[비즈한국] 기업들은 때론 돈만 가지고는 설명하기 어려운 결정을 한다. 그 속에 숨어 있는 법이나 제도를 알면 그 내막을 더욱 자세히 이해할 수 있다. ‘알아두면 쓸모 있는 비즈니스 법률(알쓸비법)’은 비즈니스 흐름의 이해를 돕는 실마리를 소개한다.
퇴사한 직원이 회사 자료를 들고 나갔다는 사실을 뒤늦게 알게 됐다면, 회사는 무엇을 할 수 있을까. 결론부터 말하면 그 시점에 할 수 있는 일은 많지 않다. 법원은 회사가 직원을 상대로 제기하는 소송을 대체로 부정적으로 본다. 보안 서약서나 비밀유지 각서를 받았더라도 효력 자체를 부정하는 사례가 적지 않고, 그 문서에 근거한 손해배상 청구나 위약벌 청구를 배척하는 경우도 흔하다. 최근에도 퇴직 직전 회사 자료를 카카오톡으로 대량 전송한 사실이 증거로 확인됐음에도, ‘업무상 필요가 있었고 평소에도 업무를 위해 카카오톡을 사용해 왔다’는 이유로 회사의 청구를 기각한 사례가 있었다.
그래서 정보 보호는 사후 대응의 문제가 아니라 사전 설계의 문제다. 다만 그 설계는 흔히 생각하는 것보다 구체적이어야 한다. 정보 유출 사건에서 혼동을 일으키는 지점은 정보의 가치다. 사람들은 유출된 정보에 대단한 가치가 있으므로, 손해배상을 받아야 한다며 정보의 가치를 입증하려고 한다.
그러나 이는 반박하기 쉬운 주장이다. 고도의 기술 정보가 아닌 일반적인 영업 정보는 시간을 들이면 누구나 만들 수 있다고 주장할 수 있다. 그리고 회사의 명운을 좌우할 만큼 중요한 정보라는 점을 증명하는 것은 사실상 불가능하다. 즉, 정보의 가치를 객관적으로 평가받아 손해액을 산정하겠다는 접근은 대체로 비현실적이다.
그래서 최근 실무는 정보의 가치보다는 어떻게 관리해 왔는지로 접근하고 있다. 서울북부지방법원 2023가단100497 판결은 퇴직자를 상대로 한 손해배상 청구를 인용하고 1500만 원의 배상을 명했다. 이 사건에서 직원은 근로계약을 체결하면서 재직 중은 물론 퇴직 후에도 회사에서 알게 된 영업비밀과 기밀 자료를 무단으로 유출하거나 이용하지 않겠다고 서약했다. 그럼에도 서약 대상인 고객 정보와 이슈 정보를 유출했고, 그 사실은 객관적인 증거로 확인됐다.
회사는 중요 정보의 유출을 막기 위해 임직원에게 업무용 노트북과 PC를 지급하고 있었는데, 이 직원은 개인 노트북을 쓰겠다고 일방적으로 통보한 뒤 고객 정보를 그 노트북에 내려받았다. 법원은 손해 발생은 인정되나 구체적인 액수를 증명하기 어려운 경우 상당한 금액을 배상액으로 정할 수 있다는 법리에 따라 유출의 경위와 태양, 경쟁사 입사나 창업 여부, 기존 거래처의 이탈 여부 등을 종합해 배상액을 정했다.
이 판결이 남긴 시사점은 세 가지다. 첫째, 보안유지 서약서를 명확하게 작성해야 한다. 가장 중요한 것은 정보의 객관적 가치가 아니라 물리적·법적 관리를 하고 있었는지 여부다. 둘째, 유출 사실은 객관적인 방법으로 입증해야 한다. 상시 기술적 방법으로 정보 유출을 기록하고 관리해야 한다는 의미다. 셋째, 유출로 인해 어떠한 결과가 발생했는지는 손해액 산정의 고려 요소에 불과하다.
같은 방향의 흐름은 다른 곳에서도 확인할 수 있다. 최근 하도급법 개정과 공정거래위원회의 집행 실무를 보면 그 정보가 객관적으로 얼마나 가치 있는지 따지기보다 비밀로 관리해 왔고 영업상 가치가 있다고 평가되면 보호하는 것이 당연하다는 해석이 주류가 되고 있다. 그 정보로 얼마의 경제적 가치를 창출했는지는 중요한 쟁점이 아니다.
정리하면, 회사가 증명해야 할 것은 ‘이 정보가 얼마나 대단한가’가 아니라 ‘우리가 이 정보를 비밀로 다루어 왔는가’다. 관리의 흔적을 남기는 일이 곧 법적 대응력이다. 그 흔적을 남기는 방법은 다음 여섯 가지다.
첫째, 서약서는 받는 것이 아니라 설계하는 것이다. 많은 회사가 입사할 때 서약서 한 장을 받아 두고 안심한다. 그러나 서약서는 문서를 갖췄다는 사실보다 그 내용을 어떻게 구성했는지가 중요하다. 우선 보호 대상 정보를 다시 정의해야 한다. 범위를 지나치게 넓게 잡으면 불공정성 시비가 제기될 수 있고, 지나치게 좁게 잡으면 문서를 받아 둔 실익이 사라진다. 위약벌 역시 마찬가지다. 금액이 과도하면 조항 자체를 무효로 판단해 정작 필요할 때 쓸 수 없으므로, 실제 지급되는 급여에 비례하도록 재설계하는 편이 안전하다. 여기에 유출이 의심될 때 전자기기에 대한 포렌식 조사를 받겠다는 사전 동의를 함께 확보해 둬야 한다. 이 동의가 없으면 훗날 증거를 확보하는 단계에서부터 막힌다.
둘째, 기술적 통제 없이는 법적 통제도 없다. 정보 자산 보호는 법률 문서만으로 완성되지 않는다. 회사 자료를 클라우드로 이관해 개인 기기에 사본이 남지 않도록 하고, 업무용 PC에 보안관제 프로그램을 설치해 파일 사용과 반출 이력을 중앙에서 확인할 수 있도록 하는 조치를 병행해야 한다. 이런 기술적 조치는 유출을 막는 동시에, 언제 누가 무엇을 반출했는지를 객관적 증거로 남긴다는 점에서 더 큰 의미가 있다. 앞서 본 판결에서 회사가 업무용 기기를 지급하고 있었다는 사실이 판단에 영향을 미친 것도 같은 맥락이다. 다만 기술 도입은 그 자체로 목적이 아니므로, 법률적 통제·관리 체계에 부합하도록 보안업체와 사전에 협의할 필요가 있다.
셋째, 규정은 제정에 그치지 말고 실행해야 한다. 보안 규정은 취업규칙의 일부로 제정하고, 이사회 의결을 거쳐 사내 인트라넷에 게시한다. 규정에는 업무상 목적이나 수신자를 불문하고 공식 소통 채널이 아닌 개인 카카오톡이나 텔레그램으로 회사 자료를 전송하는 행위 자체를 사규 위반으로 본다는 내용을 명시한다. 앞서 나온 업무상 필요가 있었다는 변명이 받아들여진 사례를 떠올리면 그 이유가 분명해진다. 나아가 일정 기간 임직원 PC를 모니터링해 보안감사 보고서를 작성하고 그 결과를 공유한다. 규정이 선언에 그치지 않고 실제로 집행되고 있음을 객관적으로 보여줄 수 있어야 하기 때문이다.
넷째, 규정에 앞서 교육도 있어야 한다. 서약서를 징구하고 보안 규정을 시행하기에 앞서 그 취지를 설명하는 교육을 실시해야 한다. 갑자기 내려온 통제는 반발을 낳고, 반발은 훗날 약정의 효력을 다투는 재료가 된다. 교육을 거쳤다는 기록 자체가 회사가 정보 관리를 진지하게 다뤄 왔다는 증거이기도 하다.
다섯째, 마지막 관문은 퇴직 절차다. 퇴직 시 대응 절차를 표준화해야 한다. 퇴직자 면담, 전자기기 회수, 필요한 경우 포렌식 실시, 반환 확인서와 자료 폐기 확인서 작성까지 개별 단계를 문서로 정해 두고 예외 없이 적용하는 것이다. 대부분의 분쟁은 이 짧은 구간에서 증거가 만들어지거나 사라진다.
여섯째, 통제하되 대가를 지급해야 한다. 업무용 PC를 회사가 개별 지급하고 개인 노트북 사용을 금지하는 정책, 개인 메신저 사용을 제한하는 정책은 그 자체로는 직원에게 불편한 제도다. 따라서 정보보호 수당을 별도로 지급하는 방안을 함께 검토할 필요가 있다. 직원의 수용도를 높일 뿐 아니라, 통제에 상응하는 보상이 있었다는 사정은 훗날 약정의 효력이 다투어질 때 회사에 유리하게 작용할 수 있다.
이상의 내용을 종합하면 다음과 같다. 첫째, 법원을 설득하는 것은 정보의 가치가 아니라 관리의 흔적이다. 둘째, 서약서와 보안 규정, 기술적 통제와 퇴직 절차는 따로 떨어진 조치가 아니라 하나의 세트로 작동한다. 셋째, 이 모든 조치에 드는 비용은 정보 유출 소송 한 건에 드는 비용과 시간에 비하면 훨씬 적다. 회사의 정보 자산은 오랜 시간 축적한 신뢰와 노력의 결과물이다. 그것을 지키는 일은 사건이 터진 뒤가 아니라, 아무 일도 일어나지 않은 지금 시작해야 한다.