상담기록 보관방법: 보관 기간, 저장 장소, 녹음 파일, 파기 절차

CareOps 편집팀 · 2026년 10월 14일 · 14분 읽기

CareOps가 발행하는 심리상담사용 실무 글과 서비스 안내입니다.

센터를 옮기려고 캐비닛을 정리하다 3년 전에 종결한 내담자의 일지 묶음과 녹음 파일이 나옵니다. 더 두어야 하는지, 버려도 되는지, 어떻게 없애야 하는지 정해 둔 규정이 없으면 그 자리에서 판단해야 합니다. 학회 규정과 법령 원문을 열어 확인한 만큼, 어디에 어떻게 보관하고 어떻게 파기하는지 정리했습니다.

상담기록 보관 기간은 몇 년인가요?

상담기록 전체의 보관 연한을 한 숫자로 정한 조문은 확인한 범위에서 찾지 못했습니다. 따르는 기준은 소속 학회 윤리 규정, 기관 규정, 사업 지침이고, 개인정보 보호법은 그 기간이 지나면 지체 없이 파기하라는 틀을 줍니다.

두 학회의 숫자는 맞지 않습니다. ‘3년 이내’는 5년 보관과 양립하지 않으니 두 학회에 모두 소속이거나 기관 규정이 따로 있으면 기관·수퍼바이저·학회에 확인하세요. 한국상담학회 문장에는 5년의 기산점(종결일인지 마지막 회기일인지)이 없으니 내 규정에 직접 정합니다. 학회 규정의 나머지는 상담일지 글에서 다뤘습니다.

기록 종류별로 어떻게 보관하나요?

사례지도·발표·출판에 상담 내용을 쓸 때는 내담자의 동의가 필요합니다(한국상담학회 윤리강령 제5조 ③). 동의서의 보유 기간 문구는 실제 보관과 같아야 하니 동의서 글·축어록 글과 함께 맞춰 두세요.

종이와 전자 기록은 어떻게 안전하게 보관하나요?

개인정보 보호법 제2조 제5호는 개인정보처리자에 공공기관·법인·단체와 함께 개인을 포함합니다. 내담자 정보를 쉽게 찾도록 정리해 두었다면 1인 상담소의 상담사도 제29조의 안전조치 대상일 수 있습니다. 제29조는 ‘유출등이 되지 아니하도록 내부 관리계획 수립, 접속기록 보관 등’ 기술적·관리적·물리적 조치를 하라고 하고, 시행령 제30조와 개인정보보호위원회 고시 「개인정보의 안전성 확보조치 기준」이 구체적 조치를 적습니다.

고시 제4조 제1항 단서는 1만 명 미만 정보주체의 개인정보를 처리하는 소상공인·개인·단체가 내부 관리계획을 생략할 수 있다고 정합니다. 해당 여부는 형태에 따라 다르니 확인하되, 생략할 수 있어도 보관 규정 한 장은 두는 편이 좋습니다.

클라우드·외부 서비스를 쓸 때 무엇을 확인하나요?

기록을 클라우드에 두거나 전사·요약 서비스에 올린다면 서비스 회사가 내담자 정보를 처리·보관하는 구조인지부터 봅니다. 제26조는 처리를 위탁할 때 문서로 하고, 위탁 내용과 수탁자를 정보주체가 쉽게 확인하게 공개하며, 수탁자를 교육·감독하라고 정합니다. 국외로 제공·위탁·보관하는 것은 원칙적으로 금지이고 별도 동의 등 예외 요건이 있습니다(제28조의8). 서비스가 저장만 하는지 처리까지 하는지에 따라 ‘위탁’ 해당 여부가 달라질 수 있으니 판단이 어려우면 법률 전문가에게 확인하세요.

• 데이터 위치 — 저장되는 나라와 국외 이전 여부, 그 고지 방법
• 2차 이용 — 서비스 개선·AI 학습에 내담자 정보를 쓰는지, 끌 수 있는지
• 식별 정보와 오디오 — 이름·연락처가 외부로 나가기 전에 가려지는지, 녹음 원본이 외부로 전송되는지
• 접근 통제 — 계정별 권한, 접속기록, 2단계 인증
• 삭제·해지 — 복원되지 않게 지워지는지, 백업까지 지워지는 기간, 해지 시 자료 반출
• 유출 대응 — 제34조는 유출 시 지체 없이 정보주체에 알리고 기준에 따라 신고하도록 합니다(기한·기준은 시행령 확인)

상담 녹음 파일은 어떻게 보관하고 파기하나요?

한국상담학회 윤리강령 제5조 ②는 녹음·녹화에 내담자의 동의를 받도록 하고, 한국상담심리학회 윤리규정은 녹음·녹화 가능성과 사례지도·교육 활용 가능성을 설명하고 동의하거나 거부할 권리를 알리도록 합니다. 두 규정에서 녹음 파일만의 보관 기간은 확인하지 못했으므로, 기간과 파기 시점은 상담사가 정해 동의서에 적어야 합니다.

1. 녹음하는 목적과 쓰지 않는 용도, 누가 듣는지(본인, 수퍼바이저)
2. 보관 장소와 방식(기기, 폴더, 암호 설정)
3. 보관 기간과 파기 시점 — 예: 전사 확인 후 ○일, 수퍼비전 종료 시, 종결 시
4. 녹음을 거부할 수 있다는 것과 궁금한 점을 묻는 창구

파일 이름에는 실명 대신 사례 코드와 날짜만 쓰고, 휴대폰 녹음 앱의 자동 클라우드 동기화를 끕니다. 정한 날 원본을 삭제하고 휴지통·백업도 비웁니다.

상담기록은 어떻게 파기하고 무엇을 남기나요?

개인정보 보호법 제21조 ①은 보유기간이 지나거나 처리 목적을 달성해 불필요해지면 지체 없이 파기하라고 정하고, 다른 법령에 따라 보존해야 하면 예외로 둡니다. 이 경우 다른 개인정보와 분리해 저장·관리합니다(③). 파기는 복구 또는 재생되지 않게 해야 합니다(②).

확인한 범위에서 고시는 파기 기록을 남기라고 따로 정하지 않지만 내부 관리계획에 파기에 관한 사항을 넣도록 합니다(제4조 ① 제13호). 법 요건은 아니나 ‘언제 어떻게 없앴는지’를 말할 수 있도록 파기 대장(날짜·대상 범위·방법·확인자)을 남기기를 권합니다. 대장에도 이름 대신 사례 코드를 씁니다.

내담자가 기록 열람을 요청하면 어떻게 하나요?

개인정보 보호법 제35조는 정보주체의 열람 요구를 인정하고, 처리자는 대통령령으로 정한 기간 안에 열람하게 해야 한다고 정합니다. 제한·거절 사유는 한정되어 있고 알려야 합니다. 민간 상담소에 해당하는 사유는 법률이 열람을 금지·제한하는 경우, 다른 사람의 생명·신체를 해하거나 재산·이익을 부당하게 침해할 우려가 있는 경우입니다. 학회 기준은 결이 다릅니다. 한국상담학회 윤리강령 제5조 ④는 기록이 잘못 이해될 가능성이 없고 해가 되지 않으면 응하되 다른 내담자의 사적 정보는 뺍니다. 한국상담심리학회 윤리규정은 열람 요청을 문서로 기록하고 제한 시 이유를 적게 합니다.

1. 요청을 서면(문자·메일 포함)으로 받아 날짜를 적고 본인 확인을 합니다.
2. 범위를 정합니다. 가족·부부·집단 상담이면 다른 내담자와 제3자 정보를 가립니다.
3. 제한·거절을 고민한다면 법이 정한 사유에 해당하는지 기관·법률 전문가와 확인합니다. 윤리 판단만으로 거절하지 않습니다.
4. 거절·연기하면 사유를 알리고 기록합니다. 처리 기간은 시행령을 확인합니다.

법원·수사기관이 자료를 요구하면 어떻게 하나요?

비밀보장의 한계는 동의서에 미리 적어 두는 것이 출발점입니다. 아래는 조문을 직접 확인한 만큼입니다.

• 개인정보 보호법 제18조 제2항 — 목적 외 제공이 가능한 경우로 정보주체의 별도 동의, 다른 법률에 특별한 규정이 있는 경우 등을 열거합니다. 수사·재판 업무를 위한 호는 단서에서 공공기관으로 한정됩니다.
• 형사소송법 제149조 — 업무상 비밀 증언을 거부할 수 있는 직으로 변호사·공인회계사·의사·약사·간호사·종교의 직에 있는 사람 등을 나열하며 심리상담사는 없습니다. 거부할 근거가 있는지는 자격·소속에 따라 달라 법률 자문이 필요합니다.
• 아동학대범죄의 처벌 등에 관한 특례법 제10조 제2항 — 신고의무자로 정신건강복지센터·청소년시설·사회복지시설·학교·의료기관 등의 종사자를 나열합니다. 소속 기관이 해당하면 직무 중 아동학대를 알게 된 경우 신고 의무가 생길 수 있습니다.

1. 요청 기관, 근거 법조문, 자료 범위를 서면으로 확인합니다.
2. 내담자 동의가 있는지, 법률에 근거한 요청인지, 협조를 구하는 요청인지 구분합니다.
3. 혼자 판단하지 말고 기관 책임자·수퍼바이저·법률 전문가와 먼저 상의합니다.
4. 제공한다면 요청 범위 안의 최소한만 내고 날짜·대상·근거를 기록합니다. 내담자에게 알릴 수 있는지도 함께 확인합니다.

자해·타해 위험이 임박한 경우의 비밀보장 예외는 학회 윤리규정과 소속 기관의 위기 대응 절차에 따르며, 이 글은 그 판단 기준을 다루지 않습니다.

센터를 옮기거나 폐업할 때 기록은 어떻게 하나요?

• 귀속 확인 — 센터 소속이면 기록이 센터의 관리 대상일 수 있습니다. 위촉 계약서·내규에서 귀속, 보관 장소, 퇴사 시 처리를 봅니다.
• 내담자 이동 — 내담자를 함께 옮기려면 센터 규정과 내담자 동의를 확인합니다. 법적 구성은 사안별이니 법률 전문가에게 확인하세요.
• 인수인계 — 담당 사례 목록, 종결·진행 상태, 진행 중인 위험 관련 조치를 문서로 넘기고 퇴사자 계정·접근 권한을 삭제합니다.
• 폐업 — 보유 기간이 지난 기록은 파기하고(제21조 ①), 법령·지침상 보존할 기록은 분리 보관하며 보관 책임자와 장소를 정합니다(③).
• 영업 양도 — 제27조는 이전 전에 정보주체에게 이전 사실, 이전받는 자의 연락처, 이전을 원하지 않을 때의 방법·절차를 알리도록 합니다.

보관 규정 한 장짜리 템플릿

규정은 한 장이면 충분합니다. 동의서의 보유 기간 문구, 파기 대장, 이 규정의 숫자가 서로 같은지만 확인하세요.

CareOps는 녹음하거나 파일을 올리면 상담자와 내담자를 나눈 축어록과 상담 노트 초안을 만듭니다. 이름·연락처는 AI로 보내기 전에 기기 안에서 가려지고, 녹음 오디오는 외부 상용 AI로 보내지 않으며, AI 초안은 상담사가 검토·수정한 것만 최종 기록이 됩니다. 어떤 도구를 쓰든 위의 외부 서비스 체크리스트로 같은 방식으로 확인해 보세요.

CareOps를 도입하려면 도입 안내를 확인하세요.

이 글은 일반적인 실무 안내입니다. 제출용 양식과 윤리 기준은 소속 학회·기관의 규정을 따르세요.