최근 기업 보안 사고 통계를 보면, 외부 해킹보다 내부 직원에 의한 정보 유출이 전체의 60% 이상을 차지합니다. 그중에서도 가장 빈번한 유출 경로가 바로 사내 시스템 비밀번호의 공유입니다. 동료에게 ID와 비밀번호를 알려주는 행위, 퇴사 후에도 접속 권한을 그대로 둔 채 방치하는 행위 등이 형사처벌 대상인 업무상 배임에 해당할 수 있다는 사실을 모르는 분이 많습니다.
핵심만 말씀드리겠습니다. 회사 비밀번호를 타인에게 공유하는 행위는 단순한 사규 위반이 아니라, 일정한 요건이 충족되면 형법 제356조 업무상 배임으로 처벌받을 수 있습니다. 이 글에서는 실무에서 실제로 문제가 되는 유형과 성립 요건, 그리고 처벌 수위까지 정리합니다.
업무상 배임의 성립 요건과 비밀번호 공유의 관계
업무상 배임죄는 형법 제356조에 규정되어 있으며, 타인의 사무를 처리하는 자가 그 임무에 위배하는 행위로써 재산상 이익을 취하거나 제3자로 하여금 이를 취득하게 하여 본인에게 손해를 가하는 경우 성립합니다. 일반 배임(형법 제355조 제2항)과 달리 10년 이하 징역 또는 3,000만 원 이하 벌금으로 가중됩니다.
비밀번호 공유 행위가 업무상 배임으로 인정되려면, 아래 네 가지 요건이 모두 충족되어야 합니다.
1
주체
타인의 사무를 처리하는 지위에 있는 자, 즉 회사와 근로계약 또는 위임계약 관계에 있는 임직원이어야 합니다.
2
임무 위배
취업규칙, 정보보안서약서, 내부 보안정책 등에서 비밀번호 공유를 명시적으로 금지하고 있어야 합니다. 이 금지 의무를 위반한 것이 임무위배 행위입니다.
3
재산상 손해
회사에 현실적 손해가 발생했거나, 손해 발생의 위험이 구체적으로 존재해야 합니다. 고객 DB 유출 가능성, 영업비밀 접근권 부여 자체가 재산상 손해로 평가될 수 있습니다.
4
고의
비밀번호 공유가 회사에 손해를 끼칠 수 있다는 인식이 있어야 합니다. 단순 편의 목적이라도, 보안서약서에 서명한 이상 미필적 고의가 인정될 가능성이 높습니다.
실무에서 문제되는 3가지 유형
결론부터 말하면, 비밀번호 공유의 모든 유형이 배임이 되는 것은 아닙니다. 실무에서 실제로 수사와 기소로 이어지는 대표 유형은 다음과 같습니다.
유형 1 : 퇴사 예정자가 경쟁사 이직자에게 시스템 접속 정보 전달
가장 전형적인 사례입니다. ERP, CRM, 고객관리 시스템의 ID와 비밀번호를 경쟁사로 이직하는 동료 또는 본인이 이직 후 사용할 목적으로 전달하는 경우입니다. 이 경우 업무상 배임 외에 부정경쟁방지법 위반(영업비밀 침해)이 함께 적용될 수 있어 처벌이 가중됩니다.
유형 2 : 권한 없는 동료에게 상위 등급 접근 비밀번호 공유
예컨대, 인사팀 관리자 권한 비밀번호를 일반 직원에게 알려주어 급여 정보나 인사 평가 자료에 접근할 수 있게 한 경우입니다. 접근 권한 체계 자체를 무력화하므로 임무위배가 명확하게 인정됩니다.
유형 3 : 외부 협력업체에 사내 시스템 비밀번호 제공
업무 편의를 위해 외주 인력에게 사내 시스템 비밀번호를 알려주는 관행이 있는 회사가 적지 않습니다. 그러나 보안정책에서 이를 금지하고 있다면, 업무 편의 목적이었다 하더라도 배임의 임무위배 요건은 충족됩니다.
재산상 손해 인정 범위 - 실무 핵심 쟁점
배임죄의 가장 까다로운 요건은 재산상 손해입니다. 비밀번호 공유 자체만으로는 회사에 직접적인 금전 손해가 발생하지 않을 수 있기 때문입니다.
그러나 실무에서는 재산상 손해의 위험 발생만으로도 배임 기수(범죄 완성)를 인정하는 경향이 확립되어 있습니다. 대법원은 재산상 손해에 대해 현실적인 손해 발생뿐 아니라 재산상 실해(실질적 해) 발생의 위험을 초래한 경우도 포함된다고 일관되게 판시하고 있습니다.
비밀번호 공유의 맥락에서 재산상 손해로 인정될 수 있는 범위를 정리하면 다음과 같습니다.
고객 개인정보 DB에 대한 무단 접근 가능성이 생긴 것 자체
영업비밀(거래처 목록, 단가표, 기술자료)에 대한 접근권 부여
보안 시스템 재구축 비용이 실제로 발생한 경우
유출된 정보가 경쟁사에서 활용되어 매출 손실이 발생한 경우
특히 고객 DB 접근 가능성만으로 손해 위험을 인정한 사례가 실무에서 다수 확인됩니다. 결국 회사가 관리하는 정보의 가치가 클수록 배임죄 성립 가능성이 높아진다고 볼 수 있습니다.
처벌 수위와 양형 요소
업무상 배임죄의 법정형은 10년 이하 징역 또는 3,000만 원 이하 벌금입니다. 다만 실제 양형에서는 다음 요소들이 종합적으로 고려됩니다.
가중 요소
- 손해 규모가 5억 원 이상인 경우 (특정경제범죄법 적용 가능성)
- 경쟁사 이직 또는 창업 목적의 의도적 유출
- 장기간 반복적 비밀번호 공유
- 개인정보보호법 위반이 함께 인정되는 경우
감경 요소
- 순수한 업무 편의 목적이고, 영리 의도가 없는 경우
- 공유 기간이 단기이고 즉시 비밀번호를 변경한 경우
- 회사와 합의하여 피해 회복이 이루어진 경우
- 초범이고 반성의 정이 뚜렷한 경우
손해 규모가 5억 원 이상이면 특정경제범죄 가중처벌 등에 관한 법률이 적용되어 3년 이상의 유기징역에 처해질 수 있습니다. 50억 원 이상이면 5년 이상 유기징역입니다. IT 기업이나 금융기관의 핵심 시스템 비밀번호 유출 사건에서는 이 기준에 해당하는 경우가 드물지 않습니다.
회사 측 보안 관리 미비와 배임 성립의 관계
실무에서 빈번하게 제기되는 항변이 있습니다. 회사 자체가 비밀번호 관리를 제대로 하지 않았는데, 직원만 처벌하는 것이 부당하다는 주장입니다.
이 항변은 일부 타당한 측면이 있습니다. 보안정책이 문서화되어 있지 않거나, 비밀번호 공유가 사실상 관행으로 묵인되어 왔다면, 임무위배 요건 자체가 흔들릴 수 있습니다. 구체적으로 다음 사정이 있는 경우 배임 성립이 부정될 여지가 있습니다.
정보보안서약서를 징구하지 않았고, 취업규칙에도 비밀번호 관리 규정이 없는 경우
팀 전체가 하나의 공용 계정을 사용하는 것이 공식적 관행이었던 경우
상급자의 명시적 지시에 따라 비밀번호를 공유한 경우
다만 주의할 점이 있습니다. 관행이었다는 주장은 피의자 측에서 구체적으로 입증해야 합니다. 회사가 형식적으로라도 보안정책을 수립하고 서약서를 징구한 상태라면, 실제 관리가 느슨했더라도 임무위배 인정이 부정되기 어렵습니다.
전망 - 디지털 보안과 배임죄 적용 확대 추세
기업의 디지털 전환이 가속화되면서, 비밀번호 공유를 포함한 내부자 정보 유출에 대한 수사와 기소는 앞으로 더 늘어날 것으로 전망됩니다. 2023년 개정된 개인정보보호법의 강화된 처벌 규정, 영업비밀 침해에 대한 손해배상액 산정 기준의 상향(부정경쟁방지법 제14조의2 제6항) 등을 종합하면, 비밀번호 공유 행위에 대한 법적 리스크는 과거와 비교할 수 없을 만큼 커졌습니다.
직원 입장에서는 아무리 사소해 보이는 비밀번호 공유라도 형사처벌의 대상이 될 수 있다는 점을 분명히 인식해야 합니다. 회사 입장에서는 보안정책의 문서화, 정기적인 비밀번호 변경 체계, 접근 권한 로그 관리 등이 갖춰져 있어야만 유사시 법적 보호를 받을 수 있습니다.
