결론부터 말하면, 개인정보를 사고파는 거래에서는 판 사람과 산 사람 모두 형사처벌 대상입니다. 개인정보 매매 처벌 기준의 중심에는 개인정보 보호법 제71조가 있고, 법정형은 5년 이하의 징역 또는 5천만원 이하의 벌금입니다.
상담 현장에서 보면 “돈을 주고 산 DB인데 왜 문제가 되느냐”고 묻는 분들이 적지 않습니다. 핵심만 말씀드리겠습니다. 출처가 불분명한 개인정보라는 사정을 알고 영리 목적으로 넘겨받았다면, 대가를 지불했다는 사실은 면죄부가 되지 않습니다. 가상의 사례로 쟁점을 하나씩 짚어 보겠습니다.
개인정보 매매 사건 개요: 9만 건 고객 DB가 텔레그램으로 거래되다
매도인B씨(45세). 경기도 소재 보험대리점에서 고객관리 업무 담당
매수인A씨(38세). 대구에서 대출중개 마케팅 업체 운영
거래 정보이름, 휴대전화번호, 생년월일, 보험 가입 내역 약 9만 4천 건
거래 대금건당 약 200원, 총 1,880만원을 가상화폐로 지급
후속 행위A씨가 대출 광고 문자 발송에 사용, 이 중 2만 건을 제3자에게 600만원에 재판매
결과재판매된 DB가 보이스피싱 조직에 흘러가 피해자 3명, 합계 4,200만원 피해 발생
이 사건에서 따져야 할 쟁점은 세 가지입니다. 판매자의 책임, 구매자의 책임, 그리고 보이스피싱으로 이어졌을 때의 가중 문제입니다.
쟁점 1. 판매자 B씨: 업무상 알게 된 개인정보 누설죄
개인정보 보호법 제59조는 개인정보를 처리하거나 처리했던 사람이 업무상 알게 된 개인정보를 누설하거나, 권한 없이 다른 사람이 이용하도록 제공하는 행위를 금지합니다. 이를 위반하면 제71조에 따라 5년 이하의 징역 또는 5천만원 이하의 벌금에 처해집니다.
B씨는 자신이 회사 대표가 아니라 직원일 뿐이라고 항변할 수 있습니다. 그러나 이 조항은 개인정보처리자(업무 목적으로 개인정보를 다루는 회사·기관) 자체뿐 아니라, 그 안에서 실제로 정보를 다루는 직원에게도 적용됩니다. 회사 승인 없이 정보를 외부로 반출하고 돈을 받았다면 처벌 요건은 사실상 충족됩니다.
범죄수익도 회수됩니다. 개인정보 보호법 제74조의2에 따라 위반행위로 얻은 금품은 몰수되고, 몰수할 수 없으면 그 가액을 추징(범죄로 얻은 이익을 돈으로 환수하는 처분)합니다. B씨가 받은 1,880만원은 전액 환수 대상입니다.
실무에서 자주 접하는 유형은 한 번이 아니라 여러 차례 나눠 판매한 경우입니다. 이때는 경합범(여러 개의 죄를 저지른 경우)으로 처리되어 가장 무거운 죄의 형에 2분의 1까지 가중될 수 있습니다. 9만 건이 넘는 규모에 금전 대가까지 받았다면 벌금형으로 끝나기를 기대하기 어렵습니다.
쟁점 2. 구매자 A씨: 개인정보를 산 사람도 처벌되는 이유
많은 분들이 오해하는 지점입니다. 개인정보 보호법 제71조는 부정하게 유출된 개인정보라는 사정을 알면서도 영리 또는 부정한 목적으로 제공받은 자를 판매자와 같은 형으로 처벌합니다. 구매자의 법정형 역시 5년 이하의 징역 또는 5천만원 이하의 벌금입니다.
수사기관은 ‘알고 있었는지’를 거래 방식으로 판단합니다. 아래 사정이 겹치면 최소한 미필적 인식(불법일 수 있다는 점을 알면서도 감수한 상태)이 인정될 가능성이 높습니다.
1익명 메신저 거래텔레그램 등 신원 확인이 불가능한 채널에서 판매자와 접촉한 경우
2추적이 어려운 결제가상화폐나 차명계좌로 대금을 지급하고 세금계산서도 발행되지 않은 경우
3출처 확인 부재정보주체가 제3자 제공에 동의했는지 전혀 확인하지 않은 경우
A씨는 여기서 더 나아가 사들인 정보를 재판매했습니다. 정보주체의 동의 없이 개인정보를 다시 제3자에게 넘긴 행위는 별도의 위반행위가 되고, 재판매로 얻은 600만원 역시 추징 대상입니다. 또한 수신 동의 없이 대출 광고 문자를 보낸 부분은 정보통신망법상 영리목적 광고성 정보 전송 제한 위반으로 최대 3천만원의 과태료가 따로 부과될 수 있습니다.
쟁점 3. 보이스피싱 연계 시 처벌 수위와 회사의 책임
개인정보 매매 사건의 형량을 가장 크게 끌어올리는 요소는 2차 피해입니다. A씨가 재판매한 DB가 보이스피싱 범행에 쓰일 것을 알았거나 충분히 예상할 수 있었다면, 개인정보 보호법 위반을 넘어 사기방조(형법 제347조, 제32조) 책임까지 문제 됩니다. 사기죄의 법정형은 10년 이하의 징역 또는 2천만원 이하의 벌금이고, 방조범은 정범보다 감경되지만 개인정보 보호법 위반죄와 함께 처벌됩니다.
반대로 구매자가 보이스피싱 용도를 전혀 몰랐다면 방조 책임은 인정되기 어렵습니다. 다만 이 경우에도 실제 금전 피해가 발생했다는 사실 자체가 양형(형량을 정하는 과정)에서 불리하게 작용합니다.
양형에서 주로 고려되는 요소
유출·거래된 정보의 건수와 민감도 / 받은 대가의 액수와 거래 횟수 / 2차 피해 발생 여부와 규모 / 범죄수익 반환 및 피해 회복 노력
회사도 자유롭지 않습니다. 개인정보 보호법 제74조의 양벌규정(직원의 위반행위에 대해 회사도 함께 처벌하는 규정)에 따라 보험대리점 법인에도 벌금이 부과될 수 있습니다. 회사가 위반을 막기 위해 상당한 주의와 감독을 다했다면 면책되지만, 접근권한 관리나 접속기록 점검 같은 안전성 확보조치를 소홀히 한 사실이 드러나면 전체 매출액의 3% 이하 과징금이 부과될 수 있습니다. 고의 또는 중대한 과실이 인정되면 손해액의 5배까지 배상하는 징벌적 손해배상 책임도 문제 됩니다.
개인정보 매매 사건, 입장별 실무 대응 포인트
1판매자라면범죄수익 반환과 피해 회복이 양형의 핵심입니다. 수사 초기에 거래 규모와 경위를 사실대로 밝히는 편이 결과적으로 유리한 경우가 많습니다.
2구매자라면보유 중인 DB의 이용과 재판매를 즉시 중단해야 합니다. 다만 거래 기록을 임의로 삭제하면 증거인멸 시도로 비쳐 불리한 정상이 될 수 있다는 점에 유의해야 합니다.
3DB를 구매해 영업하는 업체라면정식 업체를 통한 구매라도 정보주체의 제3자 제공 동의를 받은 정보인지 서면으로 확인해야 합니다. 이 확인 절차가 나중에 인식이 없었다는 주장을 뒷받침하는 근거가 됩니다.
4개인정보를 보유한 기업이라면직원별 접근권한 최소화, 대량 조회·다운로드 기록 점검, 정기 교육 이력 보관이 양벌규정 면책의 실질적 근거가 됩니다.
정리하면, 개인정보 매매는 판 사람도, 산 사람도, 관리를 소홀히 한 회사도 각자의 자리에서 책임을 집니다. 거래 규모가 크고 보이스피싱 같은 2차 피해까지 발생했다면 실형 가능성이 높아진다는 점이 이 사건 유형의 핵심입니다.
