요약
이 장은 검토자·전문가·대리인 관계에서 이해충돌 가능성을 어떻게 확인하고 무엇을 어디까지 공개할지를 묻는다. 관계 확인의 출발점과 가능성과 실제 영향의 구별을 살피고, 확인 절차의 수집 범위와 수집 정보의 이용 한계, 공개 범위의 판단 기준, 관계 정리와 자료 처리를 차례로 다룬다.
9.1관계 확인의 출발점
접촉 기록의 상태 흐름을 넘어 이제 그 안에 이름을 올린 사람들의 관계를 차례로 살필 차례다. 이해충돌의 확인은 사실을 지어내는 일과 분리되어야 한다. 확인되지 않은 이해관계를 추측으로 채워 넣는 순간, 공개 범위의 판단은 처음부터 흔들린다.
먼저 수임인 자신을 돌아보아야 한다. 「민법」 제681조는 처리자의 기본 태도를 다음과 같이 정한다. "제681조(수임인의 선관의무) 수임인은 위임의 본지에 따라 선량한 관리자의 주의로써 위임사무를 처리하여야 한다." 이 의무는 사무의 결과만이 아니라 처리 과정에서 취하는 주의의 정도까지 요구한다. 이번 사례에서 검토자·전문가·대리인의 관계를 확인하는 일도 그 주의의 한 가지이며, 확인한 사실과 확인하지 못한 사실을 가려 기록으로 남기는 일도 같은 의무에 속한다.
조직 차원의 기준도 함께 놓아야 한다. 「상법」 제542조의13 제1항은 상장회사가 지켜야 할 틀을 이렇게 선언한다. "자산 규모 등을 고려하여 대통령령으로 정하는 상장회사는 법령을 준수하고 회사경영을 적정하게 하기 위하여 임직원이 그 직무를 수행할 때 따라야 할 준법통제에 관한 기준 및 절차(이하 “준법통제기준”이라 한다)를 마련하여야 한다."(상법 제542조의13) 그리고 같은 조 제3항은 기준이 지켜지는지 점검하는 역할을 특정한다. "준법지원인은 준법통제기준의 준수여부를 점검하여 그 결과를 이사회에 보고하여야 한다."(상법 제542조의13) 관계 확인이 결국 개별 처리자의 주의에 그치지 않고 조직의 점검·보고 절차로 이어져야 함이 이 두 문장에 드러난다.
확인 업무가 제대로 이루어지려면 자료에 대한 접근이 열려 있어야 한다. 같은 조 제9항은 그 조건을 다음과 같이 요구한다. "제1항의 상장회사는 준법지원인이 그 직무를 독립적으로 수행할 수 있도록 하여야 하고, 제1항의 상장회사의 임직원은 준법지원인이 그 직무를 수행할 때 자료나 정보의 제출을 요구하는 경우 이에 성실하게 응하여야 한다."(상법 제542조의13) 사례에서 일부 메시지와 원자료가 회신 초안에 첨부되지 않은 상태라면, 그 자료가 확인 절차에 실제로 어떻게 처리되었는지는 기록상 미정으로 남는다. 자료가 모여 있다는 사실 자체를 이미 법적 평가가 끝났다는 뜻으로 읽어서는 안 된다.
이 사례에서 관계 확인은 이 세 가지 기준이 만나는 지점에 있다. 대리인의 권한 범위, 전문가의 이해관계, 회신 초안을 승인할 사람의 위치는 기록에 남은 사실만으로 확인되어야 한다. 확인되지 않은 이해관계를 추정해 채우거나 기록에 없는 관계를 만들어내는 것은 선관의무에 어긋날 뿐 아니라 준법통제기준의 점검 대상조차 파악하기 어렵게 만든다. 지금 이 지점에서 남겨둔 미정 사항들은 그대로 미정으로 두고, 관계의 사실 여부만을 먼저 따로 구분해 기록하는 것이 출발점이다.
9.2가능성과 실제 영향
관계를 확인한 뒤에는 그 관계가 이미 실제 영향을 미쳤는지를 따져야 한다. 가능성과 실제 영향을 구별하는 기준으로 상당인과관계 판시가 놓여 있으며, 그 기준을 정확히 옮겨 놓는 일에서 이 절이 시작한다.
대법원 2020. 7. 9. 선고 2016다268848 판결은 상당인과관계의 판단 요소를 다음과 같이 밝혔다. "공무원이 법령에서 부과된 직무상 의무를 위반한 것을 계기로 제3자가 손해를 입은 경우에 제3자에게 손해배상청구권이 인정되기 위하여는 공무원의 직무상 의무 위반행위와 제3자의 손해 사이에 상당인과관계가 있어야 하고, 상당인과관계의 유무를 판단할 때 일반적인 결과발생의 개연성은 물론 직무상 의무를 부과한 법령 기타 행동규범의 목적이나 가해행위의 태양 및 피해의 정도 등을 종합적으로 고려하여야 한다." 이 판시는 인과관계를 한 가지 요소만으로 단정하지 말고 여러 사정을 함께 놓고 보도록 요구한다. 따라서 이 사례에서 관계가 확인되었다는 사실만으로 실제 영향이 있었다고 단정할 수 없다.
같은 판결은 대상 법령의 목적에 따라 인과관계 인정 여부가 갈리는 점을 다음과 같이 분명히 한다. "공무원에게 직무상 의무를 부과한 법령의 목적이 사회 구성원 개인의 이익과 안전을 보호하기 위한 것이 아니고 단순히 공공일반의 이익이나 행정기관 내부의 질서를 규율하기 위한 것이라면, 설령 공무원이 그 직무상 의무를 위반한 것을 계기로 하여 제3자가 손해를 입었다고 하더라도 공무원이 직무상 의무를 위반한 행위와 제3자가 입은 손해 사이에 상당인과관계가 있다고 할 수 없다." 이 사례에서 이해충돌의 확인 기준이 어느 이익을 보호하려는 것인지는 미정이다.
한편 가능성만을 이유로 실제 영향을 단정할 수 없다는 점은 같은 판결의 다른 지적에서도 드러난다. "사후적으로 재무제표에서 일부 부정과 오류가 밝혀졌다고 하더라도, 감사인이 감사업무를 수행하면서 전문가적 의구심을 가지고 충분하고 적합한 감사증거를 확보하고 경영자 진술의 정당성 여부를 판단하기 위한 확인절차를 거치는 등 회계감사기준 등에 따른 통상의 주의의무를 다하였다면 그 임무를 게을리하지 아니하였음을 증명하였다고 봄이 타당하므로"라는 부분은, 결과에 잘못이 드러났다는 사실만으로 의무 위반과 손해의 연결을 확정할 수 없음을 보여 준다. 이 사례에서 회신 초안과 첨부 누락이 어떤 결과를 낳았는지는 미정이다.
다만 이 판결이 그 사안에 남긴 지적도 함께 읽어야 한다. "갑 법인이 위와 같이 요청한 이후에 그 내용이 최종 감사보고서와 최종 재무제표 등에 반영되어 수정되었는지 여부와 그 과정의 합리성과 적절성 등에 관하여 더 살펴보았어야 하는데도, 만연히 갑 법인이 을 은행의 재무제표상 거짓 기재를 인지하고서도 이를 지적하지 아니한 채 적정 의견의 감사보고서를 작성하여 제출하였다고 판단하여" 원심을 지적한 대목은, 확인 과정에서 드러난 정황을 마무리까지 살피지 않고 의무 위반을 단정한 판단을 경계한다. 이 사례에서 외부 링크 자료가 어떻게 처리되었는지도 미정이다.
이러한 기준은 수임인의 의무 기준과 맞닿는다. 민법 제681조(수임인의 선관의무)는 "수임인은 위임의 본지에 따라 선량한 관리자의 주의로써 위임사무를 처리하여야 한다."고 정한다. 이 사례에서 대리 권한 범위와 회신 승인 여부는 미정이며, 그 미정 상태를 가능성에 머무른 것으로 두어야 한다.
9.3확인 절차의 수집 범위
가능성과 실제 영향의 구별에서 확인 절차가 나아갈 방향이 정해진다. 그렇다면 확인 절차가 관계를 알아보기 위해 모으는 정보는 어디까지 넓혀 가도 되는가. 수집 범위를 정하는 척도를 개인정보 보호법 제15조의 수집·이용 규정에서 먼저 찾는다.
개인정보 보호법 제15조는 수집을 할 수 있는 경우와 그 이용 범위를 함께 묶어 두었다. 개인정보처리자가 수집할 수 있는 경우의 하나로서 동의에 관한 사유를 규정한 조문은 다음과 같다. "1. 정보주체의 동의를 받은 경우" (개인정보 보호법 제15조) 이 규정은 수집을 허용하는 한편 이용을 "그 수집 목적의 범위에서" 제한한다. 수집에 이어 이어지는 이용까지 같은 목적의 울타리 안에 둔다는 뜻이므로, 확인 절차에서 모은 정보도 그 확인 목적을 넘겨 쓸 수는 없다.
정보주체의 동의가 없더라도 수집이 허용되는 사유는 법률에 특별한 규정이 있거나 법령상 의무 준수가 불가피한 경우 등으로 정해져 있다. 그 사유의 하나를 조문은 다음과 같이 둔다. "2. 법률에 특별한 규정이 있거나 법령상 의무를 준수하기 위하여 불가피한 경우" (개인정보 보호법 제15조) 따라서 확인 절차가 법령이 요구하는 확인 의무를 이행하기 위한 것이라면, 그 범위 안에서 수집을 정당화할 근거가 여기에 있다. 다만 의무의 범위가 곧 수집 범위가 되는 만큼, 법령이 요구하는 정도를 넘어선 수집은 이 사유로 덮이지 않는다.
개인정보의 의미에 관한 기준은 대법원 2016. 8. 17. 선고 2014다235080 판결에서 확인된다. 보호 대상이 되는 정보가 어디까지인지 밝히면서 그 판결은 다음과 같이 말한다. "개인정보자기결정권의 보호대상이 되는 개인정보는 개인의 신체, 신념, 사회적 지위, 신분 등과 같이 개인의 인격주체성을 특징짓는 사항으로서 개인의 동일성을 식별할 수 있게 하는 일체의 정보이고, 반드시 개인의 내밀한 영역에 속하는 정보에 국한되지 아니하며 공적 생활에서 형성되었거나 이미 공개된 개인정보까지 포함한다. 또한 개인정보를 대상으로 한 조사·수집·보관·처리·이용 등의 행위는 모두 원칙적으로 개인정보자기결정권에 대한 제한에 해당한다." (대법원 2016. 8. 17. 선고 2014다235080 판결) 이 판시에 의하면 이미 공개된 정보라도 수집과 이용이 개인정보자기결정권의 제한에 든다. 상대방 대리인이 외부 링크로 내려 보낸 자료 중 이미 밖에 나와 있는 내용이라도, 그것을 모으는 행위가 가볍게 취급될 수 없다는 뜻이다.
공개된 정보를 어느 범위에서 다룰 수 있는지도 같은 판결에서 갈린다. 그 판결은 정보주체의 동의 범위를 다음과 같이 판단하라고 한다. "그리고 정보주체의 동의가 있었다고 인정되는 범위 내인지는 공개된 개인정보의 성격, 공개의 형태와 대상 범위, 그로부터 추단되는 정보주체의 공개 의도 내지 목적뿐만 아니라, 정보처리자의 정보제공 등 처리의 형태와 정보제공으로 공개의 대상 범위가 원래의 것과 달라졌는지, 정보제공이 정보주체의 원래의 공개 목적과 상당한 관련성이 있는지 등을 검토하여 객관적으로 판단하여야 한다." (대법원 2016. 8. 17. 선고 2014다235080 판결) 확인 절차의 수집 범위를 이 기준에 비추면, 자료가 어느 형태로 누구에게까지 열려 있었는지와 그 수집이 확인 목적과 얼마나 가까운지를 함께 살펴야 한다.
이 밖에 동의를 받지 아니하였다고 개인정보 보호법 제15조나 제17조를 위반한 것으로 볼 수 없다는 경우도 그 판결에 정해져 있다. 예외 없이 적용되는 것은 아니고, 공개 당시의 동의를 객관적으로 인정할 수 있는 범위를 전제로 한다. 아울러 영리 목적이 있었다는 사정만으로 곧바로 위법으로 돌릴 수 없다는 판시도 같은 판단 틀에 속한다. 대리 권한의 범위와 회신 초안의 승인 여부, 외부 링크 자료의 접수 처리 방식이 미정인 지금, 수집 범위는 확인 목적에 맞닿은 한도 안에서만 확정할 수 있다. 자료가 모여 있다는 사실만으로 그 범위가 정해졌다고 보아서는 안 된다.
9.4수집 정보의 이용 한계
수집한 정보를 확인 목적이 아닌 다른 일에 쓰는 경우가 남는다. 개인정보 보호법 제15조제1항은 개인정보를 수집한 경우에도 "그 수집 목적의 범위에서 이용할 수 있다"고 한정한다. 이해충돌 확인을 위해 모은 자료의 이용은 이 범위 안에서 다루어야 하며, 확인 업무를 이유로 다른 용도의 이용이 곧바로 정당화되지는 않는다.
제15조제3항은 동의 없이 이용할 수 있는 여지를 조건과 함께 열어 둔다. 이에 따르면 개인정보처리자는 "당초 수집 목적과 합리적으로 관련된 범위에서 정보주체에게 불이익이 발생하는지 여부, 암호화 등 안전성 확보에 필요한 조치를 하였는지 여부 등을 고려하여 대통령령으로 정하는 바에 따라 정보주체의 동의 없이 개인정보를 이용할 수 있다"(개인정보 보호법 제15조)고 규정한다. 확인 목적과의 관련성, 불이익 여부, 안전성 확보 조치가 함께 검토되어야 하는 셈이다.
정보를 조직 바깥에 내주는 경우는 목적 외 제공의 문제로 이어진다. 제18조제1항은 개인정보처리자가 개인정보를 "제15조제1항에 따른 범위를 초과하여 이용하거나 제17조제1항 및 제28조의8제1항에 따른 범위를 초과하여 제3자에게 제공하여서는 아니 된다"고 정한다. 회신 초안 작성이나 자료 취합만으로 제공이 생겼다고 보지는 않으나, 외부 링크로 오간 자료를 조직 밖에 다시 내주는 일은 이 문장의 한계에 놓인다.
예외를 인정하는 제18조제2항도 요건과 단서를 함께 둔다. 그 본문은 "제1항에도 불구하고 개인정보처리자는 다음 각 호의 어느 하나에 해당하는 경우에는 정보주체 또는 제3자의 이익을 부당하게 침해할 우려가 있을 때를 제외하고는 개인정보를 목적 외의 용도로 이용하거나 이를 제3자에게 제공할 수 있다. 다만, 제5호부터 제9호까지에 따른 경우는 공공기관의 경우로 한정한다"(개인정보 보호법 제18조)고 정한다. 각 호에는 "정보주체로부터 별도의 동의를 받은 경우", "다른 법률에 특별한 규정이 있는 경우"가 놓여 있다(개인정보 보호법 제18조). 발신자 측과의 통화에서 별도 동의가 오갔는지, 다른 법률에 특별한 규정이 있는지는 확인된 바가 없으므로 미정이다.
제3항은 별도 동의를 받을 때 알려야 할 항목을 정한다. 그에 따르면 개인정보처리자는 "개인정보를 제공받는 자", "개인정보의 이용 목적(제공 시에는 제공받는 자의 이용 목적을 말한다)", "이용 또는 제공하는 개인정보의 항목", "개인정보의 보유 및 이용 기간(제공 시에는 제공받는 자의 보유 및 이용 기간을 말한다)", "동의를 거부할 권리가 있다는 사실 및 동의 거부에 따른 불이익이 있는 경우에는 그 불이익의 내용"을 정보주체에게 알려야 한다(개인정보 보호법 제18조). 목적 외 이용·제공에 별도 동의를 전제로 한다면 이 항목들이 함께 다루어진다.
따라서 확인 절차에서 모은 자료는 확인 목적의 범위 안에서 취급하는 것이 전제이다. 지금까지 모인 자금 기록과 전문가 계산서가 그 자체로 이용과 제공의 범위가 정해졌다는 뜻은 아니며, 대리 권한 범위와 승인 여부, 외부 링크 자료의 접수 처리 방식은 여전히 미정으로 남는다. 목적 외 이용·제공의 예외는 규정에 놓인 요건에 비추어 판단할 일이며, 요건에 해당하는지 없는지가 확인되지 않은 채 예외를 전제로 자료를 이용하거나 넘겨주는 것은 위에 옮긴 문장이 정한 한계를 벗어난다.
9.5공개 범위의 판단 기준
수집한 정보를 어떤 범위까지 알릴지 판단하는 문제는 앞에서 살핀 이용 한계와 맞닿아 있다. 그 판단은 개인정보의 수집·이용 규정이 정한 범위에서 출발한다. 개인정보 보호법 제15조는 수집의 근거와 함께 이용 범위를 정하며, 제1항 각 호에 해당하는 경우에 한하여 수집할 수 있다고 규정한다. 그 각 호의 사유 중 하나는 정보주체의 동의이고, 조문은 이를 "1. 정보주체의 동의를 받은 경우"로 적고 있다. 이에 따라 수집 자체가 정당화되었더라도 이용은 "그 수집 목적의 범위에서" 가능하다. 수집된 정보가 공개의 대상이 되는 경우에도 이 범위가 첫 기준이 된다.
이해충돌 확인을 위해 모인 자료는 확인 목적의 범위에서 다루어진다. 개인정보 보호법 제15조제2항은 동의를 받을 때 알려야 할 사항으로 "1. 개인정보의 수집·이용 목적", "2. 수집하려는 개인정보의 항목", "3. 개인정보의 보유 및 이용 기간", "4. 동의를 거부할 권리가 있다는 사실 및 동의 거부에 따른 불이익이 있는 경우에는 그 불이익의 내용"을 열거한다. 알려진 목적과 항목이 확인된 범위를 정하고, 이 범위는 공개 판단에서 벗어나지 않는다. 목적 외의 항목을 공개하는 문제는 미정으로 남는다.
더 넓은 공개가 필요한 경우 목적 외 이용·제공 제한 규정이 작동한다. 개인정보 보호법 제18조제1항은 "개인정보처리자는 개인정보를 제15조제1항에 따른 범위를 초과하여 이용하거나 제17조제1항 및 제28조의8제1항에 따른 범위를 초과하여 제3자에게 제공하여서는 아니 된다"고 정한다. 공개가 목적 외 이용이나 제3자 제공에 해당하면 이 원칙이 우선 적용된다. 다만 조문이 정한 예외 사유가 있는 경우 판단이 달라진다. 제2항은 "정보주체 또는 제3자의 이익을 부당하게 침해할 우려가 있을 때를 제외하고는" 목적 외 이용 또는 제3자 제공을 허용하며, 각 호의 사유를 제시한다. 그 사유에는 "1. 정보주체로부터 별도의 동의를 받은 경우", "2. 다른 법률에 특별한 규정이 있는 경우", "3. 명백히 정보주체 또는 제3자의 급박한 생명, 신체, 재산의 이익을 위하여 필요하다고 인정되는 경우"가 포함된다. 아울러 조문은 "다만, 제5호부터 제9호까지에 따른 경우는 공공기관의 경우로 한정한다"는 단서를 두고 있다.
동의에 의한 공개는 알려야 할 사항이 정해져 있다. 개인정보 보호법 제18조제3항은 목적 외 이용이나 제공에 대한 동의를 받을 때 알릴 사항으로 "1. 개인정보를 제공받는 자", "2. 개인정보의 이용 목적(제공 시에는 제공받는 자의 이용 목적을 말한다)", "3. 이용 또는 제공하는 개인정보의 항목", "4. 개인정보의 보유 및 이용 기간(제공 시에는 제공받는 자의 보유 및 이용 기간을 말한다)", "5. 동의를 거부할 권리가 있다는 사실 및 동의 거부에 따른 불이익이 있는 경우에는 그 불이익의 내용"을 규정한다. 공개의 범위는 이 사항을 알리고 받은 동의 안에서 정해진다. 이 사항이 미리 정해지지 않았다면 공개 범위는 미정이 된다.
제3자에게 제공하는 경우 안전성 확보도 요구된다. 개인정보 보호법 제18조제5항은 목적 외 용도로 제3자에게 제공하는 경우 제공받는 자에게 "이용 목적, 이용 방법, 그 밖에 필요한 사항에 대하여 제한을 하거나, 개인정보의 안전성 확보를 위하여 필요한 조치를 마련하도록 요청하여야 한다"고 정하고, "이 경우 요청을 받은 자는 개인정보의 안전성 확보를 위하여 필요한 조치를 하여야 한다"고 덧붙인다. 공개 범위를 정할 때 이 요청과 조치가 함께 검토된다. 공개가 공공기관의 목적으로 결정되는 경우에도 조문이 정한 고시 기준에 따른 게재 의무가 뒤따른다. 앞의 기준이 정한 범위 밖에 무엇을 알릴지는 이 기준들 안에서 판단한다.
9.6관계 정리와 자료 처리
관계 정리와 자료 처리의 판단 기준을 세우기에 앞서, 이해충돌이 확인된 뒤 남는 물음은 확인 자료를 어떻게 다루는가이다. 검토·자문 관계를 끝내는 근거와 그 자료의 처리 기준은 각각 민법 제689조와 개인정보 보호법 제21조에 두어져 있다. 위임 해지의 자유에 관한 민법 제689조는 "위임계약은 각 당사자가 언제든지 해지할 수 있다"고 정한다. 이 규정에 따르면 이해충돌이 확인되었다는 사정만으로 검토·자문 관계가 당연히 끝나는 것은 아니며, 어느 당사자든 의사로 해지를 선택할 수 있다. 다만 이해충돌이 확인된 상태에서 이어진 검토·자문의 대가와 책임 문제는 미정이다.
해지의 시기와 손해의 유무를 가르는 규정은 같은 조 제2항이다. 민법 제689조 제2항은 "당사자 일방이 부득이한 사유없이 상대방의 불리한 시기에 계약을 해지한 때에는 그 손해를 배상하여야 한다"고 정한다. 이해충돌의 확인 시점이 '불리한 시기'에 해당하는지, 그리고 해지 통지에 '부득이한 사유'가 있었는지는 이 규정에서 판단 기준을 삼을 수 있다. 구체적인 사건에서 그 시기와 사유의 유무는 기록에 따라 달라질 수 있으며, 지금 단계에서는 미정이다. 다만 위임 관계를 정리하는 방식이 손해 배상 의무를 부담시킬 수 있으므로, 정리 시점과 통지 내용은 확인 자료와 함께 남겨 두어야 한다.
한편 확인 과정에서 모인 자료에는 개인정보가 섞여 있을 수 있다. 개인정보 파기에 관한 개인정보 보호법 제21조는 "개인정보처리자는 보유기간의 경과, 개인정보의 처리 목적 달성, 가명정보의 처리 기간 경과 등 그 개인정보가 불필요하게 되었을 때에는 지체 없이 그 개인정보를 파기하여야 한다. 다만, 다른 법령에 따라 보존하여야 하는 경우에는 그러하지 아니하다"(개인정보 보호법 제21조)고 정한다. 이 규정에 따르면 파기 의무는 개인정보가 불필요하게 되었을 때 발생하고, 다른 법령에 따른 보존 의무가 있으면 파기는 뒤로 미루어진다. 위임 관계가 끝났다는 사실만으로 확인 자료에 담긴 개인정보가 곧바로 불필요하게 되는 것은 아니며, 파기 여부의 판단은 처리 목적의 달성 여부에 달려 있다.
파기 의무가 발생한 뒤의 조치는 같은 조 제2항에 두어져 있다. 개인정보 보호법 제21조 제2항은 "개인정보처리자가 제1항에 따라 개인정보를 파기할 때에는 복구 또는 재생되지 아니하도록 조치하여야 한다"고 정한다. 이 규정에 따르면 파기라 함은 자료를 옮기거나 보관 장소를 비우는 것으로 끝나지 않고, 복구나 재생이 불가능한 방식이어야 한다. 첨부로 받은 전문가 계산서나 자금 기록이 외부 문서 공유 링크 형태로 들어온 경우, 그 원자료에 대한 파기 조치의 범위와 방식은 미정이다. 링크를 통해 접근한 사본의 파기 여부는 외부 링크 자료의 접수 처리 방식이 확정된 뒤에 비로소 정해질 수 있다.
파기 대신 보존을 선택한 경우에는 보관 방식이 제한된다. 개인정보 보호법 제21조 제3항은 "개인정보처리자가 제1항 단서에 따라 개인정보를 파기하지 아니하고 보존하여야 하는 경우에는 해당 개인정보 또는 개인정보파일을 다른 개인정보와 분리하여서 저장·관리하여야 한다"고 정한다. 다른 법령에 따른 보존 의무가 확인되면, 확인 자료에 담긴 개인정보는 다른 개인정보와 분리된 채로 저장되고 관리되어야 한다. 확인 자료가 조직에 접수되어 있다는 사실은 그 자료에 대한 법적 평가가 끝났다는 뜻이 아니며, 파기 여부와 보존 여부 모두 미정이다. 따라서 관계 정리의 방식이 정해지기 전에는 확인 자료를 복구 가능하게 옮기거나 재생 가능한 형태로 남겨 두는 것은 피하여야 하고, 파기와 보존 중 어느 쪽을 택하는지도 기록으로 남겨야 한다.