요약
이 장은 거짓 통과와 과도한 실패 판정을 어떻게 구분하는지, 합성 검증 결과가 실제 성과를 대신하지 못하는 까닭은 무엇인지를 묻는다. 평가 오류의 두 가지 유형, 거짓 통과 판정의 기준, 과도한 실패 판정의 기준을 차례로 살피고, 가명정보 처리의 허용 범위, 합성 검증과 실제 성과의 간격, 재식별 금지와 검증의 경계를 검토한다. 오류가 발견된 뒤의 영향 추적과 문서 수정은 다음 장에서 다룬다.
9.1평가 오류의 두 가지 유형
사전 검증의 지표가 결론에 이르는 범위를 밝힌 데서 멈추면, 곧바로 그 판정 자체가 어긋날 두 가지 방향을 구분할 문제가 남는다. 같은 사실을 두고 통과로 잘못 판정한 경우와 실패로 잘못 판정한 경우가 같은 오류인지, 아니면 서로 다른 성질의 오류인지를 나누어 읽어야 한다. 상대측은 손해 계산서의 일부 수치와 서면에 인용된 근거가 원문에서 확인되지 않는다고 지적하며 검토 의견을 보내 왔고, 이 지적이 어느 쪽 오류에 해당하는지가 평가의 출발점이 된다.
평가 오류의 첫째 유형은 실제로는 충족되지 아니한 요건을 충족된 것으로 판정하는 거짓 통과이다. 이 유형에서는 표면상의 자료가 남아 있어도 그 자료가 원문과 대조되지 않았다면 판정의 근거가 이미 흔들린다. 우리 측이 작성 당시의 AI 초안, 출처·인용 검증 대장, 계산 재실행 자료, 내부 검토 메모를 보유하고 있다는 사실은 그 자체로 통과 판정의 정당성을 뜻하지 않는다. 보유한 문서가 실제 내용과 일치하는지를 대조하지 아니한 채 통과로 넘긴다면, 그것이 거짓 통과의 전형이다.
평가 오류의 둘째 유형은 반대로, 실제로는 충족된 요건을 충족되지 아니한 것으로 판정하는 과도한 실패이다. 인용 근거가 원문에서 확인되지 않는다고 지적된 항목이 반드시 계산 전체의 부정확을 뜻하는 것은 아니며, 수치 일부가 잘못되었다는 지적이 서면 전체의 결론을 뒤집는 이유가 되는 것도 아니다. 확인되지 않는 부분이 어느 결론에 영향을 미치는지 가려내지 아니하고 실패로 판정한다면, 그것은 과도한 실패의 방향으로 벗어난 평가이다.
개인정보 보호법 제28조의2는 가명정보의 처리 요건과 그 제한을 두고 있다. 그 제1항은 "개인정보처리자는 통계작성, 과학적 연구, 공익적 기록보존 등을 위하여 정보주체의 동의 없이 가명정보를 처리할 수 있다."고 정하고, 이어서 제2항은 "개인정보처리자는 제1항에 따라 가명정보를 제3자에게 제공하는 경우에는 특정 개인을 알아보기 위하여 사용될 수 있는 정보를 포함해서는 아니 된다."고 덧붙인다(개인정보 보호법 제28조의2). 평가에서 이 조문은 요건이 채워졌는지와 금지된 정보가 섞이지 않았는지를 함께 보아야 한다는 절제된 기준을 떠올리게 한다. 조문에 정한 한도를 넘어서 처리가 이루어졌음에도 적법한 처리로 넘긴다면 거짓 통과이고, 그 한도 안에서 처리되었음에도 부적법하다고 단정한다면 과도한 실패이다.
두 유형을 가르는 자리는 오류의 방향이 아니라 요건 충족 여부의 실제 상태에 있다. 확인되지 않는 근거가 어느 결론에 영향을 미치는지, 정정과 철회 가운데 무엇을 택할지, 어떤 문서를 먼저 바로잡을지, 공개 문안을 함께 고칠지는 모두 미정으로 남는다. 이 미정의 사항들을 앞당겨 확정함으로써 오류의 유형을 미리 정해 두는 것은 바람직하지 아니하다. 다만 자료가 있다는 사실이 곧 법적 평가가 아니라는 점만은 분명히 하여, 보유 문서의 존재 자체를 요건 충족의 증거로 삼지 아니하여야 한다.
결국 평가의 오류는 판정이 실제 상태와 어긋나는 두 방향으로 갈라진다. 한쪽은 부족한 것을 충족된 것으로 넘기는 거짓 통과이고, 다른 한쪽은 충족된 것을 부족한 것으로 몰아넣는 과도한 실패이다. 어느 쪽에 해당하는지 판정하려면 요건의 실제 충족 여부를 먼저 확인하고, 그 확인의 범위 안에서만 결론을 내려야 한다.
9.2거짓 통과 판정의 기준
오류 유형을 가른 뒤에는 무엇이 실제로는 부족하면서 통과로 판정되었는지를 따로 살펴야 한다. 판정을 통과로 내리는 데에는 통과의 근거가 되는 요건이 있고, 그 요건이 실제로 갖추어지지 않았는데 갖추어진 것으로 본 경우가 거짓 통과 판정이다.
개인정보 보호법 제28조의2 제2항은 가명정보 제3자 제공의 한도를 분명히 정해 둔다. 그 조항은 "개인정보처리자는 제1항에 따라 가명정보를 제3자에게 제공하는 경우에는 특정 개인을 알아보기 위하여 사용될 수 있는 정보를 포함해서는 아니 된다"(개인정보 보호법 제28조의2)고 규정한다. 이 문장은 단서나 예외를 두지 않고, 제공되는 정보에 금지되는 내용이 섞여 있는지를 제공의 시점에 판단하도록 한다.
이 기준에 비추어 볼 때, 거짓 통과 판정은 제공된 정보가 실제로는 알아볼 수 있는 내용을 담고 있는데도 그렇지 않은 것으로 본 경우에 성립한다. 우리 측이 제출한 손해 계산서의 일부 수치와 서면에 인용된 근거가 원문에서 확인되지 않는다는 상대측의 지적은, 그 수치와 인용이 통과의 근거로 삼았던 요건을 실제로 충족하지 못한 것일 수 있음을 드러낸다.
다만 기준의 부족 여부는 문서에 무엇이 남아 있는지와는 별개의 문제이다. 작성 당시의 AI 초안, 출처·인용 검증 대장, 계산 재실행 자료, 내부 검토 메모가 남아 있다는 사실은 통과 판정이 타당하였다는 뜻이 아니고, 거짓 통과 판정이었다는 뜻도 아니다. 자료가 있다는 사실이 곧 법적 평가가 아니다.
거짓 통과 판정에 해당한다고 인정되려면, 어떤 요건이 실제로 충족되지 않았는지가 특정되어야 하고, 그 요건이 판정의 근거였다는 사정이 함께 드러나야 한다. 어느 결론이 영향을 받는지, 정정과 철회 가운데 무엇인지, 어떤 문서를 먼저 바로잡을지, 공개 문안을 함께 고칠지는 이 단계에서 결정되지 않았다.
9.3과도한 실패 판정의 기준
거짓 통과 판정과 마찬가지로, 통과할 수 있는데 실패로 판정된 경우의 성립 조건도 오류 유형의 구분에서 출발한다. 상대측은 손해 계산서의 일부 수치와 서면에 인용된 근거가 원문에서 확인되지 않는다는 지적과 함께 검토 의견을 보내 왔다. 우리 측에는 작성 당시의 AI 초안, 출처·인용 검증 대장, 계산 재실행 자료, 내부 검토 메모가 남아 있다. 판정 실패의 원인을 법적 귀책으로 단정하기 전에, 어떤 조건에서 과도한 실패 판정이 성립하는지 살필 필요가 있다.
우선 판정의 대상이 무엇인지를 분명히 해야 한다. 손해 계산서의 수치가 정확한지, 서면에 인용된 근거가 원문에서 확인되는지의 문제는 각각 별도의 확인 절차를 거친다. 수치는 계산 재실행 자료로 대조하고, 인용은 출처·인용 검증 대장에 기록된 원문과 대조한다. 두 가지 확인 가운데 어느 하나가 미완이더라도, 다른 하나의 결과만으로 전체를 실패로 판정하면 그 판정은 과도한 실패 판정의 문제를 낳는다.
확인 절차의 결과가 불확실한 경우에도 같은 문제가 생긴다. AI 초안이 남아 있다는 사실은 초안에 기재된 수치와 인용이 원문에서 확인된다는 뜻이 아니다. 내부 검토 메모가 남아 있다는 사실 역시 검토가 완료되었다는 뜻이 아니다. 자료가 있다는 사실이 곧 법적 평가가 아니라는 전제는, 확인이 끝나지 않은 항목을 실패로 판정하는 데도 그대로 적용된다. 확인이 끝나지 않은 항목은 확인이 끝나지 않은 것으로 남겨 두어야 한다.
다음으로, 판정 실패의 원인을 하나로 단정할 수 없는 상황을 구별해야 한다. 수치의 불일치가 계산 오류에서 비롯된 것인지, 인용이 원문에서 확인되지 않는 것이 근거 문서의 인용 표기에서 비롯된 것인지의 구분은 자료만으로는 확정되지 않는다. 어느 결론이 영향을 받는지, 정정과 철회 가운데 무엇인지, 어떤 문서를 먼저 바로잡을지, 공개 문안을 함께 고칠지는 미정으로 남는다. 이 미정의 상태를 실패 판정의 근거로 삼으면, 그 판정은 확인되지 않은 사실에 기초한 과도한 실패 판정이 된다.
끝으로, 개인정보 보호법 제28조의2 제1항은 가명정보의 처리 요건을 정하면서 "개인정보처리자는 통계작성, 과학적 연구, 공익적 기록보존 등을 위하여 정보주체의 동의 없이 가명정보를 처리할 수 있다"고 선언한다. 이 조문이 정한 허용 범위를 벗어난 처리인지를 판단하는 문제는 별도로 남고, 과도한 실패 판정의 성립 여부는 오류 유형의 구분으로만 다룬다. 확인이 끝나지 않은 항목을 실패로 판정하지 않는 태도는, 자료가 남아 있다는 사실만으로 통과를 서두르지 않는 태도와 짝을 이룬다.
9.4가명정보 처리의 허용 범위
자료가 제공되지 않았다.
9.5합성 검증과 실제 성과의 간격
가명정보 처리의 법적 틀이 확인된 뒤에도, 합성 검증이 도출한 수치를 실제 성과에 관한 사실로 삼을 수 있는지가 남는다. 이 물음은 합성 검증의 결과와 실제 성과를 서로 다른 것으로 두는 데서 출발한다.
개인정보 보호법 제28조의2는 가명정보 처리를 위한 목적과 제한을 정한다. 이 조문은 "① 개인정보처리자는 통계작성, 과학적 연구, 공익적 기록보존 등을 위하여 정보주체의 동의 없이 가명정보를 처리할 수 있다."고 허용한다 (개인정보 보호법 제28조의2). 이 규정은 합성 검증 자료를 통계작성이나 과학적 연구 목적에 놓이게 할 근거를 제공하며, 그러한 목적이 확인되지 않는 처리는 같은 조문의 허용 범위 밖에 남는다.
제3자 제공의 경우에 는 추가 조건이 붙는다. 같은 조문은 "② 개인정보처리자는 제1항에 따라 가명정보를 제3자에게 제공하는 경우에는 특정 개인을 알아보기 위하여 사용될 수 있는 정보를 포함해서는 아니 된다."고 정한다 (개인정보 보호법 제28조의2). 이 조건은 제공 단계에서 특정 개인을 알아볼 수 있는 정보가 섞이지 않도록 요구하며, 합성 검증 결과를 상대측에 보내는 경우에도 그 정보의 구성이 이 요건을 넘어서지 않는지 살펴야 함을 뜻한다.
이러한 법적 틀 안에서 합성 검증 수치는 연구나 통계작성을 위한 처리 결과로만 자리한다. 합성 자료와 시뮬레이션으로 산출된 값은 실제 성과를 확인한 관측 결과가 아니며, 실제 성과에 관한 사실을 확정하는 근거가 되지 않는다. 따라서 검증 수치와 실제 성과를 서로 다른 항목으로 기록하고, 합성 검증 수치에 대하여 "실제 성과"라는 이름을 쓰지 않는 편이 두 결과의 구별을 지키는 방향이다.
두 결과의 구별은 합성 검증 자료를 그대로 확정 수치로 삼을 수 없음을 분명히 한다. 검증 수치는 오류를 찾아내기 위한 목적 안에서만 의미를 가지며, 상대측에게 보내는 검토 의견에서 합성 검증 값을 실제 성과와 분리해 표기해야 한다. 다만 이 구별을 지키는 데 필요한 검증 절차의 세부 방식은 합성 검증 자료가 속한 연구 목적과 처리 조건에 따라 달라지며, 어떤 문서를 먼저 바로잡을지는 미정이다.
9.6재식별 금지와 검증의 경계
검증 수치를 실제 성과로 확정하지 않는 것으로 구별이 끝나지 않는 까닭은, 합성 검증 과정에서 다루는 정보 자체가 처리 목적과 전달 범위의 한계를 지니기 때문이다. 우리 측이 남긴 계산 재실행 자료와 출처·인용 검증 대장에는 개별 수치의 산출 근거가 함께 담겨 있다. 이 자료를 상대측에 어떻게 내놓을지에 답하려면, 가명정보 처리에 관한 규정이 정한 제공의 한계를 먼저 확인해야 한다.
개인정보 보호법 제28조의2는 가명정보의 처리와 제공을 다음과 같이 한정한다. "개인정보처리자는 통계작성, 과학적 연구, 공익적 기록보존 등을 위하여 정보주체의 동의 없이 가명정보를 처리할 수 있다." 같은 조 제2항은 제3자 제공의 경우를 구체화하여 "개인정보처리자는 제1항에 따라 가명정보를 제3자에게 제공하는 경우에는 특정 개인을 알아보기 위하여 사용될 수 있는 정보를 포함해서는 아니 된다"고 정한다(개인정보 보호법 제28조의2). 이 규정은 목적 외 처리와 재식별 가능 정보의 반입을 함께 막는 구조를 취한다. 이 사례에서 검증 대장에 남은 수치의 산출 경위는 특정 개인을 알아보는 데 쓰일 수 있는 단서를 우연히 담을 수 있다. 따라서 대장을 통째로 내놓는 방식은 제2항의 한계를 벗어날 위험이 있다.
제28조의2 제1항이 적시한 처리 목적도 검증의 범위를 가른다. 조문은 "통계작성, 과학적 연구, 공익적 기록보존 등을 위하여"라고 처리 목적을 열거한다(개인정보 보호법 제28조의2). 이 사례에서 계산 재실행 자료의 작성은 통계작성과 과학적 연구라는 목적 아래 이루어진 것으로 정리할 수 있다. 다만 상대측의 지적에 답하기 위하여 같은 자료를 외부로 옮기는 행위가 그 열거된 목적 안에 그대로 들어가는지는 자료만으로 확정되지 않는다. 목적 외 사용인지 여부는 미정으로 남는다.
같은 조 제2항이 금지하는 정보의 유형에도 주의가 필요하다. "특정 개인을 알아보기 위하여 사용될 수 있는 정보"라는 표현은 형식뿐 아니라 기능을 기준으로 삼는다(개인정보 보호법 제28조의2). 이 사례에서 내부 검토 메모와 AI 초안에는 수치의 출처를 밝히는 과정에서 원자료의 식별 단서가 섞여 들어갈 수 있다. 이 경우 메모와 초안은 검증의 근거 문서로 보관하는 것과 상대측에 제공하는 것이 분리되어야 한다. 어느 문서를 어디까지 열 것인지는 이 단계에서 정해지지 않았다.
결국 재식별 금지는 합성 검증의 결과를 해석하는 데에도 경계선이 된다. 검증 대장이 원문에서 확인되지 않는 인용을 찾아냈다는 결론 자체는 문제없이 적을 수 있다. 그러나 그 결론을 뒷받침하는 과정의 기록이 제28조의2 제2항이 막는 정보를 담고 있다면, 상대측에 대한 설명은 결론의 범위에 맞추어 제한된다. 자료가 남아 있다는 사실이 곧 그 자료를 내놓아도 된다는 법적 평가는 아니다.