강정한 변호사

1. 유출 통보를 받은 쪽과 통보를 해야 하는 쪽의 고민

대규모 개인정보 유출 소식이 이어지면서, 통보를 받은 이용자도 통보를 해야 하는 사업자도 무엇을 어떻게 해야 하는지 묻는 일이 늘고 있습니다. 같은 사고를 두고도 형사처벌과 과징금, 손해배상이라는 서로 다른 절차가 동시에 문제 되기 때문입니다.

이용자 입장에서는 어떤 정보가 언제 어떤 경로로 새어 나갔는지가 확인되어야 뒤따르는 청구가 가능합니다. 사업자 입장에서는 어느 조항을 위반한 것으로 평가되는지에 따라 형사 절차로 갈지 행정 절차로 갈지가 달라집니다.

그래서 사고가 알려진 직후의 정리가 중요합니다. 이 단계에서 남겨 둔 자료가 이후 절차마다 그대로 근거가 됩니다.

2. 개인정보보호법 위반을 둘러싼 흔한 오해

가장 흔한 오해는 개인정보가 유출되면 그 자체로 누군가 형사처벌을 받는다는 생각입니다. 형사 벌칙 조항은 동의 없는 제공이나 목적 외 이용, 민감정보 처리, 누설처럼 열거된 행위를 대상으로 하고, 안전조치를 소홀히 한 유출은 과징금 조항이 다룹니다.

두 번째 오해는 회사 안에서 개인정보를 주고받은 것도 곧바로 제3자 제공이라는 생각입니다. 지휘·감독을 받는 개인정보취급자가 업무 수행을 위해 이전받은 것은 내부 이용으로 평가됩니다.

세 번째 오해는 넘겨준 쪽만 책임을 진다는 생각입니다. 조문은 그 사정을 알면서 개인정보를 제공받은 쪽도 처벌 대상으로 두고 있고, 어느 호에 해당하는지에 따라 인식만 요구되기도 하고 영리 또는 부정한 목적까지 요구되기도 합니다.

3. 개인정보 사건의 갈래를 가르는 진앤솔 법률사무소 강정한 대표변호사의 법리 해설

• 가. 위반의 갈래부터 조문으로 갈라 둡니다
  
  같은 사고라도 동의 없는 제공인지, 목적 외 이용인지, 누설인지, 안전조치 미비인지에 따라 적용 조항과 절차가 달라집니다. 개인정보 보호법 제71조와 제72조는 형사 벌칙을, 제64조의2는 과징금을, 제39조는 손해배상을 각각 정하고 있습니다. 먼저 사실관계를 이 갈래에 맞추어 정리해 두면 뒤따르는 판단이 흔들리지 않습니다.

• 나. Q: 개인정보가 든 자료를 소송이나 고소에 쓰려면 어디까지 낼 수 있습니까?
  
  대법원 2025. 7. 18. 선고 2023도3673 판결은 두 가지 제출을 함께 들었습니다. 재판과정에서 소송상 필요한 주장의 증명이나 방어권 행사를 위한 법원 제출과, 고소·고발 또는 수사절차에서 범죄혐의의 소명이나 방어권의 행사를 위한 수사기관 제출입니다. 그런 경우에는 사회상규에 위배되지 않는 행위로서 위법성이 조각될 수 있다고 보았습니다. 그리고 두 경우 모두 목적 달성에 필요한 최소한의 정보인지와 비실명화 등 조치의 가능성을 포함한 여러 사정을 종합해 개별적으로 판단하도록 하였습니다. 따라서 자료 전부를 그대로 내기보다 주장에 필요한 부분을 추리고 가릴 수 있는 정보를 가리는 편이 안전합니다. 다른 수단으로 같은 사실을 증명할 수 있는지도 함께 살펴야 합니다.

• 다. 제공받은 쪽의 인식과 목적을 함께 봅니다
  
  대법원 2024. 8. 29. 선고 2022도16324 판결은 부정한 수단이나 방법을 위계 기타 사회통념상 부정한 방법으로 인정되는 일체의 행위로 보면서, 해킹처럼 다른 사람의 의사결정과 무관한 행위도 포함된다고 하였습니다. 이 판시는 개인정보를 처음 취득한 쪽의 수단과 방법에 관한 것입니다. 제공받은 쪽에서 요구되는 인식의 대상은 제공한 쪽이 그 위반행위를 하였다는 사정이므로, 그 사정을 알았는지와 조문이 요구하는 목적이 있었는지가 다투어지는 지점이 됩니다. 거래의 경위와 대가 관계를 보여 주는 자료를 미리 정리해 두어야 합니다.

• 라. 이용자라면 통보 자료부터 보관합니다
  
  유출 사실을 통보받았다면 언제 어떤 경로로 어떤 정보가 누구를 통해 새어 나갔는지 적힌 안내 문자와 메일, 공지를 그대로 보관해 두는 것이 좋습니다. 이후 스팸이나 사칭처럼 2차 피해로 보이는 정황이 있으면 화면 갈무리와 통화 녹음으로 남겨 둡니다. 개인정보 보호법 제39조가 정하는 배상 청구에서 이 자료들이 손해와 인과관계를 뒷받침하는 근거가 됩니다.

4. 개인정보 사건에서 초기 정리가 남기는 차이

개인정보 사건은 사고의 크기보다 어떤 조항을 위반한 것으로 평가되는지가 결론을 정합니다. 그래서 사실관계를 조문의 갈래에 맞추어 정리해 두는 일이 다른 무엇보다 앞섭니다.

이용자에게는 통보 자료와 2차 피해의 기록이, 사업자에게는 처리 근거와 안전조치의 이행을 보여 주는 자료가 각각 출발점이 됩니다. 두 자료 모두 시간이 지나면 확보가 어려워지는 성질을 가집니다.

기업 쪽 대응과 개인 쪽 청구를 모두 다루어 온 진앤솔 법률사무소 강정한 대표변호사와 초기 단계에서 갈래를 나누어 두면, 불필요한 분쟁과 2차 피해를 줄이는 방향을 미리 잡을 수 있습니다.

※ 이 주제에서 다루는 법리에 대한 더 자세한 법률지식은 네플라 법률위키 개인정보보호법 위반의 형사처벌 성립 요건: 제3자 제공과 내부 이용의 구별, 위법성 조각의 판단 페이지를 참고하십시오.