개인정보 유출, 과태료와 형사책임은 서로 다른 절차입니다

고객 정보가 담긴 파일이 외부로 나간 정황이 확인되면 경영진이 가장 먼저 묻는 질문은 대체로 같습니다. 과태료가 얼마나 나오느냐는 것입니다. 바로 답하기 어려운 질문입니다. 개인정보 유출 사고에서 회사가 마주하는 절차가 하나가 아니기 때문입니다.

과태료는 그중 하나입니다. 같은 사고를 두고 과징금 부과 절차가 따로 진행될 수 있고, 형사 사건으로 넘어가는 경로도 별개로 있습니다.

하나의 사고에서 절차가 세 갈래로 갈립니다

과태료

개인정보 보호법 제75조는 위반 유형별로 과태료를 정하고 있습니다. 유출 사실을 정보주체에게 알리지 않았거나 개인정보보호위원회에 신고하지 않은 경우, 개인정보 처리방침을 공개하지 않은 경우처럼 법이 정한 절차를 지키지 않은 상황이 여기에 해당합니다. 상한은 위반 유형에 따라 나뉘고 가장 높은 구간이 5천만원 이하입니다.

과징금

제64조의2에 따른 과징금은 성격이 다릅니다. 안전조치 의무를 다하지 않아 개인정보가 분실·도난·유출·위조·변조·훼손된 경우 등에 부과되며, 상한은 전체 매출액의 100분의 3입니다. 위반행위와 관련 없는 매출액은 빼고 산정하지만, 회사가 매출액 자료를 정당한 이유 없이 제출하지 않거나 거짓으로 제출하면 전체 매출액을 기준으로 산정합니다. 과태료와 달리 회사 규모에 따라 금액이 정해지는 구조입니다.

형사책임

형사 절차는 행정 절차와 분리되어 진행됩니다. 동의 없이 개인정보를 제3자에게 제공하거나 부정한 수단으로 취득한 경우는 제71조로 5년 이하의 징역 또는 5천만원 이하의 벌금에 해당합니다. 안전조치 의무를 위반해 개인정보가 유출된 경우는 제73조로 2년 이하의 징역 또는 2천만원 이하의 벌금입니다. 과징금 처분이 끝났다고 해서 이 절차가 함께 정리되지는 않습니다.

처벌 대상은 회사인가 담당자인가

현장에서 자주 받는 질문입니다. 법을 어긴 행위를 한 사람은 담당자 개인인데 회사가 왜 벌금을 받느냐는 것입니다.

제74조 양벌규정이 근거입니다. 법인의 대표자나 대리인, 사용인, 그 밖의 종업원이 업무에 관해 제71조부터 제73조까지의 위반행위를 하면 행위자를 처벌하는 것에 더해 법인에도 해당 조문의 벌금형을 부과합니다. 담당자를 징계하고 사건을 마무리해도 회사 책임은 그대로 남습니다.

다만 같은 조에 단서가 있습니다. 위반행위를 막기 위해 해당 업무에 관해 상당한 주의와 감독을 게을리하지 않은 경우에는 법인을 벌하지 않습니다. 법인이 벌금형을 면할 수 있는지는 회사가 평소에 무엇을 했는지 설명할 수 있느냐에 달려 있습니다.

기산점은 사고가 난 날이 아니라 알게 된 날입니다

개인정보 보호법 시행령 제39조와 제40조는 개인정보가 유출된 사실을 알게 된 때부터 72시간 이내에 정보주체에게 알리고 개인정보보호위원회 또는 전문기관에 신고하도록 정하고 있습니다. 신고 대상은 1천명 이상의 정보주체 개인정보가 유출된 경우, 민감정보나 고유식별정보가 유출된 경우, 개인정보처리시스템이나 개인정보취급자가 쓰는 정보기기에 외부에서 불법적으로 접근해 유출된 경우입니다.

72시간의 시작점은 유출이 일어난 시점이 아니라 회사가 그 사실을 알게 된 시점입니다. 사고를 인지한 뒤 며칠은 원인 파악과 내부 보고에 쓰이기 마련이고 그 사이에 기한이 지나갑니다. 유출 규모와 항목이 아직 확정되지 않았더라도 확인된 범위에서 먼저 알리고 나중에 보완하는 절차가 법에 마련되어 있습니다. 조사 결과를 기다리다 통지가 늦어지면 사고와 별개로 절차 위반이 하나 더 생깁니다.

안전조치를 다했다는 사실은 무엇으로 확인되나

세 절차에서 공통으로 쟁점이 되는 것은 안전조치 의무를 이행했는지입니다. 과징금은 안전조치를 다했다면 부과 대상에서 벗어나고, 제73조 형사책임도 안전조치 의무 위반을 요건으로 삼습니다. 양벌규정 단서의 상당한 주의와 감독 역시 안전조치를 어떻게 관리해 왔는지로 판단됩니다.

문제는 이 사실이 규정 문서만으로는 확인되지 않는다는 점입니다. 접근권한 관리 규정이 있다는 것과 실제로 권한이 관리되어 왔다는 것은 다릅니다. 조사에서 확인하는 대상은 시스템에 남은 기록입니다.

접속기록

개인정보의 안전성 확보조치 기준은 개인정보처리시스템 접속기록을 1년 이상 보관하도록 정하고 있습니다. 5만명 이상의 정보주체 개인정보를 처리하거나 고유식별정보·민감정보를 처리하는 시스템은 2년 이상입니다. 보관 기간이 지난 구간은 사고가 난 뒤에 되살릴 수 없습니다.

권한 부여와 회수 이력

퇴직자 계정이 언제 회수되었는지, 부서를 옮긴 직원에게 이전 권한이 남아 있었는지가 여기서 드러납니다. 정기 점검 기록이 함께 남아 있으면 권한 관리가 실제로 이루어졌다는 점을 기록으로 설명할 수 있습니다.

다운로드와 외부 전송 기록

유출 경로를 특정하려면 필요한 기록입니다. 다만 기록이 남았다는 사실과 그 행위가 유출이라는 판단은 구분해야 합니다. 업무상 정상적인 다운로드도 같은 형태로 기록됩니다.

세 가지 모두 사고가 난 뒤에 만들 수 없는 자료입니다. 접속기록이 지금 실제로 쌓이고 있는지, 보관 기간이 기준을 채우는지, 위탁업체가 처리하는 개인정보의 기록을 회사가 확인할 수 있는지는 사고 전에 점검할 수 있습니다. 이 점검이 되어 있으면 유출 사고가 났을 때 회사가 안전조치를 어떻게 이행해 왔는지 기록으로 설명할 수 있습니다.

참고한 법령·기준

개인정보 보호법 제64조의2, 제71조, 제73조, 제74조, 제75조, 국가법령정보센터(law.go.kr)

개인정보 보호법 시행령 제39조, 제40조, 국가법령정보센터(law.go.kr)

개인정보의 안전성 확보조치 기준(개인정보보호위원회 고시) 제8조

개인정보 유출신고 제도 안내, 개인정보보호위원회(pipc.go.kr)

※ 해당 게시물은 생성형 AI를 이용해 제작되었고, 전문가 검토 후 게시하였습니다.