요약
실제 행위에 근거한 위해 위험을 어떻게 평가할지, 접촉 사실과 연락 기록을 어떻게 남겨 두는지를 묻는다. 행위에 근거한 위해 위험의 평가 기준과 접촉 기록의 수집 근거, 위협 메시지의 보존 범위를 차례로 살핀다. 안전한 연락과 출입 기록, 관계자 정보의 수집 범위를 검토하고, 기록된 사실과 법적 평가를 구별하며, 긴급 신고와 보호 지원의 연결, 증인·관계자의 안전 문제는 다음 장에서 다룬다.
9.1행위에 근거한 위해 위험
원본 부재를 보완한 확인 경로가 정해졌다면, 이제 위협 메시지와 접촉 기록이 보여주는 행위를 토대로 위해 위험의 평가 기준을 세워야 한다. 확보된 자료의 존재가 곧 법적 평가를 뜻하지 않는 것처럼, 행위의 기록이 곧 위해 위험의 성립을 뜻하지도 않는다. 수집된 행위 정보를 어떻게 다룰지는 우선 개인정보 보호법 제15조가 정한 수집·이용의 범위에서 살펴야 한다.
위해 위험을 이유로 한 정보의 수집은 같은 법 제15조제1항에 열린 사유 중 하나에 먼저 해당해야 한다. 개인정보 보호법 제15조는 "① 개인정보처리자는 다음 각 호의 어느 하나에 해당하는 경우에는 개인정보를 수집할 수 있으며 그 수집 목적의 범위에서 이용할 수 있다."라고 선언한 뒤, 사유를 일곱 가지로 나열한다. 이 조문은 수집을 허용하는 관문과 수집 목적의 범위 안에서만 이용한다는 한계를 한 문장에 함께 두고 있다.
이 가운데 급박한 사익의 보호를 위해 마련된 것이 같은 항 제5호이다. 개인정보 보호법 제15조제1항제5호는 "명백히 정보주체 또는 제3자의 급박한 생명, 신체, 재산의 이익을 위하여 필요하다고 인정되는 경우"라고 규정한다. 위협 메시지와 접촉 사실의 기록이 이 호에 이를지 판단하려면, 행위가 명백하고 급박하며 보호할 이익이 생명·신체·재산에 관한 것인지가 확인되어야 한다. 확인된 행위의 기록만으로 세 요건이 모두 충족되었다고 단정할 수는 없다.
공공의 안전과 안녕을 위한 긴급한 경우는 같은 항 제7호가 따로 둔다. 개인정보 보호법 제15조제1항제7호는 "공중위생 등 공공의 안전과 안녕을 위하여 긴급히 필요한 경우"라고 규정한다. 위협 메시지와 접촉 사실은 기본적으로 개별 당사자 사이의 사안에 관한 것이므로, 이 호를 개인 사이의 위해 위험에 바로 적용할 근거는 조문에서 확인되지 않는다.
수집이 허용된 경우에도 이용은 그 목적의 범위를 넘지 못한다. 개인정보 보호법 제15조는 "① 개인정보처리자는 다음 각 호의 어느 하나에 해당하는 경우에는 개인정보를 수집할 수 있으며 그 수집 목적의 범위에서 이용할 수 있다."라고 하여 수집과 이용의 한계를 함께 정하고 있다. 위해 위험의 평가를 위해 모은 행위 정보를 본안 분쟁의 증거나 자산 추적의 수단으로 넓혀 쓰는 일은, 이 조문이 정한 목적의 범위를 넘는 이용에 해당할 수 있다.
위해 위험을 사유로 한 정보 처리는 안전 지원 절차로 확대 해석되어서도 안 된다. 제15조는 수집이 가능한 일곱 가지 사유를 정한 조문일 뿐, 지원의 제공이나 보호 조치의 절차를 마련한 규정이 아니다. 따라서 위협 메시지와 접촉 사실의 기록은 행위의 확인과 위해 위험의 평가를 위한 자료로만 다루어지고, 이 기록을 근거로 한 조치의 내용과 범위는 미정으로 남는다.
9.2접촉 기록의 수집 근거
앞서 위해 위험의 평가가 실제 행위에 근거해야 한다는 점을 확인한 바, 이제 접촉 사실을 기록으로 남기는 작업에 제15조가 정한 수집·이용 요건이 어떻게 적용되는지를 살펴본다. 수집 근거를 정하지 않은 채 기록을 모으면, 모은 자료 자체가 이후 처리 과정에서 하자가 된다.
개인정보 보호법 제15조는 개인정보처리자가 개인정보를 수집할 수 있는 경우를 일곱 가지로 한정한다. 그중 첫 번째는 다음과 같다. "정보주체의 동의를 받은 경우"(개인정보 보호법 제15조). 접촉 기록을 남기는 데 이 근거를 둘 때는 동의를 받았다는 사실만으로 족하지 않다. 같은 조 제2항은 동의의 요건을 부연한다. "개인정보처리자는 제1항제1호에 따른 동의를 받을 때에는 다음 각 호의 사항을 정보주체에게 알려야 한다. 다음 각 호의 어느 하나의 사항을 변경하는 경우에도 이를 알리고 동의를 받아야 한다."(개인정보 보호법 제15조). 이 사항에는 수집·이용 목적, 수집하려는 개인정보의 항목, 보유 및 이용 기간, 동의를 거부할 권리와 그 불이익의 내용이 포함된다. 접촉 상대방에게 무엇을 왜 얼마나 남기겠다는 점을 먼저 밝히지 않은 동의는 이 요건을 채우지 못한다. 담당자가 위협 메시지와 접촉 사실을 적은 기록 일부를 확보한 장면에서, 그 기록이 언제 어떤 설명과 함께 모아졌는지는 미정이다.
동의가 없다면 나머지 근거를 찾아야 한다. 개인정보 보호법 제15조에 따른 계약 관련 근거는 다음과 같다. "정보주체와 체결한 계약을 이행하거나 계약을 체결하는 과정에서 정보주체의 요청에 따른 조치를 이행하기 위하여 필요한 경우"(개인정보 보호법 제15조). 계약서가 여러 버전으로 엇갈리고 변경 이메일이 함께 제출된 상태에서, 접촉 기록이 어느 계약의 이행에 필요한지는 그 계약의 내용에 따라 정해진다. 같은 조에 따른 급박한 이익 보호의 근거는 조금 더 좁다. "명백히 정보주체 또는 제3자의 급박한 생명, 신체, 재산의 이익을 위하여 필요하다고 인정되는 경우"(개인정보 보호법 제15조). 위협 메시지가 실제 행위로 확인된 뒤라고 해도, 접촉 사실을 기록하는 일이 이 급박성에 놓이는지는 사안마다 판단이 갈린다. 위협 메시지의 발신 주체와 안전 지원 신청 여부가 미정인 지금 단계에서 그 범위를 단정할 수 없다.
정당한 이익의 근거는 조건이 길다. "개인정보처리자의 정당한 이익을 달성하기 위하여 필요한 경우로서 명백하게 정보주체의 권리보다 우선하는 경우. 이 경우 개인정보처리자의 정당한 이익과 상당한 관련이 있고 합리적인 범위를 초과하지 아니하는 경우에 한한다."(개인정보 보호법 제15조). 접촉 기록을 모으는 쪽의 편의만으로는 이 조건을 넘기 어렵고, 상대방의 권리와 비교해 보아야 한다. 공공의 안전과 안녕을 위한 긴급한 경우의 근거는 "공중위생 등 공공의 안전과 안녕을 위하여 긴급히 필요한 경우"(개인정보 보호법 제15조)이다. 이 근거는 공공의 안전이라는 목적에 붙어 있어, 민사 분쟁 당사자가 자료를 모으는 장면에 곧바로 놓이지 않는다. 법률에 특별한 규정이 있거나 법령상 의무 준수를 위한 근거와 공공기관의 소관 업무 수행 근거는, 접촉 기록을 남기는 지금 사안에서 적용되는 규정이 확인되지 않으므로 미정으로 둔다.
동의 없이 수집한 것을 이후에 활용하는 문제는 별도의 요건을 갖는다. 개인정보 보호법 제15조 제3항은 "개인정보처리자는 당초 수집 목적과 합리적으로 관련된 범위에서 정보주체에게 불이익이 발생하는지 여부, 암호화 등 안전성 확보에 필요한 조치를 하였는지 여부 등을 고려하여 대통령령으로 정하는 바에 따라 정보주체의 동의 없이 개인정보를 이용할 수 있다.". 접촉 기록을 당초 목적인 위해 위험의 확인과 무관한 분쟁 대응에 넘기는 것은 이 범위를 넘는다. 이와 함께 상대방이 특정 매출채권을 제3자에게 양도하려 한다는 정황, 일부 메시지와 원자료가 삭제된 흔적, 담당자가 자녀 회사로 자금을 이동한 기록을 확인한 사실은 수집 근거의 폭을 넓히지 못한다. 자료를 확보했다는 사실이 곧 그 처리가 적법하다는 뜻이 아니라는 전제는 여기에서도 그대로 유지된다.
9.3위협 메시지의 보존 범위
접촉 사실을 남긴 데 이어 그 안에 든 위협 메시지를 어디까지 보존할지가 문제이다. 메시지를 남겨둔 것은 위해 위험을 뒷받침할 증거를 확보하려는 목적이지만, 보존의 대상을 어디서 그을 것인지는 제15조의 수집·이용 요건 밖에서 정할 일이 아니다. 이를 두고 삭제된 원자료의 내용과 삭제 주체가 미정인 지금, 미확인 사실을 전제로 보존 범위를 넓힐 수 있는지가 먼저 살펴야 할 점이다.
위협 메시지가 발신자의 의사 표현으로 담긴 정보를 수집하는 일이라면, 개인정보 보호법 제15조 제1항이 정한 수집 사유 가운데 어느 하나가 해당되어야 한다. 제15조 제1항 제5호는 수집이 가능한 경우로 "명백히 정보주체 또는 제3자의 급박한 생명, 신체, 재산의 이익을 위하여 필요하다고 인정되는 경우"를 둔다. 이 조건은 메시지 그 자체가 급박한 이익 보호에 필요하다고 인정되는 경우에만 보존 근거가 된다는 뜻이다. 명시적으로 수록된 다만은 없으나, 급박성과 필요성의 판단은 항목마다 달라질 수 있다.
같은 조항 제1항 제6호는 "개인정보처리자의 정당한 이익을 달성하기 위하여 필요한 경우로서 명백하게 정보주체의 권리보다 우선하는 경우. 이 경우 개인정보처리자의 정당한 이익과 상당한 관련이 있고 합리적인 범위를 초과하지 아니하는 경우에 한한다"고 정한다(개인정보 보호법 제15조). 이 사례에서 우리 측은 위해 위험을 입증하려는 이익이 있다. 그러나 그 이익이 발신자의 권리보다 명백히 우선하고 합리적 범위 안에 머무는지는 메시지의 성격에 따라 판단할 수밖에 없으므로, 이호만으로 보존 범위를 넓히기 어렵다.
제1항 제4호는 "정보주체와 체결한 계약을 이행하거나 계약을 체결하는 과정에서 정보주체의 요청에 따른 조치를 이행하기 위하여 필요한 경우"를 두고(개인정보 보호법 제15조), 위협 메시지의 보존을 계약 이행의 하나로 포섭하는 길은 막힌다. 메시지가 계약 이행 요청과 무관한 의사 표현이면 제4호가 맞지 않는다. 제1항 제2호의 "법률에 특별한 규정이 있거나 법령상 의무를 준수하기 위하여 불가피한 경우"와 제3호의 "공공기관이 법령 등에서 정하는 소관 업무의 수행을 위하여 불가피한 경우"도 마찬가지로 검토 대상이 될 뿐이다(개인정보 보호법 제15조). 위협 메시지의 보존이 법령상 의무 준수에 해당하는지는 확인된 근거가 있어야 판단할 수 있다.
보존 범위를 정할 때는 수집 목적의 범위가 기준이 된다. 제15조 제1항은 개인정보를 수집할 수 있는 경우에 "그 수집 목적의 범위에서 이용할 수 있다"고 한정한다. 따라서 위해 위험의 입증을 목적으로 위협 메시지와 그 발신 정보를 보존한다면, 그 이용도 같은 목적 안에 머물러야 한다. 삭제된 원자료의 내용이나 삭제 주체가 무엇인지에 관한 추측을 전제로 항목을 추가하는 일은 목적의 범위 안에 들지 않는다. 미정인 사항은 미정으로 남겨둔다.
발신 정보를 별도로 보존하는 경우에도 판단 기준은 같다. 제15조 제1항 제5호는 정보주체 또는 제3자의 "급박한 생명, 신체, 재산의 이익"을 기준으로 삼으므로, 발신자 신원이나 연락처 같은 항목이 위해 위험의 입증에 필요한 범위 안에 들어갈 때만 보존할 수 있다. 이를 넘어서 발신자와 무관한 자료까지 함께 모으는 것은 같은 목적의 범위를 벗어난다.
제15조 제2항은 동의를 받는 경우에 "개인정보의 수집·이용 목적", "수집하려는 개인정보의 항목", "개인정보의 보유 및 이용 기간", "동의를 거부할 권리가 있다는 사실 및 동의 거부에 따른 불이익이 있는 경우에는 그 불이익의 내용"을 알려야 한다고 정한다. 이 사례에서 위협 메시지와 발신 정보의 보존 근거를 동의로 삼는다면 항목과 보유 기간을 미리 밝혀야 한다. 다만 동의 방식과 그 유효성은 확인된 사실이 없으므로 미정으로 남겨둔다.
따라서 위협 메시지와 그 발신 정보의 보존 대상은 위해 위험의 입증이라는 목적에 필요한 범위로 한정된다. 급박성과 필요성이 인정되는 항목만 남기고, 삭제된 원자료의 내용과 삭제 주체를 둘러싼 미확인 부분은 보존 범위의 근거로 삼지 않는다. 회수 가능한 재산의 범위와 우선순위, 위협 메시지의 발신 주체는 확정된 바 없다.
9.4안전한 연락과 출입 기록
위협 메시지의 보존 범위를 한정한 데서 나아가, 이번에는 안전을 위해 남기는 연락 기록과 출입 기록에 어떤 개인정보가 담기는지, 그리고 그 수집이 어디까지 정당화되는지가 문제이다. 우리 측은 위협 메시지와 접촉 사실을 적은 기록 일부를 확보한 상태인데, 이 기록이 안전 대책의 산물이라 하여 그 수집과 이용이 자동으로 적법하다고 보아서는 아니 된다. 개인정보 보호법 제15조는 수집이 가능한 예외적 사유를 각 호로 한정하여 열거하므로, 해당 기록에 담긴 연락처·출입 시각·방문자 신원 같은 정보가 어느 호에 걸리는지 먼저 살펴야 한다.
안전 기록의 수집을 정당화하는 첫 번째 근거는 정보주체의 동의이다. 개인정보 보호법 제15조 제1항은 "개인정보처리자는 다음 각 호의 어느 하나에 해당하는 경우에는 개인정보를 수집할 수 있으며 그 수집 목적의 범위에서 이용할 수 있다"고 선언하면서 제1호로 "정보주체의 동의를 받은 경우"를 든다. 이 사례에서 연락 기록과 출입 기록에 담긴 방문자·연락 상대의 개인정보를 동의에 기하여 수집한 경우, 그 이용은 수집 목적의 범위 안에 머물러야 한다. 아울러 같은 조 제2항은 "개인정보처리자는 제1항제1호에 따른 동의를 받을 때에는 다음 각 호의 사항을 정보주체에게 알려야 한다. 다음 각 호의 어느 하나의 사항을 변경하는 경우에도 이를 알리고 동의를 받아야 한다"고 정하고, 그 사항으로 "개인정보의 수집·이용 목적", "수집하려는 개인정보의 항목", "개인정보의 보유 및 이용 기간", "동의를 거부할 권리가 있다는 사실 및 동의 거부에 따른 불이익이 있는 경우에는 그 불이익의 내용"을 차례로 규정한다(개인정보 보호법 제15조). 따라서 안전 기록을 남기면서 동의에 의존하려 한다면, 수집 항목과 보유 기간까지 미리 밝혀야 하며, 안전을 내세워 항목을 넓힐 때마다 다시 알려 동의를 받아야 한다.
동의가 없는 경우, 급박한 이익 보호가 대안이 될 수 있다. 같은 조 제1항 제5호는 "명백히 정보주체 또는 제3자의 급박한 생명, 신체, 재산의 이익을 위하여 필요하다고 인정되는 경우"를 수집 사유로 허용한다(개인정보 보호법 제15조). 위협 메시지와 접촉 사실을 적은 기록이 실제 위해의 징후에 대응하여 남겨진 것이라면, 이 호가 요구하는 급박성이 충족되는지 사안별로 판단해야 한다. 다만 이 호는 "명백히"와 "급박한"이라는 요건을 함께 두고 있으므로, 위험의 정황만으로 수집 범위를 넓히는 것은 요건을 넘는다. 확보된 연락 기록과 출입 기록 중 어느 부분이 급박한 위해에 대응한 것인지, 어느 부분이 사후 정리의 산물인지는 자료만으로 확정할 수 없다.
그밖에 공공의 안전을 위한 긴급 수집 규정도 함께 검토된다. 제15조 제1항 제7호는 "공중위생 등 공공의 안전과 안녕을 위하여 긴급히 필요한 경우"를 따로 두고 있다. 안전을 명목으로 한 기록이라 하여 이 호가 곧바로 적용되는 것은 아니며, 공공의 안전과 안녕이라는 요건이 충족되는지가 별도의 판단 대상이다. 우리 사례의 연락·출입 기록이 사적 안전 대책의 범위에 머무는지, 공공의 안전과 관련되는지는 미정으로 남는다.
마지막으로, 수집 이후의 이용까지 무제한으로 넓어지는 것은 아니다. 제15조 제1항 본문은 "그 수집 목적의 범위에서 이용할 수 있다"고 한정한다. 같은 조 제3항은 "개인정보처리자는 당초 수집 목적과 합리적으로 관련된 범위에서 정보주체에게 불이익이 발생하는지 여부, 암호화 등 안전성 확보에 필요한 조치를 하였는지 여부 등을 고려하여 대통령령으로 정하는 바에 따라 정보주체의 동의 없이 개인정보를 이용할 수 있다"고 정한다(개인정보 보호법 제15조). 이에 비추어 보면, 안전 기록을 본안 소송의 증거로 광범위하게 이용하는 것은 수집 목적과의 관련성과 불이익 여부를 따져야 하는 별개의 문제이다. 그러므로 안전을 이유로 모은 기록의 수집·이용은 어느 호에 근거하는지 밝히고, 그 호가 요구하는 요건과 범위 안에 머무르는지 확인하는 절차를 갖추어야 한다.
9.5관계자 정보의 수집 범위
안전한 연락과 출입 기록의 범위를 확인한 데 이어, 관계자에 관한 정보를 사건 기록에 담는 일이 제15조가 정한 수집·이용의 한계 안에 있는지를 살핀다.
관계자란 이 사례에서 담당자와 그 자녀 회사를 가리킨다. 담당자가 자녀 회사로 자금을 이동한 기록은 확보되어 있으나, 그 기록이 어떤 의미를 가지는지, 책임이 누구에게 돌아가는지는 정해지지 않았다. 따라서 수집 목적은 그 기록에 담긴 행위의 사실 관계를 사건 대응에 필요한 범위에서 기록하는 데 두어야 한다. 기록에 담긴 사실이 곧 법적 평가로 이어진다고 보는 것은 이 단계에서 성립하지 않는다.
개인정보의 수집·이용 근거는 제15조제1항에서 정한다. 이 사례와 가까운 근거를 법률이 규정한 것은 다음과 같다. 개인정보 보호법 제15조는 "① 개인정보처리자는 다음 각 호의 어느 하나에 해당하는 경우에는 개인정보를 수집할 수 있으며 그 수집 목적의 범위에서 이용할 수 있다."라고 선언한다. 이어서 같은 항 제2호는 "법률에 특별한 규정이 있거나 법령상 의무를 준수하기 위하여 불가피한 경우"를 들고, 제5호는 "명백히 정보주체 또는 제3자의 급박한 생명, 신체, 재산의 이익을 위하여 필요하다고 인정되는 경우"를 예로 든다(개인정보 보호법 제15조). 여기서 급박한 이익의 요건은 명백히 인정되는 경우로 한정된다(개인정보 보호법 제15조). 이 사례에서 상대방이 특정 매출채권을 제3자에게 양도하려 한다는 정황이 확인되었으나, 그 양도의 실제 시기와 상대는 미정이다. 따라서 위험이 급박한 것으로 명백히 인정되는지 판단하기 위한 사실이 더 필요하다.
만약 수임 관계에 따른 계약 이행을 목적으로 한다면 제15조제1항제4호가 함께 검토된다. 개인정보 보호법 제15조는 "정보주체와 체결한 계약을 이행하거나 계약을 체결하는 과정에서 정보주체의 요청에 따른 조치를 이행하기 위하여 필요한 경우"를 수집의 근거로 열거한다. 이 사례에서 관계자 정보의 수집은 계약 분쟁 대응의 요청에 따른 조치로 볼 수 있으나, 수집 목적의 범위를 넘는 이용은 제15조제1항 본문에서 허용되지 않는다.
동의를 받는 방식을 택하면 제15조제2항이 요구하는 고지가 따라야 한다. 개인정보 보호법 제15조는 "② 개인정보처리자는 제1항제1호에 따른 동의를 받을 때에는 다음 각 호의 사항을 정보주체에게 알려야 한다."라고 정하고, "1. 개인정보의 수집·이용 목적", "2. 수집하려는 개인정보의 항목", "3. 개인정보의 보유 및 이용 기간", "4. 동의를 거부할 권리가 있다는 사실 및 동의 거부에 따른 불이익이 있는 경우에는 그 불이익의 내용"을 고지 사항으로 열거한다(개인정보 보호법 제15조). 같은 조 제2항은 "다음 각 호의 어느 하나의 사항을 변경하는 경우에도 이를 알리고 동의를 받아야 한다."라고 덧붙인다(개인정보 보호법 제15조). 관계자 정보의 항목을 사건 진행에 따라 확대할 뜻이 있다면 그때마다 고지와 동의가 새로 요구된다.
동의 없이 수집 목적을 넘는 이용이 문제인 경우 제15조제3항의 판단 기준이 된다. 개인정보 보호법 제15조는 "③ 개인정보처리자는 당초 수집 목적과 합리적으로 관련된 범위에서 정보주체에게 불이익이 발생하는지 여부, 암호화 등 안전성 확보에 필요한 조치를 하였는지 여부 등을 고려하여 대통령령으로 정하는 바에 따라 정보주체의 동의 없이 개인정보를 이용할 수 있다."라고 정한다. 이 기준은 자금 이동 기록에 관한 법적 평가나 책임의 귀속을 확정하지 않는 범위에서 사건 기록을 정리하는 경우를 상정한다. 삭제된 원자료의 내용과 삭제 주체, 위협 메시지의 발신 주체와 같은 사항은 미정으로 남기고, 확보된 자료에 담긴 사실만을 그대로 두는 것이 합리적인 범위에 든다. 관계자 정보의 수집이 있었다는 사실은 그 자체로 적법성의 증명이 되지 않으므로, 그 사실과 법적 평가를 분리해 기록에 남기는 태도가 이 장의 정리에 든다.
9.6기록의 사실과 법적 평가
관계자의 정보를 어디까지 담을 수 있는지 살핀 데서 나아가, 이제는 확보한 기록 자체를 어떻게 읽어야 하는지에 이른다. 계약서의 여러 버전과 변경 이메일, 자금 기록과 전문가의 계산서를 상대방이 함께 제출한 상태에서, 우리 측이 확인한 매출채권의 양도 정황과 메시지 삭제의 흔적, 자녀 회사로의 자금 이동 기록은 모두 사실로 기록된 자료이다. 이 자료의 존재가 무엇을 의미하는지 가르는 일은 기록의 사실과 법적 평가를 구분하는 데서 시작한다.
개인정보 보호법 제15조는 개인정보를 수집할 수 있는 경우와 그 이용 범위를 함께 정한다. 기록의 수집 근거를 찾기 위해 위 법 제15조 제1항 제5호는 "명백히 정보주체 또는 제3자의 급박한 생명, 신체, 재산의 이익을 위하여 필요하다고 인정되는 경우"를 들고 있다. 이 사례에서 특정 매출채권이 제3자에게 양도될 정황과 담당자가 자녀 회사로 자금을 이동한 기록은 재산의 이익과 관련된 사실이지만, 급박성의 인정 여부는 기록만으로 확정되지 않는다.
정당한 이익에 근거하는 경우의 한계도 함께 살핀다. 위 법 제15조 제1항 제6호는 "개인정보처리자의 정당한 이익을 달성하기 위하여 필요한 경우로서 명백하게 정보주체의 권리보다 우선하는 경우. 이 경우 개인정보처리자의 정당한 이익과 상당한 관련이 있고 합리적인 범위를 초과하지 아니하는 경우에 한한다."고 정한다. 우리 측이 보유한 계좌 잔액 내역과 장비의 소재, 사건 뒤 작성된 설명 문서의 작성 시점에 관한 기록은 방어에 상당한 관련이 있지만, 그 수집이 합리적인 범위를 넘었는지는 별개의 판단 사항이다.
동의를 근거로 삼는 경우에는 고지의 범위가 넓어진다. 위 법 제15조 제2항은 동의를 받을 때 "개인정보의 수집·이용 목적", "수집하려는 개인정보의 항목", "개인정보의 보유 및 이용 기간", "동의를 거부할 권리가 있다는 사실 및 동의 거부에 따른 불이익이 있는 경우에는 그 불이익의 내용"을 알리고, 그 사항을 바꾸는 경우에도 다시 알리고 동의를 받도록 한다. 이 사례에서 기록의 수집 목적이 처음에 어디까지 고지되었는지, 이후의 수집 범위가 그 고지 안에 남아 있는지는 미정이다.
동의 없는 이용의 조건도 함께 둔다. 위 법 제15조 제3항은 "당초 수집 목적과 합리적으로 관련된 범위에서 정보주체에게 불이익이 발생하는지 여부, 암호화 등 안전성 확보에 필요한 조치를 하였는지 여부 등을 고려하여 대통령령으로 정하는 바에 따라 정보주체의 동의 없이 개인정보를 이용할 수 있다."고 정한다. 일부 메시지와 원자료가 삭제된 흔적을 확인한 뒤 남은 자료를 사건 기록에 이용할 때, 이 조항이 정한 고려 사항은 그 이용의 범위를 가르는 준거가 된다.
결국 위험의 평가와 수집의 적법성은 기록에 남은 사실을 전제로 삼되, 그 사실의 법적 의미는 별도로 논증해야 한다. 위험의 확정 여부, 삭제된 원자료의 내용과 삭제 주체, 양도의 실제 시기와 상대, 담보 제공 의사, 본안 청구의 인용 가능성은 모두 미정이다. 기록이 있다는 사실 자체가 위험의 확정이나 적법성의 증명이 되지 않는다는 점을 전제로 두어야, 기록은 평가를 위한 근거로 남을 수 있다.