디지털 포렌식, 어디까지 적법한가 — 직원 PC·이메일·휴대폰을 열기 전에

법률사무소 최앤컴퍼니 대표변호사 최준홍 · 영업비밀 침해 대응 ③ · 읽는 시간 8분

영업비밀 유출이 의심되면 누구나 같은 생각을 합니다.

"회사 PC잖아.

포렌식 업체 불러서 다 열어보면 되지."

그런데 실무에서는 바로 이 지점에서 막힙니다.

포렌식 전문가를 부르고도, 막상 "이건 개인정보보호법 위반이 될 수 있다"며 조사를 멈추는 일이 드물지 않습니다.

회사 소유 기기라고 해서 그 안을 마음대로 들여다봐도 되는 것이 아니기 때문입니다.

이 글은 임직원의 PC·이메일·휴대폰을 어디까지, 어떻게 조사해야 적법한지, 그리고 그러기 위해 무엇을 미리 갖춰 둬야 하는지를 정리합니다.

▍ "회사 PC니까 봐도 된다"가 통하지 않는 이유

동의나 사전 근거 없이 임직원의 기기·계정을 들여다보면, 회사·대표·심지어 포렌식 업체까지 거꾸로 형사 피의자가 될 수 있습니다.

- 개인정보보호법 — 직원의 인터넷 사용기록·방문기록 등 활동기록이나 사적으로 저장한 자료는 그 직원의 사생활이자, 직원과 결합해 식별 가능한 경우 개인정보에 해당할 수 있습니다.

회사가 이를 수집·이용하려면 동의·취업규칙 등 법적 근거가 필요합니다(제15조·제17조·제18조).

- 통신비밀보호법 — 송수신 '중'인 통신을 동의 없이 취득하면 감청으로 무겁게 처벌됩니다(제3조·제16조).

공개되지 않은 직원 간의 대화를 몰래 녹음·청취하는 것도 금지됩니다(제14조).

무엇보다 불법감청·불법녹음으로 얻은 내용은 재판은 물론 징계절차에서도 증거로 쓸 수 없습니다(제4조). 실시간 메신저·이메일이나 직원 간 대화를 가로채는 것은 절대 금지입니다.

- 정보통신망법 제49조 — 정보통신망으로 처리·보관·전송되는 '타인의 비밀'을 침해·누설하는 행위입니다.

개인용 컴퓨터에 보관 중인 과거 사내 메신저 대화 파일을 몰래 열람·복사한 것만으로도 유죄가 인정됐습니다(대법원 2018. 12. 27. 선고 2017도15226).

'실시간 감청'이 아니라 '이미 저장된 것'이어도 처벌될 수 있다는 뜻입니다.

- 형법 — 봉함 등 비밀장치가 된 전자기록을 권한 없이 기술적 수단으로 열어 그 내용을 알아내면 전자기록등내용탐지죄가 성립합니다(제316조 제2항).

편지·문서를 뜯어보는 비밀침해죄(제1항)의 전자기록 버전으로, 회사가 직원의 기기를 함부로 들여다볼 때 실제로 문제 되는 핵심 죄명입니다.

대법원도, 회사가 소유한 컴퓨터라도 그 안의 직원 이메일·메신저 등은 보호되는 '타인의 비밀'이어서 동의 없이 열면 원칙적으로 정보통신망법 위반(비밀침해)에 해당한다고 보았습니다.

다만 구체적 혐의와 조사 범위의 제한 등 엄격한 사정이 갖춰진 예외적인 경우에 한해 형법 제20조의 정당행위로 위법성이 조각될 수 있다고 했을 뿐입니다(대법원 2009. 12. 24. 선고 2007도6243 판결).

"회사 자산이니 당연히 봐도 된다"는 전제는 통하지 않습니다.

심지어 회사 대표가 개인정보보호법 위반으로는 무혐의 처분을 받았는데도, 직원 PC의 인터넷 검색·방문기록 등을 무단으로 들여다본 것이 사생활의 비밀·자유와 개인정보자기결정권 침해라는 이유로 회사에 민사 손해배상 책임을 인정한 하급심도 있습니다(대구지방법원 2024. 8. 21. 선고 2023나320254 판결).

형사가 무혐의여도 민사 책임은 별개라는 뜻입니다.

다만 반대로, 직원이 회사 측의 PC 내 개인정보 무단 탐지·열람·삭제를 불법행위라며 낸 손해배상 청구가 받아들여지지 않고 기각된 사례도 있어(서울중앙지방법원 2025. 9. 4. 선고 2024나47762 판결), 민사 책임 인정 여부 역시 구체적 사정에 따라 갈립니다.

▍ 더 큰 문제 — 위법하게 모으면, 증거로 못 씁니다

설령 형사책임을 감수하고 자료를 확보했다 해도, 더 뼈아픈 문제가 남습니다.

위법하게 모은 자료는, 정작 재판에서 증거로 못 쓸 수 있습니다.

다만 사인(私人)이 수집한 증거라고 해서 무조건 배제되는 것은 아닙니다.

법원은 위법수집증거 배제법칙을 그대로 적용하는 대신, 진실발견이라는 공익과 침해되는 사익(인격적 이익)을 비교형량해 증거능력을 정합니다(대법원 2010. 9. 9. 선고 2008도3990 판결).

즉 위법의 정도가 크면 핵심 증거가 통째로 배제될 수 있고, 반대로 공익이 명백히 우월하면 인정되기도 합니다.

어느 쪽이 될지는 사안마다 갈립니다.

실제로 회사가 직원들의 동의 없이 설치·촬영한 CCTV 영상이라도, 법원이 비교형량 끝에 '형사처벌의 공익이 더 크다'며 증거능력을 인정한 하급심이 있습니다(창원지방법원 2021. 5. 26. 선고 2020고단224 판결).

반대로 위법의 정도가 크면 그대로 배제됩니다.

그래서 처음부터 적법하게 확보해 두는 것이 가장 안전합니다.

반면 불법감청·불법녹음으로 얻은 통신·대화 내용은 비교형량의 여지도 없이 절대적으로 배제됩니다 — 재판이든 징계든 증거로 쓸 수 없습니다(통신비밀보호법 제4조).

그래서 '실시간으로 가로채는' 방식이 가장 위험합니다.

가해자를 처벌하려다 증거를 잃는 것입니다.

그래서 "어떻게 열까"보다 "열어도 되는 상태를 미리 만들어 두는 것"이 핵심입니다.

▍ 평상시 갖춰 둘 것 — '열어도 되는 상태' 만들기

조사의 적법성은 결국 평소의 준비에서 갈립니다.

- 취업규칙·정보보호정책에 '회사 자산(PC·계정·메일·모바일)에 대한 모니터링 및 조사 가능'을 명시하고, 입사 시 서면 동의를 받아 둡니다.

- 개인정보처리방침에 근로자 개인정보 처리 항목·목적·조사 가능성을 반영합니다.

- 업무용/사적 사용을 분리 고지합니다("회사 자산은 업무용, 사적 사용 금지, 업무 결과물은 회사 귀속").

- 보안서약서·비밀유지서약서, 퇴사 시 자료 반납·삭제 확인서를 갖춥니다.

- 기기·계정의 소유·관리 주체를 회사로 명확히 합니다(회사 명의 기기·회사 도메인 계정).

이 준비는 영업비밀의 '비밀관리성' 요건(2편 참조)을 함께 강화한다는 점에서도 일석이조입니다.

▍ 동의서 한 장으로는 부족합니다 — 동의의 한계

여기서 한 가지를 분명히 짚고 가야 합니다.

위와 같이 취업규칙·정보보호정책에 모니터링 동의를 받아 두는 것은 필요조건이지 충분조건이 아닙니다. 동의서가 한 장 있다고 사후의 모든 감사가 자동으로 적법해지는 것은 아니라는 뜻입니다.

앞서 본 직원 PC 열람을 정당행위로 본 사례(대법원 2009. 12. 24. 선고 2007도6243 판결)도, 사실은 사전 약정 한 가지만으로 정당화된 것이 아닙니다. 법원은 긴급히 확인해야 할 구체적 혐의가 있었던 점, 검색을 혐의 관련 키워드로 한정한 점, 회사 소유의 업무용 기기였다는 점 등을 함께 고려해 정당행위로 판단했습니다.

사전 약정은 그 여러 요소 중 하나였을 뿐입니다.

또한 다수의 실무 해설은, 사용종속 관계에 있는 근로자가 입사 시 사실상 거절하기 어려운 형태로 서명한 포괄적·사전적 동의는 '자유로운 의사에 의한 진정한 동의'로 인정되기 어렵다고 평가합니다.

즉 동의서를 받아두는 것 자체가 무용한 것은 아니지만, 그 무게를 과신해선 안 된다는 뜻입니다.

그래서 동의 위에 다음이 함께 갖춰져야 비로소 사후 감사의 적법성이 인정될 가능성이 커집니다 — (i) 동의의 구체성·자발성(대상·사유·방식·주체를 분리해 열거), (ii) 사전 고지(개인정보처리방침에 처리 항목·목적·범위 반영), (iii) 감사 시점의 구체적 혐의, (iv) 범위 최소화(키워드·기간·폴더 한정), (v) 사적영역 배제(개인 카톡·개인 메일·실시간 감청 금지), (vi) 무결성 절차(이미징·해시·입회).

▍ 언제 적법한가 — 좁은 인정 사례와 한계

동의 없이 임직원의 기기를 들여다보고도 '적법'으로 인정된 사례가 아예 없지는 않습니다.

다만 그 문은 매우 좁습니다.

회사 대표가 직원의 배임 혐의를 확인하려고 그 직원이 쓰던 회사 PC의 하드디스크에서 혐의와 관련된 부분만 검색해 이메일·메신저를 열람한 사안에서, 법원은 이를 형법 제20조의 정당행위로 보아 무죄로 판단했습니다(서울동부지방법원 2007. 7. 5. 선고 2007노318 판결, 대법원 2009. 12. 24. 선고 2007도6243 판결로 확정).

다만 그 인정에는 엄격한 전제가 붙었습니다 — (가) 배임 등 구체적·합리적인 혐의, (나) 회사 소유의 업무용 기기, (다) 입사 시 무단사용 금지·업무 결과물의 회사 귀속 등 사전 약정, (라) 혐의와 관련된 최소한의 범위로 한정.

법원이 특히 강조한 것은 '혐의와 관련된 부분만' 보았다는 점이었습니다.

뒤집어 말하면, 이 선을 넘는 순간 처벌로 돌아옵니다.

전자기록등내용탐지죄(형법 제316조 제2항)나 정보통신망법 위반(제49조)은 실제로 성립하는 범죄입니다. 회사 대표와 감사가 직원의 카카오톡 대화내용을 열어본 사안에서는, '배임을 긴급히 확인하려던 것이라 정당행위'라는 주장이 받아들여지지 않고 유죄(벌금형)가 선고됐습니다(수원지방법원 안산지원 2020. 10. 29. 선고 2020고단49 판결).

같은 '정당행위' 주장이라도 개인 카톡 같은 사적 영역에 들어가는 순간 결과가 갈립니다.

심지어 회사를 살리겠다는 절박한 명분(회사 도산 위기)에서 직원에게 타인의 이메일 열람을 지시한 것조차, 대법원은 사생활 보호의 중요성에 비추어 정당방위·정당행위로 정당화되지 않는다며 유죄로 보았습니다(대법원 2003. 8. 22. 선고 2003도3344 판결).

명분이 절박하다고 면죄부가 되지는 않습니다.

그래서 부득이 조사에 들어가실 때는 다음을 지키셔야 합니다.

- 동의·입회를 우선합니다. 대상자의 서면 동의를 받고, 가능하면 본인 또는 제3자 입회하에 진행합니다.

사전 약정·동의가 두텁게 갖춰져 있을수록 정당행위로 인정될 가능성이 높아집니다.

- 사적 영역은 배제합니다. 개인 메신저(개인 카톡)·개인 이메일·개인 클라우드는 열지 않습니다.

실시간 통신 감청은 절대 금지입니다(통신비밀보호법 제4조).

- 무결성을 확보합니다. 이미징·해시값 기록 등 절차를 문서화합니다.

디지털 증거는 원본이 압수 시부터 출력 시까지 변경되지 않았다는 무결성과 이미징본·원본의 동일성(해시값 일치 등)이 인정돼야 증거능력을 얻습니다(대법원 2013. 7. 26. 선고 2013도2511 판결).

가장 안전한 길은 수사기관의 압수·수색영장을 통해 확보하는 것입니다.

동의·규정 없이 강행하기보다, 1편에서 말씀드린 '증거보전'에 집중하고 본격적인 열람은 동의 또는 수사기관 경로로 가시는 편이 회사를 가장 잘 지킵니다.

▍ 실무에서 챙기실 점

조사보다 준비가 먼저입니다. 사건은 예고 없이 터지지만, 적법성은 평소의 취업규칙·동의·정책에서 갈립니다.

분쟁 전에 정비해 두십시오.

'회사 것'과 '개인 것'을 구분하십시오. 회사 계정·업무 폴더와 개인 카톡·개인 메일은 법적으로 전혀 다른 영역입니다.

후자를 건드리는 순간 위법이 됩니다.

열기 전에 변호사와 범위를 정하십시오. 어떤 키워드로, 어디까지, 누구 입회하에 볼지를 사전에 설계해야 증거능력을 지키고 회사를 보호할 수 있습니다.

태그

#법률사무소최앤컴퍼니 #최준홍변호사 #서초구변호사 #영업비밀 #디지털포렌식 #개인정보보호법 #통신비밀보호법 #정보통신망법 #위법수집증거 #증거능력 #취업규칙 #영업비밀침해 #기업송무 #기술유출