개인정보 유출 처벌 5년 이하 징역 또는 5천만원 이하 벌금
핵심 요약
개인정보 유출 처벌은 업무상 알게 된 개인정보를 누설하거나 권한 없이 넘긴 사람에게 5년 이하 징역 또는 5천만원 이하 벌금으로 내려질 수 있고, 그 사정을 알면서 영리나 부정한 목적으로 받은 사람도 같은 대상입니다. 정보를 업무와 직접 이어진 경로로 알았는지, 받은 쪽의 목적이 사회통념상 부정한지에 따라 결론이 달라집니다. 통신사 직원에게 전화번호를 받아낸 사건에서는 어느 죄로 기소했는지 불분명하다는 이유로 유죄 판결이 파기됐습니다.
회사 직원이나 업체 관계자가 내 연락처나 진료 정보를 남에게 넘겼다는 사실을 알게 되면, 피해자는 신고를 해야 하는지와 그 사람이 실제로 어떤 처벌을 받는지부터 궁금해집니다. 해킹이나 명의도용으로 정보가 퍼졌을 때도 같은 물음이 생깁니다. 이 기사는 처벌이 성립하는 기준, 결론을 가르는 사정, 실제 판결에서 문제가 된 대목, 피해자가 지금 확인할 것을 차례로 정리합니다.
개인정보 유출 처벌은 넘긴 사람과 받은 사람에게 모두 내려질까?
개인정보를 처리하거나 처리했던 사람이 업무상 알게 된 개인정보를 누설하거나 권한 없이 남에게 넘기면 처벌 대상이 되고, 그 사정을 알면서 영리나 부정한 목적으로 정보를 받은 사람도 함께 5년 이하 징역 또는 5천만원 이하 벌금에 처해질 수 있습니다. (개인정보 보호법 제59조 제2호, 제71조)
여기서 누설은 아직 그 정보를 모르는 사람에게 알려 주는 모든 행위를 말합니다. 이 죄가 지키려는 것은 내 정보를 언제, 누구에게, 어디까지 알릴지 스스로 정하는 권리입니다. 그래서 정보 주인이 미리 동의했다면 정보를 알려 준 사람을 처벌할 수 없습니다.
정보가 직원을 거치지 않고 해킹으로 빠져나간 경우에는 적용되는 법이 다릅니다. 이때는 정보통신망으로 처리되거나 보관되는 남의 정보를 훼손하거나, 남의 비밀을 침해 · 도용 · 누설한 행위인지가 쟁점이 됩니다. (정보통신망 이용촉진 및 정보보호 등에 관한 법률 제49조)
피해자는 먼저 정보가 사람 손을 거쳐 나갔는지, 시스템 침입으로 나갔는지를 가려 두는 것이 좋습니다.
내부자가 업무와 상관없이 알았다고 하면 개인정보 유출 처벌을 피할 수 있을까?
업무와 무관한 사적인 자리에서 알게 된 정보를 퍼뜨린 경우라면 이 죄로는 처벌되지 않습니다. 반대로 업무를 하다가 직접 알게 된 정보라면 그 업무가 개인정보 처리를 주된 일로 하지 않았더라도 처벌 대상에 들어갑니다. 일반 업무를 하면서 부수적으로 개인정보를 다룬 경우도 포함됩니다.
'업무상 알게 되었다'는 말은 업무 수행과 그 정보 사이에 직접적이고 밀접한 인과관계가 있다는 뜻입니다. 이 사실은 범죄 요건이기 때문에 증명할 책임은 검사에게 있습니다. 예를 들어 '기억으로 말했을 뿐'이라는 주장이 나오더라도, 그 정보가 업무 시스템이나 업무 서류에서 나온 것인지가 확인되면 판단이 달라집니다.
공무원의 성명처럼 공적인 일을 하는 사람이나 부서를 특정하기 위한 정보는 처벌 대상인 개인정보로 보기 어렵습니다. 처벌 대상은 특별한 사정이 없는 한 정보주체의 사적 영역에 관한 정보로 한정되기 때문입니다.
정보를 받은 쪽은 영리나 부정한 목적이 있었는지가 따로 문제 됩니다. 2022년 대법원은 재개발 조합원이 임원 해임 총회 개최 사실을 알리려고 조합원 명단을 받은 사건에서, 그 목적이 사회통념상 부정하다고 단정하기 어렵다고 판단했습니다. 그 사건에서는 조합원들이 총회 소집을 요구했고, 조합이 명단 공개를 거절한 사정이 있었습니다.
받은 사람의 목적은 사건마다 따로 따져야 하므로, 피해자는 상대가 내 정보를 받아 무엇에 썼는지를 보여 주는 자료를 확인해 두는 것이 좋습니다.
통신사 직원에게 전화번호를 받아낸 사건은 실제로 어떻게 끝났을까?
상대의 동의가 없다는 점을 알면서 통신사 직원에게 전화번호 조회를 요구해 받아낸 경우에도, 공소장이 어느 죄를 묻는지 분명하지 않으면 유죄가 그대로 유지되지 않을 수 있습니다.
2026년 대법원 판결이 다룬 사건이 바로 이런 경우입니다. 피고인은 통신사에서 가입자 정보를 다루던 직원에게 '조회시스템으로 전화번호를 조회한 뒤 알려 달라'고 요구해 정보를 받았습니다.
이 사건에서 공소장은 두 가지로 읽혔습니다. 하나는 동의 없이 제공된다는 사정을 알고 정보를 받은 죄이고, 다른 하나는 업무상 알게 된 정보가 누설된다는 사정을 알면서 영리나 부정한 목적으로 받은 죄입니다. 대법원은 두 죄 가운데 어느 것으로 기소했는지 검사에게 밝히게 하고 그 요건을 심리했어야 한다며 원심을 파기했습니다.
이 판결은 피고인이 무죄라는 결론이 아닙니다. 어느 죄로 묻느냐에 따라 증명할 요건이 달라진다는 점을 보여 준 사례입니다. 처분과 형은 검사와 법원이 다른 사정까지 함께 보고 정하므로, 피해자는 넘긴 쪽의 업무 경로와 받은 쪽의 목적을 함께 진술하는 것이 좋습니다.
피해자가 개인정보 유출 가해자의 처벌 수위를 가늠하려면 무엇을 확인해야 할까?
처벌 수위는 기소된 조문이 양형위원회의 개인정보 등 침해범죄 양형기준에서 어느 유형에 속하는지에 따라 먼저 정해집니다. 그다음 감경이나 가중 사정이 있는지에 따라 권고 범위가 달라집니다. 아래 표는 각 유형의 기본 영역 권고 범위입니다.
| 유형 | 대표 행위 | 기본 영역 권고 |
|---|---|---|
| 제1유형 | 부정한 수단으로 개인정보 취득, 그 사정을 알고 부정한 목적으로 받음 | 징역 4월~1년 |
| 제2유형 | 업무상 알게 된 개인정보 누설, 동의 없는 제3자 제공 | 징역 6월~1년6월 |
| 제3유형 | 부정하게 취득한 정보를 부정한 목적으로 제3자에게 제공 | 징역 8월~2년6월 |
피해가 중대하거나 수법이 매우 불량한 사정은 특별가중인자로 다뤄지며, 감경요소와 비교해 가중요소가 클 때 가중 영역이 권고됩니다. 처벌불원이나 실질적인 피해 회복은 감경 요소가 됩니다. 이 범위는 법원이 참고하는 기준이며, 선고형을 미리 정하지는 않습니다.
피해 범위를 확인하려면 회사에 내 개인정보의 열람을 요구할 수 있습니다. 다만 법률상 열람이 제한되거나 다른 사람의 이익을 부당하게 침해할 우려가 있으면, 회사가 그 사유를 알리고 열람을 제한할 수 있습니다. (개인정보 보호법 제35조)
정보 유출 신고를 앞둔 피해자가 지금 정리할 것
수사기관의 연락이나 회사의 답변을 기다리고 있다면, 결과를 가르는 두 축을 먼저 정리해 두는 것이 좋습니다. 하나는 넘긴 사람이 그 정보를 업무 중에 직접 알게 되었는지이고, 다른 하나는 받은 사람이 그 정보로 무엇을 하려 했는지입니다.
업무 시스템 조회나 업무 서류가 경로로 드러나고 받은 쪽의 목적이 부정하게 보일수록 처벌 쪽으로 기울 여지가 커집니다. 반대로 사적인 자리에서 알게 된 정보이거나 목적에 정당한 사정이 있으면 판단이 달라질 수 있습니다.
개인정보 유출 피해 신고와 배상에서 함께 많이 묻는 질문
Q. 가해자를 고소하면서 고소장에 상대의 주민등록번호를 적으면 오히려 문제가 될까요?
A. 범죄 혐의를 소명하려고 개인정보가 담긴 자료를 수사기관에 내는 일은 사회상규에 어긋나지 않는 정당행위로 보아 처벌하지 않을 수 있습니다. 다만 고소나 방어에 필요한 범위를 넘어 정보를 쓰면 판단이 달라질 수 있습니다.
Q. 직원이 정보를 넘겼다면 회사에도 손해배상을 청구할 수 있을까요?
A. 직원이 회사 업무를 하면서 피해를 입혔다면 회사에도 배상책임이 생길 수 있습니다. 다만 회사가 직원 선임과 감독에 상당한 주의를 다했다면 책임을 지지 않습니다. (민법 제756조)
Q. 개인정보 유출 위자료는 어떤 사정으로 정해질까요?
A. 위자료는 정해진 표에 따라 정해지지 않고, 법원이 사건마다 여러 사정을 종합해 판단합니다. 유출된 정보의 종류, 제3자가 열람했거나 열람할 가능성, 확산된 범위, 유출 경위, 확산을 막으려는 조치가 함께 고려됩니다.
