개인정보 누설·유출 성립요건과 처벌수위, 대응 기준

개념 및 성립요건

개인정보 누설·유출은 업무상 알게 된 개인정보를 정당한 권한 없이 다른 사람에게 알리거나, 허용된 권한을 넘어 이용·제공·공개·반출하는 경우 문제되는 범죄입니다. 이름, 연락처, 주소, 주민등록번호, 계좌번호, CCTV 영상, 계정정보처럼 단독 또는 다른 정보와 결합해 개인을 알아볼 수 있는 정보가 대상이 될 수 있습니다.

법률상 근거

개인정보 보호법 제2조는 개인정보와 처리, 개인정보처리자를 정의합니다. 같은 법 제59조는 개인정보를 처리하거나 처리하였던 사람에게 부정취득, 업무상 알게 된 개인정보 누설·제공, 권한 없는 이용·훼손·멸실·변경·위조·유출을 금지하고, 제71조와 제72조는 위반 유형별 형사처벌을 정합니다.

성립요건

개인정보 해당성: 특정 개인을 알아볼 수 있거나 다른 정보와 쉽게 결합해 알아볼 수 있는 정보인지가 먼저 문제됩니다.
처리자 또는 취급자 지위: 업무상 개인정보를 처리했는지, 개인정보처리자의 사용인·수탁자·업무 담당자였는지 확인합니다.
누설·제공·유출 행위: 제3자에게 전달, 게시, 열람 허용, 파일 전송, 단체대화방 공개, 목적 외 제출 등이 포함될 수 있습니다.
권한 또는 동의 범위: 정보주체 동의, 법령상 근거, 수집 목적, 업무상 필요 범위를 벗어났는지가 핵심입니다.
고의와 목적: 개인정보라는 인식, 권한 초과 인식, 영리 또는 부정한 목적이 쟁점이 됩니다.
피해 확산: 유출 규모, 민감정보·고유식별정보 포함 여부, 회수 가능성, 추가 피해가 처벌과 손해배상에 영향을 줍니다.

유사 범죄와의 구별

구분	핵심 차이	주로 문제되는 상황	실무상 쟁점
개인정보 누설	업무상 알게 된 개인정보를 외부에 알리거나 제공하는 유형입니다.	직원명단 전송, 입주민 정보 공개, 고객정보 제공	업무상 알게 된 정보인지와 제3자 제공 여부가 중요합니다.
개인정보 유출	정당한 권한 없이 또는 권한을 초과해 개인정보가 외부로 나간 유형입니다.	DB 반출, 파일 공유, 해킹 후 공개, 단체방 게시	권한 범위와 유출 경로, 회수 가능성이 쟁점입니다.
목적 외 이용·제공	수집 목적이나 제공받은 목적을 넘어 개인정보를 사용하는 유형입니다.	면접 지원자 연락처 사적 이용, 소송자료 전용	동의 범위와 정당행위 여부가 문제됩니다.
안전조치의무 위반	기술적·관리적 보호조치 미비로 유출 위험이 발생한 유형입니다.	접근권한 관리 부실, 암호화 미비, 접속기록 미보관	형사처벌보다 과징금·과태료와 손해배상이 함께 검토됩니다.

처벌 및 형량

법정형

동의 없는 제3자 제공: 5년 이하의 징역 또는 5천만원 이하의 벌금(개인정보 보호법 제71조 제1호)
목적 외 이용·제공: 5년 이하의 징역 또는 5천만원 이하의 벌금(개인정보 보호법 제71조 제2호)
업무상 개인정보 누설·제공: 5년 이하의 징역 또는 5천만원 이하의 벌금(개인정보 보호법 제71조 제9호, 제59조 제2호)
권한 없는 개인정보 이용·훼손·멸실·변경·위조·유출: 5년 이하의 징역 또는 5천만원 이하의 벌금(개인정보 보호법 제71조 제10호, 제59조 제3호)
부정한 수단의 개인정보 취득: 3년 이하의 징역 또는 3천만원 이하의 벌금(개인정보 보호법 제72조 제2호, 제59조 제1호)
타인의 비밀 침해·누설: 정보통신망을 통해 타인의 정보를 훼손하거나 비밀을 침해·도용·누설한 경우 5년 이하의 징역 또는 5천만원 이하의 벌금(정보통신망법 제71조 제1항 제14호)
공소시효: 5년 이하 징역형 유형은 원칙적으로 7년 기준이 문제됩니다(형사소송법 제249조 제1항 제4호).

개인정보 누설·유출 사건은 형사처벌 외에도 개인정보보호위원회 조사, 과징금·과태료, 민사 손해배상, 법정손해배상, 회사 내부 징계가 함께 진행될 수 있습니다. 단순 실수인지, 업무상 지위와 권한을 이용했는지, 영리·보복·사적 목적이 있었는지에 따라 평가가 달라집니다.

양형기준표

구분	감경 요소	기본 영역	가중 요소	참고사항
정보 성격	식별 가능성 낮음, 민감정보 아님	연락처·주소·계좌 등 일반 개인정보	주민등록번호, 건강·수사·금융정보 등 민감한 정보	정보의 민감도와 결합 가능성이 중요합니다.
유출 규모	소수 정보, 빠른 회수	일정 규모 명단·영상·파일 제공	대량 DB, 반복 판매, 불특정 다수 공개	건수와 확산 범위가 처벌에 반영됩니다.
행위 동기	업무상 착오, 즉시 신고·삭제	분쟁 과정의 목적 외 이용	영리 목적, 보복, 경쟁업체 제공	목적과 대가 수수가 핵심입니다.
사후 대응	통지·신고, 피해구제, 재발방지	일부 회수와 사과	은폐, 로그 삭제, 피해자 압박	초기 대응 기록이 중요합니다.

주요 판례 처벌 경향

경찰관이 단속 경찰관 사진과 개인정보를 성매매업소 운영자에게 제공한 사건: 개인정보보호법위반과 부정처사후수뢰 등이 문제되어 1심은 징역 1년 및 벌금 60만원을 선고했고, 항소심은 징역 1년 3개월 및 벌금 60만원으로 변경했습니다(대전지방법원 2018고합453, 대전고등법원 2019노189).
인터넷서비스 가입자 개인정보를 대량 제공받아 텔레마케팅에 이용한 사건: 개인정보보호법위반이 인정되어 피고인별로 징역 1년 6개월·집행유예 3년, 징역 1년·집행유예 3년, 징역 10개월·집행유예 2년과 사회봉사, 몰수가 선고되었습니다(서울중앙지방법원 2017고단6249).
택시조합원이 포함된 조합원명부를 선거운동·영업 목적으로 여러 사람에게 제공한 사건: 제공자에게 징역 10개월·집행유예 2년, 제공받은 피고인들에게 각 벌금 300만원이 선고되었습니다(광주지방법원 2014고단2754).
수능 감독 과정에서 알게 된 수험생 연락처를 사적으로 이용한 사건: 항소심은 개인정보 목적 외 이용을 유죄로 보아 징역 4개월·집행유예 1년을 선고했습니다(서울중앙지방법원 2019노4259).
아파트 단체대화방에서 주민의 동·호수와 실명을 공개한 사건: 개인정보 누설 부분이 유죄로 유지되었고, 항소심은 벌금 30만원을 선고했습니다(서울중앙지방법원 2024노852).
도박사이트 개설 과정에서 다른 사이트 회원 796명의 성명·계좌번호·휴대전화번호를 이용한 사건: 개인정보보호법위반 등이 인정되어 1심은 징역 1년을 선고했고, 항소심도 징역 1년을 선고했습니다(의정부지방법원 남양주지원 2025고단1185, 의정부지방법원 2025노2686).

대표 유형

직원·고객 명단 반출형: 퇴사자나 내부 직원이 고객명단, 회원정보, 거래처 정보를 이메일·USB·메신저로 옮기는 유형입니다.
업무자료 목적 외 사용형: 채용, 시험, 상담, 민원, 소송 과정에서 알게 된 연락처나 서류를 다른 목적으로 쓰는 유형입니다.
단체방·게시판 공개형: 실명, 주소, 동·호수, 전화번호, 사진, 민원 내용을 단체대화방이나 온라인 게시판에 공개하는 유형입니다.
CCTV·영상 유출형: CCTV 영상, 블랙박스, 출입기록 등을 권한 없이 열람·촬영·전송하는 유형입니다.
영리 목적 거래형: 텔레마케팅, 도박사이트, 광고영업 등을 위해 개인정보 DB를 사고팔거나 제공받는 유형입니다.
보안조치 미흡형: 접근권한 관리, 암호화, 접속기록 보관 등 안전조치가 부족해 대량 유출이 발생하는 유형입니다.

처벌 수위가 달라진 실제 사례

수사·재판 단계 핵심 쟁점

수사단계 쟁점

개인정보 항목, 건수, 출처, 접근권한, 다운로드·전송·열람 로그, 메신저·이메일 기록을 확보합니다.
정보주체 동의 범위, 법령상 근거, 업무 목적, 제공받은 목적을 문서로 확인해야 합니다.
개인정보처리자·취급자·수탁자·사용인 중 어떤 지위였는지에 따라 적용 조항이 달라질 수 있습니다.
유출 통지·신고, 회수·삭제, 피해자 안내, 재발방지 조치가 늦어지면 행정제재와 양형에 불리할 수 있습니다.

재판단계 쟁점

해당 정보가 개인정보인지, 업무상 알게 된 정보인지, 외부 제3자에게 누설되었는지가 다투어집니다.
민사·형사 소송자료 제출, 내부 감사, 신고 목적 행위는 정당행위 여부가 별도 쟁점이 될 수 있습니다.
유출 규모와 피해 확산, 영리 목적, 반복성, 피해회복과 재발방지 자료가 형량 판단에 반영됩니다.
법인 사건에서는 임직원 개인 책임과 회사의 관리·감독, 과징금·과태료 대응을 함께 봐야 합니다.

합의 및 처벌불원

합의의 의미

개인정보 누설·유출은 피해자와 합의하더라도 공소가 곧바로 소멸하는 구조는 아닙니다. 다만 피해자 통지, 삭제·회수, 추가 피해 방지, 손해배상, 재발방지 조치는 수사와 재판에서 중요한 자료가 될 수 있습니다.

처벌불원과 피해구제

유출된 개인정보의 항목과 확산 범위를 먼저 특정해야 실질적인 피해구제가 가능합니다.
피해자별 연락, 보상, 모니터링, 계정·금융피해 방지 안내를 체계적으로 진행해야 합니다.
피해자에게 책임을 돌리거나 삭제 요청을 방치하면 2차 피해로 평가될 수 있습니다.

민사상 책임

개인정보 보호법 제39조는 개인정보처리자가 법 위반으로 손해를 입힌 경우 손해배상책임을 정하고, 고의 또는 중대한 과실로 개인정보가 유출되어 손해가 발생한 경우 손해액의 5배 범위에서 배상액이 정해질 수 있습니다. 제39조의2에 따른 법정손해배상도 문제될 수 있습니다.

손해배상: 정신적 손해, 금융피해, 계정 도용, 보이스피싱 위험 증가 등이 주장될 수 있습니다.
법정손해배상: 손해액 입증이 어려운 경우 일정 범위에서 법정손해배상 청구가 검토됩니다.
징벌적 손해배상: 고의·중과실 유출이면 실제 손해액을 넘는 배상 위험이 생길 수 있습니다.
공동책임: 회사, 수탁자, 임직원, 제3자 제공받은 사람이 함께 책임질 수 있습니다.