업무 중 이메일 수신인을 잘못 지정하는 실수는 생각보다 쉽게 발생합니다. 고객 A에게 보내야 할 청구서를 고객 B에게 보내거나, 지원자의 이력서를 다른 지원자에게 전송하고, 뉴스레터 수신자 전체를 숨은 참조(BCC)가 아닌 참조(CC)에 넣는 경우가 대표적입니다. 개인정보가 포함돼 있다면 이러한 실수도 유럽 일반개인정보보호법(DSGVO)상 개인정보 침해가 될 수 있습니다. 이에 대해 독일 데이터보호법 전문 변호사 플로리안 부네스(Florian Bunes)가 이메일 오발송 시 기업이 취해야 할 조치와 주의해야 할 점을 설명했습니다.

 

 

 

 

ⓒ MAYA LAB / shutterstock

 

 

 

이메일을 실수로 잘못 보낸 것도 개인정보 침해에 해당하나요?

 

독일 변호사 정보·법률 상담 플랫폼 anwalt.de의 전문가 칼럼에 따르면, 일반개인정보보호법(DSGVO)에서 말하는 개인정보 침해 또는 개인정보 유출 사고는 개인정보가 실수로 권한이 없는 사람에게 공개되는 경우도 포함합니다. 따라서 단순한 직원의 실수라고 하더라도 개인정보가 제3자에게 전달됐다면 개인정보 침해가 될 수 있습니다.

 

 

 

 

이메일을 잘못 보냈다면 무조건 감독기관에 신고해야 하나요?

 

중요한 점은 개인정보 침해가 발생했다는 사실과 감독기관에 신고해야 하는지 여부는 별개의 문제라는 것입니다. DSGVO 제33조(Art. 33 DSGVO)에 따르면 개인정보 침해가 개인의 권리와 자유에 위험을 초래할 것으로 예상되는 경우 원칙적으로 관할 개인정보보호 감독기관에 신고해야 합니다. 반대로 그러한 위험이 발생할 가능성이 없다고 판단되는 경우에는 신고하지 않을 수 있습니다. 따라서 ‘잘못된 사람에게 이메일 발송 = 무조건 신고’라는 공식은 성립하지 않습니다.

 

 

 

 

개인정보 유출 위험은 어떤 기준으로 판단해야 하나요?

 

회사는 다음과 같은 요소를 등을 구체적으로 따져봐야 합니다.

 

• 어떤 개인정보가 공개됐는지
• 정보의 민감도가 어느 정도인지
• 몇 명의 정보가 유출됐는지
• 또한 이메일을 받은 사람이 누구인지
• 해당 정보가 추가로 이용될 경우 어떤 피해가 발생할 수 있는지
• 이메일이 이미 열리거나 다른 사람에게 전달됐는지
• 잘못 받은 사람이 삭제 요청에 응해 실제 삭제했다고 확인했는지

 

일반적으로 정보가 민감하고 유출된 이후 통제가 어려울수록 신고가 필요한 위험으로 판단될 가능성이 높아집니다.

 

 

 

 

 

예시 1: 이름과 예약시간을 다른 고객에게 잘못 보냈습니다

 

예를 들어 고객의 이름과 예약시간 정도가 적힌 예약 알림을 다른 고객에게 잘못 보냈다고 가정할 수 있습니다. 이 경우에도 권한 없는 제3자에게 개인정보가 공개됐기 때문에 원칙적으로 개인정보 침해는 발생한 것입니다. 그러나 공개된 정보가 많지 않고 민감도가 낮으며 해당 정보로 인해 당사자에게 실질적인 위험이 발생할 가능성을 사실상 배제할 수 있다면 감독기관 신고까지 필요하지 않을 수 있습니다.

 

 

 

 

예시 2: 청구서를 다른 사람에게 잘못 보냈습니다

 

청구서를 잘못 보낸 경우에는 보다 세밀한 판단이 필요합니다. 청구서에는 이름과 주소, 고객번호뿐만 아니라 구매하거나 이용한 상품·서비스 정보가 포함될 수 있기 때문입니다. 일반적인 상품을 구매한 내역이 포함된 청구서와 개인의 건강이나 재정상태 등 민감한 사생활을 추론할 수 있는 청구서는 위험도가 다를 수 있습니다.

 

 

 

 

예시 3: 진료기록이나 급여명세서를 잘못 보냈습니다

 

의사의 소견서나 진료기록, 검사결과 등 건강정보 또는 직원의 급여명세서를 권한 없는 사람에게 보낸 경우에는 상황이 더욱 심각해질 수 있습니다. 이러한 정보는 개인의 사생활과 직접 연결된 민감한 정보이기 때문에 단순한 이름이나 이메일 주소가 노출된 경우보다 당사자에게 미칠 수 있는 위험이 큽니다. 따라서 감독기관 신고가 필요할 가능성도 상대적으로 높아집니다. 다만 이 경우에도 구체적인 상황을 바탕으로 개별적인 위험평가가 필요합니다.

 

 

 

 

예시 4: 뉴스레터에서 CC와 BCC를 잘못 사용했습니다

 

뉴스레터를 보내면서 BCC 대신 CC에 수신자들을 입력해 모든 사람이 서로의 이메일 주소를 볼 수 있게 된 경우에도 개인정보 침해가 될 수 있습니다. 다만 이 경우에도 무조건 신고해야 하는 것은 아닙니다. 몇 명에게 이메일 주소가 공개됐는지, 해당 주소가 일반적인 업무용 주소인지 개인 이메일인지, 그리고 수신자 목록 자체에서 민감한 정보를 추론할 수 있는지 등을 따져봐야 합니다. 예를 들어 특정 질병 환자에게만 발송되는 이메일의 수신자 명단이 공개됐다면 이메일 주소만 노출됐더라도 해당 인물이 특정 질병과 관련돼 있다는 사실을 추론할 가능성이 있습니다. 정치적 성향이나 특정 단체 가입 여부 등을 알 수 있는 수신자 목록 역시 일반적인 업무용 메일링 리스트와는 위험도가 다르게 평가될 수 있습니다.

 

 

 

 

잘못 보낸 사실 알았다면 가장 먼저 해야 할 일

 

이메일을 잘못 보낸 사실을 확인했다면 우선 잘못된 수신자에게 가능한 한 빨리 연락해야 합니다. 이메일 본문과 첨부파일을 모두 삭제해 달라고 요청하고, 가능하다면 삭제했다는 사실을 확인받는 것이 좋습니다. 다만 상대방이 이메일을 삭제했다고 해서 개인정보 침해 자체가 없었던 일이 되는 것은 아닙니다. 개인정보는 이미 권한 없는 사람에게 공개됐기 때문입니다. 삭제 요청에 신속하게 응했다는 사실은 이후 위험평가에서 위험을 낮추는 요소가 될 수 있습니다. 그러나 특히 민감한 정보라면 삭제 확인만으로 문제가 완전히 해결됐다고 판단해서는 안 됩니다. 삭제하기 전에 파일을 복사하거나 다른 곳으로 전달했을 가능성을 완전히 배제하기 어렵기 때문입니다.

 

 

 

신고해야 한다면 72시간 주의해야

 

신고 의무가 있는 개인정보 침해라면 DSGVO 제33조에 따라 사고 사실을 인지한 이후 지체 없이, 가능한 경우 72시간 이내에 관할 개인정보보호 감독기관에 신고해야 합니다. 여기서 72시간을 ‘상황을 지켜볼 수 있는 시간’으로 생각해서는 안 됩니다. 사고를 알게 된 순간부터 사실관계 확인과 위험평가를 시작해야 합니다. 72시간 안에 모든 사실을 완벽하게 파악하지 못했다고 해서 반드시 조사가 끝날 때까지 신고를 미룰 수 있는 것도 아닙니다. DSGVO가 정한 요건에 따라 우선 신고한 뒤 부족한 정보를 단계적으로 추가 제출하는 방식도 가능합니다.

 

 

 

 

회사가 신고하면 당사자에게도 반드시 알려야 할까?

 

감독기관에 대한 신고와 개인정보 당사자에게 직접 알리는 것은 기준이 다릅니다.

 

• DSGVO 제33조에 따른 감독기관 신고는 개인정보 침해로 인해 당사자의 권리와 자유에 ‘위험’이 발생할 것으로 예상될 때 문제가 됩니다.
• 반면 DSGVO 제34조에 따라 피해 당사자에게 직접 개인정보 침해 사실을 통보해야 하는 것은 원칙적으로 ‘높은 위험’이 예상되는 경우입니다.

 

따라서 감독기관에 신고해야 하는 사고라고 해서 반드시 고객이나 직원에게도 DSGVO 제34조에 따른 통지를 해야 하는 것은 아닙니다.

 

 

 

 

신고하지 않더라도 기록은 남겨야

 

위험평가 결과 감독기관 신고가 필요하지 않다고 결론을 내렸다고 해서 아무런 조치 없이 사건을 끝내서는 안 됩니다. DSGVO 제33조 제5항(Art. 33 Abs. 5 DSGVO)에 따라 개인정보 침해 사고는 문서화해야 합니다. 무슨 일이 발생했는지, 누구의 어떤 개인정보가 노출됐는지, 예상되는 영향은 무엇이었는지, 회사가 사고 이후 어떤 조치를 취했는지 등을 기록해야 합니다. 신고하지 않기로 결정했다면 왜 해당 사고가 신고할 정도의 위험을 초래하지 않는다고 판단했는지도 나중에 확인할 수 있도록 남겨두는 것이 중요합니다.

 

 

 

 

이메일을 잘못 보냈다면 어떻게 대응해야 하나요?

 

1. 회사가 이메일 오발송을 발견했다면 우선 잘못 받은 사람에게 즉시 연락하세요.
2. 이메일과 첨부파일 삭제를 요청하고 가능한 경우 삭제 확인을 받아야 합니다.
3. 이어 어떤 사람의 어떤 정보가 공개됐는지 파악하고 DSGVO 제33조에 따른 위험도를 평가해야 합니다.
4. 신고가 필요한 수준이라면 사고를 인지한 시점부터 72시간이라는 기한을 염두에 두고 신속하게 감독기관 신고를 진행해야 합니다.
5. 신고 여부와 관계없이 사고 내용과 위험평가, 회사가 취한 조치는 문서로 남겨야 합니다.