사내 메신저 열람, 개인정보보호법 위반일까요?

징계 면담에서 상사가 사내 메신저 내용을 언급했습니다. 인사팀이 대화 내용을 알고 있는 것 같습니다. 동료로부터 "IT팀이 메신저 본다"는 말을 들었습니다.

이런 상황에 처한 직장인 대부분이 같은 생각을 합니다. "어차피 회사 메신저니까 회사가 볼 수 있는 거 아닌가?" 회사 소유 시스템이라는 이유로 열람 권한까지 회사에 있다고 생각하기 쉽습니다. 개인정보보호법은 이 전제부터 다르게 봅니다.

회사 소유 메신저라도 대화내용은 개인정보입니다

회사가 제공한 메신저라도 그 안의 대화내용은 회사 소유가 아닙니다.

개인정보보호법 제2조 제1호는 개인정보를 "살아 있는 개인에 관한 정보로서 개인을 알아볼 수 있는 정보"로 정의합니다. 사내 메신저에서 개인정보에 해당하는 항목은 다음과 같습니다.

• 대화내용: 발신자·수신자·내용이 모두 기록됩니다

• 접속기록·로그: 언제 접속해 얼마나 사용했는지의 행동 기록입니다

• 발신 시각: 특정 직원의 활동 패턴을 드러내는 정보입니다

이 항목들은 단독으로 또는 다른 정보와 결합해 특정 직원을 식별합니다. 개인정보보호법이 보호하는 개인정보에 해당합니다.

같은 법 제2조 제5호는 업무를 목적으로 개인정보를 처리하는 공공기관, 법인, 단체 및 개인 등을 "개인정보처리자"로 규정합니다.

직원의 메신저 데이터를 수집하거나 열람하는 회사는 개인정보처리자로서 법이 정한 요건을 갖춰야 합니다. 기기나 시스템의 소유권은 이 판단과 무관합니다.

사내 메신저 열람, 동의 없으면 징역형입니다

위반 유형에 따라 처벌 수위가 달라집니다.

형사처벌이 적용되는 경우가 있습니다. 수집한 메신저 내용을 당초 목적 외로 사용하거나 제3자에게 제공한 경우가 여기에 해당합니다.

-개인정보보호법 제71조 제2호

이 처벌 규정이 존재하는 이유가 있습니다. 개인정보보호법 제15조 제1항은 개인정보를 수집하려면 원칙적으로 정보주체의 동의를 받아야 한다고 규정합니다.

동의를 받을 때는 수집 목적·항목·보유 기간을 알려야 하며, 직원에게는 동의를 거부할 권리가 있습니다. 동의 없이 메신저를 열람한 행위는 그 자체로 개인정보보호법 위반입니다.

나아가 그렇게 수집한 정보를 당초 목적 외로 사용하거나 제3자에게 제공한 경우에는 제71조 제2호에 따라 형사처벌까지 적용됩니다.

회사 규정에 명시하면 사내 메신저 열람이 합법인가요?

회사 측이 가장 자주 내세우는 반론이 "전산망 이용 규정에 명시했다"는 주장입니다. 이 경우 합법과 위법의 경계는 아래 기준으로 나뉩니다.

개인정보보호법 제18조는 당초 수집 목적 외 이용을 원칙적으로 금지합니다. 취업규칙에 "전산망 사용 내역을 확인할 수 있다"고만 명시된 경우, 대화내용 열람까지 허용됐다고 해석하기 어렵습니다.

사내 메신저 열람 여부 알 수 있을까?

열람 사실을 추측하고 있지만 확인하지 못한 경우, 개인정보보호법이 보장하는 권리를 활용할 수 있습니다.

개인정보 열람청구권 행사

개인정보보호법 제35조 제1항은 직원이 회사에 자신의 개인정보 열람을 직접 요구할 수 있는 권리를 보장합니다. 인사팀이나 개인정보보호책임자(CPO)에게 서면 또는 이메일로 아래 항목의 열람을 공식 요청하는 방식입니다.

• 회사가 수집·보유 중인 메신저 접속기록

• 대화내용 열람 여부 및 열람 일시

• 열람 담당자 또는 부서

• 수집 목적 및 보유 기간

요청 사실 자체가 기록으로 남습니다. 이후 분쟁이 생겼을 때 회사가 정보 제공을 거부했다는 사실 역시 증거로 씁니다.

회사가 거부하면?

개인정보보호법 제35조 제4항은 법률에 따라 열람이 금지된 경우, 타인의 생명·신체·재산을 침해할 우려가 있는 경우 등 제한적 사유에서만 거절을 허용합니다.

일반 기업은 공공기관과 달리 적용되는 거절 사유가 더 좁아, 사실상 위 두 가지 사유에 해당하지 않으면 거절하기 어렵습니다. 정당한 사유 없이 열람을 거부하거나 묵살하는 것 자체가 개인정보보호법 위반이며, 이 경우 개인정보보호위원회에 신고할 수 있습니다.

처리 정지 요구 절차

열람 확인 이후에도 메신저 데이터의 추가 처리를 막는 방법이 있습니다. 개인정보보호법 제37조 제1항에 따른 처리 정지 요구입니다. 절차는 아래와 같습니다.

1. 인사팀 또는 개인정보보호책임자에게 처리 정지 요구 (서면·이메일 모두 가능)

2. 회사는 원칙적으로 지체 없이 전부 또는 일부 처리를 정지해야 합니다. 다만 사내 메신저처럼 업무용 시스템의 경우, 회사가 '계약 이행이 곤란하다'는 사유(제37조 제2항 제4호)를 들어 처리 정지를 거절할 수 있습니다

3. 거절할 경우 지체 없이 그 사유를 알려야 하며, 정당한 사유 없는 거절은 제75조 제2항 제23호에 따라 과태료 부과 대상입니다

개인정보보호법 위반 시 대응 방법

증거가 있다면

징계 자료에 메신저 내용이 포함됐거나 상사가 대화내용을 직접 언급한 경우입니다. 아래 세 가지 절차를 상황에 따라 선택하거나 동시에 진행할 수 있습니다.

1. 개인정보보호위원회 신고: privacy.go.kr 온라인 접수. 사실조사 후 시정명령·과징금·과태료로 이어지는 행정 제재 절차입니다.

2. 형사 고소: 경찰서 또는 검찰청에 고소장을 제출합니다. 수사 과정에서 열람 사실이 공식 확인되면 이후 민사 청구에서도 유리하게 작용합니다.

3. 민사 손해배상 청구: 개인정보보호법 제39조 제1항 근거. 입증책임이 전환되어 회사 측이 고의·과실이 없음을 스스로 증명해야 합니다. 손해액 산정이 어렵다면 같은 법 제39조의2에 따라 300만 원 이하의 법정손해배상을 청구할 수 있습니다. 고의 또는 중대한 과실로 인해 개인정보가 분실·도난·유출·위조·변조·훼손된 경우에는 손해액의 5배까지 인정될 수 있습니다(제39조 제3항).

증거가 없다면

열람 정황만 있고 직접 증거가 없다면 앞서 설명한 개인정보 열람청구권을 먼저 행사합니다. 회사의 응답 여부와 내용이 새로운 증거가 됩니다. 열람을 거부했다면 그 거부 사실 자체를 개인정보보호위원회에 신고할 수 있습니다.

퇴사 후 열람이 의심된다면

재직 중에는 취업규칙 동의가 있었다는 회사 측 주장이 가능합니다. 퇴사 후에는 업무 목적의 처리 근거가 소멸하므로, 보존 의무가 있는 서류 등 법령상 근거가 없는 한 개인정보를 계속 처리할 정당한 사유가 없습니다.

전 직원의 계정에 접근하거나 대화내용을 열람하는 행위는 동의 근거가 없는 상태에서 이뤄지므로 위법 가능성이 더 높습니다. 이 경우 열람청구와 개인정보보호위원회 신고를 동시에 진행하는 방식이 실익이 큽니다.

사내 메신저 열람이 개인정보보호법 위반에 해당하는지는 취업규칙의 내용, 동의 방식, 실제 열람 범위에 따라 달라집니다. 신고·고소·민사 청구 중 어떤 경로가 유효한지도 사안마다 판단이 다릅니다. 개인정보 침해 분쟁 경험이 있는 변호사와 구체적인 사실관계를 검토하는 단계가 필요한 이유입니다.

자주 묻는 질문

Q1.신고하면 회사에 바로 알려지나요?

개인정보보호위원회에 신고한다고 해서 회사에 즉시 통보되는 것은 아닙니다. 신고 접수 후 위원회가 사실관계를 조사하는 과정에서 회사에 자료 제출을 요구할 수 있고, 이 시점에 회사가 조사 사실을 인지하게 됩니다.

신고인 정보는 원칙적으로 보호되지만, 조사 진행 중 신고인이 특정될 가능성이 완전히 없지는 않습니다. 신분 노출이 우려된다면 법률 전문가와 상의한 뒤 신고 여부와 시점을 결정하는 것이 좋습니다.

Q2.위법하게 수집한 메신저 내용으로 징계를 받았다면 징계가 무효인가요?

위법하게 수집한 증거로 이뤄진 징계가 곧바로 무효가 되는 것은 아닙니다. 노동 분야에서 법원은 징계의 효력을 판단할 때 증거 수집 방법보다 징계 사유가 실제로 존재하는지, 절차가 적법했는지를 중심으로 판단하는 경향이 있습니다. 다만 위법 수집 증거의 사용이 징계 효력에 미치는 영향은 사안마다 달라질 수 있습니다.

다만 위법 수집 증거가 징계의 유일한 근거였다면 징계 사유 자체를 다툴 수 있고, 증거 수집 과정의 개인정보 침해에 대해서는 별도로 손해배상을 청구할 수 있습니다. 두 가지를 분리해서 대응하는 전략이 필요합니다.

Q3.손해배상 청구 시 실제로 얼마나 받을 수 있나요?

개인정보보호법 제39조의2에 따른 법정손해배상은 300만 원 이하의 범위에서 법원이 인정합니다. 실제 손해액이 이를 초과한다면 제39조 제1항에 따라 실손해를 청구할 수 있고, 고의 또는 중대한 과실이 있는 경우에는 손해액의 최대 5배까지 인정될 수 있습니다(제39조 제3항).

다만 법정손해배상 청구는 개인정보가 분실·도난·유출·위조·변조·훼손된 경우에 적용되므로, 단순 열람 행위가 이에 해당하는지는 사안에 따라 판단이 달라집니다. 실무상 개인정보 침해로 인정된 사건에서 위자료는 수십만 원에서 수백만 원 수준으로 인정되는 경우가 많습니다.