회사 고객DB에서 신고자 연락처를 조회만 해도 개인정보보호법 위반인가요?

회사 고객DB에서 신고자의 연락처를 열람했다는 사실만으로 어떤 개인정보보호법 위반죄가 성립하는지 곧바로 정해지지는 않습니다. 개인정보 보호법 제59조는 부정한 수단으로 정보를 취득하거나, 업무상 알게 된 개인정보를 권한 없이 제공하거나, 권한 없이 또는 권한을 초과해 이용·유출하는 등의 행위를 구분해 금지합니다. 따라서 단순 조회라고 설명하는 행동의 실제 내용과 업무상 권한, 조회 후 이용 여부를 확인해야 합니다.

업무용 계정으로 조회했다면 허용된 행동인가요?

회사 계정으로 로그인할 수 있다는 사실과 특정 신고자의 연락처를 해당 목적으로 열람할 권한이 있다는 사실은 다릅니다. 원래 담당하던 고객의 업무처리를 위한 조회인지, 사건과 관련된 사적인 이유로 조회했다고 지목되는지부터 구분해야 합니다.

정상적인 로그인 기록이 있다 하더라도 실제 조회 목적과 권한의 범위가 별도로 문제될 수 있습니다. 반대로 접근기록이 있다는 이유만으로 부정한 취득·무단 이용·제3자 제공이 모두 이루어졌다고 판단해서는 안 됩니다.

연락처를 보기만 한 경우와 따로 사용한 경우

첫 번째 경우는 업무시스템에서 연락처를 열어 봤지만 복사·전달·연락에 사용한 사실은 없다고 다투는 상황입니다. 여기에서는 해당 정보가 무엇인지, 왜 접근했는지, 업무상 권한이 어디까지였는지, 조회가 어떤 법률상 행위유형으로 문제되는지를 살펴야 합니다.

두 번째 경우는 조회한 연락처를 휴대전화에 옮기거나, 신고자에게 사적으로 연락하거나, 다른 사람에게 전달했다는 주장이 함께 있는 상황입니다. 조회 자체와 뒤따른 이용·제공 행위는 내용과 시점이 다릅니다. 실제로 어떤 행위가 있었는지 확인하지 않고 ’조회만 했다’거나 ’정보를 유출했다’고 한 문장으로 정리하면 사실관계가 흐려집니다.

업무 권한이 있었더라도 사적인 목적이 문제될 수 있나요?

개인정보 보호법 제59조의 금지행위를 검토할 때에는 정보 자체가 개인정보인지와 함께 취득·이용·제공의 경위, 권한·동의 범위를 구분해야 합니다. 업무를 위해 고객DB에 접근할 수 있었다는 사실만으로 모든 후속 이용과 제3자 제공까지 허용되었다고 볼 수는 없습니다.

반대로 사적인 갈등이 있었다는 이유만으로 실제로 어떤 개인정보를 취득하거나 이용했는지까지 추정하지 말아야 합니다. 실제로 맡은 업무와 조회 당시 상황, 조회 뒤에 발생한 행동을 따로 살펴야 합니다.

접속로그와 업무문서는 각각 무엇을 보여주나요?

고객관리시스템의 계정별 접속·조회 기록은 특정 계정으로 언제 어느 정보에 접근했는지 살펴보는 자료입니다. 하지만 계정의 조회 기록만으로 실제 사용자가 누구였는지, 왜 조회했는지, 조회한 내용을 외부에 전달했는지까지 모두 확인되는 것은 아닙니다.

업무분장, 담당고객 배정, 접근권한 내역과 당시의 업무지시는 조회의 업무상 필요성과 권한 범위를 살펴볼 자료가 될 수 있습니다. 해당 시점의 계정권한과 실제 담당업무가 같았는지, 권한은 있었지만 특정 정보의 조회 목적이 다투어지는지 구별해야 합니다.

통화나 메시지 기록까지 제시됐다면?

조회 시각 뒤에 신고자와 연락했다는 자료가 있다면 연락이 실제 있었는지, 그 번호를 어디서 알게 되었는지, 시스템 조회와 어떤 관련이 있는지를 검토해야 합니다. 통화내역은 연락 시각과 상대방 번호를 설명할 수 있지만 번호를 취득한 경위나 업무상 권한의 범위까지 단독으로 증명하지는 않습니다.

메신저나 문자에 연락처를 전달한 흔적이 있다면 누구에게 어떤 정보를 보냈는지, 그 행위가 단순한 조회와 다른 제공·누설로 문제되는지 따로 확인해야 합니다. 조회기록과 통신기록은 서로 보완할 수 있지만 하나의 기록이 다른 행위의 존재를 자동으로 확정하지는 않습니다.

경찰조사를 앞뒀다면 어떤 자료를 준비해야 하나요?

먼저 조회가 문제된 개인정보의 종류와 시점, 자신에게 부여된 계정권한, 실제 담당업무를 확인합니다. 이어 조회 이후 복사·연락·전달이 있었다고 주장되는지 혐의의 범위를 구분합니다. 해당 정보의 취득·이용·제공 중 무엇이 문제되는지를 조사 전에 정리해야 합니다.

회사 기록을 임의로 삭제하거나 시스템에 다시 접속해 기록을 변경해서는 안 됩니다. 본인이 직접 기억하는 내용과 시스템 자료로 확인된 사실, 아직 확인되지 않은 의혹도 나누어 둡니다.

변호인은 어떤 차이를 중심으로 검토하나요?

변호인 검토에서는 단순 접근권한의 존재와 개별 정보 조회의 허용범위, 조회 목적, 그 후 개인정보의 이용이나 제3자 제공이 실제 있었는지를 구분합니다. 개인정보 보호법 제59조의 서로 다른 행위유형을 하나로 뭉뚱그리지 않는 것이 중요합니다.

업무상 알게 된 피해자 연락처를 지인에게 알려준 경우는 실제 제3자 제공이 중심이고, 개인정보 관련 혐의의 1심은 재판단계의 증거심리가 중심입니다. 이 질문은 수사 초기의 시스템 조회 자체와 그 이후 개인정보 이용·제공 여부를 구별하는 것에 초점을 맞춥니다.