개인정보보호법위반(예비적 죄명: 같음)

피고인

검사

손성민 외 1인

법무법인 에스엘 담당변호사 이성준

서울중앙지법 2019. 12. 12. 선고 2019고단3278 판결

원심판결을 파기한다 피고인을 징역 4월에 처한다. 다만 이 판결 확정일부터 1년간 위 형의 집행을 유예한다.

1. 항소이유의 요지 피고인은 개인정보처리자인 서울특별시교육청으로부터 대학수학능력시험의 감독업무를 수행하기 위해 수험생의 개인정보를 제공받은 자로서 개인정보 보호법 제19조가 의율하는 “개인정보처리자로부터 개인정보를 제공받은 자”에 해당한다고 볼 수 있다. 그럼에도 이 부분 공소사실을 무죄로 판단한 원심판결에는 개인정보 보호법에 대한 사실을 오인하거나 법리를 오해한 위법이 있다. 2. 검사의 주장에 관한 판단 가. 주위적 공소사실 개인정보처리자로부터 개인정보를 제공받은 자는 정보주체로부터 별도의 동의를 받거나 다른 법률에 특별한 규정이 있는 경우가 아니면 개인정보를 제공받은 목적 외의 용도로 이용하여서는 아니 된다. 피고인은 2018. 11. 15.경 (주소 생략)에 있는 ○○고등학교 대학수학능력시험 고사장 감독업무를 수행하는 과정에서 수험생의 성명, 주민등록번호, 연락처, 주소 등 개인정보가 포함된 응시원서를 제공받고, 이를 각 수험생의 수험표와 대조하는 과정에서 △△△의 연락처를 알게 되었다. 피고인은 2018. 11. 25. 17:25경 위와 같이 알게 된 연락처를 이용하여 △△△을 카카오톡 친구로 추가한 후 △△△에게 카카오톡으로 “사실 △△씨가 맘에 들어서요.” 등의 메시지를 발송하였다. 이로써 피고인은 개인정보처리자로부터 제공받은 개인정보를 제공받은 목적 외 용도로 이용하였다. 나. 원심의 판단 개인정보 보호법은 ① 개인정보처리자로부터 개인정보를 제공받은 뒤 일정한 법정 요건을 충족할 경우 개인정보처리자의 지휘·감독 등의 개입 없이 그 개인정보를 이용하거나 다른 제3자에게 제공할 수 있는 지위에 있는 사람과 ② 개인정보처리자의 지휘·감독을 받아 종속적인 의미에서 단순히 개인정보 처리업무를 수행하는 사람으로 구분하고 있다고 해석된다. 즉, 개인정보 보호법 제19조에서 정하고 있는 ‘개인정보처리자로부터 개인정보를 제공받은 자’란 개인정보처리자가 아닌 자로서 개인정보처리자에 속하지 않는 제3자, 즉 개인정보처리자의 지휘나 감독을 받지 아니하는, 개인정보처리자와 무관한 제3자를 의미하고(위 ①의 경우에 해당), 개인정보보호법 제28조 소정의 ‘개인정보취급자’(위 ②의 경우에 해당)는 위 제3자에서 제외되므로, ‘개인정보취급자’에게는 개인정보보호법 제19조가 적용될 수 없는 것으로 해석함이 합리적인 해석이다. 그런데 대학수학능력시험의 감독관으로 차출된 피고인은 수험생의 동일성 확인 등 대학수학능력시험의 감독업무를 수행하기 위해 개인정보처리자로부터 제공받은 개인정보를 개인정보처리자의 지휘·감독을 받아 이용함으로써 개인정보를 처리하는 개인정보취급자에 불과하다. 따라서 피고인은 개인정보 보호법 제19조의 ‘개인정보처리자로부터 개인정보를 제공받은 자’에 해당한다고 볼 수 없고, 달리 이를 인정할 증거가 없다. 다. 당심의 판단 1) 법률해석의 원칙 그러나 원심의 위와 같은 개인정보 보호법의 해석 및 이를 바탕으로 피고인은 개인정보취급자일 뿐 개인정보 보호법 제19조에서 규정한 ‘개인정보처리자로부터 개인정보를 제공받은 자’에 해당하지 않는다는 판단은 개인정보 보호법 제19조 및 제28조의 입법 취지는 물론 개인정보를 두텁게 보호하고자 하는 개인정보 보호법의 입법 목적까지 저해하는 것이어서 쉽게 수긍하기 어렵다. 즉, 죄형법정주의 원칙상 형벌 법규의 해석은 엄격하여야 하고, 문언의 가능한 의미를 벗어나 피고인에게 불리한 방향으로 해석하는 것은 죄형법정주의의 내용인 확장해석금지에 따라 허용되지 않는 것은 원심이 지적하는 바와 같지만, 이 원칙이 입법 목적과 다르게 입법의 미비점을 일부러 드러내 조장하거나 확대하려는 의미는 아닐 것이다. 오히려 개인정보 보호법 제1조의 입법 목적에 비추어 볼 때 개인정보의 보호에 틈이 없도록 관련 규정을 체계적으로 해석하는 것이 보다 합리적인 해석원칙이다. 2) 관련 법령 ■ 구 개인정보 보호법(2020. 2. 4. 법률 제16930호로 개정되기 전의 것, 이하 ‘개인정보 보호법’이라고만 한다) 제2조(정의) 이 법에서 사용하는 용어의 뜻은 다음과 같다. 5. “개인정보처리자”란 업무를 목적으로 개인정보파일을 운용하기 위하여 스스로 또는 다른 사람을 통하여 개인정보를 처리하는 공공기관, 법인, 단체 및 개인 등을 말한다. 제15조(개인정보의 수집·이용) ① 개인정보처리자는 다음 각호의 어느 하나에 해당하는 경우에는 개인정보를 수집할 수 있으며 그 수집 목적의 범위에서 이용할 수 있다. 1. 정보주체의 동의를 받은 경우 2. 법률에 특별한 규정이 있거나 법령상 의무를 준수하기 위하여 불가피한 경우 3. 공공기관이 법령 등에서 정하는 소관 업무의 수행을 위하여 불가피한 경우(이하 생략) 제17조(개인정보의 제공) ① 개인정보처리자는 다음 각호의 어느 하나에 해당되는 경우에는 정보주체의 개인정보를 제3자에게 제공(공유를 포함한다. 이하 같다)할 수 있다. 1. 정보주체의 동의를 받은 경우 2. 제15조 제1항 제2호·제3호 및 제5호에 따라 개인정보를 수집한 목적 범위에서 개인정보를 제공하는 경우 ② 개인정보처리자는 제1항 제1호에 따른 동의를 받을 때에는 다음 각호의 사항을 정보주체에게 알려야 한다. 다음 각호의 어느 하나의 사항을 변경하는 경우에도 이를 알리고 동의를 받아야 한다. 1. 개인정보를 제공받는 자 2. 개인정보를 제공받는 자의 개인정보 이용 목적 3. 제공하는 개인정보의 항목(이하 생략) 제18조(개인정보의 목적 외 이용·제공 제한) ① 개인정보처리자는 개인정보를 제15조 제1항에 따른 범위를 초과하여 이용하거나 제17조 제1항 및 제3항에 따른 범위를 초과하여 제3자에게 제공하여서는 아니 된다. ② 제1항에도 불구하고 개인정보처리자는 다음 각호의 어느 하나에 해당하는 경우에는 정보주체 또는 제3자의 이익을 부당하게 침해할 우려가 있을 때를 제외하고는 개인정보를 목적 외의 용도로 이용하거나 이를 제3자에게 제공할 수 있다. 다만 제5호부터 제9호까지의 경우는 공공기관의 경우로 한정한다. 1. 정보주체로부터 별도의 동의를 받은 경우(이하 생략) ③ 개인정보처리자는 제2항 제1호에 따른 동의를 받을 때에는 다음 각호의 사항을 정보주체에게 알려야 한다. 다음 각호의 어느 하나의 사항을 변경하는 경우에도 이를 알리고 동의를 받아야 한다. 1. 개인정보를 제공받는 자 2. 개인정보의 이용 목적(제공 시에는 제공받는 자의 이용 목적을 말한다) 3. 이용 또는 제공하는 개인정보의 항목(이하 생략) ⑤ 개인정보처리자는 제2항 각호의 어느 하나의 경우에 해당하여 개인정보를 목적 외의 용도로 제3자에게 제공하는 경우에는 개인정보를 제공받는 자에게 이용 목적, 이용 방법, 그 밖에 필요한 사항에 대하여 제한을 하거나, 개인정보의 안전성 확보를 위하여 필요한 조치를 마련하도록 요청하여야 한다. 이 경우 요청을 받은 자는 개인정보의 안전성 확보를 위하여 필요한 조치를 하여야 한다. 제19조(개인정보를 제공받은 자의 이용·제공 제한) 개인정보처리자로부터 개인정보를 제공받은 자는 다음 각호의 어느 하나에 해당하는 경우를 제외하고는 개인정보를 제공받은 목적 외의 용도로 이용하거나 이를 제3자에게 제공하여서는 아니 된다. 1. 정보주체로부터 별도의 동의를 받은 경우 2. 다른 법률에 특별한 규정이 있는 경우 제28조(개인정보취급자에 대한 감독) ① 개인정보처리자는 개인정보를 처리함에 있어서 개인정보가 안전하게 관리될 수 있도록 임직원, 파견근로자, 시간제근로자 등 개인정보처리자의 지휘·감독을 받아 개인정보를 처리하는 자(이하 ‘개인정보취급자’라 한다)에 대하여 적절한 관리·감독을 행하여야 한다. ② 개인정보처리자는 개인정보의 적정한 취급을 보장하기 위하여 개인정보취급자에게 정기적으로 필요한 교육을 실시하여야 한다. 제59조(금지행위) 개인정보를 처리하거나 처리하였던 자는 다음 각호의 어느 하나에 해당하는 행위를 하여서는 아니 된다. 1. 거짓이나 그 밖의 부정한 수단이나 방법으로 개인정보를 취득하거나 처리에 관한 동의를 받는 행위 2. 업무상 알게 된 개인정보를 누설하거나 권한 없이 다른 사람이 이용하도록 제공하는 행위 3. 정당한 권한 없이 또는 허용된 권한을 초과하여 다른 사람의 개인정보를 훼손, 멸실, 변경, 위조 또는 유출하는 행위 제71조(벌칙) 다음 각호의 어느 하나에 해당하는 자는 5년 이하의 징역 또는 5천만 원 이하의 벌금에 처한다. 1. 제17조 제1항 제2호에 해당하지 아니함에도 같은 항 제1호를 위반하여 정보주체의 동의를 받지 아니하고 개인정보를 제3자에게 제공한 자 및 그 사정을 알고 개인정보를 제공받은 자 2. 제18조 제1항·제2항, 제19조, 제26조 제5항 또는 제27조 제3항을 위반하여 개인정보를 이용하거나 제3자에게 제공한 자 및 그 사정을 알면서도 영리 또는 부정한 목적으로 개인정보를 제공받은 자 5. 제59조 제2호를 위반하여 업무상 알게 된 개인정보를 누설하거나 권한 없이 다른 사람이 이용하도록 제공한 자 및 그 사정을 알면서도 영리 또는 부정한 목적으로 개인정보를 제공받은 자 6. 제59조 제3호를 위반하여 다른 사람의 개인정보를 훼손, 멸실, 변경, 위조 또는 유출한 자 제72조(벌칙) 다음 각호의 어느 하나에 해당하는 자는 3년 이하의 징역 또는 3천만 원 이하의 벌금에 처한다. 2. 제59조 제1호를 위반하여 거짓이나 그 밖의 부정한 수단이나 방법으로 개인정보를 취득하거나 개인정보 처리에 관한 동의를 받는 행위를 한 자 및 그 사정을 알면서도 영리 또는 부정한 목적으로 개인정보를 제공받은 자 3) ‘개인정보처리자로부터 개인정보를 제공받은 자’의 의미 개인정보 보호법(이하 ‘법’이라고 한다)은 개인정보처리자에 관한 정의 규정(제2조 제5호)을 두면서도 ‘개인정보처리자로부터 개인정보를 제공받은 자’에 대하여 명시적인 정의 규정을 두고 있지는 아니하다. 그럼에도 불구하고 법은 개인정보를 보호하기 위한 여러 금지 규정을 두면서 금지의무의 주체로 ‘개인정보처리자’(제17조, 제18조), ‘개인정보처리자로부터 개인정보를 제공받은 자’(제19조), ‘개인정보를 처리하거나 처리하였던 자’(제59조) 등을 규정하고 있고, 제71조, 제72조에서 위 각 주체에 대응하는 처벌 규정을 두고 있으며, 나아가 제28조에서 개인정보처리자의 지휘·감독을 받아 개인정보를 처리하는 자로서 ‘개인정보취급자’ 규정을 별도로 두고 있으므로, 위 각 규정 등에 대한 체계적 해석을 통하여 ‘개인정보처리자로부터 개인정보를 제공받은 자’의 의미를 합리적으로 새길 수 있을 것이다. 법 제17조 제1항은, ‘개인정보처리자는 다음 각호의 어느 하나에 해당되는 경우에는 정보주체의 개인정보를 제3자에게 제공할 수 있다’고 하면서, “제공”의 태양에 “공유”를 포함한다고 규정하고 있어, 개인정보처리자가 그 정보를 공유할 정도로 밀접한 관계에 있는 자도 제3자에서 제외하지 않고 개인정보를 제공받은 자에 포함시키고 있다. 또한, 개인정보를 제3자에게 제공할 수 있는 경우로서 제1호에서 ‘정보주체의 동의를 받은 경우’를, 그 제2호에서 ‘제15조 제1항 제2호·제3호 및 제5호 등에 따라 개인정보를 수집한 목적 범위에서 개인정보를 제공하는 경우’를 각 규정하고 있는데, 법 제15조 제1항 제3호는 “공공기관이 법령 등에서 정하는 소관 업무의 수행을 위하여 불가피한 경우”라고 규정하고 있으므로, 공공기관이 법령 등에서 정하는 소관 업무의 수행을 위하여 개인정보를 다른 사람에게 전달하는 행위는 개인정보의 제공에 당연히 포섭된다고 해석하는 것이 타당하다. 게다가 법 제17조 제2항은 ‘개인정보처리자는 제1항 제1호(정보주체의 동의를 받은 경우)에 따른 동의를 받을 때에는 다음 각호의 사항(가령, 개인정보를 제공받는 자 등)을 정보주체에게 알려야 한다’고 규정하면서도, 그 제1항 제2호의 경우에 대해서는 전혀 언급이 없는데, 이는 법 제17조 제1항 제2호에서 규정한 ‘제15조 제1항 제2호·제3호 및 제5호 등에 따라 개인정보를 수집한 목적 범위에서 개인정보를 제공하는 경우’에는 그 소관 업무 수행과 관련하여 불가피하게 정보처리자의 내부 직원 등에게 개인정보를 제공할 필요가 있거나 기타 소관 업무 수행을 위해 긴급히 필요한 경우가 당연히 전제되기 때문에 법이 별도의 제한규정을 두고 있지 않은 것으로 보인다. 즉, 개인정보처리자가 소관 업무 수행과 관련하여 내부의 구성원에게 자신이 수집한 개인정보를 공개하는 경우까지 법 제17조 제1항의 “제공”의 태양으로 포섭하고 있는 것으로 해석된다. 4) 법 제28조 제1항에 규정된 ‘개인정보취급자’의 규정 취지 및 의미 법은 제19조의 ‘개인정보처리자로부터 개인정보를 제공받은 자’ 이외에 법 제28조에서 개인정보처리자의 지휘·감독을 받아 개인정보를 처리하는 자, 즉 ‘개인정보취급자’ 규정을 별도로 두고 있다. 그러나 위 규정은 개인정보취급자가 개인정보를 처리하는 경우 개인정보처리자에게 적절한 관리·감독 및 개인정보 취급에 관한 적절한 교육의무를 부과하는 것이어서 법 제17조 제2항, 제18조 제3항, 제5항에서 규정하고 있는, 개인정보처리자가 제3자에게 개인정보를 제공하는 경우에 부담하는 의무사항과 명백히 구분된다. 따라서 이를 법 제19조의 ‘개인정보를 제공받은 자’의 범위를 제한하는 근거로 보기는 어렵다. 그런데 법 제28조에서 정한 개인정보취급자가 개인정보를 부당하게 “이용”하는 행위에 대하여 처벌 규정이 따로 마련되어 있지 않은 점과 법 제2조 제5호에서 개인정보처리자를 “업무를 목적으로 개인정보파일을 운용하기 위하여 스스로 또는 다른 사람을 통하여 개인정보를 처리하는 공공기관, 법인, 단체 및 개인 등을 말한다.”라고 규정하고 있는 점 등을 종합하여 보면, 법에서 정한 ‘개인정보취급자’란 스스로 개인정보를 처리하는 경우가 아니라 “다른 사람을 통하여” 개인정보를 처리하는 경우에 상응하는 개념으로서, 자신의 의사에 따라 개인정보를 처리할 수 없고 오로지 개인정보처리자의 지휘·감독을 받아 개인정보파일 운용에 직접 관여하는 행위를 하는 자를 의미한다고 할 것이다. 이 사건의 경우에서라면 개인정보처리자인 서울특별시교육청의 개인정보파일 운용을 위하여 서울특별시교육청의 위임을 받아 그의 지휘·감독하에 개인정보 수집이나 개인정보파일 관리 등의 일을 담당하는 자를 의미한다. 5) 피고인이 법 제19조 소정의 ‘개인정보처리자로부터 개인정보를 제공받은 자’에 해당하는지 여부 피고인은 서울특별시교육청으로부터 대학수학능력시험 감독관으로 임명(위촉)되어 시험감독업무 수행을 위하여 개인정보처리자인 서울특별시교육청으로부터 수험생들의 전화번호 등 개인정보를 받은 것이므로 법 제17조 제1항 제2호, 제15조 제1항 제3호의 “공공기관이 법령 등에서 정하는 소관 업무의 수행을 위하여 불가피한 경우”에 해당하여 법 제19조 소정의 ‘개인정보처리자로부터 개인정보를 제공받은 자’에 포섭된다. 원심은 피고인이 ‘개인정보취급자’에 해당한다고 보았으나, 피고인은 개인정보파일 운용을 목적으로 수험생들의 개인정보를 받은 것이 아니므로 ‘개인정보취급자’에 해당한다고 볼 수 없다. 3. 결론 그렇다면 주위적 공소사실에 대하여 무죄를 선고한 원심의 판단은 부당하고, 이를 지적하는 검사의 주장은 이유 있으므로(주위적 공소사실을 유죄로 판단하는 이상 당심에서 추가된 예비적 공소사실에 관하여는 별도로 판단하지 아니한다) 검사의 항소를 받아들여 형사소송법 제364조 제6항에 의하여 원심판결을 파기하고 변론을 거쳐 다시 다음과 같이 판결한다. [다시 쓰는 판결 이유] 범죄사실 이 법원이 인정하는 범죄사실은 위 2.의 가.항 ‘주위적 공소사실’ 기재와 같다. 증거의 요지 1. 피고인에 대한 검찰 피의자신문조서 1. 카카오톡 대화내용 1. 경찰 작성 피해자 △△△에 대한 진술조서 1. 수사보고(시험감독 관련 피의자 참고자료 제출 첨부 보고) - 시험감독 유의사항 등 참고자료 1. 수사협조의뢰(감사대상자 관련 자료요청)에 따른 자료 회신 - 수능 감독관 감독 증빙서류 - 수능 응시원서 법령의 적용 1. 범죄사실에 대한 해당법조 및 형의 선택 구 개인정보 보호법(2020. 2. 4. 법률 제16930호로 개정되기 전의 것) 제71조 제2호, 제19조, 징역형 선택 집행유예 형법 제62조 제1항(피고인이 초범인 점 참작) 양형의 이유 이 사건 범행은 고등학교 교사인 피고인이 대학수학능력시험 감독 중 알게 된 피해자의 전화번호를 이용하여 피해자에게 ‘맘에 든다’는 취지의 메시지를 보낸 것인데, 피해자는 그와 같은 연락을 받고 두려워서 기존의 주거지를 떠나는 등 큰 정신적 충격을 받은 것으로 보인다. 그럼에도 피고인은 당심에 이르기까지 피해자의 전화번호를 대학수학능력시험 감독과정에서 알게 된 것이 아니고 과거 근무하던 학원의 아는 사람과 착각하여 이름으로 카카오톡 아이디를 검색하여 연락하게 되었다거나, 커피를 사기 위해 들른 카페에서 우연히 점원에게 불러주는 전화번호를 들어 알게 되었다는 등으로 변명하며 이 사건 범행을 부인하고 있고, 수사진행 중에도 피해자에게 사과하고 용서를 구하기는커녕 고소취하를 종용하며 ‘변호사로부터 상담을 받은 결과 피해자에게 무고죄가 성립될 수도 있다’는 취지로 말한 사실이 인정되는바, 피고인의 행위를 엄정하게 처벌할 필요가 있다. 다만 피고인이 범죄로 처벌받은 전력이 없는 점을 비롯하여 피고인의 연령, 성행, 환경, 범행 후의 정황 등 형법 제51조가 정한 양형의 조건을 참작하여 주문과 같이 형을 정한다. 판사 최한돈(재판장) 백주연 박세영