피고인 4, 피고인 5, 피고인 6, 피고인 7, 피고인 8, 피고인 9 회사의 미동의 개인정보 제공 및 수령 관련 개인정보보호법위반 및 정보통신망이용촉진및정보보호등에관한법률위반(개인정보누설등)의 점에 관한 판단
⑴ 누구의 업무인지 여부에 관련한 사실오인 내지 법리오해 주장에 관한 판단
제1심이 설시한 사실 및 사정들에 제1심 및 항소심이 적법하게 채택하여 조사한 각 증거에 의하여 인정되는 다음과 같은 사정 등을 종합하여 보면, ‘사전필터링’은 보험회사가 아니라 피고인 9 회사를 위한 업무로 봄이 상당하다는 제1심의 사실인정과 판단은 옳고, 거기에 검사가 지적한 바와 같은 사실오인이나 법리오해의 위법이 있다고 할 수 없다. 따라서 검사의 이 부분 주장은 이유 없다.
㈎ 피고인 9 회사는 공소외 1 주식회사(이하 ‘공소외 1 회사’라고만 한다)와 2009. 1. 1. ‘업무제휴계약’을 체결한 후 같은 해 10. 1. 위 업무제휴계약을 보충하는 ‘업무제휴 부속계약’을 체결하고, 공소외 2 주식회사(이하 ‘공소외 2 회사’라고만 한다)와 2010. 6. 17. ‘업무제휴계약’을 체결한 후 2011. 6. 20. 위 업무제휴계약을 보충하는 ‘업무제휴계약 부속약정’을 체결하여 위 각 보험회사에 고객들의 개인정보를 제공하고 대가를 지급받아 왔다. 위 각 계약에 따르면, 피고인 9 회사의 멤버십 회원 중 제3자 제공에 동의하지 아니한 고객의 정보(이하 ‘미동의 FMC DB’라고만 한다)에 대하여는 피고인 9 회사가 퍼미션 콜을 하여 고객들로부터 제3자 제공 동의를 받은 후 이를 공소외 1 회사와 공소외 2 회사에 제공하기로 규정되어 있고, 이에 따라 피고인 9 회사의 수탁업체인 공소외 3 회사의 콜센터에서 전화를 통하여 고객들로부터 제3자 제공 동의를 얻은 후 이를 위 각 보험회사에 제공하여 왔다. 결국 위 각 계약의 내용상 퍼미션 콜 업무는 피고인 9 회사의 업무이고, ‘사전필터링’은 이러한 퍼미션 콜의 대상자를 선별하기 위하여 이루어지는 것으로서 퍼미션 콜 업무를 위한 부수절차에 해당하므로 이는 피고인 9 회사의 업무라고 봄이 상당하다.
㈏ 보험회사만이 ‘사전필터링’을 할 수 있다는 사정은 개인정보의 처리위탁과 제3자 제공을 구분하는 기준이 될 수 없을 뿐만 아니라, ‘사전필터링’을 함에 있어서는 보험회사가 가지고 있는 정보가 필요할 뿐 이를 이유로 ‘사전필터링’을 보험회사만이 할 수 있는 업무라고 볼 수는 없다. 위탁이란 위탁자가 자신의 업무와 관련된 업무의 일부를 타인으로 하여금 그 책임과 권한으로 행하도록 하는 것을 의미할 뿐이다. 즉, 위탁 대상 업무가 개인정보를 전달하는 자의 업무와 관련된 것인지, 전달받는 자의 업무와 관련된 것인지에 따라 개인정보 위탁 여부가 결정되는 것이지, "위탁자가 스스로 수행할 수 있는 업무"를 위탁한 경우만을 개인정보보호법상 "위탁"에 해당하는 것으로 볼 아무런 근거가 없다.
㈐ 피고인 9 회사(또는 공소외 3 회사)는 ‘사전필터링’ 대상 DB를 공소외 1 회사나 공소외 2 회사에 직접 송부 내지 전달한 것이 아니라, 피고인 9 회사가 직접 관리 및 감독하는 웹하드에 관련 DB를 업로드하면 각 보험회사에서 접근권한을 부여받은 실무 담당자가 위 웹하드에 접속하여 위 DB를 다운로드한 후 ‘사전필터링’ 절차를 거치는 형태로 진행하였다.
㈑ 공소외 1 회사나 공소외 2 회사는 피고인 9 회사로부터 영업에 활용할 목적이 아닌 단순히 ‘사전필터링’을 해주기 위한 용도로 이전받은 미동의 FMC DB 등을 ‘사전필터링’의 목적 범위 내에서 기계적으로 필터링 한 후 당초 이전받은 위 DB를 공소외 1 회사나 공소외 2 회사의 각 시스템에서 삭제하였을 뿐, 이를 '사전필터링' 이외 자신의 마케팅 목적으로 활용하거나 제3자에게 제공하는 등으로 이용할 권리가 없으며, 실제로 이를 구체적으로 열람하거나 마케팅 목적으로 이용하는 등의 행위로 나아간 사실도 없다. 따라서 ‘사전필터링’으로 인하여 각 보험회사와 미동의 FMC DB의 정보주체와 사이에 어떠한 관계도 설정되지 아니하였다(제1심 증인 공소외 9의 법정진술에 의하더라도, 공소외 3 회사는 피고인 9 회사로부터 제공받은 미동의 FMC DB를 ‘사전필터링’을 위하여 공소외 1 회사에게 전달할 때 피고인 9 회사의 직원인 공소외 6의 지시에 따라 주민등록번호만 기재해서 보내거나 일부 필드 값만 추출하여 보낸 적이 있고, 그 경우 고객의 전화번호가 없기 때문에 이를 이용하여 영업을 하는 것은 불가능하였던 사실이 인정된다).
⑵ ‘사전필터링’이 누구를 위한 것인지에 관련한 사실오인 내지 법리오해 주장에 관한 판단
제1심이 설시한 사실 및 사정들에 제1심 및 항소심이 적법하게 채택하여 조사한 각 증거에 의하여 인정되는 다음과 같은 사정 등을 종합하여 보면, ‘사전필터링’은 보험회사가 아니라 피고인 9 회사의 이익을 위한 것으로 봄이 상당하다는 제1심의 사실인정과 판단은 옳고, 거기에 검사가 지적한 바와 같은 사실오인이나 법리오해의 위법이 없다. 따라서 검사의 이 부분 주장도 이유 없다.
㈎ 피고인 9 회사의 퍼미션 콜 업무 수탁업체인 공소외 3 회사는 피고인 9 회사와 계약상으로는 제3자 제공 동의를 받은 DB 개당 1,700원을 지급받는 것으로 되어 있으나, 실제로는 이와 달리 제3자 제공 동의를 받은 DB 중 보험회사가 ‘사후필터링’을 통하여 인수한 유효한 DB에 대하여만 피고인 9 회사로부터 정산을 받았다. 따라서 공소외 3 회사로서는 유효한 DB로 인수되는 비율이 그 수익에 있어 매우 중요하였고, 이에 공소외 3 회사의 대표 공소외 10은 공소외 1 회사의 인수율이 충분히 높지 않다는 이유로 피고인 9 회사의 담당자인 공소외 5에게 DB의 단가를 인상하여 줄 것을 요청하였으나, 피고인 9 회사에서는 단가를 인상하는 대신 각 보험회사를 통하여 ‘사전필터링’을 하는 방법으로 비용을 절감하는 방법을 택하여 각 보험회사에 먼저 ‘사전필터링’을 제의하였다.
㈏ 공소외 1 회사와 공소외 2 회사는 미동의 FMC DB에 대하여 ‘사전필터링’을 실시하기 이전에도 ‘사후필터링’을 실시하였고, 그 경우에도 실제 ‘사후필터링’ 과정에서 제외되는 DB에 대해서는 피고인 9 회사에게 대가를 지급하지 아니하였다. 각 보험회사는 ‘사전필터링’이 시행되던 기간 동안에도 별도로 ‘사후필터링’을 하여 최종적으로 인수할 DB를 골라내어 이에 대하여만 피고인 9 회사에 대가를 지급하였다. 결국 ‘사전필터링’을 통해 피고인 9 회사는 퍼미션 콜을 할 때 발생하는 시간과 비용 및 노력을 줄일 수 있으나, 공소외 1 회사와 공소외 2 회사로서는 ‘사전필터링’을 하더라도 ‘사후필터링’을 생략하지 아니함으로써 당초 수행하던 ‘사후필터링’ 외에 ‘사전필터링’ 업무가 추가됨으로써 오히려 번거롭고 추가적인 시간과 노력을 기울이게 되었다.
㈐ 결국 ‘사전필터링’에 따른 실제적인 경제적 효과는 피고인 9 회사 및 퍼미션 콜 업무 수탁자인 공소외 3 회사에 귀속되고, 각 보험회사로서는 ‘사전필터링’을 수행하지 않더라도 ‘사후필터링’을 거치면 제공받을 수 있는 DB가 결국 동일하므로 인수되는 DB의 절대량을 늘리는 효과를 가져올 수 없다. 다만, ‘사전필터링’을 통하여 보험회사도 ‘신속하게 양질의 DB를 공급받아 안정적으로 영업을 할 수 있다’는 측면에서 경제적으로 환산할 수 없는 어느 정도의 이익이 있다고 할 수도 있으나, 이는 결국 피고인 9 회사의 각 보험회사에 대한 DB 공급이 원활하게 이루어진다는 것으로서 피고인 9 회사와 공소외 3 회사의 이익에 따라 발생하는 부수적·간접적 이익에 불과할 뿐, ‘사전필터링’을 위한 이 사건 개인정보 이전의 성격을 판단할 기준으로서의 가치를 지닐 정도에 이르는 이익으로 보기는 어렵다.
㈑ 검사는, 공소외 1 회사의 2010. 4. 29.자 ‘제휴마케팅/텔레마케팅 업무현황’의 기재내용’에서 적시하고 있는 ‘필터링’의 배경을 근거로 보험회사가 ‘사전필터링’에 따른 이익을 가진다는 취지로 주장하나, ‘사전필터링’이 이루어진 시기는 위 문서가 작성된 시기로부터 1년 8개월 가량 지난 2011. 12.경이라는 점에 비추어 보면, 이는 ‘사전필터링’이 아닌 ‘사후필터링’의 배경을 적시한 문건인 것으로 보인다.
⑶ 위탁의사가 있는지, 업무위탁 관련 계약이 있었는지 여부에 관한 판단
㈎ 제1심 및 항소심이 적법하게 채택하여 조사한 각 증거에 의하면, 피고인 9 회사는 공소외 1 회사 및 공소외 2 회사와 각 문서에 의한 위수탁계약을 체결하거나 인터넷이나 관보 등에 위 각 보험회사가 자신의 업무 수탁자라고 게재한 바 없고, 멤버십 가입신청서에 위 각 보험회사를 수탁사로 기재하지 아니하였으며, 정보주체의 개인정보가 분실·도난·유출·변조 또는 훼손되지 아니하도록 위 각 보험회사를 교육하거나 위 각 보험회사가 ‘사전필터링’을 위하여 제공받은 정보를 실제 파기하는지 등에 관하여 확인한 바 없는 사실 등은 인정된다.
㈏ 그러나 한편, 위 각 증거에 의하여 인정되는 아래와 같은 사정 등에 비추어 보면, 앞서 인정한 사실만으로 ‘사전필터링’에 있어서 공소외 1 회사와 공소외 2 회사가 피고인 9 회사를 위하여 피고인 9 회사의 퍼미션 콜 업무의 일부를 수행하는 수탁자로서의 지위가 아니라 별개로 위 각 보험회사의 업무를 수행한 제3자로서의 지위를 가진다고 볼 수 없고, 달리 피고인들이 제3자에게 미동의 개인정보를 제공하였다는 점을 인정할 증거가 없다. 따라서 검사의 이 부분 주장도 이유 없다.
①이 사건에서 관련자들은 모두 미동의 FMC DB에 대한 피고인 9 회사 및 공소외 3 회사의 퍼미션 업무를 위한 ‘사전필터링’을 위하여 개인정보가 이전된다고 인식하고, 상호 ‘사전필터링’을 하기로 하는 합의에 따라 개인정보를 이전하였는바, 이는 결국 구두에 의한 위수탁계약의 합의라 할 것이다. 이에 따른 명시적인 문서가 작성된 바 없다고 하여 이러한 합의에 따른 위수탁계약의 성립이 부정될 수는 없다.
②법 제26조에서는 업무위탁에 따른 개인정보의 처리에 관하여 여러 절차적인 제한 규정을 두고 있으나, 피고인 9 회사가 공소외 1 회사 및 공소외 2 회사에 개인정보의 처리 업무를 위탁함에 있어 법 제26조 제1, 2, 3항의 각 의무를 위반하였다고 할지라도 이는 모두 법상 과태료 부과의 대상에 불과하고, 같은 조 제4항의 의무를 위반한 경우에는 과태료의 부과 대상에도 해당하지 아니한다. 결국 개인정보의 제3자 제공과 개인정보 처리업무의 제3자 위탁은 모두 개인정보가 제3자에게 이전된다는 측면에서는 동일하나, 개인정보의 ‘제3자 제공’은 ‘제공받는 자의 목적'을 위하여 개인정보가 제공되는 경우이고, 개인정보의 ‘타인 위탁’은 ‘제공하는 자의 사무처리'를 위한 경우로 구별되어야 하는바(대법원 2011. 7. 14. 선고 2011도1960 판결 참조), 위와 같은 절차적 사항을 위반하였다고 하여 ‘사전필터링’의 법적 성격을 달리 판단하여야 한다고 볼 수 없다.
③피고인 9 회사의 멤버십 회원들은 가입신청서를 통하여 피고인 9 회사가 제휴 상품의 소개 또는 제휴사(보험회사 등)에 해당 회원의 개인정보를 제공하는 것에 대한 별도의 동의를 받는 업무(즉, 퍼미션 콜 업무)를 공소외 3 회사 등의 업체에 위탁하여 처리한다는 점에 대하여 고지를 받았고, 일부 회원들은 이에 대하여 동의까지 하였는바, 회원들은 자신의 정보가 수탁업체에 전달되어 퍼미션 콜 또는 제휴마케팅에 이용될 수 있다는 점에 대하여 충분히 인지하고 있었거나 인지할 수 있었다고 할 것이다. 앞서 본 바와 같은 ‘사전필터링’의 절차나 과정 등에 비추어 보면, 이러한 개인정보의 이전이 퍼미션 콜을 위하여 개인정보가 수탁업체에 위탁될 수 있다는 점을 고지받은 회원들의 예상범위 밖에 있다고 보기는 어렵고, 오히려 퍼미션 콜 또는 제휴마케팅의 일환으로 이루어지는 것으로서 고객이 인지하였거나 인지가능한 범위 안에 있는 정보의 이전이라고 봄이 상당하다. 따라서 이에 대하여 개인정보의 미동의 제3자 제공을 처벌하는 조항을 적용하는 것은 정보주체가 예상할 수 있는 개인정보의 불법적인 유통이 이루어지는 것을 방지하기 위한 법의 입법목적과도 부합하지 아니한다.
④‘사전필터링’을 위한 개인정보의 이전은 해당 개인정보의 유통을 목적으로 이루어진 것이 아니고, 실제로 공소외 1 회사나 공소외 2 회사는 ‘사전필터링’ 대상 DB를 ‘사전필터링’ 이후 모두 삭제하였다. 또한, 앞서 본 바와 같이 피고인 9 회사(또는 공소외 3 회사)는 피고인 9 회사의 웹하드에 ‘사전필터링’ 대상 DB를 올려 두고, 각 보험회사의 담당자에게 접속 권한을 부여하는 방법으로 접근하게 하여 해당 DB에 대한 접근 권한을 제어하고 접근 여부를 확인할 권한을 가지는 등 관리·감독을 수행하였거나 수행할 장치를 일부 마련하기도 하였다.