개인정보 유출 고소방법

[법사무소]

개인정보 유출 -
 
개인정보 유출은 쉽게 말해서, 원래 관리·통제 하에 있던 개인정보가 본래 의사와 무관하게 밖으로 빠져나가 제3자가 그 내용을 알 수 있는 상태가 된 것을 의미합니다. 단순히 파일이 열려 있었던 정도가 아니라 권한 없는 사람이 실제로 접근하거나 내용을 확인할 수 있는 상태까지 포함해서 보게 됩니다.

 
개인정보 유출은 개인정보보호위원회와 표준 개인정보 보호지침에서 설명하는 개념이 핵심입니다. 기준은 크게 두 가지로 이해하면 됩니다. 첫째, 개인정보처리자의 관리·통제권을 벗어났는지, 둘째, 제3자가 그 내용을 알 수 있는 상태가 되었는지 입니다.
 
그래서 실무에서는 “새어 나갔는가” 뿐 아니라 “외부인이 알아볼 수 있었는가” 도 매우 중요합니다.
 
개인정보 유출은 보통 다음 같은 상황에서 문제 됩니다.
 
개인정보가 들어 있는 서류나 저장장치를 분실·도난당한 경우, 권한 없는 사람이 시스템에 접속한 경우, 잘못된 수신자에게 개인정보가 전달된 경우, 또는 다른 방식으로 권한 없는 자에게 전달된 경우가 여기에 해당합니다.
 
이런 유형은 단순 실수처럼 보여도 법적으로는 유출로 평가될 수 있습니다.
 
실무에서 자주 헷갈리는 것이 유출과 노출이라고 할 수 있습니다.
 
노출은 개인정보가 공개되거나 방치되어 공중이 특별한 해킹 기술 없이도 쉽게 볼 수 있는 상태를 뜻하는 반면, 유출은 원래 관리·통제권 아래 있던 정보가 밖으로 벗어난 상태를 더 강하게 전제로 합니다.
 
그래서 어떤 자료가 웹에 그대로 올라가 있었는지, 내부 권한 밖으로 전송되었는지, 누가 실제로 접근 가능했는지에 따라 법적 평가는 크게 달라질 수 있습니다.
 
개인정보가 유출되면 스팸, 보이스피싱, 계정 탈취, 신원 도용 같은 피해로 바로 이어질 수 있습니다. 특히 전화번호, 이메일, 비밀번호, 주민등록번호, 계좌정보처럼 식별과 인증에 쓰이는 정보가 섞여 있으면 피해가 더욱 커질 수 있습니다.
 
기업 입장에서는 신뢰 하락, 거래처 이탈, 손해배상, 과징금, 경우에 따라 형사 문제까지 이어질 수 있습니다.
 
개인정보 유출이 의심되면 가장 먼저 범위를 확인하고, 추가 확산을 막아야 합니다.
 
이후 법정 통지·신고 대상인지 검토하고, 비밀번호 변경, 계정 잠금, 카드 재발급, 모니터링 강화 같은 피해 예방 조치를 병행하는 것이 일반적입니다.
 
기업이라면 로그 확보, 원인 분석, 재발 방지 대책 수립이 매우 중요합니다.
 
개인정보 유출은 “정보가 밖으로 나갔다” 는 사실만이 아니라, “권한 없는 사람이 그 내용을 알 수 있는 상태가 되었는지” 까지 포함해 판단하는 개념입니다.
 
개인정보 유출 시 바로 취해야 할 조치 -
 
개인정보 유출이 의심되면 즉시 계정·접속 차단, 비밀번호 변경, 유출 범위 확인, 피해 확산 방지, 신고·통지를 순서대로 진행해야 합니다. 1,000명 이상 유출되었거나 민감정보·고유식별정보가 포함된 경우에는 72시간 이내 신고가 핵심입니다.

먼저 해당 서비스의 비밀번호를 바로 바꾸고, 같은 비밀번호를 쓰는 다른 서비스도 함께 변경합니다. 가능하면 2단계 인증을 켜고, 로그인 기록·접속 기기를 확인해 수상한 세션을 종료합니다.
 
카드번호, 계좌, 인증수단이 포함됐으면 카드사·은행에 즉시 연락해 정지, 재발급, 이상거래 모니터링을 요청해야 합니다

유출된 정보가 무엇인지, 몇 명분인지, 언제 어떤 경위로 새어 나갔는지 먼저 파악해야 합니다.
 
이 단계가 있어야 추가 피해 차단과 신고 내용 작성이 정확해집니다.
 
가능하면 화면 캡처, 이메일, 문자, 로그, 공지문을 모두 저장해 두는 것이 더 좋습니다.
 
사업자는 정보주체에게 유출 사실과 항목, 시점·경위, 피해 최소화 방법, 대응 조치, 구제절차, 담당부서·연락처를 지체 없이 통지해야 합니다. 또 피해 최소화를 위한 긴급조치, 취약점 보완, 접속 차단, 삭제 조치 등을 바로 해야 합니다. 1,000명 이상 유출이면 신고와 홈페이지 공지도 추가로 요구됩니다.
 
신고기준 -
 
개인정보처리자는 1,000명 이상 유출, 민감정보·고유식별정보 유출, 시스템에 대한 외부 불법접근으로 인한 유출이 있으면 72시간 이내 신고해야 합니다.
 
신용정보회사 등 일부 금융권은 별도 기준과 신고기관이 적용될 수 있습니다.
 
해킹 사고 성격이면 정보통신망법상 침해사고 신고도 별도로 검토해야 합니다.
 
피해자 입장 -
 
본인 정보가 새어 나간 것 같다면 비밀번호 변경만으로 끝내지 마시고, 스팸·피싱·명의도용·간편 결제 이상 사용을 며칠간 집중 확인해야 합니다.
 
필요하면 통신사, 카드사, 은행, 포털 계정의 보안 알림을 모두 켜 두는 것이 더 좋습니다.
 
금전 피해가 발생했으면 즉시 금융기관과 경찰서에 신고를 병행해야 합니다.
 
실무 순서 -
 
① 유출 의심 시스템 분리 또는 접속 차단, ② 비밀번호·인증수단 즉시 변경, ③ 유출 범위와 원인 확보, ④ 피해 최소화 조치 시행, ⑤ 법정 통지·신고 여부 판단, ⑥ 2차 피해 모니터링과 재발 방지 대책 마련해야 합니다.

개인정보 유출 시 비밀번호 변경 순서 -

개인정보 유출 뒤에는 가장 중요한 계정부터 먼저 바꾸고, 그 다음 연동 계정과 금융 계정으로 확장하는 순서가 안전합니다.
 
핵심은 “유출된 비밀번호와 같은 비밀번호를 쓰는 곳” 부터 끊는 것입니다.
 
①가장 먼저 이메일 계정 비밀번호를 바꿉니다. 이메일은 다른 서비스의 본인인증, 비밀번호 재설정 링크를 받는 중심 계정이라 우선 보호해야 합니다. ②그다음 포털, 메신저, 클라우드, 쇼핑몰처럼 이메일로 로그인하거나 비밀번호 재설정이 가능한 계정을 바꿉니다. ③이어서 금융 계정, 간편결제, 카드사, 은행, 증권 계정의 비밀번호와 인증수단을 점검합니다. ④마지막으로 업무용 계정, 자주 쓰지 않는 계정, 같은 비밀번호를 재사용한 계정까지 모두 변경합니다.
 
같이 해야 할 것은 비밀번호만 바꾸지 마시고 2단계 인증을 켜고, 로그인 기록과 기기 목록에서 모르는 접속을 종료해야 합니다. 비밀번호를 바꿀 때는 다른 사이트와 중복되지 않는 새 비밀번호로 설정하는 것이 중요합니다. 가능하면 비밀번호 관리자 사용을 검토하면 계정별로 다른 비밀번호를 관리하기 쉽습니다.
 
주의할 점은 모든 계정을 무작정 동시에 바꾸기보다, 유출된 정보와 연결성이 더 큰 계정부터 처리하는 편이 효율적입니다. 특히 이메일, 메신저, 금융 계정은 우선순위를 높게 잡아야 합니다. 비밀번호를 바꾼 뒤에도 며칠간은 피싱 문자, 인증번호 요청, 이상 로그인 알림을 계속 확인해야 하기 때문입니다.
 
다시 말해 이메일 ▷메신저·포털·클라우드 ▷금융·결제 ▷기타 계정 순서가 가장 실무적입니다.
 
개인정보 유출 피해 신고 또는 고소할 때 고소장을 작성하기 어려운 분은 아래의 法사무소를 클릭하고 통합검색창에서 고소장을 클릭하고 '개인정보' 로 검색하시면 수많은 실제 개인정보 유출 피해사례별로 작성한 고소장 최신서식을 활용하여 내 사건에 맞게 컴퓨터에서 워드로 피해사실만 수정하는 식으로 작성해 경찰서에 제출하시면 됩니다.

 
法사무소
www.okfom.com 

https://www.okfom.com:443/

개인정보 유출 고소

가장 먼저 바꿔야 할 핵심 계정 -
 
가장 먼저 바꿔야 할 핵심 계정은 이메일 계정입니다.
 
이메일은 다른 서비스의 본인확인, 비밀번호 재설정 링크, 보안 알림이 모두 모이는 중심 계정이라, 여기부터 뚫리면 연쇄 피해가 더 커집니다.
 
즉 ①이메일 계정. 다른 계정 복구의 관문이라 최우선입니다. ②금융 계정. 은행, 카드, 증권, 간편 결제는 금전 피해와 직결됩니다. ③포털·메신저·클라우드. 이메일과 연동돼 있거나 인증을 대신하는 경우가 많습니다. ④비밀번호 재사용 계정. 유출된 비밀번호와 같은 비밀번호를 쓴 곳은 모두 바꿔야 합니다.
 
이메일이 먼저인 이유는 이메일 계정은 비밀번호 재설정 링크를 받는 통로라서, 이메일이 탈취되면 다른 계정도 순식간에 넘어갈 수 있습니다. 또 로그인 알림과 인증번호가 이메일로 가는 서비스가 많아, 이메일 보호가 전체 보안의 출발점입니다. 그래서 비밀번호 변경뿐 아니라 2단계 인증도 같이 켜는 것이 중요합니다.
 
바로 이어서 할 것은 이메일을 바꾼 직후에는 저장된 복구 이메일, 복구 전화번호, 보조 로그인 수단을 확인해야 합니다.
 
그 다음 금융 계정의 비밀번호와 인증수단을 점검하고, 로그인 기록에서 모르는 기기를 종료합니다. 같은 비밀번호를 쓴 다른 사이트가 있으면 즉시 연쇄 변경합니다.
 
예컨대 이메일 ▷금융 ▷포털·메신저·클라우드 ▷나머지 계정 순서가 가장 안전합니다.
 
개인정보 유출 후 계정별 위험도 구분 -
 
개인정보 유출 후 계정별 위험도는 보통 계정이 무엇과 연결돼 있는지, 그 계정으로 어디까지 들어갈 수 있는지, 비밀번호 재사용 여부, 2단계 인증 유무로 구분합니다. 한마디로, “그 계정이 다른 계정의 열쇠인지” 가 가장 중요합니다.
 
위험도 기준은 최상위 위험(이메일, 금융, 본인인증에 쓰이는 계정입니다. 이메일은 다른 계정 비밀번호 재설정과 인증 알림의 중심이라, 탈취되면 연쇄 피해가 큽니다. 금융 계정은 금전 피해로 바로 이어질 수 있습니다). 높은 위험(메신저, 포털, 클라우드, 쇼핑몰처럼 이메일 로그인이나 계정 복구에 연결된 서비스입니다. 여기에 저장된 연락처, 배송지, 결제수단도 2차 피해로 이어질 수 있습니다). 중간 위험(커뮤니티, 구독 서비스, 일반 웹사이트 계정입니다. 단독 피해는 상대적으로 작지만, 같은 비밀번호를 재사용했다면 위험도가 크게 올라갑니다). 낮은 위험(유출돼도 개인 식별성이나 금전성이 약한 계정입니다. 다만 프로필 정보, 전화번호, 주소가 들어 있으면 피싱 표적이 될 수 있어 완전히 안전하다고 보기는 어렵습니다).
 
실무상 판단하는 방법은 먼저 그 계정이 비밀번호 재설정의 관문인지를 봅니다.
 
이메일이 여기 해당하고, 그래서 가장 먼저 바꿔야 합니다. 다음으로 결제수단, 인증수단, 연락처, 주소록이 연결됐는지 확인합니다. 마지막으로 같은 비밀번호 재사용 여부를 보면, 원래 낮은 위험 계정도 갑자기 고위험이 될 수 있습니다.
 
예를 들어 쇼핑몰 계정이 유출됐더라도, 단순 주문내역만 있는 경우와 카드 정보, 저장된 주소, 이메일 로그인 연동이 있는 경우는 위험도가 다릅니다. 전자는 중간 정도로 볼 수 있지만, 후자는 금융·사칭 피해까지 이어질 수 있어 높은 위험으로 봐야 합니다.
 
우선순위를 정리하려면 ①이메일, ②은행·카드·증권·간편결제, ③메신저·포털·클라우드, ④비밀번호 재사용 계정, ⑤단독 웹사이트 계정 순입니다.
 
개인정보 누설 -
 
개인정보 누설은 말하자면 개인을 특정할 수 있는 정보를 본인의 동의 없이, 법령이 허용한 범위를 넘어서 제3자에게 알려 주거나 공개하는 행위를 의미합니다.
 
개인정보는 살아 있는 개인에 관한 정보로, 그 정보만으로 또는 다른 정보와 결합해 개인을 식별할 수 있는 정보를 의미합니다. 다시 말하자면 이름, 주민등록번호, 운전면허번호, 여권번호, 주소, 전화번호, 이메일, 계좌번호, 신용카드번호, 질병·치료·건강검진 정보, 범죄경력(피고인, 피해자 등), 온라인에서 식별 가능한 IP, 쿠키, 단말기 식별번호 등 이와 같이 개인을 특정할 수 있는 정보가 개인정보 “누설” 의 대상이 됩니다.
 
누설방식은 말로 알려주기, 카카오 톡·이메일·SNS 업로드, 파일 공유, 내부 서류·보고서 공개, 온라인 게시판에 실명·주소·호수 등 기재 등 어떤 방식으로든 제3자가 알 수 있게 하는 것이 개인정보 ‘누설’ 에 해당합니다.
 
개인정보 “누설” 과 “유출” 의 차이는 누설은 의도적·부정적으로 내부에서 정보를 밖으로 알려주는 행위, 이를테면 고객 개인정보를 경쟁사에 팔기 위해 돌려주기, 내부 직원이 SNS에 실명·주소 올리기  등이 이에 해당하고, 유출은 법령이나 자유로운 의사에 의하지 않고 시스템 해킹, 파일 분실, 관리 소홀 등으로 정보가 외부에 노출되는 경우 다시 말하자면 DB 해킹, 노트북 도난, 이메일 실수 발송 등이 이에 해당하고 둘 다 결국 제3자가 정보를 알 수 있게 되는 결과는 같지만,  행위의 의도·방식에서 차이가 있어, 형량·행정제재 판단에 반영될 수 있는 중요한 부분입니다.
 
개인정보 누설은 업무상 알게 된 개인정보를 본인 동의 없이, 법이 허용한 범위를 넘어서 제3자에게 알려주는 행위로, 형사·민사책임 모두가 동시에 발생할 수 있는 중대한 위반행위라고 볼 수 있습니다.
 
누설 사건에서 “내부 통제 미흡” 을 입증하는 것은 보통 민사·형사·행정 제재(개인정보 유출 대응)절차에서 핵심 공격·방어 포인트가 됩니다.
 
내부 통제 미흡이 입증되면, 전산·관리·절차상 과실이 인정되어 누설 가능성이 높다는 방향으로 판단이 이동하기 때문입니다.
 
내부 통제 미흡은 개인정보 보호법상 “내부 통제” 는 개인정보 보호 책임자·조직(개인정보 보호책임자, 내부 ‘개인정보 보호 컨트롤’ 담당자), 내부 관리·운영 규정(취급방침, 보안·접근통제 규정, 출입관리, 시스템 관리 지침), 인력관리·교육(입·퇴직 보안교육, 부정 이용·유출 금지 교육), 시스템·시설 보안(접근 권한, 로그, 암호화, 외부저장·보관 규정 등), 이 중에서 첫째, 규정이 없거나, 둘째, 규정이 있어도 실제 운영이 규정과 다르거나, 셋째, 감사·점검 기록이 전혀 없거나, 넷째, 반복 위반에 대한 조치 기록이 없음 등이 “내부 통제 미흡” 의 핵심으로 이해하시면 되겠습니다.
 
확보할 자료의 유형 -
 
누설 입증을 위해 내부통제미흡을 뒷받침하는 자료 -
 
①내부 규정·정책 문서 즉 개인정보 처리방침(개정 이력 포함), 개인정보 안전성 확보조치 기준 관련 내부 규정(접근통제, 외부저장·보관, 로그관리, 이메일·USB 사용 등), 조직도, 개인정보 보호담당 조직·역할 분담 규정, 출입관리·보안 관리 규정(물리적·전자적 출입통제), 이들 중에서 ‘실제 업무와 다른 규정’ 이거나, 아예 규정이 없던 부분이 있다면,  내부 통제 미흡으로 쟁점화 가능합니다.
 
②로그·시스템·운영 기록 즉 전산 로그(로그인·접근 기록, 파일 다운로드·이메일 발송, 외부 저장장치 사용, 외부 IP 접속 등), 백업·USB·이메일·클라우드 동기화 기록, 방문·출입 로그(관리자실, DB실, 서버실 등 물리적 출입 기록), 개인정보 처리·제공·위탁·제3자 제공 기록(대장·DB, 이메일, 계약서),  누설 경로가 의심되는 경우,  누가·언제·어떤 방식으로 접근·다운로드·발송했는지를 입증하는 데 핵심입니다. 로그가 없거나, 삭제·훼손된 정황이 있다면 내부 통제 미흡·악의적 조작 추정의 근거가 됩니다.
 
③교육·점검·감사 자료 즉 개인정보 보호·보안 관련 교육 이수 내역(참석자, 교육자료, 교육 횟수), 내부 감사·점검 보고서(개인정보 보호·보안 점검, 내부통제 점검), 외부 감사·컨설팅 결과(예: 외부 ISO 27001 감사, 보안 컨설팅 보고서), 과거 개인정보 유출·위반 사례에 대한 조치·개선 계획(개선계획서, 재발 방지 대책), 위 자료가 전무하거나, 형식적이거나, 지적사항에 대한 개선조치 기록이 없으면,  반복 위반·무대책 상태로 내부통제 미흡을 입증하는 데 훨씬 더 유리합니다.
 
④조직·인사·권한 관리 관련 자료 즉 부서·직책별 정보 접근 권한 정책 및 권한 설정 내역, 부분·퇴직자 권한 변경·삭제 기록, 인사관리 서류(입사·퇴사 시 보안교육·동의·인수인계 기록), 게시판·내부망·공유 드라이브에 개인정보를 그대로 공개한 기록, 예를 들어, 퇴직 직원 권한이 여전히 남아 있거나, 불필요한 직원에게 광범위한 권한이 부여되어 있었다면, 내부통제미흡으로 누설 가능성 증가로 연결되므로 유리합니다.
 
누설의 실제적 의미 -
 
개인정보 보호법상 ‘누설’ 은 이미 알고 있는 사람에게도 반복해서 알려주는 행위를 포함해서,  아직 그 정보를 알지 못하던 타인에게 알려주는 일체의 행위를 말합니다.
 
즉, 단순히 “말로 알려주는 것” 만 아니라 출력본, 이메일, 메신저, SNS, 카톡 등으로 전송, 파일·서류를 공유하거나, 공용 컴퓨터에 공개 저장, 고소·고발서, 자료제출, 내부 보고서 등에서 불필요하게 개인정보를 포함해 제출하는 경우를 말하고 핵심은 “본인의 동의 없이, 법령상 허용된 범위를 넘어 제3자에게 알려줌” 이라는 점입니다.

개인정보 누설 고소

 
법적 근거와 금지행위 -
 
개인정보 보호법(제59조)은 개인정보를 처리하거나 처리하였던 자에게 다음과 같은 행위를 금지합니다. 1.거짓·부정한 수단으로 개인정보를 취득하거나 동의를 받는 행위, 2.업무상 알게 된 개인정보를 누설하거나, 권한 없이 다른 사람이 이용하도록 제공하는 행위, 3.정당한 권한 없이 또는 허용된 권한을 초과하여 개인정보를 이용·훼손·멸실·변경·위조 또는 유출하는 행위, 이 중 제59조 제2호 ‘누설’ 이 바로 “개인정보 누설” 의 핵심 근거입니다.
 
누설 주체와 범위 -
 
개인정보를 처리하거나 처리하였던 자(개인정보 처리자), 그 직원·퇴직직원 등 업무상 알게 된 자, 공공기관 직원뿐 아니라 기업·단체·개인사업자 등 개인정보를 다루는 모든 처리자가 포함됩니다.
 
개인정보 누설의 “주체”, 즉 누설 행위를 할 수 있는 행위자는 법률상 여러 단계로 나뉘는데, 주로 개인정보를 처리하거나 처리해 온 자를 중심으로 규정됩니다. 개인정보보호법 제59조는 “개인정보를 처리하거나 처리하였던 자” 에 대해 업무상 알게 된 개인정보를 누설하거나 권한 없이 다른 사람에게 이용하게 제공하는 행위를 금지하고 있습니다.
 
이 “개인정보를 처리하거나 처리하였던 자” 는 개인정보처리자, 개인정보취급자, 그리고 개인정보 처리와 관련된 그 외 관련자(예를 들어 위탁 받은 자, 전산관리 담당자 등) 등이 모두 포함됩니다. 다시 말해서 단순히 회사 구성원이라는 사실보다 “개인정보를 처리한 적” 있는 자가 기본적인 누설 주체입니다.
 
개인정보 보호법상 개인정보처리자는 개인정보를 자기 명의로 처리하는 자, 이를테면 회사·공공기관·개인사업자 중 개인정보를 직접 수집·이용·제공·파기하는 주체를 말합니다. 개인정보처리자는 정보주체의 동의를 받거나, 법률상 정당한 사유(예컨대 법령상 의무, 계약상 필요 등)에 따라 개인정보를 처리할 자격과 책임을 지니는 존재입니다.
 
따라서 업무상 알게 된 개인정보를 권한 없이 외부에 제공하거나, 보호 조치를 하지 않아 무단으로 노출(이를테면 해킹·파일 실수 유출)시킨 경우 누설·유출 주체가 됩니다.
 
개인정보취급자「개인정보 보호법」제28조 제1항은 개인정보취급자를 별도로 규정하고 있습니다. 이는 개인정보처리자의 위탁을 받아 개인정보를 처리하는 자를 말합니다(예를 들어서 외주 업체, 하청 전산 담당자, 계약직 처리 담당자 등), 개인정보취급자도 업무상 알게 된 개인정보를 누설하거나, 권한 없이 제3자에게 제공, 또는 제공받은 목적 외로 사용하는 경우 개인정보보호법 제59조의 금지행위에 해당하여 누설 주체가 됩니다.
 
나머지 누설 가능 주체들에 대해서는 개인정보 제공받은 자(제3자), 개인정보처리자로부터 개인정보를 제공받은 자는, 제공받은 목적 외로 이용하거나 재제공하는 행위를 엄격히 제한받습니다(개인정보보호법 제19조), 이들이 원래 목적을 초과하여 이를 공유·유포하면, 제19조 위반과 함께 제59조 제2, 3호의 누설·제공 행위에 해당하여 누설 주체가 됩니다.
 
일반인(비처리자), 개인정보보호법 제70조·제71조는 개인정보를 처리하지 않던 일반인도, 거짓·부정한 수단으로 개인정보를 취득하거나, 정보주체의 동의 없이 이를 영리·부정한 목적으로 제3자에게 제공하는 경우에 대해 형사책임을 부과하고 있습니다. 이 경우에도 실질적으로 개인정보를 누설·제공한 자가 “누설 주체” 가 됩니다.
 
알고서 받은 자(필요 시), 법률상 “알면서도 영리·부정한 목적으로 개인정보를 제공받은 자” 도 동시에 처벌 대상이 됩니다. 다시 말하자면 직접 유출한 당사자뿐 아니라, 고의로 불법·부정한 경로로 개인정보를 받은 자도 누설·제공 행위의 연장선상에서 주체로 간주됩니다.
 
핵심기준은 “업무상 알게 된 개인정보” 인가에 대해서 대법원 판시에 따르면, 개인정보보호법 제59조 제2호의 “누설” 은 업무상 처리할 직무와 관련하여 알게 된 개인정보만 해당한다는 점이 중요합니다. 사적 영역에서 우연히 알게 된 정보의 유출은 형법 제307조 명예훼손 형법 제311조 모욕 또는 사문서위조·변조 등 다른 범죄 구조로 보는 경우가 많고, 개인정보보호법 제59조의 “누설” 주체는 업무상 알게 된 개인정보를 다루는 사람들에 한정됩니다.
 
개인정보 누설의 주체를 정리하면 개인정보처리자, 개인정보취급자, 개인정보 제공받은 자, 때로는 일반인(불법 취득·제공자) 및 고의로 제공받은 자 등이 모두 포함되며, 이들이 업무상 알게 된 개인정보를 정당한 권한·절차 없이 외부에 제공·공개하거나 부주의로 유출하는 경우가 이에 해당됩니다.
 
처벌과 형사책임 -
 
개인정보 보호법 제71조에 따르면, 제59조(금지행위)를 위반하면 5년 이하의 징역 또는 5,000만 원 이하의 벌금에 처할 수 있습니다.
 
개인정보 “누설” 은 아직 그 정보를 알지 못하던 타인에게 알려주는 모든 행위이고, 예컨대 수사기관에 고소·고발장을 제출할 때, 피의자나 피해자 정보를 포함해 제출하는 것도 “누설” 로 보는 경우가 있습니다. 다만,  법령에 따른 절차(예컨대 수사기관에 자료 제출, 법원에 서류 제출 등)에 따라 이루어진 경우, 구성을 만족하더라도 위법성이 조각될 수 있는지를 별도로 판단하여야 합니다.

개인정보 관련 처벌과 형사책임은 단순 경고나 과태료에 그치지 않고, 징역·벌금·과징금·과태료·손해배상 등 여러 계층으로 병과 될 수 있는 중대한 범죄 영역입니다.

개인정보 보호법 위반의 형사처벌 구조는 개인정보보호법은 “개인정보 처리에 대한 금지행위” 와 “안전조치 의무 위반” 을 별도로 두고, 각각에 대해 형사처벌(벌칙·과징금)과 행정적 제재를 규정하고 있습니다.
 
형사처벌은 법원을 통해 징역·벌금이 선고되고, 행정적 제재는 과징금·과태료·시정명령·사업정지 등, 민사책임은 정보주체에 대한 손해배상 청구 이 세 가지가 중복·병과될 수 있어, 한 사건에서 형사사건 + 행정제재 + 민사배상이 동시에 진행되는 경우가 많이 있습니다.
 
핵심 범죄유형과 형사처벌 기준은 첫째, 개인정보 보호법 제59조 위반(금지행위) 개인정보 보호법 제59조는 업무상 알게 된 개인정보를 누설하거나 권한 없이 제3자에게 제공하는 행위, 법률·동의·정당한 사유 없이 개인정보를 무단 수집·제공·누설·판매하는 행위, 이를 위반하면 5년 이하의 징역 또는 5,000만 원 이하의 벌금에 처할 수 있습니다. 적용 대상은 개인정보처리자, 개인정보취급자, 정보주체의 동의 없이 개인정보를 불법적으로 제공받은 자 등도 형사처벌 대상이 될 수 있습니다.
 
개인정보 보호법 제71조(벌칙) 제71조는 개인정보 보호법 전반의 중대 위반에 대해 형사처벌을 규정합니다. 무단 제공·누설 즉 정보주체의 동의 없이 민감정보·고유식별정보 등을 제공·누설하는 경우, 영리·부정 목적 제공: 정보주체가 동의한 업무 범위를 넘어 영리·부정한 목적으로 제3자에게 제공하는 경우, 고의·반복적 위반은 즉 다수의 정보주체, 민감·고유식별정보를 다수 유출, 또는 반복적 위반  등 이 경우 5년 이하의 징역 또는 5,000만 원 이하의 벌금이 일반 기준이며, 상황에 따라 고의성·반복성· 피해 규모가 가중요인으로 작용합니다.
 
개인정보 보호법 제72조(벌칙) 제72조는 부정한 방법으로 개인정보를 취득·이용, 또는 거짓·부정한 방법으로 동의를 받는 행위에 대해 규정합니다. 예를 들어 설문·이벤트·경품 등 허위 사유로 정보를 수집, 장치·설정을 통해 사용자 동의 없이 개인정보를 수집하는 행위 위반 시 3년 이하의 징역 또는 3,000만 원 이하의 벌금이 가능합니다.
 
안전조치 의무 위반과 형사책임은 개인정보 보호법은 개인정보처리자에게 안전조치 의무를 부과하고, 이를 고의·중대한 과실로 위반해 개인정보침해가 발생하면 형사처벌을 할 수 있도록 규정합니다. 이를테면 보안 프로그램 미설치, 접근 권한 통제 미실시, 전산보안 점검 미실시 등으로 업무상 필요한 수준의 보호조치를 고의·중대한 과실로 하지 않은 경우 이 경우 3년 이하의 징역 또는 3,000만 원 이하의 벌금이 가능하고, 기업이 대상이면 대표자·실무담당자 모두 피의자로 입건될 수 있습니다.
 
실무에서는, 단순 보안 미흡이 아니라, 상당한 과실이 있는지, 사고 가능성을 예견할 수 있었는지 등을 중요 쟁점으로 삼습니다.
 
형사처벌의 구체적 요소(구성요건) 형사처벌이 성립하려면, 개인정보 존재성, 성명·주민번호·영상·위치정보 등 개인을 식별할 수 있는 정보이어야 합니다. 불법성 정보주체의 동의 없음, 법령상 정당한 사유(예컨대 수사·법령상 의무) 없음, 제공 목적·방법이 동의범위를 넘음 등 행위 형태는 무단 수집·저장, 무단 제공·누설·판매, 부주의로 인한 유출(말하자면 파일 미 삭제, 보안 미 설정, 해킹 방지 미조치) 등도 포함합니다. 고의·과실은 고의적 유출이면 가장 중하게 처벌되며, 과실 유출이라도 형사책임이 인정될 수 있으나, 고의·무과실 입증 여부에 따라 면책 또는 형량 감경 가능합니다.
 
높은 형량·가중처벌 요인으로는 형사처벌 수위는 유출 정보의 성격 민감정보(성생활·정치적 성향·건강·유전정보 등), 고유식별정보(주민번호 등)일수록 중한 처벌, 유출 규모, 수천 명 이상 정보주체, 다수의 개인정보 유출 시, 반복·반복적 위반 과거에 동일 혹은 유사 위반이 있었던 경우, 영리·부정 목적 정보를 스토킹·사기·명예훼손·사적 감시 등에 이용한 경우, 고의·악의적 설계 사전에 계획·설계된 정보 수집·유출, 이러한 경우 실무에서 징역형 선고, 또는 벌금형 상한 근접 수준이 나오는 사례가 많습니다.
 
과징금·과태료와 형사처벌의 병과는 개인정보보호법 위반은 형사처벌만이 아니라 행정처분도 함께 됩니다. 과징금 기업·단체 대상으로 부과되는 재산적 제재로, 매출액·위반 정도에 따라 수천만 원～수억 원 수준까지 부과될 수 있습니다. 과태료 특정 위반행위(예를 들어 72시간 이내 유출 신고 미 이행 등)에 대해 개인·법인 모두 최대 3,000만 원 이하 과태료 가능, 또한, 정보주체들은 형사고소 고발 외에 민사소송을 통해 정신적·재산적 손해배상을 청구할 수 있고, 판례에 따라 위자료·이자·손해의 전부를 청구하는 사례도 늘고 있습니다.
 
개인정보 관련 형사책임은 제59조·제71조·제72조 위반에 따라 징역·벌금이 가능하며, 고의·반복·대규모·민감정보 유출일수록 형량이 높아지고 과징금·과태료·손해배상이 병과되는 중대한 범죄영역입니다. 실무적으로는, 고의 여부·안전조치 이행 여부·유출 범위가 핵심 쟁점이 되고 있습니다.

개인정보 유출 형사고소 방법

 
개인이 피해를 입었을 때의 대응 -

 
개인정보 누설로 인해 명예훼손, 성격권 침해, 피해 연쇄(사이버·신종사기 등)가 발생했다면 행정·민사적 구제에는 개인정보보호위원회에 침해사실 신고, 손해배상청구(민사소송 또는 조정절차), 형사책임에는 개인정보 보호법 위반으로 고소·고발 동시에 개인정보를 이용한 명예훼손, 협박, 사기 등 다른 범죄가 있다면 병행 형사고소할 수 있습니다.
 
개인이 개인정보를 침해·유출 당했을 때는 단순히 “참고 넘어가는” 것이 아니라, 즉시 피해 확산 방지 ▷증거 수집 ▷기관 신고 ▷법적·금전적 구제까지 단계별로 적극적으로 대응하는 것이 매우 중요합니다.
 
즉시 피해 확산 방지(초기 대응)가 중요합니다.
 
개인정보가 유출·악용된 정황이 보이면, 2차 피해(금융사기·명예훼손·스토킹·사칭범죄 등)를 줄이기 위한 조치가 가장 먼저입니다.
 
온라인 계정·비밀번호 변경, 이메일, SNS, 포털, 쇼핑몰 계정의 비밀번호를 즉시 변경하고, 가능하면 다른 계정과 동일한 비밀번호는 사용하지 않도록 재설정해야 합니다.

금융·통신 관련 대응은 은행·신용카드사에 전화해 계좌·카드 사용정지·출금·결제 제한 조치를 요청합니다.
 
통신사 고객센터에 연락해 명의도용·부가서비스 가입 방지·사기전화 차단을 요청합니다.
 
로그인·기기 점검을 하시고 로그인하지 않은 장소에서 접속 기록이 있는지 확인하고, 필요 시 기기 초기화·백신 검사·보안 업데이트를 실시하여야 합니다.

어디에서·어떤 정보가 유출되었는지 확인하여야 합니다.
 
개인정보 유출은 단일 사건이 아니라, 여러 경로(해킹·내부자 유출·메일 오 발송 등)에서 발생할 수 있어, 유출 경로와 정보 범위를 최대한 좁히는 것이 더 중요합니다.
 
관련 기관·서비스의 공지 확인, 개인정보유출을 공지한 해당 기업·서비스의 홈페이지·앱 공지·문자·이메일을 확인하여야 합니다.
 
개인정보유출 확인 서비스 활용하여 정부·기관이 운영하는 “털린 내 정보 찾기” 서비스 등을 통해 본인 정보(아이디·이메일·휴대폰번호 등)가 유출된 이력이 있는지 조회합니다.
 
스팸·이상 이메일·이용내역 확인 가입하지 않은 서비스에서 온 메일, 원치 않은 서비스 가입·쿠폰·이메일 발송, 낯선 곳에서의 결제·로그인 알림 등을 통해 유출 추정 경로를 파악하여야 합니다.
 
개인정보처리자(기업·기관)에 통지·요청하여야 합니다.
 
개인정보보호법상 개인정보처리자는 유출 사실을 알게 되면 72시간 이내 정보주체에게 통지해야 하며, 통지를 받지 못했다면 개인도 적극적으로 요구할 수 있습니다.
 
요청 내용은 유출 경위·대상 정보(주민번호·계좌·이메일 등)·대상 인원 규모에 대한 설명 보안 강화·추가 유출 방지 대책, 무료 모니터링·보안 강화 서비스(예컨대 신용정보 모니터링, 비밀번호 관리 서비스 등) 제공 요청은 서면 요청(이메일·우편), 통화보다 이메일·우편 등 문서화된 형식으로 요구하면 이후 손해배상·기관 신고·소송 증거로도 활용이 가능합니다.
 
증거 수집·보존(법적 대응을 위한 핵심)은 나중에 형사고발·소송·분쟁조정·피해보상 신청을 하려면, 유출 사실과 피해 사이의 인과관계를 입증하는 자료가 반드시 필요합니다.
 
이메일·문자·페이스북·카카오톡 대화  등 정보 유출·악용 정황이 담긴 메시지·이메일·DM·댓글·사진 등을 스크린샷·PDF 저장합니다.
 
금전적 피해 증거, 카드·계좌 이상 거래 내역, 사기·불법 결제 관련 영수증·거래명세서·은행 확인서, 기업·기관 관련 자료, 개인정보처리자로부터 받은 유출 안내문·문자·이메일·공지, 본인이 통지 요청·대응 요구를 한 이메일·우편 발송 기록, 가능하면 날짜·시간·상대방(웹사이트·사업자명)을 명확히 남기는 것이 더 좋습니다.
 
행정·사법 기관에 신고하는 것도 좋습니다.
 
개인정보 침해는 행정(개인정보보호위원회·KISA 등)과 사법(개인정보 보호법 사건의 수사권은 경찰에 있습니다)에 모두 신고할 수 있는 구조입니다. 개인정보보호위원회·KISA에 신고, 개인정보침해신고센터(한국인터넷진흥원 KISA) 웹사이트(boho.or.kr) 또는 전화·모바일앱으로 개인정보 침해 신고를 접수할 수 있습니다.
 
개인정보보호위원회 유출신고는 개인정보보호위원회 홈페이지에서 개인정보처리자에 의한 침해·유출·누설 신고를 접수할 수 있습니다. 이러한 기관들은 침해 사실 조사, 사업자에 대한 제재·시정명령, 분쟁조정·피해구제 절차 안내 등을 수행합니다.
 
개인정보 보호법의 수사권이 있는 경찰·사이버수사대에 신고할 수 있습니다.
 
개인정보 유출이 사기·불법감시·명예훼손·성적 유출·스토킹 등 형사범죄로 연결되었다면, 관할 경찰서 또는 사이버수사대(182 사이버수사대·경찰청 사이버수사대)에 수사요청을 합니다.
 
이 경우 개인정보 유출 범죄(개인정보보호법 위반), 사기·명예훼손·모욕·통신매체이용음란·불법촬영물 유포 등 다른 형사범죄가 병과 될 수 있습니다.
 
금융·소득 관련 피해 시 추가 기관 금융사기·계좌·카드 사기 피해 은행·카드사 외에 금융감독원(1332)에 신고·조정신청 가능합니다.
 
신용정보 유출 신용정보회사·금융위원회로 피해 신고·조정 요청도 가능합니다.

민사적으로 구제받을 수 있습니다.
 
손해배상·분쟁조정 개인정보 유출로 인해 정신적·재산적 피해가 발생한 경우, 개인정보처리자에 대한 손해배상 청구가 가능합니다.

개인정보분쟁조정위원회(중재·조정)는 개인정보보호법상 개인정보분쟁조정위원회에 분쟁조정 신청이 가능합니다. 조정 절차를 통해 위자료·손해배상액, 사과·삭제·개인정보 삭제·이용중단 등의 조정안을 받을 수도 있습니다.
 
조정이 성립하면, 그 조정안은 법적 효력이 있으며, 사업자가 이행하지 않으면 인용·강제집행까지 가능합니다.
 
민사소송 통한 손해배상청구는 조정이 불가능하거나 수용하기 어려운 경우에는, 지방법원에 손해배상청구소송을 제기할 수 있습니다. 청구 항목에는 정신적 손해(위자료), 금융·사기 피해 환급, 변호사·소송실비(법무사·변호사 비용), 기타 추가비용(예를 들어 보안점검·모니터링 비용 등) 단, 증거(유출 경로·피해 발생·금액·정신적 충격)와 개인정보 처리자의 과실·위법성을 입증하는 것이 핵심 쟁점이 되므로 관련 증거를 철저히 준비하여야 합니다.
 
형사 고소·고발을 하여 형사처벌 요구를 할 수 있습니다.
 
개인정보 유출이 고의성·반복성·악용 정황이 분명한 경우 경찰에 고소·고발을 통해 개인정보보호법 위반·사기·명예훼손 등 형사처벌을 요구할 수 있습니다.

형사소추가 가능한 법령주요 조항은 개인정보 보호법 제59조, 제71조, 제72조(불법 수집·제공·누설·안전조치 의무 위반), 형법 제307조 명예훼손, 형법 제311조 모욕죄, 통신매체를 이용한 성폭력범죄의 처벌 등에 관한 특례법 제13조에 규정된 통신매체를 이용한 음란행위(통신매체이용음란죄), 형법 제347조 사기죄 등 연계 범죄, 고발·고소 시 필요 서류 유출·악용 정황 증거(스크린샷·이메일·문자·거래내역), 피해 금액·정신적 영향 설명(의사소견·심리상담 기록 등이 있으면 유리), 피의자(개인정보처리자·개별 유출자)의 행위와 과실·고의에 대한 설명하면 됩니다.

피해 이후의 예방·재발 방지는 한 번 유출된 정보는 완전히 “회수” 하기 어렵기 때문에, 피해 후 재발·2차 피해 방지를 위한 장기 전략도 필요합니다.
 
비밀번호·보안 설정 점검. 이중 인증(2FA), 복잡한 비밀번호, 정기적 비밀번호 변경 등 강화, 개인정보 최소 수집·제공 원칙, 불필요한 서비스 가입·개인정보 제출을 최소화하고, 개인정보 사용이 의심스러운 서비스는 가입·제출을 중단, 개인정보 삭제·동의 철회 요청 더 이상 이용하지 않는 서비스에서 개인정보 삭제·동의 철회를 요청합니다.
 
고객센터·개인정보 보호 정책 안내에 따라 삭제 요청을 서면으로 할 수 있습니다.
 

개인정보 유출 신고 고소방법

 
개인정보 유출 형사고소 -

 
어떤 상황에서 형사고소가 가능한지 -
 
개인정보 유출에 대한 형사고소는 보통 다음 행위에 해당할 때 가능합니다.
 
개인정보 보호법 제59조, 제71조, 제72조 위반, 업무상 알게 된 개인정보를권한 없이 제3자에게 제공하거나 누설, 영리·부정한 목적·동의 없이 무단 수집·제공·판매, 정보통신망 이용촉진 및 정보보호 등에 관한 법률, 형법 등과 병과, 유출된 정보로 사기·컴퓨터사용사기·명예훼손·모욕·통신매체이용음란 등을 한 경우 이렇게 되면 개인정보보호법 위반+다른 형사범죄가 병과되어 형사고소 대상이 됩니다.
 
고소 전 반드시 체크해야 할 사항 -
 
형사고소를 하기 전에 확인·준비해야 합니다. 피해 사실과 유출 경로 파악, 어떤 정보가 누가·어디서·어떤 방식으로 유출되었는지(예를 들어 기업·직원·SNS·직장 메신저 등)를 최대한 구체화해야 합니다. 개인정보 유출 여부 입증 개인정보보호법 위반이 성립하려면 개인을 식별할 수 있는 정보가 유출되었어야만 합니다(이름·전화번호·이메일·주민번호·영상·위치정보 등), 피해와 유출의 인과관계 유출 이후 금융사기·명예훼손·스토킹·성적 유출 등 실제 피해가 발생했다면, 그 연결을 입증할 수 있는지 여부를 확인합니다. 이 단계에서 증거(스크린샷·이메일·문자·거래내역·공지·대화내용 등)를 정리해 두는 것이 매우 중요합니다.
 
고소·고발 중 어떤 형태로 할 것인지 결정 -
 
개인정보 유출 사건에서는 고소와 고발 방식을 혼동하기 쉬운데, 구분이 필요합니다.
 
고소는 피해자 본인이 직접 가해자를 특정해 수사기관에 형사책임을 묻는 의사를 표시, 피해자 신분이 명확한 경우(개인정보 유출로 명예훼손·사기 피해자가 됩니다)에 흔히 사용합니다.
 
고발은 피해자·제3자 모두가 법률상 의무가 있는 경우(예를 들어 직원·공무원 등)에 위법행위를 공익 차원에서 수사기관에 통지하는 것입니다.
 
개인정보 유출 피해자라면 일반적으로 “고소” 형태로 진행하는 경우가 가장 많습니다.
 
관할 수사기관 선택 및 고소장 접수 -

개인정보 유출 형사고소는 수사권이 경찰에 있습니다.

피고소인의 주소지를 관할하는 경찰서에 고소장을 제출하여야 합니다.
 
우선 경찰서(사이버수사대) 전화, 문자, SNS, 이메일, 웹사이트 등 통신매체·온라인 경로에서 개인정보가 유출된 경우, 피고소인의 주소지를 관할하는 경찰서 의 사이버수사대(182)에 신고·접수하여야 합니다. 고소장 접수 방법은, 피해자 본인이 경찰서에 직접 방문하거나 우편으로 고소장을 발송해도 고소장이 접수가 됩니다.

고소장 기본 구조 -
 
고소인(피해자), 피고소인(개인·기업·직원 등)의 이름, 주소, 연락처, 사실관계 서술 이를테면 언제, 어디서, 어떤 개인정보가 누출되었는지, 유출 경로(직원의 메일 오발송, SNS 게시, 사내 파일 유출, 웹사이트 해킹 등), 유출 이후 피해(금융사기·명예훼손·스토킹 등)를 객관적으로 기술하고 법률조문은 개인정보 보호법 제59조, 제71조, 제72조, 형법 제307조(명예훼손), 사기죄  등, 증거 목록 첨부, 이메일·문자·카톡 대화, 계좌·카드 내역, 공지·웹사이트 캡처 등, 파일명·날짜·설명을 함께 첨부하면 수사에 도움이 됩니다.
 
고소 이후의 수사 진행 -
 
개인정보 유출 고소장이 피고소인의 주소지를 관할하는 경찰서에 접수되면 수사를 담당하는 사법경찰관은 피고소인 식별과 조사, 피고소인(개인·직원·기업 실무담당자 등)을 특정해 출석요구·서면조사·내부자 조사·디지털 포렌식 등을 실시, 내부·기업 조사, 개인정보처리자(기업·기관)에 대해 보안조치 이행 여부, 개인정보 보호 담당자·내부 규정·로그·접근 권한 현황 등을 조사합니다. 사법경찰관이 수사한 결과 피의자에 대한 범죄혐의 인정된다고 판단하면 2026. 10. 2.검찰청이 폐지되기 전까지는 검사에게 2026. 10. 2.이후부터는 법무부 산하에 새로 신설되는 공소청의 공소관에게 기소의견으로 송치하고 피의자에 대한 범죄혐의 인정되지 않는다고 판단하면 불송치(경찰의 수사와 판단만으로 기소의견으로 송치하지 아니하고 경찰에서 자체적으로 사건을 종결한다는 뜻입니다)결정을 할 수 있습니다.
 
검사나 공소관은 피의자에 대해 범죄혐의 인정되면 공소를 제기하고 피의자에 대한 범죄혐의 인정되지 않는다고 판단하면 불기소처분을 할 수 있고 불기소처분을 통지받은 고소인은 30일 이내에 그 검사 소속 지방검찰청이나 지청을 경유하여 관할 고등검찰청 검사장에게 항고할 수 있고, 2026. 10. 2.이후부터는 공소청의 공소관이 불기소처분을 할 수 있고 불기소처분을 통지받은 고소인은 30일 이내에 그 공소관 소속 지역공소청이나 지역공소청지청을 경유하여 관할 광역 공소청장에게 항고할 수 있습니다.
 
사법경찰관이 한 불송치 결정에 대해 고소인은 그 사법경찰관 소속 관서의 장(경찰서장)에게 이의신청을 할 수 있습니다. 이의신청을 받은 사법경찰관은 지체 없이 2026. 10. 2.까지는 검사, 2026. 10. 2.이후부터는 행정안전부 산하에 새로 생긴 중대범죄수사청의 수사관에게 송부하여야 하고 검사나 중대범죄수사청의 수사관은 사법경찰관이 한 불송치 결정이 위법 또는 부당한 때는 90일 내에 재수사 요청 여부를 판단하여야 하고 수사기록에 의하여 기소하는 것이 맞다고 판단할 때는 검사는 기소를 할 수 있고 중대범죄수사청의 수사관은 공소청에 기소의견으로 송치할 수 있습니다.
 
형사재판 단계 -
 
검사나 공소관이 개인정보 유출 고소사건을 유죄로 인정하여 법원으로 공소를 제기한 경우 법원의 형사재판에서는 개인정보의 유출 경로, 고의·과실 유무, 피해정도, 피고소인의 범행 전력·변소·배상·반성 여부 등을 고려해 형량이 결정되고 판결이 선고됩니다.
 
개인정보 유출 형사재판은, 단순한 실수 사고인지 아니면 개인정보 보호법에서 금지한 수집·이용·제공·누설 행위인지가 핵심 쟁점입니다. 개인정보보호법 위반으로 경찰에서 2026. 10. 2.검찰청에 폐지되기 전까지 검찰청에 2026. 10. 2.이후부터는 법무부 산하에 새로 신설되는 공소청에 기소의견으로 송치되면 검사나 공소관이 유죄로 인정하고 기소하면 피고인은 형사재판에서 개인정보가 “동의가 있었는지”, “목적 외 이용인지”, “외부 제공이나 누설이 있었는지”, “고의가 있었는지”를 중심으로 다투게 됩니다.
 
개인정보를 동의 없이 수집하거나, 수집 목적과 다르게 사용하거나, 제3자에게 넘기거나, 업무상 알게 된 정보를 외부로 유출하면 형사처벌 대상이 될 수 있습니다. 내부 직원이 한 행위라도 회사가 관리·감독 의무와 보호조치를 소홀히 했다면 기업도 책임 문제에서 자유롭지 않을 수 있습니다.
 
법원은 형사재판에서 보통 다음을 봅니다. 정보주체의 동의가 있었는지, 유출된 정보가 개인정보에 해당하는지, 실제로 외부에 전달되었는지, 단순 열람에 그쳤는지, 피고인이 고의로 했는지, 과실인지, 회사나 기관이 암호화, 접근통제, 교육, 내부통제를 충분히 했는지 보통은 고소·고발이나 수사기관 인지로 시작해, 압수수색·포렌식·진술조사를 거친 뒤 기소 여부가 정해집니다. 기소가 되면 형사재판에서는 로그기록, 메일, 메신저, CCTV, 접근권한 기록, 내부 규정, 개인정보 처리 동의서 같은 자료가 더욱 중요해집니다. 피고인은 동의서 존재, 정당한 업무 목적, 유출 의도 부재, 접근 범위의 정당성 등을 주장하면서 방어합니다.

유출 규모가 크거나 민감정보가 포함되면 처벌이 무거워질 수 있고, 반대로 피해 회복, 합의, 재발방지 대책, 신속한 신고·통지, 내부통제 개선은 양형에 유리하게 작용할 수 있습니다. 실무에서는 무리하게 무죄만 주장하기보다, 증거를 정리하고 피해 확산을 막으며 합의와 방어 논리를 함께 준비하는 경우가 많습니다.

개인정보 유출은 형사재판과 별개로 피해자는 민사상 손해배상도 청구할 수 있습니다. 최근에는 실제 손해액 입증이 어려운 경우에도 법정손해배상 제도가 활용되고, 유출 사실과 피해 범위를 둘러싼 다툼이 함께 진행되는 일이 많은 편입니다.
 
개인정보 유출 형사고소 요건 -
 
개인정보 유출로 형사고소(형사처벌을 구하는 고소)를 하려면, 먼저 유출 행위와 책임자·위법성·인과관계 등을 입증할 수 있는 구체적인 사실·증거가 필요하며, 적용 가능한 형사법 조항(개인정보보호법, 정보통신망법, 사기·업무상배임·업무상과실 등)을 정리해 고소장에 기재하여야 합니다.
 
개인정보 유출 고소요건은, 누구의 개인정보가 어떤 방식으로 외부에 나갔는지, 그리고 그 유출이 동의 없이 또는 법적 근거 없이 이루어졌는지를 구체적으로 적시하고 입증할 수 있어야 효과적입니다. 실무에서는 유출행위의 존재, 책임자 특정, 위법성, 피해 발생 또는 발생 가능성을 함께 정리해야 고소의 완성도가 더 높아집니다.
 
개인정보는 이름, 연락처, 주민등록번호, 사진, 계좌정보, 민감정보처럼 특정 개인을 식별할 수 있는 정보여야 합니다. 개인정보가 처리자의 관리·통제권을 벗어나 제3자가 알 수 있는 상태가 되어야만 합니다. 단순한 내부 열람만으로는 부족하고, 외부 전송·공개·무단 제공 같은 사정이 있으면 유출로 보기 쉽고 처벌할 수 있습니다.
 
개인정보를 정보주체의 동의 없이 제3자에게 제공했거나, 목적 외로 사용했거나, 관리상 부주의로 외부 노출이 발생한 경우가 문제됩니다. 누가 유출했는지, 또는 누가 관리 의무를 다하지 않았는지 특정하시면 고소가 더욱 강해집니다. 내부자, 퇴사자, 외부 수신자 등 주체가 드러나면 더 좋습니다. 일부 사안은 고의가 중요하고, 일부는 과실만으로도 책임이 문제됩니다. 따라서 “알면서도 제공했다” 또는 “필요한 보안조치를 다하지 않았다” 는 점을 함께 고소장에 적는 것이 좋습니다.

고소장에는 “개인정보가 유출되었다” 라는 결론만 쓰기보다, 언제, 어떤 정보가, 어떤 경로로, 누구에 의해, 어떤 결과를 낳았는지를 시간 순으로 적는 것이 매우 중요합니다. 다시 말하자면 “연월일 몇 시경 고객 명단이 외부 메일로 전송되었고, 이후 스팸·피싱이 급증했다” 이처럼 사실관계를 적어야 개인정보 유출 고소사건의 수사권이 있는 피고소인의 주소지를 관할하는 경찰서의 수사관이 유출 가능성을 판단하기 쉽습니다. 또한 피해 통지 여부, 유출 규모, 피해 최소화 조치까지 고소장에 적으면 사건의 신빙성이 더 높아집니다. 외부 유출이 아니라면 고소가 약해질 수 있습니다. 다만 그 자료가 복사되거나 외부 계정으로 전송되었다면 유출로 이어질 수 있습니다. 스크린샷, 통지문, 피해자의 2차 피해, 주변 정황으로도 입증을 시도할 수 있습니다. 만약 1,000천 명 이상, 민감정보, 고유식별정보, 외부의 불법 접근이 있으면 유출신고 대상이 될 수 있습니다.
 
결국 개인정보 유출 고소요건은 개인정보가 보호범위를 벗어나 제3자가 알 수 있는 상태가 되었는지, 그리고 그 원인이 누구의 위법한 행위 또는 부주의인지를 구체적으로 보여주는 것입니다. 고소를 준비하는 단계에서는 사실관계가 더 중요하므로, 고소를 준비할 때는 유출된 정보의 종류, 발견 경위, 피해 발생 시점, 상대방의 관여 정황을 먼저 정리하는 것이 훨씬 더 좋습니다.
 

개인정보 유출 누설 형사고소 방법

개인정보 유출 고소장 -

 

개인정보 유출 고소장 최신서식 이미지