업무사례

LEGAL INSIGHT · 침입·취득·이용·유출을 각각 구분합니다

정보통신망 개인정보범죄 형량은 개인정보를 어떻게 취득하고 이용했는지에 따라 달라집니다. 개인정보를 부정한 방법으로 취득했는지, 회사가 보유한 개인정보를 무단으로 이용·제공했는지, 타인의 계정이나 정보통신망에 침입했는지, 취득한 정보를 판매하거나 제3자에게 넘겼는지를 구분해야 합니다.

작성일 현재 개인정보를 부정한 방법으로 취득한 뒤 영리 또는 부정한 목적으로 제3자에게 제공하면 개인정보 보호법상 10년 이하의 징역 또는 1억원 이하의 벌금이 가능하고, 업무상 알게 된 개인정보를 누설하거나 권한 없이 제공·유출한 경우에는 5년 이하의 징역 또는 5천만원 이하의 벌금이 규정되어 있습니다.

핵심은  정보통신망·개인정보범죄에서는 정보를 취득한 방법, 접근권한의 범위, 개인정보를 실제 이용·제공·유출했는지, 영리 또는 부정한 목적이 있었는지, 피해자의 수와 정보의 민감성을 각각 확인해야 합니다. 같은 개인정보를 다룬 사건이라도 해킹, 내부자 유출, 피싱, 개인정보 판매는 적용 조항과 형량이 달라질 수 있습니다.

개인정보를 부정하게 취득한 뒤 판매·제공하면 10년 이하 징역까지 가능합니다

개인정보 보호법 제70조는 거짓이나 그 밖의 부정한 수단 또는 방법으로 다른 사람이 처리하고 있는 개인정보를 취득한 뒤 이를 영리 또는 부정한 목적으로 제3자에게 제공한 경우를 중하게 처벌하고 있습니다.

이 경우 법정형은 10년 이하의 징역 또는 1억원 이하의 벌금입니다. 개인정보를 직접 취득해 판매한 사람뿐 아니라 해당 행위를 교사하거나 알선한 경우도 조항의 적용대상이 될 수 있습니다.

따라서 개인정보가 유출됐다는 결과만으로 제70조가 적용되는 것은 아닙니다. 부정한 방법으로 개인정보를 취득한 사실과 그 정보를 다시 영리 또는 부정한 목적으로 제3자에게 제공했다는 단계가 확인되어야 합니다.

고객정보나 회원정보를 몰래 빼낸 뒤 광고업자·대출업자·사기조직 등에 판매하거나 넘긴 사건이라면 개인정보의 취득경위, 전달 상대방, 대가 수수와 실제 사용목적을 함께 확인해야 합니다.

업무상 알게 된 개인정보를 무단 제공·유출하면 5년 이하 징역이 문제됩니다

개인정보 보호법 제71조는 정보주체의 동의 없이 개인정보를 제3자에게 제공하거나, 수집 목적을 벗어나 개인정보를 이용·제공한 경우 등에 5년 이하의 징역 또는 5천만원 이하의 벌금을 규정하고 있습니다.

개인정보를 처리하거나 처리했던 사람이 업무상 알게 된 개인정보를 누설하거나 권한 없이 다른 사람이 이용할 수 있도록 제공하는 행위도 같은 처벌범위가 적용될 수 있습니다.

또한 정당한 권한 없이 또는 허용된 권한을 초과해 다른 사람의 개인정보를 훼손·멸실·변경·위조 또는 유출한 경우에도 개인정보 보호법 제71조가 문제될 수 있습니다.

따라서 회사 직원이 업무상 고객정보에 접근할 수 있었다고 하더라도 이를 개인적인 목적으로 외부에 전달하거나 다른 사람이 이용하도록 제공했다면 접근권한이 있었다는 사실만으로 형사책임이 배제되는 것은 아닙니다.

업무상 접근한 고객정보를 외부에 제공한 경우

회사 시스템에 정상적으로 로그인할 권한이 있었더라도 업무상 알게 된 고객의 이름·연락처·거래정보 등을 사적인 용도로 추출해 외부 업체에 넘겼다면 개인정보 보호법상 누설·제공 또는 목적 외 이용 여부가 문제될 수 있습니다.

정상적인 업무 범위에서 개인정보를 처리한 경우

반대로 회사가 부여한 업무권한의 범위에서 개인정보를 조회하고 정해진 목적대로 처리했다는 사실만으로 개인정보범죄가 성립하는 것은 아닙니다. 허용된 목적과 권한을 벗어났는지, 외부 제공이나 개인적 이용이 있었는지를 구체적으로 구분해야 합니다.

정보통신망 침입과 타인의 비밀 침해·누설은 5년 이하 징역까지 가능합니다

정보통신망법 제48조는 정당한 접근권한 없이 또는 허용된 접근권한을 넘어 정보통신망에 침입하는 행위를 금지합니다. 이를 위반한 정보통신망 침입은 5년 이하의 징역 또는 5천만원 이하의 벌금에 처할 수 있습니다.

정보통신망을 통해 처리·보관·전송되는 타인의 정보를 훼손하거나 타인의 비밀을 침해·도용·누설한 경우에도 같은 법정형이 적용됩니다. 정보통신망 침입죄와 타인의 비밀 침해죄는 보호대상과 구성요건이 다르므로 실제 행위에 따라 함께 문제될 수도 있습니다.

대법원은 정보통신망법상 ‘타인의 비밀’을 일반적으로 알려지지 않은 사실로서 다른 사람에게 알리지 않는 것이 본인에게 이익이 되는 정보라고 보고 있습니다. 또한 메신저 대화가 개인 PC에 저장된 경우라도 정보통신체제와 밀접하게 연계된 상태라면 법이 보호하는 비밀에 포함될 수 있다고 판단했습니다.

특히 다른 직원이 자신의 계정으로 메신저에 로그인해 둔 상태를 이용해 몰래 대화내용을 열람·복사한 사건에서도, 정당한 접근권한 없는 사람이 정보통신망의 기능을 이용해 비밀을 취득한 것으로 평가될 수 있다고 대법원은 판단했습니다.

피싱처럼 속여 정보를 수집하면 3년 이하, 제공을 유인한 경우도 처벌됩니다

정보통신망법 제49조의2는 정보통신망을 통해 속이는 행위로 다른 사람의 정보를 수집하거나 다른 사람이 정보를 제공하도록 유인하는 행위를 금지하고 있습니다.

속이는 방법으로 실제 다른 사람의 정보를 수집한 경우에는 3년 이하의 징역 또는 3천만원 이하의 벌금이 규정되어 있습니다. 가짜 로그인 페이지나 허위 사이트 등을 이용한 정보수집 사건에서 함께 검토될 수 있는 조항입니다.

반면 실제 정보수집까지 이루어지지 않았더라도 속이는 방법으로 다른 사람이 정보를 제공하도록 유인한 경우에는 2년 이하의 징역 또는 2천만원 이하의 벌금이 문제될 수 있습니다.

따라서 피싱 사건에서는 단순히 메시지를 전송한 단계인지, 피해자가 계정정보나 개인정보를 입력했는지, 실제 수집된 정보가 다른 범죄에 이용됐는지를 나누어 확인해야 합니다.

악성프로그램을 전달·유포하면 7년 이하 징역까지 규정되어 있습니다

정당한 사유 없이 정보통신시스템·데이터·프로그램 등을 훼손하거나 운용을 방해할 수 있는 악성프로그램을 전달·유포한 경우에는 정보통신망법 제70조의2에 따라 7년 이하의 징역 또는 7천만원 이하의 벌금에 처할 수 있습니다.

악성프로그램을 이용해 개인정보나 인증정보를 탈취했다면 악성프로그램 유포뿐 아니라 정보통신망 침입, 개인정보 부정취득·유출 등 다른 범죄가 함께 문제될 수 있습니다.

여러 죄가 동시에 성립하는 경우에는 가장 높은 법정형 하나만 단순히 적용하는 것이 아니라 죄수관계와 경합범 처리까지 검토해야 하므로 악성코드의 설치·전달·정보취득·판매 단계를 각각 나누어 보는 것이 중요합니다.

2026년 양형기준은 개인정보의 민감성·피해자 수·범행수법을 중요하게 봅니다

대법원 양형위원회의 정보통신망·개인정보범죄 양형기준은 2026년 3월 30일 수정되어 2026년 7월 1일부터 시행되고 있습니다. 개인정보범죄는 취득·무단이용·제공 등 행위유형에 따라 별도의 권고형량을 두고 있습니다.

개인정보 부정취득 등   기본영역은 징역 4개월~1년입니다.

개인정보 무단 이용·제공 등   기본영역은 징역 6개월~1년 6개월입니다.

부정취득 후 제공 등   기본영역은 징역 8개월~2년 6개월입니다.

정보통신망 침입 등   기본영역은 징역 6개월~1년 6개월입니다.

범행수법이 매우 불량하거나 불특정 또는 다수 정보주체의 정보가 침해된 경우, 내밀한 영역의 정보가 유출돼 피해자의 가정생활·학업·생계 등에 회복하기 어려운 피해가 발생한 경우 등은 가중요소로 평가될 수 있습니다.

반대로 범행으로 침해된 정보의 양이나 내용이 경미하거나 실질적인 피해회복이 이루어진 경우, 자수·내부고발·수사협조 등은 사건에 따라 양형에서 고려될 수 있습니다. 다만 이러한 사정 하나만으로 특정한 선고형이 정해지는 것은 아닙니다.

접근 권한  회사 시스템·서버·계정에 실제 접근할 권한이 있었는지와 허용된 업무범위를 초과했는지를 계정권한·접속기록을 통해 확인합니다.

정보 흐름  어떤 개인정보를 언제 내려받고 복사·전송했는지, 외부 저장장치·이메일·클라우드·메신저로 이동한 기록이 있는지를 살펴봅니다.

이용 목적  업무상 처리였는지, 개인정보 판매·광고·보복·사기 등 다른 목적으로 이용했는지와 대가를 받은 사실이 있는지를 금융·통신자료와 함께 확인합니다.

함께 확인한 공식 자료

국가법령정보센터 개인정보 보호법 제70조 개인정보 부정취득 후 제공 등 확인

국가법령정보센터 개인정보 보호법 제71조·제72조 개인정보 이용·제공·유출 등 확인

국가법령정보센터 정보통신망법 제48조 정보통신망 침입금지 확인

국가법령정보센터 정보통신망법 제49조 타인의 비밀 보호 확인

국가법령정보센터 정보통신망법 제49조의2·제70조의2 이하 확인

대법원 정보통신망상 타인의 비밀 침해·누설 판단기준 확인

대법원 양형위원회 2026년 정보통신망·개인정보범죄 양형기준 확인

정보통신망 개인정보범죄 형량은 단순히 개인정보 파일을 보유했다는 사실만으로 정해지지 않습니다. 접근권한을 넘어 시스템에 들어갔는지, 개인정보를 부정하게 취득했는지, 업무상 정보를 무단 이용·유출했는지, 제3자에게 판매·제공했는지, 다수 피해자나 민감한 정보가 관련됐는지에 따라 적용 조항과 처벌범위가 달라집니다. 수사 초기에는 계정 접근기록과 파일 이동·전송내역, 개인정보의 최종 사용처를 개인별로 구분해 확인하는 것이 중요합니다.

▼정보통신망 개인정보범죄 형량, 실제 사건에서는 무엇이 쟁점이 됐을까요?

법무법인 오현에서 진행한 정보통신망·개인정보범죄 관련 업무사례에서 판단 과정과 대응 방향을 확인해보세요(클릭)