개인정보가 대규모로 유출되었다는 뉴스를 접하면 많은 피해자들이 분노하며 ‘해당 기업 대표와 담당자를 경찰에 고소해서 징역을 살게 하거나 무거운 벌금을 물릴 수 없는가?’라는 의문을 제기합니다. 특히 수억 명 분량의 데이터가 돌아다니는 디지털 시대에 형사 처벌의 기준을 정확히 아는 것은 매우 중요한 법률 지식입니다.
하지만 현행 형법과 개인정보 보호법 체계에서 ‘단순히 해킹을 당해 유출 사고가 발생했다’는 사실 자체만으로 기업이나 담당자가 무조건 형사 고소되어 징역형이나 벌금형을 받는 것은 아닙니다. 법률상 형사 처벌은 직무상 알게 된 개인정보를 고의로 제3자에게 누설·제공하거나, 정당한 권한 없이 불법 조작한 ‘고의적 위법 행위’에 엄격히 적용되기 때문입니다.
본 가이드에서는 개인정보 유출에 따른 형사 처벌(5년 이하 징역 또는 5천만원 이하 벌금)의 실제 적용 요건과 함께, 기업에 부과되는 행정 과징금·과태료와의 명확한 차이, 그리고 범죄 피해 시 경찰 사이버범죄 신고시스템(ECRM) 고소장 작성 요령을 상세히 설명해 드립니다.
- 형사처벌의 엄격한 고의성 요건: 개인정보 보호법 제71조는 업무상 알게 된 개인정보의 고의 누설, 무단 유출, 영리 목적 매매 등에 대해 5년 이하 징역 또는 5천만원 이하 벌금을 규정하며, 단순 과실 해킹 피해에는 형벌이 직접 적용되지 않습니다.
- 과징금(행정벌) vs 벌금(형벌)의 결정적 차이: 쿠팡의 6,246억원 과징금처럼 기업에 부과되는 것은 행정상 제재금(과징금)이며, 형사 재판을 통해 전과 기록이 남는 벌금형과는 법률적 성격이 완전히 다릅니다.
- 경찰 형사고소 가능 사안: 유출된 개인정보를 이용해 보이스피싱, 무단 소액결제, 명의도용 대출 등 실질적 범죄를 저지른 해커 및 사기 일당에 대해서는 사기·공갈·정보통신망법 위반으로 즉시 형사 고소할 수 있습니다.
1. 개인정보 침해신고와 형사 고소는 무엇이 다른가
개인정보 침해신고는 행정기관인 KISA와 개인정보보호위원회에 기업의 보안 규정 위반을 조사해 달라고 요청하는 행정적 절차입니다. 반면 형사 고소는 수사기관(경찰, 검찰)에 범죄 사실을 신고하여 가해자를 체포하고 법원에 기소하여 징역이나 벌금 등의 형사처벌을 받게 해 달라는 사법적 의사표시입니다.
따라서 기업의 관리 부실에 대해선 행정 침해신고를 진행하고, 유출 데이터를 악용해 금전을 갈취한 범죄자에 대해서는 경찰 형사고소를 진행해야 합니다.
2. 개인정보가 유출됐다고 기업이 모두 형사처벌을 받지 않는 이유
대한민국 형법의 대원칙은 ‘과실범은 법률에 특별한 규정이 있는 경우에만 예외적으로 처벌한다’는 고의범 처벌 원칙입니다. 외부 해커의 정밀 타깃 공격(APT)으로 인해 방화벽이 뚫리고 데이터가 유출된 경우, 기업 입장에서는 보안 취약점에 대한 과실(부주의)은 인정될 수 있으나, 해킹 공격 자체를 능동적으로 의도한 고의범은 아닙니다.
따라서 해킹 피해 기업에게는 주로 기술적 보호조치 미비에 따른 행정 과징금과 손해배상 책임이 부과되며, 담당 임직원이 곧바로 교도소에 수감되거나 형사 처벌을 받는 것은 아닙니다.
3. 개인정보 보호법상 5년 이하 징역 또는 5천만원 이하 벌금 요건
개인정보 보호법 제71조가 엄격하게 형사처벌(5년 이하의 징역 또는 5천만원 이하의 벌금)을 적용하는 구체적인 행위 유형은 다음과 같습니다.
- 업무상 비밀 누설: 개인정보를 처리하거나 처리하였던 자가 직무상 알게 된 개인정보를 누설하거나 권한 없이 다른 사람이 이용하도록 제공한 경우.
- 부정한 목적의 정보 취득·이용: 거짓이나 부정한 수단이나 방법으로 개인정보를 취득하거나 그 처리에 관한 동의를 받는 행위.
- 영리 목적의 불법 유통: 유출된 개인정보를 사들여 마케팅, 텔레마케팅, 스팸 발송 업체 등에 재판매하여 금전적 이득을 취한 경우.
4. 과징금, 과태료, 형사 벌금의 명확한 법률적 차이 비교
| 구분 | 부과 주체 | 법적 성격 및 규모 | 전과 기록 여부 |
|---|---|---|---|
| 과징금 | 개인정보보호위원회 | 전체 매출액의 최대 3%까지 부과되는 행정적 금전 제재 | 전과 없음 (행정처분) |
| 과태료 | 행정관청 (개인정보위 등) | 72시간 지연 통지 등 경미한 행정 의무 위반 (최대 5천만원) | 전과 없음 (질서벌) |
| 벌금 | 형사 법원 (판사) | 형사재판 유죄 판결로 부과되는 국가 형벌 (최대 5천만원 등) | 전과 기록 남음 (형벌) |
5. 경찰 고소장을 제출하려면 어떤 증거 자료를 준비해야 하나
수사기관에 고소장을 접수할 때는 ‘고소 사실의 특정’이 필수적입니다. 단순히 “내 정보가 유출되었으니 잡아달라”는 식의 고소장은 반려될 확률이 높습니다. 유출 통지 내역, 피해 발생 일시, 무단 이체된 은행 계좌 내역서, 피싱범과 주고받은 통화 녹음이나 카카오톡 대화 내용 등을 첨부하여 범죄 피해와의 인과관계를 소명해야 합니다.
6. 경찰청 사이버범죄 신고시스템(ECRM) 고소 접수 절차
경찰청 ECRM(ecrm.police.go.kr)에 접속하여 공동인증서나 간편인증으로 로그인한 뒤, 민원 유형에서 ‘사이버범죄 고소/신고’를 선택합니다. 온라인 문답식 질의응답을 거쳐 사건 내용을 입력하고 증거 파일을 업로드하면 접수 번호가 발급되며, 담당 수사관 배정 후 출석 일정을 조율하게 됩니다.
7. 고소 이후 형사재판 진행과 피해자의 배상명령신청 활용법
경찰 수사로 해커나 사기범이 검거되어 검찰에 기소되면, 피해자는 별도의 비싼 민사소송을 제기하지 않고도 형사재판 1심 또는 2심 변론종결 전까지 ‘배상명령신청’을 법원에 제출할 수 있습니다. 배상명령이 인용되면 형사 판결문 자체로 가해자의 재산에 강제집행을 할 수 있는 강력한 집행권원을 얻게 됩니다.
8. 자주 묻는 질문 (FAQ 8문 8답)
고소장 제출 자체는 가능하지만, 대표이사가 해킹을 직접 지시하거나 공모한 고의가 입증되지 않는 한 무혐의(증거불충분) 불송치 처분이 내려질 가능성이 매우 높습니다.
해외 조직의 경우 수사에 시일이 걸리지만, 인터폴 공조 수사 및 국내 인출책·전달책 수사를 통해 하부 조직원을 우선 검거하고 피해금을 동결할 수 있습니다.
아닙니다. 피해 사실과 증거가 명확하다면 경찰청 ECRM의 표준 서식을 이용하여 개인이 직접 작성하여 제출할 수 있습니다.
아닙니다. 과징금은 국가 국고로 환수되는 행정 제재금이며 피해자 개인에게 배상금으로 배분되지 않습니다. 피해자는 별도 민사배상이나 분쟁조정을 청구해야 합니다.
업무상 배임 및 개인정보 보호법 제71조 위반으로 5년 이하 징역 또는 5천만원 이하 벌금의 무거운 실형 처벌을 받게 됩니다.
가해자가 검거된 경우 형사 처벌 감경을 위해 피해자에게 합의를 요청해 올 수 있으며, 이때 피해 원금과 위자료를 합의금 형태로 회수할 수 있습니다.
아닙니다. 법원에 제출하는 배상명령신청은 인지대와 송달료가 전액 면제되는 무료 피해 구제 제도입니다.
사이버 범죄 수사는 계좌 및 IP 추적에 통상 2~3개월이 소요되며, 가해자 특정 여부에 따라 사건 처리 기간이 연장될 수 있습니다.