이런 상황입니다
지역 행사 운영을 돕던 사람이 참가자 이름·연락처·소속이 적힌 온라인 명단에 업무상 접근할 수 있었습니다. 명단에 직장 내 성범죄 신고자의 정보가 포함돼 있었는데, 신고 이후 해당 명단의 공유설정이 외부 링크를 가진 사람도 열람할 수 있도록 변경됐고 피신고자가 지인에게 그 링크를 전달했다는 이유로 개인정보 관련 조사를 받습니다. 본인은 링크 전달은 일부 인정하지만 공유설정을 누가 변경했는지와 지인이 실제로 본 정보는 다투고 있습니다.
이 상황에서 갈리는 쟁점
- 업무상 허용된 참가자 명단 접근과 개인적 링크 전달의 경계
- 개인정보의 구체적 내용과 공유설정 변경 주체
- 링크를 실제 전송한 사람과 열람한 사람의 구분
- 접속기록의 의미와 한계, 제3자 제공 등 문제된 행위유형
- 조사 전 보존해야 할 명단 이력과 원본 대화의 범위
행사 참가자 명단을 업무상 열람할 수 있었다는 사정만으로 성범죄 신고자의 정보를 외부 지인에게 전달할 권한까지 인정되는 것은 아닙니다. 개인정보 불법 수집·이용·제공의 검토에서는 어떤 개인정보를 어떤 경위로 알게 됐는지, 업무상 권한 또는 동의의 범위, 이후 실제 이용·제공행위를 구분해야 합니다.
행사 명단의 링크를 전달한 뒤 신고가 접수된 장면
행사 준비를 도와 온라인 참가자 명단을 열람하던 사람이 성범죄 신고 이후 개인정보 관련 경찰 연락까지 받았습니다. 신고자 이름과 전화번호, 소속이 적힌 명단의 외부 공유링크를 지인에게 보냈다는 내용입니다. 명단은 본래 행사 등록 확인용이었는데, 링크를 아는 사람도 열 수 있도록 공유설정이 바뀌어 있었다고 합니다.
운영자는 업무상 명단을 볼 수 있었고 링크를 보낸 사실 일부를 인정하지만, 명단을 외부에 공개하도록 설정한 사람이 누구인지와 지인이 실제 열람한 범위는 다투고 있습니다. 이때 기존 신고와 별개로 개인정보 취득·이용·제공 중 어떤 행위가 문제됐는지 확인해야 합니다.
첫 번째 분기점은 실제로 포함된 개인정보입니다
명단 안에 참가자 이름만 있었는지, 휴대전화 번호·소속·이메일 등 개인을 알아볼 수 있는 정보가 포함됐는지 항목별로 확인합니다. 특히 신고자를 지목할 수 있는 정보가 어느 행과 열에 있었는지, 전체 명단의 어떤 부분이 외부 열람 가능 상태였는지를 구별합니다.
명단 전체에 접근할 수 있었다는 말과 문제되는 사람의 정보가 실제로 외부에 제공됐다는 말은 서로 다른 설명입니다. 수사기관이 특정한 행과 공유 시점의 파일 버전을 확인하지 않은 채 모든 참가자의 정보가 같은 방식으로 전달됐다고 추측해서는 안 됩니다.
두 번째 분기점은 업무권한과 공유설정 변경입니다
행사 진행을 위해 명단을 조회하고 수정할 수 있는 권한이 있었다면 그 권한을 부여받은 목적과 범위를 확인합니다. 행사 당일 출석 확인을 위한 열람권한과 개인적 분쟁에서 지인에게 정보를 공유할 권한은 구별해야 합니다.
공유설정을 직접 변경했다는 주장도 별도로 확인합니다. 파일 소유자가 권한을 바꿨는지, 여러 운영자에게 동일한 편집권한이 있었는지, 링크 생성 뒤 접근범위가 다시 바뀌었는지에 따라 확인해야 할 행위가 다릅니다. 계정 소유자라는 사실과 특정 시점에 실제 설정을 변경한 사람이라는 사실을 곧바로 동일시하지 않습니다.
세 번째 분기점은 누구에게 무엇을 전달했는지입니다
운영자가 지인에게 링크를 보낸 사실이 있다면 전송한 시각과 상대방, 당시 링크의 접근설정, 어떤 설명을 붙였는지를 확인합니다. 단순히 행사 참여 여부를 확인해 달라고 했다는 주장과 신고자의 연락처를 찾아 달라고 했다는 주장은 확인해야 할 실제 내용이 다릅니다.
개인정보 보호법 제59조 및 벌칙 조항에 관한 판단도 단일한 ‘링크 공유’라는 표현만으로 끝나지 않습니다. 업무상 알게 된 정보의 무단 제공이나 권한을 넘은 이용인지, 그 밖의 취득·유출 행위가 문제되는지 구체적 행위와 적용 조항을 구분합니다. 공유 목적에 관한 당사자의 설명은 실제 전송 내용과 권한 범위를 확인하는 자료와 함께 놓고 봐야 합니다.
외부 열람기록과 편집이력은 각각 다른 사실을 보여줍니다
전자정보·클라우드·접속로그·IP는 파일의 설정 변경 시각, 접근 계정, 외부 접속의 흔적처럼 행위별로 다른 정보를 확인하는 데 활용됩니다. 그러나 링크에 접근한 IP주소가 있다고 해서 특정 지인이 어느 개인정보 항목까지 실제로 읽었는지 자동으로 정해지지는 않습니다.
반대로 외부 열람 흔적이 확인된다면 공개설정과 링크 전달이 실제 접근으로 이어졌는지 확인할 중요한 단서가 됩니다. 편집 이력에서 열람권한 변경이 확인되는지, 그 이후 링크가 발송됐는지, 파일에 뒤늦게 추가된 참가자 정보가 있었는지도 별도의 시간축으로 정리합니다.
기존 개인정보 상황과 구별되는 점
택배 송장 사진을 촬영해 지인에게 보낸 상황은 보관업무 중 본 종이 송장의 실제 촬영과 사진 전송이 중심입니다. 이미 알고 있던 연락처를 단체 채팅방에 올린 상황은 기존에 취득한 연락처의 사후 전송이 중심입니다.
이번에는 행사 운영 목적의 다수 참가자 온라인 명단이 공유링크 설정으로 외부에 열릴 수 있었고, 링크를 전달한 행위와 파일 자체의 접근권한을 바꾼 행위의 주체가 다툼이라는 점이 다릅니다. 따라서 종이 문서 촬영 여부나 단체방에 직접 적은 번호만이 아니라, 공동 파일의 권한 변경·링크 전달·외부 열람이라는 세 단계를 각각 확인해야 합니다.
경찰 연락을 받은 뒤 자료를 정리하는 순서
경찰 연락·출석조사를 받았다면 기관, 담당자, 사건번호와 조사 신분·일정을 기록하고 개인정보 사건으로 지목된 구체적 행위를 먼저 확인합니다. 그다음 행사 명단의 원래 사용목적, 접근할 수 있었던 사람, 문제된 파일 버전, 공유권한 변경, 링크를 전달한 대화, 확인 가능한 외부 접속기록을 시간순으로 나눕니다.
급히 링크를 지우거나 파일을 교체하면 당시 접근범위와 설정 변경자를 확인하기 어려워질 수 있습니다. 원본 자료를 보존하고, 자신이 직접 한 행동과 다른 운영자가 했다고 들은 행동을 구분합니다. 조사에 앞서 관계자에게 연락해 진술을 맞추거나 확인되지 않은 계정 사용자를 단정하지 않습니다.
변호인 검토에서는 취득·이용·제공을 분리합니다
변호인과 함께 확인할 핵심은 명단이 개인정보에 해당하는 범위, 최초 취득과 업무상 열람의 근거, 링크 공개설정을 변경한 주체, 지인에게 전송한 링크와 실제 열람 범위, 권한이나 동의 범위 밖의 행위유형입니다. 적용 조항은 개인정보 보호법 제59조와 제71조, 제72조의 서로 다른 요건을 대조해야 합니다.
지금 확보할 사실은 당시 행사 운영 역할, 명단 관리권한, 공유설정 이력, 보낸 링크와 원본 대화, 외부 열람 여부에 관한 확인 가능한 기록입니다. 업무상 접근이 가능했다는 사실과 개인적 목적의 외부 제공이 허용됐는지 여부를 뒤섞지 않는 것이 중요합니다.
근거 및 출처