전문가에 대해 얼마나 알아야 좋은 결정을 내릴 수 있을까? 직업 정보의 단계적 공개 모델

GDPR은 개인정보가 처리 목적에 적절하고 관련성이 있으며 필요한 범위로 제한되어야 한다고 요구합니다. 이것이 제5조 제1항 (c)의 정보 최소화 원칙입니다. [1]

제25조 제2항은 더 나아가 기본 설정으로 각 특정 목적에 필요한 개인정보만 처리하도록 요구합니다. 이 조항은 수집하는 정보의 양, 처리 범위, 보관 기간, 접근 가능성을 명시적으로 다룹니다. [1]

유럽연합 집행위원회도 같은 원칙을 더 쉽게 설명합니다. 조직은 정해진 목적을 달성하는 데 필요한 개인정보만 수집하고 처리해야 합니다. [2]

그렇다고 법이 전문가 플랫폼에 이름이나 사진을 특정 시점까지 숨기라고 요구하는 것은 아닙니다. 이 글의 모델은 정보와 접근 범위를 제한하는 원칙을 실무적으로 정리한 것이며, 하나의 법 조항에서 직접 나온 공식 의무가 아닙니다.

정보가 무엇을 위해 쓰이는지 모르면 **"어떤 정보가 필요한가?"**라는 질문에 제대로 답할 수 없습니다.

다음 상황마다 필요한 정보가 달라집니다.

• 수백 개의 프로필을 탐색할 때
• 최종 후보 두 명을 비교할 때
• 누군가를 대화에 초대할 때
• 특정 전문 자격이나 권한을 확인할 때
• 서비스 조건을 합의할 때
• 계약을 체결할 때
• 결제하거나 법적 의무를 이행할 때

정보 최소화는 **"항상 가장 적게 보여 줘라"**는 뜻이 아닙니다. 특정 목적에 적절하고 필요한 범위로 정보를 제한하라는 뜻입니다. [1]

이 구분은 중요합니다.

플랫폼이 전문가의 이름 전체를 저장하면서 프로필을 보는 사람에게만 표시하지 않는다면, 플랫폼은 여전히 그 정보를 처리하고 있습니다. GDPR은 처리를 넓게 정의하며 수집, 저장, 조회, 사용, 공개 등을 포함합니다. [1]

정보를 숨기면 특정 수신자에 대한 접근 가능성을 줄일 수 있습니다. 접근 가능성은 제25조 제2항이 명시하는 요소 중 하나입니다. 그러나 이것이 정보 처리 자체가 없다는 뜻은 아닙니다. [1]

따라서 좋은 개인정보 보호 구조는 다음 세 질문을 따로 답해야 합니다.

• 플랫폼이 어떤 정보를 보유하는가
• 누가 접근할 수 있는가
• 언제 어떤 목적으로 다른 당사자에게 공개할 수 있는가

가명 처리와 익명화는 같은 개념이 아닙니다.

European Data Protection Board는 가명 처리가 정보를 특정 개인과 연결하는 가능성을 낮추지만 그 연결을 완전히 없애지는 않는다고 설명합니다. 추가 정보로 다시 개인과 연결할 수 있다면 가명 처리된 정보도 여전히 개인정보입니다. [4]

따라서 실제 신원을 별도로 보관하면서 **"전문가 184"**라고 표시한 프로필은 법적으로 자동 익명 정보가 되지 않습니다.

가명 처리는 보호 조치이지, 정보를 GDPR 적용 범위 밖으로 빼는 방법이 아닙니다.

GDPR에는 자주 지나치게 단순화되는 중요한 구분이 있습니다.

전문 51은 사진을 일률적으로 특별 범주의 정보로 취급해서는 안 된다고 설명합니다. 사진이 관련 생체정보 정의에 포함되는 것은 특정 기술적 방식으로 처리되어 개인을 고유하게 식별하거나 인증할 수 있게 되는 경우입니다. [1]

일반 사진이 개인정보가 될 수 없다는 뜻은 아닙니다. 개인정보가 될 수 있습니다. 다만 사람이 찍혀 있다는 이유만으로 사진이 자동으로 특별 범주의 생체정보가 되는 것은 아니라는 뜻입니다.

익명 지원서에 관한 연구는 신원 정보를 제한하면 일부 조건에서 초기 선별 단계의 차별적 장벽을 줄일 수 있음을 보여 줍니다. 하지만 결과는 맥락에 따라 다르며, 익명화가 차별을 이후 단계로 미루거나 의도하지 않은 효과를 만들 수도 있습니다. [6]

따라서 다음과 같이 말하는 것은 정확하지 않습니다.

"이름과 사진을 숨기면 편향이 사라진다."

증거에 더 부합하는 표현은 다음과 같습니다.

"일부 신원 정보를 제한하면 첫 단계를 직업 관련 기준에 더 집중하게 할 수 있지만, 그것만으로 편향 없는 결정이나 더 나은 결정을 보장하지는 않는다."

OECD는 skills-first 접근을 주요 평가 기준을 개인이 실제로 보여 줄 수 있는 역량으로 옮기고, 자격과 경력은 보완적으로 활용하는 방식으로 설명합니다. OECD는 편향을 의식적으로 줄이고 적절한 평가 방법을 사용할 필요성도 강조합니다. [5]

이것이 OECD가 전문가 플랫폼에서 특정 프로필 항목을 숨기라고 권고한다는 뜻은 아닙니다.

다만 신중한 설계 결론은 가능합니다.

첫 단계의 목적이 특정 업무를 수행할 능력을 평가하는 것이라면, 역량과 그에 대한 증거가 일부 신원 정보보다 더 중요할 수 있습니다.

먼저 다음을 정의하세요.

• 해결할 문제
• 수행할 업무
• 반드시 필요한 역량
• 중요하게 볼 작업 증거
• 시간, 예산, 협업 방식의 제약

이 단계에서는 특정 전문가에 대한 개인정보가 필요하지 않습니다.

방법론적으로도 중요합니다. 평가 기준은 그 기준으로 평가할 사람을 보기 전에 만들어야 합니다.

초기 프로필 평가에는 다음 정보만으로도 충분할 수 있습니다.

• 필요한 역량
• 역량을 사용한 맥락
• 작업 예시나 결과
• 실제 기여에 대한 설명
• 책임 수준
• 경험의 최신성
• 일부 증거의 검증 가능성

이름, 사진, 자세한 경력이 특정 업무를 수행할 수 있는지 판단하는 데 도움이 되지 않는다면 이 단계에서 사용하지 않는 방안을 고려할 수 있습니다.

이것은 설계상의 결정이지 보편적인 법적 의무가 아닙니다.

다음 정보 층에는 역량의 증거는 아니지만 실제 협업 가능성을 확인하는 데 필요한 내용이 포함될 수 있습니다.

• 가용 시간
• 시작 가능한 시점
• 서비스 범위
• 과금 방식과 가격
• 필요한 경우 의사소통 언어
• 실제로 중요할 경우 시간대나 근무 장소
• 조직상의 제약

가격은 역량의 증거가 아니며 위치는 품질의 척도가 아닙니다. 그래도 특정 협업의 실질적인 조건이 될 수 있습니다.

후보를 좁혔다고 해서 프로필 전체를 자동으로 공개할 필요는 없습니다.

먼저 다음 결정을 위해 어떤 정보가 부족한지 확인하세요.

예를 들면:

• 특정 프로젝트에 대한 설명
• 개인 기여 범위의 확인
• 추가 작업 예시
• 모든 최종 후보에게 동일하게 묻는 질문의 답변
• 실제로 필요한 전문 자격이나 권한의 확인

정보 부족은 구체적인 추가 질문으로 이어져야 하며 자동으로 낮은 평가로 이어져서는 안 됩니다.

신원을 공개하는 시점은 모든 상황에서 같을 필요가 없습니다.

예를 들어 다음을 하려는 때 신원이 필요할 수 있습니다.

• 직접 대화로 넘어가기
• 특정 출처에서 주장한 작업 기여나 경력을 확인하기
• 개인에게 연결된 필수 자격이나 권한을 확인하기
• 공식 협업을 준비하기

몇 단계를 거친 뒤 이름을 반드시 공개해야 한다는 보편적인 법 규칙은 없습니다.

유용한 기준은 그 정보 없이는 합리적으로 달성할 수 없는 구체적인 목적이 생겼는지 여부입니다.

당사자들이 실제로 함께 일하기 시작하면 필요한 정보 범위가 넓어질 수 있습니다.

관계 유형, 관할권, 당사자의 의무에 따라 다음을 위해 정보가 필요할 수 있습니다.

• 계약 체결 또는 이행
• 운영상 연락
• 청구와 정산
• 세금 또는 회계 의무
• 법률상 요구되거나 서비스 성격상 정당한 확인

모든 프로젝트가 동일한 정보 묶음을 필요로 하는 것은 아닙니다. 규제 산업이나 특정 법적 의무에서는 훨씬 많은 정보가 필요할 수 있습니다.

이 글은 특정 관계에 대한 법률 검토를 대체하지 않습니다.

정보 최소화는 정보를 수집한 순간 끝나지 않습니다.

GDPR 제25조 제2항은 기본 설정에 의한 개인정보 보호를 처리 범위, 보관 기간, 접근 가능성과도 연결합니다. [1]

한 단계가 끝나면 다시 확인하세요.

• 이 정보가 아직 필요한가
• 누가 계속 접근해야 하는가
• 보관할 법적 이유가 있는가
• 표시 범위를 줄일 수 있는가
• 언제 삭제하거나 다시 검토해야 하는가

어제 필요했던 정보라고 해서 무기한 계속 접근 가능해야 하는 것은 아닙니다.

추가 정보를 공개하기 전에 다섯 가지 질문을 해 보세요.

1. 이 정보의 정확한 목적은 무엇인가?
2. 이 정보 없이도 합리적으로 결정할 수 있는가?
3. 덜 구체적인 정보로 충분한가?
4. 실제로 누가 봐야 하는가?
5. 얼마나 오래 접근 가능해야 하는가?

예를 들어 특정 시간에 협업할 수 있는지만 알아야 한다면 전문가의 정확한 자택 주소는 보통 그 질문에 직접 답하지 않습니다. 시간대나 공개된 가용 시간이면 충분할 수 있습니다.

이것은 법률 테스트가 아닙니다. 정보와 목적 사이의 비례성을 확인하기 위한 실무 도구입니다.

개인정보 보호 때문에 부족한 정보를 추측으로 대체해 결정의 질을 낮춰서는 안 됩니다.

평가에 특정 직업 정보가 필요하다면 세 가지 합리적인 선택지가 있습니다.

• 적절한 단계에서 요청한다
• 같은 질문에 답하는 대체 증거를 사용한다
• 아직 결정할 근거가 충분하지 않다고 인정한다

다음과 같은 판단은 적절하지 않습니다.

"이 정보가 보이지 않으니 결과가 나쁠 것이다."

정보가 없는 것과 부정적인 증거는 서로 다릅니다.

내부 시스템의 모든 사용자가 처음부터 모든 정보를 볼 수 있다면 단계적 공개의 의미는 제한적입니다.

GDPR 제25조 제2항은 접근 가능성을 기본 설정에 의한 개인정보 보호의 요소로 명시합니다. [1] European Data Protection Board의 설계 및 기본 설정에 의한 개인정보 보호 지침은 적절한 기술적, 조직적 조치를 통한 구현을 설명합니다. [3]

실무에서는 다음을 구분해야 합니다.

• 계정 운영을 위해 플랫폼이 필요한 정보
• 공개적으로 보이는 정보
• 선택된 당사자에게만 보이는 정보
• 특정 목적에 한해 직원이나 관리자가 접근하는 정보

화면에서만 숨기고 데이터 접근 통제가 없다면 개인정보 보호는 불완전합니다.

한 조직이 웹사이트 접근성을 평가할 전문가를 찾고 있다고 가정해 보겠습니다.

1단계
역량, 비슷한 감사 경험, 보고서 예시, 책임 범위, 필요한 표준에 대한 지식을 비교합니다. 이 질문에 모두 이름과 사진이 필요한 것은 아닙니다.

2단계
필요한 기간의 가용성, 가격, 의사소통 언어, 요구되는 업무 방식에 맞출 수 있는지 확인합니다.

3단계
최종 후보에게 방법론 설명과 일부 경력의 확인을 요청합니다.

4단계
직접 대화나 공식 협업 전에 당사자들은 신원 확인, 연락, 관계 공식화에 필요한 정보를 공개합니다.

이 순서가 모든 상황에서 최선이라는 뜻은 아닙니다. 서로 다른 결정에는 서로 다른 정보 층이 필요할 수 있다는 점을 보여 주는 예입니다.

1. 고객에게는 정보를 숨기지만 내부에서는 누구나 볼 수 있습니다.

2. 플랫폼이 쉽게 실제 사람과 다시 연결할 수 있는데도 프로필을 익명이라고 부릅니다.

3. 안전하거나 합법적인 결정에 실제로 필요한 정보까지 숨깁니다.

4. 신원 공개를 구체적인 절차상 필요에 대한 대응이 아니라 보상처럼 취급합니다.

5. 이름을 숨기면 편향이 자동으로 사라진다고 가정합니다.

6. 명확한 목적 없이 "혹시 필요할지 몰라서" 정보를 수집합니다.

7. 역량 평가에 필요한 정보와 계약이나 정산에 필요한 정보를 구분하지 않습니다.

8. 단계가 끝난 뒤 정보가 계속 접근 가능해야 하는지 다시 검토하지 않습니다.

1. 각 정보의 정확한 목적은 무엇인가?
2. 그 정보 없이 목적을 달성할 수 있는가?
3. 덜 자세한 정보로 충분한가?
4. 역량 평가에 필요한가, 이후 협업에만 필요한가?
5. 현재 단계에서 누가 봐야 하는가?
6. 프로필은 실제 익명인가, 아니면 가명 처리된 것뿐인가?
7. 정보 부족과 부정적 결과를 올바르게 구분하는가?
8. 모든 전문가를 비교 가능한 기준으로 평가하는가?
9. 신원을 공개할 구체적인 절차상 이유가 있는가?
10. 이후 단계에서 계약, 세금, 보안, 법률상의 이유로 추가 정보가 필요한가?
11. 내부 접근 권한은 실제로 필요한 사람에게만 제한되어 있는가?
12. 정보가 더 이상 필요하지 않은 시점이나 필요성을 다시 검토할 시점이 명확한가?

정보 최소화는 정보 없이 결정한다는 뜻이 아닙니다.

다음 질문을 분리한다는 뜻입니다.

지금 무엇을 알아야 하는가?
무엇을 나중에 확인할 수 있는가?
누가 봐야 하는가?
얼마나 오래 필요한가?

실무적인 전문가 선택 순서는 예를 들어 다음과 같을 수 있습니다.

문제 -> 역량 -> 증거 -> 협업 조건 -> 부족한 정보 -> 신원 -> 관계 공식화에 필요한 정보 -> 접근과 보관 재평가.

모든 상황에서 정확히 같은 순서가 필요한 것은 아닙니다.

더 단순한 원칙은 다음과 같습니다.

시스템이 수집하거나 표시할 수 있기 때문이 아니라, 명확한 목적에 필요하기 때문에 정보를 공개하고 처리하세요.

[1] Regulation (EU) 2016/679 - GDPR, 특히 제4조, 제5조, 제25조와 전문 39, 51, EUR-Lex
출처 열기

[2] European Commission - What data can we process and under which conditions?
출처 열기

[3] European Data Protection Board - Guidelines 4/2019 on Article 25 Data Protection by Design and by Default, 2020년 10월 20일 최종본
출처 열기

[4] European Data Protection Board - Anonymisation / pseudonymisation
출처 열기

[5] OECD - A Skills-First Labour Market, Promoting skills-first hiring and talent management, 2026
출처 열기

[6] IZA World of Labour - Anonymous job applications and hiring discrimination
출처 열기

방법론 참고: 출처는 개인정보 보호법, 개인정보 보호 설계, 노동시장, 익명 선발 연구 등 서로 다른 영역을 다룹니다. 이 글은 채용 연구 결과를 모든 전문가 관계에 직접 적용할 수 있다고 주장하지 않습니다. 직업 정보의 단계적 공개 모델은 실무적 종합이며 위 기관 중 어느 곳의 공식 표준도 아닙니다.