[Q&A] 퇴직자가 고객 연락처를 개인 이메일로 전송했다면 개인정보보호법 위반이 될까요?

상담 사연

퇴사한 직원이 회사 고객명단을 개인 이메일로 전송한 사실을 확인했습니다. 이후 일부 고객에게 별도로 연락한 정황도 있습니다. 고객정보 반출을 이유로 법적 책임을 물을 수 있을까요?

퇴직자가 업무상 취득한 고객정보를 회사의 허락 없이 개인적으로 반출하거나 이용했다면 개인정보보호법 위반, 비밀유지의무 위반 또는 부정경쟁방지법상 책임이 문제될 수 있습니다. 특히 고객의 성명과 연락처 등 개인을 식별할 수 있는 정보가 포함되어 있다면 개인정보 보호에 관한 법적 의무를 함께 검토해야 합니다.

다만 퇴직자가 고객과 연락했다는 사실만으로 고객정보의 불법 반출이 확정되는 것은 아닙니다. 고객정보의 취득 경위와 관리 방식, 반출 목적 및 실제 이용 여부를 확인하고, 개인정보 침해와 영업비밀 침해, 계약상 비밀유지의무 위반을 구분하여 판단해야 합니다.

목차

1.  퇴직자 고객정보 반출의 법적 책임 판단 기준

2.  고객명단 반출과 개인정보보호법 위반 여부

3.  퇴사 후 고객 연락과 영업비밀 침해의 차이

4.  고객정보 반출 증거 확보와 회사의 대응 절차

5.  퇴직자 손해배상과 형사책임 및 많이 묻는 질문

1. 퇴직자 고객정보 반출은 정보의 성격과 취득 경위를 먼저 확인해야 합니다

회사는 거래처 관리와 고객 응대 과정에서 성명, 전화번호, 이메일, 거래이력 등 다양한 정보를 보유하게 됩니다. 이러한 정보에 접근할 권한이 있었던 직원이라도 퇴직 후 개인적인 목적으로 자유롭게 이용할 수 있는 것은 아닙니다.

퇴직자 고객정보 반출의 책임을 판단하려면 정보가 개인정보에 해당하는지, 회사의 비공개 영업정보인지, 직원이 어떤 권한으로 취득했으며 어떠한 목적으로 반출했는지를 구분해야 합니다. 같은 고객명단이라도 정보의 성격과 관리 상황에 따라 적용되는 법률이 달라질 수 있습니다.

1    개인정보 해당 여부는 고객의 성명, 연락처, 이메일 등으로 특정 개인을 알아볼 수 있는지를 확인하는 문제입니다. 개인을 식별할 수 있는 정보라면 개인정보보호법상 보호 대상이 될 수 있습니다.

2    직원의 업무상 접근 권한은 고객정보를 열람하거나 관리할 수 있었던 범위와 목적을 확인하는 요소입니다. 업무상 접근이 허용되었다는 사정만으로 개인적인 복제나 외부 이용까지 허용되는 것은 아닙니다.

3    반출과 이용의 구체적인 경위는 자료를 개인 이메일이나 저장장치로 옮긴 이유와 퇴사 이후 활용 여부를 살펴보는 단계입니다. 회사 승인 여부와 반출 당시 상황을 함께 검토해야 합니다.

2. 고객 연락처를 개인적으로 반출했다면 개인정보보호법 위반이 문제될 수 있습니다

개인정보 보호법 제59조는 개인정보를 처리하거나 처리하였던 사람이 업무상 알게 된 개인정보를 누설하거나 권한 없이 다른 사람에게 제공하는 행위 등을 금지하고 있습니다. 또한 정당한 권한 없이 또는 허용된 권한을 초과하여 다른 사람의 개인정보를 유출하는 행위도 금지 대상입니다.

따라서 퇴직자가 회사에서 관리하던 고객 연락처를 개인 이메일로 전송하거나 외부로 가져갔다면 반출 행위의 구체적인 내용과 권한 범위를 확인해야 합니다. 업무상 정보를 열람할 수 있었다는 이유만으로 퇴사 후 개인적인 영업활동에 이용할 권한까지 인정되는 것은 아닙니다.

고객정보를 경쟁업체에 전달했다면 개인정보의 제3자 제공과 목적 외 이용에 관한 규정도 검토할 수 있습니다. 개인정보 보호법 제17조와 제18조는 개인정보 제공 및 목적 외 이용·제공에 관하여 법률상 요건과 제한을 규정하고 있습니다.

다만 모든 고객정보 반출이 곧바로 동일한 형사범죄로 인정되는 것은 아닙니다. 정보의 종류와 취득 경위, 실제 반출 방식, 제3자 제공 여부 및 법률상 금지행위의 구성요건을 구체적으로 확인해야 합니다.

•  퇴사 직전 고객 연락처를 개인 이메일이나 클라우드로 대량 전송한 경우

•  회사 승인 없이 고객정보를 개인 저장장치에 복사하여 보관한 경우

•  업무상 취득한 고객 연락처를 경쟁업체나 제3자에게 전달한 경우

•  퇴직 후 고객정보를 이용해 별도의 영업활동이나 홍보를 진행한 정황이 있는 경우

3. 퇴사 후 기존 고객에게 연락했다고 해서 영업비밀 침해가 자동으로 성립하지는 않습니다

퇴직자가 이전 직장에서 거래하던 고객과 연락하거나 새로운 계약을 체결했다는 사정만으로 불법행위를 단정할 수는 없습니다. 중요한 것은 해당 고객정보를 어떻게 확보했으며 회사의 보호 대상 자료를 부정하게 사용했는지입니다.

부정경쟁방지법상 영업비밀로 보호받으려면 정보의 비공지성, 경제적 유용성, 비밀관리성이라는 요건이 충족되어야 합니다. 고객명단에 거래 담당자의 연락처뿐 아니라 비공개 거래조건이나 고객별 수요, 가격정보 등이 포함되어 있고 회사가 이를 비밀로 관리했다면 영업비밀 해당 여부를 검토할 수 있습니다.

반면 공개된 사업자 연락처나 개인적으로 형성한 인적 관계를 활용했다는 사실만으로 회사의 영업비밀을 침해했다고 인정하기는 어려울 수 있습니다. 고객 자체에 대한 독점적인 권리와 법적으로 보호되는 고객정보의 부정사용은 구분해야 합니다.

또한 개인정보에 해당하는지와 영업비밀에 해당하는지는 서로 다른 기준으로 판단합니다. 영업비밀로 인정되지 않는 정보라도 개인정보보호법 위반이 문제될 수 있으며, 반대로 개인을 식별하지 않는 영업정보도 별도의 요건을 갖추면 영업비밀로 보호될 수 있습니다.

4. 퇴직자 고객정보 반출이 의심된다면 접근기록과 유출 범위를 확인해야 합니다

회사에서 고객정보 반출 정황을 발견했다면 먼저 어떤 정보가 외부로 이동했는지 확인해야 합니다. 개인정보가 실제로 유출되었다면 회사 자체의 개인정보 보호조치와 정보주체에 대한 통지, 관계기관 신고의무가 발생하는지도 검토해야 합니다.

회사는 업무 시스템의 적법한 접근기록과 파일 다운로드 내역, 전송기록, 퇴직 시 자료 반납 현황 등을 확인할 수 있습니다. 다만 퇴직자의 개인 이메일이나 사적 저장공간에 무단으로 접근하는 방식은 별도의 법적 문제를 발생시킬 수 있으므로 증거수집 과정의 적법성에 유의해야 합니다.

퇴직자 고객정보 반출 관련 증거 체크리스트

□  반출이 의심되는 고객정보의 항목과 정보주체의 범위

□  회사 시스템의 고객정보 열람·다운로드·전송 관련 기록

□  근로계약서와 비밀유지서약서, 개인정보 취급 및 반출 관련 내부 규정

□  퇴직자의 업무상 고객정보 접근 권한과 자료 반납·삭제 확인 기록

□  고객정보의 외부 제공이나 영업상 이용 정황 및 실제 손해에 관한 자료

고객정보 유출이 확인되었다면 회사는 추가적인 접근을 차단하고 유출 경로와 범위를 확인하는 조치를 검토해야 합니다. 개인정보 보호법 제34조와 시행령 제40조에 따른 유출 통지 및 신고의무가 발생하는 경우에는 법정 기한과 신고 요건을 확인해야 합니다.

특히 개인정보보호법 시행령은 일정한 개인정보 유출 등의 사고에 대하여 72시간 이내 신고의무를 규정하고 있습니다. 그러나 모든 자료 반출 사실에 동일한 신고의무가 적용되는 것은 아니므로 유출 사실의 확인 여부와 정보의 종류, 피해 규모 및 법령상 요건을 구분해야 합니다.

회사가 고객정보 삭제나 반환을 요구하는 경우에도 증거 보존과 개인정보 보호를 함께 고려해야 합니다. 유출 정황을 확인할 기록까지 무분별하게 삭제하지 않으면서, 추가 유출과 이용을 방지하는 적법한 조치를 검토할 필요가 있습니다.

5. 퇴직자 고객정보 반출의 손해배상과 형사책임은 별도로 판단해야 합니다

퇴직자가 고객정보를 무단으로 반출하거나 부정하게 이용했다면 회사는 계약상 비밀유지의무 위반이나 불법행위에 따른 손해배상청구를 검토할 수 있습니다. 고객명단이 영업비밀에 해당하고 관련 침해요건이 충족된다면 부정경쟁방지법에 따른 침해금지 또는 예방청구도 문제될 수 있습니다.

다만 손해배상을 청구하려면 청구의 법적 근거에 따라 의무 위반, 손해 발생 및 인과관계 등을 검토해야 합니다. 기존 고객이 다른 업체와 거래하게 되었다는 사실만으로 퇴직자가 회사의 모든 매출 감소분을 배상해야 하는 것은 아닙니다.

형사책임은 개인정보 보호법 제59조의 금지행위와 관련 처벌규정 또는 영업비밀 침해죄 등의 구성요건에 따라 판단합니다. 퇴직자의 고객정보 보유, 외부 전달, 부정한 이용은 서로 다른 행위이므로 그 경위와 적용 법률을 구체적으로 확인해야 합니다.

퇴직자 입장에서도 회사의 법적 조치를 받았다면 고객정보의 취득 경위와 사용 범위, 회사의 승인 여부를 확인해야 합니다. 회사 역시 고객정보 반출이 확인되었다는 이유만으로 형사처벌이나 손해배상 결과를 단정하지 말고 개인정보 보호조치, 자료 반환·삭제 요청, 민사상 청구 및 형사절차를 각각 검토할 필요가 있습니다.

많이 묻는 질문

Q.  퇴직자가 고객 전화번호를 개인 휴대전화에 저장했다면 불법인가요?

경우에 따라 다릅니다. 업무상 허용된 저장인지, 회사 승인 없이 개인정보를 반출했는지, 퇴직 후 개인적으로 이용했는지 등을 확인해야 합니다. 고객의 연락처가 개인정보에 해당하고 법률상 금지행위의 요건이 충족된다면 법적 책임이 문제될 수 있습니다.

Q.  퇴사 후 기존 고객에게 영업 연락을 하면 영업비밀 침해가 되나요?

자동으로 영업비밀 침해가 성립하는 것은 아닙니다. 고객정보의 취득 경위와 비밀관리 여부, 부정사용 여부를 확인해야 합니다. 다만 영업비밀 침해가 인정되지 않더라도 개인정보의 무단 이용이나 계약상 비밀유지의무 위반은 별도로 문제될 수 있습니다.

Q.  퇴직자가 고객명단을 삭제했다고 하면 회사는 추가 조치를 할 수 없나요?

그렇지 않습니다. 삭제 여부뿐 아니라 기존 반출과 이용행위의 법적 책임, 자료가 제3자에게 전달되었는지 등을 검토할 수 있습니다. 회사는 적법하게 확보한 자료를 통해 유출 범위와 손해를 확인하고 필요한 경우 손해배상이나 침해금지 등의 조치를 검토할 수 있습니다. 다만 실제 법적 청구가 인정되는지는 개별 요건에 따라 달라집니다.

퇴직자 고객정보 반출은 단순히 고객명단을 가져갔다는 사실만으로 모든 책임이 결정되는 문제가 아닙니다. 고객정보의 개인정보 해당 여부와 취득·반출 경위, 실제 이용행위, 회사의 관리체계 및 영업비밀 보호요건을 함께 검토해야 합니다. 회사는 추가 유출을 방지하고 적법하게 증거를 보존하면서 개인정보 보호조치와 민형사상 대응 가능성을 구분해야 하며, 퇴직자는 자료의 취급 권한과 법적 의무를 확인할 필요가 있습니다.

▼퇴직자 고객정보 반출 관련해서 더 많은 내용을 보고 싶다면?

법무법인 오현에서 진행한 퇴직자 고객정보 반출 관련 업무사례를 확인해보세요(클릭)