비밀유지서약서 완벽 가이드: 작성 절차·필수 항목·양식까지

비밀유지서약서를 받아두긴 했는데 막상 분쟁이 생기면 법적으로 유효할까 걱정되신 적 있으신가요? 핵심 개발자가 경쟁사로 이직하거나 외주 개발사에 소스코드를 넘겨야 하는 상황에서 이 불안감은 꽤 현실적입니다.

실무에서 보면 서약서를 분명히 받아뒀는데도 '보호 대상 정보를 특정하지 않았다'거나 '작성 타이밍이 늦었다'는 이유로 효력이 부정되는 사례가 적지 않아요.

이 글에서는 비밀유지서약서의 작성 절차, 필수 기재 항목, 상황별 양식 차이, 위반 시 대응 방법까지 IT 스타트업·중소기업 담당자가 실무에서 바로 활용할 수 있도록 정리했습니다.

비밀유지서약서 징구 절차와 효력 요건

비밀유지서약서는 단순히 종이에 서명을 받는 행위가 아니에요. '언제, 누구에게, 어떤 방식으로' 받느냐에 따라 법적 효력이 달라집니다.

특히 부정경쟁방지 및 영업비밀보호에 관한 법률(이하 부정경쟁방지법)은 영업비밀로 인정받기 위한 요건 중 하나로 '비밀관리성'(해당 정보를 실제로 비밀로 관리하고 있었다는 사실)을 요구하는데, 서약서를 제대로 징구(받아서 보관)하지 않으면 이 요건 자체가 흔들릴 수 있습니다.

징구 타이밍별 3단계: 입사 전·재직 중·퇴직 시

비밀유지서약서는 고용관계의 전 주기에 걸쳐 받아두는 것이 원칙입니다. 타이밍별로 역할이 조금씩 다르기 때문에 어느 한 시점만 챙겨서는 충분하지 않아요.

1. 입사 전 또는 입사 시점:

근로계약서와 함께 징구하는 것이 가장 효과적입니다. 이 시점에 서약서를 받아두면 입사 전부터 회사 정보에 접근하게 되는 상황(수습 기간, 온보딩 교육 등)에서도 비밀유지 의무가 발생했음을 명확히 할 수 있어요.

다만 이미 입사한 직원에게 새롭게 서약서를 요구할 경우, 별도의 대가(급여 인상, 인센티브 등) 없이 의무만 추가되는 것이어서 효력이 다소 약해질 수 있다는 점을 알아두셔야 합니다.

2. 재직 중 특정 프로젝트 착수 시:

핵심 기술이나 고객 정보를 다루는 프로젝트에 새로 투입되는 시점에도 별도 서약서를 받는 것이 좋습니다. 보호 대상 정보가 프로젝트별로 달라질 수 있기 때문이에요. 외주 개발사나 협력업체 소속 인력이 투입된다면 반드시 이 시점에 서약서를 징구해야 합니다.

3. 퇴직 시:

퇴사 처리 절차 중 반환 확인서·파기 확인서와 함께 비밀유지서약서를 다시 받는 것이 바람직합니다. 퇴직 후 의무가 지속된다는 점을 재확인시키는 효과가 있고 나중에 '몰랐다'는 항변을 차단할 수 있어요.

서약서 작성 → 교부 → 보관 → 위반 시 대응까지 단계별 체크리스트

아래 흐름을 단계별로 확인해 두시면 실무에서 빠뜨리는 항목을 줄일 수 있습니다.

필수 기재 항목 7가지

절차 흐름을 파악했다면 이제 실제 서약서 안에 무엇을 써야 하는지가 궁금해지실 겁니다. 아무리 형식을 갖춰 받아도 내용이 부실하면 법원에서 효력이 부정됩니다.

부정경쟁방지법상 영업비밀로 보호받으려면 해당 정보가 '비밀로 관리되고 있음'을 회사가 입증해야 하는데 서약서는 그 관리 의지를 보여주는 핵심 문서예요.

부정경쟁방지 및 영업비밀보호에 관한 법률 제2조 제2호

"영업비밀"이란 공공연히 알려져 있지 아니하고 독립된 경제적 가치를 가지는 것으로서, 비밀로 관리된 생산방법, 판매방법, 그 밖에 영업활동에 유용한 기술상 또는 경영상의 정보를 말한다.

보호 대상 정보의 구체적 범위 특정

가장 중요하면서도 가장 많이 틀리는 항목입니다. '회사의 모든 정보'처럼 포괄적으로 적으면 법원에서 범위 특정이 불충분하다는 이유로 효력이 제한될 수 있어요.

반면 지나치게 좁게 적으면 실제로 유출된 정보가 서약서 범위에 포함되지 않는 문제가 생깁니다.

실무적으로는 ▲소스코드 및 알고리즘 ▲고객 명단·계약 조건 ▲미출시 제품 로드맵 ▲내부 단가·원가 정보 ▲API 키·접속 인증 정보처럼 카테고리 단위로 열거하되 말미에 '이에 준하는 정보로서 회사가 비밀로 지정한 것'이라는 보완 조항을 두는 방식이 적절합니다.

비밀유지 의무의 존속 기간

재직 중의 의무는 당연하고 퇴직 이후 의무 기간을 얼마로 정하느냐가 핵심입니다. 실무에서 많이 쓰는 기간은 퇴직 후 2~3년이에요.

다만 기간이 지나치게 길면 법원이 직업 선택의 자유를 과도하게 제한한다고 보아 효력을 부정할 수 있습니다. 이 쟁점은 아래 "서약서를 받았어도 무력화되는 4가지 상황과 예방법"에서 별도로 다룹니다.

위반 시 손해배상·위약벌 조항

손해배상과 위약벌은 구분해서 이해해야 합니다. 손해배상은 실제 손해를 입증해야 하지만 위약벌은 손해 발생 여부와 무관하게 약정된 금액을 청구할 수 있어요. 두 조항을 같이 기재하면 입증 부담을 줄이는 데 도움이 됩니다.

다만 위약벌 금액이 지나치게 과도하면 법원이 금액을 깎아줄 수 있어요. 민법은 '위약금'이라고 적어둔 약정을 일단 손해배상 예정액으로 보고(제398조 제4항), 그 금액이 부당하게 크면 법원이 적당히 줄여줄 수 있다고 정하고 있습니다(같은 조 제2항).

다만 서약서에 '이건 손해배상이 아니라 순수하게 위반에 대한 제재금이다'라고 명확히 적어둔 경우에는 이 추정이 적용되지 않고, 대신 금액이 지나치게 과도해 사회통념상 받아들이기 어려운 수준이라면 민법 제103조(반사회질서의 법률행위)에 따라 효력 자체가 부정될 수 있습니다.

반환·파기 의무 및 서약서 외 기타 필수 항목

그 밖의 필수 항목은 다음과 같습니다.

• 반환·파기 의무: 퇴직 또는 프로젝트 종료 시 회사 자료·사본·복사본을 반환하거나 파기할 의무를 명시합니다. 클라우드·개인 기기에 저장된 데이터까지 포함하도록 명확히 적는 것이 좋아요.

• 목적 외 사용 금지: 업무 목적 이외의 용도로 사용하거나 제3자에게 제공·누설하는 행위를 금지하는 조항입니다.

• 준거법 및 관할: 분쟁 발생 시 적용 법률(대한민국 법)과 관할 법원을 명시합니다. 외국인 임직원이나 해외 법인과의 계약에서는 특히 중요해요.

• 독립성 조항: 서약서 일부 조항이 무효로 판정되더라도 나머지 조항의 효력은 유지된다는 문구를 포함합니다.

상황별 양식 차이

필수 항목을 파악했다면 이제 실제로 어떤 양식 형태로 구현하는지가 중요해집니다. 인터넷에서 무료로 구할 수 있는 표준 양식이 있지만 이를 그대로 사용하기엔 한계가 분명해요.

임직원용 vs 외주·협력업체용 양식 비교

서약서의 형식과 내용은 서명 주체가 개인(임직원)이냐, 법인(외주·협력업체)이냐에 따라 달라집니다.

IT 스타트업·소프트웨어 개발 환경에 맞는 항목 추가 포인트

IT 업종은 보호해야 할 정보의 성격이 다른 업종과 다릅니다. 일반적인 양식에 아래 항목을 추가하거나 구체화해야 해요.

• 소스코드 버전 관리 데이터: Git 저장소, 커밋 이력, 브랜치 정보 등을 보호 대상에 명시합니다.

• API 키·인증 정보: 회사 또는 고객사의 API 키, OAuth 토큰, 데이터베이스 접속 정보를 포함합니다.

• 고객 데이터 및 로그: 개인정보보호법상 의무와 별개로, 서비스 이용 로그·분석 데이터도 영업비밀 범주에 포함될 수 있어요.

• 클라우드·원격 접근 종료 의무: 퇴사 또는 계약 종료 후 클라우드 계정(AWS, GCP 등), 협업 툴(Slack, Notion, GitHub 등) 접근을 즉시 차단하고 계정을 반납하도록 명시합니다.

• 역공학(리버스 엔지니어링) 금지: 제공받은 소프트웨어를 분해·분석하는 행위를 명시적으로 금지합니다.

무료 표준 양식의 한계와 커스터마이징 포인트

포털이나 법령정보사이트에서 구할 수 있는 표준 양식은 대부분 보호 대상 범위가 지나치게 일반적이고 IT 환경에 특화된 항목이 빠져 있습니다.

또한 준거법·관할 조항이 없거나 전자서명 유효성에 관한 언급이 없는 경우가 많아요. 외주·협력업체에 그대로 사용하면 재하도급 제한이나 감사 권한 조항이 누락되기도 합니다.

결국 표준 양식은 초안 검토 참고용으로만 활용하고 실제 사용 전에 업종·상황에 맞게 커스터마이징하는 과정이 필요합니다. 특히 보호 대상 정보를 얼마나 구체적으로 특정하느냐가 분쟁에서 결정적인 역할을 해요.

효력이 무력화되는 4가지 상황

형식과 내용을 갖춘 서약서를 받아두더라도 분쟁에서 효력이 부정되는 경우가 실무에서 꽤 자주 발생합니다. 어떤 패턴이 문제인지 파악해 두면 사전에 예방할 수 있어요.

1. 작성 타이밍 놓쳤을 때: 소급 적용의 한계

이미 재직 중인 직원에게 뒤늦게 서약서를 받으면 서약서 작성 이전에 접근한 정보에는 소급 적용이 어렵습니다. 더 중요한 문제는, 서명 당시 아무런 대가 없이 의무만 부과하는 경우 '충분한 의사합치가 없었다'는 항변이 제기될 수 있다는 점이에요.

재직 중에 새롭게 서약서를 받아야 한다면 적어도 직무 변경·승진·특별 프로젝트 투입 등 맥락을 연결하거나 소정의 대가(처우 개선 등)를 병행하는 것이 효력을 강화하는 방법입니다.

2. 보호 대상 정보를 특정하지 않았을 때

앞서도 강조했지만 '회사 내 모든 정보'처럼 포괄적으로 기재한 서약서는 법원에서 '무엇이 보호 대상인지 특정할 수 없다'는 이유로 효력이 제한됩니다.

피고(전 직원)는 '나는 회사가 어떤 정보를 비밀로 관리하는지 명확히 알지 못했다'고 항변할 수 있어요. 서약서 작성 시 카테고리별로 구체적으로 열거하고 회사 내부 정책이나 보안등급 분류와 연동시키는 것이 바람직합니다.

셀프 체크: 지금 보유한 서약서에 '소스코드', '고객 명단', 'API 키'처럼 구체적 정보 유형이 나열되어 있나요? 없다면 검토가 필요합니다.

3. 퇴직자 대상 장기 의무 기간이 무효 판정받는 기준

퇴직 후 비밀유지 기간을 지나치게 길게 설정하면 법원이 직업 선택의 자유와의 균형을 이유로 일부 또는 전부의 효력을 부정하는 경우가 있습니다. 다만 법원이 일률적으로 적용하는 고정된 기간 기준은 없습니다.

회사가 보호할 만한 이익이 실제로 있는지, 퇴직한 직원이 어떤 지위에서 어떤 업무를 했는지, 기간과 적용 범위가 합리적인지, 그 대가로 무언가를 제공했는지를 사안마다 따져서 판단합니다.

-대법원 2010. 3. 11. 선고 2009다82244 판결 참조

실무에서는 2~3년을 기준으로 잡는 경우가 많지만 이는 법원이 일반적으로 보장하는 기간이 아니라 사안에 따라 더 짧게도, 더 길게도 인정될 수 있는 실무 관행이라는 점에 유의해야 합니다.

셀프 체크: 서약서에 퇴직 후 의무 기간이 명시되어 있나요? '영구적' 또는 '기간 미정'으로 되어 있다면 효력이 제한될 위험이 있습니다.

4. 증거 보존 실패: 원본 분실·전자서명 미비

서약서를 받아뒀더라도 원본이 없으면 분쟁에서 제출할 수가 없습니다. 특히 전자서명으로 받은 경우, 서명 플랫폼의 서명 로그·타임스탬프·본인 확인 방식이 제대로 기록되어 있지 않으면 진정성 입증이 어려워요. 전자서명법상 전자서명 인증 플랫폼(예: 전자서명 인증 서비스)을 활용하면 서명의 진정성을 높일 수 있습니다.

셀프 체크: 전자서명으로 받은 서약서가 있다면, 서명 로그와 타임스탬프 기록이 보존되어 있나요? 원본 PDF와 서명 인증 데이터를 함께 안전한 위치에 보관하고 있나요?

위반 시 대응 절차

서약서가 갖는 실질적 무효화 위험을 점검했다면 실제로 위반이 발생했을 때 어떻게 대응하는지도 알아두셔야 합니다. 위반 사실을 인지한 순간부터 대응 절차가 시작됩니다.

위반 인지 → 증거 확보 → 내용증명 발송 순서

가장 먼저 해야 할 일은 증거 확보입니다. 내용증명 발송이나 법적 조치보다 증거 확보가 우선이에요. 상대방에게 위반 사실을 알리기 전에 증거를 보전해 두지 않으면 상대방이 데이터를 삭제하거나 파기할 위험이 있습니다.

증거를 확보한 후에는 내용증명을 발송합니다. 내용증명은 법적 강제력이 있는 서류는 아니지만 두 가지 기능을 합니다. 상대방이 위반 사실을 인지했음을 공식적으로 확인시키고, 추후 소송에서 '요청했음에도 중단하지 않았다'는 점을 입증하는 데도 쓰입니다.

내용증명에는 위반 행위의 구체적 내용, 즉각 중단 요구, 유출 자료 반환·파기 요구, 불응 시 법적 조치를 취하겠다는 의사를 명시합니다.

IT 업종 특수: 소스코드·데이터 유출 시 디지털 포렌식 증거 활용

IT 분야 영업비밀 침해는 디지털 증거가 핵심입니다. 퇴직 직전 대량 파일 다운로드 로그, 외부 저장장치 연결 기록, 이메일 첨부파일 전송 기록 등이 대표적인 증거예요. 이런 데이터는 시간이 지나면 덮어쓰이거나 삭제될 수 있기 때문에 조기에 보전하는 것이 중요합니다.

사내 IT 인프라에서 로그를 추출하기 어렵다면 디지털 포렌식 전문 기관에 의뢰하는 것을 고려하세요. 법원도 디지털 포렌식 보고서를 증거로 인정하며 전문가 증인 신청을 통해 신빙성을 보강할 수 있습니다. 소스코드 유사도 분석 역시 저작권 침해 또는 영업비밀 침해를 입증하는 데 활용됩니다.

서약서 위반 대응은 단계별 전략 선택이 결과에 큰 영향을 미칩니다. 위반 인지 시점에 어떤 절차를 먼저 택하느냐에 따라 증거 확보 가능성과 이후 소송 전략이 달라지기 때문에 상황에 맞는 대응 방향을 전문가와 함께 검토해 보시길 권합니다.

자주 묻는 질문

Q. 퇴직 후에도 비밀유지 의무가 효력을 유지하나요?

A. 네, 적법하게 작성된 서약서에 퇴직 후 의무 기간이 명시되어 있다면 퇴직 이후에도 효력이 유지됩니다. 다만 기간이 지나치게 길거나 범위가 과도하게 넓으면 법원이 그 부분의 효력을 부정하는 경우가 있어요.

법원은 고정된 기간 기준을 두지 않고 보호 이익, 근로자 지위, 기간·범위의 합리성, 대가 제공 여부 등을 종합적으로 고려해 판단하므로(대법원 2010. 3. 11. 선고 2009다82244 판결 참조) 실무에서 흔히 쓰는 2~3년이라는 기간 자체가 법적으로 보장되는 것은 아니라는 점에 유의해야 합니다.

Q. 외국인 임직원에게도 같은 서약서를 사용할 수 있나요?

A. 대한민국 법률을 준거법으로 명시하고 국내 법원을 관할로 지정하면 외국인 임직원에게도 동일한 서약서를 사용하는 것이 원칙적으로 가능합니다. 다만 해당 직원이 본국으로 귀국한 후 분쟁이 발생하면 집행에 어려움이 생길 수 있어요. 외국인 임직원 비중이 높은 회사라면 준거법 조항과 함께 중재 조항을 검토하는 것이 실무적으로 유리합니다.

Q. 협력업체 직원 한 명만 빠졌는데, 그 직원이 유출했습니다. 대응이 가능한가요?

A. 협력업체와의 계약(NDA)에 소속 직원에게도 동일한 비밀유지 의무를 부과하고 이를 협력업체가 보증하는 조항이 있다면 협력업체를 상대로 손해배상 청구가 가능합니다. 유출 당사자인 직원 개인에 대해서는 불법행위에 기한 손해배상 청구(민법 제750조)나 형사 고소도 검토할 수 있어요. 이런 상황을 예방하려면 협력업체 투입 인력 전원에 대한 서명 징구를 계약서에 의무화하는 것이 효과적입니다.