법인격 없는 공공기관 소속 직원에게 개인정보보호법상 양벌규정을 적용할 수 있는가

판례번호

대법원 2021. 10. 28. 선고 2020도1942 판결

사건명: 개인정보보호법 위반·부정처사후수뢰·형사사법절차전자화촉진법 위반·공무상비밀누설·직무유기·위계공무집행방해·무고·성매매알선 등 행위의 처벌에 관한 법률 위반

사실관계

피고인은 경찰서 형사과 강력팀에서 근무하던 경찰공무원이었다.

피고인은 개인적으로 돈을 빌려 간 사람이 약정한 기한까지 변제하지 않자, 그 사람과 배우자의 주소 및 이사 여부 등을 확인할 목적으로 경찰 업무용 컴퓨터를 사용하였다.

피고인은 형사사법정보시스템에 접속하여 채무자와 배우자의 주민등록번호를 입력하고 전입신고 주소와 수배 여부 등을 조회하였다.

구체적으로 피고인은 2017년 1월 13일 채무자의 전입신고 주소와 수배 여부를 조회하였고, 2017년 6월 29일 다시 채무자와 배우자의 주소 및 수배 여부를 조회하였다.

이러한 조회는 범죄수사나 경찰의 소관 업무를 위한 것이 아니라 피고인의 개인적인 채권 회수를 위하여 이루어진 것이었다.

검사는 피고인이 개인정보처리자의 소관 업무 수행에 필요한 범위를 벗어나 개인정보를 이용하였다고 보아 구 개인정보 보호법 위반으로 기소하였다.

원심은 피고인 자신은 개인정보처리자가 아니지만, 구 개인정보 보호법 제74조 제2항의 양벌규정에 따라 개인정보처리자의 업무를 실제로 수행한 행위자도 처벌할 수 있다고 보아 이 부분 공소사실을 유죄로 판단하였다.

쟁점

첫째, 개인정보처리자가 아닌 직원도 양벌규정에 따라 개인정보의 목적 외 이용죄의 행위자로 처벌할 수 있는가.

둘째, 법인격 없는 중앙행정기관 또는 그 소속기관을 양벌규정의 ‘법인 또는 개인’에 포함할 수 있는가.

셋째, 법인격 없는 공공기관이 양벌규정의 적용대상이 아니라면, 그 소속 직원만을 행위자로 처벌할 수 있는가.

법리

1. 양벌규정은 행위자의 처벌근거이기도 하다

구 개인정보 보호법 제71조 제2호와 제18조 제1항은 범죄의 주체를 ‘개인정보처리자’로 한정하였다.

통상적인 법인이나 사업체에서는 법인 또는 사업주가 개인정보처리자이고, 실제 개인정보를 조회·이용하는 사람은 그 소속 임직원이다. 임직원은 개인정보처리자 자체가 아니므로 구성요건의 문언만 적용하면 직접 처벌하기 어려운 문제가 생긴다.

양벌규정은 이러한 처벌의 공백을 방지하기 위한 규정이다. 개인정보처리자가 아니더라도 그 업무를 실제로 처리하는 대표자·대리인·사용인·종업원까지 처벌대상을 확장한다.

따라서 양벌규정은 단순히 법인이나 사업주를 추가로 처벌하는 규정에 그치지 않고, 실제 위반행위를 한 임직원을 처벌하는 근거이기도 하다.

일반적으로 법인이 개인정보처리자인 경우 그 직원이 법인의 업무에 관하여 개인정보를 목적 외로 이용하면, 직원은 개인정보처리자 자체가 아니더라도 양벌규정에 따라 행위자로 처벌될 수 있다.

2. 개인정보처리자의 범위와 양벌규정의 적용대상은 구별해야 한다

구 개인정보 보호법은 중앙행정기관과 그 소속기관 등 법인격 없는 공공기관도 개인정보처리자가 될 수 있다고 규정하였다.

그러나 개인정보처리자가 될 수 있다는 것과 양벌규정에 따라 형사처벌의 대상이 된다는 것은 별개의 문제이다.

구 개인정보 보호법 제74조 제2항은 양벌규정의 적용대상을 ‘법인 또는 개인’으로만 규정하였다. 법인격 없는 중앙행정기관이나 그 소속기관을 양벌규정의 적용대상에 포함한다는 명문의 규정은 두지 않았다.

따라서 법인격 없는 공공기관이 개인정보처리자에 해당한다는 이유만으로 그 기관을 양벌규정의 ‘법인’에 포함할 수는 없다.

3. 법인격 없는 공공기관은 양벌규정의 ‘법인’이 아니다

경찰청과 경찰서는 국가행정조직의 일부로서 독립된 법인격을 가진 법인이 아니다.

구 개인정보 보호법이 법인격 없는 공공기관도 개인정보처리자가 될 수 있다고 규정하면서, 양벌규정에서는 처벌대상을 ‘법인 또는 개인’으로 한정하였다면 이는 입법자가 사용한 문언에 따라 해석해야 한다.

법인격 없는 국가기관을 양벌규정의 ‘법인’에 포함하는 것은 형벌규정의 문언을 피고인에게 불리하게 확장하는 결과가 된다.

대법원은 죄형법정주의 원칙상 법인격 없는 공공기관을 양벌규정으로 처벌할 수 없다고 판단하였다.

4. 업무주체를 처벌할 수 없으면 소속 직원도 양벌규정으로 처벌할 수 없다

양벌규정은 법인 또는 개인의 업무에 관하여 위반행위를 한 임직원을 행위자로 처벌하는 구조이다.

따라서 직원의 행위가 양벌규정에 따라 처벌되려면 그 직원이 ‘법인 또는 개인’의 대표자·대리인·사용인·종업원에 해당하고, 그 법인 또는 개인의 업무에 관하여 위반행위를 하였어야 한다.

그런데 경찰청과 경찰서는 법인도 개인도 아니다. 따라서 경찰공무원을 구 개인정보 보호법 제74조 제2항에서 정한 ‘법인 또는 개인의 대리인·사용인·종업원’으로 볼 수 없다.

법인격 없는 공공기관을 양벌규정으로 처벌할 수 없는 이상, 그 소속 직원 역시 해당 양벌규정에 근거하여 처벌할 수 없다는 것이 대법원의 결론이다.

5. 개인정보의 사적 이용이 적법하다는 의미는 아니다

피고인이 개인적인 채권 회수를 위하여 형사사법정보시스템에서 채무자와 배우자의 주소 및 수배 여부를 조회한 행위는 경찰의 소관 업무 수행과 무관한 사적 이용이었다.

대법원은 이러한 행위가 정당하거나 개인정보 이용범위를 준수한 것이라고 판단한 것이 아니다.

피고인을 이 사건에 적용된 구 개인정보 보호법의 특정 조항과 양벌규정으로 처벌할 수 있는 명확한 법률적 근거가 없다고 판단한 것이다.

실제로 대법원은 피고인의 다른 행위에 관한 공무상비밀누설죄, 형사사법절차전자화촉진법 위반죄 및 개인정보 누설 관련 범죄 등에 관한 원심의 유죄판단에는 법리오해가 없다고 보았다.

따라서 이 판결은 공무원이 개인정보를 사적으로 이용해도 된다는 취지가 아니라, 위법한 행위라도 적용 가능한 형벌규정의 문언과 요건이 명확하게 충족되어야 처벌할 수 있다는 죄형법정주의의 원칙을 확인한 것이다.

6. 형벌규정의 입법상 공백을 해석으로 보완할 수 없다

법인격 없는 공공기관을 양벌규정의 적용대상에서 제외하면 국가기관 소속 직원의 개인정보 목적 외 이용에 처벌 공백이 발생할 수 있다.

그러나 형사법에서는 처벌의 필요성이 크다는 이유만으로 법률에 규정되지 않은 대상을 유추하거나 확장하여 처벌할 수 없다.

처벌 공백이 있다면 이는 입법자가 명확한 법률 개정을 통하여 해결해야 할 문제이고, 법원이 형벌규정의 해석을 통하여 보완할 수 있는 문제가 아니다.

결론

대법원은 일반적으로 개인정보처리자가 아닌 임직원도 양벌규정에 따라 개인정보 목적 외 이용죄의 행위자로 처벌할 수 있다고 판단하였다.

그러나 이 사건 개인정보처리자는 법인격 없는 중앙행정기관 또는 그 소속기관인 경찰청·경찰서였다. 구 개인정보 보호법의 양벌규정은 처벌대상을 ‘법인 또는 개인’으로 한정하였고 법인격 없는 공공기관을 포함한다는 명문의 규정을 두지 않았다.

따라서 경찰청·경찰서를 양벌규정으로 처벌할 수 없고, 그 소속 경찰공무원인 피고인 역시 해당 양벌규정에 따라 처벌할 수 없다고 판단하였다.

대법원은 이 부분 개인정보 보호법 위반을 유죄로 판단한 원심에 양벌규정과 죄형법정주의에 관한 법리오해가 있다고 보았다.

이 부분은 다른 유죄 부분과 경합범 관계에 있어 하나의 형이 선고되었으므로, 대법원은 원심판결 중 피고인에 대한 유죄 부분 전부를 파기하여 대전고등법원으로 환송하였다. 검사의 상고는 기각하였다.

판결의 의의

이 판결은 양벌규정이 두 가지 성격을 동시에 가진다는 점을 확인하였다.

첫째, 개인정보처리자인 법인 또는 개인을 처벌하는 근거이다.

둘째, 개인정보처리자는 아니지만 그 업무를 실제 수행한 대표자·대리인·사용인·종업원을 처벌대상으로 확장하는 근거이다.

다만 양벌규정에 의한 행위자의 처벌은 그 행위자가 ‘법인 또는 개인’의 업무를 수행하였다는 전제에서만 가능하다. 법인격 없는 국가기관이 법문상 양벌규정의 적용대상에서 제외된다면 그 소속 직원에게만 행위자 처벌규정을 분리하여 적용할 수도 없다.

결국 이 판결은 처벌 필요성이 인정되더라도 법률이 정한 범죄주체와 양벌규정의 적용범위를 넘어 형벌규정을 확장할 수 없다는 죄형법정주의의 한계를 분명히 한 판결이다.