【형사판례】《개인정보보호법 제19조의 ‘개인정보처리자로부터 개인 정보를 제공받은 자’의 의미(대법원 2025. 2. 13. 선고 2020도14713 판결)》〔윤경 변호사 더리드(The Lead) 법률사무소〕

【형사판례】《개인정보보호법 제19조의 ‘개인정보처리자로부터 개인 정보를 제공받은 자’의 의미(대법원 2025. 2. 13. 선고 2020도14713 판결)》〔윤경 변호사 더리드(The Lead) 법률사무소〕

 

1. 판결의 요지 : [교육청으로부터 대학수학능력시험 감독관으로 위촉되어 시험감독업무 수행을 위하여 수험생의 개인정보가 포함된 응시원서를 제공받은 사람이 구 ｢개인정보 보호법｣(2020. 2. 4. 법률 제16930호로 개정되기 전의 것, 이하 ‘구 ｢개인정보 보호법｣’) 제71조 제2호, 제19조에서 정한 ‘개인정보처리자로부터 개인정보를 제공받은 자’에 해당하는지 여부가 문제된 사건]

 

【판시사항】

[1] 임직원, 파견근로자, 시간제근로자 등 개인정보처리자의 지휘․감독을 받아 개인정보를 처리하는 자인 개인정보취급자가 개인정보처리자의 업무 수행을 위하여 개인정보를 이전받는 경우, 위와 같은 개인정보취급자가 구 개인정보 보호법 제19조에서 정한 ‘개인정보처리자로부터 개인정보를 제공받은 자’에 해당하는지 여부(소극)

[2] 피고인이 대학수학능력시험 고사장 감독업무를 수행하면서 수험생의 개인정보가 포함된 응시원서를 제공받아 이를 각 수험생의 수험표와 대조하는 과정에서 알게 된 甲의 연락처를 이용하여 카카오톡 친구로 추가한 후 甲에게 카카오톡으로 “사실 ○○씨가 맘에 들어서요.” 등의 메시지를 발송함으로써 개인정보처리자로부터 제공받은 개인정보를 제공받은 목적 외 용도로 이용하였다는 구 개인정보 보호법 위반의 공소사실로 기소된 사안에서, 공소사실을 유죄로 판단한 원심판결에 같은 법 제19조의 ‘개인정보처리자로부터 개인정보를 제공받은 자’의 의미에 관한 법리오해의 잘못이 있다고 한 사례

 

【판결요지】

[1] 구 개인정보 보호법(2020. 2. 4. 법률 제16930호로 개정되기 전의 것, 이하 같다) 제71조 제2호는 “제19조를 위반하여 개인정보를 이용하거나 제3자에게 제공한 자”를 처벌하도록 규정하고, 제19조는 “개인정보처리자로부터 개인정보를 제공받은 자는 정보주체로부터 별도의 동의를 받은 경우나 다른 법률에 특별한 규정이 있는 경우를 제외하고는 개인정보를 제공받은 목적 외의 용도로 이용하거나 이를 제3자에게 제공하여서는 아니 된다.”라고 규정한다. 그런데 임직원, 파견근로자, 시간제근로자 등 개인정보처리자의 지휘⋅감독을 받아 개인정보를 처리하는 자인 개인정보취급자(같은 법 제28조)가 개인정보처리자의 업무 수행을 위하여 개인정보를 이전받는 경우 위와 같은 개인정보취급자는 ‘개인정보처리자로부터 개인정보를 제공받은 자’에 해당하지 않는다. 그 이유는 다음과 같다.

(가) 개인정보의 ‘제3자 제공’은 본래의 개인정보 수집⋅이용 목적의 범위를 넘어 그 정보를 제공받는 자의 업무처리와 이익을 위하여 개인정보의 지배⋅관리권이 이전되는 것으로, 개인정보처리자가 개인정보의 지배⋅관리권을 그대로 유지하면서 개인정보처리자의 업무처리와 이익을 위하여 내부적으로 개인정보를 이용하는 것과 구별된다. 개인정보처리자는 다른 사람을 통하여 개인정보를 처리하는 것도 가능하므로(구 개인정보 보호법 제2조 제5호) 개인정보처리자의 의사에 따라 개인정보처리 업무를 직접 수행하는 개인정보취급자가 개인정보처리자로부터 정보주체의 개인정보를 이전받더라도 이와 같은 이전은 ‘제3자 제공’에 해당한다고 볼 수 없다.

(나) 구 개인정보 보호법은 제15조, 제16조에서 개인정보처리자의 개인정보 수집⋅이용에 관하여 규정하고, 제17조에서 개인정보처리자가 수집한 개인정보를 제3자에게 제공할 수 있는 경우를 규정하며, 제18조 제2항에서 개인정보처리자가 개인정보를 목적 외의 용도로 이용하거나 이를 제3자에게 제공할 수 있는 경우를 규정한 다음, 제19조에서 ‘개인정보처리자로부터 개인정보를 제공받은 자’를 수범자로 하여 정보주체로부터 별도의 동의를 받거나 다른 법률에 특별한 규정이 있는 경우를 제외하고는 개인정보를 제공받은 목적 외의 용도로 이용하거나 이를 제3자에게 제공하여서는 아니 된다고 규정하고 있다. 위와 같은 법령의 체계와 문언에 비추어 보면, 구 개인정보 보호법 제19조에서 말하는 ‘개인정보처리자로부터 개인정보를 제공받은 자’란 같은 법 제17조, 제18조 등에 규정된 바에 따라 개인정보처리자로부터 개인정보의 지배⋅관리권을 이전받은 그 제3자를 의미한다고 보는 것이 타당하다.

(다) 구 개인정보 보호법 제19조의 ‘개인정보처리자로부터 개인정보를 제공받은 자’는 정보주체로부터 별도의 동의를 받은 경우나 다른 법률에 특별한 규정이 있는 경우에는 개인정보를 제공받은 목적 외의 용도로 이용하거나 이를 다시 제3자에게 제공할 수 있으므로, ‘제공받은 개인정보’를 개인정보처리자의 의사와 무관하게 자신의 의사에 따라 이용하거나 이를 제3자에게 제공할 수 있는 지위에 있다. 반면 개인정보처리에 관한 독자적 이익을 위하여 개인정보를 이용하거나 제3자에게 이를 제공할 수 있는 지위에 있지 않는 개인정보취급자는 구 개인정보 보호법 제19조의 ‘개인정보처리자로부터 개인정보를 제공받은 자’에 포함되지 않는다.

(라) 한편 개인정보취급자는 개인정보처리자의 지휘⋅감독을 받아 개인정보를 처리하는 사람으로서 직접 개인정보에 관한 업무를 담당하는 사람과 그 밖에 업무상 필요에 의해 개인정보에 접근하여 이를 처리하는 모든 사람을 말하고, 개인정보파일 운용에 직접 관여하는 업무를 하는 자에 한정된다고 볼 것은 아니다.

[2] 피고인이 대학수학능력시험 고사장 감독업무를 수행하면서 수험생의 개인정보가 포함된 응시원서를 제공받아 이를 각 수험생의 수험표와 대조하는 과정에서 알게 된 甲의 연락처를 이용하여 카카오톡 친구로 추가한 후 甲에게 카카오톡으로 “사실 ○○씨가 맘에 들어서요.” 등의 메시지를 발송함으로써 개인정보처리자로부터 제공받은 개인정보를 제공받은 목적 외 용도로 이용하였다는 구 개인정보 보호법(2020. 2. 4. 법률 제16930호로 개정되기 전의 것, 이하 같다) 위반의 공소사실로 기소된 사안에서, 피고인은 서울특별시가 설립한 공립 고등학교의 교사로서 2019학년도 대학수학능력시험 감독관으로 위촉(임명)되어 대학수학능력시험 고사장 감독업무 중 일부인 수험생의 동일성 확인업무 수행을 위하여 서울특별시교육청으로부터 수험생의 성명, 주민등록번호, 연락처, 주소 등 개인정보가 포함된 응시원서를 전달받은 사실에 비추어, 피고인은 개인정보처리자인 서울특별시교육청의 지휘⋅감독하에 수험생들의 개인정보를 처리한 자로 개인정보취급자에 해당할 뿐, 개인정보처리자인 서울특별시교육청으로부터 ‘개인정보를 제공받은 자’로 보기 어렵다는 이유로, 이와 달리 보아 공소사실을 유죄로 판단한 원심판결에 구 개인정보 보호법 제19조의 ‘개인정보처리자로부터 개인정보를 제공받은 자’의 의미에 관한 법리오해의 잘못이 있다고 한 사례.

 

2. 사안의 개요 및 쟁점 [이하 대법원판례해설 제144호, 최지아 P.339-363]

 

가. 사안의 개요

 

⑴ 이 사건 주위적 공소사실의 요지

 

개인정보처리자로부터 개인정보를 제공받은 자는 정보주체로부터 별도의 동의를 받거나 다른 법률에 특별한 규정이 있는 경우가 아니면 개인정보를 제공받은 목적 외의 용도로 이용하여서는 아니 된다. 그럼에도 불구하고 피고인은 2018. 11. 15.경 대학수학능력시험 고사장 감독업무를 수행하는 과정에서 수험생의 성명, 주민등록번호, 연락처, 주소 등 개인정보가 포함된 응시원서를 제공받고, 이를 각 수험생의 수험표와 대조하는 과정에서 공소외인의 연락처를 알게 되었다. 피고인은 2018. 11. 25.경 위와 같이 알게 된 연락처를 이용하여 공소외인을 카카오톡 친구로 추가한 후 공소외인에게 카카오톡으로 “사실 (공소외인)씨가 맘에 들어서요.” 등의 메시지를 발송하여 개인정보처리자로부터 제공받은 개인정보를 제공받은 목적 외 용도로 이용하였다.

 

⑵ 제1심 및 원심의 판단

 

㈎ 제1심: 무죄

 

구 개인정보 보호법(2020. 2. 4. 법률 제16930호로 개정되기 전의 것, 이하 ‘구 개인정보보호법’이라 한다) 제19조[개인정보보호법 제19조는 현행법도 동일하나, 처벌규정인 제71조 각 호가 개정되었다(다만 제19조 위반죄에 대한 처벌은 동일하다)]에서 정하고 있는 ‘개인정보처리자로부터 개인정보를 제공받은 자’란 개인정보처리자가 아닌 자로서 개인정보처리자에 속하지 않는 제3자, 즉 개인정보처리자의 지휘나 감독을 받지 아니하는, 개인정보처리자와 무관한 제3자를 의미하고, 구 개인정보보호법 제28조의 ‘개인정보취급자’는 제외된다. 그런데 피고인은 개인정보취급자에 불과하므로 개인정보보호법 제19조 위반죄로 처벌할 수 없다.

 

㈏ 원심: 유죄

 

개인정보처리자가 소관 업무수행과 관련하여 내부의 구성원에게 자신이 수집한 개인정보를 공개하는 경우 해당 구성원은 ‘개인정보처리자로부터 개인정보를 제공받은 자’에 포함되므로, 피고인은 개인정보 보호법 제19조에서 정한 ‘개인정보처리자로부터 개인정보를 제공받은 자’에 해당하여 구 개인정보 보호법 제19조 위반죄로 처벌할 수 있다.

개인정보 보호법에서 정한 ‘개인정보취급자’란 스스로 개인정보를 처리하는 경우가 아니라 “다른 사람을 통하여” 개인정보를 처리하는 경우에 상응하는 개념으로서 자신의 의사에 따라 개인정보를 처리할 수 없고, 오로지 개인정보처리자의 지휘․감독을 받아 개인정보파일 운용에 직접 관여하는 행위를 하는 자를 의미한다. 그런데 피고인은 개인정보파일 운용을 목적으로 수험생들의 개인정보를 받은 것이 아니므로 ‘개인 정보취급자’에 해당한다고 볼 수 없다.

 

나. 쟁점 및 대법원의 판단

 

⑴ 위 판결의 쟁점은, 임직원, 파견근로자, 시간제근로자 등 개인정보처리자의 지휘ㆍ감독을 받아 개인정보를 처리하는 자인 개인정보취급자가 개인정보처리자의 업무 수행을 위하여 개인정보를 이전받는 경우 구 ｢개인정보 보호법｣ 제71조 제2호, 제19조에서 정한 ‘개인정보처리자로부터 개인정보를 제공받은 자’에 해당하는지 여부(소극)이다.

 

⑵ 구 ｢개인정보 보호법｣ 제71조 제2호는 “제19조를 위반하여 개인정보를 이용하거나 제3자에게 제공한 자”를 처벌하도록 규정하고, 제19조는 “개인정보처리자로부터 개인정보를 제공받은 자는 정보주체로부터 별도의 동의를 받은 경우나 다른 법률에 특별한 규정이 있는 경우를 제외하고는 개인정보를 제공받은 목적 외의 용도로 이용하거나 이를 제3자에게 제공하여서는 아니 된다.”라고 규정한다. 그런데 임직원, 파견근로자, 시간제근로자 등 개인정보처리자의 지휘ㆍ감독을 받아 개인정보를 처리하는 자인 개인정보취급자(같은 법 제28조)가 개인정보처리자의 업무 수행을 위하여 개인정보를 이전받는 경우 위와 같은 개인정보취급자는 ‘개인정보처리자로부터 개인정보를 제공받은 자’에 해당하지 않는다. 그 이유는 다음과 같다.

㈎ 개인정보의 ‘제3자 제공’은 본래의 개인정보 수집․이용 목적의 범위를 넘어 그 정보를 제공받는 자의 업무처리와 이익을 위하여 개인정보의 지배․관리권이 이전되는 것으로, 개인정보처리자가 개인정보의 지배․관리권을 그대로 유지하면서 개인정보처리자의 업무처리와 이익을 위하여 내부적으로 개인정보를 이용하는 것과 구별된다. 개인정보처리자는 다른 사람을 통하여 개인정보를 처리하는 것도 가능하므로(구 ｢개인정보 보호법｣ 제2조 제5호) 개인정보처리자의 의사에 따라 개인정보처리 업무를 직접 수행하는 개인정보취급자가 개인정보처리자로부터 정보주체의 개인정보를 이전받더라도 이와 같은 이전은 ‘제3자 제공’에 해당한다고 볼 수 없다.

㈏ 구 ｢개인정보 보호법｣은 제15조, 제16조에서 개인정보처리자의 개인정보 수집․이용에 관하여 규정하고, 제17조에서 개인정보처리자가 수집한 개인정보를 제3자에게 제공할 수 있는 경우를 규정하며, 제18조 제2항에서 개인정보처리자가 개인정보를 목적 외의 용도로 이용하거나 이를 제3자에게 제공할 수 있는 경우를 규정한 다음, 제19조에서 ‘개인정보처리자로부터 개인정보를 제공받은 자’를 수범자로 하여 정보주체로부터 별도의 동의를 받거나 다른 법률에 특별한 규정이 있는 경우를 제외하고는 개인정보를 제공받은 목적 외의 용도로 이용하거나 이를 제3자에게 제공하여서는 아니 된다고 규정하고 있다. 위와 같은 법령의 체계와 문언에 비추어 보면, 구 ｢개인정보 보호법｣ 제19조에서 말하는 ‘개인정보처리자로부터 개인정보를 제공받은 자’라 함은 같은 법 제17조, 제18조 등에 규정된 바에 따라 개인정보처리자로부터 개인정보의 지배․관리권을 이전받은 그 제3자를 의미한다고 보는 것이 타당하다.

㈐ 구 ｢개인정보 보호법｣ 제19조의 ‘개인정보처리자로부터 개인정보를 제공받은 자’는 정보주체로부터 별도의 동의를 받은 경우나 다른 법률에 특별한 규정이 있는 경우에는 개인정보를 제공받은 목적 외의 용도로 이용하거나 이를 다시 제3자에게 제공할 수 있으므로, ‘제공받은 개인정보’를 개인정보처리자의 의사와 무관하게 자신의 의사에 따라 이용하거나 이를 제3자에게 제공할 수 있는 지위에 있다. 반면 개인정보처리에 관한 독자적 이익을 위하여 개인정보를 이용하거나 제3자에게 이를 제공할 수 있는 지위에 있지 않는 개인정보취급자는 구 ｢개인정보 보호법｣ 제19조의 ‘개인정보처리자로부터 개인정보를 제공받은 자’에 포함되지 않는다.

㈑ 한편, 개인정보취급자는 개인정보처리자의 지휘․감독을 받아 개인정보를 처리하는 사람으로서 직접 개인정보에 관한 업무를 담당하는 사람과 그 밖에 업무상 필요에 의해 개인정보에 접근하여 이를 처리하는 모든 사람을 말하고, 개인정보파일 운용에 직접 관여하는 업무를 하는 자에 한정된다고 볼 것은 아니다.

 

⑶ 피고인이 대학수학능력시험 감독관으로 위촉되어 수험생의 동일성 확인업무 수행을 위하여 교육청으로부터 수험생의 성명, 주민등록번호, 연락처, 주소 등 개인정보가 포함된 응시원서를 전달받고, 이를 통하여 알게 된 수험생의 연락처로 “사실 ○○씨가 맘에 들어서요” 등의 메시지를 발송함으로써 개인정보처리자로부터 제공받은 개인정보를 제공받은 목적 외 용도로 이용하였다는 ｢개인정보 보호법｣ 위반으로 기소된 사안임

 

⑷ 원심은, 피고인이 개인정보처리자인 교육청으로부터 수험생들의 전화번호 등 개인정보를 ‘제공’받았으므로, ｢개인정보 보호법｣ 제19조에서 정한 ‘개인정보처리자로부터 개인정보를 제공받은 자’에 해당한다고 판단하였음

 

⑸ 대법원은 위와 같은 법리를 설시하면서, 공립학교 교사인 피고인은 개인정보처리자인 교육청의 지휘․감독 하에 수험생들의 개인정보를 처리한 자로 개인정보취급자에 해당할 뿐, 개인정보처리자인 서울특별시교육청으로부터 ‘개인정보를 제공받은 자’로 보기 어렵다고 보아, 이와 달리 판단한 원심을 파기·환송함

 

3. 개인정보보호법 제19조의 ‘개인정보처리자로부터 개인 정보를 제공받은 자’의 의미(대법원 2025. 2. 13. 선고 2020도14713 판결) [이하 대법원판례해설 제144호, 최지아 P.339-363]

 

가. 이 사건의 쟁점

 

⑴ 구 개인정보보호법 제19조는 ‘개인정보처리자로부터 개인정보를 제공받은 자’에 대하여 제공받은 목적 외 이용을 금지하고 있다(현행법도 동일하다). 반면 구 개인정보보호법에서 ‘개인 정보취급자’에 대하여는 권한 없는 이용의 금지에 관한 규정을 두고 있지 않았다. 개인정보취급자는 구 개인정보 보호법 제59조의 ‘개인정보를 처리하거나 처리하였던 자’에 해당하므로 그 의무규정이 적용되나 권한 없는 이용에 관한 금지규정은 두고 있지 않기 때문이다(현행 개인정보보호법 제59조 제3호는 ‘권한 없이 또는 허용된 권한을 초과하여 다른 사람의 개인정보를 이용’하는 행위도 금지하고 있다).

 

⑵ 개인정보보호법(이 사건은 구 개인정보보호법이 적용되나, 현행법도 동일하므로 현행법으로 표기하였다. 이하 현행법도 동일한 경우에는 현행법으로 표기한다) 제19조의 ‘개인정보처리자로부터 개인정보를 제공받은 자’의 의미, 구체적으로는 개인정보처리자의 내부 구성원도 이에 해당하는지가 이 사건의 주된 쟁점이다. 나아가 개인정보 보호법은 ‘개인정보취급자’를 ‘임직원, 파견근로자, 시간제근로자 등 개인정보처리자의 지휘․감독을 받아 개인정보를 처리하는 자’(법 제28조)로 규정하고 있는데, 원심과 같이 그 범위를 ‘개인정보파일 운용에 직접 관여하는 행위를 하는 자’로 한정하여 볼 수 있는지도 문제된다.

 

나. 개인정보 보호법의 벌칙규정

 

⑴ 벌칙규정 개관

 

㈎ 구 개인정보 보호법의 형사처벌 규정은 제70조부터 제73조까지 규정되어 있다. 제70조가 가장 높은 법정형(10년 이하 징역 또는 1억 원 이하 벌금), 제73조가 가장 낮은 법정형(2년 이하 징역 또는 2,000만 원 이하 벌금)으로, 각 조문별로는 행위 유형이나 정보주체에 대한 피해 정도 등이 동일하여 동일한 법정형이 적용되는 행위들을 함께 나열하여 규정한다.

 

㈏ 수범자별로 처벌되는 행위를 정리하면 다음과 같다.

 

⑵ 개인정보 보호법의 수범자

 

㈎ 개인정보 보호법은 금지 및 행위규범을 정함에 있어 일반적으로 개인정보처리자를 수범자로 하여 규율하면서도, 제8장 보칙의 장에 따로 제59조를 두어 ‘개인정보처리 자’ 외에도 ‘개인정보를 처리하거나 처리하였던 자’를 의무주체로 하는 금지행위에 관하여 규정하고, 제74조는 양벌규정을 통하여 개인정보처리자가 아닌 실제 위반행위를 한 행위자를 처벌하도록 하여 수범자의 범위를 확장하고 있다. 그 외의 수범자인 개인 정보처리자로부터 개인정보를 제공받은 자, 수탁자, 영업양수자 등은 개인정보처리자를 중심으로 해석되는 개념이다.

 

㈏ 개인정보 보호법은 ‘개인정보처리자’를 ‘업무를 목적으로 개인정보파일을 운용하기 위하여 스스로 또는 다른 사람을 통하여 개인정보를 처리하는 공공기관, 법인, 단체 및 개인 등’으로 정의한다(제2조 제5호). ‘업무’는 형법상 개념, 즉 직업 또는 사회생활상의 지위에 기하여 계속적으로 종사하는 사무나 사업의 일체를 의미하고, 그 업무가 주된 것이든 부수적인 것이든 가리지 아니하며, 일회적인 사무라 하더라도 그 자체가 어느 정도 계속하여 행해지는 것이거나 혹은 그것이 직업 또는 사회생활상의 지위에서 계속적으로 행하여 온 본래의 업무수행과 밀접불가분의 관계에서 이루어진 경우에도 이에 해당한다(대법원 2005. 4. 15. 선고 2004도8701 판결 등). ‘개인정보파일’은 ‘개인정보를 쉽게 검색할 수 있도록 일정한 규칙에 따라 체계적으로 배열하거나 구성한 개인정보의 집합물’을 말한다(개인정보보호법 제2조 제4호). 개인정보파일의 요건인 ‘일정한 규칙에 따른 체계적 배열 또는 구성’에서 일정한 규칙의 기준을 규정하고 있지 않으므로 어떠한 기준도 포함될 수 있고 이는 결국 구체적 사안에서의 판단에 의할 수밖에 없을 것이다. 또한 개인정보처리자는 공공기관, 법인, 단체, 개인 등 개인정보를 수집, 이용, 제공 등 처리하는 모든 자가 될 수 있다. 대법원은 관리주체인 아파트 관리사무소장으로서 아파트 주거 생활의 질서 유지, 관리비 수납 등 효율적인 관리 업무를 위하여 입주자들의 성명, 생년월일, 전화번호 등 개인정보를 수집한 다음 동․호수 등 일정한 규칙에 따라 체계적으로 배열한 입주자카드 등 개인정보 집합물을 운용한 경우에는 개인정보처리자에 해당할 여지가 많다고 보았고(대법원 2016. 3. 10. 선고 2015도8766 판결), 반면 경찰서 소속의 경찰공무원은 개인정보처리자에 해당하지 않는다고 보았다(대법원 2017. 9. 21. 선고 2016도19905 판결).

 

㈐ 개인정보 보호법 제59조의 수범자인 ‘개인정보를 처리하거나 처리하였던 자’는 제2조 제5호 소정의 ‘개인정보처리자’ 즉 업무를 목적으로 개인정보파일을 운용하기 위하여 스스로 또는 다른 사람을 통하여 개인정보를 처리하는 공공기관, 법인, 단체 및 개인 등에 한정되지 않고, 업무상 알게 된 제2조 제1호 소정의 ‘개인정보’를 제2조 제2호 소정의 방법으로 ‘처리’하거나 ‘처리’하였던 자를 포함한다는 점에서 각 개인정보처리자와는 구별되는 개념이다(대법원 2016. 3. 10. 선고 2015도8766 판결). ‘개인정보 취급자’, 즉 임직원, 파견근로자, 시간제근로자 등 개인정보처리자의 지휘․감독을 받아 개인정보를 처리하는 자(개인정보 보호법 제28조)가 해당할 수 있으나, 이에 한정되는 것은 아니다.

 

㈑ 한편 개인정보 보호법 제74조의 양벌규정에 의하여 개인정보처리자 아닌 행위자도 벌칙규정의 적용 대상이 될 수 있으나, 구 개인정보 보호법은 제2조 제5호, 제6호에서 공공기관 중 법인격이 없는 ‘중앙행정기관 및 그 소속 기관’ 등을 개인정보처리자 중 하나로 규정하고 있으면서도, 양벌규정에 의하여 처벌되는 개인정보처리자로는 같은 법 제74조 제2항에서 ‘법인 또는 개인’만을 규정하고 있을 뿐이고, 법인격 없는 공공기관에 대하여도 위 양벌규정을 적용할 것인지 여부에 대하여는 명문의 규정을 두고 있지 않으므로, 죄형법정주의의 원칙상 ‘법인격 없는 공공기관’을 위 양벌규정에 의하여 처벌할 수 없고, 그 경우 행위자 역시 위 양벌규정으로 처벌할 수 없다(대법원 2021. 10. 28. 선고 2020도1942 판결).

 

다. ‘개인정보처리자로부터 개인정보를 제공받은 자’의 의미 - 개인정보처리 자의 내부 구성원도 이에 해당하는지

 

⑴ 논의의 전제

 

개인정보보호법 제19조의 해석․적용은 ‘개인정보처리자’에 해당하는지, 개인정보의 ‘제공’이 있었는지, 제공된 ‘개인정보’의 내용 등 단계별로 문제 될 수 있는데, 이 사건은 개인정보의 ‘제공’이 있었는지가 가장 문제 된다. 쟁점의 결론을 도출하기 위하여는 ➊ 개인정보 ‘제공’의 개념, ➋ 개인정보취급자의 의미, ➌ 개인정보처리자로 부터 개인정보취급자 등 내부자에게 개인정보가 이전되는 경우 이를 개인정보의 ‘제공’으로 볼 수 있는지를 검토하고, 이 사건의 사실관계에 비추어 피고인이 개인정보처리자로부터 개인정보를 제공받은 것으로 볼 수 있는지를 판단하여야 한다.

 

⑵ 개인정보보호법 제19조의 개인정보 ‘제공’의 의미

 

㈎ 개인정보보호법 제19조의 입법 취지, 적용 대상

 

① 개인정보를 제공받은 자는 해당 개인정보를 제공하거나 제공받은 목적과 다른 용도로 이용하거나 제3자에게 제공하여서는 안 된다. 개인정보를 제공받은 자가 그 개인정보를 제한 없이 처리할 수 있다면 개인정보 유출 또는 불법유통 등 정보주체의 권리를 침해할 우려가 높기 때문에 목적 외 이용․제공을 금지하는 규정을 두고 있다.

 

② 개인정보처리자로부터 개인정보를 제공받은 자에 한정되고, 개인정보처리 업무를 위탁받은 수탁자에게는 본 조항이 적용되지 않는다.

 

③ 개인정보보호법 제19조는 개인정보를 제공받은 자의 목적 외 이용․제공을 금지하는 규정일 뿐 개인정보를 제공받은 자의 목적 내 이용․제공을 금지하는 규정은 아니다. 따라서 개인정보를 제공받은 자는 제17조 제1항 제2호의 사유가 있는 경우 수집한 정보를 해당 수집 목적의 범위 내에서 정보주체의 동의 없이 제3자에게 제공할 수 있다.

 

㈏ ‘제공’의 의미

 

개인정보보호법은 ‘처리’의 한 유형으로 ‘제공’을 두고 있을 뿐 제공의 정의규정은 두고 있지 않다. 표준개인정보보호지침[개인정보 보호법 제12조 제1항에서는 개인정보의 처리에 관한 기준, 개인정보 침해의 유형 및 예방조치 등 에 관한 표준 개인정보 보호지침을 정하여 개인정보처리자에게 그 준수를 권장할 수 있는 근거를 두고 있 다. 구 개인정보 보호법(2020. 2. 4. 법률 제16930호로 개정되기 전의 것)에서는 그 주체가 행정안전부장관이었으나, 법 개정으로 개인정보보호위원회로 변경되었다. 이하 현행 표준 개인정보 보호지침으로 표기한다]은 개인정보의 ‘제공’이란 개인정보의 저 장 매체나 개인정보가 담긴 출력물․책자 등을 물리적으로 이전하거나 네트워크를 통한 개인정보의 전송, 개인정보에 대한 제3자의 접근 권한 부여, 개인정보처리자와 제3자의 개인정보 공유 등 개인정보의 이전 또는 공동 이용 상태를 초래하는 모든 행위를 말한다고 정의한다(제8조 제1항). 개인정보의 ‘제공’은 개인정보처리자 외의 제3자에게 개인정보의 지배․관리권이 이전되는 것, 즉 개인정보를 저장한 매체나 수기문서를 전달하는 경우뿐만 아니라, DB 시스템에 대한 접속권한을 허용하여 열람․복사가 가능하게 하여 개인정보를 공유하는 경우 등도 ‘제공’에 포함된다. 대법원은 개인정 보 보호법 제71조 제5호 후단의 ‘개인정보를 제공받은 자’에 해당한다고 보기 위해서는 개인정보를 처리하거나 처리하였던 자가 누설하거나 권한 없이 다른 사람이 이용하도록 제공한 개인정보의 지배․관리권을 이전받을 것을 요한다고 보아(대법원 2024. 8. 23. 선고 2020도18397 판결) ‘제공’은 개인정보 ‘지배․관리권의 이전’을 의미함을 확인하였다.

 

㈐ 개인정보보호법 제19조의 ‘개인정보처리자로부터 개인정보를 제공받은 자’의 범위

 

개인정보 보호법 제19조가 적용되는 수범자의 범위에는 아무런 제한이 없는지 혹은 개인정보처리자와 무관한 제3자를 의미하는지에 대하여 ① 무제한설(개인정보처리자 내부의 직원을 포함하여 그 범위에 제한이 없다는 견해), ② 개인정보처리자 제외설(개인정보처리자에 속하지 않는 제3자를 의미한다는 견해)가 대립한다.

개인정보처리자 제외설이 타당하다.

 

⑶ ‘개인정보취급자’의 의미

 

㈎ 정의

 

‘개인정보취급자’는 임직원, 파견근로자, 시간제근로자 등 개인정보처리자의 지휘․ 감독을 받아 개인정보를 처리하는 자이다(개인정보 보호법 제28조 제1항). 정보주체의 개인정보처리는 실제로는 개인정보처리자를 위하여 개인정보취급자가 수행하게 된다. 개인정보취급자는 개인정보 처리 업무를 담당하고 있는 자라면 정규직, 비정규직, 하도급, 시간제 등 모든 근로형태를 불문한다. 고용관계가 없더라도 실질적으로 개인정보처리자의 지휘․감독을 받아 개인정보를 처리하는 자는 개인정보취급자에 포함된다. 개인정보 처리업무 등을 수탁하여 처리하고 있는 수탁자도 개인정보취급자라고 할 수 있으나, 수탁자에 대한 교육 및 관리․감독규정은 제26조에서 별도로 규정하고 있으므로 그에 따른다. 한편 개인정보 보호법은 개인정보처리자의 개인정보취급자에 대한 감독 의무만을 규정할 뿐, 개인정보취급자의 의무나 처벌조항을 별도로 두고 있지 않다. 그러나 개인정보취급자는 법 제59조의 ‘개인정보를 처리하거나 처리하였던 자’에 해당하므로 해당 의무규정과 처벌조항은 적용된다.

 

㈏ 개인정보취급자의 범위

 

개인정보취급자의 범위는 개인정보파일 운용 업무에 관여하는 자로 한정되는지에 관하여는 ① 협의설(개인정보처리자의 지휘․감독을 받아 개인정보파일 운용에 직접 관 여하는 행위를 하는 자)과 ② 광의설(개인정보처리자의 지휘․감독을 받아 개인정보를 처리하는 자로 개인정보파일 운용에만 국한되지 않음)이 대립한다.

광의설이 타당하다.

 

⑷ 개인정보취급자가 개인정보처리자로부터 개인정보를 제공받은 경우 개인정보보호법 제19조 위반으로 처벌할 수 있는지

 

㈎ 앞서 본 개인정보 보호법 제19조의 ‘개인정보처리자로부터 개인정보를 제공받은 자’의 범위에 관하여 무제한설(개인정보처리자 내부의 직원을 포함하여 그 범위에 제 한이 없다는 견해), 개인정보처리자 제외설(개인정보처리자에 속하지 않는 제3자를 의 미한다는 견해)을 취하는지, 개인정보취급자의 범위에 대하여 협의설(개인정보파일 운 용에 직접 관여하는 자로 한정하는 견해), 광의설(개인정보처리자의 지휘․감독을 받 아 개인정보를 처리하는 자로 보는 견해)을 취하는지에 따라서 개인정보 보호법 제19조의 수범자에 해당할 수 있는 사람들의 범위는 달라진다.

 

㈏ ① 제공의 대상에 관하여 무제한설을 택한다면, 개인정보처리자, 수탁자, 정보주체 의 대리인 외에는 제19조의 적용이 가능하다. ② 제공의 대상에 관하여 개인정보처리 자 제외설과 개인정보취급자에 대하여 협의설을 취한다면, 개인정보처리자, 수탁자, 정보주체의 대리인 및 개인정보파일 운용에 관여하는 직원 외에는 제19조의 적용이 가능하다. ③ 제공의 대상에 관하여 개인정보처리자 제외설과 개인정보취급자에 대하여 광의설을 취한다면, 개인정보처리자, 수탁자, 개인정보처리자의 지휘․감독하에 개인정보를 처리하는 직원(정보주체의 대리인 및 개인정보파일 운용에 관여하는 직원은 당연히 포함) 외에는 제19조의 적용이 가능하다. 앞서 본 바와 같이 제공의 대상에 대한 개인정보처리자 제외설과 개인정보취급자에 대한 광의설이 타당하므로, 결론적으로 개인정보 보호법 제19조의 수범자가 될 수 있는 범위는 위 ③과 같이 볼 수 있다.

 

㈐ 한편 개인정보처리자의 직원 중 개인정보취급자와 이에 해당하지 않는 임직원 등이 존재하는데, 개인정보취급자 외의 임직원 등은 개인정보처리자와 무관한 ‘개인정보처리자로부터 개인정보를 제공받은 자’로 보아도 무방하다. 개인정보처리에 관한 업무를 수행하지 않는 자들은 개인정보처리자로부터 그들에게 개인정보가 이전될 것이 예정되어 있지 않고, 개인정보처리자에게 개인정보 보호법상의 관리․감독 의무도 부과되지 않기 때문에 개인정보 보호법 분야에서는 개인정보처리자와 별개의 제3자라고 보 는 것이 타당하다.

 

⑸ 대상판결(대법원 2025. 2. 13. 선고 2020도14713 판결)의 결론

 

개인정보보호법 제19조의 ‘개인정보처리자로부터 개인정보를 제공받은 자’에는 개인정보취급자가 포함되지 않는다고 보아 개인정보처리자 제외설을, 개인정보취급자는 개인정보처리자의 지휘․감독을 받아 개인정보를 처리하는 사람으로서 직접 개인정보에 관한 업무를 담당하는 사람과 그 밖에 업무상 필요에 의해 개인정보에 접근하여 이를 처리하는 모든 사람을 말하고, 개인정보파일 운용에 직접 관여하는 업무를 하는 자에 한정된다고 볼 것은 아니라고 보아 광의설을 택하였다. 앞서 검토한 바와 같은 이유로 대상판결(대법원 2025. 2. 13. 선고 2020도14713 판결)의 결론은 타당하다.

 

라. 대상판결(대법원 2025. 2. 13. 선고 2020도14713 판결)의 검토

 

⑴ 대학수학능력시험의 응시원서 접수, 감독과 관련한 법령

 

고등교육법, 고등교육법 시행령, ｢행정권한의 위임 및 위탁에 관한 규정｣ 등에 의하 면, 대학수학능력시험은 고등교육법 및 동법 시행령에 따라 교육부장관이 대학 입학전형의 자료로 활용하기 위한 목적으로 시행하는 시험으로, 교육부장관은 대학수학능력시험의 시험응시원서 접수, 시험의 실시․감독, 답안지 회수 등 시험의 관리 업무를 시․도 교육감에게 위임한다. 시험감독관은 시․도 교육감이 위촉(임명)한다.

 

⑵ 이 사건의 개인정보처리자 － 서울특별시교육청

 

개인정보보호법에 의하면 중앙행정기관, 지방자치단체는 개인정보처리자에 해당할 수 있다. 지방자치단체의 교육에 관한 사무분장은 별도의 기관에 의하는데, 그 사무의 집행기관은 시․도교육감이고, 시․도교육감을 보조하는 기관으로 시․도교육청을 설치한다. 개인정보 보호법 시행령에서는 개인정보 보호책임자의 지정에 관한 규정에서 개인정보처리자인 공공기관을 각 호에서 열거하고 해당 공공기관에서의 개인정보 보호책임자의 자격을 규정하는데, 각 호에 ‘시․도 및 시․도교육청’을 두고 있다.

위와 같은 관련 법령들에 의하면 교육부, 서울특별시교육청은 각각 개인정보처리자 가될 수 있다. 교육부는 개인정보 보호법에서 공공기관으로 정의하는 ‘중앙행정기관’ 에 해당하고, 서울특별시교육청은 개인정보 보호법에서 공공기관으로 정의하는 ‘지방자치단체’에 해당한다. 시․도교육감 혹은 시․도교육청을 지방자치단체의 일부로 볼 수 있을 것인데, 개인정보 보호법에서는 ‘지방자치단체’와 ‘지방자치단체의 장’을 구별하고 있고, ｢지방교육자치에 관한 법률｣ 제3조에서는 지방자치단체의 장을 교육감으로 보고 있으므로, 개인정보처리자인 지방자치단체에 상응하는 것은 시․도교육청으로 보는 것이 타당하다. 그런데 대학수학능력시험에 관한 권한을 교육부에서 시․도교육감으로 위임하므로, 시․도교육감의 권한 및 사무가 되고, 교육부 개인정보 보호지침에서는 개인정보처리자를 명확하게 규정하고 있지는 않으나, 개인정보 보호책임자의 지정에 관한 규정에서 교육부, 시․도교육청 등을 별도로 규율하여 각자 개인정보처리자가 될 수 있음을 전제하고 있으므로, 이 사건에서 개인정보처리자는 서울특별시교육청이라고 보는 것이 타당하다.

 

⑶ 피고인의 지위 － 개인정보취급자

 

피고인은 공립학교 교사로서 시․도교육감 및 그 보조 행정기관인 시․도교육청 소속으로서 그로부터 포괄적으로 지휘․감독을 받는 관계에 있다. 또한 대학수학능력시험에 관하여 시․도교육감으로부터 임명되어 그 지휘․감독을 받기도 하였으므로, 개인정보처리자인 서울특별시교육청의 지휘․감독하에 있었다. 피고인은 그 업무인 시험감독과 관련하여 수험생들의 개인정보(성명, 주민등록번호, 연락처, 주소 등)가 기재된 응시원서를 이전받고 이를 수험생의 동일성 확인 등 업무 과정에서 이용하였는바, 이는 개인정보의 처리 중 ‘이용’30)에 해당한다. 따라서 피고인은 개인정보처리자의 지휘․감독을 받아 개인정보를 처리하는 자로서 개인정보취급자에 해당한다.

 

⑷ 대상판결(대법원 2025. 2. 13. 선고 2020도14713 판결)의 결론

 

㈎ 공립학교 교사인 피고인은 개인정보처리자인 서울특별시교육청의 지휘․감독하에 수험생들의 개인정보를 처리한 자로 개인정보취급자에 해당할 뿐, 개인정보처리자인 서울특별시교육청으로부터 ‘개인정보를 제공받은 자’로 보기 어렵다. 따라서 개인정보처리자 내에서 개인정보취급자인 피고인에게 개인정보가 이전되었다고 하더라도 이를 구 개인정보 보호법 제19조의 ‘제공’이라 볼 수 없으므로, 이를 전제로 한 구 개인정보 보호법 제19조 위반죄는 성립하지 않는다고 보았다. 개인정보 보호법의 문언이나 벌칙 구조에 비추어 보면, 대상판결(대법원 2025. 2. 13. 선고 2020도14713 판결)의 결론은 타당하다고 보인다.

 

㈏ 한편 이 사건에 적용되는 구 개인정보 보호법하에서는 피고인의 행위를 개인정보 보호법위반죄로 처벌할 수 없으나, 2023. 3. 14. 개정된 현행법에서는 개인정보보호 법 제71조 제10호, 제59조 제3호로 처벌할 수 있게 되었다.