직원이 고객 개인정보를 빼돌리면 어떤 처벌을 받나요 

퇴사를 앞둔 직원이 고객 명단을 USB에 담아 나갔다거나, 영업직원이 고객 연락처를 경쟁업체에 넘긴 정황이 드러나 회사가 발칵 뒤집히는 일이 드물지 않습니다. 직원 본인은 "내가 모은 고객인데 뭐가 문제냐"고 생각하기도 하고, 회사는 "당장 고소부터 해야 하나, 아니면 내부 징계로 끝낼 수 있나" 사이에서 갈피를 잡지 못합니다. 그러나 이 문제는 단순한 내부 기강 위반이 아니라 개인정보 보호법에 따른 형사처벌과 손해배상이 동시에 걸리는 사안입니다. 어느 쪽 입장이든, 어떤 조문이 어떤 형량으로 적용되는지부터 알아야 대응이 가능합니다.

먼저 전체를 짚어보겠습니다: 개인정보 유출, 직원 개인의 형사처벌과 회사 책임이 함께 문제됩니다

직원이 고객 개인정보를 외부로 빼돌렸을 때 문제되는 책임은 크게 세 갈래입니다. 첫째, 개인정보 보호법에 따른 형사처벌, 둘째, 업무상배임·영업비밀 침해 등 다른 법률에 따른 형사책임, 셋째, 피해를 입은 고객과 회사에 대한 민사 손해배상입니다. 여기에 회사가 직원 관리를 소홀히 했다면 회사 자신도 양벌규정과 손해배상의 상대방이 될 수 있습니다.

처벌의 수위는 "무엇을 어떻게 빼돌렸는가"에 따라 크게 달라집니다. 업무상 알게 된 정보를 외부에 넘긴 것인지, 권한이 없는데 시스템에 접속해 내려받은 것인지, 속임수로 정보를 취득한 뒤 돈을 받고 팔았는지에 따라 적용 조문과 법정형이 각각 다릅니다. 처벌 수위는 정보를 손에 넣은 방법과 그 뒤의 사용 목적에 따라 갈립니다.

또 하나 자주 오해하는 부분은 "내가 평소 쓰던 계정으로 열어 본 것이니 문제없다"는 생각입니다. 정당하게 접근할 수 있는 정보라도 업무 목적을 넘어 외부로 가져가거나 제3자에게 넘기면 그 순간 범죄가 될 수 있습니다. 반대로 회사 입장에서는 유출 사실을 알고도 신고나 조치를 미루면 오히려 회사의 안전조치 의무 위반이 문제될 수 있다는 점도 함께 살펴야 합니다.

법은 이렇게 판단합니다: 개인정보 보호법 제59조·제70조·제71조, 형량은 징역 5년·10년 구간

개인정보를 처리하거나 처리했던 사람에게는 개인정보 보호법 제59조가 세 가지 행위를 금지합니다. 직원의 유출 사건에서는 이 조문이 출발점입니다.

• 제59조 제1호 — 거짓이나 그 밖의 부정한 수단·방법으로 개인정보를 취득하는 행위

• 제59조 제2호 — 업무상 알게 된 개인정보를 누설하거나, 권한 없이 다른 사람이 이용하도록 제공하는 행위

• 제59조 제3호 — 정당한 권한 없이 또는 허용된 권한을 초과하여 다른 사람의 개인정보를 이용·훼손·멸실·변경·위조 또는 유출하는 행위

이를 어기면 위반 유형별로 다음과 같이 처벌됩니다.

• 제59조 제2호 위반(업무상 알게 된 개인정보의 누설·제공) — 제71조 제9호에 따라 5년 이하의 징역 또는 5천만원 이하의 벌금. 사정을 알면서도 영리 또는 부정한 목적으로 그 정보를 넘겨받은 사람도 같은 형으로 처벌됩니다.

• 제59조 제3호 위반(권한 없는 이용·유출, 권한 초과 유출) — 제71조 제10호에 따라 5년 이하의 징역 또는 5천만원 이하의 벌금

• 제59조 제1호 위반(부정한 수단으로 취득) — 제72조 제2호에 따라 3년 이하의 징역 또는 3천만원 이하의 벌금

• 부정한 수단으로 취득한 뒤 영리 또는 부정한 목적으로 제3자에게 제공 — 제70조 제2호에 따라 10년 이하의 징역 또는 1억원 이하의 벌금. 이를 교사·알선한 사람도 같은 형입니다.

정리하면, 직원이 업무상 알게 된 고객정보를 외부에 넘기면 기본이 징역 5년 구간이고, 타인의 계정을 도용하거나 접근권한을 속여 정보를 빼낸 뒤 돈을 받고 넘기는 방식이면 징역 10년 구간까지 올라갑니다. "고객 정보를 팔아 이익을 얻었다"는 사정은 형량 판단에서 매우 불리하게 작용합니다.

실무에서 가장 많이 다투어지는 쟁점은 "권한이 있었는데도 처벌되는가"입니다. 제59조 제3호는 "정당한 권한 없이" 뿐 아니라 "허용된 권한을 초과하여" 유출하는 행위까지 규정하고 있습니다. 즉 업무상 고객 DB에 접근할 권한이 있었더라도, 그 권한은 업무 수행을 위한 것이지 퇴사 후 개인적으로 쓰거나 경쟁업체에 넘기기 위한 것이 아닙니다. 업무 목적 밖으로 정보를 내려받아 개인 저장장치·개인 메일·개인 클라우드로 옮기는 행위는 허용된 권한을 넘어선 것으로 평가될 수 있습니다.

"개인정보"의 범위도 넓게 봅니다. 이름·연락처·주소처럼 그 자체로 특정인을 알아볼 수 있는 정보는 물론, 다른 정보와 쉽게 결합해 특정인을 알아볼 수 있는 정보도 포함됩니다. 고객 명단 한 장이라도 이름과 전화번호가 함께 있으면 개인정보에 해당합니다. 반대로 건수가 적다고 해서 처벌 대상에서 빠지는 것은 아닙니다. 다만 건수·유출 경로·제3자 제공 여부·금전적 대가는 기소 여부와 양형에서 중요한 요소가 됩니다.

개인정보 보호법 외에 형법상 책임이 겹치기도 합니다. 회사의 사무를 처리하는 직원이 임무에 어긋나게 고객정보를 넘겨 회사에 손해를 입히고 재산상 이익을 취득했다면 업무상배임(형법 제356조, 제355조 제2항)이 문제될 수 있고, 법정형은 10년 이하의 징역 또는 3천만원 이하의 벌금입니다. 고객 정보가 영업비밀로 관리되던 자료라면 부정경쟁방지법상 영업비밀 침해 책임이 따로 검토됩니다. 하나의 유출 행위에 여러 법 조항이 동시에 적용될 수 있으므로, 어느 조문으로 입건되느냐에 따라 방어 전략도 달라집니다.

회사 책임도 별개로 있습니다. 직원이 회사 업무와 관련해 위반행위를 하면 개인정보 보호법 제74조의 양벌규정에 따라 행위자 외에 회사에도 벌금형이 부과될 수 있습니다(제70조 위반은 제1항으로 7천만원 이하, 제71조부터 제73조까지 위반은 제2항으로 해당 조문의 벌금형). 다만 회사가 위반행위를 막기 위해 상당한 주의와 감독을 게을리하지 않았다면 면책됩니다. 이 주의·감독의 내용이 바로 제28조(개인정보취급자 감독)와 제29조(안전조치의무)이고, 접근권한 최소화, 접속기록 보관, 내부 관리계획 수립 같은 조치를 실제로 해 두었는지가 회사의 책임 여부를 가릅니다.

민사 책임으로는 정보가 유출된 고객이 개인정보처리자에게 제39조에 따라 손해배상을 청구할 수 있고, 이때 처리자는 고의·과실이 없음을 입증하지 못하면 책임을 면하기 어렵습니다. 고의 또는 중대한 과실로 유출된 경우에는 법원이 손해액의 5배를 넘지 않는 범위에서 배상액을 정할 수 있고(제39조 제3항), 실제 손해액을 입증하기 어려우면 300만원 이하 범위에서 법정손해배상을 청구할 수도 있습니다(제39조의2). 유출 고객이 수백, 수천 명이면 금액이 상당해질 수 있습니다. 또한 범죄로 얻은 금품이나 이익은 제74조의2에 따라 몰수·추징될 수 있어, 정보를 팔아 번 돈은 형벌과 별개로 환수 대상이 됩니다.

김상훈 변호사의 대응, 이렇게: 직원 측·회사 측 입장별 즉시 대응 단계

누구의 입장이냐에 따라 우선순위가 달라집니다. 먼저 직원(피의자) 입장에서의 대응입니다.

• 무엇을 어떻게 가져갔는지 사실관계부터 고정 — 반출한 파일의 범위, 접근 권한의 근거(업무상 정당한 접근이었는지), 반출 경로(USB·메일·클라우드), 제3자 제공 여부와 대가 수수 여부를 정리합니다. 제71조 제9호·제10호와 제70조 제2호는 형량이 크게 다르므로, 정보를 넘기고 돈을 받은 사실이 있는지가 가장 중요한 분기점입니다.

• 증거 인멸처럼 보이는 행동은 즉시 중단 — 파일을 삭제하거나 기기를 초기화하면 오히려 증거인멸 시도로 해석되어 구속 사유나 양형에서 불리해집니다. 이미 외부로 나간 정보가 있다면 회수·삭제 확인서를 받는 등 피해 확산을 막은 정황이 유리한 사정이 됩니다.

• 고객·회사와의 합의 가능성 점검 — 개인정보 보호법 위반은 친고죄가 아니어서 합의만으로 사건이 종결되지는 않지만, 피해 회복과 재발 방지 노력은 수사기관의 처분과 양형에서 의미 있게 반영됩니다.

• 경찰 조사 전 진술 방향 정리 — 휴대전화·PC 포렌식으로 반출 기록이 상당 부분 복원되므로, 기록과 맞지 않는 진술은 신빙성을 해칩니다. 조사 전에 객관적 자료와 진술을 맞춰 보는 것이 필요합니다.

회사(피해자) 입장에서는 다음 순서로 움직이는 것이 안전합니다.

• 접속기록·반출 로그·메일 발송 내역을 먼저 보전 — 증거는 로그 보관 기간이 지나면 사라집니다. 해당 직원의 계정 권한은 즉시 정지하되, 기기 자체는 임의로 포맷하지 말고 원본 그대로 보관합니다.

• 유출 규모 확인 후 정보주체 통지·신고 판단 — 개인정보가 유출된 사실을 알게 되면 개인정보 보호법 제34조에 따라 정보주체에게 알리고 일정 규모 이상이면 보호위원회 등에 신고해야 합니다. 이를 소홀히 하면 별도의 과태료 대상이 되므로 법정 기한과 요건을 확인해야 합니다.

• 형사고소와 민사 보전처분 병행 검토 — 고소장에는 적용 가능한 조문(개인정보 보호법, 업무상배임, 영업비밀 침해)을 함께 적고, 정보가 경쟁업체에서 쓰이고 있다면 사용 금지 가처분이나 손해배상 청구를 병행합니다.

• 내부 관리체계 점검 — 이후 양벌규정 면책 여부와 손해배상 범위를 다툴 때 회사가 평소 어떤 감독과 안전조치를 해 왔는지가 쟁점이 되므로, 교육 기록·접근권한 관리·보안서약서 등 자료를 미리 정리해 둡니다.

망설이는 사이, 시간은 불리해집니다: 반출 기록이 남아 있을 때 먼저 움직여야 하는 이유

직원이든 회사든 시간이 지날수록 불리해집니다. 직원 입장에서는 이미 로그가 남아 있어 사실을 감추기 어렵고, 먼저 정리해 대응할수록 선처 가능성이 커집니다. 회사 입장에서는 로그 보관 기간이 지나기 전에 증거를 확보하지 못하면 입증이 어려워지고, 유출 사실을 알고도 조치를 미룬 것 자체가 회사의 책임 사유가 될 수 있습니다.

직원이 고객 개인정보를 빼돌린 사건은 징역 5년·10년 구간의 형사처벌, 양벌규정에 따른 회사 책임, 손해배상이 한꺼번에 얽혀 있습니다. 어느 입장이든 정확한 사실관계와 조문 적용부터 점검하시기 바랍니다.

법률 문제는 초기 대응이 중요합니다. 도움이 필요하시면 언제든 김상훈 변호사에게 문의해 주시기 바랍니다.