[이슈Law] 빈번한 개인정보 유출 사고, 법인 대표도 처벌받을 수 있다

개인정보 유출 사고가 끊이지 않는 가운데 대표이사 등 법인 최고 책임자에 대한 형사처벌이 점점 현실화되고 있습니다. 이는 ‘양벌규정’ 때문인데, 양벌규정의 핵심인 ‘상당한 주의와 감독’을 중심으로 김숙정 변호사(법무법인 동인)와 함께 살펴보겠습니다.

(사진 출처 = 게티이미지뱅크)

개인정보보호법상 양벌규정은 법인의 직원이 개인정보보호법을 위반한 경우 행위자뿐 아니라 그 법인의 대표자나 법인에도 벌금형을 부과한다. 다만 ‘위반행위를 방지하기 위해 해당 업무에 관해 상당한 주의와 감독을 게을리하지 않은 경우’ 면책된다.

28일 법조계에 따르면, 서울중앙지법은 최근 상급종합병원 소속 의료진이 환자 개인정보를 제약회사에 무단 제공한 사건에서 의사뿐 아니라 병원 법인에도 벌금 1500만 원을 선고했다. 개별 의사들의 위반행위였음에도 법원이 양벌규정을 적용해 법인을 처벌한 것이다.

양벌규정이 적용되려면 먼저 직원의 위반행위가 법인의 업무와 관련성이 있어야 한다. 김숙정 변호사는 "법원은 개인정보 자기결정권 보호 관점에서 외형상 법인의 사업활동과 관련된 것으로 보이면 업무 관련성을 넓게 인정한다"고 말했다.

이 사건에서 법원은 △제약회사가 병원에 임상시험 비용을 지원하기 위해 처방자료를 요구한 점 △내과 의국장들 사이에 처방정보 제공이 업무로 인수인계된 점 △제공 대가로 의국 회의 식비를 제약회사가 대신 결제했다는 점을 들어 법인의 업무 연관성을 인정했다.

한 아파트 커뮤니티센터장이 입주자 개인정보를 무단 제공한 사례에서도 법원은 “외형상 개인정보처리자인 아파트 관리소장의 업무와 관련돼 있다”며 업무 관련성을 인정했다.

그렇다면 면책 요건인 ‘상당한 주의와 감독’의 구체적 기준은 무엇일까. 판례를 보면 형식적인 조치만으로는 부족하고 실질적이고 체계적인 노력이 담겨야 한다.

의료진 사건에서 법원은 “개인정보가 유출된 후 병원 시스템에서 처방자료 엑셀 파일 다운로드 기능을 삭제하고, 처방자료 조회화면에 자료 유출시 처벌 가능성을 경고하는 문구를 생성하는 등의 조치가 이뤄진 점”을 언급했다.

이를 근거로 이전에는 상당한 주의와 감독을 게을리했다고 판단했는데, 개인정보 유출을 방지하기 위한 시스템적 차단장치나 경고 체계가 사전에 구축돼야 한다고 본 것이다.

▲ 서초동 서울중앙지방법원. (이투데이 DB)

교육과 관리의 지속성도 중요하다. 단발성 교육이 아닌 정기적이고 실효성 있는 개인정보 보호 교육, 개인정보취급자에 대한 지속적 관리·감독, 처리 현황에 대한 정기 점검 등이 체계적으로 이뤄져야 한다.

결국 법인 대표가 양벌규정을 피하기 위해서는 △조직 차원에서 개인정보보호책임자의 독립성과 권한 보장 △충분한 예산과 인력 배정 △정기적인 이사회 보고를 통한 개인정보 보호 현황 점검‧필요 시 즉시 개선 조치 체계 구축이 필수다.

아울러 개인정보 유출 사고 발생 시 대응 방식도 ‘상당한 주의감독’ 판단에 중요한 요소가 된다. 개인정보보호법은 개인정보 유출을 인지한 즉시 개인정보보호위원회 등에 신고하고, 정보 주체에게 통지할 의무를 부과한다. 이를 지연하거나 소홀히 한 경우 별도 과태료 처분과 함께 양벌규정 적용에도 불리한 요소로 작용할 수 있다.

김 변호사는 “이제 개인정보보호는 IT 부서만의 업무가 아니라 최고경영진이 직접 관여해야 하는 핵심 경영 사안”이라며 “양벌규정의 ‘상당한 주의감독’ 기준은 앞으로 더욱 엄격해질 것으로 예상한다“고 설명했다.

[도움]

김숙정 변호사는 법무법인(유한) 동인 개인정보보호/통합보안팀, 수사대응팀, 영장포렌식팀에서 근무하고 있으며, 검찰청 검사, 고위공직자범죄수사처 검사 등으로 활동하였습니다