세무·회계 서비스 개인정보보호법 가이드
세무사, 공인회계사, 세무대행 플랫폼은 납세자의 소득, 재산, 금융 거래 내역 등 가장 민감한 재무 정보를 다룹니다. 이 정보는 개인정보보호법(PIPA) 보호 대상일 뿐 아니라 세법상 기밀 유지 의무와도 중첩됩니다. 두 의무를 동시에 이해하고 준수하는 것이 핵심입니다.
1. 세무·회계 서비스에서 처리되는 개인정보
납세자 정보의 법적 성격
세무 서비스는 일반 서비스 대비 훨씬 광범위한 개인정보를 처리합니다.
| 정보 유형 | 항목 | 민감도 | |---------|-----|------| | 신원 정보 | 이름, 주민등록번호, 주소 | 높음 | | 소득 정보 | 근로소득, 사업소득, 금융소득 | 매우 높음 | | 재산 정보 | 부동산, 금융자산, 차량 | 매우 높음 | | 금융 거래 | 계좌번호, 거래 내역 | 높음 | | 부채 정보 | 대출 현황, 채무 내역 | 높음 | | 가족 관계 | 부양가족, 배우자 정보 | 중간 | | 의료비 | 지출 내역 (소득공제 목적) | 높음 — 건강 정보 | | 기부금 | 기부 단체, 금액 | 중간 — 종교 연관 가능 |
주민등록번호 처리 의무: 세무 서비스는 세법상 의무(소득세 신고, 세금계산서 발행)로 주민등록번호 처리가 허용됩니다. 단, 암호화 저장은 절대 의무이며, 세법상 의무 범위 외 사용은 금지됩니다.
2. 세법 의무 vs. PIPA 의무의 교차점
두 법령이 충돌할 때
세법은 특정 정보를 보관하도록 요구하는 반면, PIPA는 목적 달성 후 파기를 원칙으로 합니다. 이 충돌을 어떻게 해결해야 할까요?
보관 기간 우선순위:
| 데이터 종류 | 세법 의무 보관 | PIPA 원칙 | 실무 적용 | |-----------|------------|---------|---------| | 세금신고서 | 5년 (국세기본법) | 목적 달성 후 파기 | 5년 보관 후 즉시 파기 | | 세금계산서 | 5년 | 목적 달성 후 파기 | 5년 보관 후 즉시 파기 | | 장부·증빙 | 5년 | 목적 달성 후 파기 | 5년 보관 후 즉시 파기 | | 고용 관련 | 3년 (근로기준법) | 목적 달성 후 파기 | 3년 보관 후 즉시 파기 | | 위임 계약서 | 세무사법상 보관 의무 없음 | 계약 종료 후 1~3년 권장 | 계약 종료 후 3년 |
세법 의무 보관 기간 경과 후 즉시 파기 실행이 핵심입니다. "혹시 몰라서"라는 이유로 기간 경과 후 계속 보관하면 PIPA 위반입니다.
3. 클라우드 세무 소프트웨어와 위탁 처리
SaaS 세무 솔루션 도입 시 주의
더존비즈온, 세무사랑, ERP 클라우드 등 클라우드 기반 세무 소프트웨어를 사용하면 납세자 정보가 해당 소프트웨어 회사 서버에 저장됩니다. 이는 PIPA 제26조 개인정보 처리 위탁입니다.
위탁 처리 시 필수 사항:
- 위탁 계약 체결 — 소프트웨어 이용약관만으로는 부족, 개인정보 처리 위탁 조항 필요
- 처리방침 공개 — "○○ 세무 솔루션에 데이터 처리 위탁" 명시
- 보안 수준 확인 — 클라우드 사업자의 보안 인증(ISMS, ISO 27001) 확인
- 국외 서버 이용 시 — 국외 이전 동의 또는 표준계약조항 필요
[처리방침 위탁 내용]
수탁업체: ○○세무솔루션㈜
위탁 업무: 세무 데이터 저장 및 처리
보유 기간: 세법상 보관 의무 기간 (최대 5년)
서버 위치: 국내 (서울 리전)
4. 세무 대리인의 납세자 정보 접근 범위
위임 범위에 따른 접근 제한
세무 대리인(세무사, 회계사)이 납세자를 대리할 때, 접근 가능한 정보는 위임 범위 내로 제한됩니다.
세무 대리인 정보 접근 원칙:
- 위임장에 명시된 세목·기간의 정보만 접근
- 위임 종료 후 납세자 정보를 다른 고객 업무에 활용 금지
- 직원(보조 인력)에게 정보 접근 시 최소 권한 부여
- 퇴직 직원의 납세자 정보 접근 즉시 차단
다중 고객 데이터 분리 관리:
세무사 사무소 내부 시스템:
고객 A 데이터 ↔ 고객 B 데이터 완전 분리
직원 권한: 담당 고객 데이터만 접근 가능
관리자: 전체 접근 + 감사 로그
5. 세무 정보의 제3자 제공 금지
납세자 정보를 외부에 제공할 수 없는 경우
세무·회계 정보는 특별히 엄격한 기밀 유지 의무가 있습니다.
제3자 제공 금지 원칙:
| 요청 주체 | 제공 가능 여부 | |---------|------------| | 납세자 본인 | 항상 가능 | | 납세자 배우자 | 위임 없으면 원칙 금지 | | 납세자 가족(성인 자녀) | 위임 없으면 원칙 금지 | | 국세청·세무서 | 법령 의무 시 가능 (영장·조세 조사) | | 금융기관 | 납세자 동의 없으면 금지 | | 보험사 | 납세자 동의 없으면 금지 | | 투자자·VC | 납세자 동의 없으면 금지 (M&A 실사 포함) |
M&A 실사(Due Diligence) 시 주의: 기업 인수 과정에서 재무 실사를 위해 납세자(기업) 정보를 인수 후보자에게 제공하는 경우, 기업의 대표이사 명시적 동의와 NDA 체결이 선행되어야 합니다.
6. 원천징수 및 급여 데이터
급여 명세서와 근로자 개인정보
기업 세무를 대행하면서 근로자들의 급여 정보를 처리하는 경우, 해당 근로자들도 정보주체가 됩니다.
급여·원천징수 데이터 처리 원칙:
- 근로자의 급여 정보를 당사자 외 제3자에게 공개 금지
- 급여 명세서 발송 시 암호화 이메일 또는 전용 포털 활용
- 연말정산 정보(의료비, 교육비)는 근로자 동의 기반 처리
- 퇴사자 급여 정보는 근로기준법상 3년 보관 후 파기
급여명세서 발송 방식 비교:
❌ 위험: 일반 이메일 첨부 (암호화 없음)
✅ 권장: 암호화 PDF + 별도 비밀번호 발송
✅ 권장: 전용 급여포털 로그인 후 열람
7. 세무 상담 녹음 및 기록 보관
상담 내용의 개인정보 처리
세무 상담 과정에서 민감한 재무 정보가 언급됩니다. 이를 녹음·기록하는 경우 고지 의무가 있습니다.
상담 기록 처리 기준:
- 전화 상담 녹음 시 고객 사전 고지 의무
- 상담 메모는 업무 목적 내에서만 사용
- 상담 완료 후 보관 기간 설정 (1~3년 권장)
- 다른 고객 상담에 타 고객 정보 언급 금지
8. 개인정보처리방침 세무·회계 서비스 특화 항목
# 개인정보처리방침
## 세무·회계 서비스 관련 개인정보 처리
**수집 항목:**
- 신원 정보: 이름, 주민등록번호 (세법 의무)
- 재무 정보: 소득, 재산, 금융 거래 내역
- 세금 신고 자료: 각종 증빙 서류
**수집 근거:** 세무 대리 위임 계약 및 세법상 의무 이행
**보관 기간:**
- 세금 신고 관련 서류: 신고 완료 후 5년 (국세기본법)
- 위임 계약서: 계약 종료 후 3년
**주민등록번호:** 세법상 의무 목적으로만 처리, AES-256 암호화 저장
**제3자 제공:** 납세자 동의 또는 법령 의무 외 제공 없음
**처리 위탁:**
수탁업체: ○○세무솔루션 / 위탁 업무: 세무 데이터 저장
9. PipaGuard로 세무·회계 서비스 컴플라이언스 관리
PipaGuard 지원 기능:
- 세무·회계 사무소 맞춤 개인정보처리방침 생성
- 주민등록번호 처리 근거 및 암호화 가이드
- 세법 보관 의무 기간 만료 알림 설정
- 위탁 계약서 법정 조항 체크리스트
- 납세자 권리 행사 처리 워크플로
무료로 시작하기: pipaguard.vercel.app
체크리스트: 세무·회계 서비스 PIPA 필수 점검
- [ ] 주민등록번호 AES-256 암호화 저장 구현
- [ ] 세법 보관 의무 기간(5년) 경과 후 즉시 파기 스케줄 설정
- [ ] 클라우드 세무 솔루션 위탁 계약서 법정 조항 포함
- [ ] 처리방침에 위탁업체 및 주민번호 처리 근거 명시
- [ ] 직원별 담당 고객 데이터만 접근 가능한 권한 설정
- [ ] 퇴직 직원 납세자 정보 접근 즉시 차단 절차 수립
- [ ] 급여 명세서 암호화 발송 또는 전용 포털 운영
- [ ] 납세자 정보 제3자 제공 요청 시 동의 확인 절차 수립
- [ ] 상담 녹음 시 고객 사전 고지 프로세스 운영
- [ ] 연 1회 이상 납세자 정보 보안 점검 실시
자주 묻는 질문
Q. 세무사가 납세자의 허락 없이 국세청에 자료를 제출해도 되나요?
A. 세무 대리 위임 범위 내라면 위임장에 근거해 제출 가능합니다. 그러나 위임 범위를 벗어나거나 위임 기간 종료 후 제출하는 것은 허용되지 않습니다. 국세청 세무조사 등 강제적 자료 제출 요구는 법령상 의무로 납세자에게 사전 또는 사후 고지해야 합니다.
Q. 고객사 직원의 급여 정보를 그 직원이 요청하면 바로 줘야 하나요?
A. PIPA 제35조 열람 요청권에 따라 정보주체(해당 직원)는 자신의 급여 정보 열람을 요청할 수 있습니다. 단, 세무 대행의 경우 정보주체는 기업(고용주)이므로, 고용주의 동의 없이 개별 직원에게 급여 정보를 제공하는 것에는 주의가 필요합니다. 개별 직원의 급여 명세서는 해당 직원에게 직접 제공하는 것이 원칙입니다.
Q. 폐업한 고객의 세무 자료를 계속 보관해도 되나요?
A. 세법상 5년 보관 의무 기간이 지났다면 파기해야 합니다. "언젠가 세무조사가 올 수도 있다"는 이유로 기간 경과 후 계속 보관하는 것은 PIPA 위반입니다. 고객이 폐업하더라도 법정 보관 기간 내라면 보관, 기간 경과 후에는 즉시 파기가 원칙입니다.
세무·회계 서비스는 납세자의 재산과 소득이라는 가장 민감한 정보를 다룹니다. 이 정보를 철저히 보호하는 것이 세무사, 회계사의 직업 윤리이자 법적 의무입니다. PipaGuard로 세무 서비스 PIPA 컴플라이언스를 지금 점검하세요.