개인정보보호법 위반 처벌, 무단수집·제3자 제공·유출·CCTV 오남용과 형사책임

개인정보를 적법한 근거 없이 수집·이용하거나 제3자에게 제공하고, 업무상 알게 된 개인정보를 누설하거나 다른 사람의 개인정보를 유출·변경·훼손하면 개인정보보호법에 따라 형사처벌을 받을 수 있습니다. 위반행위의 유형에 따라 5년 이하의 징역 또는 5천만원 이하의 벌금이 문제 될 수 있으며, 과징금·과태료·시정명령과 민사상 손해배상책임도 함께 발생할 수 있습니다.

개인정보보호법 위반이라고 해서 모든 사건이 형사처벌로 이어지는 것은 아닙니다. 단순한 고지사항 누락이나 안전조치 미흡은 행정제재 대상이 될 수 있고, 동의 없는 제3자 제공·업무상 개인정보 누설·부정한 개인정보 취득처럼 법률이 벌칙을 정한 행위는 별도의 범죄가 될 수 있습니다.

이름과 전화번호뿐 아니라 계좌정보, 위치정보, 얼굴영상, 차량번호, 건강정보와 온라인 식별정보도 특정 개인을 알아볼 수 있다면 개인정보에 해당할 수 있습니다. 다른 정보와 쉽게 결합하여 개인을 식별할 수 있는 정보도 보호대상이 될 수 있으므로 자료의 형식보다 실제 식별 가능성을 확인해야 합니다.

1. 개인정보보호법 위반의 주요 유형과 처벌

구체적인 처벌조항은 개인정보의 종류, 수집·이용 근거, 제공 상대방, 영리 또는 부정한 목적과 행위자의 지위에 따라 달라집니다. 같은 자료를 전달했더라도 정당한 업무처리인지, 법률상 의무를 이행하기 위한 것인지와 동의 범위 안의 제공인지에 따라 결론이 달라질 수 있습니다.

2. 동의 없는 개인정보 수집은 모두 범죄일까

개인정보를 처리하려면 정보주체의 동의 또는 법률이 인정하는 별도의 처리 근거가 있어야 합니다. 계약 체결과 이행, 법적 의무 준수, 급박한 생명·신체·재산상 이익 보호 등 법률상 요건을 충족하면 동의 없이 처리할 수 있는 경우도 있습니다.

따라서 동의서를 받지 않았다는 이유만으로 즉시 범죄가 성립하는 것은 아닙니다. 처리 목적과 필요성, 다른 방법으로 목적을 달성할 수 있는지 및 수집한 정보의 범위가 적정한지를 확인해야 합니다.

다만 거짓 이벤트나 허위 채용공고를 이용해 연락처를 수집하고 이를 판매하는 등 거짓이나 부정한 방법으로 개인정보를 취득했다면 형사처벌이 문제 될 수 있습니다. 형식적으로 동의란에 체크했더라도 처리목적을 속였거나 필수·선택 항목을 고의로 오인하게 했다면 적법한 동의로 보기 어려울 수 있습니다.

3. 개인정보를 제3자에게 제공한 경우

개인정보를 제3자에게 제공하려면 원칙적으로 제공받는 사람, 제공 목적, 제공 항목과 보유·이용기간을 알리고 동의를 받아야 합니다. 법률에 특별한 규정이 있거나 정보주체와의 계약을 이행하기 위해 필요한 경우 등 예외가 인정될 수 있습니다.

회사 내부의 다른 부서가 이용한 경우에도 당초 수집목적을 벗어난 이용인지가 문제 될 수 있고, 별도 법인·가맹점·보험설계사·마케팅 업체에 전달했다면 제3자 제공에 해당할 가능성이 있습니다.

개인정보를 제공한 사람뿐 아니라 위법하게 제공된다는 사정을 알면서 영리 또는 부정한 목적으로 정보를 받은 사람도 처벌대상이 될 수 있습니다. 불법적으로 유통되는 고객명단이나 회원정보를 구매해 영업에 활용한 경우에는 취득 경위와 대가 지급 여부가 중요하게 조사됩니다.

4. 업무상 알게 된 개인정보의 누설

개인정보를 처리하거나 처리했던 사람은 업무상 알게 된 개인정보를 누설하거나 권한 없이 다른 사람이 이용하도록 제공해서는 안 됩니다. 재직 중인 직원뿐 아니라 퇴직자, 위탁업체 직원과 업무상 접근권한을 부여받은 사람도 행위 주체가 될 수 있습니다.

누설은 인터넷에 공개하는 행위에 한정되지 않습니다. 한 사람에게 구두로 알려 주거나 메신저로 전송하고, 화면을 보여 주거나 출력물을 건네는 경우에도 성립할 수 있습니다.

5. 민감정보·고유식별정보와 아동정보

건강, 사상·신념, 노동조합 가입, 정치적 견해, 성생활과 생체인식정보 등은 민감정보로 보호됩니다. 주민등록번호·여권번호·운전면허번호·외국인등록번호 등은 고유식별정보에 해당하며 일반 개인정보보다 엄격한 처리요건이 적용됩니다.

법률상 근거 또는 별도의 동의 없이 민감정보나 고유식별정보를 처리하면 5년 이하의 징역 또는 5천만원 이하의 벌금 대상이 될 수 있습니다. 주민등록번호는 동의를 받았다는 이유만으로 자유롭게 처리할 수 있는 것이 아니라 법령이 구체적으로 허용하는 경우인지도 확인해야 합니다.

만 14세 미만 아동의 개인정보를 동의에 근거해 처리하려면 법정대리인의 동의를 받아야 합니다. 법정대리인 동의 여부를 확인하지 않고 아동정보를 수집·이용한 경우에도 형사책임이 문제 될 수 있습니다.

6. CCTV 영상의 열람·제공과 임의조작

매장·공동주택·사무실에 설치한 고정형 영상정보처리기기는 범죄예방, 시설안전 등 적법한 목적과 범위에서 운영해야 합니다. 설치 목적과 무관하게 특정 사람을 감시하도록 카메라 방향을 임의로 바꾸거나 녹음기능을 사용하면 형사처벌을 받을 수 있습니다.

CCTV 영상에 다른 사람의 얼굴과 행동이 촬영되었다면 영상 자체가 개인정보가 될 수 있습니다. 분쟁 상대방의 잘못을 알리기 위해 영상을 단체 대화방이나 인터넷에 게시하면 목적 외 이용·제공이나 명예훼손 등 별도의 책임이 문제 될 수 있습니다.

경찰·법원에 증거로 제출하거나 정보주체의 열람요구에 응하는 경우에도 영상에 함께 촬영된 제3자의 권리를 고려해야 합니다. 필요한 부분만 제공하고 모자이크 등 보호조치를 할 수 있는지 검토해야 합니다.

7. 개인정보 유출사고와 안전조치 의무

해킹, 이메일 오발송, 공개설정 오류, 접근권한 관리 부실과 서류 분실로 개인정보가 외부에 노출될 수 있습니다. 개인정보처리자는 내부관리계획, 접근통제, 암호화, 접속기록 보관과 악성프로그램 방지 등 필요한 안전조치를 해야 합니다.

안전조치 의무를 다하지 않아 개인정보가 분실·도난·유출된 경우에는 과징금·과태료와 시정명령이 문제 될 수 있습니다. 담당자가 개인정보를 고의로 외부에 보내거나 권한 없이 이용했다면 행정제재와 별도로 형사처벌이 적용될 수 있습니다.

유출사고가 발생하면 유출된 정보의 항목, 시점과 경위, 피해를 줄이기 위한 방법과 대응조치를 확인하여 정보주체에게 통지하고 법령상 요건을 충족하는 경우 개인정보보호위원회 또는 전문기관에 신고해야 합니다.

8. 회사와 대표자도 처벌받을 수 있을까

직원이 업무와 관련하여 개인정보보호법 위반행위를 한 경우 행위자 개인뿐 아니라 법인이나 사업주에게도 벌금형이 부과될 수 있습니다. 다만 법인이나 사업주가 위반을 방지하기 위해 상당한 주의와 감독을 다했다면 양벌규정상 책임이 제한될 수 있습니다.

대표이사가 모든 개인정보 처리에 직접 관여하지 않았더라도 불법적인 고객명단 거래를 지시·승인하거나 위법성을 알고도 방치했다면 공동정범·교사 또는 방조 책임이 문제 될 수 있습니다.

회사는 개인정보 처리지침만 형식적으로 만들어 두는 것에 그치지 않고 접근권한 분리, 임직원 교육, 위탁업체 점검과 유출 대응체계를 실제로 운영했다는 자료를 보관해야 합니다.

9. 과징금·과태료와 형사처벌의 차이

하나의 개인정보 유출사고에 대해 형사수사, 개인정보보호위원회의 행정조사와 피해자의 손해배상청구가 동시에 진행될 수 있습니다. 형사사건에서 불기소되었다고 과징금이나 민사책임이 반드시 부정되는 것은 아닙니다.

10. 개인정보 침해 피해자의 대응방법

피해자는 개인정보가 언제, 누구에 의해, 어떤 목적으로 이용·제공되었는지를 확인해야 합니다. 게시물이 삭제되거나 접속기록의 보존기간이 지나기 전에 화면, 이메일, 메시지와 통화내용을 확보하는 것이 중요합니다.

개인정보처리자에게 열람·정정·삭제·처리정지를 요구할 수 있고, 침해신고와 개인정보 분쟁조정을 검토할 수 있습니다. 고의적인 누설·불법 제공이나 개인정보를 이용한 협박·사기 등 범죄가 의심되면 수사기관에 고소하거나 신고할 수 있습니다.

손해배상소송에서는 위법한 개인정보 처리, 피해 발생과 인과관계를 주장해야 합니다. 유출된 정보의 민감성, 유출범위와 기간, 제3자의 열람 가능성, 추가 피해와 사업자의 사후조치가 손해액 판단에 영향을 줄 수 있습니다.

11. 혐의를 받는 경우 확인할 사항

단순한 업무상 실수인지 고의적인 누설·목적 외 이용인지를 구분해야 합니다. 이메일 수신자를 잘못 지정한 사고와 고객명단을 대가를 받고 판매한 행위는 책임의 정도와 적용조항이 크게 다를 수 있습니다.

수사나 행정조사가 시작된 뒤 자료를 폐기하거나 거짓 자료를 제출하면 별도의 처벌 또는 불리한 판단을 받을 수 있습니다. 원본자료를 보전하고 사고 발생부터 발견·보고·통지와 재발방지 조치까지 시간순으로 정리해야 합니다.

12. 개인정보보호법 위반 사건 대응절차

개인정보 침해 사건에 대응하는 일반적인 순서

개인정보보호법 위반 처벌은 개인정보가 외부에 알려졌다는 결과만으로 결정되지 않습니다. 행위자가 업무상 접근권한을 가지고 있었는지, 적법한 처리 근거가 있었는지, 이용·제공 목적과 범위 및 고의성을 구체적으로 판단해야 합니다.

상담 전에는 고소장·출석요구서와 조사통지, 개인정보 처리방침·동의서, 위탁계약서, 접속기록, 이메일·메신저, 제공대장, 유출통지와 내부 사고보고서를 준비하는 것이 좋습니다. 이를 바탕으로 형사처벌 조항, 행정제재와 손해배상 가능성을 구분하여 대응해야 합니다.

공식 참고자료