[ 핵심 요약 ]
- 상황: 대학수학능력시험 감독관이 수험생 본인 확인을 위해 받은 응시원서에서 수험생의 연락처를 알게 된 뒤, 카카오톡 친구로 추가하여 사적인 메시지를 보낸 경우
- 쟁점: 시험 감독관이 구 개인정보 보호법 제19조의 '개인정보처리자로부터 개인정보를 제공받은 자'에 해당하는지
- 결론: 대법원은 감독관이 개인정보처리자(교육청)의 지휘·감독을 받아 개인정보를 처리한 '개인정보취급자'에 해당할 뿐, '개인정보를 제공받은 자'가 아니라고 보아 무죄 취지로 파기환송하였습니다
- 작성: 채다은 변호사 (형사전문변호사, 개인정보보호법위반 등 형사사건 다수 수행)
1. 사건의 개요
피고인은 공립 고등학교 교사로서 교육청으로부터 대학수학능력시험 감독관으로 위촉되었습니다. 피고인은 고사장 감독업무 중 수험생의 동일성을 확인하기 위하여 수험생의 성명, 주민등록번호, 연락처, 주소 등이 포함된 응시원서를 전달받았고, 이를 수험표와 대조하는 과정에서 한 수험생의 연락처를 알게 되었습니다.
이후 피고인은 그 휴대전화번호로 수험생을 카카오톡 친구로 추가한 다음 "사실 ○○씨가 맘에 들어서요." 등의 메시지를 보냈습니다. 검찰은 피고인이 개인정보처리자로부터 제공받은 개인정보를 제공받은 목적 외의 용도로 이용하였다며 구 개인정보 보호법 위반으로 기소하였습니다.
2. 개인정보보호법위반은 '누가' 했는지가 중요합니다
요즘은 '개인정보보호법위반'이라는 표현을 일상적으로 많이 사용합니다. 그러나 개인정보보호법상 범죄 중에는 '개인정보처리자' 또는 '개인정보처리자로부터 개인정보를 제공받은 자' 등 법이 정한 특정한 지위에 있는 사람이 행위를 한 경우에만 성립하는 것이 많습니다. 행위 자체가 부적절하더라도, 행위자가 해당 조문의 주체에 해당하지 않으면 그 조문으로는 처벌할 수 없습니다.
이 사건에서 문제된 조문은 다음과 같습니다.
구 개인정보 보호법 제19조(개인정보를 제공받은 자의 이용ㆍ제공 제한) 개인정보처리자로부터 개인정보를 제공받은 자는 다음 각 호의 어느 하나에 해당하는 경우를 제외하고는 개인정보를 제공받은 목적 외의 용도로 이용하거나 이를 제3자에게 제공하여서는 아니 된다.
- 정보주체로부터 별도의 동의를 받은 경우
- 다른 법률에 특별한 규정이 있는 경우
제71조(벌칙) 다음 각 호의 어느 하나에 해당하는 자는 5년 이하의 징역 또는 5천만원 이하의 벌금에 처한다.
- 제19조를 위반하여 개인정보를 이용하거나 제3자에게 제공한 자 및 그 사정을 알면서도 영리 또는 부정한 목적으로 개인정보를 제공받은 자
3. 원심과 대법원의 판단
(1) 원심: 유죄
원심은 피고인이 개인정보처리자인 교육청으로부터 수험생들의 전화번호 등 개인정보를 '제공'받았으므로 제19조의 '개인정보처리자로부터 개인정보를 제공받은 자'에 해당한다고 보아 유죄를 선고하였습니다.
(2) 대법원: 무죄 취지 파기환송
대법원은 임직원, 파견근로자, 시간제근로자 등 개인정보처리자의 지휘·감독을 받아 개인정보를 처리하는 '개인정보취급자'(제28조)가 개인정보처리자의 업무 수행을 위하여 개인정보를 이전받은 경우에는 '개인정보처리자로부터 개인정보를 제공받은 자'에 해당하지 않는다고 판단하였습니다. 그 근거는 다음과 같습니다.
- '제3자 제공'의 의미: 제3자 제공은 개인정보의 지배·관리권이 제공받는 자의 업무와 이익을 위하여 이전되는 것입니다. 개인정보처리자가 지배·관리권을 그대로 유지하면서 자신의 업무를 위해 내부적으로 개인정보를 이용하게 하는 것과는 구별됩니다. 개인정보처리자는 다른 사람을 통해 개인정보를 처리할 수도 있으므로, 개인정보취급자에게 정보를 이전하는 것은 '제3자 제공'이 아닙니다.
- 법령의 체계와 문언: 제17조, 제18조가 개인정보처리자의 제3자 제공을 규정한 뒤 제19조가 '제공받은 자'의 의무를 규정하고 있으므로, 제19조의 '제공받은 자'는 제17조, 제18조 등에 따라 개인정보의 지배·관리권을 이전받은 제3자를 의미합니다.
- 독자적 지위의 유무: '제공받은 자'는 정보주체의 동의 등이 있으면 개인정보처리자의 의사와 무관하게 개인정보를 이용·제공할 수 있는 지위에 있습니다. 반면 개인정보취급자는 독자적 이익을 위해 개인정보를 이용하거나 제공할 수 있는 지위에 있지 않습니다.
- 개인정보취급자의 범위: 개인정보취급자는 직접 개인정보 업무를 담당하는 사람뿐 아니라 업무상 필요에 의해 개인정보에 접근하여 처리하는 모든 사람을 말하며, 개인정보파일 운용에 직접 관여하는 사람에 한정되지 않습니다.
이에 따라 대법원은, 피고인이 감독업무 중 수험생 동일성 확인을 위해 교육청으로부터 응시원서를 전달받은 것은 교육청의 지휘·감독하에 개인정보를 처리한 '개인정보취급자'의 지위에서였을 뿐이고, 교육청으로부터 '개인정보를 제공받은 자'로 보기는 어렵다고 보아 무죄 취지로 파기환송하였습니다(대법원 2025. 2. 13. 선고 2020도14713 판결).
4. 그렇다면 개인정보취급자는 처벌받지 않을까요?
그렇지 않습니다. 개인정보취급자는 개인정보처리자와 구별되는 개념이어서 개인정보처리자를 주체로 하는 개별 금지 규정의 적용 대상은 아니지만, 제59조의 '개인정보를 처리하거나 처리하였던 자' 에는 개인정보취급자도 포함된다고 해석할 수 있습니다.
개인정보 보호법 제28조(개인정보취급자에 대한 감독) ① 개인정보처리자는 개인정보를 처리함에 있어서 개인정보가 안전하게 관리될 수 있도록 임직원, 파견근로자, 시간제근로자 등 개인정보처리자의 지휘ㆍ감독을 받아 개인정보를 처리하는 자(이하 "개인정보취급자"라 한다)의 범위를 최소한으로 제한하고, 개인정보취급자에 대하여 적절한 관리ㆍ감독을 하여야 한다.
② 개인정보처리자는 개인정보의 적정한 취급을 보장하기 위하여 개인정보취급자에게 정기적으로 필요한 교육을 실시하여야 한다.제59조(금지행위) 개인정보를 처리하거나 처리하였던 자는 다음 각 호의 어느 하나에 해당하는 행위를 하여서는 아니 된다.
- 업무상 알게 된 개인정보를 누설하거나 권한 없이 다른 사람이 이용하도록 제공하는 행위
제71조(벌칙) 다음 각 호의 어느 하나에 해당하는 자는 5년 이하의 징역 또는 5천만원 이하의 벌금에 처한다.
- 제59조 제2호를 위반하여 업무상 알게 된 개인정보를 누설하거나 권한 없이 다른 사람이 이용하도록 제공한 자 및 그 사정을 알면서도 영리 또는 부정한 목적으로 개인정보를 제공받은 자
따라서 개인정보취급자가 업무상 알게 된 개인정보를 누설하거나 권한 없이 다른 사람이 이용하도록 제공하면 제71조 제9호에 따라 5년 이하의 징역 또는 5천만원 이하의 벌금으로 처벌될 수 있습니다.
5. 채다은 변호사의 사건 검토 방식
채다은 변호사는 개인정보보호법위반 사건을 검토할 때 행위의 내용보다 먼저 "이 사람이 법에서 말하는 어떤 지위에 있는가" 를 확인합니다.
- 행위자가 개인정보처리자인지, 개인정보취급자인지, 제3자로서 개인정보를 제공받은 자인지
- 문제된 행위가 '이용'인지, '누설'이나 '제공'인지
- 검찰이 적용한 조문의 행위 주체와 실제 행위자의 지위가 일치하는지
같은 행위라도 행위자의 지위와 행위 태양에 따라 적용 조문과 결론이 완전히 달라질 수 있습니다. 이 사건처럼 적용 조문의 주체 요건이 충족되지 않는다면, 원심에서 유죄가 선고되었더라도 상급심에서 결론이 바뀔 수 있습니다.
6. 자주 묻는 질문
Q. 회사 직원이 업무상 알게 된 고객 연락처로 개인적으로 연락하면 처벌받나요?
A. 직원은 통상 회사의 지휘·감독을 받는 개인정보취급자에 해당하므로 대법원 판례에 따르면 제19조 위반으로 보기는 어렵습니다. 다만 그 정보를 다른 사람에게 알려주거나 이용하게 했다면 제59조 제2호 위반이 문제될 수 있고, 연락 내용에 따라 다른 범죄가 성립할 수도 있으므로 구체적인 사실관계를 따져보아야 합니다.
Q. 개인정보취급자는 어디까지 해당하나요?
A. 정규 임직원뿐 아니라 파견근로자, 시간제근로자, 이 사건의 시험 감독관처럼 위촉되어 업무를 수행하는 사람 등 개인정보처리자의 지휘·감독을 받아 업무상 개인정보에 접근하는 모든 사람이 포함될 수 있습니다.
Q. 개인정보보호법위반으로 조사를 받게 되었다면 무엇부터 확인해야 하나요?
A. 수사기관이 어떤 조문을 적용하고 있는지, 그리고 본인이 그 조문이 정한 행위 주체에 해당하는지를 먼저 확인해야 합니다. 이 부분은 법리적 판단이 필요하므로 초기 단계부터 변호인과 상담하시는 것이 좋습니다.
7. 맺음말
이 판결은 업무상 개인정보를 넘겨받은 사람이라고 해서 모두 '개인정보를 제공받은 자'가 되는 것은 아니라는 점을 분명히 하였습니다. 개인정보처리자의 지휘·감독하에 업무를 수행한 개인정보취급자는 제19조의 주체가 아니며, 다만 개인정보를 누설하거나 다른 사람이 이용하도록 제공한 경우에는 제59조 제2호로 처벌될 수 있습니다. 채다은 변호사는 개인정보보호법위반 사건에서 행위자의 법적 지위와 적용 조문을 정확히 따지는 것이 방어의 출발점이라고 강조합니다.
● 작성자: 채다은 변호사
개인정보보호법위반, 정보통신망법위반, 업무상 비밀누설 등 형사사건 상담
