서울중앙지방법원-2019고단3278

공소사실의 요지 개인정보처리자로부터 개인정보를 제공받은 자는 정보주체로부터 별도의 동의를 받거나 다른 법률에 특별한 규정이 있는 경우가 아니면 개인정보를 제공받은 목적 외의 용도로 이용하여서는 아니 된다. 피고인은 2018. 11. 15.경 서울 강동구 D에 있는 E고등학교 대학수학능력시험 고사장 감독업무를 수행하는 과정에서 수험생의 성명, 주민등록번호, 연락처, 주소 등 개인정보가 포함된 응시원서를 제공받고, 이를 각 수험생의 수험표와 대조하는 과정에서 F의 연락처를 알게 되었다. 피고인은 2018. 11. 25. 17:25경 위와 같이 알게 된 연락처를 이용하여 F을 G 친구로 추가한 후 F에게 G으로 "사실 00씨가 맘에 들어서요" 등의 메시지를 발송하였다. 이로써 피고인은 개인정보처리자로부터 제공받은 개인정보를 제공받은 목적 외 용도로 이용하였다. 2. 판단 가. 관련 법령 나. 판단의 전제 1) 개인정보 보호법(이하 '법'이라 한다)은 개인정보를 보호하기 위한 여러 금지규정을 두면서 금지의무의 주체로 '개인정보처리자'(법 제17조, 제18조), '개인정보처리자로부터 개인정보를 제공받은 자'(법 제19조), '개인정보를 처리하거나 처리하였던 자'(법 제59조) 등을 규정하고 있고, 법 제71조, 제72조에서 위 각 주체에 대응하는 처벌규정을 두고 있다. 나아가 법은 개인정보처리자의 지휘·감독을 받아 개인정보를 처리하는 자로서 '개인정보취급자' 규정을 별도로 두고 있다(법 제28조), 한편 피고인은 교육부 또는 서울특별시교육청의 지휘·감독을 받는 교육공무원으로서 대학수학능력시험 감독관으로 차출된 사람이고, 감독업무 수행을 위하여 수험생의 개인정보가 포함된 응시원서를 제공받은 사람이다. 2) 검사는, 피고인이 법 제19조에서 의무주체로 규정하고 있는 '개인정보처리자로부터 개인정보를 제공받은 자'에 해당함을 전제로, 피고인이 개인정보를 제공받은 목적 외의 용도로 이용하였다고 주장하면서 그에 관한 처벌조항인 법 제71조 제2호를 적용하여 이 사건 공소를 제기하였다. 3) 이하에서는 피고인이 법 제19조 소정의 '개인정보처리자로부터 개인정보를 제공받은 자'에 해당하는지 여부에 관하여 판단하기로 한다(공소장변경절차를 전제로 하여, 방론으로 피고인이 법 제59조에서 정한 '개인정보를 처리하거나 처리하였던 자'에 해당하는지 여부와 그에 따른 처벌 가능성 여부도 부가적으로 설시하기로 한다). 다. '개인정보처리자로부터 개인정보를 제공받은 자' 해당 여부 1) '개인정보처리자로부터 개인정보를 제공받은 자'의 범위 법은 개인정보처리자로부터 개인정보를 제공받은 뒤 일정한 법정 요건을 충족할 경우 개인정보처리자의 지휘·감독 등의 개입 없이 그 개인정보를 이용하거나 다른 제3자에게 제공할 수 있는 지위에 있는 사람과 개인정보처리자의 지휘·감독을 받아 종속적인 의미에서 단순히 개인정보 처리업무를 수행하는 사람으로 구분하고 있다고 해석된다. 즉 법 제19조에서 정하고 있는 '개인정보처리자로부터 개인정보를 제공받은 자'란 개인정보처리자가 아닌 자로서 개인정보처리자에 속하지 않는 제3자, 즉 개인정보처리자의 지휘나 감독을 받지 아니하는, 개인정보처리자와 무관한 제3자를 의미하고(위 의 경우에 해당), 법 제28조 소정의 '개인정보취급자'(위 의 경우에 해당)는 위 제3자에서 제외되므로, '개인정보취급자에게는 법 제19조가 적용될 수 없는 것으로 해석함이 합리적인 해석이다. 그 이유는 다음과 같다. 가) 법 제17조, 제18조는 개인정보처리자의 개인정보 이용 및 그 제한, 제3자에 대한 개인정보제공 및 그 제한에 관하여 규정하고 있고, 뒤이어 법 제19조에서는 '개인정보처리자로부터 개인정보를 제공받은 자'의 개인정보 이용, 제한 등에 관하여 규정하고 있다. 법 규정의 체계와 문언의 의미에 비추어 볼 때 법 제19조에서 정한 '개인정보 처리자로부터 개인정보를 제공받은 자'라 함은 법 제17조, 제18조에서 규정하고 있는, 개인정보처리자로부터 개인정보를 제공받은 제3자로 해석된다. 나) 개인정보처리자가 정보주체로부터 동의를 받아 제3자에게 개인정보를 제공하는 경우, 개인정보처리자는 개인정보를 제공받는 자, 개인정보를 제공받는 자의 개인정보 이용 목적, 제공하는 개인정보의 항목 등을 정보주체에 알려야 한다(법 제17조 제2항, 제18조 제3항). 특히 개인정보를 목적 외의 용도로 제3자에게 제공하는 경우에는 개인정보처리자는 개인정보를 제공받는 자에게 이용 목적, 이용 방법, 그 밖에 필요한 사항에 대하여 제한을 하거나, 개인정보의 안전성 확보를 위하여 필요한 조치를 마련하도록 요청하여야 한다(법 제18조 제5항), 이와 같은 개인정보처리자의 의무사항은, 제공된 개인정보가 개인정보처리자의 지배·관리 범위를 벗어나 더 이상 개인정보처리자에 의한 개인정보 보호조치가 실시되기 어려움을 전제로 하고 있다. 다) 법 제19조의 '개인정보처리자로부터 개인정보를 제공받은 자'는 정보주체로부터 별도의 동의를 받은 경우나 다른 법률에 특별한 규정이 있는 경우에는 개인정보를 제공받은 목적 외의 용도로 이용하거나 이를 다시 제3자에게 제공할 수 있다(법 제19조), 즉 법 제19조의 '개인정보처리자로부터 개인정보를 제공받은 자'는 개인정보처리자의 의사와 무관하게 일정한 요건이 갖추어지면 제공받은 개인정보를 제공받은 목적과 무관하게 자신의 의사에 따라 이용하거나 이를 제3자에게 제공할 수 있는 지위에 있다. 라) 그런데 법은 제19조의 '개인정보처리자로부터 개인정보를 제공받은 자' 이외에 법 제28조에서 개인정보처리자의 지휘·감독을 받아 개인정보를 처리하는 자, 즉 '개인정보취급자' 규정을 별도로 두고 있다. 또한 법 제28조는 개인정보취급자가 개인정보를 처리하는 경우 개인정보처리자에게 적절한 관리·감독 및 개인정보취급에 관한 적절한 교육의무를 부과하고 있다. 이는 앞서 살핀 법 제17조 제2항, 제18조 제3항, 제18조 제5항에서 규정하고 있는, 개인정보처리자가 제3자에게 개인정보를 제공하는 경우 부담하는 의무사항과 명백히 구분된다. 마) 법 제19조의 '개인정보처리자로부터 개인정보를 제공받은 자'와 달리 법 제28조에서 정한 개인정보취급자는 자신의 의사에 따라 개인정보를 이용하거나 제3자에게 이를 제공할 수 없고, 개인정보처리자의 지휘·감독을 받아 이와 같은 행위를 하는 지위에 있다. 바) 개인정보처리자가 그의 지휘·감독을 받아 개인정보 처리업무를 수행하는 개인정보취급자에게 개인정보를 제공한 경우에까지 법 제17조 제2항, 제18조 제3항, 제18조 제5항 등의 고지의무, 개인정보의 안전성 확보를 위하여 필요한 조치를 마련하도록 요청할 의무가 있다고 보기는 어렵다. 2) 소결론 결국 이 사건에서 개인정보처리자는, 대학수학능력시험 응시생들의 개인정보 집합물을 운용하기 위해 개인정보를 처리하는 공공기관인 교육부 또는 서울특별시교육청으로 보아야 한다. 대학수학능력시험의 감독관으로 차출된 피고인은 수험생의 동일성 확인 등 대학수학능력시험의 감독 업무를 수행하기 위해 개인정보처리자로부터 제공받은 개인정보를 개인정보처리자의 지휘·감독을 받아 이용함으로써 개인정보를 처리하는 개인정보취급자에 불과하다. 따라서 피고인은 법 제19조의 '개인정보처리자로부터 개인정보를 제공받은 자'에 해당한다고 볼 수 없고, 달리 이를 인정할 증거가 없다. 라. '개인정보를 처리하거나 처리하였던 자'를 전제로 한 처벌 가능성 1) '개인정보를 처리하거나 처리 하였던 자'의 정의 법 제71조 제5호의 적용대상자인 제59조 소정의 '개인정보를 처리 하거나 처리하였던 자'는 법 제2조 제5호의 개인정보처리자에 한정되지 않고, 업무상 알게 된 제2조 제1호의 개인정보를 제2조 제2호의 방법으로 처리하거나 처리하였던 자를 포함한다(대법원 2016. 3. 10. 선고 2015도8766 판결 참조). 따라서 '개인정보를 처리하거나 처리하였던 자'에는 개인정보처리자는 물론이고, 개인정보처리자의 지휘, 감독을 받아 업무상 알게 된 개인정보를 처리하거나 하였던 사람, 즉 법 제28조 소정의 개인정보취급자도 포함된다고 보아야 한다[다만 법 제71조 제1호는 법 개인정보처리자가 제17조 제1항을 위반하여 정보주체의 동의를 받지 아니하고 개인정보를 '제3자'에게 제공한 경우 그 개인정보처리자와 별도로 그 사정을 알고 개인정보를 제공받은 위 '제3자'를 처벌하도록 하고 있다. 또한 앞서 본 바와 같이 위 '제3자'는 법 제19조에서 정한 '개인정보처리자로부터 개인정보를 제공받은 자'를 의미하고, '개인정보취급자'는 위 '제3자에 포함되지 아니한다. 나아가 의무주체로서 '개인정보를 처리하거나 처리하였던 자'와 '개인정보처리자로부터 개인정보를 제공받은 자'는 법문에 있어 명백히 구별된다. 이러한 사정들을 고려하면, 결국 '개인정보를 처리하거나 처리하였던 자'에는, 개인정보처리자, 개인정보취급자가 포함되고, '개인정보처리자로부터 개인정보를 제공받은 자'는 포함되지 않는 것으로 해석함이 상당하다]. 2) 이 사건에서의 처벌 가능성 앞서 살핀 바와 같이 피고인은 교육부 또는 서울특별시교육청 등의 지휘, 감독을 받아 수험생의 개인정보를 처리하는 사람으로서 법 제28조 소정의 개인정보취급자에 해당한다. 따라서 피고인은 법 제59조 소정의 '개인정보를 처리하거나 처리하였던 자'로서 위 규정에서 정한 금지행위를 하여서는 아니 되고, 이를 위반한 경우 법 제71조 제5, 6호 또는 법 제72조 제2호 등에 의하여 형사처벌을 받게 된다. 그런데 법 제59조 소정의 금지행위에는 '부정한 수단이나 방법에 의한 개인정보 취득 및 처리에 관한 동의를 받는 행위', '누설 및 제공하는 행위', '훼손, 멸실, 변경, 위조 또는 유출 행위'를 규정하고 있을 뿐 이 사건에서의 행위 태양에 해당하는 '이용'에 관해서는 별도로 규정하고 있지 아니하다. 3) 소결론 죄형법정주의 원칙상 형벌법규의 해석은 엄격하여야 하고, 문언의 가능한 의미를 벗어나 피고인에게 불리한 방향으로 해석하는 것은 죄형법정주의의 내용인 확장해석금지에 따라 허용되지 아니한다. 공소사실 기재 피고인의 행위가 부적절하다는 점에 관해서는 의문의 여지가 없다. 그러나 위와 같은 죄형법정주의의 원칙상 그와 같은 사정만으로 피고인의 행위를 법 제59조 소정의 금지행위에 포섭하여 해석할 수는 없다. 결국 피고인은 법 제59조 소정의 '개인정보를 처리하거나 처리하였던 자'에 해당하기는 하나 같은 규정에서 정하고 있는 금지행위를 한 바 없으므로, 이 사건에서 법 제71조 제5, 6호 또는 법 제72조 제2호의 처벌규정이 피고인에게 적용될 수는 없다. 3. 결론 그렇다면, 피고인이 법 제19조에서 정한 '개인정보처리자로부터 개인정보를 제공받은 자'에 해당함을 전제로 한 이 사건 공소사실은 범죄의 증명이 없는 때에 해당하므로 형사소송법 제325조 후단에 의하여 피고인에 대하여 무죄를 선고하고, 피고인이 위 무죄 부분의 요지 공시에 동의하지 아니하므로 형법 제58조 제2항 단서에 따라 위 무죄 부분의 요지는 공시하지 아니한다(아울러 피고인이 법 제59조에서 정한 '개인정보를 처리하거나 처리하였던 자'에 해당하기는 하나, 이 사건에서는 법 제71조 제5, 6호 또는 법 제72조 제2호의 처벌규정이 적용될 수 없음을 밝혀 둔다).