퇴사한 직원이 설치한 겁니다

"저희 회사 IP에서 나왔다는데, 그 프로그램을 쓰던 직원은 작년에 퇴사했습니다."

회사 앞으로 통지가 오면 가장 먼저 나오는 설명입니다. 그리고 이런 것들도 있습니다.

"저희는 거래처 직원들이 자주 드나들어서, 외부인이 노트북을 가져와 쓸 수 있는 공간이 따로 있습니다."

이 설명들이 사실이라면 강력한 방어입니다. 실제로 그런 경우가 있고, 그것이 확인되면 사건의 방향이 달라집니다.

문제는 사실이 아닐 때입니다. 그리고 사실인지 아닌지를 확인하지 않은 채 먼저 말했을 때입니다.

이 설명이 방어가 되는 이유

먼저 왜 이것이 방어가 되는지부터 보겠습니다.

고소인 측이 확보한 것은 IP 주소입니다. 그런데 IP는 사람이 아니라 회선에 부여됩니다. 회사 회선을 쓰는 사람은 재직 중인 직원만이 아닙니다. 퇴사자, 파견 인력, 방문한 거래처 직원, 공용 공간을 쓰는 외부인도 모두 같은 IP로 접속합니다.

그래서 회사 IP에서 기록이 나왔다는 사실만으로는 누가 사용했는지가 확정되지 않습니다. 이 간극을 짚는 것은 정당한 방어입니다.

그런데 확인되는 것이 IP만이 아닙니다

여기서 실제 상황을 정확히 말씀드립니다.

상용 프로그램은 실행될 때 개발사 서버와 통신합니다. 그 과정에서 기록되는 것은 접속 IP와 MAC 주소만이 아닙니다. 해당 컴퓨터의 윈도우 계정명과 프로그램에 입력된 메일 주소까지 함께 기록되는 경우가 있습니다.

이름을 그대로 쓴 계정, 회사 도메인이 붙은 메일 주소가 기록되어 있는 경우가 드물지 않습니다.

즉 고소인 측이 제출한 자료에 사용자를 특정할 수 있는 정보가 이미 들어 있을 수 있습니다. 그리고 그 자료는 수사기관이 갖고 있습니다.

설명이 사실과 다를 때 생기는 일

퇴사자나 외부인 얘기를 먼저 꺼낸 뒤에 계정명이 확인되면, 두 가지를 동시에 잃습니다.

첫째, 진술 전체의 신빙성입니다. 한 부분이 사실과 다르면 나머지 진술도 함께 의심받습니다. 사용 기간, 사용 목적, 설치 경위처럼 사실대로 말한 부분까지 신뢰를 잃습니다.

둘째, 회사의 방어 위치입니다. 회사가 사실과 다른 설명을 제시했다는 사정은 회사가 이 사안을 어떻게 다루었는지 평가할 때 불리하게 고려됩니다. 양벌규정에서 다투는 것이 바로 회사의 주의·감독이기 때문입니다.

그래서 순서가 중요합니다. 확인한 뒤에 말하는 것과, 말한 뒤에 확인되는 것은 결과가 완전히 다릅니다.

확인해야 할 것

설명을 하기 전에 회사 내부에서 정리되어야 하는 것들입니다.

첫째는 그 장비가 지금 어디 있는지입니다. 퇴사자가 쓰던 컴퓨터가 사무실에 그대로 있는지, 반납됐는지, 다른 직원이 이어받았는지 확인합니다.

둘째는 그 장비에 저장된 계정 정보입니다. 윈도우 계정명, 로그인 이력, 등록된 메일 주소는 고소인 측 자료와 대조될 부분입니다.

셋째는 퇴사 시점과 사용 기간의 관계입니다. 고소장에 기재된 사용 기간이 그 직원의 재직 기간 안에 있는지 봅니다. 퇴사 이후에도 기록이 계속된다면 다른 사람이 사용한 것이고, 이는 실제로 의미 있는 사실입니다.

넷째는 공용 공간을 주장할 경우 그 실체입니다. 그 공간이 실제로 운영되는지, 외부인 출입이 어떻게 이루어지는지, 이를 확인할 자료가 있는지 따져야 합니다. 말로만 존재하는 공간이라면 주장하지 않는 편이 낫습니다.

실제로 퇴사자가 설치한 것이 맞다면

이 경우에는 회사가 다툴 쟁점이 분명합니다.

양벌규정은 종업원이 법인의 업무에 관하여 침해행위를 한 때에 적용되고, 회사가 위반 방지를 위해 상당한 주의와 감독을 게을리하지 않았다면 면책됩니다(저작권법 제141조). 그래서 회사가 정리해야 할 것은 다음과 같습니다.

첫째, 회사가 사용하는 업무 도구를 정품으로 확보하고 있는지입니다. 구매 내역과 라이선스 보유 현황이 자료가 됩니다.

둘째, 허가받지 않은 프로그램의 설치·사용을 금지하고 있는지입니다. 사내 규정, 보안 지침, 구성원에게 고지한 기록이 자료가 됩니다.

셋째, 금지에서 더 나아가 기술적으로 막고 있는지입니다. 설치 권한 제한, 외부 프로그램 차단, 저장매체 반입 통제가 여기에 해당합니다. 규정만 있고 아무나 무엇이든 설치할 수 있는 상태라면 규정이 있다는 사정은 크게 평가받지 못합니다.

넷째, 그 프로그램이 회사 업무에 쓰일 일이 있는 것인지입니다. 이 항목이 특히 중요합니다. 회사의 업종과 실제 업무 내용에 비추어 그 프로그램을 사용할 이유 자체가 없다면, 업무 관련성 논의가 성립하기 어렵고, 양벌규정이 적용될 전제도 없어집니다.

다섯째, 그 직원이 그 프로그램으로 만든 결과물이 회사와 무관한지입니다. 회사의 산출물이나 발주처 제출 자료에 그 프로그램의 흔적이 없다면, 개인적 사용이었다는 점이 뒷받침됩니다.

이 다섯 가지가 자료로 정리되면, 회사의 방어는 추측이 아니라 근거를 갖습니다.

설치자가 따로 있어도 회사에 적용될 수 있는 조문

회사가 한 가지를 더 봐야 합니다. 실무에서 자주 놓치는 부분입니다.

퇴사자가 설치했다는 점이 확인되면 그 사람이 복제행위자입니다. 회사는 제136조 제1항의 행위자가 아니게 됩니다. 그런데 그 프로그램은 회사 장비에 그대로 남아 있었고, 회사는 그 상태를 이어받아 썼습니다.

이 경우에 적용될 수 있는 조문이 제124조 제1항 제3호입니다. 이 조항에서는 침해하여 만들어진 복제물을 그 사실을 알면서 취득한 자가 이를 업무상 이용하는 행위를 침해로 보고, 제136조 제3항 제4호(개정 전 제2항 제4호)에 따라 3년 이하 징역 또는 3천만 원 이하 벌금으로 처벌합니다.

대법원은 복제행위를 한 지위와 복제물을 취득한 지위가 저작권법상 서로 다른 것임을 분명히 했습니다(2019. 12. 24. 선고 2019도10086 판결). 따라서 설치자가 따로 특정되어 회사가 복제행위자에서 벗어나도, 회사에는 이 조문이 적용될 수 있습니다.

그래서 회사가 함께 정리해야 할 것이 둘 더 있습니다.

첫째는 그 프로그램이 비정품임을 언제 알았는지입니다. 이 조문의 요건은 "그 사실을 알면서 취득한"입니다. 장비를 인수하거나 넘겨받을 당시의 인식이 기준이고, 나중에 알게 된 것은 다릅니다. 알고 난 뒤 즉시 삭제했다면 그 사정도 함께 봅니다.

둘째는 업무상 이용에 해당하는지입니다. 설치되어 있었다는 사실과 업무에 투입했다는 사실은 구분됩니다. 회사의 실제 산출물에 그 프로그램의 흔적이 없고, 업종상 쓸 일이 없는 도구이며, 실행 기록이 주력 도구와 비교해 현저히 적다면 다툴 여지가 있습니다.

사후에 만든 자료

한 가지 덧붙입니다.

통지를 받은 뒤 급하게 규정을 만들고 교육 기록을 정비하는 경우가 있습니다. 문제가 드러난 뒤에 만든 자료와, 그 전부터 운영되어온 체계는 같은 문서여도 평가가 다릅니다. 작성 시점은 확인되는 경우가 많습니다.

실질적인 대응은 이미 있던 것을 정확히 찾아내 정리하는 것입니다. 구매 내역, 사내 공지 메일, 보안 시스템 설정 기록이 그 예입니다. 회사가 스스로 "우리는 아무것도 안 했다"고 생각하는 경우에도 이런 자료가 있는 경우가 많습니다.

정리

"퇴사한 직원이 했다", "외부인이 쓸 수 있는 공간이 있다"는 설명은 사실이라면 방어이고, 확인 없이 꺼내면 위험합니다.

고소인 측 자료에 계정명이나 메일 주소가 포함되어 있을 수 있고, 그것이 확인되는 순간 설명은 방어가 아니라 부담이 됩니다.

순서는 이렇습니다. 먼저 상대가 무엇을 근거로 삼고 있는지 파악하고, 회사 내부에서 사실관계를 확인한 뒤, 그 결과를 바탕으로 설명의 방향을 정해야 합니다.

구체적인 판단은 사안마다 다릅니다. 회사 앞으로 통지를 받으셨다면 회신 전에 변호사 상담을 통해 검토하시기 바랍니다.