2020도14713

개인정보보호법위반

교육청으로부터 대학수학능력시험 감독관으로 위촉되어 시험감독업무 수행을 위하여 수험생의 개인정보가 포함된 응시원서를 제공받은 사람이 구 「개인정보 보호법」(2020. 2. 4. 법률 제16930호로 개정되기 전의 것, 이하 ‘구 「개인정보 보호법」’) 제71조 제2호, 제19조에서 정한 ‘개인정보처리자로부터 개인정보를 제공받은 자’에 해당하는지 여부가 문제된 사건

대법원 · 2025.02.13

판시사항

[1]

임직원, 파견근로자, 시간제근로자 등 개인정보처리자의 지휘·감독을 받아 개인정보를 처리하는 자인 개인정보취급자가 개인정보처리자의 업무 수행을 위하여 개인정보를 이전받는 경우, 위와 같은 개인정보취급자가 구 개인정보 보호법 제19조에서 정한 ‘개인정보처리자로부터 개인정보를 제공받은 자’에 해당하는지 여부(소극)

[2]

판결요지

[1]

구 개인정보 보호법(2020. 2. 4. 법률 제16930호로 개정되기 전의 것, 이하 같다) 제71조 제2호는 "제19조를 위반하여 개인정보를 이용하거나 제3자에게 제공한 자"를 처벌하도록 규정하고, 제19조는 "개인정보처리자로부터 개인정보를 제공받은 자는 정보주체로부터 별도의 동의를 받은 경우나 다른 법률에 특별한 규정이 있는 경우를 제외하고는 개인정보를 제공받은 목적 외의 용도로 이용하거나 이를 제3자에게 제공하여서는 아니 된다."라고 규정한다. 그런데 임직원, 파견근로자, 시간제근로자 등 개인정보처리자의 지휘·감독을 받아 개인정보를 처리하는 자인 개인정보취급자(같은 법 제28조)가 개인정보처리자의 업무 수행을 위하여 개인정보를 이전받는 경우 위와 같은 개인정보취급자는 ‘개인정보처리자로부터 개인정보를 제공받은 자’에 해당하지 않는다. 그 이유는 다음과 같다.

(가)

개인정보의 ‘제3자 제공’은 본래의 개인정보 수집·이용 목적의 범위를 넘어 그 정보를 제공받는 자의 업무처리와 이익을 위하여 개인정보의 지배·관리권이 이전되는 것으로, 개인정보처리자가 개인정보의 지배·관리권을 그대로 유지하면서 개인정보처리자의 업무처리와 이익을 위하여 내부적으로 개인정보를 이용하는 것과 구별된다. 개인정보처리자는 다른 사람을 통하여 개인정보를 처리하는 것도 가능하므로(구 개인정보 보호법 제2조 제5호) 개인정보처리자의 의사에 따라 개인정보처리 업무를 직접 수행하는 개인정보취급자가 개인정보처리자로부터 정보주체의 개인정보를 이전받더라도 이와 같은 이전은 ‘제3자 제공’에 해당한다고 볼 수 없다.

(나)

구 개인정보 보호법은 제15조, 제16조에서 개인정보처리자의 개인정보 수집·이용에 관하여 규정하고, 제17조에서 개인정보처리자가 수집한 개인정보를 제3자에게 제공할 수 있는 경우를 규정하며, 제18조 제2항에서 개인정보처리자가 개인정보를 목적 외의 용도로 이용하거나 이를 제3자에게 제공할 수 있는 경우를 규정한 다음, 제19조에서 ‘개인정보처리자로부터 개인정보를 제공받은 자’를 수범자로 하여 정보주체로부터 별도의 동의를 받거나 다른 법률에 특별한 규정이 있는 경우를 제외하고는 개인정보를 제공받은 목적 외의 용도로 이용하거나 이를 제3자에게 제공하여서는 아니 된다고 규정하고 있다. 위와 같은 법령의 체계와 문언에 비추어 보면, 구 개인정보 보호법 제19조에서 말하는 ‘개인정보처리자로부터 개인정보를 제공받은 자’란 같은 법 제17조, 제18조 등에 규정된 바에 따라 개인정보처리자로부터 개인정보의 지배·관리권을 이전받은 그 제3자를 의미한다고 보는 것이 타당하다.

(다)

구 개인정보 보호법 제19조의 ‘개인정보처리자로부터 개인정보를 제공받은 자’는 정보주체로부터 별도의 동의를 받은 경우나 다른 법률에 특별한 규정이 있는 경우에는 개인정보를 제공받은 목적 외의 용도로 이용하거나 이를 다시 제3자에게 제공할 수 있으므로, ‘제공받은 개인정보’를 개인정보처리자의 의사와 무관하게 자신의 의사에 따라 이용하거나 이를 제3자에게 제공할 수 있는 지위에 있다. 반면 개인정보처리에 관한 독자적 이익을 위하여 개인정보를 이용하거나 제3자에게 이를 제공할 수 있는 지위에 있지 않는 개인정보취급자는 구 개인정보 보호법 제19조의 ‘개인정보처리자로부터 개인정보를 제공받은 자’에 포함되지 않는다.

(라)

한편 개인정보취급자는 개인정보처리자의 지휘·감독을 받아 개인정보를 처리하는 사람으로서 직접 개인정보에 관한 업무를 담당하는 사람과 그 밖에 업무상 필요에 의해 개인정보에 접근하여 이를 처리하는 모든 사람을 말하고, 개인정보파일 운용에 직접 관여하는 업무를 하는 자에 한정된다고 볼 것은 아니다.

[2]

피고인이 대학수학능력시험 고사장 감독업무를 수행하면서 수험생의 개인정보가 포함된 응시원서를 제공받아 이를 각 수험생의 수험표와 대조하는 과정에서 알게 된 甲의 연락처를 이용하여 카카오톡 친구로 추가한 후 甲에게 카카오톡으로 "사실 ○○씨가 맘에 들어서요." 등의 메시지를 발송함으로써 개인정보처리자로부터 제공받은 개인정보를 제공받은 목적 외 용도로 이용하였다는 구 개인정보 보호법(2020. 2. 4. 법률 제16930호로 개정되기 전의 것, 이하 같다) 위반의 공소사실로 기소된 사안에서, 피고인은 서울특별시가 설립한 공립 고등학교의 교사로서 2019학년도 대학수학능력시험 감독관으로 위촉(임명)되어 대학수학능력시험 고사장 감독업무 중 일부인 수험생의 동일성 확인업무 수행을 위하여 서울특별시교육청으로부터 수험생의 성명, 주민등록번호, 연락처, 주소 등 개인정보가 포함된 응시원서를 전달받은 사실에 비추어, 피고인은 개인정보처리자인 서울특별시교육청의 지휘·감독하에 수험생들의 개인정보를 처리한 자로 개인정보취급자에 해당할 뿐, 개인정보처리자인 서울특별시교육청으로부터 ‘개인정보를 제공받은 자’로 보기 어렵다는 이유로, 이와 달리 보아 공소사실을 유죄로 판단한 원심판결에 구 개인정보 보호법 제19조의 ‘개인정보처리자로부터 개인정보를 제공받은 자’의 의미에 관한 법리오해의 잘못이 있다고 한 사례.

판례내용

피 고 인

피고인

상 고 인

피고인

변 호 인

법무법인 에스엘 외 1인

원심판결

서울중앙지법 2020. 10. 15. 선고 2019노4259 판결

주 문

원심판결을 파기하고, 사건을 서울중앙지방법원에 환송한다.

이 유

상고이유를 판단한다.

이 사건 주위적 공소사실의 요지

피고인은 2018. 11. 15.경 대학수학능력시험 고사장 감독업무를 수행하는 과정에서 수험생의 성명, 주민등록번호, 연락처, 주소 등 개인정보가 포함된 응시원서를 제공받고, 이를 각 수험생의 수험표와 대조하는 과정에서 공소외인의 연락처를 알게 되었다. 피고인은 2018. 11. 25.경 위와 같이 알게 된 연락처를 이용하여 공소외인을 카카오톡 친구로 추가한 후 공소외인에게 카카오톡으로 "사실 (공소외인)씨가 맘에 들어서요." 등의 메시지를 발송하여 개인정보처리자로부터 제공받은 개인정보를 제공받은 목적 외 용도로 이용하였다.

원심의 판단

원심은, 피고인이 서울특별시교육청으로부터 대학수학능력시험 감독관으로 위촉(임명)되어 시험감독업무 수행을 위하여 개인정보처리자인 서울특별시교육청으로부터 수험생들의 전화번호 등 개인정보를 ‘제공’받았으므로, 구 「개인정보 보호법」(2020. 2. 4. 법률 제16930호로 개정되기 전의 것, 이하 ‘구 「개인정보 보호법」’이라 한다) 제19조의 ‘개인정보처리자로부터 개인정보를 제공받은 자’에 해당한다고 보아, 주위적 공소사실에 대하여 무죄로 판단한 제1심판결을 파기하고 이를 유죄로 인정하였다.

대법원의 판단

가.

관련 법리

구 「개인정보 보호법」 제71조 제2호는 "제19조를 위반하여 개인정보를 이용하거나 제3자에게 제공한 자"를 처벌하도록 규정하고, 제19조는 "개인정보처리자로부터 개인정보를 제공받은 자는 정보주체로부터 별도의 동의를 받은 경우나 다른 법률에 특별한 규정이 있는 경우를 제외하고는 개인정보를 제공받은 목적 외의 용도로 이용하거나 이를 제3자에게 제공하여서는 아니 된다."라고 규정한다. 그런데 임직원, 파견근로자, 시간제근로자 등 개인정보처리자의 지휘·감독을 받아 개인정보를 처리하는 자인 개인정보취급자(같은 법 제28조)가 개인정보처리자의 업무 수행을 위하여 개인정보를 이전받는 경우 위와 같은 개인정보취급자는 ‘개인정보처리자로부터 개인정보를 제공받은 자’에 해당하지 않는다. 그 이유는 다음과 같다.

개인정보의 ‘제3자 제공’은 본래의 개인정보 수집·이용 목적의 범위를 넘어 그 정보를 제공받는 자의 업무처리와 이익을 위하여 개인정보의 지배·관리권이 이전되는 것으로, 개인정보처리자가 개인정보의 지배·관리권을 그대로 유지하면서 개인정보처리자의 업무처리와 이익을 위하여 내부적으로 개인정보를 이용하는 것과 구별된다. 개인정보처리자는 다른 사람을 통하여 개인정보를 처리하는 것도 가능하므로(구 「개인정보 보호법」 제2조 제5호) 개인정보처리자의 의사에 따라 개인정보처리 업무를 직접 수행하는 개인정보취급자가 개인정보처리자로부터 정보주체의 개인정보를 이전받더라도 이와 같은 이전은 ‘제3자 제공’에 해당한다고 볼 수 없다.

구 「개인정보 보호법」은 제15조, 제16조에서 개인정보처리자의 개인정보 수집·이용에 관하여 규정하고, 제17조에서 개인정보처리자가 수집한 개인정보를 제3자에게 제공할 수 있는 경우를 규정하며, 제18조 제2항에서 개인정보처리자가 개인정보를 목적 외의 용도로 이용하거나 이를 제3자에게 제공할 수 있는 경우를 규정한 다음, 제19조에서 ‘개인정보처리자로부터 개인정보를 제공받은 자’를 수범자로 하여 정보주체로부터 별도의 동의를 받거나 다른 법률에 특별한 규정이 있는 경우를 제외하고는 개인정보를 제공받은 목적 외의 용도로 이용하거나 이를 제3자에게 제공하여서는 아니 된다고 규정하고 있다. 위와 같은 법령의 체계와 문언에 비추어 보면, 구 「개인정보 보호법」 제19조에서 말하는 ‘개인정보처리자로부터 개인정보를 제공받은 자’라 함은 같은 법 제17조, 제18조 등에 규정된 바에 따라 개인정보처리자로부터 개인정보의 지배·관리권을 이전받은 그 제3자를 의미한다고 보는 것이 타당하다.

구 「개인정보 보호법」 제19조의 ‘개인정보처리자로부터 개인정보를 제공받은 자’는 정보주체로부터 별도의 동의를 받은 경우나 다른 법률에 특별한 규정이 있는 경우에는 개인정보를 제공받은 목적 외의 용도로 이용하거나 이를 다시 제3자에게 제공할 수 있으므로, ‘제공받은 개인정보’를 개인정보처리자의 의사와 무관하게 자신의 의사에 따라 이용하거나 이를 제3자에게 제공할 수 있는 지위에 있다. 반면 개인정보처리에 관한 독자적 이익을 위하여 개인정보를 이용하거나 제3자에게 이를 제공할 수 있는 지위에 있지 않는 개인정보취급자는 구 「개인정보 보호법」 제19조의 ‘개인정보처리자로부터 개인정보를 제공받은 자’에 포함되지 않는다.

나.

판단

원심판결 이유와 기록에 의하면, 피고인은 서울특별시가 설립한 공립학교인 ○○고등학교의 교사인 사실, 피고인은 2019학년도 대학수학능력시험 감독관으로 위촉(임명)되어 대학수학능력시험 고사장 감독업무 중 일부인 수험생의 동일성 확인업무 수행을 위하여 서울특별시교육청으로부터 수험생의 성명, 주민등록번호, 연락처, 주소 등 개인정보가 포함된 응시원서를 전달받은 사실을 알 수 있다. 위와 같은 사실을 앞서 본 법리에 비추어 살펴보면, 공립학교 교사인 피고인은 개인정보처리자인 서울특별시교육청의 지휘·감독하에 수험생들의 개인정보를 처리한 자로 개인정보취급자에 해당할 뿐, 개인정보처리자인 서울특별시교육청으로부터 ‘개인정보를 제공받은 자’로 보기 어렵다. 그럼에도 그 판시와 같은 이유로 주위적 공소사실을 유죄로 판단한 원심판결에는 구 「개인정보 보호법」 제19조의 ‘개인정보처리자로부터 개인정보를 제공받은 자’의 의미에 관한 법리를 오해하여 판결에 영향을 미친 잘못이 있다. 이를 지적하는 상고이유 주장은 이유 있다.

결론

나머지 상고이유에 관한 판단을 생략한 채 원심판결을 파기하고 사건을 다시 심리·판단하도록 원심법원에 환송하기로 하여, 관여 대법관의 일치된 의견으로 주문과 같이 판결한다.