보안 목적의 직원 이메일 열람도 비밀침해가 될 수 있다 — 공개 예정 자료의 비밀성과 형사책임

핵심정리

해당판결

대법원 2016. 5. 27. 선고 2015도3898 판결〔정보통신망이용촉진및정보보호등에관한법률위반(정보통신망침해등)〕

피고인의 상고를 기각하여 벌금 500만 원을 선고한 원심판결이 확정되었다.

앞서 정리한 트로이컷 민사사건과 관련된 형사사건이다. 당시 민사 항소심 판결에는 형사 상고심이 계속 중이라고 기재되어 있었으나, 이번에 확인한 판결에 따르면 민사 상고심과 같은 날 형사 상고심도 상고기각으로 종결되었다.

하급심

가. 제1심

서울남부지방법원 2014. 8. 12. 선고 2014고정998 판결

이메일·첨부문건 등 525개 파일의 저장·열람에 관한 공소사실을 유죄로 인정하고 벌금 700만 원을 선고하였다.

나. 항소심

서울남부지방법원 2015. 2. 12. 선고 2014노1431 판결

항소심에서 일부 공소사실이 변경되었고, 법원은 파일별 비밀성에 관한 판단도 달리하여 제1심판결을 파기하였다.

유죄: 변경된 범죄일람표(2)에 기재된 19개 파일의 비밀침해.
무죄: 나머지 503개 파일에 관한 부분. ‘타인의 비밀’이라는 증거가 부족하다고 판단하였다.
형: 벌금 500만 원 및 압수물 몰수.

이는 단순히 양형부당을 받아들여 벌금을 낮춘 판결이 아니다. 공소장변경과 일부 무죄 판단을 거쳐 유죄 범위를 다시 정한 판결이다.

최초 525개와 항소심의 19개·503개라는 수치는 공소장변경 전후의 기재이다. 항소심은 기존 범죄일람표의 22개 순번에 관한 공소사실을 변경하였고, 변경 후 유죄 범죄사실을 19개 파일로 기재하였으므로 이를 단순 차감하여 표시해서는 안 된다.

사실관계

가. 피고인의 지위와 보안프로그램 설치

피고인은 방송사 D의 전산 관련 업무를 책임지는 정보콘텐츠실장이었다. 앞서 정리한 민사사건에서 Q로 표시된 직접 실행자에 해당한다.

피고인은 회사의 정보보안시스템을 강화한다는 이유로 2012. 5. 18.경 회사 관제서버에 보안프로그램을 설치하고, 회사 인트라넷에 접속하는 컴퓨터에도 프로그램이 설치되도록 하였다.

형사판결에서는 프로그램을 F로 익명 처리하였으며, 관련 민사판결에 기재된 트로이컷 프로그램과 관련된 사건이다.

나. 해킹 차단 기능과 함께 외부 전송자료를 저장하는 기능을 운영

프로그램에는 해킹 차단 기능 외에, 회사 컴퓨터에서 외부로 전송되는 파일을 중앙 관제서버에 저장하는 로깅 기능이 있었다.

피고인은 직원들의 동의를 받거나 필요한 공지를 하지 않은 상태에서 프로그램을 실행하고, 관제서버에 저장된 이메일과 첨부문건 등을 몰래 열람하였다.

다. 유죄로 인정된 자료의 범위

항소심이 최종적으로 인정한 범죄사실은, 피고인이 2012. 6. 8.경부터 2012. 7. 13.경까지 19개 파일을 관제서버에 저장되게 한 후 열람하여 타인의 비밀을 침해하였다는 것이다.

해당 자료에는 다음 내용이 포함되어 있었다.

자료	비밀성을 인정한 이유
노동조합 활동 관련 자료	열람 당시 일반적으로 알려지지 않은 내부자료였음
노동조합 홍보용 자료·보도자료	공개 예정이라도 회사에 미리 알려지면 제작·보도·홍보에 차질이 생길 수 있었음
조합원이 법원에 제출하는 진술서	열람 당시 비공개 상태로서 작성자 또는 소지자에게 비공개 이익이 있었음
인사위원회 의사록	직원 징계결정에 관한 내용으로 인사위원 외에는 열람할 수 없었음

라. 피고인의 주장과 최종 판단

피고인은 자료가 ‘타인의 비밀’에 해당하지 않고, 보안프로그램의 성능을 시험하는 과정에서 열람했을 뿐이므로 고의가 없다고 주장하였다. 보안업무 수행에 따른 정당행위 또는 해킹·정보유출 방지를 위한 긴급피난이라는 주장도 하였다.

법원은 비밀성이 인정되는 19개 파일에 대해서는 이러한 주장을 모두 배척하였다. 나머지 503개 파일은 비밀성의 증명이 부족하다는 이유로 무죄를 선고하였다.

법리

가. ‘개인정보’와 형사처벌 대상인 ‘타인의 비밀’은 동일하지 않다

정보통신망법상 비밀침해죄를 인정하려면 해당 정보가 단순히 타인에 관한 정보라는 것만으로는 부족하다.

이 사건 대법원이 제시한 기준은 다음 두 가지이다.

일반적으로 알려지지 않은 사실일 것.
이를 다른 사람에게 알리지 않는 것이 본인에게 이익일 것.

따라서 무단으로 열람한 파일이라는 이유만으로 모든 파일에 같은 범죄가 성립하는 것은 아니다. 각 파일의 내용과 비공개 이익을 구체적으로 판단해야 한다.

나. 공개 예정 자료도 공개 전에는 비밀로 보호될 수 있다

피고인은 노동조합의 홍보자료나 보도자료는 결국 공개될 내용이라는 취지로 다투었다.

그러나 대법원은 열람 당시의 비공개 상태와 이익을 기준으로 판단하였다. 노동조합이 장차 공개하려는 자료라도 대립 관계에 있는 회사가 미리 내용을 알게 되면 제작·보도·홍보에 차질이 생길 수 있기 때문이다.

즉, 장래의 공개 예정이 현재의 비밀성을 당연히 없애지는 않는다. 언제 누구에게 공개할 것인지에 관한 이익도 보호대상이 될 수 있다는 점이 이 판결의 중요한 논점이다.

다. 회사 내부자료라고 해서 보안담당자에게 열람권한이 당연히 생기지 않는다

인사위원회 의사록은 회사 내부에서 작성된 자료였지만, 직원의 징계결정에 관한 내용으로 인사위원 외에는 열람할 수 없었다.

법원은 이를 타인의 비밀로 인정하였다. 회사 전산시스템을 관리한다는 직무상 지위만으로 그 시스템을 통해 처리되는 모든 자료의 내용을 열람할 수 있는 것은 아니라는 의미이다.

전산 관리 권한과 개별 자료의 내용에 접근할 권한은 구분해야 한다.

라. 보안 목적의 시험운영이라는 사정은 비밀침해의 고의를 배제하지 않았다

법원은 다음 사정들을 종합하여 고의를 인정하였다.

시험운영 기간이 통상적인 경우보다 상당히 길었다.
로깅 기능으로 인해 프로그램이 사용자 감시 수단으로 작동할 수 있었다.
피고인도 비밀침해 가능성과 사전 동의의 필요성을 인식하고 있었다.
그럼에도 동의나 공지 없이 실행하고 저장자료를 몰래 열람하였다.
열람한 파일의 수가 적지 않았다.

보안 강화라는 업무 목적이 있었다고 하더라도, 그 과정에서 타인의 비밀을 침해한다는 인식까지 부정되는 것은 아니다.

마. 침해를 줄일 다른 방법이 있었으므로 정당행위·긴급피난도 부정하였다

법원은 로깅 기능을 제외하고 해킹 차단 기능만 먼저 도입하거나, 동의한 임직원만을 대상으로 시험운영하는 방법이 가능하였다고 보았다.

또한 동의를 받기 전에 전면적으로 실행해야 할 급박한 필요성도 인정하지 않았다.

따라서 이 사건에서는 보안 목적의 필요성만으로 광범위한 비밀 수집·열람이라는 수단이 정당화되지 않았다. 대법원은 정당행위와 긴급피난을 부정한 원심판단을 유지하였다.

바. 일부 무죄는 파일 열람 자체가 적법하다는 선언이 아니다

항소심은 나머지 503개 파일의 내용이 ‘타인의 비밀’에 해당한다는 점을 인정할 증거가 부족하다고 판단하였다.

이는 해당 파일이 모두 공개정보라고 적극적으로 확정한 판단이나, 수집·열람에 동의가 있었다는 판단과 다르다. 기소된 비밀침해죄의 구성요건에 관한 증명이 부족하다는 무죄이다.

따라서 이 무죄판결만으로 개인정보자기결정권 침해에 따른 민사책임까지 당연히 부정된다고 볼 수 없다.

사. 앞선 민사판결과 형사판결은 보호대상과 책임 주체가 다르다

구분	이 사건 형사판결	관련 민사판결
판결	대법원 2016. 5. 27. 선고 2015도3898 판결	대법원 2016. 5. 27. 선고 2016다5429 판결
중심 쟁점	파일 내용이 ‘타인의 비밀’인지, 고의와 위법성이 인정되는지	개인정보자기결정권 및 노동조합의 단결권·단체행동권 침해 여부
책임 대상	직접 실행자인 정보콘텐츠실장	직접 실행자, 사용자로서 회사, 방조한 관련 임원
보호 범위	비밀성이 증명된 정보	공적 생활에서 형성되거나 이미 공개된 개인정보도 포함 가능
결과	19개 파일 관련 유죄, 나머지 부분 무죄, 벌금 500만 원 확정	노동조합 2개와 개인 6명에 대한 배상책임 확정

형사사건에서는 일부 정보에 대한 비밀성이 증명되지 않았지만, 민사사건에서는 개인정보와 노동조합의 활동에 관한 권리를 별도로 보호하였다. 두 판결은 이러한 기준 차이에서 이해해야 한다.

실무적 유의점

가. 파일별로 비밀성의 근거를 특정해야 한다

비밀침해를 주장할 때에는 ‘직원 이메일을 무단 열람했다’는 포괄적인 설명을 넘어, 파일의 내용, 열람 당시 공개 여부, 접근 가능자 및 공개될 경우의 불이익을 구체적으로 제시해야 한다.

이 사건에서도 비밀성의 증명 여부에 따라 유죄와 무죄가 나뉘었다.

나. 공개 예정일과 실제 열람일을 구분해야 한다

홍보자료나 보도자료는 최종적으로 공개되었다는 사실만 확인해서는 부족하다. 피고인이 열람한 시점에는 아직 공개되지 않았는지, 조기 노출로 어떤 불이익이 생길 수 있었는지가 중요하다.

다. 프로그램 설치 승인과 자료 열람권한을 구분해야 한다

회사의 보안프로그램 도입 결정이 직원이나 노동조합의 모든 자료에 대한 열람권한을 부여하는 것은 아니다. 수집 기능, 시험운영 대상, 접근권한 및 실제 열람 범위를 각각 검토해야 한다.

라. 판결 소개에서는 전부 유죄 또는 단순 감형으로 요약하지 않아야 한다

이 사건의 정확한 결론은 “비밀성이 증명된 일부 파일에 대해서만 유죄를 인정하고, 나머지는 증명 부족으로 무죄를 선고하여 벌금 500만 원이 확정되었다”는 것이다. 최초 공소사실에 포함된 파일 전부에 대해 대법원이 유죄를 확정한 사건으로 소개해서는 안 된다.