해임동의서의 개인정보 누설과 제공받은 동대표의 책임―개인정보 처리행위자의 범위와 부정한 목적

해당판례

대법원 2016. 3. 10. 선고 2015도8766 판결〔개인정보보호법위반〕

원심판결을 파기하고 사건을 서울북부지방법원 합의부에 환송하였다. 개인정보 누설금지의무의 주체가 법률상 ‘개인정보처리자’에 한정되지 않는다고 판단한 판결이다.

하급심

제1심: 서울북부지방법원 2015. 1. 13. 선고 2014고단2134 판결

관리사무소장과 동대표 모두에게 무죄를 선고하였다.

환송 전 항소심: 서울북부지방법원 2015. 5. 21. 선고 2015노166 판결

관리사무소장이 해임동의서에 기재된 개인정보를 일시적으로 보유했다는 사정만으로 개인정보파일을 운용하는 ‘개인정보처리자’가 되는 것은 아니므로, 누설죄의 적용대상자가 아니라고 판단하여 제1심의 무죄를 유지하였다.

대법원의 파기이유

누설금지의무를 부담하는 ‘개인정보를 처리하거나 처리하였던 자’는 ‘개인정보처리자’보다 넓은 개념이다. 따라서 관리사무소장이 개인정보처리자가 아니라는 이유만으로 처벌대상에서 제외한 것은 잘못이라고 판단하였다.

아울러 관리사무소장이 입주자카드 등 체계적으로 배열된 개인정보 집합물을 관리하였다면 개인정보처리자에도 해당할 여지가 있는데, 원심이 이를 충분히 심리하지 않았다고 지적하였다.

파기환송심: 서울북부지방법원 2016. 11. 18. 선고 2016노533 판결

관리사무소장에게는 벌금 30만 원을 선고하고, 동대표에게는 무죄를 선고하였다.

관리사무소장에 대해서는 업무상 교부받은 해임동의서를 해임 대상자인 동대표에게 열람하게 하여 개인정보를 누설한 사실을 인정하였다. 관리규약 등만으로 정보주체의 동의 없는 누설을 정당한 열람업무라고 평가할 수 없다고 판단하였다.

동대표에 대해서는 환송심에서 공소장변경이 이루어졌고, 변경된 공소사실에 관하여 ‘부정한 목적’의 증명이 부족하다고 보았다. 단순히 자신을 해임하는 데 동의한 사람이 누구인지 확인하려는 목적만으로는 부족하고, 동의자에게 위해를 가하거나 동의 철회를 강요하려는 의사 등이 확인되지 않았다는 이유이다.

이후 대법원 2017. 1. 25. 선고 2016도20351 판결의 상고기각으로 환송심판결이 확정된 것으로 확인된다. 이 후속 경과는 재상고심 원문이 아닌 한국형사·법무정책연구원 발간 학술논문의 기재에 따른다. 관련 논문

사실관계

관리사무소장은 2013. 1. 16.부터 2014. 4. 13.까지 서울 노원구 소재 아파트의 관리업무를 담당하였다. 다른 피고인은 같은 아파트 102동의 동대표로서 해임동의 대상자였다.

해당 아파트는 1,320세대로 구성되어 있었고, 일부 입주민들은 312세대로부터 동대표 9명의 해임에 관한 동의를 받았다. 해임동의서에는 동의한 입주민의 동·호수, 이름, 연락처 및 서명 등이 기재되어 있었다.

관리사무소장은 2014. 2. 18. 오후 6시경 관리사무소에서 선거관리위원장으로부터 해임요청의 적법성을 검토해 달라는 의뢰와 함께 해임동의서를 받았다.

다음 날인 2014. 2. 19. 오후 2시경 관리사무소장은 해임 대상자인 102동 동대표에게 그 동의서를 열람하도록 제공하였다. 적법성 검토를 위해 업무상 보유하게 된 문서를, 그 문서에 이름이 적힌 입주민들의 동의 없이 해임 대상자에게 보여준 것이다.

검사는 관리사무소장을 업무상 알게 된 개인정보를 누설한 혐의로, 동대표를 그 사정을 알면서 부정한 목적으로 개인정보를 제공받은 혐의로 기소하였다.

대법원은 관리사무소장을 누설죄의 주체에서 제외한 무죄 판단을 파기하였다. 환송심은 누설 사실을 인정하여 관리사무소장을 처벌했지만, 동대표가 동의자들에게 위해를 가하거나 철회를 강요하려 했다는 등의 증거가 부족하다고 보아 동대표에게는 무죄를 선고하였다.

법리

개인정보처리자와 개인정보 처리행위자의 구별

일반적 판단 기준: ‘개인정보처리자’는 업무 목적으로 개인정보파일을 운용하기 위하여 개인정보를 처리하는 자이다. 반면 제59조 제2호의 의무주체인 ‘개인정보를 처리하거나 처리하였던 자’는 그보다 넓어, 업무상 알게 된 개인정보를 법에서 정한 방법으로 처리한 사람도 포함한다.

사건에 대한 적용: 관리사무소장이 해임동의서를 일시적으로 보유했다는 이유로 개인정보처리자가 아니라고 보더라도, 업무상 교부받아 보유한 개인정보를 누설한 행위의 책임까지 부정할 수는 없다. 개인정보파일 운용 여부만으로 무죄를 판단한 것이 파기이유이다.

대법원은 별도로 입주자카드 등의 운용 실태에 따라 관리사무소장이 개인정보처리자 자체에도 해당할 수 있다고 지적하였다. 이는 주된 법리에 더한 보충적 판단이다.

열람 제공과 개인정보 누설

일반적 판단 기준: 개인정보를 외부에 알리는 방법이 문서 사본의 교부나 전송에 한정되는 것은 아니다. 문서를 보여주어 타인이 개인정보를 알게 하는 행위도 누설에 해당할 수 있다.

사건에 대한 적용: 환송심은 관리사무소장이 해임동의서를 동대표에게 열람하도록 한 행위를 누설로 인정하였다. 해임 절차의 적법성을 검토하기 위해 자료를 보유할 권한과, 해임 대상자에게 입주민의 인적사항을 공개할 권한은 구분된다.

관리규약에 따른 열람이라는 주장

일반적 판단 기준: 개인정보 보호법에 우선하는 다른 법률의 특별규정이 있는지와, 내부 규약에 열람 근거가 있는지는 별개의 문제이다.

사건에 대한 적용: 환송심은 관리규약 등만으로 정보주체의 동의 없는 누설을 정당한 열람업무라고 평가할 수 없다고 보았다. 다만 이 판단을 모든 법정 열람권이나 정당한 방어권 행사에 대한 일률적인 금지로 확대해서는 안 된다.

누설자와 수령자의 처벌요건

일반적 판단 기준: 누설자는 업무상 알게 된 개인정보를 누설하거나 권한 없이 제공한 행위가 문제되며, 별도의 영리 또는 부정한 목적은 요구되지 않는다. 반면 수령자는 위법한 제공 경위를 알았다는 것에 더하여 영리 또는 부정한 목적이 증명되어야 한다.

사건에 대한 적용: 관리사무소장의 누설죄가 성립하더라도 동대표의 범죄가 자동으로 성립하지는 않는다. 환송심은 자신을 해임하는 데 동의한 사람이 누구인지 확인하려는 목적만으로 ‘부정한 목적’을 인정하기 어렵다고 판단하였다.

위해나 동의 철회 강요의 의사는 부정한 목적을 뒷받침할 수 있는 예시이며, 그러한 목적만이 처벌대상이 된다는 취지는 아니다. 또한 실제 위해행위가 발생해야만 범죄가 성립하는 것도 아니다. 판단대상은 개인정보를 제공받을 당시의 목적이다.

실무적 유의점

행위자의 법적 지위를 정확히 구분해야 한다. 개인정보파일을 운용하지 않았다는 주장만으로 누설죄를 방어하기 어렵다. 해당 정보를 어떤 업무로 취득했고 어떻게 보유·이용·제공했는지를 확인해야 한다.
열람도 공개행위로 관리해야 한다. 원본을 잠시 보여주었거나 사본을 주지 않았다는 사정만으로 책임이 없어지지 않는다. 열람 대상, 공개 항목, 법적 근거와 동의 여부를 기록할 필요가 있다.
해임 절차 확인과 동의자 개인정보 공개를 구분해야 한다. 절차의 적법성 검토에 필요한 자료 범위를 정하고, 연락처·서명 등 불필요한 정보는 가리는 방식을 검토해야 한다. 다만 일부 마스킹만으로 공개가 당연히 적법해지는 것은 아니다.
수령자의 목적은 별도로 입증해야 한다. 고소·수사에서는 열람 요청 당시 발언, 문자메시지, 동의자 접촉이나 철회 요구 정황 등을 통해 부정한 목적을 특정해야 한다. 방어 측에서는 단순한 절차 확인 목적과 자료 이용 범위를 구체적으로 설명할 필요가 있다.
수령자 무죄와 제공행위의 적법성을 혼동하지 않아야 한다. 이 사건 동대표의 무죄는 부정한 목적의 증명 부족에 따른 것이다. 해임 대상자에게 해당 문서 전체를 열람할 권리가 있다고 인정한 판결은 아니다.
관리규약과 업무위탁계약에 개인정보 처리절차를 마련해야 한다. 해임동의서·민원서류 등의 접수, 검토, 접근권한, 열람 및 반환 절차를 정하되, 내부 규정만으로 법률상 공개 근거를 대체할 수 없다는 점을 반영해야 한다.

해임동의서의 개인정보 누설과 제공받은 동대표의 책임―개인정보 처리행위자의 범위와 부정한 목적

해당판례

관련판례

관련법령

사실관계

법리

실무적 유의점