얼마 전 이런 사연이 있었습니다. IT 솔루션 기업을 운영하는 A씨(48세, 서울 강남)는 자사의 핵심 알고리즘과 고객 데이터베이스를 클라우드 스토리지 서비스에 보관하고 있었습니다. 사내 서버를 없애고 클라우드로 전환한 지 약 2년, 관리 비용도 줄고 원격 근무도 편해져 만족하고 있던 상황이었습니다.
문제는 개발팀 소속이던 B씨(34세)가 퇴사하면서 시작됐습니다. B씨는 퇴사 일주일 전, 클라우드 공유 폴더에 접근하여 핵심 알고리즘 소스코드와 주요 거래처 리스트 약 3,200건을 개인 계정으로 다운로드한 뒤, 한 달 후 동종 업계 경쟁사에 입사했습니다. 경쟁사는 놀라울 정도로 유사한 제품을 6개월 만에 출시했고, A씨의 매출은 전년 대비 35%가량 급감했습니다.
A씨는 뒤늦게 이 사실을 알게 되었고, 법적 대응을 고민하기 시작했습니다. 그런데 막상 변호사와 상담을 해보니 예상하지 못한 문제들이 줄줄이 나왔습니다.
쟁점 1: 클라우드에 저장한 정보도 영업비밀로 인정되는가
부정경쟁방지 및 영업비밀보호에 관한 법률(이하 영업비밀보호법) 제2조 제2호에 따르면, 영업비밀로 보호받으려면 세 가지 요건을 충족해야 합니다.
영업비밀 성립 3요건
비공지성: 공공연히 알려져 있지 않을 것
경제적 유용성: 독립된 경제적 가치를 가질 것
비밀관리성: 합리적인 노력에 의해 비밀로 유지될 것
A씨의 알고리즘과 고객 DB는 비공지성과 경제적 유용성 요건에는 큰 문제가 없었습니다. 핵심은 세 번째, 비밀관리성이었습니다. 법원은 정보가 어디에 저장되어 있는지보다, 그 정보에 대해 합리적인 수준의 비밀 관리 조치가 이루어졌는지를 봅니다.
문제는 A씨의 클라우드 관리 방식이었습니다. 해당 폴더에 접근 권한 제한은 설정되어 있었지만, 접근 가능 인원이 개발팀 전원(12명)이었고, 별도의 다운로드 제한이나 워터마킹 조치는 없었습니다. 또한 해당 파일에 '대외비' 또는 '영업비밀' 표시가 되어 있지 않았습니다.
실무에서 이 점은 매우 중요합니다. 클라우드에 저장했다는 사실 자체가 비밀관리성을 부정하는 것은 아니지만, 접근 권한의 범위가 지나치게 넓거나, 비밀임을 인식할 수 있는 표시가 없으면 비밀관리 노력이 충분하지 않았다고 판단될 가능성이 높습니다.
쟁점 2: NDA(비밀유지계약)와 클라우드 접근 로그의 역할
A씨는 B씨 입사 당시 비밀유지계약(NDA)을 체결해 둔 상태였습니다. NDA에는 "재직 중 및 퇴직 후 2년간 회사의 영업비밀을 제3자에게 공개하거나 사용해서는 안 된다"는 조항이 포함되어 있었습니다.
NDA의 존재는 비밀관리성 입증에 유리하게 작용합니다. 다만 NDA만으로는 충분하지 않습니다. 법원은 NDA 외에도 실질적인 관리 조치가 병행되었는지를 함께 살핍니다.
클라우드 영업비밀 관리에서 법적으로 의미 있는 조치들
접근 권한의 최소 범위 설정 (Need-to-Know 원칙)
파일 다운로드 제한 또는 DRM(디지털 저작권 관리) 적용
접근 로그 기록 및 정기 모니터링
파일에 '영업비밀', '대외비' 등 등급 표시
퇴직 시 계정 즉시 비활성화 절차
A씨에게 다행이었던 것은 클라우드 서비스가 접근 로그를 자동으로 남기고 있었다는 점입니다. B씨가 퇴사 직전 7일간 평소와 달리 약 480회에 걸쳐 대량의 파일을 다운로드한 기록이 고스란히 남아 있었습니다. 이 로그 데이터는 B씨의 부정취득 행위를 입증하는 핵심 증거로 활용될 수 있었습니다.
다만 접근 로그가 남아 있다는 것과, 그 로그를 실시간으로 모니터링하여 이상 징후를 탐지하는 체계를 갖추고 있었다는 것은 다른 문제입니다. A씨의 경우 로그를 평소 확인하지 않았기 때문에, 비밀관리의 '합리적 노력'으로 인정받기에는 아쉬운 부분이 있었습니다.
쟁점 3: 퇴직자의 클라우드 접근 차단 시점과 기업의 책임
이 사건에서 가장 뼈아픈 대목이 있었습니다. B씨는 퇴사일로부터 3일이 지난 후에도 여전히 클라우드에 접근할 수 있었습니다. A씨 회사에는 퇴직자의 계정을 즉시 비활성화하는 절차가 마련되어 있지 않았고, 인사팀과 IT팀 간의 연계가 느슨했던 것입니다.
B씨는 퇴사 후에도 개인 노트북으로 클라우드에 접속하여 추가 파일을 내려받았고, 이 부분은 A씨 측의 관리 과실로 지적될 소지가 있었습니다. 물론 B씨의 행위 자체가 영업비밀 부정취득에 해당할 수 있으나, 기업 측의 관리 소홀이 손해배상액 산정이나 비밀관리성 인정에 부정적으로 작용할 수 있습니다.
퇴직자 클라우드 접근 관리 체크포인트
퇴직일 당일(또는 퇴직 통보 즉시) 계정 비활성화
공유 폴더 접근 권한 일괄 재설정
퇴직 전 2주간 다운로드 이력 점검
개인 기기(BYOD) 내 업무 데이터 삭제 확인서 수령
실무에서 보면, 많은 중소기업이 클라우드로의 전환은 빠르게 진행하면서도 퇴직자 접근 차단 프로세스는 수동으로 남겨두는 경우가 많습니다. 클라우드 환경에서는 물리적 출입 통제와 달리 어디서든 접근이 가능하기 때문에, 계정 관리가 곧 보안 관리라는 인식이 필요합니다.
이 사건의 결과와 실무적 교훈
A씨는 결국 B씨와 경쟁사를 상대로 영업비밀 침해금지 가처분 신청과 손해배상 소송을 제기했습니다. 클라우드 접근 로그와 NDA 계약서가 주요 증거로 제출되었고, B씨가 다운로드한 파일 목록과 경쟁사 제품의 유사성을 대조하는 감정이 진행되었습니다.
이 사건에서 얻을 수 있는 실무적 교훈을 정리하면 다음과 같습니다.
클라우드 영업비밀 보호를 위한 핵심 실무 조치
기술적 조치: 접근 권한을 업무 필요 최소 범위로 설정하고, 다운로드 제한, DRM, 워터마킹 등을 적용합니다. 클라우드 서비스의 감사 로그(Audit Log) 기능을 활성화하고 정기적으로 점검합니다.
계약적 조치: NDA에 클라우드 환경을 반영한 조항(개인 계정 전송 금지, 퇴직 시 데이터 반환 의무 등)을 구체적으로 명시합니다. 필요한 경우 경업금지약정도 함께 검토합니다.
조직적 조치: 퇴직자 계정 즉시 비활성화 프로세스를 인사-IT 간 자동 연동으로 구축합니다. 비밀 등급 분류 체계를 수립하고, 전 직원 대상 보안 교육을 연 1회 이상 시행합니다.
클라우드는 편리한 도구이지만, 영업비밀 관리 관점에서는 양날의 검이 될 수 있습니다. 어디서든 접근할 수 있다는 장점이 곧 어디서든 유출될 수 있다는 위험으로 전환되기 때문입니다. 클라우드 전환을 결정했다면, 그에 상응하는 수준의 비밀관리 체계를 함께 설계하는 것이 영업비밀 보호의 출발점입니다.
