정보통신망법 개인정보침해죄 — 성립요건·처벌 수위와 개인정보보호법 차이 

내 개인정보가 동의 없이 유출되거나, 누군가 내 계정·메신저를 몰래 들여다봤다면 어떤 법으로 처벌할 수 있을까요. 많은 분들이 검색창에 <정보통신망법 개인정보침해죄>를 입력하지만, 사실 2020년 데이터 3법 개정으로 개인정보 보호 조항의 상당수는 개인정보보호법으로 옮겨갔습니다. 그래서 같은 <개인정보 침해>라도 구체적인 행위가 무엇이냐에 따라 적용 법률과 처벌 수위가 달라집니다. 이 글에서는 현재 정보통신망법에 남아 있는 처벌 조항이 무엇인지, 성립요건과 처벌 수위는 어떻게 되는지, 그리고 개인정보보호법과는 어떻게 나뉘는지를 차근차근 정리해 드리겠습니다.

법무법인 도모 강대현 변호사

---

정보통신망법 개인정보침해죄란 — 데이터 3법 이후 달라진 지형

정보통신망법의 정식 명칭은 <정보통신망 이용촉진 및 정보보호 등에 관한 법률>입니다. 과거에는 이 법이 포털·쇼핑몰 같은 정보통신서비스 제공자의 개인정보 수집·이용·보관 의무를 직접 규율하고, 이를 어기면 처벌하는 핵심 근거였습니다. 그래서 <개인정보 침해> 하면 정보통신망법을 떠올리는 분들이 여전히 많습니다.

그러나 2020년 1월 9일 국회를 통과해 같은 해 8월 5일부터 시행된 데이터 3법 개정으로 지형이 크게 바뀌었습니다. 정보통신망법에 흩어져 있던 개인정보 보호 관련 조항이 대부분 삭제되어 개인정보보호법으로 통합·이관되었고, 온라인 개인정보 보호의 감독 주체도 방송통신위원회에서 개인정보보호위원회로 일원화되었습니다. 정보통신서비스 제공자에 대한 개인정보 규율은 개인정보보호법의 특례 규정으로 옮겨갔습니다.

따라서 엄밀히 말하면 현행법에 <정보통신망법 개인정보침해죄>라는 단일한 죄명이 따로 있는 것은 아닙니다. 어떤 행위였는지에 따라, 타인의 비밀이나 정보통신망 자체를 건드린 경우에는 여전히 정보통신망법이, 개인정보의 수집·처리·누설이 문제 된 경우에는 개인정보보호법이 적용되는 구조로 이해하는 것이 정확합니다. 예를 들어 회사 서버에 무단 침입해 자료를 빼냈다면 정보통신망법이, 업무상 알게 된 고객 명단을 빼돌렸다면 개인정보보호법이 우선 검토됩니다.

데이터 3법 시행으로 개인정보 보호의 무게중심은 정보통신망법에서 개인정보보호법으로 이동했고, 정보통신망법에는 <정보·비밀의 침해>와 <정보통신망 침입> 처벌 조항이 남았습니다.

현재 정보통신망법에 남아 있는 처벌 조항 — 제49조와 제48조

개인정보 보호 조항이 빠져나간 뒤에도 정보통신망법에는 정보와 통신망의 안전을 지키는 핵심 처벌 규정이 그대로 남아 있습니다. 실무에서 <개인정보 침해> 사건으로 정보통신망법이 적용될 때, 그 근거는 대부분 아래 두 조항입니다.

• 제49조(비밀 등의 보호) — 누구든지 정보통신망에 의하여 처리·보관 또는 전송되는 타인의 정보를 훼손하거나, 타인의 비밀을 침해·도용·누설하는 행위를 금지합니다. 메신저·이메일·클라우드에 저장된 남의 정보를 몰래 빼내거나 퍼뜨리는 경우가 여기에 해당합니다.

• 제48조(정보통신망 침해행위 등의 금지) — 정당한 접근권한 없이, 또는 허용된 접근권한을 넘어 정보통신망에 침입하는 행위와 악성프로그램 유포 등을 금지합니다. 이른바 해킹·무단 로그인이 대표적입니다.

두 조항은 보호하는 대상이 다릅니다. 제49조는 망을 통해 오가는 <정보·비밀> 그 자체를, 제48조는 <정보통신망>이라는 시스템의 안전성을 보호합니다. 실제 사건에서는 남의 계정에 무단 접속(제48조)한 뒤 그 안의 대화 내용을 빼내 퍼뜨리는(제49조) 식으로 두 조항이 함께 문제 되는 경우도 적지 않습니다.

제49조 성립요건 — <타인의 비밀>·<침해>·<누설>의 의미

제49조 위반이 성립하려면 그 대상이 <타인의 비밀>이어야 하고, 행위 태양이 <침해>·<도용>·<누설> 중 하나에 해당해야 합니다. 이 개념들의 의미는 사내 메신저 대화를 몰래 열람·복사해 제3자에게 보낸 사건에서 대법원이 비교적 명확하게 정리했습니다(대법원 2018. 12. 27. 선고 2017도15226 판결).

• 타인의 비밀 — 일반적으로 알려져 있지 않은 사실로서, 이를 다른 사람에게 알리지 않는 것이 본인에게 이익이 되는 것을 말합니다. 거창한 기밀이 아니라 사적인 대화 내용도 포함될 수 있습니다.

• 침해 — 정보통신망에 침입하는 등 부정한 수단이나 방법으로 타인의 비밀을 취득하는 행위입니다. 정당한 권한 없이 들여다본다는 점이 핵심입니다.

• 누설 — 단순한 모든 알림이 아니라, 부정한 수단으로 비밀을 취득한 사람 또는 그렇게 취득된 비밀임을 알면서 이를 모르는 제3자에게 알리는 행위를 말합니다.

특히 주목할 부분은 보호 대상의 범위입니다. 대법원은 개인용 컴퓨터의 하드디스크에 저장되어 있던 정보라 하더라도, 메신저 같은 정보통신 관련 프로그램을 통해서만 접근·열람할 수 있고 정보통신시스템 안에 보관된 것으로 볼 수 있다면 제49조가 보호하는 <타인의 비밀>에 해당한다고 보았습니다. 즉 <정보통신망을 통해 전송 중인 것>만이 아니라, 망과 연결된 시스템에 저장된 정보까지 폭넓게 보호된다는 취지입니다.

반대로 말하면, 길에 떨어진 종이 메모를 주워 읽은 것처럼 정보통신망과 무관하게 취득한 정보는 이 조항으로 처벌하기 어렵습니다. 그래서 수사 단계에서는 문제 된 정보가 어떤 경로로 저장·전송되었고, 피의자가 어떤 방법으로 접근했는지가 성립 여부를 가르는 핵심 쟁점이 됩니다.

개인 PC에 저장된 메신저 대화라도, 정보통신 프로그램을 통해서만 접근 가능하고 시스템 내에 보관된 것이라면 제49조의 <타인의 비밀>로 보호된다는 것이 대법원의 입장입니다.

개인정보 자체의 누설·유출은 어디서 처벌하나 — 개인정보보호법으로

그렇다면 회사가 보관하던 고객의 이름·연락처·주민등록번호 같은 <개인정보> 자체를 빼돌리거나 유출한 경우는 어떻게 될까요. 데이터 3법 개정 이후 이 영역은 원칙적으로 개인정보보호법이 규율합니다. 개인정보보호법은 개인정보를 처리하거나 처리했던 자가 지켜야 할 금지행위를 정해 두고, 이를 위반하면 형사처벌하도록 하고 있습니다.

핵심은 개인정보보호법 제59조 제2호입니다. 이 조항은 업무상 알게 된 개인정보를 누설하거나, 권한 없이 다른 사람이 이용하도록 제공하는 행위를 금지합니다. 그리고 제71조 제5호는 이를 위반한 자뿐 아니라, 그러한 사정을 알면서도 영리 또는 부정한 목적으로 개인정보를 제공받은 자까지 처벌 대상으로 삼습니다. 빼돌린 사람과 이를 사들인 사람을 함께 겨냥하는 구조입니다.

예를 들어 콜센터 상담원이 업무 중 알게 된 고객 명단을 외부 업체에 넘기고, 그 업체가 영업에 쓰려고 이를 사들였다면 양쪽 모두 개인정보보호법 위반으로 처벌될 수 있습니다. 반면 같은 사람이 회사 서버에 권한 없이 침입해 자료를 긁어 온 행위가 함께 있다면, 그 침입 부분은 정보통신망법 제48조로도 평가될 수 있습니다. 이렇게 하나의 사건에 두 법이 겹쳐 적용되는 경우가 실무에서 드물지 않습니다.

처벌 수위 정리 — 어느 법, 어느 조항이 적용되나

가장 많이 궁금해하시는 처벌 수위를 조항별로 정리하면 다음과 같습니다. 적용 법률과 행위 태양에 따라 법정형이 달라지므로, 내 사안이 어디에 해당하는지부터 가려야 합니다.

• 정보통신망법 제49조 위반(타인의 정보 훼손·비밀 침해·도용·누설) — 제71조 제1항 제11호에 따라 5년 이하의 징역 또는 5천만원 이하의 벌금에 처해질 수 있습니다.

• 정보통신망법 제48조 제1항 위반(정보통신망 무단 침입) — 제72조 제1항 제1호에 따라 3년 이하의 징역 또는 3천만원 이하의 벌금에 처해질 수 있습니다.

• 개인정보보호법 제59조 제2호 위반(업무상 개인정보 누설·무단 제공) — 제71조 제5호에 따라 5년 이하의 징역 또는 5천만원 이하의 벌금에 처해질 수 있습니다.

여기서 표시된 형량은 법이 정한 상한, 즉 법정형입니다. 실제 선고되는 형은 피해 규모, 정보의 민감성, 유출 범위, 영리 목적 여부, 피해 회복과 합의 여부 등 여러 양형 요소를 종합해 결정됩니다. 초범이고 피해가 경미하며 합의가 이루어진 사건이라면 벌금형이나 집행유예로 마무리되는 경우도 있지만, 대량 유출이나 영리 목적이 인정되면 실형 가능성도 충분히 있습니다.

비밀 침해(정보통신망법 제49조)와 업무상 개인정보 누설(개인정보보호법 제59조 제2호)은 모두 5년 이하 징역 또는 5천만원 이하 벌금으로, 결코 가벼운 범죄가 아닙니다.

실무에서 자주 문제 되는 상황

법조문만 보면 멀게 느껴지지만, 이 조항들은 일상에서 의외로 가까운 상황에 적용됩니다. 아래는 상담 과정에서 자주 등장하는 유형입니다.

• 사내 메신저·이메일 무단 열람 — 동료가 자리를 비운 사이 회사 메신저나 메일을 몰래 열어 대화·문서를 복사·전송하는 경우. 정보통신망법 제49조의 비밀 침해·누설이 문제 됩니다.

• 전 연인·배우자 계정 무단 접속 — 알고 있던 비밀번호로 상대방의 SNS·이메일에 로그인해 내용을 확인하는 경우. 접근권한이 없으므로 제48조 침입과 제49조 침해가 함께 검토됩니다.

• 퇴사 직원의 고객 DB 반출 — 재직 중 알게 된 고객 정보를 퇴사하며 빼내 가거나 경쟁사에 넘기는 경우. 개인정보보호법 제59조 제2호가 우선 적용됩니다.

• 계정 도용·해킹 — 타인의 아이디·비밀번호를 도용하거나 시스템 취약점을 이용해 침입하는 경우. 정보통신망법 제48조가 정면으로 적용됩니다.

이런 사건들은 <호기심에 한 번 본 것뿐>이라는 가벼운 인식에서 시작되는 경우가 많지만, 법적으로는 엄연한 범죄가 될 수 있습니다. 특히 확인한 내용을 캡처하거나 제3자에게 전달하는 순간, 단순 열람을 넘어 누설·제공으로 평가되어 죄질이 무거워질 수 있다는 점을 유의해야 합니다.

수사·기소 단계에서 대응 시 유의점 — 고의·접근권한·양형

이 유형의 사건에서 유무죄와 형량을 가르는 핵심 쟁점은 대체로 세 가지로 모입니다. 고의가 있었는지, 접근권한의 범위를 넘었는지, 그리고 사후 피해 회복이 이루어졌는지입니다.

먼저 고의입니다. <그냥 떠 있길래 봤다>거나 <권한이 있는 줄 알았다>는 주장이 자주 나오지만, 비밀번호를 알아내려 시도한 정황이나 자료를 별도로 저장·전송한 행위 등이 있으면 부정한 접근의 고의가 인정되기 쉽습니다. 객관적 정황과 어긋나는 변명은 오히려 신빙성을 떨어뜨릴 수 있으므로, 초기 진술 단계에서 사실관계를 신중하게 정리하는 것이 중요합니다.

다음은 접근권한의 범위입니다. 정보통신망법 제48조는 <권한 없이>뿐 아니라 <허용된 접근권한을 넘어> 침입한 경우도 처벌합니다. 따라서 처음에는 정당하게 부여받은 계정이라도, 본래 목적과 무관하게 다른 사람의 정보에 접근했다면 권한을 넘은 것으로 평가될 여지가 있습니다. 내가 가진 권한의 실제 범위가 어디까지였는지를 객관적 자료로 입증하는 것이 방어의 출발점이 됩니다.

마지막으로 피해 회복과 합의입니다. 비밀 침해·누설죄는 친고죄나 반의사불벌죄로 규정되어 있지 않아, 피해자와 합의하더라도 그 자체로 처벌을 면하는 것은 아닙니다. 다만 유출된 정보의 삭제·폐기, 진심 어린 사과, 피해자와의 합의는 양형에 매우 중요한 유리한 정상으로 고려되므로, 가능한 한 이른 단계에서 피해 확산을 막고 회복 조치를 취하는 것이 바람직합니다.

자주 묻는 질문

Q. 정보통신망법 개인정보침해죄라는 죄명이 따로 있나요?

A. 현행법에 그런 단일 죄명이 별도로 있는 것은 아닙니다. 2020년 데이터 3법 개정으로 개인정보 보호 조항이 개인정보보호법으로 이관되면서, 정보통신망법에는 타인의 정보·비밀 침해(제49조)와 정보통신망 침입(제48조) 처벌 조항이 남았습니다. 따라서 행위가 무엇이었는지에 따라 정보통신망법이나 개인정보보호법이 나뉘어 적용됩니다.

Q. 회사 동료의 메신저를 몰래 본 것도 처벌되나요?

A. 처벌될 수 있습니다. 대법원은 개인 PC에 저장된 메신저 대화라도 정보통신 프로그램을 통해서만 접근 가능하고 시스템 내에 보관된 것이라면 정보통신망법 제49조의 <타인의 비밀>에 해당한다고 보았습니다(2017도15226). 권한 없이 열람한 것만으로도 비밀 침해가 문제 되며, 내용을 복사해 전달하면 누설로 죄질이 무거워질 수 있습니다.

Q. 제 개인정보가 유출됐는데 정보통신망법으로 고소하면 되나요?

A. 사안에 따라 다릅니다. 회사 등이 업무상 보관하던 개인정보를 누설·제공한 경우라면 개인정보보호법(제59조 제2호, 제71조 제5호)이 적용될 가능성이 큽니다. 반면 누군가 정보통신망에 침입해 정보를 빼냈다면 정보통신망법 제48조·제49조가 함께 검토됩니다. 어떤 경로로 어떤 정보가 새어 나갔는지에 따라 적용 법률이 달라지므로, 사실관계를 먼저 정리하는 것이 중요합니다.

Q. 원래 접근권한이 있던 계정이면 처벌을 피할 수 있나요?

A. 반드시 그렇지는 않습니다. 정보통신망법 제48조는 <권한 없이> 침입한 경우뿐 아니라 <허용된 접근권한을 넘어> 침입한 경우도 처벌합니다. 정당하게 부여받은 계정이라도 본래 업무 목적과 무관하게 타인의 정보에 접근했다면 권한을 넘은 것으로 평가될 수 있습니다.

Q. 비밀 침해죄는 피해자와 합의하면 처벌되지 않나요?

A. 정보통신망법 제49조 위반죄는 친고죄나 반의사불벌죄가 아니어서, 합의했다고 해서 그 자체로 공소권이 사라지지는 않습니다. 다만 피해 정보의 삭제, 사과, 합의는 양형에 유리하게 작용하는 중요한 정상이므로, 가능한 한 빨리 피해 회복 조치를 취하는 것이 도움이 됩니다.

Q. 처벌 수위는 어느 정도인가요?

A. 정보통신망법 제49조 위반은 5년 이하의 징역 또는 5천만원 이하의 벌금, 제48조 제1항 위반(망 침입)은 3년 이하의 징역 또는 3천만원 이하의 벌금입니다. 개인정보보호법 제59조 제2호 위반(업무상 개인정보 누설·무단 제공)도 5년 이하의 징역 또는 5천만원 이하의 벌금에 해당합니다. 실제 형은 피해 규모와 영리 목적, 합의 여부 등을 종합해 정해집니다.

맺음말

정리하면, 흔히 말하는 <정보통신망법 개인정보침해>는 더 이상 하나의 죄명으로 묶이지 않습니다. 데이터 3법 이후 개인정보 자체의 처리·누설은 개인정보보호법이, 정보통신망을 통한 비밀의 침해·누설과 망 침입은 정보통신망법이 나누어 규율하는 구조로 바뀌었습니다. 내 사안이 어느 법의 어느 조항에 해당하는지부터 정확히 가리는 것이 대응의 첫걸음입니다.

이런 사건은 고의의 인정 여부, 접근권한의 범위, 피해 회복의 정도에 따라 결론이 크게 달라집니다. 고소를 준비하는 피해자라면 유출 경로와 증거를 체계적으로 확보해야 하고, 조사를 앞둔 피의자라면 초기 진술과 사실관계 정리가 향후 전체 결과를 좌우할 수 있습니다.

혼자 판단하기 어려운 상황이라면, 수원·경기남부 지역에서 형사 사건을 다루는 변호사와 사실관계를 차분히 짚어 보며 방향을 잡는 것이 안전합니다. 사안마다 적용 법률과 쟁점이 다른 만큼, 구체적인 사정을 바탕으로 한 검토가 무엇보다 중요합니다.

조력이 필요하시면 010-3432-1451 강대현 변호사에게 연락주십시오. 신속히 도와드리겠습니다.

의뢰인을 위한 최선의 전략을 끊임없이 고민합니다.