我是一名在仁川市延寿区松岛设有事务所的行政书士（行政사，即代办行政文书与许可申报的专业人士）。在此分享一段工作中遇到的经历。
调查负责人的第三个问题是这样的：出入记录你们保存多久？
委托人答不上来。因为他从未规定过。而且这个问题，和被举报的内容毫无关系。
举报是从另一个故事开始的
最先来的是一通电话。语速很快，第一句话是：我接到通知，说有人对我提出了个人信息举报。
约好时间后，他第二天下午来了。三十多岁的男性，在仁川延寿区经营两家二十四小时无人自习室。白天做别的工作，门店远程管理。开业第三年，贷款要还到第二年春天。
举报内容很简单。一名使用者主张，自己的出入时间记录被透露给了他人。
背后有私人原因。与那名使用者发生争执的熟人来到店里，询问某个人什么时候来、什么时候走，而当时在夜间短期打工的员工看着屏幕，大致说了个时间段。
委托人是在接到举报通知后才知道这件事的。那名打工的员工早已离职。
到这里为止是被举报的事件。但这个事件，还不到本文的一半。
无人门店因为没有人在，看起来似乎与个人信息无关，实际上恰恰相反。正因为没有人，一切都用记录来代替。谁在什么时候开的门，哪个座位用了多久，什么时候完成的支付，全都留了下来。若是有人常驻的店面，这些事随着人的记忆就流走了；在无人门店，它们原封不动地堆积在数据库里。
而且这些记录，大多不是老板自己设计的。是引进门店管理程序时一并带来的默认设置。三年过去了，却从未查看过什么被如何保存——这种情况并不少见。
他也是如此。第一次咨询时我问他手上有哪些信息，得到的回答是"姓名和电话号码之类的吧"。实际上远比这多得多。
在此之前，他已经独自回应过两次
他已经采取过两次行动。
第一次是给受理举报的机关打电话。他解释说那是员工做的事，自己从未指示过。工作人员告知有核实事实的程序，请他准备材料。这个答复是准确的。
第二次是直接联系了那名使用者。本意是道歉、消除误会。但通话结束得并不愉快。
第二件事，是实务中最需要小心的地方。在正在进行中的案件里直接联系当事人，即便出于善意，也会留下日后被作另一种解读的余地。尤其是只要带上一点请求撤回举报的意味，这件事本身就会变成新的问题。
那通电话之后，他有好几天不知道该做什么，后来就来到了事务所。
第一次咨询中他说得最多的一句话是"那是那个员工做的事啊"。这种心情可以理解。只是，处理个人信息的责任在于处理该信息的经营者。即便是员工的行为，赋予该员工权限、没有进行教育、没有加以管控，这些都归到经营者身上。
解释清楚这个结构花了三十分钟。我认为，正是这三十分钟决定了此后两个月的方向。抱着委屈往前走的案件，和承认结构、着手修正的案件，结果是不一样的。
实务上也是如此。在调查程序中，"这是员工干的"这一主张几乎不会被采纳。相反，"管理体系确有不足，现已如此改正"的书面材料，是会被实际审阅的。
我把问题拆成了两个
第一次咨询中我做的事，是把问题分成两个。
第一个问题：被举报的那个行为本身，应当如何看待。
第二个问题：与该行为无关地，这家经营场所处理个人信息的整体方式，在调查过程中会呈现出什么样子。
多数委托人只想到第一个。但调查是从第一个开始，进而转向第二个。被举报的事件只是开门的钥匙，门一旦打开，里面的一切都会被看见。
《个人信息保护法》（개인정보 보호법）对处理个人信息者课以多项义务。符合处理目的的最小化收集、保存期限的设定与期满销毁、安全措施、处理方针的公开、委托时的管理监督等等。这些义务并非只有发生泄露事故时才生效，而是平时就持续适用。
因此我们在应对举报之外，同时开始了经营场所自查。这是本案中最重要的一个判断。
这个判断是有代价的。一查就会查出原先不知道的问题，查出来的问题就得改。什么都不做的话，那些问题至少到今天为止，还可以当作不存在地过下去。
所以这个选择要由委托人来做。我摆出两条路径，说明各自最可能发生什么。只回应被举报的那一件、就此翻篇，眼下是轻松的。但如果调查过程中查出了别的项目，那时就变成了"明知而放任"的状态。
他想了十分钟左右，说要做自查。在两家门店都还背着贷款的情况下，这不是一个容易的决定。
自查查出的三件事
用三天时间，梳理了两家门店的个人信息处理实况。查出了三件事。
第一，没有设定保存期限。 出入记录和支付相关信息，从开业第一天起三年份原封不动地留着。不是没删，而是根本没有"删除"这个概念。无人门店管理程序的默认设置就是无限期保存，而他并不知道这个设置是可以改的。
第二，没有公示个人信息处理方针。 注册界面上有同意勾选框，但没有一份文件说明收集什么、出于什么目的、保存多久。因为不是加盟连锁而是个人创业，没有人告诉过他。
第三，委托关系没有理清。 保洁公司和设施管理公司共用着门店管理程序的账号。这是为了方便才这么做的，而用那个账号可以查询使用者信息。
第三件最重。被举报的事件是一名员工的一次性行为，而这一件是结构性问题。
委托人在这里说不出话来。我这样对他说：现在发现是幸事。调查官先发现，和我们先发现、改好之后再作说明，会成为完全不同的两个案子。
自查的方法也记下来。并没有用什么了不起的工具。登录门店管理程序，把菜单一个一个打开看，把什么被保存、谁能看到、留存到什么时候，记进一张表。两家门店合起来有十九个项目。
做这张表花了半天。并不难。只是没有人做。因为在出问题之前，没有理由去做这张表。
还查出了一件事。开业初期做活动时收集的报名名单，作为单独文件留着。是把纸上写的内容转录进了Excel，而活动结束已经两年多了。目的已经终结的信息还继续持有，本身就构成问题。这类文件通常就在桌面某个文件夹里，本人也早已忘了。
我们定下了顺序
距离提交材料还剩两周。我们把这期间能做的和做不到的分开。
第一周做的是即时处置。关闭共用账号，按公司分设各自账号。查询权限限制在必要范围内。确认管理程序的保存期限设置，定下期限，并规定期满记录的销毁流程。
这里我们一并做了一件事：在执行销毁之前，先把当前状态留成记录。 把有多少、依什么标准删了什么，做成表格。在调查进行当中删除资料，日后需要解释该行为本身。比起删除，先留下删除的依据更重要。
第二周做的是文书工作。按照实际处理实况撰写并公示了个人信息处理方针。这里有一个常见的错误：从网上把别人的处理方针拿来用。与实际不符的处理方针，比没有还糟。因为那等于是说，写下来的和做的不是一回事。
所以我们把每一句话都对准了实际运营。收集项目只写实际收取的，保存期限用刚定下的期限，委托方用刚理清的公司名。
公示位置也一并定了。处理方针必须放在使用者找得到的地方。若是无人门店，注册与支付界面和店内告示两边都会被看到。只放在其中一边，实际上等同于看不见。
也有因时间不够而没做成的：把员工培训资料做好这件事。在打工员工频繁更替的结构下，培训不是做一次就完的。这部分只写进了计划，实际资料是在案件收尾之后才做的。
不把没做的写成做了的，这一点很重要。写进书面材料的内容，日后都会成为核查对象。若写成两周内全部完成，之后来了核查要求，那时会麻烦得多。
意见书里写了什么
随材料一并提交的意见书分为四个部分。
第一，关于被举报行为的事实关系。 何时、谁、做了什么，把已查实的范围与未查实的范围分开写。打工员工看着屏幕提及时间段一事，予以事实认定。同时也写明：并未查实有打印或传送记录的事实。
不否认，这一点很重要。若去争辩已查实的事实，其余陈述的可信度也会一并下降。
第二，承认管理体系上的不足。 没有培训、没有访问权限管控、因而处于可能发生此类事情的状态——这些原样写下。
第三，已经完成的改进措施。 这里是这份意见书的重心。账号分离、权限限制、保存期限设定、销毁的执行及其记录、处理方针公示。每一项都附上完成日期和核实方法。
第四，今后的计划。 简短写了按季度的权限检查与新员工培训流程。没有写长。写下做不到的计划，是下一起案件的种子。
顺序也费了心思。把事实关系放前面、改进措施放后面看似自然，实际上阅读者最想知道的是第三项：这家经营场所现在是什么状态。所以我们在前面加了一页目录，让第三项的位置在目录中一眼可见。
书面材料要按被阅读的顺序来做。写的人的逻辑顺序，和读的人的关心顺序，大多是不同的。
意见书共八页，其中五页是第三项的证明材料。
制作证明材料时留意的是时点。截屏时通常会一并留下日期。把处置前与处置后放在同一画面上可对照的位置，说明的文字就会变短。原本要写三段的内容，可以用两张图代替。
反过来，也有没有做的事：把未被指出的项目也预先罗列出来加以辩解。这看似诚意，实际上等于自己扩大了调查范围。问什么答什么，展示改了什么，到此为止更好。
追加质询到来时
提交材料约三周后，来了追加质询。有两项。
一项是委托公司的合同中是否有与个人信息处理相关的条款。没有。因为那更接近于口头达成的关系。我们如实答复说没有，并在提交答辩书时一并附上了新签合同的副本。
另一项是已销毁资料的范围。看到这个问题时，我再次确认了此前制作的销毁记录表的价值。什么、何时、依什么标准删除的，都在一张表里，所以答复只需附上那张表加两行说明便结束了。
如果当初没有记录就删了，单这一个问题就要多花几周。而且答复的可信度也会不同。
在行政程序中日后帮上忙的，大多是当时看起来没什么必要的记录。
这起案件并不是"泄露申报"
咨询进行到中途时，委托人有一个担心。他问，新闻里看到的大规模泄露事故，和自己这件事是一回事吗。
这里需要区分两件事。
一是个人信息侵害举报。信息主体认为自己的个人信息被不当处理而提出举报的途径。本案属于此类。
另一是泄露通知与申报义务。经营者在得知个人信息发生泄露的事实后，若符合要件，须告知信息主体并向有关机关申报的程序。这项义务附有期限，符合要件却未履行，本身就会成为另一个问题。
两个程序的起点不同。前者提出申报的是信息主体，后者提出申报的是经营者。
本案是因口头提及特定使用者出入时间段而生的问题，与泄露通知、申报义务立即启动的类型性质不同。不过我们也把这一判断简短地写进了书面材料。写明判断为不适用的理由，与完全不提及，是不一样的。日后就该点被问到时，答案已经准备好了。
这也是实务中经营者最常混淆的地方。要件与期限依个案适用不同，若怀疑发生了泄露，建议不要拖延判断，先行确认。
没有越过的界线
本案中我们没有做的事，也明确记下。
没有与举报人接触。虽有转达歉意的请求，但我说明道：如有必要，也以书面形式、在调查程序之内进行更为稳妥。结果是在没有另行接触的情况下收尾的。
我们所做的，是制作向行政机关提交的材料与书面文件，并把经营场所的处理实况整理到符合要件为止。
两杯咖啡的小插曲
这件事里有个小插曲。
改进措施完成那天，委托人买了两杯咖啡来事务所。可他是用门店里用的随行杯装来的，两杯外观完全一样。一杯加了糖一杯没加，可他自己也分不清哪杯是哪杯。
最后两个人各喝一口再交换了杯子。那是那天事务所里花时间最久的一个决定。
听说他最近在门店管理界面上设了季度检查提醒。提醒弹出时，看一遍权限清单再关掉，花五分钟。
第二家店新来的打工员工，第一天会拿到一张A4纸。上面只写两件事：无论谁来问都不告知使用者信息；接到这类要求就立刻联系老板。他的解释是，写长了没人看。
实务中能长久维持的规则，大多是这个样子。并不完美，但很短，因为短所以被遵守。
结果
整个过程约两个月。从咨询到提交材料两周，之后的核实与追加质询答复三周，收尾又用了三周左右。
结果是以改进措施为前提的了结。经营场所的不足之处被指出，同时也一并确认了措施已经完成。具体的处分内容因个案而异、依个别情形而变，故此处不写。
不过有一点值得记下。最后阶段被确认的项目，与我们先行找出并改好的那些大体重合。换句话说，调查中几乎没有新查出的东西。这就是我们一并抓住第二个问题的理由。
如果当初没有做那次自查，同样的项目就不会出现在我们的书面材料里，而会以对方指摘的形式出现。同样的事实，因谁先说出而被区别对待。
对委托人实际留下的有两样。一是这件事了结了；二是三年间毫无标准堆积起来的个人信息，如今有了标准。
第二样更重要。最初被举报的事件是一名员工的一次性行为，其本身重复发生的可能性不高。而结构性问题若置之不理，总有一天必定再次浮现。到那时会比现在更重。
被举报一事，结果成了整顿经营场所的契机。我并不想推荐这样的顺序。只是，若已经进入了这个顺序，那么在其中能做的最好的事，是确定的。
费用的事也记下来。因为这是他最后问的问题。这次实际花钱的部分，是分设账号后增加的管理程序使用费，以及与委托公司重新签合同所花的时间。金额上并不大。
真正贵的，是此前的那三年。毫无标准堆积起来的记录，本身看似不产生费用，但在出问题的那一刻会被一次性结清。而那时，选项已经变少了。
在行政上，最便宜的时点，通常是什么事都还没发生的时点。
两个月后他顺口说过一句话：最初接到通知时，他以为这件事会走到关店那一步。实际上并没有变成那样，但那几天里的不安，是无法消除的那一类。
行政程序中消耗人的，往往不是结果，而是中间的那段时间。缩短那段时间，我认为与改变结果同样是实实在在的事。
留下几点
若处于这样的情况，建议按以下顺序处理。
① 不要直接联系举报人。 出于善意的联系，在进行中的程序里也可能被作另一种解读。若有想转达的意思，在程序之内以书面形式进行更稳妥。
② 不要只盯着被举报的那一件。 调查会从举报内容开始，扩展到处理实况的全貌。在被指出之前自行检查，结果会不一样。
③ 先确认保存期限和访问权限。 这是无人门店或小规模经营场所最常见的两点。管理程序的默认值多为无限期保存。
④ 删除资料之前，先把状态留成记录。 比销毁本身更重要的是销毁的依据和时点。正在进行中的案件尤其如此。
⑤ 处理方针不要照抄别人的。 与实际不符的处理方针，可能比没有更不利。收集项目、保存期限、委托公司，逐行与现在实际在做的对照一遍即可。
⑥ 不要与受托公司共用账号。 为了方便而共用一个账号的情形很多，但这会导致无法区分是谁查询了什么。按公司分设账号、将查询权限限制在必要范围，是基本要求。
⑦ 书面材料只写实际做过的。 把计划与完成分开写，日后来了核查要求也不会陷入窘境。
个人信息相关的举报与调查，其要件和程序因个案而异，泄露通知与申报义务是否适用也随情况而变。需要个别确认。
本案例是为便于理解而重构的虚构故事，出现的人物、商号、地名、数值与特定个人或事件无关。
