개인정보보호법 위반 대응
기업이 알아야 할 형사처벌과 절차

기업에서 자주 발생하는 위반 유형

기업 실무에서 개인정보보호법 위반은 의도적인 불법 거래뿐 아니라, 업무 과정의 관리 소홀에서 발생하는 경우가 많습니다. 마케팅 목적의 동의 없는 정보 이용, 위탁사 관리 부실로 인한 유출, 퇴직자에 의한 무단 반출, 보안 취약점으로 인한 해킹 사고 등이 대표적입니다.

특히 영업양수도·합병 과정에서 정보주체 통지 없이 개인정보를 이전하거나, 고객 DB를 별도 동의 없이 계열사·제휴사에 공유하는 행위는 형사처벌 대상이 될 수 있어 사전 검토가 필요합니다.

'개인정보처리자'의 범위

개인정보처리자란, 업무를 목적으로 개인정보파일을 운용하기 위하여 스스로 또는 다른 사람을 통하여 개인정보를 처리하는 공공기관·법인·단체 및 개인을 의미합니다. 매출 규모나 직원 수와 무관하게 고객·회원·임직원의 개인정보를 다루는 거의 모든 사업자가 이에 해당하므로, 기업 규모를 이유로 법 적용에서 제외된다고 판단해서는 안 됩니다.

제71조의 핵심 처벌 조항

제재의 3중 구조

개인정보보호법 위반에 대한 제재는 형사처벌, 과징금, 과태료의 세 가지 층위로 구성됩니다. 기업 실무자는 이들이 서로 별개의 책임이라는 점을 이해해야 합니다. 형사처벌을 받지 않더라도 과징금이 부과될 수 있고, 그 반대도 가능합니다.

고의와 과실의 구분

제71조의 형사처벌은 원칙적으로 고의를 전제로 합니다. 따라서 동의 없는 제공이나 누설이 '고의'로 이루어졌는지, 아니면 관리 과실로 인한 유출인지에 따라 적용 조항과 책임의 정도가 달라집니다. 단순 안전조치 미흡으로 인한 유출은 과태료·과징금 중심으로, 의도적 제공·누설은 형사처벌 중심으로 다투어지는 경향이 있어 사실관계 정리가 대응의 출발점이 됩니다.

초기 대응 단계별 흐름

초기 대응 체크리스트

유출 통지·신고의 기본 구조

통지에 포함되어야 할 사항

정보주체에 대한 통지에는 유출된 개인정보의 항목, 유출 발생 시점과 경위, 피해를 최소화하기 위해 정보주체가 할 수 있는 방법, 개인정보처리자의 대응 조치 및 피해 구제 절차, 신고·상담을 접수할 수 있는 부서와 연락처가 포함되어야 합니다. 통지 내용이 불충분하면 통지를 한 것으로 인정받지 못할 수 있으므로 정확한 작성이 중요합니다.

위탁·수탁 관계에서의 책임 분담

개인정보 처리를 외부에 위탁한 경우, 수탁자의 과실로 유출이 발생하더라도 위탁자인 기업이 관리·감독 책임을 질 수 있습니다. 위탁계약에 안전조치 의무와 책임 분담을 명확히 규정하고, 정기적으로 수탁자의 처리 실태를 점검해 두면, 사고 발생 시 책임 범위를 다투는 데 유리하게 작용합니다.

조사·수사 대응의 기본 원칙

당국의 자료 제출 요구에는 성실히 응하되, 제출 범위와 진술 내용은 사실관계에 부합하도록 정리되어야 합니다. 형사 트랙과 행정 트랙에서 제출한 자료·진술이 서로 모순되면 신뢰성이 떨어지고 불리하게 작용할 수 있으므로, 두 절차를 함께 관리하는 것이 중요합니다.

양벌규정 면책과 책임 경감 사유

양벌규정(제74조)은 법인이 위반행위 방지를 위하여 상당한 주의와 감독을 게을리하지 않은 경우 면책될 수 있도록 규정합니다. 따라서 평소 개인정보 보호책임자 지정, 내부 관리계획 수립, 정기 교육·점검, 접근 권한 통제 등을 체계적으로 이행해 왔다는 사실을 입증하면 법인의 책임을 다툴 수 있습니다.

자진 시정과 피해 회복

위반 인지 후 신속히 자진 시정 조치를 취하고 정보주체의 피해 회복을 위해 노력한 사정은, 형사 양형과 과징금·과태료 산정에서 유리하게 고려될 수 있습니다. 피해 정보주체에 대한 보상 협의, 추가 피해 방지를 위한 시스템 개선 등을 기록으로 남겨 두면 책임 경감 자료로 활용됩니다.