 모든 일정에 우선합니다.

구체적인 숫자는 업종과 지역에 따라 다릅니다 — GDPR이 정해 주지 않으며, 감독 기관이나 스스로 문서화한 근거가 정합니다. 중요한 것은 모든 범주에 숫자가 붙어 있고, 그 숫자가 희망 사항이 아니라 실제로 지켜진다는 점입니다.

개인 보관본은 여기서 어디에 놓이는가

로컬 아카이브는 기록의 위치만 바꾸며 보존 의무를 없애지 않습니다. 개인정보가 포함된 업무 메일은 각 범주를 보관하는 이유, 접근할 사람, 삭제할 시점을 정하세요. 서버 메일, 로컬 아카이브, 백업 사본 모두에 이 정책을 적용하세요. 계속 보관하려면 유효한 목적이나 법적 의무가 있어야 하며, 서버에서 옮기는 것만으로 근거가 생기지는 않습니다. CNIL의 보존 지침을 확인하세요.

MailVault는 IMAP이나 OAuth 계정의 모든 폴더를 자기 디스크에 개별 .eml 파일로 보관하며, 제공업체의 메일함과는 아무 상관이 없습니다. 보관할 권한이 있는 기록에만 로컬 사본을 사용하고 접근 제어 및 삭제 일정에 포함하세요. MailVault는 중앙에서 시행하는 보존 정책, 법적 보존, 규정 준수 인증을 제공하지 않습니다. 수동 백업은 무료이고 제한이 없습니다. 보관본을 자동으로 최신으로 유지해 주는 예약 백업은 $4/월 또는 $25/년의 Premium 기능이며, 연간 요금제에는 14일 체험이 있습니다. 이 파일 구조 설명은 기본 Maildir 형식을 기준으로 합니다. 설정 → 저장소에서는 원본 메시지 바이트와 JSON 레코드를 함께 보관하고 동일한 메시지의 중복을 제거하는 JMAP 저장소도 선택할 수 있습니다.

함께 읽기: 오래된 메일 수천 통을 안전하게 삭제하는 방법, 프리랜서를 위한 메일 보관, 서버에서 지운 뒤에도 메일을 간직하는 방법.