핵심부터 말씀드리겠습니다. 소스코드 유출 사건은 민사보다 형사 고발이 먼저입니다. 부정경쟁방지법상 영업비밀침해죄로 고발해야 압수수색을 통한 증거 확보가 가능하기 때문입니다. 퇴사자가 GitHub에 코드를 올렸든, 경쟁사로 이직하며 USB에 담아갔든, 골든타임은 유출 인지 후 1~2개월입니다.
최근 산업기술보호협회 통계에 따르면 국내 영업비밀 유출 사건의 약 60% 이상이 IT·소프트웨어 분야이며, 이 중 상당수가 퇴사자에 의한 소스코드 반출입니다. 클라우드 저장소와 개인 디바이스 동기화가 일상화되면서 유출 경로도 다양해졌습니다.
왜 민사 가처분이 아닌 형사 고발이 먼저인가
많은 기업이 처음에는 변호사를 통해 내용증명을 보내거나 사용금지가처분부터 검토합니다. 그러나 소스코드 유출 사건의 본질적 문제는 증거가 상대방 수중에 있다는 점입니다. 민사 절차로는 상대 PC, 회사 서버, 클라우드 계정을 들여다볼 수 없습니다.
형사 고발이 접수되고 영업비밀침해죄 혐의가 인정되면, 수사기관은 압수수색영장을 발부받아 상대방 디바이스와 서버를 포렌식할 수 있습니다. 이때 확보된 증거는 민사 손해배상 청구 시에도 결정적 자료가 됩니다.
실무 순서 (권장)
1. 형사 고발 → 압수수색 → 증거 확보
2. 확보된 증거 기반 민사 사용금지가처분
3. 본안 손해배상 청구
반대로 민사를 먼저 진행하면 상대방이 증거를 인멸할 시간을 벌어주는 셈입니다. 클라우드 계정 로그아웃, 디바이스 초기화, 코드 삭제만으로도 입증이 거의 불가능해집니다.
영업비밀침해죄 성립의 3대 요건
부정경쟁방지법 제18조는 영업비밀 침해행위에 대해 15년 이하 징역 또는 15억 원 이하 벌금(국외 유출 시)을 규정합니다. 다만 형사처벌이 되려면 세 가지 요건이 모두 충족되어야 합니다.
1. 비공지성 — 알려지지 않은 정보일 것
오픈소스를 그대로 가져다 쓴 코드, 일반적인 알고리즘은 영업비밀이 아닙니다. 자사가 독자적으로 개발한 로직, 노하우가 담긴 모듈이어야 합니다.
2. 경제적 유용성 — 가치 있는 정보일 것
해당 코드로 인해 경쟁상 우위를 확보할 수 있어야 합니다. 매출 기여도, 개발 투입 비용, 라이선스 단가 등으로 입증합니다.
3. 비밀관리성 — 비밀로 관리되었을 것
실무에서 가장 자주 부정되는 요건입니다. 단순히 "중요한 코드"라고 말로만 강조해서는 안 됩니다.
비밀관리성 입증 자료
· 입사 시 영업비밀 보호 서약서, NDA
· 사내 보안규정·접근권한 차등 설정
· Git 저장소 접근 로그·권한 매트릭스
· 사외 반출 통제 정책(DLP, USB 차단)
· 퇴직 시 자료 반납 확인서
이 요건이 빠지면 아무리 핵심 코드가 유출됐어도 무혐의로 종결되는 경우가 많습니다. 평소 보안체계를 갖춰두는 것이 사후 대응보다 훨씬 중요합니다.
고발 직전 반드시 해야 할 증거보전
고발장만 던지면 수사가 진행될 거라는 기대는 금물입니다. 수사기관이 움직이려면 혐의를 뒷받침할 초기 증거가 필요합니다. 다음 자료를 사전에 정리하셔야 합니다.
1
접근 로그 확보 — 퇴사 직전 비정상적 다운로드, Git clone, 대용량 파일 외부 전송 기록을 IT팀과 협업해 추출합니다.
2
유출 코드 동일성 확보 — 경쟁사 제품·GitHub 공개 코드에서 자사 코드와 일치하는 부분을 캡처하고, 디지털포렌식 전문기관의 비교분석 보고서를 받습니다.
3
NDA·경업금지 서약서 원본 — 입사 시 받은 서명본을 스캔하여 첨부합니다. 서명 없는 약정서는 효력이 약합니다.
4
회사 디바이스 보전 — 퇴사자가 사용한 노트북·PC를 즉시 전원 차단 후 봉인합니다. 켜놓으면 자동 동기화로 증거가 사라집니다.
고발 이후 흐름과 양형 경향
고발은 보통 관할 경찰서 산업기술보호수사대 또는 검찰 첨단범죄수사부에 접수합니다. 사안이 중대하면 검찰 직고발이 효과적입니다.
2~4개월압수수색 및 포렌식
6~10개월검찰 송치·기소 판단
1~2년1심 판결까지
최근 법원은 소스코드 유출 사건에 대해 양형을 강화하는 추세입니다. 과거에는 집행유예가 많았지만, 국외 유출이나 조직적 반출이 확인되면 실형 선고 비율이 높아지고 있습니다. 또한 형사판결 확정 후 민사에서 손해배상액 산정 시, 부정경쟁방지법상 3배 증액배상(징벌적 손해배상)도 적용 가능합니다.
가해자 측 대응의 함정
반대 입장에서 보면, 소스코드 유출 혐의를 받게 된 개발자나 이직 기업도 함정이 많습니다. "내가 짠 코드인데 왜 내 것이 아니냐"는 주장은 통하지 않습니다. 근로 중 작성한 코드의 권리는 회사에 귀속되는 것이 원칙입니다.
또한 "오픈소스라 괜찮다", "참고만 했다"는 변명도 포렌식 결과 변수명·주석·구조까지 일치하면 무력화됩니다. 혐의를 받은 단계에서 임의로 코드를 삭제하거나 디바이스를 초기화하면 증거인멸로 가중처벌됩니다.
앞으로의 전망
AI·바이오·반도체 분야 핵심 코드 유출이 국가 안보 차원의 문제로까지 확대되면서, 영업비밀 보호 법제는 더욱 강화될 전망입니다. 기업 입장에서는 사후 고발 대응보다 사전 비밀관리체계 구축이 핵심 경쟁력이 됩니다.
퇴사자 관리, 코드 저장소 접근권한 통제, 외부 반출 모니터링, 입·퇴사 시 서약서 갱신 — 이 네 가지는 매년 점검해야 할 항목입니다. 사건이 터진 후에는 이미 늦은 경우가 많습니다.
