구 개인정보 보호법(2023. 3. 14. 법률 제19234호로 개정되기 전의 것, 이하 같다) 제71조 제2호는 같은 법 제18조 제1항을 위반하여 수집 목적 범위를 초과하여 개인정보를 이용한 개인정보처리자를 처벌하도록 규정하였다. 같은 법 제74조 제2항은, 법인의 대표자나 법인 또는 개인의 대리인, 사용인, 그 밖의 종업원이 그 법인 또는 개인의 업무에 관하여 같은 법 제71조에 해당하는 위반행위를 하면 그 행위자를 벌하는 외에 그 법인 또는 개인에게도 해당 조문의 벌금형을 과하도록 하는 양벌규정이다.
구 개인정보 보호법 제71조 제2호, 제18조 제1항에서는 벌칙규정의 적용 대상을 개인정보처리자로 한정하고 있다. 그런데 위 양벌규정의 취지는 개인정보처리자가 아니면서 그러한 업무를 실제로 처리하는 자가 있을 때 벌칙규정의 실효성을 확보하기 위하여 그 적용 대상을 해당 업무를 실제로 처리하는 행위자까지 확장함으로써 그 행위자와 개인정보처리자를 모두 처벌하려는 데 있으므로, 양벌규정에 의하여 개인정보처리자 아닌 행위자도 벌칙규정의 적용 대상이 된다.
그러나 구 개인정보 보호법이 제2조 제5호, 제6호에서 공공기관 중 법인격 없는 ‘중앙행정기관 및 그 소속 기관’ 등을 개인정보처리자 중 하나로 규정하면서도 양벌규정에 의하여 처벌되는 개인정보처리자로는 같은 법 제74조 제2항에서 ‘법인 또는 개인’만 규정하였을 뿐이고, 법인격 없는 공공기관에 대하여 위 양벌규정을 적용할 것인지에 대하여는 명문의 규정을 두고 있지 않다. 그러므로 죄형법정주의의 원칙상 ‘법인격 없는 공공기관’을 위 양벌규정에 의하여 처벌할 수는 없고, 그 경우 행위자 역시 위 양벌규정으로 처벌할 수 없다고 봄이 타당하다.