서울중앙지방법원-2015고합664

무죄 부분 1. 피고인 A, B, C, D 주식회사(이하 'P' 또는 'Q'라고만 하고, 이하 위 회사와 관련하여 사용되는 용어 'R'는 모두 'S'로 표시하기로 한다)에 대한 각 공소사실 중 각 의료법위반 및 별지 범죄일람표 기재 각 개인정보보호법위반의 점(이하 '이 부분 각 공소사실'이라고 한다)에 관한 판단 가. 이 부분 각 공소사실의 요지 1) 피고인들의 지위 피고인 P은 이동전화, 유무선 통합 포털, 모바일 멀티미디어 서비스 등을 제공하는 법인으로 2011년경부터 전자처방전 서비스를 제공하면서 그 과정에서 환자 처방정보 데이터를 취급한 개인정보처리자이고, 피고인 A은 2001년경 피고인 P에 입사하여 2011. 5. 11.경부터 피고인 P 신사업추진단장 겸 헬스케어사업 본부장으로서 재직하면서 피고인 P의 전자처방전 사업을 비롯한 헬스케어 사업을 총괄하고 환자 처방정보 데이터 수집 및 처리 등을 총괄한 사람이며, 피고인 B은 2005. 8.경 피고인 P에 입사하여 2009년경부터 피고인 P의 전자처방전 사업을 기획하고 추진한 피고인 P 헬스케어사업본부 S전자처방전 서비스 담당 부장으로, 환자 처방정보 데이터 수집 및 처리 등을 담당한 사람이고, 피고인 C은 1998. 1.경 피고인 P에 입사하여 2009년경부터 피고인 P의 전자처방전 사업을 기획하고 추진한 S전자처방전 서비스 담당 매니저로, 환자 처방정보 데이터 수집 및 처리 등을 담당한 사람이다. 2) 환자정보 관련 피고인들의 법적 의무 개인정보 보호법상 개인정보처리자는 일반 개인정보의 경우 6가지 사유에 해당하면 그 취급이 가능하지만, 환자 진료·처방·조제정보와 같은 민감정보는 정보주체인 환자의 사생활을 현저히 침해할 우려가 있으므로 오직 2가지 사유, 즉 법령의 근거 또는 정보주체의 별도 동의가 있어야만 그 취급이 가능하다. 일반 개인정보는 업무위탁을 하는 경우 정보주체의 별도 동의가 필요 없지만, 민감정보는 수탁자가 민감정보를 취급하려면 정보주체의 법령의 근거 또는 정보주체의 별도 동의가 필요하다. 또한 수탁자는 위탁받은 해당 업무 범위를 초과하여 개인정보를 이용하거나 제3자에게 제공하여서는 안 된다. 한편 의료법과 약사법상 의료인, 약사·한약사는 업무상 알게 된 환자의 비밀을 누설하여서는 안 되고, 의료인이나 의료기관 종사자는 환자 기록을 제3자에게 열람하게 하거나 내용을 확인할 수 있게 해서는 안 된다. 누구든지 정당한 사유 없이 전자처방전(전자서명이 되어 있는 경우)에 저장된 개인정보를 탐지하거나 누출·변조·훼손해서는 안 되고, 병·의원이 약국에 전자처방전을 발송하려면 환자의 발송 요구가 있어야 한다. 결국 설령 환자정보의 업무수탁자라고 할지라도 병·의원이나 약국 밖으로 환자정보를 전송하여 저장하는 행위는 수탁범위를 초과하는 것으로서 금지된다고 할 것이다. 3) 피고인 A, B, C의 공동범행 피고인 A, B, C은 2010년경 병·의원 의사들이 전자차트 프로그램을 사용하면서 전자차트 프로그램에 의사들이 처방한 처방내역 등을 저장, 보관하고 있는 것을 이용하여, 병·의원 의사들이 전자차트 프로그램에서 처방한 전자처방전 정보를 공동피고인 P(이하 공동피고인 P이 당해 피고인이 아닌 경우에는 'P'이라고만 한다) 중계서버로 전송받아 저장한 다음, 이를 이용하여 전자처방전 서비스를 원하는 약국에 위 전자처방전 정보를 전송하고 이를 대가로 건당 일정한 액수의 수수료를 받기로 하는 'Q 스마트 헬스 전자처방전 서비스(이하 'P 전자처방전 서비스'라고 한다)' 사업을 추진하기로 하였다. 그런데 위와 같은 사업을 추진함에 있어서 병·의원 측과 사전에 업무협의가 있어야 하고 의료법상 환자의 전자처방전의 발송 요구절차도 있어야 함에도 병·의원 측과 협의하고 개별 환자들로부터 동의를 받는 게 쉽지 않게 되자, 환자 및 병·의원 측을 배제하고 사업을 추진하게 되었다. 피고인 A, B, C은 2010. 7.경 주식회사 T(이하 'T'라고만 한다), 주식회사 U, 주식회사 V, 주식회사 W, 주식회사 X, 주식회사 Y, Z 주식회사, 주식회사 AA, AB 주식회사, AC 주식회사, AD 주식회사와, 2012. 8.경 주식회사 AE과, 2012. 12.경 AF 주식회사와, 2013. 12.경 AG 사단법인과, 2014. 4.경 주식회사 AH과, 2014. 5.경 AI과 각각 해당 병·의원 전자차트 프로그램에 저장되어 있는 환자들의 처방정보를 P으로 실시간 제공받기로 하는 계약을 체결하여 병·의원 처방전을 전자문서 형태로 약국에 전송하는 모듈을 해당 전자차트 프로그램에 탑재하기로 하고, 재단법인 AJ, T 등 10개 약국관리프로그램 제공업체와 위와 같이 전자차트 프로그램 제공업체로부터 제공받은 처방정보를 약국에 제공하기로 하는 계약을 체결하였다. 피고인 A, B, C은 T 등 16개 전자차트 프로그램 업체로 하여금 병·의원에서 사용하는 전자차트 프로그램에 위 피고인들이 소속된 P 헬스케어 사업본부가 제공하는 'AK'라는 모듈을 설치하는 방법으로 'P 전자처방전 서비스' 기능을 추가하게 하고, T 등 16개 병·의원 전자차트 프로그램 업체들은 병·의원 측에 의사·환자의 동의 없음에도 전자처방전 정보가 외부 서버로 실시간 전송된다는 점, 약국에 판매된다는 점 등에 대하여 정확한 설명도 하지 아니하고 전자차트 프로그램을 설치·업데이트할 때 전자처방전에 관한 일반적인 내용의 팝업창을 띄워 의사들로 하여금 전자처방전 정보가 외부 서버로 실시간 전송된다는 점, 약국에 판매된다는 점을 모른 채 전자처방전 서비스 가입에 동의하도록 유도하였다. 피고인 A, B, C은 2011. 1.경부터 T 등 위 16개 전자차트 프로그램 제공업체를 통해 약 25,546개 병·의원 사용 전자차트 프로그램에 위 모듈을 설치하였고, 위 10개 약국관리 프로그램 제공업체를 통해 약 8,188개 가맹 약국에 위 모듈을 설치하면서, 위 25,546개 병·의원 의사들에게 전자차트 프로그램에서 생성하는 모든 전자처방전 정보가 P 중계서버로 전송되도록 하였다. 위 피고인들은 2011. 10.경부터 2014. 11.경까지 병·의원에 사용하는 전자차트 프로그램에서 생성한 환자들의 전자처방전 정보(환자의 성명, 생년월일, 성별, 휴대폰번호 등의 환자정보, 전자처방전 교부번호 등의 처방전 일반정보, 병원 이름, 병원 연락처, 병원 사업자번호, 의사 이름 등의 요양기관정보, 약물코드, 약품명, 처방일수, 복용량 등)를 환자들의 동의를 받지 아니하고, P 중계서버로 실시간으로 무단으로 전송받아 저장한 후 요청하는 약국에 다시 전송하고 그 대가로 전자처방전 1건당 50원 상당을 제공받았다. 가) 민감정보 불법 수집·저장·보유 및 전자처방전 개인정보 탐지 피고인 A, B, C은 공모하여 2014. 11. 25.경 정보주체인 환자들의 동의나 법령의 근거 없이 AL생 남성 환자 AM가 AN 내과의원에서 2014. 11. 25.경 진료를 받았다는 내용 및 위 환자에 대하여 해당 병원에서 발행한 처방전 문서 파일(암호화) 등을 비롯한 민감정보를 P 서버에 저장하고, 전자서명된 전자처방전을 전송받았다. 이를 비롯하여 피고인 A, B, C은 개인정보 보호법 시행 후인 2013. 5. 29.경부터 2014. 11. 27.경까지 정보주체인 환자들의 동의나 법령의 근거 없이 별지 범죄일람표 기재와 같이 약 3,897개의 병·의원으로부터 민감정보에 해당하는 400,000건의 처방정보를 P 서버에 저장하고, 2011. 4. 20.경부터 2014. 11. 30.경까지 전자서명을 이용하여 전차처방전을 작성하는 149개 병·의원으로부터 위 전자처방전 서비스 방식을 이용하여 별지 범죄일람표 기재와 같이 527,694건의 전자처방전에 저장된 처방정보를 전송받았다. 이로써 피고인 A, B, C은 공모하여 법령의 근거 또는 환자들의 동의 없이 민감정보인 처방정보 400,000건을 처리(수집·저장·보유)하고, 정당한 사유 없이 527,694건의 전자처방전에 저장된 개인정보를 탐지하였다. 나) 민감정보 불법 제공 및 전자처방전 개인정보 누출 피고인 A, B, C은 공모하여 2014. 11. 25.경 위 가)항 기재와 같이 불법 수집·저장·탐지한 AM에 대한 처방전 문서 관련 정보를 비롯한 전자처방전 기재 정보를 가맹 약국에 전송한 것을 비롯하여 개인정보 보호법 시행 후인 2013. 5. 29.경부터 2014. 11. 27.경까지 정보주체인 환자들의 동의나 법령의 근거 없이 불법 수집·저장한 별지 범죄일람표 기재 400,000건의 민감정보를 가맹 약국에 전송하고, 2011. 4. 20.경부터 2014. 11. 30.경까지 불법 탐지한 별지 범죄일람표 기재 527,694건의 전자처방전에 저장된 개인정보를 614개의 가맹 약국에 전송하였다. 이로써 피고인 A, B, C은 공모하여 법령의 근거 또는 환자들의 동의 없이 민감정보인 처방정보 400,000건을 처리(제공)하고, 정당한 사유 없이 527,694건의 전자처방전에 저장된 개인정보를 누출하였다. 4) 피고인 P 피고인 P은 2013. 5. 29.경부터 2014. 11. 30.경까지 위 피고인의 종업원인 공동피고인 A, B, C(이하 공동피고인 A, B, C이 당해 피고인이 아닌 경우에는 각각 'A', 'B', 'C'이라고만 한다)이 피고인 P의 업무에 관하여 위 3)항 기재와 같이 법령의 근거 또는 정보주체인 환자들의 동의 없이 400,000건의 민감정보를 각 처리하고, 2011. 4. 20.경부터 2014. 11. 30.경까지 정당한 사유 없이 527,694건의 전자처방전에 저장된 개인정보를 탐지하고 누출하였다. 나. 공소사실의 특정 여부 1) 피고인 A, B, C, P과 변호인들의 주장 검사가 제출한 2019. 6. 26.자 공소장변경허가신청서와 그에 첨부된 별지 범죄일람표 , 에는 피고인 A, B, C, P이 처리한 민감정보, 즉 환자별 처방정보가 표시되어 있지 않고[개인정보보호법위반의 점, 별지 범죄일람표 해당], 위 피고인들이 탐지·누출한 개인정보의 주체와 내용이 표시되어 있지 않으며[의료법위반의 점, 별지 범죄일람표 해당], 위 각 범죄일람표의 글자 크기가 작아 가독성이 현저하게 떨어지므로 이 부분 각 공소사실은 특정되었다고 볼 수 없다. 따라서 위 피고인들에 대한 공소는 기각되어야 한다. 2) 관련 법리 공소사실의 기재에 있어서 범죄의 일시, 장소, 방법을 명시하여 공소사실을 특정하도록 한 취지는 법원에 대하여 심판의 대상을 한정하고 피고인에게 방어의 범위를 특정하여 그 방어권 행사를 쉽게 해 주기 위한 데에 있는 것이므로 공소사실은 이러한 요소를 종합하여 구성요건 해당사실을 다른 사실과 구별할 수 있을 정도로 기재하면 족하다. 따라서 공소장에 범죄의 일시, 장소, 방법 등이 구체적으로 적시되지 않았더라도 공소사실을 특정하도록 한 법의 취지에 반하지 아니하고, 공소범죄의 성격에 비추어 그 개괄적 표시가 부득이한 경우에는 그 공소내용이 특정되지 않아 공소제기가 위법하다고 할 수 없다(대법원 2006. 9. 8. 선고 2006도388 판결). 3) 구체적 판단 검사가 제출한 증거들에 의하여 인정되는 아래와 같은 사실 또는 사정들을 종합하면, 검사가 제출한 2019. 6. 26.자 공소장변경허가신청서와 서면으로 출력하여 위 공소장변경허가신청서에 첨부한 해당 범죄일람표들에 적힌 정보들의 기재 정도로 인하여 피고인 A, B, C, P이 방어권을 행사하는 데 지장을 초래할 정도로 공소사실이 특정되지 않았다고 보기는 어렵다. 따라서 위 피고인들과 변호인들의 이 부분 주장은 받아 들이지 않는다. 가) 검사가 제출한 별지 범죄일람표 은 '처방전 교부번호', '병·의원명', '처방전 문서 파일명(암호화된 처방전의 보관위치 정보)', '발행일시', '환자명', '생년월일', '성별'의 정보들로 구성되어 있고, 이들 조합을 통하여 도출되는 특정 병·의원이 특정 일시에 정보주체인 특정 환자에게 발행한 전자처방전은 다른 전자처방전과 충분히 구별된다. 나) 피고인 A, B, C, P과 변호인은 위 정보들이 전자처방전 전송·삭제 업무를 수행하는 데 필요한 메타정보(속성정보)의 성격을 갖는 것에 불과할 뿐 민감정보와는 동떨어진 것이라고 주장하나, 그와 같이 특정된 전자처방전의 처방내용은 검사가 이 사건의 수사과정에서 건강보험심사평가원 데이터베이스를 압수수색하여 확보한 다른 정보와 결합함으로써 구체적으로 특정될 수 있고, 그 내용이 실제 민감정보에 해당하는지 여부는 궁극적으로 본안에서 판단할 사항에 해당한다. 다) 이와 마찬가지로 검사가 제출한 별지 범죄일람표 는 '협력사명', '처방전 교부번호', '병·의원 사업자번호', '병·의원 송신일자', '약국 사업자등록번호', '약국 처리일자', '약국 협력사 코드', '전자서명 여부'의 정보들로 구성되어 있어 해당 전자처방전이 다른 전자처방전과 충분히 구별되고, 검사가 이 사건의 수사과정에서 건강보험심사평가원 데이터베이스를 압수수색하여 확보한 다른 정보와 결합함으로써 구체적으로 특정될 수 있으며, 그 내용이 실제 민감정보에 해당하는지 여부는 궁극적으로 본안에서 판단할 사항에 해당한다. 라) 별지 범죄일람표 , 의 글자 크기가 작아 식별에 어려움이 있기는 하지만, 피고인 A, B, C, P의 변호인도 그 내용을 발췌하여 의견서에 인용하고 있으므로 해득이 절대적으로 불가능한 정도라고 보기는 어렵다. 더욱이 이는 검사가 당초 공소제기 대상으로 삼은 수천만 건의 민감정보를 전부 별지에 출력하여 제출함으로써 공소사실을 특정(이 법원은 아래 공소기각 부분에서 살펴보는 바와 같이 당초 공소제기 대상이 된 민감정보를 전자파일 형태로 DVD에 저장하여 제출하는 형태의 특정을 불허하고, 종이로 출력하여 별지로 제출하는 방법으로만 허가하였다)하는 것이 현실적으로 어려운 상황에서 가능한 한 많은 민감정보를 별지에 담고자 범죄일람표를 여러 쪽을 모아 출력한 결과이므로 그러한 방식의 범죄일람표 제출이 부득이한 측면도 있다고 보인다. 다. 피고인 A, B, C, P(이하 통칭이 필요한 경우에는 '피고인 P 측'이라고 한다)이 민감정보를 처리하였는지 여부 1) 피고인 A, B, C, P과 변호인들의 주장 피고인 P 측은 병·의원의 의사들이 약국에 처방정보를 전송하는 것을 중계하는 도관사업자의 기능을 수행한 것에 불과하여 민감정보를 처리하였다고 볼 수 없다. 2) 인정사실 검사와 피고인 A, B, C, P의 변호인들이 제출한 증거들에 의하면 아래의 사실이 인정된다. 가) 피고인 P은 전자처방전 서비스 이용약관 제4조(용어의 정의)에서 '전자처방전 서비스'를 '병·의원에서 발행된 처방전을 피고인 P의 전자처방전 플랫폼(Platform)을 경유하여 전자문서 형태로 발급 및 전송하고, 이에 대하여 고객(환자) 또는 약국이 단문메시지를 전송받거나 내역조회 또는 이와 관련된 부수적 서비스를 제공받을 수 있게 함으로써 처방전 관련 업무의 ICT화 또는 효율성을 도모하는 서비스'로, '전자처방전 발급서비스'를 '병·의원에서 피고인 P의 전자처방전 플랫폼(Platform)을 통하여 전자처방전을 발행하여 고객(환자)과 고객이 지정하는 약국에 전송/전달하여 그 발급 단계의 편의성을 증대하는 서비스'로, '전자처방전서비스 플랫폼(Platform)'을 '병·의원과 약국간의 전자처방전을 생성, 전송, 보안, 인증, 접속, 보관 및 이와 관련된 부가서비스 등을 제공할 수 있는 시스템(하드웨어, 소프트웨어 및 부대설비 등 포함)'으로 각 규정하였다(증거기록 제2474면). 나) 병·의원이 피고인 P 전자처방전 서비스에 가입하기 위해서는, 웹사이트에 접속하여 사업자번호가 중복되는지를 확인하고 위 약관에 동의한다는 내용에 체크한 다음 가입동의 버튼을 누르고 아이디, 비밀번호, 요양기관명, 요양기관번호, 사업자등록번호, 사업장 주소, 대표자 성명, 연락처, 이메일 등의 가입자 정보를 모두 입력하고 확인버튼을 누르는 과정을 거치거나(증거기록 제2491면 내지 제2494면, 제9563면, 제9564면), 전자차트 프로그램을 실행하여 나타나는 대표원장임을 확인하는 팝업창에 'Yes'를 클릭한 다음 요양기관번호와 병·의원의 명칭, 전자처방전 소개 및 이용약관(스크롤을 내려 전문을 확인할 수 있다)을 확인하고(팝업창에서는 전자처방전 소개 및 이용약관이라는 기재 아래 이용약관의 내용을 "전자처방전은 병원에서 발행되는 처방전을 전자서명을 적용하여 암호화된 전자문서로 약국에 전송할 수 있는 서비스입니다. 이로 인해 발행된 종이처방전 분실에 대한 염려가 없어지며, 안전하게 암호화되어 약국에 전달됩니다."라고 요약하여 기재하고 있다), '이용약관 동의' 체크박스에 체크한 다음 '예, 사용에 동의합니다' 버튼을 클릭하고, 전자처방전 모듈을 설치할지를 묻는 팝업창에 '예'를 클릭하는 과정을 거치게 된다(증거기록 제9560면 내지 제9562면). 다) 피고인 P 전자처방전 서비스는 AO 주식회사가 표준 암호화 알고리즘을 이용하여 개발하고 국가정보원 인증을 획득한 암호 모듈(증거기록 제3435면 내지 제3448면, 제11409면)로 처방정보를 암호화한 채 전자처방전을 발행하여 피고인 P 중계서버에 보관하였다가, 환자로부터 종이처방전을 접수한 약국의 요청에 따라 전자처방전을 해당 약국에 전송하여 약국 시스템 단계에서 처방내역을 복호화하였고(증거기록 제1018면 내지 제1022면), 위와 같이 약국에 전송한 전자처방전은 중계서버에서 곧바로 삭제하는 한편, 전송하지 않은 전자처방전이라도 의사가 종이처방전을 발행하면서 입력한 유효기간이 경과하면 곧바로 삭제하였다(증거기록 제11409면). 라) 피고인 P 전자처방전 서비스에 가입한 병·의원의 의사는 전자차트 프로그램의 환경설정 화면에서 피고인 P 전자처방전 서비스의 이용 여부를 결정하거나 피고인 P 중계서버에 보관 중인 처방정보를 삭제할 수 있었다(증거기록 제11393면). 마) 피고인 P은 약국에 전자처방전을 전송하는 대가로 1건당 50원 상당을 지급받았다. 3) 구체적 판단 위 인정사실에다가 검사와 피고인 A, B, C, P의 변호인들이 제출한 증거들에 의하여 인정되는 아래와 같은 사실 또는 사정을 보태어 보면, 피고인 P은 병·의원이 약국에 처방전을 전송하는 것을 단순히 중계하는 역할을 하였다고 봄이 상당하고, 달리 검사가 제출한 증거들만으로는 피고인 P이 민감정보를 병·의원으로부터 수집·저장·보유하거나 약국에 제공하여 처리하였음이 법관으로 하여금 합리적 의심을 배제하게 할 정도로 증명되었다고 보기 어렵다. 가) 개인정보 보호법 제2조 제2호는 "'처리'란 개인정보의 수집, 생성, 연계, 연동, 기록, 저장, 보유, 가공, 편집, 검색, 출력, 정정, 복구, 이용, 제공, 공개, 파기, 그 밖에 이와 유사한 행위를 말한다."고 규정하고, 같은 조 제5호는 "'개인정보처리자'란 업무를 목적으로 개인정보파일을 운용하기 위하여 스스로 또는 다른 사람을 통하여 개인정보를 처리하는 공공기관, 법인, 단체 및 개인 등을 말한다."고 규정하고 있다. 그리고 개인정보 보호법이 제정되면서 폐지된 구 공공기관의 개인정보보호에 관한 법률(이하 '구 공공기관 개인정보법'이라 한다) 제2조 제3호, 같은 법 시행령 제3조 제2호에 따르면, 구 공공기관 개인정보법이 처벌하는 개인정보의 '처리'는 컴퓨터·폐쇄회로 텔레비전 등 정보의 처리 또는 송·수신 기능을 가진 장치를 사용하여 정보를 입력·저장·편집·검색·삭제 또는 출력하거나 기타 이와 유사한 행위를 가리키고 문서 또는 도면의 내용을 전기통신의 방법으로 전달하기만 하는 등의 단순 업무처리를 위한 행위는 제외되었다. 행정안전부도 2011. 12. 발간한 개인정보보호법령 및 지침·고시 해설에서 "다른 사람이 처리하고 있는 개인정보를 단순히 전달, 전송 또는 통과만 시켜주는 행위는 처리에 해당하지 않는다. 예컨대 우편배달사업자나 인터넷서비스제공자는 다른 사람의 개인정보를 단순히 전달 또는 전송하는 업무만 담당하게 되는데 이 때 우편배달사업자 등의 전달 또는 전송행위는 개인정보의 처리로 보지 않는다."고 기재(위 해설서 제10면)하였다. 위와 같이 관계 법령의 문언과 소관청의 해석방법 등을 고려하면, 개인정보를 전달·전송하는 행위가 개인정보 보호법상 개인정보의 처리에 해당한다고 해석하기는 어렵다. 나) 한편 의료법 제18조 제1항은 '의사가 환자에게 의약품을 투여할 필요가 있다고 인정하면 약사법에 따라 자신이 직접 의약품을 조제할 수 있는 경우가 아닌 한 보건복지부령으로 정하는 바에 따라 처방전을 작성하여 환자에게 내주거나 전자처방전을 발송하여야 한다'고 규정하고 있다. 그리고 의료법 시행규칙 제12조 제2항은 '의사는 환자에게 처방전 2부를 발급하여야 하고, 다만 환자가 그 처방전을 추가로 발급하여 줄 것을 요구하는 경우에는 환자가 원하는 약국으로 팩스·컴퓨터통신 등을 이용하여 송부할 수 있다'고 규정하고 있다. 위 시행규칙 조항은 2000. 7. 1.경 의약분업 제도의 시행을 앞두고 2000. 6. 13. 보건복지부령 제152호로 개정하면서 신설한 구 의료법 시행규칙 제15조 제2항과 거의 같은 내용으로서 그 본문에서 처방전을 약국 제출용 외에 환자 보관용까지 2부를 발급하게 함으로써 환자의 알 권리를 보장하고, 단서에서 추가로 환자가 처방전 발급을 요구할 수 있는 근거를 마련한 취지로 이해되는바, 그와 반대로 의사가 환자의 요구 없이 특정 약국에 처방전을 송부하는 것은 약사법 제24조 제2항 제5호, 약사법 시행령 제24조 제1항 제4호의 유사담합행위에 해당할 여지가 있으나, 이미 환자가 해당 약국에 같은 내용의 종이처방전을 접수한 상황이라면 의사가 환자 요구 없이 추가로 처방전을 전송하더라도 약국과 담합하였다고 보기는 어려우므로, 환자의 요구가 없더라도 의사는 환자가 이용하려는 약국으로 처방전을 송부할 수 있다. 그리고 위 시행규칙 내용이 전자처방전 제도가 입법화되기 전에 신설된 것이기는 하나, 컴퓨터통신 등을 이용한 전자적인 방식으로 처방전을 송부할 수 있도록 규정하고 있으며, 환자에게 발급하는 처방전을 종이처방전으로 한정해석할 근거가 없으므로 전자처방전 형태로도 발급할 수 있다. 결국 피고인 P의 전자처방전 서비스는 이용자인 병·의원이 환자가 지정한 약국으로 전자처방전을 직접 전송하여 약국 제공용 처방전을 발급한 것이라고 못 볼 바 아니다. 다) 앞서 살펴본 바와 같이 피고인 P 전자처방전 서비스 이용자는 전자차트 프로그램을 통하거나 웹사이트에 접속하여 가입하는 과정에서 의사가 발행하는 처방전이 암호화된 전자문서 형태로 환자가 지정하는 약국에 전송된다는 사실을 고지받게 되므로 본인의 의사에 반하여 가입이 이루어졌다는 등의 특별한 사정이 없는 한 위와 같은 전자처방전 발행 및 전송에 동의한 것으로 볼 수밖에 없고, 일부 의사들은 검찰 참고인조사 과정 또는 이 법정에 증인으로 출석하여 '문전 약국의 요청에 따라 차트업체 측에 피고인 P에서 운영하는 전자처방전 서비스 프로그램의 설치를 요구하였다'거나 '가입 안내 팝업창을 보고 가입에 동의하였다'는 취지로 진술하여 전자처방전을 약국에 전달하려는 의사가 있었음을 분명히 밝힌 바 있다(증인 AP, AQ의 각 법정진술, 증거기록 제13106면 내지 제13108면, 제14180면, 제14184면, 제14192면). 그리고 설령 위 과정 중에 처방정보가 피고인 P 중계서버에 일시 저장된다는 사실을 몰랐다 하더라도 이는 다른 도관사업자들의 경우에도 마찬가지여서 그와 같은 사정만으로는 의사들이 약국에 처방정보를 전달한다는 의사가 없었다고 단정할 수 없다. 라) 피고인 P은 병·의원으로부터 전송되는 처방정보를 암호화된 상태로 일시 보관하다가 그대로 약국에 전송하였으므로 내용을 지득하지 못하였고, 그 처방정보를 활용목적에 맞게 정보주체인 환자의 의약품 조제를 위한 용도로 해당 약국에 전달하는 이외에 다른 용도로 사용할 목적이 있었다고 볼만한 자료를 찾아보기 어려우며, 중계서버에의 저장 역시 처방정보를 전달하기 위한 방편에 지나지 않는다. 게다가 의료법 시행규칙 제12조 제2항 단서에 따라 병·의원이 약국에 전자처방전을 전송하는 경우에도 이메일 등 컴퓨터통신을 사용함에 따라 정보를 전송하는 중계자가 필요하고, 정보의 전송을 중계하는 자의 중계서버에 정보가 저장되는 것이 불가피하다. 위와 같은 사정에 비추어 피고인 P은 병·의원과 약국 사이에서 전자처방전을 전달하였을 뿐이라고 봄이 상당하고, 위와 같이 암호화된 상태의 처방정보가 민감정보에 해당한다고 보기도 어렵다. 마) 설령 일부 의사들이 처방정보 전송에 관한 내용을 정확하게 인식하지 못하였다거나 피고인 P이 의사들로부터 종이처방전에 기재된 처방정보를 약국으로 전송하는 동의를 포괄적으로 받았다거나 그 동의 절차에 다소 미진한 점이 있다거나 피고인 P이 처방정보 전송사업을 주도하였다는 등의 사정이 있더라도, 그것만으로는 의사들이 약사에게 처방정보를 전송할 의사가 없음에도 피고인 P이 처방정보를 불법적으로 탈취하여 약사들에게 제공하였다고 단정하기 어렵다. 바) 민감정보의 경우 위탁자가 정보주체로부터 동의를 받아야 하는 경우에는 다른 개인정보와 별도로 동의를 받아야 한다는 등의 제한이 있을 뿐이고, 위탁자가 적법하게 민감정보를 처리할 수 있는 범위 내(의사는 의료법 등 관계 법령에 따라 직무상 환자들의 개인정보를 처리하게 된다)에서는 수탁자도 정보주체로부터 별도의 동의를 받을 필요 없이 위탁자의 위탁에 따라 민감정보를 처리할 수 있다고 보아야 하고, 이와 달리 검사가 주장하는 바와 같이 민감정보는 처리 수탁이 금지된다거나 위탁자와 별도로 정보주체로부터 동의를 받아야 한다고 볼만한 근거가 부족하다. 라. 피고인 P 측이 전자처방전 정보를 탐지하였는지 여부 1) 피고인 A, B, C, P과 변호인 주장의 요지 의료법 제18조 제3항이 금지하는 '탐지'란 행위자가 전자처방전에 저장된 개인정보에 접근하고 나아가 그 내용을 알아내는 행위를 의미한다고 할 것인데, 피고인 P은 병·의원으로부터 처방전 정보를 암호화된 상태로 전송받아 중계서버에 일시 보관하다가 약국으로 전송하여 약국 시스템 단계에서야 복호화되도록 하였으므로, 피고인 A, B, C, P은 처방전 정보의 내용을 지득할 수 없었는바, 위 피고인들이 전자처방전에 담긴 개인정보를 탐지하였다고 볼 수 없다. 2) 구체적 판단 가) 의료법이 처벌대상으로 하는 '탐지'가 그 내용까지 지득할 것을 요하는지 여부 죄형법정주의는 국가형벌권의 자의적인 행사로부터 개인의 자유와 권리를 보호하기 위하여 죄와 형을 법률로 정할 것을 요구하고, 이로부터 파생된 유추해석금지의 원칙은 성문의 규정은 엄격히 해석되어야 한다는 전제 아래 피고인에게 불리하게 성문규정이 표현하는 본래의 의미와 다른 내용으로 유추해석하거나 확장해석하는 것을 금지하고 있다(대법원 1992. 10. 13. 선고 92도1428 전원합의체 판결 등 참조). 의료법에서는 전자처방전에 저장된 개인정보를 탐지하는 행위를 범죄로 규정하면서도 그 구성요건의 주된 요소인 탐지 행위에 대한 정의규정을 별도로 두고 있지 않으므로 그 의미를 위와 같은 죄형법정주의의 틀 안에서 밝혀야 할 것이다. 일반적인 법률 해석의 외연은 문리해석이고, 이는 대개 처벌규정의 수범자들인 일반인들이 일상생활에서 말의 의미를 찾는 국어사전의 정의에서 출발한다. 이에 의할 경우 탐지(探知)의 사전적 의미는 보통 "드러나지 않은 사실이나 물건 따위를 더듬어 찾아 알아냄"으로 풀이된다. 한편 국가보안법은 국가기밀을 탐지한 경우뿐만 아니라 수집, 누설, 전달, 중개한 경우까지 처벌하는 규정을 별도로 두고 있고, 탐지된 국가기밀이 특정한 목적을 위하여 한정된 사람에게만 지득(知得)이 허용된 것이냐 여부에 따라서 형을 달리 정하고 있다(국가보안법 제4조 제1항 제2호). 대법원도 '간첩행위는 기밀에 속한 사항 또는 도서, 물건을 탐지·수집한 때에 기수가 되는 것이므로 간첩이 이미 탐지·수집하여 지득하고 있는 사항을 타인에게 보고·누설하는 행위는 간첩의 사후행위로서 위 조항에 의하여 처단의 대상이 되는 간첩행위 자체라고 할 수 없다(대법원 1982. 2. 23. 선고 81도3063 판결 등 참조)'고 판시하였는바, 탐지가 '지득(知得)', 즉 그 내용을 알아낼 필요가 있다고 판단한 것으로 보인다. 위와 같은 '탐지'의 의미에 관한 사전적 의미, 다른 법률의 문인과 대법원의 해석 등을 위 항에서 살펴본 법리에 비추어 보면, 의료법 제18조 제3항의 '탐지'라 함은 전자처방전의 개인정보를 찾아 그 내용을 알아내는 행위를 의미한다고 보아야 한다. 나) 피고인 P 측이 전자처방전에 저장된 개인정보를 탐지하였는지 여부 피고인 P 측이 병·의원으로부터 전송되는 처방정보를 암호화된 상태로 일시 보관하다가 그대로 약국에 전송하였을 뿐 그 내용을 지득하지 못하였음은 제1의 다. 3) 라)항에서 살펴본 바와 같은바, 위 가)항 기재 법리에 비추어 피고인 P이 전자처방전에 담긴 개인정보를 탐지하였다고 단정하기 어렵고, 달리 검사가 제출한 증거들만으로는 피고인 P 측이 전자처방전에 저장된 개인정보를 탐지하였음이 법관으로 하여금 합리적 의심을 배제하게 할 정도로 증명되었다고 보기 어렵다. 마. 피고인 P 측이 전자처방전 정보를 누출하였는지 여부 1) 피고인 A, B, C, P과 변호인들의 주장 처방전 정보의 누출은 그 처방전 정보를 확보하지 못한 자에게 처방전 정보를 전달하는 것을 의미하므로, 피고인 P 측이 의사들이 발행한 처방전의 내용과 동일한 전자처방전을 약사들에게 전송한 것을 누출이라고 볼 수 없다. 2) 구체적 판단 가) 개인정보 보호법 제71조 제5호, 제59조 제2호는 업무상 알게 된 개인정보를 누설하는 행위를 처벌하도록 규정하고 있다. 여기에서 '누설'은 아직 이를 알지 못하는 다른 사람에게 알려주는 일체의 행위를 말한다(대법원 2015. 7. 9. 선고 2013도13070 판결, 대법원 2016. 10. 27. 선고 2016도8585 판결 등 참조). 의료법 제18조 제3항은 전자처방전에 저장된 개인정보를 '누출'하는 행위를 처벌하도록 규정하고 있는데, 의료법의 '누출'도 이를 알지 못하는 다른 사람에게 알려주는 행위를 말한다고 보아야 한다. 나) 검사와 피고인 A, B, C, P의 변호인들이 제출한 증거에 의하면, 피고인 P은 의사들이 종이처방전을 발행할 때 종이처방전에 기재된 정보와 동일한 내용의 처방정보를 중계서버로 전송하면서 종이처방전의 하단에 바코드가 출력되도록 하였고, 약사들이 환자들이 가져온 종이처방전을 접수한 다음 그 하단의 바코드를 입력하는 방법으로 피고인 P에 전자정보의 전송을 요청하면, 피고인 P은 환자들로부터 교부받은 종이처방전과 동일한 내용의 처방정보를 해당 약국에 전송한 사실이 인정된다. 다) 위 인정사실을 앞서 본 법리에 비추어 보면, 환자가 종이처방전을 제시한 약국으로 피고인 P이 전송한 처방정보는, 이미 환자가 약국에 제시한 종이처방전에 기재된 것과 동일한 내용이므로, 피고인 P이 약국에서 이미 보유하고 있는 종이처방전의 내용과 동일한 처방정보를 단지 전자적 방식으로 약국에 전송한 행위를 전자처방전에 담긴 개인정보를 누출한 것이라고 단정하기 어렵고, 달리 검사가 제출한 증거들만으로는 피고인 P이 전자처방전에 저장된 개인정보를 누출하였음이 법관으로 하여금 합리적 의심을 배제하게 할 정도로 증명되었다고 보기 어렵다. 바. 결론 따라서 피고인 A, B, C, P에 대한 이 부분 각 공소사실은 범죄사실의 증명이 없는 경우에 해당하므로, 형사소송법 제325조 후단에 의하여 위 피고인들에게 각 무죄를 선고하고, 형법 제58조 제2항에 의하여 피고인 A, B, C, P에 대한 판결 중 위 각 무죄 부분의 요지를 공시한다. 2. 피고인 F에 대한 공소사실 중 별지 범죄일람표 기재 각 처방정보 관련 개인정보보호법위반방조의 점(이하 '이 부분 공소사실'이라고 한다)에 관한 판단 가. 이 부분 공소사실의 요지 피고인 F은 공동피고인 E(이하 공동피고인 E가 당해 피고인이 아닌 경우에는 'E'라고만 한다)의 뒤를 이어 2013. 6.경부터, 의사들이 진료한 내역을 저장하는 전자차트 프로그램 'AR' 및 약국 운영관리 프로그램인 'AS' 등을 판매하고 유지보수하며 병·의원, 약국을 상대로 의료기기, 의료소모품, 의약품 중개 업무를 하면서 그 과정에서 환자 진료정보 데이터를 취급하고 있는 T의 대표이사로 근무하면서 T의 환자진료정보 데이터 수집 및 처리 등을 총괄한 사람이다. 피고인 F은 T의 대표이사로서 업무를 수행하며 P 전자처방전 서비스가 구축됨을 기화로, 2013. 12. 10.경부터 2014. 11. 27.경까지 T가 병·의원에 제공하는 전자차트 프로그램 'AR'에 P 중계서버로 전자처방전을 전송하는 기능이 내재된 'AK' 모듈을 설치하고, 피고인 P으로부터 위 프로그램 설치건당 고객 모집 및 유지 수수료를 받았다. 피고인 F은 위와 같이 T가 병원에 제공하는 전자차트 프로그램에 P 중계서버로 전자처방전을 전송하는 기능이 내재된 모듈을 설치하여, 피고인 P, A 등이 2013. 12. 10.경 정보주체인 환자들의 동의나 법령의 근거 없이 AT생 여성 환자 AU이 AV의원에서 2013. 12. 10.경 진료를 받았다는 내용 및 위 환자에 대하여 해당 병원에서 발행한 처방전 문서 파일(암호화) 등을 비롯한 민감정보를 P 중계서버에 전송하여 저장하는 것을 용이하게 한 것을 비롯하여 그때부터 2014. 11. 27.경까지 별지 범죄일람표 기재와 같이 P, 공동피고인 A(이하 공동피고인 A이 당해 피고인이 아닌 경우에는 'A'이라고만 한다) 등이 정보주체인 환자들의 동의나 법령의 근거 없이 처방정보 269,299건을 위 P 중계서버로 전송하여 저장하는 것을 용이하게 하였다. 이로써 피고인 F은 피고인 P, A 등이 법령의 근거 또는 환자들의 동의 없이 민감정보인 처방정보 269,299건을 처리하는 것을 방조하였다. 나. 구체적 판단 앞서 제1의 다. 3)항에서 살펴본 바와 같이 본범인 피고인 A, B, C, P에 대하여 범죄의 증명이 없으므로, 이들의 범행을 방조하였다는 이 부분 공소사실이 검사가 제출한 증거만으로는 법관으로 하여금 합리적 의심을 배제하게 할 정도로 증명되었다고 보기 어렵다. 다. 결론 따라서 피고인 F에 대한 이 부분 공소사실은 범죄사실의 증명이 없는 경우에 해당하므로, 형사소송법 제325조 후단에 의하여 위 피고인에게 무죄를 선고하고, 형법 제58조 제2항에 의하여 피고인 F에 대한 판결 중 위 무죄 부분의 요지를 공시한다. 3. 피고인 E에 대한 공소사실 중 별지 범죄일람표 의 순번 1 내지 300,000 기재 각 처방정보 및 별지 범죄일람표 의 순번 1 내지 23,000 기재 각 진료정보 관련 각 개인정보보호법 위반방조의 점과 피고인 F에 대한 공소사실 중 별지 범죄일람표 의 순번 163,862,713 내지 164,392,712 기재 각 처방정보 및 별지 범죄일람표 의 순번 7,464,821 내지 7,479,820 기재 각 진료정보 관련 각 개인정보보호법위반방조의 점(이 하 '이 부분 각 공소사실'이라고 한다)에 관한 판단 가. 이 부분 각 공소사실의 요지 1) 피고인 E 피고인 E는 2009. 10.경부터 2013.6경까지 T의 대표이사로서 업무를 수행하며 2010. 11.경 의료정보시스템 개발업체로서 요양급여 사전심사청구 프로그램 등을 병·의원에 공급하는 등의 업무를 하는 주식회사 AW(이하 'AW'라고 한다) 및 AW 대표이사 AX, 개발팀장 AY 등과 'AR'이라는 전자차트 프로그램(EMR)을 사용하는 병·의원에 실시간 심사점검 솔루션('AR' 사용고객을 대상으로 요양급여 심사청구 전 점검서비스와 진료 의사결정 서비스를 패키지 형태로 판매하는 결합상품, 일명 'AZ', 이하 'AZ'라고만 한다)을 판매하는 협력 사업을 계약하고 나서, 2012. 1.경부터 2014. 12.경까지 'AR' 전자차트 프로그램을 사용하는 병·의원의 전자차트 프로그램 'AR'에 의사가 건강보험심사평가원에서 발표한 심사지침에 맞게 적절하게 진료하는지 여부를 알려주는 'AZ' 프로그램을 탑재하는 방식으로 위 프로그램을 설치하기로 하였다. 가) 심사점검 솔루션 관련(M, N) 처방정보 불법 처리 피고인 E는 위와 같이 병·의원에 위 실시간 심사점검 솔루션이 구축됨을 기화로, 병·의원에서 위 실시간 심사점검 솔루션을 이용하여 환자들의 진료할 경우에 생성되는 환자들의 처방정보(요양기관코드, 환자들의 주민등록번호, 입원·진료일자, 진료과, 약물코드, 약물명, 처방일자, 처방일수, 복용량 등) 및 환자들의 진료정보(요양기관코드, 환자들의 성명, 주민등록번호, 입원·진료일자, 진료과, 진료의사 이름 등)를 AW 데이터베이스(이하 'DB'라고만 한다) 서버로 전송하여 저장·보유하되, 이러한 사실을 병·의원 관계자 및 정보주체인 환자들에게 알리지 않는 방법으로 AW가 무단으로 해당 정보를 전송받아 저장·보유하는 것을 돕기로 하였다. 피고인 E는 위와 같이 T가 병·의원에 제공하는 전자차트 프로그램에 AW DB서버로 환자들의 처방정보 및 진료정보를 전송하는 기능을 추가하여 AW, AX 등이 2012. 1. 2.경 정보주체인 환자의 동의나 법령의 근거 없이 BA생 여성 환자 BB이 BC의원에서 가정의학과 진료를 받고 BTS당검사(반정량)를 처방받았다는 내용의 민감정보를 AW DB서버에 전송하여 저장하는 것을 용이하게 하였다. 이를 비롯하여 피고인 E는 AW, AX 등이 2012. 1. 2.경부터 2012. 1. 14.경까지 범죄일람표 의 순번 1 내지 300,000 기재와 같이 51개의 병·의원으로부터 건강보험심사평가원 심사기준에 맞는 요양급여 비용을 청구하기 위하여 실시간으로 위 실시간 심사점검 솔루션을 이용하여 병·의원에서 처리하는 환자들의 처방정보 300,000건을 환자들의 동의를 받지 아니하고 의사들의 위탁범위를 초과하여 임의로 AW DB서버로 무단 전송토록 하여 AW가 민감정보를 수집·저장·보유하는 것을 도왔다. 나) 심사점검 솔루션의 사전점검 메뉴 관련(O) 진료정보 불법 처리 피고인 E는 AW, AX 등이 위 실시간 심사점검 솔루션을 사용하는 병·의원들이 건강보험심사평가원에 요양급여비용을 청구하기 전에 실시간 심사점검 솔루션에서 제공하는 사전점검 메뉴(e-IRS)를 사용하므로 AW DB서버에 전송되는 전자문서 교환 파일(Electronic Data Interchange, 이하 'EDI 파일'이라고 한다)에 포함된 환자들의 성명, 주민등록번호, 의료보험증번호 등 환자들의 개인정보와 의사의 코드, 면허번호, 상병, 약물코드, 복용량, 처방일수, 처방전 교부번호, 진료일자 등 환자 진료정보 및 처방내역정보를 무단으로 전송받아 이를 보유하는 것을 돕기로 하였다. 피고인 E는 위와 같이 T가 병원에 제공하는 전자차트 프로그램에 사전점검 메뉴를 사용하는 기능을 설치하여, AW, AX 등이 2011. 10. 1.경 정보주체인 환자의 동의나 법령의 근거 없이 BD생 남성 환자 BE(의료보험증번호 BF)이 2011. 9. 5.경 BG내과의원에서 진료를 받았다는 내용 등의 민감정보를 AW DB서버에 전송하여 저장하는 것을 용이하게 하였다. 이를 비롯하여 피고인 E는 2011. 10. 1.경부터 2011. 11. 5.경까지 범죄일람표 의 순번 1 내지 23,000 기재와 같이 10개의 병·의원으로부터 건강보험심사평가원에 요양급여 비용을 청구하기 위한 EDI파일을 진료의사나 환자들의 동의를 받지 아니하고 임의로 AW DB서버로 전송하여, AW가 환자별 진료정보 23,000건을 수집·저장·보유하는 것을 도왔다. 다) 소결론 이로써 피고인 E는 AW, AX 등이 법령상 근거 또는 환자들의 동의 없이 민감정보인 진료정보 및 처방정보 합계 323,000건을 처리하는 것을 각 방조하였다. 2) 피고인 F 가) 심사점검 솔루션 관련(M, N) 처방정보 불법 처리 피고인 F은 E의 후임 대표이사로서 업무를 수행하며 AW, AX 등이 2014. 11. 29.경 정보주체인 환자의 동의나 법령의 근거 없이 BH생 남성 환자 (영문치환명 BI)이 2014. 11. 29.경 BJ내과의원에서 내과 진료를 받고 y-GTP(원내)를 처방받았다는 내용의 민감정보를 AW DB서버에 전송하여 저장하는 것을 용이하게 하였다. 이를 비롯하여 피고인 F은 그때부터 2014. 12. 31.경까지 범죄일람표 의 순번 163,862,713 내지 164,392,712 기재와 같이 480개의 병·의원으로부터 건강보험심사평가원 심사기준에 맞는 요양급여 비용을 청구하기 위하여 실시간으로 위 실시간 심사점검 솔루션을 이용하여 병·의원에서 처리하는 환자들의 처방정보 530,000건을 환자들의 동의를 받지 아니하고 의사들의 위탁범위를 초과하여 임의로 AW DB서버로 무단전송하여 AW가 민감정보를 수집·저장·보유하는 것을 도왔다. 나) 심사점검 솔루션의 사전점검 메뉴 관련(O) 진료정보 불법 처리 피고인 F은 T가 병원에 제공하는 전자차트 프로그램에 사전점검 메뉴를 사용하는 기능을 설치하여 AW, AX 등이 2014. 12. 1.경 정보주체인 환자의 동의나 법령의 근거 없이 BK생 남성 환자 (영문치환명 BL, 의료보험증번호 BM)이 2014. 11. 18.경 BN이비인후과에서 진료를 받았다는 내용 등의 민감정보를 AW DB서버에 전송하여 저장하는 것을 용이하게 하였다. 이를 비롯하여 피고인 F은 2014. 12. 1.경 범죄일람표 의 순번 7,464,821 내지 7,479,820 기재와 같이 8개의 병·의원으로부터 건강보험심사평가원에 요양급여 비용을 청구하기 위한 EDI파일을 진료의사나 환자들의 동의를 받지 아니하고 임의로 AW DB서버로 전송하여, 환자별 진료정보 15,000건을 수집·저장·보유하는 것을 도왔다. 다) 소결론 이로써 피고인 F은 AW, AX 등이 법령상 근거 또는 환자들의 동의 없이 민감정보인 진료정보 및 처방정보 합계 545,000건을 처리하는 것을 방조하였다. 나. 피고인 E, F과 변호인들의 주장 AW가 개인정보 보호법 시행 이후 AZ 프로그램의 환자정보, 처방정보 및 EDI 파일을 AW 서버로 수집·저장·보유한 부분은 개인정보처리자인 병·의원으로부터 민감정보의 처리에 대한 위탁을 받은 것이고, 이와 같이 환자정보를 위탁받는 경우에는 정보주체인 환자들의 동의가 필요하지 않다. 다. 구체적 판단 1) 개인정보의 위탁에 해당하는지 여부 가) 개인정보의 '제3자 제공'은 '제공받는 자'의 목적을 위하여 개인정보가 제공되는 경우로, '제공하는 자'의 사무처리를 위한 개인정보의 '타인 위탁'과 구별되어야 한다(대법원 2011. 7. 14. 선고 2011도1960 판결 등 참조). 행정안전부에서 2011. 12. 발간한 개인정보보호법령 및 지침·고시 해설에서도 "개인정보의 제3자 제공이란 개인정보를 제공받는 제3자의 목적·이익을 위하여 개인정보를 제3자에게 제공하는 것인 반면, 업무 위탁이란 개인정보처리자 자신의 목적·이익을 위하여 개인정보를 제3자에게 제공하는 것"이라고 구별하고 있다(위 해설서 제92면). 나) 결국 개인정보의 제공과 위탁은 둘 다 개인정보가 다른 사람에게 이전된다는 측면에서는 외관상으로 유사하나 개인정보의 이전 목적, 이전된 개인정보에 대한 지배권 유무, 이전받은 개인정보의 이용·제공 범위, 관리·감독의무 유무, 이전 방법 및 절차 등에 있어서 차이가 있다. 위탁은 위탁자 본인의 이익과 목적을 위해 개인정보가 이전되고 이전되는 개인정보에 대한 지배·관리권이 여전히 위탁자에게 남아 있으나, 제공은 제공받는 자의 목적과 이익을 위해 개인정보가 이전되고 이전된 개인정보에 대한 지배·관리권이 제공받는 자에게로 이전한다. 따라서 수탁자는 위탁업무의 범위 내에서만 개인정보를 이용·제공할 수 있고, 개인정보 처리에 있어서 위탁자의 지휘·감독을 받게 되며, 수탁자의 개인정보 유출·오남용에 대해서는 위탁자도 책임을 져야 한다. 이와 달리 개인정보를 제공받는 자는 자신의 이익을 위해서 개인정보를 이용·제공하게 되고, 개인정보 처리에 있어서 제공한 자의 지시·감독을 받지 아니하며, 개인정보 유출·오남용에 대해서도 제공받은 자만 책임을 지고 제공한 자는 원칙적으로 책임을 지지 않는다. 결국 개인정보의 위탁과 제3자 제공을 구별하기 위하여는 개인정보를 주고받은 주체들 사이에 위탁의사가 있었는지 여부 및 업무위탁 관련 계약이 있었는지 여부뿐만 아니라 개인정보 이전이 누구의 이익을 위한 것인지, 이전된 개인정보에 대한 지배·관리권을 누가 가지고 있는지, 개인정보를 이전받은 사람이 개인정보를 이용할 수 있는 범위는 어디까지인지를 종합적으로 고려하여 판단하여야 한다. 다) 검사와 피고인 E, F의 변호인들이 제출한 증거들에 의하여 인정되는 아래와 같은 사정들을 위와 같은 법리에 비추어 보면, 의사들이 자신들의 사무인 건강보험심사평가원에 대한 요양급여비용의 청구 전에 그 내용을 점검하는 업무를 AW에 위탁(또는 BO이나 T를 통하여 위탁)한 것이라고 보인다. 국민건강보험법 제47조 제1항에 따라 요양기관은 국민건강보험공단에 요양급여비용의 지급을 청구할 수 있고, 같은 조 제2항에 따라 요양기관은 위와 같이 요양급여비용을 청구하기 위하여는 건강보험심사평가원에 요양급여비용의 심사청구를 하여야 한다. 결국 건강보험심사평가원에 요양급여비용을 청구하기 전에 그 내용을 점검하는 것은 의사 또는 병·의원의 업무에 해당하고, 병·의원에서 요양급여비용의 청구를 적절히 하기 위하여 이를 점검하는 업무를 AW에 위탁한 것으로 볼 수 있다. AZ 프로그램과 관련하여, T는 자신의 전자차트 프로그램인 AR과 AW의 사전점검 프로그램인 AZ 또는 X의 사전점검 프로그램인 스마트체크를 연동시키는 사업을 추진하였고(증거기록 제2664면 내지 제2672면, 제2892면 내지 제2894면), AR을 이용하는 병·의원 중에서 사전점검 프로그램을 이용하고자 하는 병·의원은 AW의 AZ 프로그램과 X의 스마트체크 프로그램 중 하나를 직접 선택하여 사용할 수 있었던 점, 병·의원은 T와 '사전점검솔루션 가입신청서'를 작성하고 '사전점검솔루션 이용약관'에 동의하였는데, 사전점검솔루션 이용약관 제11조 2. 나.에서는 "회원(병·의원)은 AR 연계제품 등 사용 시 개인정보보호 법령에 따른 위탁업무 등에 대한 공개의무를 개별적으로 부담하고…"라고 명시하였고, 제12조 에서는 "제작사(AW 또는 X)는 의료법, 정보통신망 이용촉진 및 정보보호 등에 관한 법률(이하 '정보통신망법'이라고 한다) 등의 법률에 위반하지 않는 범위 내에서 제품의 제공을 위한 목적으로 회원(병·의원)으로부터 개인정보, 처방정보를 탐지할 수 있고…"라고 명시한 점(증거기록 제11832면), AZ 프로그램을 설치할 당시 화면에 "AW 사전점검 솔루션 설치"라고 표시되었고, 라이센스 계약에 대한 동의창에는 'AW 소프트웨어 사용 계약서를 읽어보라'는 취지의 문구가 기재되어 있어 병·의원은 'AW'가 제공하는 프로그램을 사용한다는 사실을 알 수 있었을 것으로 보이는 점(증거기록 제 13624면, 피고인 AX, AY, AW의 변호인들이 제출한 증 제49호), 인터넷이 설치되어 있어야만 AZ 프로그램을 이용할 수 있었고, T에서는 AW의 서버 교체로 AZ 프로그램을 통한 사전점검이 진행될 수 없다고 고지하기도 한 점, AZ 프로그램을 이용할 때 병·의원의 의사들은 사전점검을 원하는 파일을 선택한 후 '접수' 버튼을 누르고, 점검이 완료되면 진행상태창에 '심사 완료'라고 표시되며, 심사 완료 결과를 보기 위하여 '수신받기'를 클릭하면 '점검 내용을 다운로드 중입니다'라는 창이 뜨고 다운로드가 완료되는 경우 '다운로드를 완료하였습니다'라는 확인창이 뜬 뒤 진행상태창에 '다운로드 완료'라고 표시되는 점(증거기록 제13627면, 제13628면), AR과 연계된 AW의 AZ 프로그램뿐만 아니라 X의 스마트체크 프로그램도 병·의원 외부로 데이터를 전송하여 사전점검을 작업을 수행하는 점(증인 BU의 법정진술) 등에 비추어 보면, AZ 프로그램을 사용하는 병·의원에서는 개인정보가 외부 서버에 저장된다는 사실을 몰랐다고 단정하기 어렵고, 적어도 AW가 개인정보의 처리를 위탁받는다는 점은 알았다고 보인다. 개인정보처리자인 병·의원은 요양급여비용을 청구할 때 건강보험심사평가원으로부터 요양급여비용을 삭감당하는 것을 막기 위하여, 즉 병·의원의 이익을 위하여 AZ 프로그램을 이용하였고, 위 프로그램을 이용하기 위하여 AW와 사업제휴계약을 체결한 T에 프로그램 사용료를 병·의원의 비용으로 지급하였으며, T는 AZ 프로그램을 통하여 발생한 매출의 일부를 계약에 따라 AW에 지급하였다(증거기록 제2694면 내지 제2825면, 제2850면, 제2904면 내지 제2914면, 제2942면, 제3073면 내지 제3081면, 제3083면, 제3087면 내지 제3421면). 설령 일부 병·의원에서 AW의 서버에 환자정보가 저장된다는 사실을 알지 못했다거나 AW가 병·의원으로부터 개인정보의 처리를 수탁받는 과정에서 필요한 조치를 미흡하게 하였더라도 그와 같은 이유만으로 병·의원과 AW 사이에 위수탁관계가 인정될 수 없다고 보기 어렵다(개인정보 보호법 제26조 제1항 내지 제3항을 위반한 것이 문제될 수 있으나 개인정보 보호법 제26조 제1항 내지 제3항을 위반한 경우 형사처벌이 아닌 과태료 부과 대상이 될 뿐이고, 개인정보 보호법은 개인정보의 처리를 위탁하는 경우 필요한 조치를 취할 책임을 대부분 위탁자에게 부과하고 있어서 위 각 항을 위반한 경우 행정벌을 받는 주체도 수탁자가 아닌 위탁자뿐이다). 2) 민감정보를 위탁하는 것이 가능한지 여부 가) 구 의료법 시행규칙(2016. 2. 5. 보건복지부령 제395호로 개정되기 전의 것) 제16조는 "법 제23조 제2항에 따라 의료인이나 의료기관의 개설자가 전자의무기록을 안전하게 관리·보존하기 위하여 갖추어야 할 장비는 다음 각 호와 같다. 1. 전자의무기록의 생성과 전자서명을 검증할 수 있는 장비 2. 전자서명이 있은 후 전자의무기록의 변경 여부를 확인할 수 있는 장비 3. 네트워크에 연결되지 아니한 백업저장시스템"이라고 규정하고 있고, 보건복지부는 의료 관계 법령을 근거로 전자의무기록 등을 의료기관 외부에 저장하면 위법하다고 유권해석을 하였다(증거기록 제146면). 나) 그러나 검사와 피고인 E, F의 변호인들이 제출한 증거들에 의하여 인정되는 아래와 같은 사정들을 종합하면, 의료 관계 법령의 규정 내용에 따라 개인정보 보호법에 의하여 민감정보를 위탁하는 것까지 금지된다고 해석하기는 어렵다. 개인정보 보호법에서 민감정보 위탁을 금지하는 명문의 근거규정이 없고[보건복지부에서는 의료 관계 법령을 근거로 전자의무기록 등을 의료기관 외부에 저장하면 위법하다고 유권해석을 하면서도 의료법상 명시적인 금지규정이 없는 점을 확인하고 있다(증거기록 제144면, 제146면)], 민감정보라고 하더라도 개인정보처리자가 수행하는 업무의 다양성, 정보처리 업무의 전문성 등을 고려할 때 위탁자가 자신의 사무를 수탁자를 통하여 처리할 필요도 있으므로, 민감정보의 위탁이 전면적으로 금지되어야 한다고 보기 어렵다. 행정안전부에서 발간한 개인정보보호법령 및 지침·고시 해설에서는 "의료법 등에 따른 전자처방전, 전자의무기록 등의 공유·제공을 위해 관리업체를 활용하는 것은 서비스 제공에 관한 계약을 이행하기 위해 필요한 개인정보 취급위탁에 해당하므로 별도의 동의 획득 없이 정보주체에 대하여 공개하여야 하며, 위탁업무 중 홍보·판매업무가 포함되어 있는 경우 정보주체에게 통지하여야 한다."라고 기재하여(위 해설서 제189면), 민감정보의 위탁이 가능하다는 전제에서 의료기관이 관리업체를 활용하는 것이 가능하다고 설명하고 있다. 검사는 의료법 시행규칙에 따라 병·의원의 외부로 환자정보, 처방정보를 반출하거나 저장할 수 없으므로 개인정보 보호법의 민감정보도 위탁할 수 없다고 주장하나, 법률인 개인정보 보호법에 민감정보 위탁을 금지하는 명문의 근거규정이 없음에도 보건복지부장관령에 불과한 의료법 시행규칙에 따라 민감정보의 위탁이 금지된다고 해석하여 형사처벌하는 것은 법률우위의 원칙과 죄형법정주의에 위배되는 해석으로 허용될 수 없다. 현행 의료법 시행규칙 제16조의 개정 이유에서는 "전자의무기록 보관의 효율성을 제고하기 위하여 의료인 또는 의료기관 개설자가 전자의무기록을 의료기관 외의 장소에서도 관리·보존할 수 있도록 하는 등 현행 제도의 운영상 나타난 일부 미비점을 개선·보완하려는 것"이라고 명시하였고, 그에 따라 제정된 전자의무기록의 관리·보존에 필요한 시설과 장비에 관한 기준의 제정 이유에서는 "의료법 시행규칙 제16조 개정으로 전자의무기록 관리·보존에 필요한 시설과 장비의 구체적인 사항을 고시로 정하고자 함. 의료기관 내부로만 제한하던 전자의무기록의 외부보관이 가능하도록 허용"이라고 밝히고 있어 현재는 의료기관 외부에 전자의무기록을 보관할 수 있도록 법령이 변경되었는데, 위 의료법 시행규칙 제16조 개정은 전자의무기록 보관의 절차와 방법에 관한 명시적인 규정을 둠으로써 기존에 불명확하게 관리되던 전자의무기록의 의료기관 외 관리·보존의 절차를 투명하게 하기 위한 것으로 볼 수 있을 뿐, 전자의무기록의 의료기관 외 관리·보존을 금지하던 법률규정에 대한 반성적 고려를 통하여 입법적으로 이를 허용하는 취지라고 볼 수는 없다. 3) 민감정보를 위탁할 때 수탁자가 정보주체로부터 별도로 동의를 받아야 하는지 여부 가) 개인정보 보호법 제26조 제7항은 "수탁자에 관하여는 제15조부터 제25조까지, 제27조부터 제31조까지, 제33조부터 제38조까지 및 제59조를 준용한다."라고 규정하고 있고, 구 개인정보 보호법 제23조 본문은 "개인정보처리자는 사상·신념, 노동조합·정당의 가입·탈퇴, 정치적 견해, 건강, 성생활 등에 관한 정보, 그 밖에 정보주체의 사생활을 현저히 침해할 우려가 있는 개인정보로서 대통령령으로 정하는 정보(민감정보)를 처리하여서는 아니 된다."라고 규정하고 있다. 나) 검사와 피고인 E, F의 변호인들이 제출한 증거들에 의하여 인정되는 아래와 같은 사정들을 종합하면, 민감정보를 위탁할 때 수탁자가 정보주체로부터 별도로 민감정보 처리에 대한 동의를 받을 필요는 없다고 보인다. 결국 의료법 등 관계 법령에 따라 직무상 환자들의 개인정보를 취급하게 되는 의사 또는 병·의원 소속 의사(이하 '병·의원'이라고만 한다)들은 의료법 시행령 제42조의2 및 구 개인정보 보호법 제23조 단서 제2호에 따라 민감정보 및 고유식별정보를 처리할 수 있고, 병·의원으로부터 환자정보 처리를 수탁받은 AW는 환자들로부터 별도로 민감정보 처리에 대한 동의를 받을 필요는 없다고 보인다. 개인정보 보호법 제26조는 개인정보처리자가 취득한 개인정보의 처리에 관한 업무를 제3자에게 위탁할 수 있음을 전제로 여러 요건들을 규정하고 있으나 별도로 정보주체 또는 이용자의 동의를 요구하고 있지는 않다. 개인정보 보호법 제15조, 제23조에 따라 개인정보 또는 민감정보를 처리하는 사람이 정보주체의 동의를 받는 등 개인정보 보호법 제15조, 제23조의 요건을 갖추어야 할 뿐이고, 개인정보 보호법 제26조 제7항은 개인정보호보법 제23조를 그 성질에 반하지 않는 범위 내에서 준용한다는 것이어서 위 준용규정을 근거로 위탁자뿐만 아니라 수탁자도 개인정보 보호법 제15조, 제23조의 요건을 갖추어야 한다고 해석하기 어렵다. 정보통신망법 제25조 제1항 전문은 "정보통신서비스 제공자와 그로부터 제24조의2 제1항에 따라 이용자의 개인정보를 제공받은 자(이하 "정보통신서비스 제공자등"이라 한다)는 제3자에게 이용자의 개인정보를 수집, 생성, 연계, 연동, 기록, 저장, 보유, 가공, 편집, 검색, 출력, 정정, 복구, 이용, 제공, 공개, 파기 그 밖에 이와 유사한 행위를 할 수 있도록 업무를 위탁하는 경우에는 다음 각 호의 사항 모두를 이용자에게 알리고 동의를 받아야 한다."라고 규정하여 정보통신서비스 제공자가 이용자의 개인정보의 처리 업무를 위탁하는 경우 이용자의 동의를 받도록 명시적으로 규정하고 있어 개인정보 보호법의 법문과 구별된다. 수탁자가 개인정보 또는 민감정보를 처리하기 위하여 개인정보 보호법 제15조, 제23조에서 규정한 정보주체의 동의를 받아야 한다고 해석하면, 수탁자로서는 정보주체들의 동의를 받기 위하여 위탁자로부터 정보주체의 개인정보를 받은 다음 이를 이용하여 정보주체에게 연락하여 동의를 받아야 하는데, 이는 정보주체의 개인정보처리에 대한 동의를 받기 위하여 위 개인정보를 수집·이용할 수밖에 없다는 모순이 발생한다(구 표준 개인정보 보호규칙 제67조 제3항에서 "법 시행 전에 개인정보를 수집한 개인정보처리자는 기존의 수집목적 범위에도 불구하고 제1항 단서 및 제2항을 준수하기 위하여 새롭게 정보주체의 동의를 받을 목적으로 법 시행 전에 수집한 개인정보를 이용할 수 있다."라고 규정한 것도 정보주체의 동의를 받기 위하여 연락하는 것이 개인정보의 이용에 해당하기 때문이다). 뿐만 아니라 수탁자는 정보주체와 계약관계 등이 형성되어 있지 않아 정보주체의 동의를 받기가 현실적으로 곤란하다. 만약 개인정보나 민감정보의 처리자가 개인정보를 수집할 때 정보주체의 동의를 받는 것에서 나아가 개인정보나 민감정보의 처리자가 개인정보나 민감정보를 위탁하는 경우에도 수탁자가 정보주체로부터 다시 별도로 동의를 받아야 한다면 정보주체는 개인정보 또는 민감정보에 대하여 수많은 동의를 하여야 하는 불편을 초래하게 된다. 이렇게 볼 경우 정보주체는 개인정보처리자 또는 수탁자가 그들의 법률적인 책임을 회피하기 위하여 요구하는 반복되는 개인정보의 동의에 무감각해지게 될 가능성도 배제할 수 없으므로, 위탁자의 개인정보처리권한 범위 내에서 이루어지는 개인정보처리의 위탁 관계에서 까지 매번 정보주체의 동의를 요구함으로써 정보주체의 개인정보 결정권이 실질적으로 보장된다고 보기도 어렵다. 이처럼 개인정보 또는 민감정보의 수탁자가 직접 정보주체의 동의를 받는 것이 법률적, 현실적으로 불가능하거나 현저히 곤란하다고 보인다. 행정안전부에서 발간한 개인정보보호법령 및 지침·고시 해설에서는 "병원과 의료정보 전달시스템 관리업체 간에 환자의 정보를 공유하는 것도 취급위탁에 따른 동의를 받아야 하는가"라는 질문에 대하여 "의료법 등에 따른 전자처방전, 전자의무기록 등의 공유·제공을 위해 관리업체를 활용하는 것은 서비스 제공에 관한 계약을 이행하기 위해 필요한 개인정보 취급위탁에 해당하므로 별도의 동의 획득 없이 정보주체에 대하여 공개하여야 하며 위탁 업무 중 홍보·판매업무가 포함되어 있는 경우 정보주체에게 통지하여야 한다."(위 해설서 제189면)라고 기재하여 민감정보(전자처방전, 전자의무기록)의 취급을 위탁하는 경우에는 수탁자가 정보주체로부터 별도로 동의를 받을 필요가 없음을 분명히 밝히고 있다. 4) AW가 위탁받은 업무의 범위를 초과하여 민감정보를 처리한 것인지 여부 가) 이 부분 각 공소사실은 AW가 민감정보를 처리 하였다는 취지이고 이에 대하여 검사는 구 개인정보 보호법 제71조 제3호, 제23조를 적용하여 공소제기하였는데, 개인정보 또는 민감정보를 수탁받은 자가 개인정보처리자로부터 위탁받은 범위를 초과하여 개인정보를 이용하거나 제3자에게 제공한 경우 개인정보 보호법 제71조 제2호, 제26조 제5항이 적용되어야 하므로, 이 법원이 검사가 공소제기하지도 않은 범죄사실, 즉 AW가 위탁받은 업무의 범위를 초과하여 민감정보를 처리하였다는 범죄사실을 인정하고 위 개인정보 보호법 제71조 제2호, 제26조 제5항을 적용하여 처벌하는 것은 피고인 E, F의 방어권 행사에 실질적 불이익을 초래할 여지가 있으므로 이 법원은 AW 측의 위와 같은 행위가 개인정보 보호법 제71조 제2호, 제26조 제5항에서 규정한 개인정보보호법위반죄에 해당하는지 여부에 관하여 나아가 판단하지 않기로 한다. 나) 뿐만 아니라 검사와 피고인 E, F의 변호인들이 제출한 증거들에 의하여 인정되는 아래와 같은 사정을 종합하면, AW가 AZ 프로그램을 사용하는 병·의원으로부터 요양급여비용 청구의 사전점검을 위하여 필요한 정보를 전송받아 AW의 서버에 전송한 행위가 병·의원들이 사전점검을 위하여 위탁한 '업무'의 범위를 초과하는 것이라고 단정하기 어렵다. AW는 AZ 프로그램을 통하여 요양급여비용 청구의 사전점검 서비스를 처음 제공할 때부터 인터넷을 이용하여 병·의원으로부터 환자정보와 처방정보를 AW의 서버로 전송받은 다음 해당 병·의원의 요양급여비용 청구가 적절하게 되었는지를 점검하여 그 결과를 다시 인터넷을 통하여 해당 병·의원에 알려주는 방식으로 업무를 처리하여 왔다. 이러한 AW의 업무처리 방식 및 AZ 프로그램의 특성을 고려할 때, AW가 AZ 프로그램을 통하여 요양급여비용 청구의 사전점검 업무를 함에 있어서는 해당 병·의원에서 건강보험심사평가원에 요양급여비용 청구를 하는 내용(월별 점검) 또는 의사가 환자를 진료한 후 처방을 내리는 내용(실시간 점검)을 AW의 서버로 전송하는 것이 불가피하다. 뿐만 아니라 AW가 AZ 프로그램을 통하여 병·의원으로부터 제공받은 민감정보를 요양급여비용 청구의 사전점검 이외의 목적으로 활용하였다고 볼 자료도 없다. 검사는 의료법 시행규칙에 따라 병·의원의 외부로 환자정보, 처방정보를 반출하거나 저장할 수 없으므로, 피고인 E, F이 의료기관 외부인 AW 서버에 민감정보를 저장한 행위는 병·의원으로부터 수탁받은 범위를 초과한 것이라고 주장하나, 의료 관계 법령에서 전자의무기록 등을 의료기관 외부에 보관하는 것을 명시적으로 금지하는 규정이 없는 점은 앞서 살펴본 바와 같고, 의료법 시행규칙을 근거로 개인정보 보호법에서 정한 개인정보 처리 위탁의 범위를 축소하여 해석할 수도 없다. 5) 소결론 그렇다면 AW가 AZ 프로그램을 통하여 병·의원의 환자정보, 처방정보, EDI파일을 AW 서버로 수집·저장·보유한 부분은 법령에 따라 민감정보를 처리할 수 있는 병·의원으로부터 AW가 민감정보의 처리를 위탁받은 것이고, 이와 같이 민감정보를 병·의원으로부터 위탁받는 경우에는 정보주체인 환자들의 동의가 필요하지 않으므로, AW가 구 개인정보 보호법 제23조 본문에 위반하여 민감정보를 처리하였다고 볼 수 없고, 본범인 AX, AY, AW에 대하여 죄가 성립하지 아니하는 이상, 피고인 E, F을 그 방조범으로 처벌할 수 없다. 라. 결론 따라서 피고인 E, F에 대한 이 부분 각 공소사실은 모두 범죄의 증명이 없는 경우에 해당하므로 형사소송법 제325조 후단에 의하여 위 피고인들에게 각 무죄를 선고하고, 형법 제58조 제2항에 따라 피고인 E, F에 대한 판결 중 위 각 무죄 부분의 요지를 각 공시한다. 공소기각 부분 1. 피고인 A, B, C, P에 대한 각 공소사실 중 별지 범죄일람표 에 포함되지 않은 처방정보 1,853,582건 관련 각 개인정보보호법위반의 점, 피고인 E에 대한 공소사실 중 별지 범죄일람표 에 포함되지 않은 처방정보 58,512,675건 및 별지 범죄일람표 에 포함되지 않은 진료정보 4,447,895건 관련 각 개인정보보호법위반방조의 점, 피고인 F에 대한 공소사실 중 별지 범죄일람표 에 포함되지 않은 P으로 전송된 처방정보 942,295건, 별지 범죄일람표 에 포함되지 않은 심사점검 솔루션 관련(M, N) 처방정보 105,050,037건, 별지 범죄일람표 에 포함되지 않은 심사점검 솔루션의 사전점검 메뉴 관련(O) 진료정보 2,993,925건에 관한 각 개인정보보호법위반방조의 점(이하 '이 부분 각 공소사실'이라고 한다)에 관한 판단 가. 이 부분 각 공소사실의 요지 1) 피고인 A, B, C은 공모하여 2013. 5. 29.경부터 2014. 12. 2.경까지 무죄 부분 제1의 가. 3) 가)항 및 나)항 기재와 같은 방법으로 민감정보인 처방정보 1,853,582건을 법령의 근거 또는 환자들의 동의 없이 수집·저장·보유 및 제공하고, 피고인 P은 그 종업원인 피고인 A, B, C이 피고인 P의 업무에 관하여 위와 같이 처방정보를 수집·저장·보유 및 제공하였다. 2) 피고인 E는 2012. 1.경부터 2013. 6. 10.경까지 무죄 부분 제3의 가. 1) 가)항 기재와 같은 방법으로 심사점검 솔루션 관련(M, N) 처방정보 58,512,675건을 불법으로 처리하고, 2011. 10. 1.경부터 2013. 6. 10.경까지 무죄 부분 제3의 가. 1) 나)항 기재와 같은 방법으로 심사점검 솔루션의 사전점검 메뉴 관련(O) 진료정보 4,447,895건을 불법으로 처리한 각 AW, AX 등의 개인정보보호법위반 범행을 방조하였다. 3) 피고인 F은 2013. 12. 10.경부터 2014. 11. 30.경까지 무죄 부분 제2의 가항 기재와 같은 방법으로 P, A 등이 법령의 근거 또는 환자들의 동의 없이 민감정보인 처방정보 942,295건을 처리(수집·저장·보유)한 개인정보보호법위반 범행을 방조하고, 2013. 6. 11.경부터 2014. 12. 31.경까지 무죄 부분 제3의 가. 2) 가)항 기재와 같은 방법으로 심사점검 솔루션 관련(M, N) 처방정보 105,050,037건을 불법으로 처리하고, 2013. 6. 11.경부터 2014. 12. 1.경까지 무죄 부분 제3의 가. 2) 나)항 기재와 같은 방법으로 심사점검 솔루션의 사전점검 메뉴 관련(O) 진료정보 2,993,925건을 불법으로 처리한 AW, AX 등의 각 개인정보보호법위반 범행을 방조하였다. 나. 공소사실의 특정 여부 1) 관련 법리 형사소송법 제254조 제4항이 "공소사실의 기재는 범죄의 시일, 장소와 방법을 명시하여 사실을 특정할 수 있도록 기재하여야 한다."라고 규정한 취지는 심판의 대상을 한정함으로써 심판의 능률과 신속을 꾀함과 동시에 방어의 범위를 특정하여 피고인의 방어권 행사를 쉽게 해 주기 위한 것이다. 따라서 비록 공소범죄의 성격에 비추어 범죄의 일시·장소 등에 관한 개괄적인 표시가 부득이한 경우가 있다 하더라도, 검사는 가능한 한 기소나 공소장변경 당시의 증거에 의하여 이를 특정하여야 하고, 이에 이르지 아니함으로써 사실상 피고인의 방어권 행사에 지장을 가져오는 경우에는 형사소송법 제254조 제4항에서 정하고 있는 구체적인 범죄사실의 기재가 있는 공소장이라 할 수 없다(대법원 2008. 3. 14. 선고 2008도418 판결, 대법원 2013. 10. 17. 선고 2013도6826 판결 등 참조). 한편 개인정보보호법위반죄는 원칙적으로 정보주체 또는 정보통신서비스 이용자별로 각각 별개의 죄를 구성한다. 그러므로 공소장에 종이문서로 첨부된 각 범죄일람표에 정보주체와 개인정보 내역 등이 기재되어 있는 부분은 공소사실이 구체적으로 특정되었다고 할 것이나, 공소장에 범행 시기와 종기, 취득하거나 제공한 개인정보의 종류와 건수 등만 기재되어 있고 범죄일람표가 CD로만 제출되어 있는 부분은 정보주체가 누구인지 또는 피고인들이 취득하거나 제공하고 제공받은 개인정보의 내용이 무엇인지 등을 전혀 알 수 없어 공소사실이 특정되었다고 할 수 없다(대법원 2017. 4. 7. 선고 2016도13263 판결 참조). 2) 구체적 판단 이 법원이 이미 2019. 9. 19. 열린 제17회 공판기일에서 서면으로 출력하지 않고 전자파일 형태로만 DVD에 담아 제출한 부분에 대하여 공소장변경허가신청을 불허함에 따라 당초 공소장 또는 공소장변경이 허가된 2019. 6. 26.자 공소장변경허가신청서에 숫자로만 정보가 기재된 이 부분 각 공소사실에는 검사가 각 공소사실별 해당 피고인들(이하 '피고인들'이라고만 한다)이 저질렀다고 주장하는 개인정보법위반 범행의 시기와 종기, 피고인들이 법령의 근거나 환자들의 동의 없이 수집·저장·보유하였거나 제공하였다고 지목된 개인정보의 종류와 건수만이 기재되어 있을 뿐, 정보주체가 누구인지 또는 피고인들이 법령의 근거나 환자들의 동의 없이 수집·저장·보유하였거나 제공한 개인정보의 구체적인 내용이 무엇인지 제대로 나타나 있지 않고, 따라서 피고인들의 입장에서 정보주체가 실제로 존재하는 인물인지 여부, 개인정보 등의 내용이 정보주체의 것이 맞는지 여부 등을 다른 정보와 결합하는 등의 방법으로도 확인할 방법이 전혀 없어 공소사실이 특정되었다고 보기 어렵다. 2. 결론 따라서 피고인들에 대한 이 부분 각 공소사실은 공소제기의 절차가 법률의 규정에 위반하여 무효인 때에 해당하므로, 형사소송법 제327조 제2호에 의하여 피고인들에 대한 이 부분 공소를 각 기각한다. 이상의 이유로 주문과 같이 판결한다.