직원이 크랙을 썼습니다. 회사도 처벌받습니까

"직원 컴퓨터에서 나왔다는데, 회사까지 조사를 받는다고 합니다."

대표나 임원이 이 연락을 받는 순서는 대개 이렇습니다. 직원 개인에게 먼저 통지가 오고, 얼마 뒤 회사 앞으로도 옵니다.

이 시점에 가장 많이 듣는 질문이 "직원이 한 일인데 회사가 왜 처벌받나"입니다. 그리고 그 반대편에서 가장 많이 오는 오해가 "직원이 개인적으로 쓴 거니까 회사는 상관없다"입니다.

둘 다 정확하지 않습니다. 순서대로 정리하겠습니다.

회사를 엮는 이유는 처벌이 아닙니다

먼저 상대의 목적을 보셔야 합니다.

고소인 측이 회사를 함께 걸려는 이유는 회사에 벌금을 물리는 것 자체가 아닙니다. 회사가 함께 처벌 대상이 되면, 합의금을 회사에 연대해서 청구할 수 있는 구조가 만들어집니다.

개인에게 수천만 원을 청구해서 받아내는 것과, 회사에 청구하는 것은 회수 가능성이 다릅니다. 그래서 직장에서 업무에 사용한 사안이라면 회사를 엮는 것이 예외가 아니라 사실상 기본 경로입니다.

이 구조를 알고 있으면 조사에서 나오는 질문의 방향이 이해됩니다. "회사 PC였습니까", "그 도면을 업무에 썼습니까", "회사가 알고 있었습니까" — 이 질문들은 직원의 책임을 묻는 질문이 아닙니다. 회사를 끌어들이기 위한 요건을 확인하는 질문입니다.

양벌규정은 자동이 아닙니다

근거 조항은 저작권법 제141조입니다. 법인의 대표자나 대리인·사용인·종업원이 그 법인의 업무에 관하여 침해행위를 한 때에는, 행위자를 벌하는 외에 법인에게도 벌금형을 부과합니다.

여기서 중요한 것은 단서입니다. 그 위반행위를 방지하기 위하여 해당 업무에 관하여 상당한 주의와 감독을 게을리하지 아니한 경우에는 그렇지 않습니다.

대법원도 같은 취지로 판단합니다. 형벌의 자기책임 원칙에 비추어, 위반행위가 발생한 그 업무와 관련하여 법인이 상당한 주의 또는 관리·감독 의무를 게을리한 때에 한하여 양벌규정이 적용된다는 것입니다. 그리고 그 판단은 하나의 서류가 있는지로 갈리지 않습니다. 법인의 영업 규모, 행위자에 대한 감독 가능성과 구체적인 지휘·감독관계, 위반행위의 구체적인 모습, 그리고 법인이 방지를 위해 실제로 행한 조치를 전체적으로 종합해 판단합니다(대법원 2010. 7. 8. 선고 2009도6968 판결 취지).

즉 직원의 침해가 인정된다고 해서 회사 책임이 자동으로 따라오는 구조가 아닙니다.

먼저 직원의 책임이 증명되어야 합니다

실무에서 잘 다루어지지 않는 지점이 하나 있습니다.

양벌규정으로 회사를 처벌하려면 행위자의 형사책임이 먼저 확정적으로 증명되어야 합니다. 회사에 대한 판단은 그 위에 얹히는 것입니다.

그런데 실제 사건에서 침해행위자가 특정되지 않는 경우가 있습니다. 여러 사람이 쓰는 공용 PC였거나, 이미 퇴사한 직원이거나, 누가 설치했는지 확인되지 않는 경우입니다.

실제로 회사만 기소된 사건에서, 법원이 선결 요건부터 따진 사례가 있습니다(서울중앙지방법원 2017. 8. 8. 선고 2016고정2907 판결). 회사 컴퓨터에서 발견된 프로그램이 불법 복제물인지, 지휘·감독하의 종업원이 그것을 업무상 이용했는지, 그리고 비친고죄로 기소했다면 그 행위자에게 영리 목적이 인정되는지를 순서대로 검토했습니다. 첫 번째는 인정됐지만 두 번째가 인정되지 않았고, 회사는 무죄 판결을 받았습니다.

"업무상 이용"이 실제 쟁점입니다

위 사건에서 법원이 업무상 이용을 인정하지 않은 근거들이 참고가 됩니다.

설치된 폴더에 업무와 관련된 파일명이 있었고 회사의 사업 분야도 그 프로그램을 쓸 만한 업종이었지만, 법원은 그것만으로 단정하지 않았습니다. 파일이 언제 생성되고 언제 수정됐는지, 발주처에 제출한 자료에 그 프로그램 사용 흔적이 있는지, 그리고 회사가 계약상 정품 최신 버전을 받을 수 있는 상태였는지를 함께 봤습니다.

특히 마지막 지점이 결정적으로 작용했습니다. 회사가 계약을 통해 최신 버전을 정상적으로 받을 수 있었는데 직원이 굳이 오래된 구버전 크랙을 받을 것이라고 예상하기는 어렵다는 것입니다.

회사 PC에서 나왔다는 사실과, 회사 업무에 사용됐다는 사실은 같은 것이 아닙니다.

회사가 무엇을 했는지가 관건입니다

면책 판단에서 실무적으로 확인되는 것들입니다.

첫째, 소프트웨어 사용에 관한 사내 규정이 있는지. 문서로 존재하는 것과 실제로 운영되는 것은 다르게 평가됩니다.

둘째, 외부 프로그램 설치가 기술적으로 차단되어 있는지. 규정만 있고 아무나 무엇이든 설치할 수 있는 상태라면 규정의 의미가 약해집니다.

셋째, 개인 노트북이나 외장하드 등 저장매체 반입이 통제되는지.

넷째, 회사가 쓰는 업무 도구를 전부 정품으로 확보하고 있는지. 앞서 본 사건에서 회사는 설립 이후 매년 상당한 금액을 정품 구매에 지출해왔고, 법원은 이를 방지 노력의 근거로 인정했습니다. 연도별로 수천만 원에서 1억 원대의 구매 실적이 확인됐습니다.

다섯째, 구성원 교육이 주기적으로 이루어지는지. 같은 사건에서 회사는 자체 점검 도구로 직원 컴퓨터를 정기 검사하고 정리를 요구하는 공지를 해왔고, 이 역시 인정 요소가 됐습니다.

하나가 있으면 면책되고 하나가 없으면 책임이 인정되는 방식이 아닙니다. 항목들 사이의 정합성이 함께 평가됩니다.

법원이 요구하지 않는 것도 있습니다

이 부분은 회사 입장에서 알아둘 만합니다.

같은 사건에서 법원은, 회사가 이미 기울인 노력에서 더 나아가 직원 개인 컴퓨터의 파일 폴더를 주기적으로 열어 점검할 것까지 요구하는 것은 무리라고 판단했습니다. 사생활 침해 소지와 내부 반발을 이유로 들었습니다.

즉 회사에 요구되는 주의·감독은 무한하지 않습니다. 감시 수준의 통제를 하지 않았다는 사정이 곧 관리 소홀이 되는 것은 아닙니다.

사후에 만든 자료

여기서 정직하게 말씀드릴 부분이 있습니다.

통지를 받은 뒤 급하게 규정을 만들고 교육 기록을 정비하는 경우가 있습니다. 그런데 문제가 드러난 뒤에 만든 자료와, 그 전부터 운영되어온 체계는 같은 문서라도 평가가 다릅니다. 작성 시점은 확인되는 경우가 많습니다.

실질적인 대응은 이미 있던 것을 정확히 찾아내 정리하는 것입니다. 구매 내역, 계약서, 사내 공지 메일, 보안 시스템 설정 기록 — 회사가 스스로 "우리는 아무것도 안 했다"고 생각하는 경우에도 실제로는 자료가 남아 있는 경우가 많습니다.

정리

회사가 함께 걸렸다는 사실이 회사가 처벌된다는 뜻은 아닙니다. 다투어지는 지점은 세 곳입니다.

행위자의 책임이 증명되는지, 그 사용이 회사 업무에 관한 것이었는지, 그리고 회사가 상당한 주의와 감독을 게을리했는지.

앞서 소개한 서울중앙지방법원 2017. 8. 8. 선고 2016고정2907 판결은 하급심 판단이고 선례로서 구속력을 갖는 것도 아닙니다. 그리고 그 사건에서 회사가 무죄 판결을 받은 이유는 면책 요소를 갖췄기 때문만이 아니라, 행위자 특정과 업무상 이용의 증명이 이루어지지 않은 점이 함께 작용한 결과였습니다. 체크리스트를 채우면 면책된다는 식으로 읽으실 내용은 아닙니다.

다만 분명한 것은, 회사에 대한 판단이 별도의 심리를 거친다는 점입니다. 개인 사건에 딸린 부속물이 아닙니다.

구체적인 판단은 사안마다 다릅니다. 회사 앞으로 통지를 받으셨다면 개인 사건과 별개로 회사 차원의 검토가 필요합니다.