"IT 유지보수 업체 직원이 관리 권한을 이용해 고객사 데이터를 빼돌리면, 단순 계약 위반이 아니라 형사처벌 대상이 됩니까?"
결론부터 말씀드리면, IT 유지보수 인력이 업무상 접근 권한을 이용하여 고객사의 정보를 무단 유출하는 행위는 여러 형사법규의 적용을 받으며, 민사상 손해배상까지 병행될 수 있습니다. 단순한 내부 징계나 계약 해지에 그치지 않고 형사 고소·고발로 이어지는 사례가 실무에서 꾸준히 증가하고 있습니다.
적용 가능한 형사 법규와 처벌 수위
IT 유지보수 인력의 정보 유출 행위에는 다음과 같은 법률이 중첩 적용될 수 있습니다. 사안의 유형에 따라 적용 조문이 달라지므로, 정확한 분석이 필요합니다.
1
정보통신망 이용촉진 및 정보보호 등에 관한 법률(정보통신망법)
정보통신망에 의하여 처리·보관·전송되는 타인의 정보를 훼손하거나 타인의 비밀을 침해·도용·누설한 경우 5년 이하의 징역 또는 5천만 원 이하의 벌금에 처해집니다(제49조, 제71조). 서버에 저장된 데이터를 USB나 클라우드로 복사하는 행위가 대표적입니다.
2
개인정보 보호법
개인정보처리자 또는 그로부터 개인정보를 제공받은 자가 업무상 알게 된 개인정보를 누설하거나 권한 없이 다른 사람이 이용하도록 제공하면 5년 이하의 징역 또는 5천만 원 이하의 벌금에 해당합니다(제71조 제5호). 유지보수 과정에서 고객 DB에 접근하는 외주 인력도 수탁자(위탁받은 자)로서 동일한 의무를 부담합니다.
3
부정경쟁방지 및 영업비밀보호에 관한 법률
유출 대상이 기술 자료·고객 리스트 등 영업비밀에 해당하는 경우, 부정한 이익을 얻거나 기업에 손해를 입힐 목적이 인정되면 10년 이하의 징역 또는 5억 원 이하의 벌금이 적용됩니다(제18조 제2항). 해외 유출 시 가중처벌 대상입니다.
4
형법상 업무상배임
유지보수 계약 또는 비밀유지계약(NDA)에 따라 타인의 사무를 처리하는 지위에서 임무에 위배하여 정보를 유출하고 제3자에게 이익을 취하게 한 경우, 업무상배임(형법 제356조)으로 10년 이하의 징역 또는 3천만 원 이하의 벌금에 해당할 수 있습니다.
핵심 정리: 하나의 유출 행위에 대해 위 법률들이 상상적 경합 또는 실체적 경합 관계로 동시에 적용될 수 있으며, 가장 무거운 법정형은 징역 10년에 이릅니다.
"권한이 있었으니 해킹이 아니다"는 항변이 통하는가
실무에서 IT 유지보수 인력이 가장 많이 주장하는 것이 "시스템 접근 권한 자체는 적법하게 부여받았다"는 점입니다. 그러나 수사기관과 법원은 '접근 권한의 존재'와 '정보 이용 목적의 적법성'을 엄격히 구분합니다.
유지보수 목적으로 부여된 서버 관리자 권한을 이용하여 데이터를 외부로 반출하는 행위는, 권한 범위를 초과한 것으로 평가됩니다. 정보통신망법 제48조의 '정당한 접근권한 없이'라는 요건과 관련하여, 대법원은 권한이 있더라도 그 권한의 목적 범위를 벗어난 이용은 부정 접근에 해당할 수 있다는 취지로 판시한 바 있습니다.
따라서 "접근 권한이 있었다"는 사실만으로는 형사 책임을 면하기 어렵습니다. 오히려 권한이 있는 자의 유출이기 때문에 '신뢰 위반'이 가중 요소로 고려되어, 양형에서 불리하게 작용하는 경우가 적지 않습니다.
실무에서 유의할 사항
1
디지털 포렌식이 핵심 증거가 됩니다
접속 로그, 파일 다운로드 이력, USB 연결 기록, 이메일 첨부 이력 등 디지털 흔적은 삭제하더라도 복원이 가능한 경우가 대부분입니다. 수사기관은 포렌식 분석을 통해 유출 경위를 상당히 정밀하게 특정합니다.
2
유출 규모와 영리 목적 여부가 양형에 크게 영향을 미칩니다
단순 호기심에 의한 소규모 열람과, 경쟁사에 대가를 받고 대량의 고객 정보를 넘긴 경우는 처벌 수위에서 현저한 차이가 납니다. 영리 목적이 인정되면 실형 선고 가능성이 높아집니다.
3
민사 손해배상이 병행됩니다
형사 절차와 별도로, 피해 기업은 유출 인력 개인과 소속 유지보수 업체를 상대로 손해배상을 청구하는 것이 일반적입니다. 개인정보가 유출된 경우 정보주체(고객)로부터의 집단 소송까지 발생할 수 있어, 배상 규모가 수억 원에 이르는 사례도 있습니다.
4
초기 대응이 결과를 좌우합니다
피의자 입장에서는 수사 초기 단계에서 정확한 법적 쟁점을 파악하고 방어 전략을 수립하는 것이 중요합니다. 피해 기업 입장에서는 유출 인지 즉시 증거를 보전하고, 고소장에 구체적인 피해 사실과 증거를 체계적으로 정리하여 제출하는 것이 수사의 신속한 진행에 도움이 됩니다.
정리하면, IT 유지보수 인력의 정보 유출은 정보통신망법, 개인정보 보호법, 부정경쟁방지법, 형법 등이 중첩 적용되는 복합적 사안입니다. 권한 보유 여부와 관계없이 목적 외 사용은 형사처벌 대상이 되며, 유출 규모와 목적에 따라 실형까지 선고될 수 있습니다. 피의자든 피해 기업이든, 사안 초기에 관련 법률의 적용 관계를 정확히 분석하는 것이 가장 중요합니다.
