핵심 요약 퇴사자가 고객 데이터를 반출한 것을 확인한 회사는 세 가지 지위를 동시에 갖습니다. 영업비밀 침해를 다투는 원고이면서, 개인정보 보호법 제34조 제1항의 통지 의무자이고, 안전조치를 소홀히 했다면 과징금 대상입니다(법 제64조의2 제1항 제9호). 실제로 개인정보보호위원회는 퇴사 직원이 하드디스크를 가지고 나간 사안에서 안전조치 위반은 아니라고 보면서도, 72시간을 넘긴 통지 지연에 대해서는 시정조치를 명했습니다(제2026-213-267호, 2026. 7. 8. 의결). 소송에서 유리한 주장과 조사에서 유리한 항변이 같은 사실을 두고 갈리므로, 서면을 쓰기 전에 통지 범위부터 확정하는 편이 안전합니다.
영업팀장이 퇴사하고 두 달 뒤 주요 거래처 몇 곳이 한꺼번에 계약을 종료합니다. 로그를 열어 보니 퇴사 직전 주에 CRM에서 거래처 담당자 명단이 통째로 내려받아져 있습니다.
이때 회의실에서 나오는 말은 대체로 비슷합니다. 가처분을 걸자, 형사고소를 하자, 경쟁사에도 책임을 묻자.
빠지는 것이 하나 있습니다. 그 명단에 이름이 적힌 사람들에 대해 우리 회사가 지는 의무입니다.
내부자가 권한으로 내려받아 나간 것도 ‘유출’인가?
법 제34조 제1항은 개인정보가 분실·도난·유출되었음을 알게 되었을 때 지체 없이 정보주체에게 알리도록 정하고, 시행령 제39조 제1항은 그 기한을 72시간으로 못 박았습니다.
권한이 있는 직원이 정상 계정으로 내려받았다는 사정은 방어 논리가 되기 어렵습니다. 회사가 그 개인정보를 더는 통제하지 못하게 됐다는 점에서 외부 침입과 다르지 않기 때문입니다.
신고는 안 해도 되는데 통지는 해야 하는 경우
신고 의무에는 요건이 붙어 있습니다. 시행령 제40조 제1항은 1천 명 이상, 민감정보 또는 고유식별정보, 그리고 개인정보처리시스템에 대한 외부로부터의 불법적인 접근 셋 중 하나에 해당할 때 72시간 내 신고하도록 정합니다.
세 번째 요건이 이 사안의 갈림길입니다. 문언이 ‘외부로부터의’ 불법적인 접근이므로, 권한을 가진 재직 직원이 자기 계정으로 내려받은 경우는 이 호에 그대로 들어맞지 않습니다.
그래서 담당자 400명 규모의 명단이고 민감정보가 섞이지 않았다면 신고 대상이 아닐 수 있습니다. 그러나 통지에는 이런 요건이 없습니다. 규모와 무관하게 걸립니다.
실제로 이렇게 처분된 사례가 있나?
개인정보보호위원회 제2소위원회가 2026년 7월 8일 의결한 세 건 중 하나가 이 구조를 그대로 보여줍니다(제2026-213-267호). 나머지 두 건은 끝난 위탁계약에 남아 있던 데이터에서 다뤘습니다.
2024년 1월 직원이 대표와 갈등을 빚고 퇴사하면서 업무용 PC의 하드디스크와 종전 홈페이지 관리자 계정을 가지고 나간 사안입니다. 회원 약 2,000건의 성명, 연락처, 이메일, 주소가 들어 있었고, 회사는 하드디스크를 도난당해 정확한 항목과 규모를 확인할 수 없다고 소명했습니다.
안전조치 쪽에서는 회사의 사정이 받아들여졌습니다. 위원회는 정당한 권한을 가진 직원의 고의에 의한 개인정보 탈취인 점을 고려할 때 법 제29조 위반으로 처분할 만한 위반행위는 아니라고 판단했습니다.
그런데도 처분은 나왔습니다. 회사는 1월 29일 사고를 인지하고 다음 날 신고는 했지만, 기존 홈페이지에 접속할 수 없어 회원 연락처를 확인하지 못한 채 3월 1일에야 도난 공지를 올렸습니다. 위원회는 정당한 사유 없이 72시간을 넘겨 통지한 것으로 보고 법 제64조 제1항에 따라 사고 대응 체계를 마련하라는 시정조치를 명했습니다.
피해자라는 사정은 안전조치 축에서는 항변이 됐지만 통지 축에서는 되지 않았습니다. 신고를 제때 한 것도 통지 지연을 덮지 못했습니다. 연락처를 모르면 홈페이지에 30일 이상 게시하는 것으로 통지를 갈음할 수 있고(시행령 제39조 제3항), 항목과 규모를 확인하지 못했더라도 확인된 내용을 우선 통지한 뒤 나머지를 알리도록 정하고 있습니다(같은 조 제2항). 모르는 것이 있다는 사정은 통지를 미룰 근거가 아니라 통지 방식을 바꿀 근거입니다.
소송에서 하는 주장이 조사에서 그대로 쓰인다
영업비밀로 보호받으려면 그 정보가 비밀로 관리되고 있었어야 합니다(부정경쟁방지 및 영업비밀보호에 관한 법률 제2조 제2호). 과징금 쪽에도 닮은 문장이 있습니다. 안전성 확보에 필요한 조치를 다한 경우에는 과징금을 부과하지 않는다는 단서입니다(법 제64조의2 제1항 제9호 단서, 제29조).
두 요건이 같은 사실을 묻습니다. 접근권한을 누구에게 얼마나 주었는지, 대량 내려받기를 통제했는지, 접속기록을 남겼는지.
정렬돼 있다는 것은 유리할 수도 불리할 수도 있다는 뜻입니다. 관리 체계를 갖췄다면 소송과 조사 양쪽에서 같은 자료가 쓰입니다. 반대로 누구나 전체를 열람할 수 있었다고 인정하면 영업비밀성이 부정되면서 안전조치 항변도 함께 무너집니다.
손해액 주장에도 같은 구조가 있습니다. 침해자가 얻은 이익을 손해액으로 추정받으려면(같은 법 제14조의2 제2항) 반출 규모와 사용 사실을 크게 주장하게 되는데, 그 숫자는 통지 대상 범위와 과징금 고려 요소인 유출 규모에도 그대로 들어갑니다(법 제64조의2 제4항 제5호).
데이터를 받은 경쟁사에는 무엇을 물을 수 있나
퇴사자 본인은 비밀유지의무가 있는 자가 부정한 이익을 얻거나 보유자에게 손해를 입힐 목적으로 영업비밀을 사용·공개한 경우에 해당할 수 있습니다(같은 법 제2조 제3호 라목). 사정을 알면서 취득한 쪽은 마목입니다. 금지청구(제10조)와 손해배상(제11조)이 가능하고, 고의가 인정되면 손해로 인정된 금액의 5배까지 배상액을 정할 수 있습니다(제14조의2 제6항).
개인정보 보호법에도 별도의 트랙이 있습니다. 업무상 알게 된 개인정보를 누설하거나 권한 없이 다른 사람이 이용하도록 제공하는 행위는 금지되고(제59조 제2호), 위반하면 5년 이하 징역 또는 5천만원 이하 벌금입니다(제71조 제9호).
같은 호의 뒷부분을 눈여겨볼 필요가 있습니다. 그 사정을 알면서도 영리 또는 부정한 목적으로 개인정보를 제공받은 자도 함께 처벌 대상으로 적혀 있습니다.
주의할 조문이 하나 있습니다. 데이터 부정사용을 정한 제2조 제1호 카목은 영업비밀을 명시적으로 제외하고, 대상 데이터를 업으로서 특정인 또는 특정 다수에게 제공되는 것으로 한정합니다. 사내에서만 쓰던 고객 명단은 이 정의에 들어가지 않는 경우가 많습니다.
이 판단이 나중에 어떻게 쓰이나
반출을 인지한 날짜는 지워지지 않습니다. 포렌식 업체에 견적을 요청한 메일, 사내 보고 결재, 감사 착수 기록이 모두 제34조 제1항의 ‘알게 되었을 때’를 가리키는 자료가 됩니다.
가처분 신청서에 반출 건수를 적는 순간 그 서면은 유출 규모에 관한 회사 스스로의 진술이 됩니다. 나중에 통지문에 적은 숫자와 어긋나면 그 불일치가 조사에서 질문거리가 됩니다.
순서를 바꾸면 대부분 정리됩니다. 통지 대상과 범위를 먼저 확정하고 그 숫자를 전제로 소송 서면을 쓰는 것입니다. 유출 인지 후 72시간의 전체 절차는 개인정보 유출 인지 후 72시간 안에 해야 할 일과 하면 안 되는 일에, 사고 원인이 해킹이 아니라 내부에 있을 때의 처분 구조는 업무 과실 유출도 개인정보 과징금 대상이 되는 이유에 정리해 두었습니다.
자주 묻는 질문
퇴사자가 복사만 해 갔고 원본은 사내에 그대로 있습니다. 이것도 유출인가요?
원본이 남아 있는지는 판단 기준이 아닙니다. 통제를 벗어난 사본이 존재하는 순간부터 개인정보처리자가 그 개인정보를 더는 통제하지 못하는 상태가 되기 때문입니다. 2026년 9월 11일 시행되는 개정법은 ‘유출등’의 범위에 위조·변조·훼손을 더해(법률 제21445호 제23조 제2항) 판단 대상을 오히려 넓혔습니다.
신고 대상이 아니라는 결론이 나오면 정보주체 통지도 생략할 수 있나요?
생략할 수 없습니다. 신고는 시행령 제40조 제1항 각 호의 요건에 걸리지만, 통지는 법 제34조 제1항이 규모나 유형을 따지지 않고 모든 유출등에 지우는 의무입니다. 신고 대상이 아니라는 판단을 통지 면제로 옮겨 읽는 것이 이 국면에서 가장 자주 나오는 오해입니다.
거래처 담당자 명단인데 개인정보 통지가 필요한가요? B2B 거래라 회사 정보 아닌가요?
법인의 상호나 사업자등록번호는 개인정보가 아닙니다. 그러나 담당자의 성명, 직위, 휴대전화번호, 이메일 주소는 살아 있는 개인에 관한 정보로서 개인정보에 해당합니다(법 제2조 제1호 가목·나목). 반출된 파일이 회사 목록이 아니라 사람 목록이라면 개인정보 보호법이 함께 적용됩니다.
참고 자료
- 개인정보보호위원회 제2소위원회 의결 제2026-213-267호(2026년 7월 8일). 처분 당시 적용 법령은 개인정보 보호법(법률 제19234호, 2023년 9월 15일 시행)입니다
- 개인정보 보호법(법률 제20897호, 2025년 10월 2일 시행) 제2조 제1호, 제29조, 제34조, 제59조, 제64조, 제64조의2, 제71조
- 개인정보 보호법(법률 제21445호, 2026년 9월 11일 시행) 제23조 제2항
- 개인정보 보호법 시행령(대통령령 제36340호) 제39조 제1항·제2항·제3항, 제40조
- 부정경쟁방지 및 영업비밀보호에 관한 법률(법률 제21065호, 2026년 5월 28일 시행) 제2조 제1호 카목, 제2조 제2호·제3호, 제10조, 제11조, 제14조의2