개인정보 삭제·파기 미이행 관련 사건에서 구분해야 할 행정제재와 형사책임 가능성

개인정보가 남아 있다면 먼저 파기의무가 발생했는지 확인해야 합니다

안녕하세요. 형사전문변호사 오창훈입니다.

개인정보 처리자는 원칙적으로 보유기간이 지나거나 개인정보의 처리 목적이 달성되는 등 해당 개인정보가 불필요하게 되었을 때에는 지체 없이 개인정보를 파기해야 합니다. 따라서 개인정보 삭제·파기 미이행 문제가 발생했다면 가장 먼저 해당 정보가 언제부터 불필요한 정보가 되었는지를 확인해야 합니다.

회원 탈퇴가 이루어졌다는 이유만으로 그 회원과 관련된 모든 정보를 즉시 동일한 방식으로 삭제해야 한다고 단정할 수는 없습니다. 다른 법령에 따라 일정 기간 보존해야 하는 정보가 있을 수 있기 때문입니다. 반대로 별도의 보존 근거가 없는 개인정보를 내부 업무상 필요하다는 이유만으로 계속 보관했다면 파기의무 위반 여부가 문제될 수 있습니다.

따라서 수사나 조사가 시작되면 개인정보처리방침에 기재된 보유기간만 볼 것이 아니라 실제 수집 목적, 정보주체와의 관계가 종료된 시점, 관련 법령상 보존의무, 내부 데이터베이스의 보관상태 등을 함께 확인할 필요가 있습니다.

특히 같은 회원의 정보라도 회원계정 정보, 결제·거래정보, 상담내역 등 정보의 종류에 따라 보존 근거와 기간이 다를 수 있으므로 데이터 항목별로 구분하여 살펴보는 것이 중요합니다.

파기하지 않았다는 사실과 형사처벌 가능성은 구분해야 합니다

개인정보보호법을 위반했다는 사실이 확인된다고 해서 모든 위반행위에 동일한 형사처벌 규정이 적용되는 것은 아닙니다. 개인정보보호법에는 위반행위의 유형에 따라 시정조치, 과징금이나 과태료 등 행정상 제재가 문제되는 영역과 형사처벌 규정이 적용될 수 있는 영역이 구분되어 있습니다.

따라서 삭제·파기 미이행 사건에서도 단순히 “개인정보보호법을 위반했으니 형사처벌 대상이다”라고 판단하기보다 구체적으로 어떠한 의무를 위반했다는 것인지와 그 위반행위에 어떤 제재규정이 연결되는지를 확인해야 합니다.

더 나아가 파기하지 않고 보관하던 개인정보를 다른 목적으로 이용하거나 제3자에게 제공한 정황이 있다면 단순한 파기 미이행과는 별도의 법적 쟁점이 발생할 수 있습니다. 개인정보를 누가 열람했고 어떠한 목적으로 사용했는지, 외부로 제공하거나 유출한 사실이 있는지도 확인해야 합니다.

결국 사건 초기에는 ‘삭제하지 않았다’는 하나의 사실에만 대응하기보다 수집·보관·이용·제공·파기의 각 단계에서 실제로 어떠한 행위가 있었는지를 분리해 보는 것이 필요합니다.

회사와 담당자의 책임도 동일하게 판단해서는 안 됩니다

개인정보 관련 사건은 회사나 사업자의 시스템에서 발생하는 경우가 많습니다. 이때 개인정보가 실제로 삭제되지 않았다는 결과만으로 대표자나 개인정보 담당자의 형사책임까지 바로 연결해서 판단해서는 안 됩니다.

먼저 개인정보 처리와 파기에 관한 업무를 누가 담당했는지 확인해야 합니다. 파기 기준을 결정한 사람과 실제 데이터베이스를 관리한 사람, 외부 개발업체나 수탁업체 등 시스템 운영에 관여한 사람이 서로 다를 수 있습니다.

자동 삭제 시스템이 정상적으로 작동하지 않은 것인지, 담당자가 삭제 대상임을 알면서도 의도적으로 보관한 것인지, 관련 법령상 보존기간을 잘못 판단한 것인지에 따라서도 사실관계가 달라집니다.

따라서 내부 개인정보 처리지침과 업무분장, 시스템 로그, 개발 및 유지보수 기록, 담당자 사이의 이메일이나 업무지시 등을 확인하여 누가 어떤 결정을 했고 실제 파기 과정에서 무엇이 발생했는지를 살펴봐야 합니다.

법인과 임직원의 책임이 함께 문제되는 사건이라면 관련 처벌규정과 양벌규정의 적용 여부 역시 구체적인 위반행위를 기준으로 검토해야 합니다.

특히 개인정보보호위원회의 조사나 수사기관의 조사를 앞두고 있다면 문제가 된 사실을 뒤늦게 숨기기 위해 기록을 삭제하거나 수정해서는 안 됩니다. 기존 시스템 상태와 조치 경위를 확인할 수 있도록 자료를 보존하면서 위반 여부와 책임 범위를 정리하는 것이 필요합니다.

자주 묻는 질문

개인정보 파기 관련 사건에서 확인해야 할 사항

개인정보 삭제·파기 미이행 사건에서는 개인정보가 발견됐다는 결과만으로 책임 범위를 판단하기보다 해당 데이터가 왜 남아 있었는지를 먼저 확인해야 합니다. 개인정보별 보유기간과 법적 보존근거를 확인하고 실제 시스템에서 어떠한 방식으로 관리됐는지를 살펴봐야 합니다.

또한 개인정보보호법 위반에 대한 행정상 제재와 형사책임을 혼동해서는 안 됩니다. 문제된 행위에 어떤 규정이 적용되는지 특정한 뒤 그 규정이 어떠한 제재를 두고 있는지를 확인해야 하며, 별도의 무단 이용이나 제공 등이 있었다면 그 행위도 함께 검토해야 합니다.

오창훈 형사전문변호사인 저는 개인정보 삭제·파기 문제로 조사나 형사책임이 문제된 사건에서 개인정보의 수집 목적과 보유기간, 실제 데이터 보관상태, 담당자의 역할과 시스템 기록 등을 확인하여 행정상 제재와 형사책임에 관한 쟁점을 구분하고 있습니다.

현재 개인정보가 삭제되지 않았다는 이유로 개인정보보호위원회의 조사나 수사기관의 조사를 앞두고 있다면 우선 문제가 된 개인정보의 종류와 파기의무가 발생한 시점, 별도의 보존근거부터 정리해 보시기 바랍니다. 그다음 실제 위반행위와 책임 주체를 특정하여 행정상 제재와 형사책임 가능성을 각각 검토할 필요가 있습니다.

광고책임변호사: 오창훈 변호사