개인정보보호법 위반 책임 검토, 회사와 직원 책임구조 및 면책요건 자문

의뢰인은 고객과 임직원의 개인정보를 처리하는 기업으로, 업무 과정에서 개인정보보호법 위반이 발생한 경우 회사와 직원의 책임이 어떻게 구분되는지 법률검토를 요청했습니다.

개인정보처리자인 회사와 개인정보취급자인 직원의 민·형사상 책임, 양 당사자의 법적 관계, 직원의 일탈행위와 회사의 관리소홀에 따른 책임 또는 면책 가능성을 함께 확인할 필요가 있었습니다.

자문은 별도의 정식 의견서 대신 각 질의사항에 대한 항목별 검토의견을 제공하는 방식으로 진행했습니다.

 

1. 직원의 고의·과실에 따른 민·형사상 책임 범위

개인정보를 직접 처리한 직원에게 문제가 발생한 경우, 고의로 개인정보를 누설·제공한 것인지 단순한 업무상 착오나 과실인지에 따라 책임을 구분해 검토할 필요가 있었습니다.

 

2. 회사의 책임과 위반 방지를 위한 상당한 주의·감독 여부

직원의 위반행위가 발생했더라도 회사의 책임이 항상 동일하게 인정되는 것은 아니므로, 회사가 접근권한 관리와 개인정보보호 교육 등 필요한 주의·감독을 실제로 이행했는지가 주요 쟁점이었습니다.

 

3. 개인정보처리자·개인정보취급자의 관계 및 책임 소명자료

회사와 직원의 법적 관계를 어떻게 볼 것인지와 함께, 사고 발생 시 각 당사자의 책임 범위를 설명하기 위해 어떤 내부 자료를 확보해야 하는지도 검토할 필요가 있었습니다.

 

1. 직원의 민·형사상 책임을 고의·과실에 따라 구분

디센트 법률사무소는 개인정보취급자가 고의로 개인정보를 누설하거나 제공한 경우의 형사책임과, 착오 또는 과실로 손해가 발생한 경우의 민사상 책임을 구분해 검토했습니다.

특히 단순한 업무상 실수인지, 개인정보를 누설·제공한다는 인식이 있었는지에 따라 책임 판단이 달라질 수 있다는 점을 정리했습니다.

 

2. 회사의 책임과 관리·감독 요건 검토

직원의 위반행위와 관련해 회사의 책임이 문제될 수 있는 구조를 검토하고, 접근권한 최소화, 개인정보보호 교육, 내부 관리계획, 접속기록 관리 등 위반 방지를 위한 주의·감독을 실제로 이행했는지​를 확인할 필요가 있다는 의견을 제공했습니다.

단순히 내부 규정을 마련해 둔 것만으로 판단하기보다 실제 관리·감독이 이루어졌음을 확인할 수 있는 자료가 중요하다는 점도 함께 정리했습니다.

 

3. 사고 발생 시 책임 소명자료와 내부통제 보완

회사 관리체계 미비가 사고 원인으로 문제될 경우 직원이 회사의 공식 지시와 통상적인 업무절차를 준수했다는 점을 확인할 수 있도록 업무지시서, 내부 결재, 이메일, 시스템 처리기록 등의 확보 필요성​을 안내했습니다.

동시에 회사가 보완해야 할 접근권한·교육·접속기록·업무지시 체계도 구체적으로 점검했습니다.