요약
이 장은 통신 기록 하나가 무엇을 말하고 무엇을 말하지 않는지를 묻는다. 이메일 본문과 헤더의 분업, 송수신 시각의 법적 의미, 메신저 대화의 연속성과 누락, 통화 사실과 통화 내용의 구별을 차례로 살핀다. 통신 기록의 보관과 안전조치를 검토한 뒤, 자료의 존재와 평가의 한계를 밝히며, 전달 경로의 재구성과 인식의 판단은 다음 장에서 다룬다.
6.1이메일 본문과 헤더의 분업
자료가 제출되었다는 사실을 적절한 취급이나 합의의 근거로 넘길 수 없다면, 제출된 자료 묶음 안의 이메일 본문과 헤더는 각각 무엇을 담는지 살펴야 한다. 상대방이 낸 자료 묶음에는 '변경합의'라는 제목의 이메일 본문과 그 헤더가 함께 들어 있고, 본문은 합의 내용을 요약하며 첨부 파일을 지칭한다. 이 두 부분이 같은 대상을 기록하는지, 아니면 서로 다른 정보를 나누어 담는지부터 가려야 본문의 요약이 갖는 법적 무게를 헤아릴 수 있다.
전자문서 및 전자거래 기본법 제5조는 문서 보관의 요건을 정하면서, 어떤 사항이 본문에 담기든 별도로 보존되어야 하는지를 알려 준다. 같은 법 제5조 제1항 제2호는 "전자문서의 작성자, 수신자 및 송신·수신 일시에 관한 사항이 포함되어 있는 경우에는 그 부분이 보존되어 있을 것"이라고 규정한다. 작성자·수신자와 송수신 일시는 문서의 내용과는 구별되는 사항이며, 해당 부분이 함께 보존되어야 보관 요건이 충족된다는 뜻이다.
이 구분은 이메일에서 본문과 헤더의 분업으로 이어진다. 본문은 합의 내용의 요약을 담고, 헤더는 송수신 일시와 경유 서버 기록을 담는다. 같은 법 제5조 제1항 제2호가 요구하는 작성자·수신자·송수신 일시는 본문의 요약 문장이 아니라 헤더 쪽의 기록에서 확인한다. 묶음에 들어 있는 헤더가 그 부분에 해당하며, 본문과 헤더가 하나의 합쳐진 기사처럼 읽히는 것이 아니라 각자 맡은 정보를 나누어 보여 준다는 점이 이 사례에서 확인된다.
그렇다면 본문이 말한 첨부 파일이 묶음에 없다는 사실은 무엇을 뜻할까. 같은 법 제5조 제2항은 전자화문서의 보관에 관해 "전자화문서가 전자화대상문서와 그 내용 및 형태가 동일할 것"이라고 요건을 정한다. 내용과 형태의 동일성이 별도의 요건으로 요구된다는 점은, 자료 묶음에 무엇이 빠져 있는지와 그 빠진 것이 원래 존재했는지가 서로 다른 질문임을 보여 준다. 묶음에 첨부가 없다는 사실만으로 첨부가 애초에 존재하지 않았다고 단정할 수 없고, 첨부가 존재했다는 사실만으로 합의가 성립했다고 단정할 수도 없다. 첨부의 존재 여부는 미정으로 남는다.
다만 이 요건을 이메일에 그대로 대입할 때는 한 가지 유보가 남는다. 같은 법 제5조 제4항은 "제1항과 제2항을 적용할 때 송신 또는 수신만을 위하여 필요한 부분은 전자문서로 보지 아니할 수 있다"고 선언한다. 송수신만을 위해 필요한 부분은 전자문서에서 제외될 수 있다는 점은, 헤더의 전부가 곧 제5조 제1항 제2호의 보존 대상에 자동으로 들어간다는 뜻이 아님을 뜻한다. 헤더의 어떤 부분이 송수신만을 위한 것인지, 어떤 부분이 보존 요건을 채우는 사항인지는 이 사례에서 미정으로 남는다.
결국 묶음 안의 이메일 본문과 헤더는 분업 관계에 있으며, 본문의 요약은 합의 내용의 기록이고 헤더는 송수신 정보의 기록이다. 묶음에 첨부가 없다는 사실은 그 자체로 첨부의 부존재도 합의의 성립도 말해 주지 않는다. 자료가 있다는 사실이 법적 평가로 이어지지 않는다는 앞의 전제는, 이메일 하나를 본문·헤더·첨부로 나누어 읽을 때에도 그대로 유지된다.
6.2송수신 시각의 법적 의미
첨부의 부존재를 단정할 수 없다는 결론에서 나아가, 이번에는 헤더에 적힌 송수신 일시가 법이 정한 시점과 어떻게 맞물리는지 살펴보아야 한다. 상대방이 제출한 자료 묶음의 이메일 헤더에는 송수신 일시와 경유 서버가 기록돼 있다. 이 표시를 법적 시점으로 읽으려면, 전자문서 및 전자거래 기본법 제6조가 정한 송신의 시기와 수신의 시기를 먼저 확인해야 한다.
송신의 시기에 관하여 전자문서 및 전자거래 기본법 제6조 제1항은, "전자문서는 작성자 또는 그 대리인이 해당 전자문서를 송신할 수 있는 정보처리시스템에 입력한 후 해당 전자문서를 수신할 수 있는 정보처리시스템으로 전송한 때 송신된 것으로 본다"라고 규정한다. 이 규정은 송신을 입력과 전송이 끝난 때로 정한다. 이메일 헤더에 적힌 시각이 이 법정 기준의 어느 지점을 표시하는지는 여기서 바로 드러나지 않는다. 경유 서버가 적힌 헤더 표시는 전송 경로를 보여줄 뿐이므로, 작성자의 시스템에서 언제 입력이 끝났는지는 별도로 확인되어야 한다.
수신의 시기는 사정에 따라 달라진다. 같은 조 제2항은 수신 시기를 추정하는 두 가지 경우를 나누어 두는데, 먼저 제1호는 "수신자가 전자문서를 수신할 정보처리시스템을 지정한 경우: 지정된 정보처리시스템에 입력된 때. 다만, 전자문서가 지정된 정보처리시스템이 아닌 정보처리시스템에 입력된 경우에는 수신자가 이를 검색 또는 출력한 때를 말한다"라고 정한다(전자문서 및 전자거래 기본법 제6조). 수신 시스템을 지정했는지 여부에 따라 단서의 적용이 갈린다. 지정된 시스템이 아닌 곳에 입력된 경우에는 검색 또는 출력의 시점이 기준이 되므로, 헤더에 찍힌 일시만으로는 어느 경우에 해당하는지 판정하기 어렵다.
시스템 지정이 없을 때의 기준도 분명하다. 제6조 제2항 제2호는 "수신자가 전자문서를 수신할 정보처리시스템을 지정하지 아니한 경우: 수신자가 관리하는 정보처리시스템에 입력된 때"로 수신을 추정한다. 이 경우 입력의 시점이 곧 수신 추정의 기준이다. 그러나 자료 묶음의 이메일에 수신 시스템이 지정돼 있었는지, 지정되지 않았다면 어느 시스템이 수신자의 관리에 놓여 있었는지는 미정이다.
나아가 장소의 기준도 함께 놓고 보아야 한다. 제6조 제3항은 "전자문서는 작성자 또는 수신자의 영업소 소재지에서 각각 송신 또는 수신된 것으로 보며, 영업소가 둘 이상일 때에는 해당 전자문서를 주로 관리하는 영업소 소재지에서 송신·수신된 것으로 본다. 다만, 작성자 또는 수신자가 영업소를 가지고 있지 아니한 경우에는 그의 상거소에서 송신·수신된 것으로 본다"라고 규정한다(전자문서 및 전자거래 기본법 제6조). 영업소 소재지가 송수신의 장소 기준이 된다는 점이 분명하다. 다만, 자료에 작성자와 수신자의 영업소 소재지는 확인돼 있지 않다.
결국 헤더의 송수신 일시는 그 자체로 법이 정한 송신 시점이나 수신 추정 시점을 확정하지 못한다. 이메일의 송수신 시각이 어떤 정보처리시스템을 기준으로 기록되었는지, 수신 시스템의 지정 여부와 검색·출력의 시점이 무엇인지, 그리고 영업소 소재지는 무엇인지가 함께 확인되어야 한다. 자료 묶음에 이름과 작성일 표시가 서로 다른 계약 파일이 함께 들어 있고, 이메일의 송수신 일시와 사건 뒤 작성된 설명 문서의 작성 일자 표시가 서로 다른 시간대 기준일 수 있으므로, 세 기록의 시각을 한 줄로 놓고 크기만 비교하는 방식은 법정 기준에 맞지 않는다. 시각 환산의 규칙이나 수신자의 인식 시점을 만들어 헤더 표시를 보충하는 방식은 이 법정 기준을 넘어선다.
6.3메신저 대화의 연속성과 누락
헤더에 적힌 송수신 일시가 한 문서의 도착 시점을 표시한다면, 메신저 대화는 그 시점들이 이어지는 흔적이다. 그런데 대화 묶음 가운데 세 기록의 시각이 같은 시간대 기준인지는 미정이다. 이 점은 메신저 대화에서 끊긴 자리를 어떻게 읽어야 하는지로 물음을 옮긴다.
전자문서 및 전자거래 기본법 제5조는 전자문서의 보관 요건을 정한다. 관계 법령에서 정하는 문서의 보관을 갈음하기 위한 요건으로, 제5조 제1항 제2호는 "전자문서의 작성자, 수신자 및 송신·수신 일시에 관한 사항이 포함되어 있는 경우에는 그 부분이 보존되어 있을 것"이라고 둔다. 이는 보관을 갈음하려는 문서에 송수신 일시가 담겨 있는 경우, 그 부분이 함께 남아 있어야 한다는 뜻이다. 메신저 대화에서 발언마다 붙는 시각 표시가 이에 대응하는 부분이 된다.
그런데 대화의 보관에 관해 제5조 제4조항은 전자문서로 보지 아니할 수 있는 범위를 둔다. 제5조 제4항은 "제1항과 제2항을 적용할 때 송신 또는 수신만을 위하여 필요한 부분은 전자문서로 보지 아니할 수 있다"고 선언한다. 이는 송수신을 위해 붙는 표시 자체가 곧 대화 내용은 아님을 드러낸다. 대화의 빈 자리를 채울 때, 시각 표시만 보고 그 자리에 어떤 말이 오갔다고 정할 수 없다는 점이 여기에서 확인된다.
개인정보 보호법 제29조는 보관의 요건과 다른 차원의 의무를 둔다. 안전조치의무로서, 제29조는 "개인정보처리자는 개인정보가 유출등이 되지 아니하도록 내부 관리계획 수립, 접속기록 보관 등 대통령령으로 정하는 바에 따라 안전성 확보에 필요한 기술적·관리적 및 물리적 조치를 하여야 한다"고 규정한다. 접속기록의 보관은 안전성 확보의 조치로 요구될 뿐, 그 기록에 담긴 발언의 존재를 뜻하지는 않는다. 묶음에 들어 있는 설명 문서는 당시 의사결정의 배경을 서술하지만, 문서 앞뒤의 작성 일자 표시와 본문이 말하는 시점이 서로 다르다. 설명 문서 작성 당시 어떤 자료가 검토됐는지는 미정이다. 이 미정은 그대로 남는다.
대화에 끊긴 자리는 그 자체로 어떤 발언이 있었다는 근거가 되지 않는다. 누락의 자리에 말을 채워 넣는 대신, 남은 기록이 무엇을 보여주고 무엇을 보여주지 않는지를 가려 읽어야 한다. 자료가 있다는 사실이 곧 법적 평가가 아니듯이, 기록이 없다는 사실 역시 곧 어떤 발언이 있었다거나 없었다는 정함이 아니다.
6.4통화 사실과 통화 내용의 구별
대화의 빈 자리를 특정 발언으로 메우지 않는 태도는, 통화 기록을 읽을 때도 그대로 이어진다. 통화 기록에 남는 것은 통화가 있었다는 사실과 그에 부수한 표시들이다. 그러므로 기록이 보여주는 범위를 먼저 가름하고, 그 안에 무엇이 들어 있고 무엇이 들어 있지 않은지 살피는 것이 이 절의 출발점이다.
통화 기록은 통화가 맺어진 사실, 즉 발신과 수신, 그 시각과 같은 표시를 담는다. 개인정보 처리자가 이러한 항목을 수집하는 경우 그 수집은 법이 정한 요건 아래에서만 이루어질 수 있는데, 개인정보 보호법 제15조는 이를 명시한다. 그 조문은 "개인정보처리자는 다음 각 호의 어느 하나에 해당하는 경우에는 개인정보를 수집할 수 있으며 그 수집 목적의 범위에서 이용할 수 있다. <개정 2023. 3. 14.> 1. 정보주체의 동의를 받은 경우 2. 법률에 특별한 규정이 있거나 법령상 의무를 준수하기 위하여 불가피한 경우 (…) 4. 정보주체와 체결한 계약을 이행하거나 계약을 체결하는 과정에서 정보주체의 요청에 따른 조치를 이행하기 위하여 필요한 경우 (…) 6. 개인정보처리자의 정당한 이익을 달성하기 위하여 필요한 경우로서 명백하게 정보주체의 권리보다 우선하는 경우. 이 경우 개인정보처리자의 정당한 이익과 상당한 관련이 있고 합리적인 범위를 초과하지 아니하는 경우에 한한다."고 규정한다(개인정보 보호법 제15조). 수집된 기록이 어떤 항목으로 이루어지는지는 그 수집의 목적과 범위 안에서 판단될 일이며, 기록에 담긴 표시가 곧 대화의 내용을 뜻하지는 않는다.
나아가 수집의 방식에도 한계가 있다. 같은 법 제15조 제2항은 동의를 받을 때 "다음 각 호의 사항을 정보주체에게 알려야 한다. 다음 각 호의 어느 하나의 사항을 변경하는 경우에도 이를 알리고 동의를 받아야 한다. 1. 개인정보의 수집·이용 목적 2. 수집하려는 개인정보의 항목 3. 개인정보의 보유 및 이용 기간 4. 동의를 거부할 권리가 있다는 사실 및 동의 거부에 따른 불이익이 있는 경우에는 그 불이익의 내용"으로 그 사항을 적시하도록 한다(개인정보 보호법 제15조). 통화 기록에 어떤 항목이 담기는지, 그 항목이 어디까지인지가 바로 그 범위의 문제이고, 범위에 없는 내용은 기록에서 찾아낼 수 없다.
따라서 통화 기록이 통화가 있었다는 사실을 보여준다고 해서, 그 통화에서 어떤 합의가 이루어졌는지까지 더듬어 낼 수는 없다. 합의의 성립 여부와 당시의 인식은 대화의 내용을 다루는 문제이고, 통화 기록은 그러한 내용을 담지 않는다. 앞서 살핀 대화의 누락에 관한 판단과 마찬가지로, 기록에 없는 대화 내용을 지어내는 것은 기록의 한계를 넘어서는 일이다.
이 사례에서 상대방이 제출한 자료 묶음에는 '변경합의'라고 적힌 이메일 본문과 그 헤더가 들어 있다. 헤더에는 송수신 일시와 경유 서버가 적혀 있다. 송수신 일시는 통화 기록의 시각 표시와 같은 성질의 것으로서, 그 시각에 어떤 일이 있었는지를 보여줄 뿐 그 내용을 적지 않는다. 본문이 말한 첨부 파일이 묶음에 없다는 사실도, 첨부가 존재하지 않았다는 판단의 근거가 될 수는 없다. 세 기록의 시각이 같은 시간대 기준인지도 미정이다.
기록을 안전하게 보관해야 할 의무가 있었다는 사정 역시 기록의 내용과는 별개의 문제다. 개인정보 보호법 제29조는 "개인정보처리자는 개인정보가 유출등이 되지 아니하도록 내부 관리계획 수립, 접속기록 보관 등 대통령령으로 정하는 바에 따라 안전성 확보에 필요한 기술적·관리적 및 물리적 조치를 하여야 한다. <개정 2015. 7. 24., 2026. 3. 10.>"고 규정한다(개인정보 보호법 제29조). 이 의무는 기록을 지키는 방식을 다룰 뿐, 그 기록이 담은 표시가 곧 합의의 성립을 가리키는지는 다루지 않는다. 결국 기록에 남은 사실과 기록에 없는 내용을 서로 섞지 않는 한, 통화 기록은 그것이 보여주는 자리에서만 판단의 근거가 된다.
6.5통신 기록의 보관과 안전조치
통신 기록을 읽어 내용의 유무를 가른 뒤에는 그 기록이 보관되는 방식을 따져야 한다. 보관과 안전조치의 요건은 기록이 법적 보관을 대신할 수 있는지, 그리고 다뤄진 방식이 정당했는지를 나누어 판단하게 한다.
전자문서 및 전자거래 기본법 제5조는 전자문서의 보관 요건을 다음과 같이 둔다. "제5조(전자문서의 보관) ① 전자문서가 다음 각 호의 요건을 모두 갖춘 경우에는 그 전자문서를 보관함으로써 관계 법령에서 정하는 문서의 보관을 갈음할 수 있다. 다만, 다른 법령에 특별한 규정이 있는 경우에는 갈음할 수 없다. <개정 2020. 6. 9.> 1. 제4조의2에 따라 서면으로 보는 전자문서일 것 2. 전자문서의 작성자, 수신자 및 송신·수신 일시에 관한 사항이 포함되어 있는 경우에는 그 부분이 보존되어 있을 것" (전자문서 및 전자거래 기본법 제5조) 여기서 보관이 관계 법령의 문서 보관을 갈음하려면 두 요건을 모두 갖춰야 하고, 다른 법령에 특별한 규정이 있으면 그 갈음은 인정되지 않는다. 따라서 작성자와 수신자, 송신·수신 일시에 관한 사항이 포함된 이메일은 그 해당 부분이 보존되어 있어야 서면 보관을 대신할 수 있다.
이메일 헤더에 송수신 일시와 경유 서버가 적혀 있어도 본문에서 말한 첨부 파일이 묶음에 없다면, 그 기록이 문서 보관을 갈음하는지에 대해서는 첨부 파일의 존재와 내용이 별도로 문제가 된다. 보관 요건의 충족 여부는 묶음에 들어 있는 자료만으로 확정되지 않으며, 미정으로 남는다.
안전조치의무는 개인정보 보호법 제29조에서 다음과 같이 정한다. "제29조(안전조치의무) 개인정보처리자는 개인정보가 유출등이 되지 아니하도록 내부 관리계획 수립, 접속기록 보관 등 대통령령으로 정하는 바에 따라 안전성 확보에 필요한 기술적·관리적 및 물리적 조치를 하여야 한다. <개정 2015. 7. 24., 2026. 3. 10.>" (개인정보 보호법 제29조) 개인정보처리자가 지키는 이 의무는 개인정보가 유출되지 않도록 내부 관리계획을 세우고 접속기록을 보관하는 등의 기술적·관리적·물리적 조치를 요구한다.
이 의무가 지켜졌는지는 기록의 보관 상태를 함께 살피게 한다. 그런데 안전조치 의무의 이행 여부가 기록 내용의 진실성이나 변조 여부를 곧바로 확정하지는 않는다. 접속기록이 보관되었다는 사실은 접근이 기록되었다는 점을 보여줄 뿐, 그 기록에 담긴 내용이 당시의 의사결정과 일치하는지, 문서가 사건 뒤에 작성되면서 본문이 말하는 시점과 어떤 관계에 있는지를 정하지 않는다.
계약 파일 세 개가 서로 다른 이름과 작성일 표시를 갖고 있다면 어느 것이 승인된 본인지, 설명 문서의 작성 일자 표시와 본문이 말하는 시점이 다른 이유는 무엇인지에 대해서는 보관 요건만으로 답이 나오지 않는다. 안전조치 의무의 유무는 그 판단을 대신하지 않는다. 그러므로 보관 요건과 안전조치 의무는 각자 기록을 다루는 방식을 규율하지만, 기록의 내용이 진실인지와 변조가 있었는지는 이들 요건 밖에서 별도로 남는다.
6.6자료의 존재와 평가의 한계
보관 요건과 안전조치 의무를 확인한 뒤에는 자료의 존재 자체를 어떻게 읽을지가 남는다. 상대방이 제출한 자료 묶음에는 이름과 작성일 표시가 서로 다른 계약 파일 세 개가 들어 있다. 이 중 어느 것이 승인된 본인지는 미정이다.
기록을 모으는 단계에서 수집 목적과 이용 범위는 함께 정해진다. 「개인정보 보호법」 제15조(개인정보의 수집·이용)는 "정보주체와 체결한 계약을 이행하거나 계약을 체결하는 과정에서 정보주체의 요청에 따른 조치를 이행하기 위하여 필요한 경우"에 개인정보를 수집할 수 있도록 정한다. 이 사례에서 계약 파일 세 개는 계약 이행 과정에서 모인 기록이므로, 이 조항이 정한 수집 사유의 틀 안에 놓인다.
다만 수집할 수 있다는 규정은 곧 내용의 확정을 뜻하지 않는다. 같은 조항은 "개인정보를 수집할 수 있으며 그 수집 목적의 범위에서 이용할 수 있다"고 한정하며, 제3항은 "당초 수집 목적과 합리적으로 관련된 범위에서 정보주체에게 불이익이 발생하는지 여부, 암호화 등 안전성 확보에 필요한 조치를 하였는지 여부 등을 고려하여 대통령령으로 정하는 바에 따라 정보주체의 동의 없이 개인정보를 이용할 수 있다"고 덧붙인다(개인정보 보호법 제15조). 계약 파일이 수집되었다는 사실과 그 중 하나가 승인된 본이라는 판단은 별개의 문제로 남는다.
통화 기록과 메신저 기록도 같은 구분을 따른다. 「개인정보 보호법」 제29조(안전조치의무)는 "개인정보가 유출등이 되지 아니하도록 내부 관리계획 수립, 접속기록 보관 등 대통령령으로 정하는 바에 따라 안전성 확보에 필요한 기술적·관리적 및 물리적 조치를 하여야 한다"고 규정한다. 접속기록을 보관하라는 지시는 보관 의무의 근거일 뿐이며, 그 기록이 전달된 내용의 진실성을 확정하는 근거는 아니다. 안전조치 의무를 지켰다는 사정도, 그 의무를 어겼다는 사정도 기록 내용의 변조 여부를 곧바로 가르지 않는다.
자료 묶음에는 '변경합의'라고 적힌 이메일 본문과 그 헤더가 함께 들어 있다. 본문에는 합의 내용이 요약돼 있고, 헤더에는 송수신 일시와 경유 서버가 적혀 있으나, 본문에서 말한 첨부 파일은 묶음에 없다. 세 기록의 시각이 같은 시간대 기준인지도, 이메일 첨부가 존재했는지도 미정이다. 헤더에 적힌 항목과 본문에 적힌 항목은 서로 다른 사실을 담으며, 어느 한쪽이 다른 쪽의 자리를 대신하지 않는다.
사건 뒤 작성된 설명 문서는 당시 의사결정의 배경을 서술한다. 문서 앞뒤에 붙은 작성 일자 표시와 본문이 말하는 시점이 서로 다르고, 문서 작성 당시 어떤 자료가 검토됐는지도 미정이다. 설명 문서는 배경의 서술을 담을 뿐, 앞의 계약 파일이나 이메일 헤더가 담은 항목을 대신 읽어 주지 않는다.
이 사례에서 확인되는 것은 자료가 모여 있다는 사실뿐이다. 자료가 있다는 사실이 곧 법적 평가가 아니다. 수집 사유와 보관 의무를 규정한 조항이 기록을 모으는 틀을 정하더라도, 기록이 담은 것과 담지 않은 것을 가르는 일은 그 조항 밖의 판단에 맡겨진다. 묶음 안에 무엇이 들어 있는지 적는 일과, 그 항목이 어떤 법적 의미를 갖는지 판단하는 일은 단계가 다르다. 미정으로 남은 항목은 미정으로 적어 두는 편이, 확인된 사실과 가려진 사실을 서로 섞지 않는 길이다.