해당판례
하급심
제1심인 서울중앙지방법원 2019. 12. 12. 선고 2019고단3278 판결은 피고인이 개인정보처리자로부터 개인정보를 제공받은 제3자에 해당하지 않는다고 보아 무죄를 선고하였다.
서울중앙지방법원 2020. 10. 15. 선고 2019노4259 판결은 감독관으로 위촉된 피고인이 교육청으로부터 수험생의 개인정보를 제공받았다는 이유로 제1심을 뒤집고 유죄로 판단하였다.
대법원은 피고인이 교육청의 지휘·감독 아래 개인정보를 처리한 개인정보취급자일 뿐, 개인정보의 지배·관리권을 이전받은 제3자는 아니라고 보아 원심판결을 파기환송하였다.
파기환송심인 서울중앙지방법원 2025. 6. 26. 선고 2025노498 판결은 대법원의 판단에 따라 주위적 공소사실에 관한 제1심의 무죄 판단을 유지하였다. 예비적 공소사실에 대해서도 교육청이 법인격 없는 지방교육행정기관이므로 당시 양벌규정에 따라 교육청이나 피고인을 처벌할 수 없다고 판단하였다. 이에 검사의 항소를 기각하였다. 이후 재상고 여부와 확정 여부는 제공된 자료에서 확인되지 않는다.
관련판례
법인격 없는 공공기관은 당시 양벌규정의 적용 대상인 ‘법인 또는 개인’에 포함되지 않고, 그 업무를 실제로 처리한 행위자도 해당 양벌규정으로 처벌할 수 없다고 판단하였다. 이 사건 파기환송심이 예비적 공소사실의 무죄 판단에 직접 원용한 판례이다.
개인정보의 제3자 제공과 처리위탁을 구별할 때 개인정보 이전의 목적, 수령자의 업무와 이익 등을 고려한다. 이 사건의 쟁점인 개인정보의 지배·관리권 이전 여부를 이해하는 데 관련된다. 다만 이 사건은 처리위탁 자체보다 개인정보취급자와 제3자 수령자의 구별에 초점이 있다.
업무상 알게 된 개인정보의 누설 등에 관한 금지규정은 개인정보처리자만을 대상으로 하는 것이 아니라고 판단하였다. 이 사건에서 특정 처벌조항의 적용이 부정되었다고 하여 개인정보취급자의 모든 개인정보 침해행위에 대한 형사책임이 배제되는 것은 아니라는 점에서 구별하여 참고할 판례이다.
관련법령
아래 조문은 사건 당시의 연혁법령으로 연결하였다. 구법의 개정 기준은 각 조문 앞에 개별적으로 표시하였다.
- 구 개인정보 보호법(2020. 2. 4. 법률 제16930호로 개정되기 전의 것) 제2조 제5호는 개인정보처리자의 의미, 제6호는 공공기관의 범위를 정한다. 다른 사람을 통하여 개인정보를 처리하는 경우와 법인격 없는 공공기관의 지위를 판단하는 근거이다.
- 구 개인정보 보호법(2020. 2. 4. 법률 제16930호로 개정되기 전의 것) 제15조 개인정보의 수집·이용에 관한 규정으로, 대법원이 법률의 체계를 해석하면서 참조하였다.
- 구 개인정보 보호법(2020. 2. 4. 법률 제16930호로 개정되기 전의 것) 제16조 개인정보 수집 제한에 관한 규정으로, 수집·이용과 제3자 제공을 구별하는 체계적 해석에 참조되었다.
- 구 개인정보 보호법(2020. 2. 4. 법률 제16930호로 개정되기 전의 것) 제17조 개인정보의 제3자 제공에 관한 규정이다. 개인정보의 지배·관리권을 이전받은 제3자의 의미를 해석하는 근거이다.
- 구 개인정보 보호법(2020. 2. 4. 법률 제16930호로 개정되기 전의 것) 제18조 제1항은 개인정보처리자의 목적 외 이용·제공을 제한하고, 제2항은 예외를 정한다. 제1항은 예비적 공소사실의 적용 조문이다.
- 구 개인정보 보호법(2020. 2. 4. 법률 제16930호로 개정되기 전의 것) 제19조 개인정보처리자로부터 개인정보를 제공받은 자의 목적 외 이용·제공을 제한한다. 주위적 공소사실의 핵심 적용 조문이다.
- 구 개인정보 보호법(2020. 2. 4. 법률 제16930호로 개정되기 전의 것) 제28조 개인정보취급자에 대한 감독 등에 관한 규정이다. 피고인의 개인정보취급자 지위를 판단하는 근거이다.
- 구 개인정보 보호법(2020. 2. 4. 법률 제16930호로 개정되기 전의 것) 제71조 제2호 이 사건 주위적·예비적 공소사실에 적용된 벌칙규정이다.
- 구 개인정보 보호법(2020. 2. 4. 법률 제16930호로 개정되기 전의 것) 제74조 제2항 법인 또는 개인의 업무에 관한 위반행위를 대상으로 하는 양벌규정이다. 파기환송심에서 법인격 없는 교육청과 실제 행위자에 대한 적용 여부가 문제 되었다.
사실관계
피고인은 공립고등학교 교사로서 서울특별시교육청으로부터 2019학년도 대학수학능력시험 감독관으로 위촉되었다. 교육청은 시험감독업무 중 수험생의 동일성을 확인하도록 성명, 주민등록번호, 연락처, 주소 등이 기재된 응시원서를 전달하였다.
피고인은 2018. 11. 15. 응시원서와 수험표를 대조하는 과정에서 특정 수험생의 연락처를 알게 되었고, 같은 달 25일 그 연락처로 수험생을 카카오톡 친구로 추가한 뒤 사적인 호감을 표시하는 메시지를 보냈다.
검사는 피고인이 제공받은 개인정보를 목적 외로 이용하였다고 기소하였다. 쟁점은 피고인의 지위가 독립된 제3자 수령자인지, 교육청의 지휘·감독을 받는 개인정보취급자인지, 후자라면 양벌규정으로 처벌할 수 있는지였다.
법리
일반적인 판단 기준
개인정보의 제3자 제공 여부는 정보를 전달받았다는 외형만으로 정하지 않는다. 수령자의 독립된 업무와 이익을 위하여 개인정보의 지배·관리권이 이전되었는지가 기준이 된다. 개인정보처리자가 지배·관리권을 유지하면서 자신의 업무를 수행하도록 정보를 전달한 경우에는 내부적인 개인정보 처리로 구별된다.
개인정보취급자는 개인정보파일 운용을 직접 담당하는 사람에 한정되지 않는다. 개인정보처리자의 지휘·감독을 받으면서 업무상 필요에 따라 개인정보에 접근하고 처리하는 사람도 포함된다.
양벌규정으로 실제 행위자를 처벌하려면 그 규정의 문언상 적용 범위에 들어야 한다. 법인격 없는 공공기관에 관한 명문 규정이 없는 경우, 죄형법정주의상 적용 대상을 확장할 수 없다.
해당 사건에 대한 적용
피고인은 교육청이 정한 시험감독업무를 수행하기 위해 응시원서를 전달받았다. 수험생의 개인정보를 독립적으로 이용할 권한이나 지배·관리권을 이전받은 것은 아니므로, 대법원은 개인정보취급자에 해당한다고 판단하였다.
파기환송심은 별도로 양벌규정의 적용 가능성을 검토하였다. 개인정보처리자인 서울특별시교육청이 법인격 없는 지방교육행정기관이라는 이유로 교육청과 피고인 모두 해당 양벌규정에 따른 처벌 대상이 아니라고 판단하였다.
실무적 유의점
- 행위자의 지위와 실제 정보처리 구조를 먼저 확인해야 한다. 위촉장, 근로·위탁계약, 업무지침, 접근권한, 감독 및 보고체계 등은 지휘·감독 관계와 독립적 이용권한을 판단하는 자료가 된다.
- 계약에는 처리 목적, 허용되는 접근 범위, 독립적 이용 가능 여부, 재제공 제한, 반환·파기 의무를 구체적으로 정할 필요가 있다. 계약의 명칭뿐 아니라 실제 운영 방식도 함께 검토해야 한다.
- 분쟁에서는 정보의 취득 경위, 업무상 이용 범위, 사적 이용행위와 시점을 구분하여 주장·입증해야 한다. 접근기록, 응시원서 등 자료의 전달·회수 내역, 메시지 전송기록 등이 관련 증거가 될 수 있다.
- 법인격 없는 교육청에 관한 양벌규정 판단을 민간기업 직원에게 그대로 적용해서는 안 된다. 개인정보처리자의 법적 지위와 행위 당시 적용되는 처벌규정을 개별적으로 확인해야 한다.
- 이 사건의 무죄 판단은 해당 공소사실에 적용된 처벌규정의 범위에 관한 것이다. 사적 이용에 따른 민사상 손해배상이나 징계책임은 각각의 요건에 따라 별도로 검토해야 한다.