.jpg)
‘누구나’ 알 수 있도록 ‘확실’하게 ‘관리’하는 것이 Keypoint!
[시큐리티월드 김경애] 영업비밀이란 공연히 알려져 있지 않고, 독립된 경제적 가치로 상당한 노력에 의해 비밀로 유지된 생산방법, 판매방법 그 밖에 영업활동에 유용한 기술상 또는 경영사의 정보를 말한다.
이 같은 내용은 부정경쟁방지 및 영업비밀보호에 관한 법률 제2조 제2호에서 규정하고 있다. .jpg)
특히 상당한 노력에 의해 비밀로 유지된다는 것은 그 정보가 비밀이라고 인식될 수 있는 표시나 고지를 하고, 그 정보에 접근할 수 있는 대상자에게 비밀준수의무 부과 등 객관적으로 비밀로 유지·관리되고 있어야 한다.
따라서 기업은 법원에서 비밀관리성을 인정받으려면, 평소 영업비밀이 외부에 유출되지 않도록 여러 가지 노력을 하고 있었다는 것을 입증해야 한다. 이에 시큐리티월드 3월호에서는 영업비밀 보호 수칙 10가지로 살펴본 법원 판례를 살펴보고자 한다.
1. 접근 가능성 있는 자에게 영업비밀 보호의무를 부과해야 한다
영업비밀 보호의무 관련사건
피고인들은 기술을 하청 받아 생산하던 중, 거래관계에 있던 회사가 해당 기술을 피해회사에 양도하고 거래를 종료하자, 영업비밀인 제품의 회로도, 회로기판, 부품소요리스트, 작업방법 등을 사용해 비슷한 제품을 만들기로 공모했다.
이는 서울중앙지방법원에서 2013년 1월 17일 선고한 2012고단2111 판결 사건으로 법원은 영업비밀 관리가 부족하다고 판단했다. 영업비밀 관리성이 인정되기 위해 일반적인 관리규정으로는 부족하다고 판단한 법원은 해당 기술 자료에 대한 비밀유지의무가 명시적으로 규정되어 있는지, 보안책임자를 지정하고 있는지, 보안관리장치나 보안관리규정을 두고 등급기준을 책정했는지, 중요도에 따른 분류를 하거나 기밀자료라는 특별한 표시를 하는 등의 관리 조치를 했는지 등을 종합적으로 살펴본 것이다.
따라서 기업은 입사 시 직원들에게 비밀유지서약서를 징구하고, 퇴사하는 직원에게도 그 직원이 종사하던 업무와 직책의 중요성에 따라 해당 직원이 보유하고 있는 영업비밀, 반환해야 할 자료 등을 자세히 기재한 별도의 비밀유지서약서를 작성하는 것이 바람직하다.
가능하면 퇴사전 상당기간 동안 해당 직원의 컴퓨터 사용 내역, 통제 구역 출입내역, 네트워크 접속 내역, 파일 복사 및 전송 내역 등을 확인하는 것이 좋다. 또한 회사 임직원이 아니어도 회사 내부에 출입하는 경우가 있다면 외부인에게도 비밀유지서약서를 작성해 영업비밀 보호 의무를 부과할 필요가 있다.
2. 일반 정보와 영업비밀을 구분해야 한다
영업비밀 구분 관련사건
피고인은 기술개발이사로 재직하면서 기술개발, 영업 및 품질관리 등의 업무를 담당했다. 그러던 중 사무실 컴퓨터에 저장되어 있는 회사의 영업 및 경영상의 주요 정보를 이메일 등을 통해 개인용 컴퓨터에 옮겨 퇴사했다. 이후 피고인은 이전 회사에서 생산, 판매하는 제품과 동일한 제품을 생산·판매했다.
이는 영업비밀을 사용한 사례로 대전지방법원 천안지원에서 2011년 2월 17일 선고한 2009고단1312 판결 사건이다. 법원은 해당 사례에서 일반적인 보안규정을 두고, 영업비밀 보안의 필요성을 고지 한 것만으로는 관리성을 인정할 수 없다고 판결했다.
이는 소규모 회사인 점을 감안하더라도 영업비밀인 정보를 별도의 영업비밀로 분류, 비밀 유지에 필요한 구체적인 보안장치, 보안규정, 정보에 대한 열람·복사를 제한, 저장 매체의 반출을 제한하는 등의 구체적인 조치를 취해야 한다는 것을 의미한다. 또한 영업비밀을 유출하지 않겠다는 서약서를 받아야한다고 판단하고 있다.
때문에 기업에서 영업비밀이 명확히 구분되지 않는다면, 회사의 중요한 기술이 유출됐어도 영업비밀로서 법적 보호를 받지 못할 수 있다. 따라서 기업은 회사의 어떤 기술, 정보, 자료 등이 영업비밀에 속하는지 명확히 구분해 특정하고 이를 목록으로 미리 만들어 놓는 것이 좋다.
3. 누구나 알 수 있도록 영업비밀임을 표시해야 한다
영업비밀 표시 관련사건
피고인 1은 피해회사 퇴사 후 여자친구 명의로 사업자 등록을 한 후 동종의 회사를 설립 운영했다. 피해회사에 재직 중이던 피고인 2는 USB에 피해자의 프로그램 파일을 저장해 이를 소지하고 퇴사한 뒤 이를 자료로 삼아 2차 프로그램을 제작했다.
이는 서울 서부지방법원에서 2012년 12월 6일 선고한 2011고단2277 판결 사건으로 법원은 피해회사에 대해 비밀관리성을 부정했다. 영업비밀보호서약서 및 일체의 각서를 작성하지도 않고, 비밀유지에 필요한 보안장치나 보안관리규정을 두지 않았다는 것이다.
또한 중요도에 따라 프로그램 파일을 분류하거나 대외비 또는 기밀자료라는 특별한 표시를 하지 않는 등 기본적인 보안조치조차 취하지 않았다는 점도 비밀 관리성 부정에 포함했다. 특히 영업비밀 정보의 관리성을 판단함에 있어 해당 영업비밀 정보를 영업비밀로 표시했는지 여부에 주목한 판례다.
따라서 기업은 영업비밀보호를 위해 영업비밀임을 표시해야 한다. 직원이나 외부인이 우연히 해당 자료를 취득해 외부로 반출하려는 경우에도 그것이 회사의 ‘영업비밀’임을 인지한다면 외부 반출을 스스로 중단하거나 포기할 수도 있다. 설령 유출되는 경우에도 유출된 자료가 회사의 영업비밀임을 명시하는 효과가 있다.
4. 영업비밀 접근·사용 권한을 제한해야 한다
영업비밀 접근·사용권한 관련사건
피고인들은 피해회사에서 퇴사한 후 피해 회사의 모든 영업상 비밀을 가지고 나와 이를 이용해 동일업종의 회사를 설립·운영하기로 공모했다. 이들은 개인 휴대용 USB로 피해회사의 영업과 관련된 자료 일체를 복사해 제품을 생산했으며, 제품 단가와 거래처 정보 등을 이용해 생산된 제품을 판매했다.
이는 대구지방법원에서 2012년 7월 19일 선고한 2012고단470 사건으로 법원은 영업비밀 관리성을 인정하지 않았다. 피해회사가 대상자나 접근 방법을 제한하는 어떠한 조치도 하지 않았고, 대외비 표시 또는 기밀자료 표시 등 비밀임을 나타내는 표시가 전혀 되지 않았다는 것. 또한 비밀유지에 관한 보안교육을 따로 실시한 바 없으며, 일반적인 보안서약서 외에 별도로 이 사건 자료들에 관한 비밀을 유지하겠다는 비밀유지 각서를 청구한 사실도 없어 영업비밀 관리성을 인정하지 않았다.
기업에서 영업비밀을 관리하기 위해서는 영업비밀에 접근하거나 영업비밀을 사용하는 ‘사람’에 대한 통제가 필요하다. 영업비밀을 보유하고 있고 이를 표시했다고 하더라도, 누구나 제한 없이 해당 자료에 접근해 확인하고 사용할 수 있다면 이는 더 이상 비밀이라고 할 수 없기 때문이다. 따라서 회사 직원들에게 비밀유지의무를 부과하면서 영업비밀에 접근하거나 이를 사용할 수 있는 자의 범위를 제한하고, 접근 또는 사용 권한이 있더라도 그러한 권한을 구분하거나 등급을 부여할 필요가 있다.
5. 영업비밀 개발·보관 장소를 별도로 만들어 관리해야 한다
영업비밀 별관 관리 의무 관련사건
피해회사 및 자회사에서 근무하던 일부 피고인들이 동종의 회사로 전직을 앞두고 피해회사에서 개발한 영업비밀을 유출했다. 다른 일부피고인들은 피해회사를 퇴사하고 타 회사로 이직하면서 영업비밀인 ‘0000 소스코드’를 이메일 전송을 통해 무단 반출했으며, 일부는 영업비밀로 보안 관리하며 개발 중인 ‘0000 소스코드’를 부정취득한 후 관리해 오던 중 영업비밀이 저장되어 있는 하드디스크를 해외에 누설했다.
이는 서울중앙지방법원에서 2011년 2월17일 선고한 2009고단5172 판결 사건으로 법원은 영업비밀 관리성을 인정할 수 없다고 판단했다. 피해회사가 피고인 등에게 비밀 유지 및 관련법 준수서약서를 징구했더라도 업무용 PC에 대한 관리가 이뤄지지 않았고, 대표이사와 기술이사의 사무실이 제한되지 않았기 때문이다. 또한 000기술을 비롯한 일체의 프로그램에 대해 비밀취급자가 지정되지 않았으며, 영업비밀 등의 관리 방법 등이 규정되어 있지 않는 등 관리가 소홀했다면 영업비밀 관리성을 인정할 수 없다고 판단했다.
때문에 기업은 영업비밀에 접근하거나 이를 사용하는 ‘사람’에 대한 통제도 필요하지만, 영업비밀이라는 ‘물건’ 자체를 통제할 필요가 있다. 즉 영업비밀을 개발하거나 보관할 때 공개된 장소가 아니라 별도의 방이나 사무실과 같은 격리된 공간 또는 차단된 장소를 마련하는 것이 바람직하다.
영업비밀을 사용하거나 반출입하는 경우에는 그 내역을 의무적으로 기록하도록 할 필요가 있으며, 영업비밀을 개발하고 보관하는 장소의 출입은 잠금장치, 카드 리더, CCTV 등을 설치해 제한해야 한다. 영업비밀을 보관하는 별도의 컴퓨터나 저장장치를 운영하는 경우에는 아무나 복사, 열람, 전송할 수 없도록 보안프로그램을 설치해 운영하는 것이 좋다.
6. 보안관리 전담인력을 지정해야 한다
보안관리 전담인력 지정 필요 관련사건
피해회사가 영업비밀 관리규정 비치, 교육 실시, 영업비밀 접근제한 금지 등의 조치와 함께 회사 전체의 보안책임자와 개별 사업장의 보안담당자까지 지정하는 등의 관리 노력이 인정된 사건도 있다.
의정부지방법원에서 2011년 1월 13일 선고한 2010노611판결 사건을 보자. 피고인은 두유를 제조하는 대기업의 퇴직자다. 그러나 해당 피해회사는 일반적인 영업비밀 관리 노력 수준을 넘어서 보안 담당자도 회사 전체뿐만 아니라 각 개별 사업장 단위까지 지정해 운영했다. 이러한 점은 법원으로부터 영업비밀 관리성을 충분히 인정받았다.
기업은 영업비밀 관리나 회사 보안은 잠시라도 중단되어서는 안 되는 일이기 때문에 이를 전담하는 직원을 두는 것이 좋다. 전담직원을 통해 회사의 영업비밀을 구분하고, 이를 체계적으로 관리하며, 회사 전반의 보안업무까지 전담해 수행하도록 해야 한다.
그래야 영업비밀관리 및 회사 보안의 지속성, 일관성, 전문성을 확보할 수 있다. 또한 가능하다면 기업의 정문, 통제 구역 입구 등에 보안 인력을 배치하고 출입자에 대해 보안검사를 실시하는 것이 바람직하다.
7. 분쟁에 대비한 영업비밀관리 증거를 확보해야 한다
영업비밀관리 증거 확보 필요 관련사건
휴대 단말기를 판매하기 위한 영업정보를 퇴사자가 중국에 누설해 기업에서 피해가 발생했다. 하지만 해당 피해 회사는 영업비밀 침해에 대한 객관적, 구체적 증거를 제출하지 못해 피고인의 무죄가 인정됐다.
이는 인천지방법원 부천지원에서 2012년 8월 2일 선도한 2010고단1439 판결 사건으로 피해 회사는 영업비밀을 구체적으로 특정하지 못했다. 또한 영업비밀을 상당한 노력으로 관리했다는 객관적 증거를 제출하지도 못했기 때문에 법적으로 구제받지 못했다.
기업에서 영업비밀이 침해당해 소송을 제기한다면, 그에 대한 입증책임은 영업비밀이 침해당했다고 주장하는 자에게 있다. 따라서 기업은 내부적으로 영업비밀 보관, 열람, 사용, 복사, 전송 내역을 기록·관리하는 것이 필요하며, 가능하다면 이를 자동화하는 시스템을 구축해 운영하는 것이 바람직하다.
컴퓨터를 사용하는 경우 사용자, 사용시간, 사용내역 등을 확인할 수 있도록 사용자별로 ID와 암호를 의무적으로 설정하도록 하고, 문서 출력 시 사용자 정보가 같이 출력된다거나 프린터 내부적으로 출력 정보를 저장하는 시스템을 도입할 수 있다.
또한 한국특허정보원 영업비밀보호센터가 운영하는 영업비밀 원본증명 서비스를 이용해 영업비밀 보유사실에 대한 증거를 미리 확보할 수도 있다. 다른 업체와 거래 시 대·중소기업 협력재단에서 운영하는 기술임치제도를 활용하는 것도 고려해 볼 수 있다.
8. 정기적인 보안교육을 실시해야 한다
보안교육을 인정받은 사건
영업비밀관리에 관한 교육받은 직원이 퇴사하면서 회사의 영업비밀인 제품 도면과 공장 내부 배치도 파일을 유출하는 사건이 발생했다.
이는 서울중앙지방법원에서 2010년 10월 14일 선고한 2010고단505 판결 사건으로, 회사는 직원들에게 영업비밀의 외부 유출을 금지하는 교육을 실시했다. 또한 보안유지각서를 징구하는 등 비밀관리 노력으로 법원으로부터 인정받아 퇴사자가 유출한 자료가 영업비밀에 해당한다고 판시했다.
보안교육은 보안담당자가 있는 경우 담당자가 직접 시행하고, 필요한 경우 외부 보안전문가를 초빙해 교육을 받는 것도 좋은 방법이다. 또한 오프라인 교육의 경우, 비용, 시간, 장소 등의 문제가 있으므로 직원들이 편한 시간에 원하는 장소에서 보안교육을 받을 수 있도록 온라인 교육을 실시하는 것도 고려해 볼 수 있다.
9. 보안관련 규정을 만들어 시행해야 한다
보안관련 규정 관련사건
보안규정을 제정해 정기적인 교육을 실시하는 등 보안관리체계는 갖추고 있으나, 이를 실제로 시행하지 않아 영업비밀이 유출됐다.
이는 인천지방법원에서 2011년 4월 22일 2010노3637 판결로 피해회사는 보안관리규정을 제정해 정기적인 교육도 시키고 외부저장장치 제한 정책도 시행하고 있었다. 또한 개발이력 관리 시스템 및 문서보안 시스템을 적용하고 있고, 보안전문회사를 통해 출입보안점검을 철저히 하고 있었다.
그러나 법원은 실제로 유출되어 문제가 된 컴퓨터 파일의 경우 ‘대외비’ 표시도 없고 개인 PC에 저장되어 있었으며, 외부 세미나에서도 공개되어 발표되는 등 회사의 보안관리체계가 엄격히 적용되지 않은 점에 지목했다. 때문에 해당 파일이 영업비밀에 해당하지 않는다고 판시했다. 이는 결국 아무리 보안규정을 제정하고 보안관리체계를 마련했다 하더라도 실제로 이를 적용해 시행하지 않는다면 영업비밀 관리성이 인정될 수 없다는 걸 보여준 판례다.
따라서 영업비밀을 체계적으로 관리하기 위해서는 회사 내에 보안관련 규정을 제정해 시행할 필요가 있다. 영업비밀의 특정, 권한 부여, 관리 담당자, 관리 절차, 사고 발생 시 대응절차, 사고 책임자에 대한 징계 절차 및 내용 등 회사 보안에 관한 전반적인 내용을 규정해 시스템화하는 것이 바람직하다. 또한 이러한 규정의 내용은 직원들에 대한 정기적인 보안교육의 소재로 사용할 수 있다.
10. 영업비밀 해당 여부와 영업비밀보호 의무를 고지해야 한다
영업비밀 보호의무 고지 관련사건
피고인들이 다른 곳으로 이직해 피해회사 근무 중 알게 된 정보를 이용해 피해회사에서 추진하던 영업과 같은 영업 업무를 하며 영업비밀을 누설했다.
이는 서울남부지방법원에서 2008년 11월 6일 선고한 2008고단1591 판결로 법원은 비록 피해회사가 피고인들을 포함해 총 4~5명으로 구성된 소규모 회사라 하더라도 영업비밀임을 표시하거나, 고지하거나 비밀준수 부과 등을 해야 하는데 아무런 조치를 취하지 않았다며, 비밀유지를 위해 상당한 노력을 다했다고 볼 수 없다고 판단했다.
따라서 기업은 단순히 영업비밀임을 표시하는 조치뿐만 아니라 회사의 임직원 및 영업비밀을 다루는 담당자 등 영업비밀을 취득, 사용, 누설할 가능성이 있는 자들에게 회사의 특정자료가 영업비밀에 해당함을 고지해야 한다. 또한 이를 보호할 의무를 적극적으로 인식시켜야 한다.
비밀유지서약서 작성 시에는 그 내용을 전부 읽어보게 하고, 중요 부분은 별도 구두로 설명해 주는 것이 바람직하다. 특히 기업의 중요한 영업비밀을 직접 다루는 자에게는 영업비밀의 범위, 비밀유지의무, 권한 및 책임, 기타 보안관련 지침과 주의사항을 직접 고지할 필요가 있다.
[김경애 기자(boan3@boannews.com)]
[월간 시큐리티월드 통권 218호 (sw@infothe.com)]
<저작권자 : (www.securityworldmag.co.kr) 무단전재-재배포금지>
[2024-05-10] 
.jpg)
