GDPR 과징금 €61.1억 돌파 — "전부 영구 보관"은 컴플라이언스 위험일까요?

CMS GDPR Enforcement Tracker Report 2025/2026에 따르면, 2026년 3월 기준 EU 전역의 누적 GDPR 과징금은 약 €61.1억에 이르며, 기록된 집행 사례는 2,685건입니다. 이 데이터에서 개별 사건의 과징금은 최대 €12억에 달합니다. GDPR이 처음 시행된 2018년에 조직의 위험 모델이 어떤 모습이었든, 8년이 지난 지금의 집행 양상은 더 이상 이론이 아닙니다 — 데이터 취급을 잘못한 기업에게는 꾸준하고 충분히 기록된 비용 항목입니다.

메일 보존에 관한 조언 대부분은 엉뚱한 실패 방식을 겨냥합니다. 규정 준수를 위해 어떤 종류의 메일을 얼마나 간직해야 하는지 알려 줍니다 — 재무 기록은 7년, 지원 티켓은 2년 — 마치 위험은 늘 너무 일찍 지우는 쪽에만 있다는 듯이 말입니다. 그 위험은 실재합니다. 하지만 규제 기관은 반대쪽 실수, 곧 무엇이든 지우기가 겁나서 전부 무기한 보관하는 것 역시 그 자체로 위반이라고 점점 분명히 말하고 있습니다.

대부분의 보존 정책이 건너뛰는 원칙

GDPR은 메일에 대해 정해진 보존 기간을 알려 주지 않으며, 그 모호함 때문에 수많은 조직이 "혹시 모르니 아무것도 지우지 말자"로 기울어집니다. 하지만 저장 제한 원칙인 제5조 제1항 (e)는 개인정보를 수집 목적에 "필요한 기간을 넘겨" 보관하지 못하도록 요구하며, 그 옆에는 데이터 최소화 원칙인 제5조 제1항 (c)가 나란히 있습니다. 무기한 보관은 두 원칙 어느 쪽에서도 안전한 기본값이 아닙니다. 오히려 그 원칙들이 금지하려고 쓰인 바로 그것입니다.

실무적으로 이는, 조직이 보유한 모든 메일 범주에 대해 왜 보관하고 있으며 앞으로 얼마나 더 보관할 것인지 답할 수 있어야 한다는 뜻입니다. "언젠가 필요할지도 모른다"는, 그 심정이 아무리 이해되더라도 감독 기관이 받아들이는 답이 아닙니다.

이제 감독 기관은 정책 문서가 아니라 증거를 원합니다

또 하나 눈여겨볼 변화가 있습니다. 컴플라이언스 폴더에 들어 있는 문서 형태의 보존 정책만으로는 더 이상 집행 기준을 충족하지 못합니다. 감독 기관이 요구하는 것은 그 정책이 실제로 지켜지고 있다는 감사 가능한 증거입니다 — 문서화된 삭제 절차, 개별 직원의 재량에 맡기지 않고 서버 수준에서 적용되는 보존 일정, 그리고 소송이 합리적으로 예상될 때 통상적인 삭제를 올바르게 중단시키는 법적 보존 절차입니다.

인접 분야의 집행에서도 같은 흐름이 보입니다. 프랑스 CNIL과 이탈리아 Garante는 2026년 4월 모두 공식 지침을 내어 받은편지함을 개인의 사생활의 연장으로 다루었습니다 — 메일 추적 픽셀에 관한 새 규칙은, 수신자의 메일함 안에서 벌어지는 일을 보이지 않게 보고하는 무엇이든 사전 동의를 받도록 요구합니다. 보존 규제와는 다른 장치이지만, 그 밑에 깔린 태도는 같습니다. 감독 기관은 정책 문서가 어딘가에 있는지가 아니라, 기업이 메일의 내용을 가지고 무엇을 하는지를 들여다보고 있습니다.

실제로 버티는 보존 일정

여기에 특별한 도구가 필요하지는 않습니다. 방어 가능한 구조는 몇 개 되지 않는 범주와, 각각에 붙은 문서화된 이유와 기간으로 이루어집니다:

일상적인 업무 메일 — 내부 조율, 일정 잡기, 독립적인 법적 또는 재무적 의미가 없는 일상 연락. 흔히 1년쯤 두었다가 비웁니다.

고객 지원 서신 — 대체로 더 오래, 흔히 2년 정도 두어 보증과 분쟁 기간을 덮습니다.

재무와 세무 관련 기록 — 해당 관할의 세무와 감사 규정이 요구하는 대로이며, 흔히 7년입니다.

법적 보존 명령이 걸린 것 — 종류와 상관없이 명령이 풀릴 때까지 보관하며, 다른 모든 일정에 우선합니다.

구체적인 숫자는 업종과 지역에 따라 다릅니다 — GDPR이 정해 주지 않으며, 감독 기관이나 스스로 문서화한 근거가 정합니다. 중요한 것은 모든 범주에 숫자가 붙어 있고, 그 숫자가 희망 사항이 아니라 실제로 지켜진다는 점입니다.

개인 보관본은 여기서 어디에 놓이는가

개인과 소규모 팀에는 여기에 진짜 긴장이 있습니다. 보존 원칙은 오래된 메일을 서버에서 지우라고 하지만, 실사용 메일함이 더는 그것을 들고 있으면 안 된다는 규정 때문에 15년치 서신을 잃고 싶은 사람은 없습니다. 해법은 백업 위험에 적용되는 것과 같습니다 — 서버에 남는 것과 사본을 간직하는 것을 분리하는 것입니다.

MailVault는 IMAP이나 OAuth 계정의 모든 폴더를 자기 디스크에 개별 .eml 파일로 보관하며, 제공업체의 메일함과는 아무 상관이 없습니다. 그래서 실사용 계정에 보존 일정을 실제로 적용할 여지가 생깁니다 — 정당한 기간이 지난 것을 지우면서도 — 밑에 깔린 기록을 잃지 않습니다. 그 기록은 이미 사용자가 관리하는 곳에, 어떤 클라이언트로도 열 수 있는 형식으로 있기 때문입니다. 수동 백업은 무료이고 제한이 없습니다. 보관본을 자동으로 최신으로 유지해 주는 예약 백업은 $4/월 또는 $25/년의 Premium 기능이며, 연간 요금제에는 14일 체험이 있습니다.

함께 읽기: 오래된 메일 수천 통을 안전하게 삭제하는 방법, 프리랜서를 위한 메일 보관, 서버에서 지운 뒤에도 메일을 간직하는 방법.