서울중앙지방법원-2015고합665

범죄사실 2015고합665 1. 피고인 A의 AF(AI, 이하 'AF'이라고만 한다) 프로그램과 관련된 처방정보 수집·저장·보유로 인한 개인정보보호법위반 가. 기초사실 공동피고인 M 주식회사(이하 'M'라고만 한다) 대표이사 AK는 2007. 12.경 공동피고인 C 주식회사(이하 'C'라고 한다)의 대표자 피고인 A에게 공동피고인 M(이하 공동피고인 M가 당해 피고인이 아닌 경우에는 'M'라고만 한다)가 병·의원으로부터 환자정보, 처방정보 등을 자동으로 전송받을 수 있는 프로그램을 개발하여 달라고 요청하였다. 공동피고인 C(이하 공동피고인 C가 당해 피고인이 아닌 경우에는 'C'라고만 한다)는 M의 위와 같은 요구를 받고 M가 병·의원으로부터 환자들의 처방정보를 자동으로 전송받을 수 있는 AF 프로그램을 개발하였다. M는 전국에 있는 약 331개의 병·의원에서 사용하는 전자차트프로그램 'AL' 또는 'AM'에 C가 개발한 자료전송 프로그램인 'AN 프로그램'을 설치하였다. 그런데 병·의원 또는 의사들이 사용하는 전자차트프로그램에 위 'AN 프로그램'이 설치되면, 병·의원 의료진이 환자들에게 처방하였던 통계정보를 전송하기 위하여 위 프로그램을 구동하는 순간 위 병·의원에서 진료한 환자들의 처방정보(요양기관코드, 처방일자, 처방약코드, 처방내용, 약품명, 복용량, 진료일자 등) 및 진료내역 정보(환자 이름, 주민등록번호, 연락처, 병·의원명, 처방일자 등) 등 80여 개의 정보가 정보주체인 환자들의 동의 없이 C 데이터베이스 서버로 전송되어 수집·저장된다. 피고인 A은 위와 같이 병·의원에 위 'AN 프로그램'이 설치됨을 기화로 병·의원 의료진이 통계정보를 전송하기 위하여 구동하는 순간 병·의원 의료진이 전자차트프로그램에서 처리하였던 환자들의 개인정보 및 진료내역 정보가 전송됨을 병·의원의 의료진에게 제대로 고지하지 아니하여 환자들의 동의를 받을 수 없는 상태에서 해당 정보가 C가 관리하는 데이터베이스 서버로 전송되도록 하였다. 나. 민감정보인 환자들의 처방정보 불법 수집·저장·보유 피고인 A은 2014. 10. 7.경 정보주체인 환자의 동의나 법령의 근거 없이 AO(주민등록번호 AP, 의료보험증번호 AQ)가 2014. 10. 7.경 AR 내과의원(요양기관코드 AS)에서 '자누비아정 100mg'을 하루 1번, 30일간 처방받았다는 내용 등의 민감정보를 C의 데이터베이스 서버로 무단 전송받아 수집·저장·보유하였다. 이를 비롯하여 피고인 A은 2011. 10. 1.경부터 2014. 11. 15.경까지 별지 범죄일람표 순번 7,888,688 내지 7,901,687 기재와 같이 다수의 병·의원 의료진들이 전자차트프로그램에서 처리하는 환자 처방정보 13,000건을 의사 및 환자들의 동의 없이 C가 관리하는 데이터베이스 서버로 무단 전송받아 수집·저장·보유하였다. 이로써 피고인 A은 법령의 근거 또는 환자들의 동의 없이 민감정보인 환자 진료내역 정보 13,000건을 각 처리(수집·저장·보유)하였다. 2. 피고인 C의 AF 프로그램과 관련된 처방정보 수집·저장·보유로 인한 개인정보보호법위반 피고인 C는 대표자인 공동피고인 A이 피고인 C의 업무에 관하여 범죄사실 제1항 기재와 같이 법령의 근거 또는 정보주체인 환자들의 동의 없이 민감정보를 각 처리하였다. 3. 피고인 I의 위증 피고인 I은 공동피고인 재단법인 J(이하 'J'이라고 한다) 등이 2011. 1. 28.경부터 2013. 12. 11.경까지 정보통신망을 통하여 속이는 행위로 다른 사람의 정보를 수집하고, 정보주체의 동의 없이 주민등록번호를 수집한 사건으로 재판계속 중에 있게 됨을 기화로, 2014. 11. 14. 서울 서초구 서초동에 있는 서울중앙지방법원 서관 제525호에서 열린 공동피고인 J(이하 공동피고인 J이 당해 피고인이 아닌 경우에는 'J'이라고만 한다) 등에 대한 정보통신망이용촉진및정보보호등에관한법률(이하 '정보통신망법'이라고만 한다)위반 등 사건의 증인으로 선서한 후 증언함에 있어서 사실은 J의 암호화프로그램은 M에서 제공한 것으로 피고인 I과 공동피고인 F(이하 공동피고인 F이 당해 피고인이 아닌 경우에는 'F'이라고만 한다) 이외에 M도 치환방법을 알고 있었음에도 "당시 증인이 개발한 환자의 주민등록번호 암호화프로그램은 13자리의 주민등록번호 숫자를 각 숫자별로 F과 증인만이 아는 알파벳 문자 대응 값으로 치환한 후, 여기에 일정한 규칙으로 알파벳 문자 값을 뒤섞고, 다시 그중 역시 증인과 F만이 아는 일정한 자리에 위치한 문자들을 일정한 자리에 섞는 방법으로 15자리의 알파벳 문자로 암호화하는 것이지요"라는 변호인의 질문에 "예"라고 증언하였다. 이로써 피고인 I은 형사사건의 증인으로 선서한 후 증언함에 있어 기억에 반하는 허위의 진술을 하여 위증하였다. 4. 피고인 L의 위증방조 J과 M는 약국의 환자정보를 불법으로 수집·제공 혐의로 2013. 12.경 서울중앙지방검찰청 제2형사부로부터 압수수색과 함께 조사를 받게 되었다. 수사대상이 된 두 업체에서는 J이 약국 환자의 주민등록번호를 알파벳으로 암호화(치환방식)하여 특정 개인을 식별할 수 없도록 하였고 M는 그 암호를 풀 수 없기 때문에 개인정보가 아니라는 주장을 하였다. 그러나 사실은 2010. 5. 11.경 M에 근무하는 피고인 L이 위 치환방식을 개발하여 J의 담당자인 F, 공동피고인 I(이하 공동피고인 이 당해 피고인이 아닌 경우에는 'I'이라고만 한다)에게 주민등록번호의 치환방식을 알려주었다. M 입장에서는 2011. 1.경 J으로부터 약국의 조제정보를 제공받을 때부터 어떤 사람의 민감정보인지 여부를 알 수 있었다. 그럼에도 피고인 L은 M 측이 처벌될 것을 우려하여 압수수색 당일인 2013. 12. 11.경 I에게 주민등록번호 치환방식은 'J에서 자체 개발한 것으로 하고 M에서는 주민등록번호 치환방식을 모르는 것처럼 해달라'고 요구하였다. 이에 I은 피고인 L의 요구에 따라 2013. 12. 11. 검찰 출석 시 및 2013. 12. 17. 서울중앙지방검찰청 형사 제2부 검사실에서 조사를 받으며 '주민등록번호 치환방식을 M는 알지 못한다'는 취지로 허위의 진술을 하였다. 그 후 2014. 7. 28. J의 원장 공동피고인 D(이하 공동피고인 D이 당해 피고인이 아닌 경우에는 'D'이라고만 한다), 이사 공동피고인 E(이하 공동피고인 E이 당해 피고인이 아닌 경우에는 'E'이라고만 한다), 개발팀장 F, J이 정보통신망법위반죄 및 개인정보보호법위반죄로 불구속 기소되어 재판을 받게 되었고 J 측 변호인이 위 I을 증인으로 신청하여 2014. 11. 14. 위 이 증언을 하게 되었다. 그러자 피고인 L은 2014. 10. 30. 오전 시간불상경 J 부근 커피숍에서 I을 만나 종전 검찰 조사 당시에 I이 취한 진술 태도, 즉 'J에서 주민등록번호 암호화 방식(치환규칙)을 자체적으로 개발한 것이고 M가 그에 관여한 사실이 없다'는 점에 관한 의견이나 시각이 바뀌었는지 여부 등을 확인하고 2014. 11. 5. 오전 시간불상경 서울 서초구 AT 오피스텔에 있는 F이 운영하는 사무실에서 I을 만나서도 같은 취지로 확인하는 등 이미 위증하기로 마음먹은 I이 위증을 할 뜻을 굳건히 하도록 도왔다. 그 후 I은 2014. 11. 14. 서울 서초구 서초동에 있는 서울중앙지방법원 서관 제525호에서 열린 J 등에 대한 정보통신망법위반 등 사건의 증인으로 선서한 후 증언함에 있어 사실은 J의 암호화 방식(치환방식)은 M에서 제공한 것으로 F과 피고인 L 이외에 M 측에서도 치환방법을 알고 있었음에도 "당시 증인이 개발한 환자의 주민등록번호 암호화프로그램은 13자리의 주민등록번호 숫자를 각 숫자별로 F과 증인만이 아는 알파벳 문자 대응 값으로 치환한 후, 여기에 일정한 규칙으로 알파벳 문자 값을 뒤섞고, 다시 그 중 역시 증인과 F만이 아는 일정한 자리에 위치한 문자들을 일정한 자리에 섞는 방법으로 15자리의 알파벳 문자로 암호화하는 것이지요"라는 변호인의 질문에 "예"라고 증언하였다. 이로써 피고인 L은 I이 기억에 반하는 허위의 증언을 하는 것을 도와 위증을 방조하였다. 2015고합1115 5. 피고인 F의 배임수재 J은 2000년경부터 처방전의 약제비를 본인 부담금과 공단 부담금 등으로 자동 계산하여 건강보험공단에 청구할 수 있도록 하는 프로그램인 AU 프로그램을 개발하여 이를 약국들에게 무상으로 제공하고 에프터서비스(Afeter Service, 이하 'AS'라고만 한다) 역시 무상으로 제공하여 왔다. 한편 국내 10여 개의 신용카드 결제 단말기 밴(Value Added Networt, 이하 'VAN'이라고만 한다)사업자들은 AU 프로그램을 사용하는 약국들을 상대로 서로 자기 회사의 신용카드 단말기를 설치해 달라고 영업을 하여 자기 회사 단말기가 설치되는 경우 그 단말기를 통한 결제금액에 따라 수익을 얻게 되는 구조를 취하고 있다. 이와 같이 각 약국마다 설치된 신용카드 단말기 VAN사업자들이 여러 개의 회사인 상황에서 J은 2008. 10. 9.경 VAN사업자인 주식회사 AV와 위 AU 프로그램을 위 AV의 단말기에 연동해주는 대가로 AV로부터 매월 일정액의 수수료를 지급받기로 하는 'VAN 서비스제휴계약'을 체결한 것을 비롯하여 2009. 3. 20.경에는 VAN사업자인 AW 주식회사(이하 'AW'이라 한다)와도 동일한 취지로 위 AU 프로그램을 AW의 단말기에 연동해주는 대가로 AW으로부터 매월 일정액의 수수료를 지급받기로 하는 'VAN서비스 제휴계약'을 체결하였으며, 2009. 3. 23.경에는 VAN사업자인 AX 주식회사와도 동일한 취지의 업무제휴 계약을 체결하였고, 피고인 F은 J의 프로그램 개발팀장으로서 위 AU 프로그램과 관련된 모든 업무를 담당하였다. 피고인 F은 2010. 11.경 약국들을 상대로 단말기 판매영업을 하기 위하여 영업자금이 필요하던 AW의 직원 AY으로부터 'J이 AW으로부터 지급받는 수수료를 AW의 대리점인 AZ이 대신 지급받도록 해주면 단말기 결제 건당 10원 상당씩을 주겠다'는 취지의 부정한 청탁을 받았다. 그런데 AW은 J에 지급하던 수수료를 J이 아닌 AW의 단말기 영업을 하는 대리점인 AZ으로 지급한 후 AZ이 AU 프로그램의 AS업체들을 통하여 약국들을 상대로 다른 회사의 VAN사업자 단말기 대신 AW의 단말기를 설치하도록 영업을 하려는 것이었고, J이 무상으로 제공하는 AU 프로그램의 AS업체들을 지원할 아무런 이유나 필요가 없었다. 그럼에도 피고인 F은 AU 프로그램의 AS업체들을 지원하여 사용자 확대를 도모한다는 명목을 빙자하여 J 내부 규정의 결재절차를 무시하고 2010. 11. 25.경 AW 측이 미리 만들어 보내준 수수료 이관 요청 공문 내용 그대로 피고인 F 단독 명의로 AW에 'AW이 J에 지급하던 수수료 전액을 AZ에 지급하라'는 취지의 공문을 보냈다. 이후 피고인 F은 2011. 2.경 서울 서초구 BA에 있는 J 부근 식당에서 위 AY의 지시를 받은 AZ의 BB으로부터 수사기관 등에 적발되지 않도록 하기 위하여 BB 명의로 BC은행에 신규 개설한 계좌(계좌번호 BD)에 연결된 체크카드를 건네받은 후 그 체크카드를 이용하여 2011. 2. 11.경부터 2013. 9. 30.경까지 AZO AW의 단말기 결제 건당 10원 상당씩 계산하여 위 BB 명의 계좌에 매월 입금해 준 합계 36,962,400원을 인하여 사용하는 방법으로 돈을 건네받았다. 이로써 피고인 F은 AU 프로그램과 관련된 수수료 관리 업무와 관련하여 부정한 청탁을 받고 합계 36,962,400원을 취득하였다. 6. 피고인 F의 수수료 무단 이관에 따른 업무상배임 피고인 F은 피해자 J의 프로그램 개발팀장으로서 범죄사실 제5항 기재와 같이 피해자 J과 AW이 체결한 'VAN 서비스제휴계약'에 따라 피해자 J이 AW으로부터 지급받는 수수료를 제대로 관리하여야 할 업무상 임무가 있었다. 그럼에도 피고인 F은 2010. 11. 25.경 서울 서초구 BA에 있는 피해자 J의 사무실에서 범죄사실 제5항 기재와 같이 'AZ이 J의 수수료를 대신 지급받게 해달라'는 취지의 부정한 청탁과 함께 36,962,400원을 몰래 건네받기로 하면서 '피해자 J이 AW으로부터 지급받아 오던 수수료를 AZ에 지급하라' 는 내용의 문서를 작성한 후 이를 AW에 보내어 피해자 J으로 하여금 2010. 9.분부터 2014. 10.분까지의 수수료를 지급받지 못하게 하였다. 이로써 피고인 F은 업무상 임무에 위배하여 피해자 J에 액수 불상의 재산상 손해를 가하고 위 AZ과 AW에게 액수 불상의 재산상 이익을 취득하게 하였다. 7. 피고인 E, F의 영업자료 무단 반출에 따른 업무상배임 피고인 F은 피해자 J의 프로그램 개발팀장으로서 'J으로부터 제공받은 정보자산을 불법 유출하지 않는다. 정보자산을 전송할 경우 업무담당 책임자의 승인 하에 전송되어야 한다'라는 보안 준수 서약서를 작성하는 등 피해자 J이 시간과 비용을 들여 축적한 각종 자료들을 외부에 무단 반출하지 않고 피해자 J을 위하여 성실하게 업무를 처리하여야 할 임무가 있었다. 그럼에도 피해자 J에서 이사로 근무하다가 퇴직한 후 관련 업체를 운영하려고 하는 피고인 E은 피고인 F에게 피해자 J의 주요한 영업비밀 자료 내지 영업상 주요한 자산을 빼내어 달라고 요청하고, 피고인 F은 이에 응하여 피해자 J의 주요한 영업상 자료들을 몰래 빼내어 주기로 하였다. 피고인 F은 2013. 3. 21.경 피해자 J의 사무실에서, 이메일을 이용하여 피해자 J의 'CG 기획안' 파일을 피고인 E에게 이메일로 송부하여 주는 방법으로 피해자 J의 영업상 주요한 자료를 피고인 E에게 무단 반출하였다. 이로써 피고인 E, F은 공모하여 위와 같은 업무상 임무에 위배하여 피해자 J의 영업상 주요한 자료를 무단 반출해주고 건네받음으로써 피고인 E으로 하여금 위 반출한 자료들의 가치에 상당하는 액수 불상의 재산상 이익을 취득하게 하고 피해자 J에 액수 불상의 재산상 손해를 가하였다. 증거의 요지 굵게{[범죄사실 제1항 및 제2항(피고인 A, C의 각 개인정보보호법위반)} 1. 피고인 A 및 피고인 C 대표이사 A의 각 일부 법정진술(제28회) 1. 제2회 공판조서 중 증인 BE, BF의 각 진술기재 1. 제7회 공판조서 중 증인 A(피고인 C에 한하여)의 일부 진술기재 1. 제10회 공판조서 중 증인 BG의 진술기재 1. 제14회 공판조서 중 증인 BH, BI의 각 진술기재 1. 피고인 A에 대한 각 일부 검찰 피의자신문조서[제7회 K(이하 증거의 요지에서는 'K'라고만 한다) 진술부분 포함] 1. K에 대한 각 검찰 피의자신문조서 1. BE(이 법원 2018고합665호 사건의 증거목록 순번 38), BG, BF, BJ, BK, BH, BL, BM, BN에 대한 각 검찰 진술조서 1. BJ, BG, K의 각 진술서 1. 수사보고[(주)M와 ㈜C 간의 AF 서비스제공계약서 첨부) 및 그에 첨부된 M-C AF 서비스제공계약서, 수사보고[M(주) 동의서 등 제출] 및 그에 첨부된 M 통계자료 협조요청의 건 공문, 수사보고[C와 M 간 AF 서비스 관련 계약서 첨부] 및 그에 첨부된 M-C AF 서비스제공계약서, 수사보고[M(주) AD 접속 관련 보고] 및 그에 첨부된 BG PC 사진 촬영 출력물, CA, CB, BZ 파일 캡쳐 화면 출력물, 수사보고[C(주) AD DB서버 분석 보고] 및 그에 첨부된 BO(환자정보_AF) 테이블 자료(일부)와 BP(처방정보_AF) 테이블 자료(일부), 수사보고[AD 프로그램 및 관련 서버 프로그램 분석보고, 수사보고[BQ PC에서 발견된 AF 관련 '설치파일.zip' 파일 첨부] 및 그에 첨부된 BQ PC 이미지에서 발견한 '설치파일.zip' 파일(CD), 수사보고[AF 프로그램 및 관련 서버프로그램 분석 보고], 수사보고[AF 서비스로 인한 병의원별 민감정보 유출 현황 보고] 및 그에 첨부된 병의원별 민감정보 유출 현황(병원정보 포함), 병의원별 민감정보 유출 자료(환자 및 처방정보) CD, 수사보고[C(주) DB에 있는 AF 서비스 관련 정보내역], 수사보고[AF 관련 각 의원 동의 여부 파악 보고], 수사보고[C와 M 간 BR 서비스 사용 계약서 첨부] 및 그에 첨부된 BR(ASP) 사용계약서(2007. 12. 3.), 수사보고(M에서 C의 AD 데이터를 활용한 정황 확인) 및 그에 첨부된 'C DATA 활용방안.DOCS(2009. 4. 13.) 출력자료, 수사보고[M(주) 계약서 서류 검토 2차 결과 보고], 수사보고(DB서버에 저장된 자료는 모두 개인정보임을 확인) [범죄사실 제3항](피고인 I의 위증) 1. 제1회 공판조서 중 피고인 I의 진술기재 1. 제9회 공판조서 중 증인 F의 진술기재 1. 제11회 공판조서 중 증인 L의 진술기재 1. 병합 전 이 법원 2018고합752호(2014고단5110호) 사건의 제3회 공판조서 사본 중 증인 I의 진술기재 1. 압수조서(이 법원 2018고합665호 사건의 증거목록 순번 498), 압수물(증제422호) 사본(일부)(같은 증거목록 순번 505) 1. 수사보고(M에 자료를 제공하는 J 및 C의 암호화치환규칙이 동일함을 확인), 수사보고(M에 자료를 제공하는 J 및 C의 암호화치환규칙이 동일함을 확인_수정보고) 및 그에 첨부된(제보자제출)M가 C(주로부터 받은 BZ 파일 비교자료(일부), (변호인제출)M가 C(주로부터 받은 BZ 파일 비교자료(일부), (제보자제출)M가 C(주)로부터 받은 BZ 파일 비교자료(전체), (변호인제출)M가 C(주)로부터 받은 BZ 파일 비교자료(전체) CD, 수사보고(M에서 J 환자 ID 암호화에 관여한 정황 확인) 및 그에 첨부된 이메일출력물, 번역물, 수사보고[M가 환자정보를 연결하여 활용하기 위하여 J에 C와 같은 암호화 방법을 적용시킨 사실 확인] 및 그에 첨부된 각 이메일 자료 (원본), 이메일 자료(번역본)(같은 증거목록 순번 520, 521), 수사보고(피의자 L이 J 데이터의 암호화 및 DB구성에 직접 관여한 사실 확인) 및 그에 첨부된 이메일과 첨부자료(같은 증거목록 순번 555), 수사보고(피의자 L이 동일한 암호화 방식을 J에 요청한 이메일 전달 경로 확인) 및 그에 첨부된 이메일 자료(같은 증거목록 순번 557) 1. F이 서울중앙지법 법정(2014고단5110)에 제출한 이메일 자료, 메일답변.DOCX 파일 출력물, I차장님.DOCX 파일 출력물, M(주) 이메일 압수물 사본(일부), 암호화에 관한 L의 답변 메일(RE:BS update) 출력물, L이 C 직원(B)에게 자료 요청하는 메일 출력물, C-BT data business opportunities, 암호화 문의 메일 출력물(같은 증거목록 순번 523), 암호화 진행 과정 메일 출력물(같은 증거목록 순번 524), 암호화 수정 내용 메일 출력물(같은 증거목록 순번 525) [범죄사실 제4항](피고인 L의 위증방조) 1. 피고인 L의 일부 법정진술(제29회 공판기일) 1. 제8회 공판조서 중 증인 I의 진술기재 1. 제9회 공판조서 중 증인 F의 진술기재 1. 병합 전 이 법원 2018고합752호(2014고단5110호) 사건의 제3회 공판조서 사본 중 증인 I의 진술기재 1. I에 대한 각 검찰 피의자신문조서 1. F(제2회 I 대질 부분 포함)에 대한 각 검찰 피의자신문조서(이 법원 2018고합665호 사건의 증거목록 순번 564) 1. 피고인 L에 대한 제3회 검찰 피의자신문조서 중 F, I 대질 부분 1. 압수조서(같은 증거목록 순번 498), 압수물(증제422호) 사본(일부)(같은 증거목록 순번 505) 1. 수사보고(M에 자료를 제공하는 J 및 C의 암호화치환규칙이 동일함을 확인), 수사보고(M에 자료를 제공하는 J 및 C의 암호화치환규칙이 동일함을 확인_수정보고) 및 그에 첨부된 (제보자제출)M가 C(주로부터 받은 BZ 파일 비교자료(일부), (변호인제출)M가 C(주로부터 받은 BZ 파일 비교자료(일부), (제보자제출)M가 C(주)로부터 받은 BZ 파일 비교자료(전체), (변호인제출)M가 C(주)로부터 받은 BZ 파일 비교자료(전체) CD, 수사보고(M에서 J 환자 ID 암호화에 관여한 정황 확인) 및 그에 첨부된 이메일출력물, 번역물, 수사보고[M가 환자정보를 연결하여 활용하기 위해 J에 C와 같은 암호화 방법을 적용시킨 사실 확인] 및 그에 첨부된 각 이메일 자료 (원본), 이메일 자료(번역본)(같은 증거목록 순번 520, 521), 수사보고(피의자 L이 J 데이터의 암호화 및 DB구성에 직접 관여한 사실 확인) 및 그에 첨부된 이메일과 첨부자료(같은 증거목록 순번 555), 수사보고(피의자 L이 동일한 암호화 방식을 J에 요청한 이메일 전달 경로 확인) 및 그에 첨부된 이메일 자료(같은 증거목록 순번 557) 1. F이 서울중앙지법 법정(2014고단5110)에 제출한 이메일 자료, 메일답변.DOCX 파일 출력물, I차장님.DOCX 파일 출력물, M(주) 이메일 압수물 사본(일부), 암호화에 관한 L의 답변 메일(RE:BS update) 출력물, L이 C 직원(B)에게 자료 요청하는 메일 출력물, C-BT data business opportunities, 암호화 문의 메일 출력물(같은 증거목록 순번 523), 암호화 진행 과정 메일 출력물(같은 증거목록 순번 524), 암호화 수정 내용 메일 출력물(같은 증거목록 순번 525) [범죄사실 제5항, 제6항 (피고인 F의 배임수재 및 수수료 무단 이관으로 인한 업무상배임) 1. 제1회 공판조서 중 피고인 F의 일부 진술기재 1. 제17회 공판조서 중 증인 AY의 진술기재 1. 제19회 공판조서 중 증인 BU의 진술기재 1. 제20회 공판조서 중 증인 BB의 진술기재 1. 제21회 공판조서 중 증인 BV, D(일부)의 각 진술기재 1. 피고인 F에 대한 일부 검찰 및 경찰 피의자신문조서 1. AY에 대한 검찰 피의자신문조서 1. BV, BB, BU, AY에 대한 각 검찰 진술조서 1. D(일부), BB, BV에 대한 경찰 진술조서 1. BB의 진술서 1. 고소장 1. 수사보고(AZ BB 과장과 통화), 수사보고(AW BU와 통화), 수사보고(참고인 BB 거래내역서 제출) 및 그에 첨부된 거래내역서(이 법원 2018고합1115호 사건의 수사기록 제458면 내지 제489면), 수사보고(AW 관련 사건 판결문 첨부) 및 그에 첨부된 서울서부지방법원 2013고합235, 246(병합) 등 사건의 판결문 사본(같은 수사기록 제493면 내지 제638면), 수사보고(BB이 피의자 F에게 교부한 체크카드의 연결계좌 거래내역서 첨부) 및 그에 첨부된 거래내역서(같은 수사기록 제650면 내지 제652면), 수사보고(J BW 전화진술 청취), 참고자료(사실조회 답변의 건, 전표조회, 각 대체전표, 각 세금계산서)(같은 증거목록 순번 35), 수사보고(고소대리인 BV 참고자료 제출) 및 그에 첨부된 AU 연도별 사용현황, VAN서비스계약 현황, 업체별 계약서 사본, 업체별/연도별 매출현황, (재)J 경영진단보고서 사본, 정관 사본, 내부결재 관련 자료(같은 증거목록 순번 39 내지 55), 2010년 내부품의서 사본, 2009년 및 2010년 각 운영위원회 자료 각 사본, 수사보고(피의자 AY 판결문 사본 첨부) 및 그에 첨부된 판결문 사본, 사건검색 출력물, 수사보고(AY에 대한 약식명령문 첨부) 및 그에 첨부된 약식명령문 사본 1. ㈜AV VAN 서비스제휴계약서, 부속합의서, 주식회사 BX 등기부등본(같은 증거목록 순번 14), VAN 서비스제휴계약서(같은 증거목록 순번 17-3, 56), 공문-VAN 서비스제휴계약서에 대한 수수료 정산 요청의 건, 공문-VAN 서비스제휴계약서에 대한 수수료 정산 요청의 건에 대한 답변, 공문-VAN 서비스제휴계약서에 대한 수수료 정산 재요청의 건, 공문-VAN 서비스제휴계약서에 대한 수수료정산 재요청의 건에 대한 답변, 참고자료(품의서, 유지수수료 정산 계약사항 변경의 건(수사기록 제751면 내지 제753면) [범죄사실 제7항[피고인 E, F의 영업자료 무단 반출에 따른 업무상배임] 1. 제1회 공판조서 중 피고인 F, E의 각 일부 진술기재 1. 제21회 공판조서 중 증인 BV의 진술기재 1. 피고인 F, E에 대한 각 일부 검찰 피의자신문조서 1. 피고인 F, E에 대한 각 일부 경찰 피의자신문조서(BV, H, BY 대질 부분 각 포함) 1. BV에 대한 검찰 및 진술조서 1. 고소장 1. 수사보고(고소대리인 BV 참고자료 제출) 및 그에 첨부된 등기이사 명단 1. 이메일자료(이 법원 2015고합1115호 사건의 증거목록 순번 10-2), 보안준수서약서, CG 기획안 법령의 적용 1. 범죄사실에 대한 해당법조 및 형의 선택 가. 피고인 A 각, 구 개인정보 보호법(2016. 3. 29. 법률 제14107호로 개정되기 전의 것) 제74조 제2항, 제71조 제3호, 제23조 제1항(징역형 선택) 나. 피고인 C 각, 구 개인정보 보호법(2016. 3. 29. 법률 제14107호로 개정되기 전의 것) 제71조 제3호, 제23조 제1항 다. 피고인 F 구 형법(2016. 5. 29. 법률 제14178호로 개정되기 전의 것) 제357조 제1항(배임수재의 점), 포괄하여 형법 제356조, 제355조 제2항(수수료 무단 이관으로 인한 업무상배임의 점), 형법 제356조, 제355조 제2항, 제30조(영업자료 무단 반출로 인한 업무상배임의 점(각, 징역형 선택) 라. 피고인 E 형법 제356조, 제355조 제2항, 제30조(피고인 E에게는 업무상 타인의 사무를 처리하는 신분이 없으므로 형법 제33조 단서, 제50조에 의하여 형법 제355조 제2항, 제1항에 정한 형으로 처벌(징역형 선택) 마. 피고인 I 형법 제152조 제1항(징역형 선택) 바. 피고인 L 형법 제152조 제1항, 제32조 제1항(벌금형 선택) 1. 법률상 감경 가. 피고인 I : 형법 제153조, 제55조 제1항 제3호(자백) 나. 피고인 L : 형법 제32조 제2항, 제55조 제1항 제3호(종범) 1.경합범가중(피고인 A, C, F) 각, 형법 제37조 전단, 제38조 제1항 제2호, 제50조(피고인 A, C 주식회사에 대하여는 범정이 가장 무거운 AO에 대한 처방정보 불법 수집으로 인한 개인정보보호법위반죄에 정한 형에 각 경합범가중, 피고인 F에 대하여는 형 및 범정이 가장 무거운 수수료 무단 이관으로 인한 업무상배임죄에 정한 형에 경합범 가중) 1. 노역장유치(피고인 L) 형법 제70조 제1항, 제69조 제2항 1. 집행유예(피고인 A, E, F, I) 형법 제62조 제1항(아래 양형 이유 중 유리한 정상 각 참작) 1. 사회봉사명령(피고인 F) 형법 제62조의2 제1항, 보호관찰 등에 관한 법률 제59조 제1항 1. 추징(피고인 F) 형법 제357조 제3항 1. 가납명령(피고인 F, C, L) 각, 형사소송법 제334조 제1항(벌금형 또는 추징금에 대하여) 피고인들과 변호인들의 주장에 관한 판단 1. 공소사실의 특정 여부(2015고합665호, 2015고합752호 관련) 가. 피고인들과 각 변호인들의 주장 개인정보보호법위반죄는 정보주체마다 별개의 죄가 성립하므로, 정보주체가 누구인지 구체적으로 특정되어야 한다. 그런데 검사가 제출한 2019. 6. 20.자 공소장변경허가신청서와 서면으로 출력하여 위 공소장변경허가신청서에 첨부한 각 범죄일람표에 기재된 정보들 중 주민등록번호가 영문자로 치환되거나 '×' 또는 '0'으로 마스킹 처리된 부분이 존재하고 환자의 이름 전부 또는 일부가 '×'로 마스킹처리되거나 영문자로 치환된 부분 등이 존재한다. 따라서 검사가 제출한 2019. 6. 20.자 공소장변경허가신청서와 그에 첨부된 범죄일람표의 기재만으로는 정보주체를 구체적으로 특정할 수 없으므로, 정보주체를 특정할 수 없는 부분에 대한 공소는 기각되어야 한다. 나. 판단 검사가 제출한 증거들에 의하여 인정되는 아래와 같은 사실 또는 사정들을 종합하면, 검사가 제출한 2019. 6. 20.자 공소장변경허가신청서와 서면으로 출력하여 위 공소장변경허가신청서에 첨부한 각 범죄일람표에 적힌 정보들의 기재 정도로 인하여 피고인들이 방어권을 행사하는 데 지장을 초래할 정도로 공소사실이 특정되지 않았다고 보기는 어렵다. 따라서 피고인들과 변호인들의 위 주장은 받아들이지 않는다. 1) 검사가 제출한 2019. 6. 20.자 공소장변경허가신청서와 서면으로 출력하여 위 공소장변경허가신청서에 첨부한 범죄일람표 내지 기재 자체만을 보면 정보주체를 바로 특정하기 어려운 부분이 존재하기는 한다. 2) 그러나 구 개인정보 보호법(2015. 7. 24. 법률 제13423호로 개정되기 전의 것) 제24조에서 고유식별정보의 경우 분실·도난·유출·변조 또는 훼손되지 아니하도록 대통령령으로 정하는 바에 따라 암호화 등 안전성 확보에 필요한 조치를 하도록 정하고 있다. 따라서 암호화 조치가 취해졌다고 하더라도 바로 개인정보성을 상실한다고 볼 수는 없고, 암호화된 개인정보에 대하여도 암호화 수준에 따라 재식별 가능성 또는 복호화 가능성이 합리적으로 존재한다면 여전히 개인정보에 해당한다고는 보아야 한다. 결국 개인정보가 암호화되었다고 하여 개인정보보호법위반 범행의 결과가 발생할 위험이 전적으로 배제된다고 단정하기 어려우므로, 해당 정보에 대한 비식별화 조치 또는 암호화 조치가 이루어져 그 해당 정보만으로는 곧바로 정보주체를 특정하지 못한다고 하더라도, 바로 공소사실이 특정되지 않은 결과로 귀결된다고 볼 수는 없다(비식별화 조치 또는 암호화 조치가 이루어진 정보의 기재만으로 정보주체를 바로 특정할 수가 없음을 이유로 공소사실이 특정되지 않았다고 본다면, 예컨대 비식별화 또는 암호화된 개인정보를 복호화할 수 있는 방법이나 수단을 가진 사람들에 의하여 행하여지는 개인정보보호법위반 범행에 관하여 공소사실이 특정되지 않았음을 이유로 실체 판단 없이 공소를 기각하여야 하는 불합리한 결과가 발생하게 된다). 3) 특히 개인정보 보호법 제2조 제1호는 해당 정보만으로는 특정 개인을 알아볼 수 없더라도 다른 정보와 쉽게 결합하여 특정개인을 알아 볼 수 있다면 개인정보에 해당한다고 규정하고 있으므로, 검사가 제출한 각 범죄일람표에 기재된 정보들 중 일부에 비식별화 조치 또는 암호화 조치가 되어있다고 하더라도, 같은 범죄일람표에 기재된 다른 정보들과 결합하여 특정 개인을 식별할 수 있는 가능성도 존재한다. 4) 또한 개인정보처리자의 입장에서 그가 보유하고 있는 개인정보와 결합시킬 다른 정보를 합리적인 방법을 통하여 취득할 수 있는지 여부는 궁극적으로 본안에서 판단할 사항이라고 할 것인데, 특히 검사는 이 사건에서 다른 정보들과 결합하여 정보주체를 특정할 수 있다고 주장하고 있으므로, 검사 주장의 당부에 관한 실체심리 없이 형식 판단에서 해당 정보와 다른 정보의 결합가능성이 없어 정보주체가 특정되지 않았다고 판단할 수는 없다. 더욱이 피고인들로서는 검사의 위와 같은 주장에 대하여 다른 정보들과 결합하여도 식별가능한 개인을 특정할 수 없다고 충분히 방어권을 행사할 수 있다고 보인다. 5) 나아가 개별 범죄일람표에 기재된 정보들이 피고인들로 하여금 방어권 행사에 지장을 초래할 정도로 정보주체를 특정할 수 없을 정도에 이르렀는지에 관하여 본다. 가) 검사가 제출한 별지 범죄일람표 은 '요양기관코드', '청구번호', '청구일자', '의료보험증번호', '수진자 성명', '수진자 주민번호', '내원일자'의 정보들로 구성되어 있는데, 위 범죄일람표 제1권은 위 정보들의 실제 내용이 그대로 기재되어 있어 정보주체를 특정함에 특별한 문제가 없고, 같은 범죄일람표 제2권에는 수진자 주민등록번호의 앞 6자리는 실제 숫자로, 뒷 7자리 중 성별을 나타내는 숫자를 제외한 나머지 6자리가 '××××××'로 마스킹 처리가 되어 있기는 하지만, 나머지 정도들은 실제 내용이 그대로 기재되어 있어, 위와 같이 마스킹처리 된 주민등록번호와 나머지 정보들을 결합하면 정보주체를 충분히 특정할 수 있다고 봄이 상당하다. 나) 검사가 제출한 별지 범죄일람표 는 '요양기관코드', '유일한 키값', '환자번호', '환자이름', '주민번호', '처방일자', '진료과', '처방코드명칭'의 정보들로 구성되어 있는데, 위 정보들 중 '요양기관코드', '유일한 킷값', '처방코드명칭', '처방일자'는 비식별화조치가 따로 취해지지 않은 채 실제 내용이 기재되어 있고, '환자번호' 중 일부는 실제 번호가 기재되어 있으나 대부분은 '×××'로 치환되어 기재되어 있으며, 환자이름도 가운데 글자가 '×'로 치환되거나 모두 영문자로 치환되어 있어 위와 같이 치환된 정보들만으로는 바로 정보주체를 특정하기 어려운 면이 있기는 하다. 그러나 실제 내용이 기재되어 있는 나머지 정보, 즉 '요양기관 코드'와 '유일한 킷값', '처방코드명칭', '처방일자'를 결합하여 정보주체를 특정할 수 있는 가능성이 전혀 없다고 보기는 어려운 면도 존재한다. 특히 '유일한 킷값'은 처방일자와 환자번호, 진료과와 기타 정보를 나열한 숫자로 구성되어 있는 것으로 보이기도 하는데, 해당 피고인들이 '유일한 킷값'의 의미를 인식하였는지 여부와 '유일한 킷값'의 정보(구체적으로는 유일한 킷값에 포함된 환자번호)를 합리적인 방법을 통하여 입수한 후 기존의 정보와 결합하는 것이 가능한 것인지 여부는 실체심리 과정에서야 판단가능 한 사안에 해당하므로, 형식판단에 단계에서 그 가능성을 무시한 채 정보주체가 바로 특정되지 않았다고 단정하기는 어렵다. 다) 검사가 제출한 별지 범죄일람표 은 '요양기관코드', '청구번호', '청구일자', '의료보험증번호', '수진자 성명', '수진자 주민등록번호', '내원일자' 등의 정보로 구성이 되어 있는데, 위 정보들 중 실제 성명과 의료보험증번호가 기재되어 있는 정보는 정보주체를 특정함에 있어서 특별한 문제가 없다. 다만, 의료보험증 번호가 'NULL'로 기재되어 있으면서 수진자 성명의 가운데 글자가 '×'자로 치환되거나 영문자로 치환된 정보들은 그 자체만으로 바로 정보주체를 특정하기 어려운 면이 있기는 하다. 그러나 이 경우에도 같은 범죄일람표에 기재되어 있는 나머지 정보들을 결합하여 보면, '특정 생년월일을 가진 남성 또는 여성이 특정 일자에 특정 병원에서 진료를 받았는데, 진료 당시 그 사람에게 부여된 특정 일련번호가 존재한다'는 정도의 정보를 얻을 수 있는데, 해당 피고인들이 특정 병원을 통하여 위 정보를 가진 사람이 누구인지 확인하는 것이 가능하기는 하므로(실제로 해당 피고인이 특정 병원을 통하여 그 정보를 가진 사람을 확인하는 것이 가능한지는 본안에서 판단할 사항이다), 형식판단에 단계에서 그 가능성을 무시한 채 정보주체가 바로 특정되지 않았다고 단정하기는 어렵다. 라) 검사가 제출한 별지 범죄일람표 에는 환자의 실제 이름과 환자의 실제 주민등록번호가 그대로 기재되어 있으므로, 정보주체를 특정하는 별다른 어려움이 없다. 마) 검사가 제출한 별지 범죄일람표 는 '조제일자', '병원코드', '치환주민등록번호', '약국코드', '약품코드', '상병코드', '조제번호' 등의 정보로 구성되어 있는데, 검사가 해당 피고인들이 알파벳으로 치환된 주민등록번호의 암호화 규칙을 공유하고 있었으므로, 실제 주민등록번호로 복호화할 수 있다는 취지로 공소제기 한 이상, 형식판단 단계에서 영문자로 치환된 주민등록번호가 복호화 될 수 있는 가능성을 무시한 채 정보주체가 특정되지 않았다고 단정하기는 어렵다. 2. 범죄사실 제1항 및 제2항의 AF 프로그램 관련 피고인 A, C의 주장에 관한 판단(2015고합665호) 가. 피고인 A, C의 주장 1) 피고인 C는 환자들의 처방정보 등을 수집하려는 M로부터 전자적인 방식으로 정보를 수집할 수 있는 AF 프로그램에 관한 개발을 의뢰받아 프로그램을 개발하여 M에 그 프로그램을 공급하였을 뿐이다. 따라서 피고인 C는 개인정보처리자인 M의 수탁자에 불과하므로, 피고인 A, C를 개인정보 보호법 제71조 제2호, 제26조 제5항, 즉 수탁자가 위탁받은 업무 범위를 초과하여 개인정보를 이용하거나 제공한 행위를 한 것으로 처벌할 수 있을지언정, 피고인 C가 개인정보처리자임을 전제로 하여 개인정보 보호법 제23조를 위반한 것으로 처벌할 수는 없다(이에 반하여 검사는 피고인 C가 병·의원들로부터 전송받아 자신의 데이터베이스 서버에 저장·보유한 행위를 '개인정보처리자'의 지위에서 한 행위임을 전제로 공소제기하였다). 2) 피고인 A에게 AF 프로그램을 통하여 민감정보를 처리한다는 고의가 없었다. 나. 인정사실 검사가 제출한 증거들에 의하면 아래의 사실을 인정할 수 있다. 1) M의 환자들의 처방정보 등 자료 수집 가) M는 M에서 발간하는 질병별 약품 처방량에 관한 통계분석자료인 BZ(BZ, M에서 발간하는 통계자료이다)를 작성하는 데 필요한 환자들의 처방정보 등(이하 '처방보 등'라고만 한다)을 의료법 등 관계 법령에 따라 직무상 환자들의 개인정보를 처리하게 되는 의사 또는 병·의원 소속 의사(이하 '병·의원'이라고만 한다)들로부터 제공받고 있었다. 나) M는 자료 제공에 동의한 병·의원들로부터 M가 제공하는 패드북, M가 제공하는 문서양식 또는 병·의원이 별도의 문서 양식으로 작성한 문서를 이메일이나 출력물 등의 형태로 직접 제공받는 등의 방법으로 환자들의 처방정보 등이 담긴 정보를 제공받고 있었다. 그런데 M가 위와 같이 병·의원들로부터 제공받는 처방정보 등에는 '진료일자', '나이', '성별', '초진/재진', '상병명 또는 질병분류번호', '투약약제명', '제약회사/제형', '1일 투여량', '1일 투여횟수', '투여일수'에 관한 정보이 있었을 뿐이고, 그 밖에 개인을 식별할 수 있는 정보들은 따로 포함되지 않았었다. 2) 피고인 C와 M 사이의 AF 계약의 체결 가) M는 2007년경 위 1)항 기재와 같이 병·의원으로부터 이메일 또는 출력물 형태로 환자들의 처방정보 등을 제공받는 불편함을 덜고자 피고인 C에 전산을 통하여 처방정보 등을 제공받을 수 있는 프로그램을 개발하여 줄 것을 요청하였다. 한편 M(당시 대표이사는 AK이었다)는 피고인 C의 대표자인 피고인 A에게 M가 기존에 병·의원들로부터 제공받았던 처방정보 등을 전산을 통하여 제공받을 수 있는 프로그램을 개발하여 줄 것을 의뢰하였을 뿐이고, 그 밖에 정보, 즉 환자 성명, 주민등록번호, 연락처 등 개인을 식별할 수 있는 정보를 제공하여달라고 요청하지는 않았다. 나) 그리하여 피고인 C와 M는 2007년 경 피고인 C가 개발한 AF 서비스에 관한 이용계약을 체결하였고, M는 AF 서비스 개발 및 이용대가로 일정 금원을 지급하기로 하였다. 3) AF 서비스를 통한 M의 환자들 처방정보 등 취득 가) M는 환자들에 관한 처방정보 등의 제공에 동의한 병·의원 또는 의사들에게 공문을 통하여 처방정보 등을 제공하여 줄 것을 요청하면서 제공 방법에 관하여 기존과 같은 패드북, 이메일 접수 방식 그리고 피고인 C가 개발한 자료전송 프로그램인 AF 프로그램에 관한 안내를 하였다. 나) 병·의원 또는 의사들이 AF 프로그램 방식으로 환자들 처방정보 등을 전송하는 데 동의한 경우, M는 이메일 등을 통하여 병·의원 또는 의사들에게 자료전송 프로그램인 'AN 프로그램' 파일을 전송하고, 병·의원 또는 의사들은 위 파일을 전자차트 프로그램에 설치하였다. 다) 병·의원 또는 의사들은 M로부터 환자들의 처방정보 등에 관한 자료제공을 요청받아 'AN 프로그램'을 실행하게 되면 전자차트에 저장되어 있었던 요양기관코드, 요양기관명, 요양기관 연락처, 처방일자, 보호자명, 보호자 주민등록번호, 환자명, 환자 주민등록번호, 환자 연락처, 의사명 등의 환자정보와 처방일자, 처방약정보, 복용정보 등 처방정보 등 개인을 식별할 수 있는 정보들이 피고인 C의 데이터베이스 서버로 전송되었다. 라) 그 후 M는 AD 프로그램을 실행하여 위 다)항 기재와 같이 피고인 C 서버에 저장되어 있던 처방정보 등 중 일부에 해당하는 약 20개 항목, 즉 요양기관번호, 요양기관 등록번호, 주민등록번호 앞 7자리, 성별, 상병, 내원일자, 처방전 교부번호, 원내/원외, 약코드, 약품명, 약단위, 제약회사, 약 투여량, 약 투여 횟수, 약 투여 일수, 원내사유, 의사코드, 급여 구분, 나이 등의 정보를 다운로드하였다(M가 다운로드한 위와 같은 정보들은 개인을 식별할 수 있는 정보는 아니었던 것으로 보인다). 다. 관계 법령 라. 피고인 C가 AF 프로그램과 관련하여 M로부터 개인정보의 수집 업무를 위탁받은 '수탁자'의 지위에 불과한지 여부 위 나항 기재와 같은 인정사실과 검사가 제출한 증거들에 의하여 인정되는 아래와 같은 사실 또는 사정들을 종합하면, 피고인 C는 개인정보 보호법 제2조 제5호에서 정한 개인정보처리자에 해당하고, 이와 달리 피고인 C가 M로부터 이 부분 범죄사실에 기재된 개인정보의 처리(수집)에 관한 '수탁자'의 지위에 있다고 볼 수 없다. 따라서 피고인 A, C와 변호인의 이 부분 주장은 받아들이지 않는다. 1) 구 개인정보 보호법 제26조 제4항 내지 제6항의 문언과 규정 형식에 비추어, 개인정보 보호법은 위탁자인 개인정보처리자와 개인정보처리자로부터 개인정보의 처리업무를 위탁받은 '수탁자'의 지위를 구분하고 있음이 분명하다. 따라서 수탁자가 위탁받은 업무와 관련하여 개인정보를 처리하는 한 개인정보처리자의 지위와 수탁자의 지위를 동시에 보유할 수 없다고 보아야 한다. 한편 위 개인정보 보호법 제26조 제5항은 "수탁자는 개인정보처리자로부터 위탁받은 해당 업무 범위를 초과하여 개인정보를 '이용'하거나 제3자에게 '제공'하여서는 아니 된다."라고 규정하고 있고, 수탁자가 제26조 제5항을 위반한 경우에는 같은 법 제71조 제2호에 의하여 처벌된다. 그런데 위 개인정보 보호법 제26조 제5항은 수탁자가 위탁받은 업무 범위를 초과하여 개인정보를 '이용'하거나 제3자에게 '제공'하여서는 아니된다고 규정하고 있을 뿐 업무 범위를 초과하여 개인정보를 '수집'하는 경우는 규정하지 않았다. 그렇다면 구 개인정보 보호법 제26조는 수탁자가 개인정보처리자로부터 '위탁받은 업무에 따라 취급하거나 취급하게 되는 개인정보'를 업무 범위를 초과하여 이용하거나 제3자에게 제공하는 경우에 한하여 적용된다고 봄이 상당하고, '위탁받은 업무에 따라 취급하거나 취급하게 되는 개인정보가 아닌' 개인정보의 이용과 제공에 대하여도 같은 법 제26조가 당연히 적용된다고 볼 수는 없고, 이러한 경우에는 그 행위자가 당초의 업무 위탁과는 별도의 사유로 개인정보 보호법 제2조 제5호에서 정한 '개인정보처리자'로 볼 수 있는지 여부에 따라 개인정보처리자를 수범자로 하는 처벌조항의 적용 여부를 판단하여야 할 것이다. 따라서 피고인 A, C가 M로부터 BZ 제작에 필요한 개인정보 수집에 관한 업무를 위탁받아 보유하게 된 정보를 수집에 관한 업무 범위를 초과하여 이용하거나 제3자에게 제공한 경우에 한하여 개인정보 보호법 제71조 제2호, 제26조 제5항에 따라 처벌할 수 있고, M로부터 수집을 위탁받지 않은 정보를 수집하여 처리한 부분에 대하여는 위 조항으로는 처벌할 수 없으며, 피고인 C가 M와의 업무 위탁 관계와는 별도의 사유로 개인정보처리자에 해당하는지 여부에 따라 개인정보처리자를 수범자로 하는 개인정보 보호법 제71조 제3호, 제23조 제1항으로 처벌할 수 있을 뿐이다. 2) 그런데 M의 전 대표이사로서 피고인 C와 AF 프로그램의 개발 및 통계자료의 제공에 관하여 협의했던 AK는 "제공받기로 한 자료는 M에서 발간하는 BZ 제작에 필요한 질병 및 처방내역 BZ의 패드북의 항목과 동일하였고, 일부 의원의 의약품 사용량이었습니다. 환자의 개인정보는 전혀 필요하지 않았고, 피고인 C에 이를 제공해달라고 요청하지도 않았습니다."라고 진술하였고(수사기록 제11946면), M의 AF 사업 담당자인 BG는 이 법정에 증인으로 출석하여 "M가 BZ 통계를 생산하는 데에는, 환자나 보호자의 이름, 주민등록번호, 연락처 등은 필요하지도 않습니다.", "피고인 C가 80개의 데이터를 수집한 사실도 이 사건 수사를 받으면서 알게 되었습니다."라고 진술하였다. 나아가 피고인 A도 이 법정에 증인으로 출석하여 "M는 자신들은 20여 개 정보만 제공받았을 뿐이고, 나머지 60여 개의 정보에 대해서는 피고인 C가 수집하는 줄 몰랐다고 하는데, 아마 그 부분들은 맞을 것입니다.", "피고인 C 서버에 저장되어 있는 데이터와 M가 열람 또는 전송받은 데이터는 동일하지 않은데, 양자 간에 차이가 있는 이유는 피고인 C에서 M가 통계 작성을 위하여 필요하다고 요청한 데이터 항목만 M에 제공하였기 때문입니다.", "피고인 C는 M에서 요구하는 데이터를 추출하기 위하여 '환자와 보호자의 이름과 주민등록번호' 등을 포함한 80개 데이터를 모두 가져올 필요는 없었지만 그냥 편의상 약 80개 데이터를 가져온 것입니다."라고 진술하였다. 위와 같은 진술을 종합하면, 피고인 C는 M로부터 M가 필요한 통계자료(개인을 식별할 수 없는 처방정보 등)의 수집에 관한 업무를 위탁받았을 뿐, 그 외에 개인을 식별할 수 있는 나머지 정보들에 대한 수집에 관한 업무까지 위탁받았다고 보기는 어렵다. 3) 한편 피고인 C는 병·의원으로부터 처방정보 등을 전자적인 방법으로 제공받을 수 있는 AF 프로그램을 개발하여 M에 제공하였고, 병·의원이 AF 프로그램 내 자료전송 프로그램인 'AN 프로그램'을 통하여 제공하는 처방정보 등은 피고인 C의 데이터베이스 서버에 저장되었다. 그렇다면 피고인 C는 업무위탁에 해당하는 당초 M와 체결한 AF 서비스에 관한 이용계약의 범위, 즉 M의 AF 사업담당자 BG가 증언한 총 80여 개의 데이터 중 '20개'의 데이터 범위 내에서는 수탁자의 지위에 있으나, 위 업무위탁의 범위를 넘는 나머지 60여개의 데이터에 관하여는 M와의 업무위탁과 무관하게 위 60여개의 데이터를 활용하려는 독자적인 업무 목적으로 환자들의 처방정보 등 나머지 60여개의 데이터, 즉 개인정보파일을 운용하기 위하여 자료전송 프로그램인 'AN 프로그램'을 통하여 병·의원으부터 진료내역 정보 등을 처리(수집)하는 법인이라고 볼 수 있으므로, 개인정보 보호법 제2조 제5호에서 정한 '개인정보처리자'에 해당한다. 4) 그런데 M는 병·의원의 의사들에게 환자 개인을 식별할 수 없는 통계정보만을 제공받겠다고 알리고 동의를 받았고(증인 BG의 법정진술, 수사기록 제2453면 내지 제2457면, 제11809면), BK, BH, BL, BM 등 의사들도 통계정보만 M에 보내려는 의사였을 뿐 환자 개인을 식별할 수 있는 정보까지 전송하려는 의사가 없었으며, 그 정보를 피고인 C가 수집·저장·보유한다는 점은 더욱 몰랐던 것으로 보인다(증인 BH, BI의 각 법정진술, 수사기록 제2895면, 제9108, 9109면, 제9271, 9272면, 제9385, 9386면). 위와 같은 병·의원 의사들의 진술에 비추어, 피고인 C는 개인정보처리자로서 정보주체인 환자들의 동의 없이 위 나머지 60여개의 데이터에 포함되는 민감정보인 환자정보를 수집하였다고 봄이 상당하다. 5) 피고인 A, C는 단순히 병·의원이 M에 전송하는 정보를 M에 전달한 것이라고 주장한다. 그러나 'AN 프로그램'은 병·의원에 있는 전자차트프로그램 데이터베이스에서 '환자정보, 보험정보, 병명정보, 의사정보, 처방정보'를 추출한 다음 이를 피고인 C의 서버로 전송하는 구조로 프로그래밍 되어 있는데, 'AN 프로그램'은 전자차트 데이터베이스에 암호화된 채 저장된 환자 주민등록번호를 복호화하여 피고인 C의 서버로 전송한 점(수사기록 제6191면 내지 제6201면), 피고인 C는 병·의원으로부터 개인을 식별할 수 있는 민감정보를 수집한 다음 주민등록번호의 뒤 6자리를 마스킹 처리하거나 피고인 C가 수집한 민감정보 중 일부만을 추출하는 등 해당 정보를 가공하여 M에 전송한 점 등에 비추어 보면, 피고인 C가 M로부터 단순히 AF 프로그램의 개발과 서버 제공 업무만을 위탁받았다고 볼 수는 없다. 마. 피고인 A에게 민감정보인 처방정보를 수집·저장·보유한다는 점에 관한 고의가 인정되는지 여부 검사가 제출한 증거들에 의하여 인정되는 아래와 같은 사실 또는 사정들을 종합하면, 피고인 A이 자료전송 프로그램인 'AN 프로그램'을 통하여 병·의원으로부터 환자들의 민감정보를 수집하고 이를 피고인 C의 서버에 저장·보유한다는 사실을 인식하고 있었음을 충분히 인정할 수 있다. 따라서 피고인 A, C와 변호인의 이 부분 주장은 받아들이지 않는다. 1) 피고인 A은 이 법정에 증인으로 출석하여 또는 이 법정에서 이루어진 피고인 신문 과정에서 M가 요청한 통계자료 뿐만 아니라 개인을 식별할 수 있는 정보까지 포함한 다수의 정보를 수집·저장한 이유에 관하여, "('AN 프로그램'을 통하여) M가 요청하는 데이터를 다운로드할 수 있도록 하기 위하여 (피고인 C가) 자료를 다소 포괄적으로 다운로드하는 방식으로 프로그래밍되었습니다. AF 프로그램 개발 당시부터 그러한 사실을 큰 그림으로는 알고 있었습니다.", "M와 AF 프로그램을 이용한 데이터 전송을 협의할 당시 M에 제공할 필드값의 항목이나 수량이 정해지지 않았기 때문에 M에서 어떤 자료를 요청할지 알 수 없었고, 제공을 요청하는 데이터가 변경될 것에 대비하여 더 많은 데이터를 가지고 있었던 것입니다.", "피고인 C는 M에서 요구하는 데이터를 추출하기 위하여 '환자와 보호자의 이름과 주민등록번호' 등을 포함한 80개 데이터를 모두 가져올 필요는 없었지만, 그냥 편의상 약 80개 데이터를 가져온 것입니다."라고 진술하였다. 2) 피고인 C의 직원이었던 BF 역시 이 법정에 증인으로 출석하여 "청구파일 양식 자체가 80개 정도의 데이터를 포함하고 있는데, 이를 그대로 저장하였기 때문에 C가 80개 필드값을 저장하게 된 것으로 알고 있습니다."라고 진술하였다. 관련자들의 위와 같은 진술을 종합하면, 피고인 A은 개인정보 보호법이 시행된 이후에도 피고인 C 서버에 개인정보 보호법 시행 전과 마찬가지로 M가 수집하여 달라고 요청한 통계자료의 범위를 초과하여 환자의 민감정보가 피고인 C 서버에 그대로 전송·저장된다는 점을 인식하고 있었던 것으로 보인다. 3) 비록 피고인 C가 M와 AF 서비스 계약을 체결하여 자동전송 프로그램인 'AN 프로그램'을 개발하였고, 실제로 병·의원으로부터 M가 요청한 통계자료만을 선별하여 추출하는 것이 기술적인 어려움이 존재하였다고 하더라도, 피고인 A이 병·의원 또는 의사들이 사용하는 전자차트프로그램에 저장되어 있는 민감정보인 환자정보를 'AN 프로그램'을 통하여 피고인 C의 데이터베이스 서버로 전송하도록 위 'AN 프로그램'을 설계한 이상, 민감정보인 환자정보를 수집한다는 데 대한 고의가 없었다고 볼 수는 없다. 3. 범죄사실 제4항의 위증방조 관련 피고인 L과 변호인들의 주장에 관한 판단(2015고합665호) 가. 피고인 L과 변호인들의 주장 1) 피고인 L이 2014. 10. 30.경 및 2014. 11. 5.경 I을 만나 I에게 그가 기존 검찰 조사 당시 취한 태도나 의견을 변경할 것인지 여부 등을 문의하였다고 하더라도 I의 위증 범행 결의가 강화되었다거나 위증 범행이 용이하게 되었다고 볼 수 없으므로, 피고인 L의 행위를 위증 범행에 관한 방조행위로 평가할 수 없다. 2) 피고인 L은 I이 2014. 11. 14. 열린 재판에서 J과 M가 암호화 규칙을 공유하였는지 여부에 관한 질문을 받을 것을 인식하지 못하였으므로, I이 위와 같은 질문에 대하여 허위의 진술을 할 것을 인식하지 못하였다. 따라서 피고이 L에게 위증방조 범행에 관한 고의가 없었다. 나. 위증방조죄의 성립 여부 1) 관련 법리 형법상 방조행위는 정범이 범행을 한다는 정을 알면서 그 실행행위를 용이하게 하는 직접·간접의 모든 행위를 가리키는 것으로서 유형적, 물질적인 방조뿐만 아니라 정범에게 범행의 결의를 강화하도록 하는 것과 같은 무형적, 정신적 방조행위까지도 이에 해당한다. 종범은 정범의 실행행위 중에 이를 방조하는 경우뿐만 아니라, 실행착수 전에 장래의 실행행위를 예상하고 이를 용이하게 하는 행위를 하여 방조한 경우에도 성립한다. 방조범에서 요구되는 정범의 고의는 정범에 의하여 실현되는 범죄의 구체적 내용을 인식할 것을 요하는 것은 아니고 미필적 인식이나 예견으로 족하다(대법원 1997. 1. 24. 선고 96도2427 판결, 대법원 2018. 9. 13. 선고 2018도7658 판결 등 참조). 2) 피고인 L의 행위가 위증방조 행위에 해당하는지 여부 검사가 제출한 증거들에 의하여 인정할 수 있는 아래와 같은 사실 또는 사정들을 종합하면, 피고인 L의 행위는 I의 위증 범행을 방조하는 행위에 해당한다고 충분히 인정할 수 있다. 따라서 이와 다른 전제에 선 피고인 L과 변호인의 주장은 받아들이지 않는다. 가) I은 2013. 12. 17.경 검찰에서 참고인조사를 받았다. 그런데 피고인 L은 위 2013. 12. 17. 무렵 I에게 연락하여 '암호화 규칙은 M에서 모르는 것이라고 해 달라. 문자치환 암호화 방식은 J에서 자체 개발한 것으로 진술해 달라. M까지 같이 걸리면 일이 커질 수도 있으니 이렇게 이야기를 해야 사건이 축소될 수 있다'는 취지로 요청하였다. 그 이후에도 피고인 L은 이 검찰에서 조사를 받을 때마다 연락하여 기존의 진술을 바꿨는지 여부에 대하여 문의를 하였던 것으로 보인다(수사기록 제20095면 내지 제20097면). 나) 또한 피고인 L은 2014. 10. 13.경 I에게 "2월 의견서 제출 당시에는 복호화 프로그램의 존재에 대해서 전혀 몰랐던 때이므로 복호화 프로그램이 존재하지 않는다는 사실로 의견서가 작성되었으나 이후 사실관계가 달라졌으므로 적절히 사용을 부탁드립니다.", "첨부된 자료가 민형사상 도움을 드릴 수 있기를 바라며 아울러 M와 관련하여서도 민·형사상 불이익을 당하지 않도록 유의를 부탁드립니다."라고 기재된 이메일을 보내기도 하였다(수사기록 17125면). 다) 특히 피고인 L은 I이 J 등에 대한 정보통신망법위반 등 사건의 증인으로 출석하기로 예정된 2014. 11. 14.로부터 약 2주 전인 2014. 10. 30.경과 약 9일 전인 2014. 11. 5.경 I을 만나 '암호화 규칙을 M와는 무관하게 J에서 독자적으로 개발하였다'는 태도를 취하였던 I의 태도나 시각이 변경되었는지 여부 등을 문의하였다. 라) F은 이 법정에 증인으로 출석하여 '피고인 L 때문에 자신이나 I이 거짓 진술을 한 것이 아니라, 저와 I, 피고인 L 3명이 모두 J이 암호화 방법을 독자 개발한 것으로 진술하는 것이 서로에게 좋겠다고 생각하여 그와 같이 진술하였다'는 취지로 진술하기도 하였고, 피고인 L도 제3회 검찰 피의자신문 당시 '제 생각에는 당연히 J 측에서도 (M가 암호화 규칙을) 모르는 것으로 하는 것이 이득이 될 것이라고 생각을 하였고, 저는 요청이라기보다는 서로 합의를 한 것이라고 생각한다'고 진술하였다. 마) 한편 I이 자신 또는 J의 이익을 위하여 이미 위와 같은 진술을 하기로 마음먹었다고 하더라도, M의 직원인 피고인 L이 향후 수사과정에서나 법정에서 I이 취한 입장과 같은 입장을 취하지 않는다면, I의 입장에서는 수사기관 및 이 법정에서 'J이 M와는 무관하게 암호화 규칙을 개발하였다'고 사실과 다르게 진술하는 목적을 달성하기가 어려워질 뿐만 아니라, 법정에서 허위로 진술하는 데 대한 위증죄의 책임을 홀로 부담하여야 하는 상황이었다. 바) 결국 위와 같은 상황 속에서 피고인 L이 I의 증인 출석 예정 시점에 근접하여 그에게 'J이 독자적으로 암호화 규칙을 개발하였다'는 기존의 태도를 유지할 것인지 여부에 관한 문의를 하였다면, 이는 적어도 I으로 하여금 피고인 L, 나아가 M에서도 J에서 암호화 방법을 독자적으로 개발한 것으로 말을 맞춰줄 것으로 기대하게 하여 I의 위증 범행 결의를 더욱 강화하였다고 봄이 상당하다. 3) 피고인 L에게 위증방조 범행에 대한 고의가 인정되는지 여부 가) 위 2)항에서 살펴본 사정들에다가 다음과 같은 사정, 즉 피고인 L이 J의 개발팀장인 F에게 'J이 M와는 무관하게 자체적으로 암호화 규칙을 개발하였다'고 진술하여 줄 것을 여러 차례 요청할 만큼 '암호화 규칙의 공유' 여부가 수사기관에서 중요한 쟁점으로 다루어졌었고, 피고인 L 역시 수사기관에서 암호화 규칙의 공유 여부에 대하여 추궁하였다는 것을 충분히 인식하고 있었던 것으로 보이는 점 등을 더하여 보면, 피고인 L 입장에서는 I이 그가 소속된 J과 F이 피고인으로 공소제기된 사건에서 '암호화 규칙 공유 여부'에 관한 질문이 나올 것과 그에 대하여 기존 검찰에서 취하였던 태도, 즉 'J이 M와는 무관하게 자체적으로 암호화 규칙을 개발하였다'는 태도를 취할 것임을 미필적이나마 인식하였다고 봄이 상당하고(정범의 고의), 자신도 암묵적이나마 I과 같은 태도를 취할 것임을 나타내면서 I에게 진술 태도를 변경할 것인지 문의함으로써 I의 위증 범행을 강화한다는 고의(방조의 고의)가 있었음을 충분히 인정할 수 있다. 나) 따라서 이와 다른 전제에 선 피고인 L과 변호인의 주장 역시 받아들이지 않는다. 4. 범죄사실 제5항의 배임수재 및 범죄사실 제6항의 수수료 무단이관으로 인한 업무상배임과 관련한 피고인 F과 변호인의 주장에 관한 판단(2015고합1115호) 가. 공통된 전제사실 검사가 제출한 증거들에 의하면 아래의 사실을 인정할 수 있다. 1) AU 프로그램의 개관과 피고인 F의 업무 가) 사단법인 CC(이하 'CC'라고 한다)는 약국관리 프로그램의 일종으로 약사들이 건강보험심사평가원에 요양급여비용을 청구하고 환자관리 및 조제데이터를 입력·저장하는 등의 기능을 갖춘 심사청구 소프트웨어인 AU 프로그램을 개발하여 2000. 8. 14.경 AU 프로그램의 저작권자로 등록하였고, 피고인 J에 그 관리·운영을 위탁하였다. 나) 약국 개설자는 CC의 회원으로 가입하고 연회비를 납부한 다음 CC 홈페이지에서 무료로 AU 프로그램을 다운로드하여 사용할 수 있는데, 전국 약국의 약 50%가 AU 프로그램을 이용하여 약국의 조제정보 저장, 요양급여비용 청구, 재고관리 등의 업무를 하고 있다. 다) 한편 피고인 F은 J 개발팀장으로 근무하면서 AU 프로그램의 개발, AU 프로그램과 신용카드 단말기의 연동 시스템의 개발, 신용카드 단말기 연동에 대한 수수료 정산 등의 업무를 담당하였다. 2) J과 AW 사이의 VAN 서비스 제휴계약 가) J은 2009. 3. 20. J이 관리·운영하는 AU 프로그램과 약국에서 사용하는 VAN 단말기를 연동할 수 있는 시스템을 개발한 후 AW과 사이에 AW이 AU 프로그램과 연동하여 VAN 서비스를 신청한 약국에 단말기, 사인패드, 용지를 무상으로 제공하고 설치 및 관리, 유지보수를 수행하기로 하는 내용의 제휴계약(이하 '이 사건 제휴계약'이라고 한다)을 체결하였다. 나) 이 사건 제휴계약에 따르면, J은 AU 프로그램과 VAN 단말기를 연동할 수 있는 시스템을 개발 또는 업데이트를 하게 되고, 그에 대한 대가로 J은 AW으로부터 결제 수수료 중 일부 금액(신용카드 결제의 경우에는 건 당 40원, 현금영수증의 경우에는 건 당 10원)을 지급받기로 되어 있었다. 3) AW의 피고인 F에 대한 VAN 수수료 인하 또는 이관 요청 가) 그런데 AW 측은 AW의 VAN 단말기와 J의 AU 프로그램을 연동시키는 이 사건 제휴계약에 따라 상당한 수익을 올릴 수 있을 것이라고 기대하였으나 당초 했던 기대와는 달리 큰 수익을 얻지는 못하였다. 나) 그리하여 AW 법인사업팀 소속 팀장 AY과 대리 BU는 더 많은 약국에서 AW의 VAN 단말기를 설치하게 할 방안을 강구하게 되었고, 그 방안 중 하나로 AU 프로그램의 AS업체를 이용하여 약국에서 다른 회사의 VAN 단말기가 아닌 AW의 VAN 단말기를 사용하도록 영업을 하기로 계획하기에 이르렀다. 다) AW 소속 AY, BU는 위 나)항 기재와 같은 경위로 AU 프로그램의 AS업체들에게 영업비 명목으로 지급할 금원을 마련하기 위하여 J 측에 이 사건 제휴계약에 따라 AW이 J 측에 제공하는 수수료를 인하하여 줄 것을 요청하였으나 거절당하였다. 라) 그 후 AW의 AY 등은 J에서 AU 프로그램과 관련된 제반 업무를 총괄하는 피고인 F에게 J 측이 AW으로부터 받는 수수료를 AW의 대리점인 AZ에 이관하여 줄 것을 요청하였다. 4) J의 정상적인 의사결정과정 및 피고인 F의 유지수수료 정산 계약사항 변경에 관한 문서 작성 가) J은 외부 법인 등과의 계약, 공문 발송 및 비품 구입 등 주요 업무에 대하여 내부 품의를 받아야 하고, 정관 제34조의2에 따라 J의 주요 사항, 특히 들어오던 수입을 포기하는 것과 같은 사안은 재적위원 과반수 출석으로 개최하고 출석위원 과반수의 찬성으로 의결하는 운영위원회에서 결정되어야 한다(수사기록 제855 면, 제999, 1000면), 실제로 J은 AW 또는 다른 VAN사업자들과 업무제휴계약을 체결하거나 이를 변경할 당시에는 J의 정관에 따라 운영위원회의 의결을 거쳤다(수사기록 제926, 927면, 제1015, 1016면, 제1053면). 나) 그러나 피고인 F은 AW의 AY 등으로부터 위 3)의 라)항과 같은 요청을 받은 후인 2010. 11. 25. 위와 같이 J 내부규정에서 정한 절차, 즉 운영위원회의 의결 등의 절차를 거치지 아니한 채[피고인 F은 위 수수료 이관조치에 관한 안건을 운영위원회에 상정하지도 않아서(수사기록 제1129, 1130면) 2010년에 6차례에 걸쳐 운영위원회가 개최되었음에도 운영위원회 안건에 AW으로부터 지급받던 수수료를 포기하는 내용은 포함되어 있지 않았다(수사기록 제1035 내지 제1108면)], J의 명의가 아닌 자신의 명의로 이 사건 제휴계약에 따라 J이 가지는 수수료 수령권한을 AZ에 이관한다는 내용의유지수수료 정산 계약사항 변경의 건문서를 작성하여 AW에 교부하였고, 위 문서를 작성할 당시 J에서 일반적으로 통용되는 내부결재시스템을 거치지도 않았다(이와 같이 J이 AW으로부터 지급받을 수 있는 수수료를 AZ에 지급하도록 한 조치를 '이 사건 수수료 이관조치'라고 한다). 5) 이 사건 수수료 이관조치로 인한 대가 취득 피고인 F은 위와 같이 이 사건 수수료 이관조치의 기초가 된 문서를 작성하여 AW에 교부한 이후 AW의 대리점인 AZ BB으로부터 BB 명의의 BC은행 계좌와 연결된 체크카드를 건네받은 후 2011. 2. 11.경부터 2013. 9. 30.경까지 위 체크카드를 이용하는 등으로 합계 36,962,400원을 사용하였다(피고인 F은 위 36,962,400원을 취득한 사실은 인정하면서도 이 사건 수수료 이관조치에 관한 대가성을 부정하였는바, 이에 관하여는 뒤에서 따로 살펴본다). 6) 이 사건 수수료 이관조치 이후 AW의 수수료 미지급 가) 피고인 F이 작성하여 AW에 교부한 위 4)항 기재와 같은 문서에 따라 AW은 2010. 8. 31. 수수료 명목으로 900,000원 상당의 금원을 J에 지급한 것을 끝으로, 2010. 9.분부터 2014. 9.분까지 J에 지급하였어야 하는 이 사건 제휴계약에 따른 수수료를 지급하지 않았다. 나) 이 사건 수수료 이관조치 이후 AW은 실제로 AS업체를 통하여 AW의 단말기에 관한 영업을 하였고, 그에 따라 약국에 설치된 AW의 단말기 숫자가 증가함으로써 이 사건 제휴계약을 기초로 하여 J이 지급받을 수 있었던 2010. 9.분부터 2014. 9.분까지의 수수료 총액은 347,681,640원에 달하였다. 나. 업무상배임죄의 성립 여부 1) 피고인 F과 변호인의 주장 가) J이 AW으로부터 받고 있던 VAN 수수료를 AZ에 이관한 것은 AU 프로그램의 AS업체들이 경영난을 이유로 J에 지원을 요청함에 따라 J원장이었던 D의 승인을 받고 경영상 판단에서 이루어진 행위였을 뿐이므로, 피고인 F은 업무상 임무에 위배하는 행위를 하지 않았고, 배임의 고의도 없었다. 나) 피고인 F이 J의 내부결재 절차를 무시하고 자신의 단독 명의로 수수료의 이관을 요청하는 공문을 만들어 AW에 발송하였을 뿐이다. 따라서 만일 이 사건 수수료 이관조치가 무효라면 J의 AW에 대한 수수료청구권이 여전히 유효하게 존재하므로, J은 손해가 없다. 2) 피고인 F이 주도한 이 사건 수수료 이관조치가 경영상 판단에 따라 이루어진 것으로서 임무위배행위에 해당하지 아니하거나 피고인 F에게 배임에 관한 고의가 인정되지 아니하는지 여부 가) 관련 법리 경영상의 판단을 이유로 배임죄의 고의를 인정할 수 있는지는 문제된 경영상의 판단에 이르게 된 경위와 동기, 판단대상인 사업의 내용, 기업이 처한 경제적 상황, 손실발생의 개연성과 이익 획득의 개연성 등 제반 사정에 비추어 자기 또는 제3자가 재산상 이익을 취득한다는 인식과 본인에게 손해를 가한다는 인식하의 의도적 행위임이 인정되는 경우인지에 따라 개별적으로 판단하여야 할 것이다(대법원 2004. 7. 22. 선고 2002도4229 판결, 대법원 2010. 10. 28. 선고 2009도1149 판결 등 참조). 나) 구체적 판단 위 가항 기재와 같은 인정사실에다가 검사가 제출한 증거들에 의하여 인정할 수 있는 아래와 같은 사실 또는 사정들을 종합하면, 이 사건 수수료 이관조치는 경영상의 판단에 따라 이루어진 행위라고 볼 수 없고, 이 사건 수수료 이관조치를 주도한 피고인 F로서는 위 조치로 인하여 J이 이 사건 제휴계약에 따라 AW으로부터 취득할 수 있었던 수수료를 취득하지 못하게 됨으로써 AW 측에 이익을 주고 나아가 J에 손해를 가한다는 인식, 즉 업무상배임에 관한 고의가 있었다고 충분히 인정할 수 있다. 따라서 이와 다른 전제에 선 피고인 F과 변호인의 주장은 받아들이지 않는다. 피고인 F은 피고인들과 변호인들의 주장에 관한 판단 제4의 가. 4)항에서 살펴본 바와 같이 피고인 F은 J의 내부에서 거쳐야 하는 정상적인 절차를 거치지 아니한 채 J의 명의가 아닌 본인 개인 명의로 이 사건 수수료 이관조치에 관한 문서를 작성하여 AW 측에 송부하였다. 그런데 피고인 F은 이 사건 제휴계약에 따른 수수료 정산 업무 담당자에 불과할 뿐 수수료의 결정이나 수수료 지급 권한의 이관 등에 관한 결정권자가 아니고, J이 이 사건 제휴계약에 따라 수수료를 지급받을 수 있는 권한을 제3자에게 부여할 업무상 필요성이 있더라도 그와 같은 정책변경은 J 운영위원회의 의결을 거쳐 진행되어야 함에도, 피고인 F은 운영위원회의 의결 절차도 거치지 아니한 채 독단적으로 이 사건 수수료 이관조치를 결정하였다. 나아가 피고인 F은 이 사건 수수료 이관조치 과정에서 J이 얻을 수 있는 이익 또는 J이 입을 수 있는 손해 등에 관하여 필요한 정보를 수집·조사하는 과정을 거치지 않았고, 이 사건 수수료 이관조치로 인하여 발생할 결과를 검토하였다고 볼 만한 정황을 확인하기 어려우며, 오히려 뒤에서 살펴보는 바와 같이 피고인 F은 AW 측으로부터 이 사건 수수료 이관조치를 취하는 데 대한 대가를 받을 것을 약속하고 특별한 검토 없이 위 조치를 이행하였다. 피고인 F이 이 사건 수수료 이관조치 당시 J 원장이었던 D에게 이 사건 수수료 이관조치에 관한 보고를 하였고, D도 이 법정에 증인으로 출석하여 '피고인 FAU 프로그램의 AS업체들이 어렵기 때문에 이 사업 부분을 그 쪽과 연결시켜 주면 좋겠다고 말하자 자신이 그 말에 동의를 하였다'고 진술하여 피고인 F의 변소에 부합하는 듯한 진술을 하기는 하였다. 그러나 J의 원장이었던 D도 이 사건 수수료 이관조치가 정상적인 문서 결재 과정을 거치지 아니한 채 F의 개인 명의로 이루어진 것은 몰랐다고 진술하였고, 피고인 F이 AW 측으로부터 이 사건 수수료 이관조치 이후에 금전적인 이익을 취득하기로 한 사정을 알지 못하였던 것으로 보이므로, 당시 D 입장에서는 피고인 F로부터 AU 프로그램의 보급 활성화를 위한 것이라는 보고를 받고 이 사건 수수료 이관조치에 동의한 것으로 보일 뿐이고, 이 사건 수수료 이관조치가 AU 프로그램의 활성화와는 무관한 것임을 알았더라면 위와 같은 동의를 하였을 것이라고 보기는 어렵다. 피고인 F은 AU 프로그램의 보급을 활성화하기 위하여 이 사건 수수료 이관조치를 취한 것이라고 주장하나, 다음의 사정들에 비추어, 이 사건 수수료 이관조치는 AU 프로그램의 보급 활성화를 위한 조치라고 보기는 어렵다. 이 사건 수수료 이관조치가 AU 프로그램의 보급 활성화를 위한 목적으로 이루어진 것이라면 적어도 이 사건 수수료 이관조치를 주도한 피고인 F과 AW 측 사이에서 AU 프로그램의 보급 활성화를 위한 방안이 논의되었어야 함이 마땅하나, 그와 같은 논의가 있었다는 정황을 확인하기 어렵다. 오히려 AW 소속 AY, BU는 검찰 참고인조사 과정에서 'AZ이 AU(프로그램)의 영업을 한 것이 아니라 그에 연동된 AW의 단말기 영업을 한 것이다'라거나 'J이 받던 수수료를 AU (프로그램)의 AS업체에 이관하는 것이 AU(프로그램) 활성화와 별다른 연관은 없다'라는 취지로 진술하였을 뿐이다(수사기록 제742, 743면, 제764면 내지 제766면, 제820, 821면, 제910면, 제914면), 또한 AZ의 직원인 BB은 검찰 참고인조사 당시 'J으로부터 AZ이 이관받은 수수료로 AU (프로그램)의 영업을 한 것이 아니라 그에 연동된 AW의 단말기 영업을 하였다'는 취지로 진술하였고(수사기록 제442면), 이 법정에 증인으로 출석하여서는 'AZ에서 J으로부터 받은 수수료를 AU (프로그램) AS업체들에게 AU 프로그램 설치 실적이 아닌 AW VAN 영업실적에 따라 지급하였다'는 취지로 진술하였다. AW AZ에 지급한 돈 중 일부가 AU 프로그램의 AS 업체들에 지급되기는 하였으나 그 중 상당 부분이 AU 프로그램의 AS업체들에 대한 지원금이 아닌 AZ의 비용 등으로 지출되었던 것으로 보인다(수사기록 제460면 내지 489면). J은 2000년경에 AU 프로그램을 개발한 이래 이 사건 수수료 이관조치가 이루어진 2010. 11. 25.경까지 AU 프로그램 AS업체들에게 관리비용을 지급한 적이 없었다(수사기록 제665 면, 제801면). 오히려 2009. 8. 3.경 AS업체인 업무제휴협약을 체결한 주식회사 CD는 개별 약국으로부터 AU 프로그램의 유지, 보수에 대한 비용을 직접 청구하여 지급받았다(수사기록 제430면, 제435면). J 측의 BV도 "J에서는 AU(프로그램)의 AS 업체들을 지원한 적도 없고, 지원할 이유나 필요도 전혀 없다."라고 진술하였다(수사기록 제419면). 실제로 이 사건 수수료 이관조치에도 AU 프로그램을 사용하는 약국의 수는 2010. 12. 기준 10,053개, 2011. 12. 기준 10,114개, 2012. 12. 기준 10,090개, 2013. 12. 기준 10,334개, 2014. 12. 기준 10,215개, 2015. 6. 기준 10,574개로 큰 변화가 없었다(수사기록 제932면 내지 제944면, 오히려 전 J원장이었던 D이 퇴임한 2013년부터 AU 프로그램을 사용하는 약국의 수가 증가하고 있는 것으로 보인다). 비록 AWN J에 지급해야 할 수수료가 위와 같은 수수료 이관 조치 이후 크게 증가하였지만 이는 AU 프로그램을 사용하는 약국의 수가 증가했기 때문이 아니라, AU 프로그램을 사용하던 약국에서 기존에 사용하던 다른 VAN사업자의 단말기를 AW의 단말기로 교체하여 AW의 단말기를 사용하는 약국이 증가하였기 때문인 것으로 보일 뿐이고(수사기록 3권 제932면, 제1119면), 오히려 이 사건 수수료 이관조치에 따라 J에서는 위와 같이 AW의 VAN 단말기 이용이 증가하였음에도 그에 따른 수수료 증가의 이익을 누릴 수 없게 되었다. 만약 피고인 F에게 AU 프로그램 영업을 활성화하기 위한 목적이 있었다면 J과 업무제휴관계에 있던 다른 VAN 사업자들이 J에 지급하던 수수료 역시 AZ에 이관되어 AS업체에 지급되었어야 함에도 J과 업무제휴계약을 체결한 VAN사업자들 중 AW이 지급하던 수수료만 유일하게 AZ에 이관되었다. 오히려 2010. 4. 1.경 개최된 2010년 2차 J 운영위원회에서는 다른 VAN사업자인 AV로부터 지급받는 수수료를 대폭 인상하기도 하였다(수사기록 제1000면, 제1064면, 제1066면). 뿐만 아니라 피고인 F은 아래에서 살펴보는 바와 같이 위와 같은 수수료 이관의 대가로 적지 않은 금전적인 이익까지 취득하였다. 3) 재산상 손해와 인과관계가 인정되는지 여부 가) 관련 법리 배임죄에 있어 재산상의 손해를 가한 때라 함은 현실적인 손해를 가한 경우뿐만 아니라 재산상 실해 발생의 위험을 초래한 경우도 포함되고, 재산상 손해의 유무에 대한 판단은 본인의 전 재산 상태와의 관계에서 법률적 판단에 의하지 아니하고 경제적 관점에서 파악하여야 한다. 따라서 법률적 판단에 의하여 당해 배임행위가 무효라 하더라도 경제적 관점에서 파악하여 배임행위로 인하여 본인에게 현실적인 손해를 가하였거나 재산상 실해 발생의 위험을 초래한 경우에는 재산상의 손해를 가한 때에 해당되어 배임죄를 구성한다(대법원 1992. 5. 26. 선고 91도2963 판결, 대법원 2014. 2. 13. 선고 2011도16763 판결 등 참조). 나아가 형사재판에서 배임죄의 객관적 구성요건요소인 손해 발생 또는 배임죄의 보호법익인 피해자의 재산상 이익의 침해 여부를 판단할 때에는 위 대법원 판례를 기준으로 하되 구체적 사안별로 타인의 사무의 내용과 성질, 그 임무위배의 중대성 및 본인의 재산 상태에 미치는 영향 등을 종합하여 신중하게 판단하여야 한다(대법원 2017. 7. 20. 선고 2014도1104 전원합의체 판결 참조). 한편 이러한 재산상 손해의 유무에 관한 판단은 법률적 판단에 의하지 아니하고 경제적 관점에서 실질적으로 판단되어야 하는데, 여기에는 재산의 처분 등 직접적인 재산의 감소, 보증이나 담보제공 등 채무 부담으로 인한 재산의 감소와 같은 적극적 손해를 야기한 경우는 물론, 객관적으로 보아 취득할 것이 충분히 기대되는데도 임무위배행위로 말미암아 이익을 얻지 못한 경우, 즉 소극적 손해를 야기한 경우도 포함된다(대법원 2003. 10. 10. 선고 2003도3516 판결, 대법원 2013. 4. 26. 선고 2011도6798 판결 등 참조). 나) 구체적 판단 피고인들과 변호인들의 주장에 관한 판단 제4의 가. 6)항에서 살펴본 바와 같이 J은 AW과 VAN 서비스 제휴계약을 체결한 이래 위 계약에서 정한 수수료 중 2010. 8.분까지는 정상적으로 지급받고 있었으나(수사기록 1권 59면, 2권 제802 내지 제817면), 피고인 F이 작성해 준 같은 제4의 가. 4) 나)항 기재와 같은 내용의 공문에 따라 AW이 J에 지급하지 않고 AZ에 이관해 주는 바람에 2010. 9.분부터 2014. 9.분(AW은 J의 항의에 따라 2014. 10.분부터의 수수료는 지급하겠다는 의사를 표시하였다. 수사기록 4권 49면)까지의 수수료를 지급받지 못하였다. 따라서 배임행위로 평가되는 피고인 F의 이 사건 수수료 이관조치로 인하여 AW은 2010. 9.분부터 2014. 9.분에 이르기까지 약 4년에 걸쳐 이 사건 제휴계약에 따라 J에 지급하여야 하는 수수료를 J이 아닌 AZ에 지급하였고, 그로 인하여 J은 이 사건 제휴계약에 따라 AW으로부터 취득할 수 있었던 수수료를 지급받지 못하는 결과가 발생하였다. 그렇다면 이 사건 수수료 이관조치가 J의 명의가 아닌 피고인 F의 개인 명의로 이루어진 것이고 상대방인 AW이 그와 같은 사실을 알고 있었다고 하더라도, J을 대신하여 AZ에 수수료가 지급된 시기와 액수에 비추어, J에 재산상 실해 발생의 위험이 충분히 발생하였다고 봄이 상당하므로, 이와 다른 전제에 선 피고인 F과 변호인의 주장은 받아들이지 않는다. 다. 배임수재죄의 성립 여부 1) 피고인 F과 변호인의 주장 피고인 F은 AW의 AY으로부터 'J이 AW으로부터 지급받는 수수료를 AZ에 지급할 수 있게 해달라'는 취지의 부정한 청탁을 받은 적이 없고, 그에 대한 대가로 36,962,400원을 취득한 것도 아니다. 2) 구체적 판단 피고인들과 변호인들의 주장에 관한 판단 제4의 가항 기재와 같은 공통된 전제사실, 위 나의 2) 나)항에서 살펴본 사정들 및 검사가 제출한 증거들에 의하여 인정할 수 있는 아래와 같은 사정들을 종합하면, 피고인 F은 AW으로부터 '이 사건 수수료 이관조치를 하여달라'는 부정한 부탁을 받고 그에 대한 대가로 36,962,400원을 취득하였다고 충분히 인정할 수 있다. 따라서 이와 다른 전제에 선 피고인 F과 변호인의 주장은 받아들이지 않는다. 가) AW의 AY은 피고인 F에게 J의 수수료의 이관을 부탁하게 된 경위에 관하여, 검찰 참고인조사 당시 '영업비 자금 마련을 궁리하던 중 AW에서 J에 지급하는 수수료를 가지고 AW의 단말기 영업자금으로 사용하면 좋겠다는 생각이 들어 처음에는 피고인 F에게 AWJ에 지급하던 수수료 액수를 좀 낮춰 달라고 부탁하다가 그 후 아예 수수료를 AW 대리점인 AZ으로 이관해 달라고 부탁하였습니다'라고 진술하였고(수사기록 제764면), "AZ에서 피고인 F에게 준 돈의 출처는 J에서 받던 수수료를 AZ이 대신 받아서 그 돈 중 일부를 피고인 F에게 준 것입니다. 수수료 이관에 대한 대가입니다. 피고인 F을 잘 아는 것도 아니고 수수료 이관에 대한 대가 이외에 돈을 줄 이유는 없습니다."라고 진술하였으며(수사기록 제769면, 제914면), 이 법정에 증인으로 출석하여서는 "(피고인 F에게 돈을 준 이유에는) 피고인 F이 제 부탁을 받고 J에서 실제 받고 있던 수수료를 AZ으로 이관하는 것을 허락했기 때문에 그에 대한 고마움의 표시라는 면도 일부 포함되어 있습니다."라고 진술하였다. AW의 직원인 BU도 피고인 F에게 수수료 감액 및 이관을 부탁하게 된 경위에 관하여 AY과 동일한 취지로 검찰에서 진술하였고(수사기록 제743면), 이 법정에서는 "(피고인 F에게 돈을 준 이유 중에는) 수수료 이관 문제에 관해서 AW의 일을 도와주었기 때문에 사례를 하겠다는 취지도 포함되어 있습니다. 그때 당시에 수수료 이관 문제 외에 피고인 F이 AW의 일을 도와준 것은 없었습니다."라고 진술하였다. AZ의 직원인 BB도 이 법정에 증인으로 출석하여 "AW과 AZ은 수수료 이관 후에 영업상의 필요와 감사의 표시 등으로 피고인 F에게 돈을 주었습니다."라고 진술하였다. 나) AY이 BB을 통하여 피고인 F에게 지급한 돈은 36,962,400원에 달하여 아무런 대가 없이 수수되었다고 보기 어렵고, 피고인 F은 이 사건 수수료 이관조치를 취한 직후부터 AZ 직원 BB 명의로 개설된 계좌와 연동된 체크카드를 사용하였는데, 이 사건 수수료 이관조치 시점과 위 금원 수수가 시작된 시점도 매우 근접하다. 다) 뿐만 아니라 피고인 F은 AZ의 직원인 BB의 개인 계좌에 연동된 체크카드를 사용함으로써 마치 BB이 위 체크카드를 직접 사용하는 것과 같은 외관을 띄게 하는 은밀하고 이례적인 방법을 사용하였는바, 이는 정상적인 금원을 취득하는 방법으로 보기에는 매우 부자연스럽다. 라) J과 AW 사이의 2009. 3. 20.자 'VAN 서비스 제휴계약서'에는 AW이 J에 유지수수료로 신용카드 승인 건당 40원, 현금 영수증 건당 10원을 수수료로 지급하는 것으로 기재되어 있었는데(수사기록 제36 내지 제40면), 피고인 F이 작성하여 AW에 발송한 2010. 11. 25.자 '유지수수료 정산계약사항 변경의 건' 문건과 AW 내부에서 정산지급처를 변경하는 내용의 2010. 11. 29.자 '품의서'에는 유지수수료를 신용카드 승인 건당 50원으로 증액하는 것으로 기재되어 있다(수사기록 제751, 752면). 이에 대하여 AY은 이 법정에서는 왜 10원이 차이가 나는지 몰랐다는 취지로 진술하였으나, 검찰에서 참고인조사 당시에는 "수수료를 이관해 주는 대가로 F에게 결제 건당 10원씩을 지급할 수 있게 만들어 둔 것이다. 2010. 8. 내지 2010. 9.경 F에게 수수료를 이관해 주면 회식비 등 돈을 챙겨주겠다고 이야기가 되었는데, 2011. 11.경 수수료 이관에 대한 공문 초안을 피고인 F에게 보내주면서 그 무렵 피고인 F에게 수수료를 이관해 주면 챙겨주겠으니 수수료를 40원에서 50원으로 올려달라고 말하였다."라고 진술하였고(수사기록 제822, 823면), 검찰 피의자신문 당시에는 "수수료 단가 50원 중 10원은 J에 챙겨주고 나머지 40원으로 영업활동을 하기로 하고 CE 전무에게도 그렇게 보고를 했던 것은 맞습니다. 다만, 피고인 F에게 줄 10원을 마련하기 위하여 50원으로 증액했던 것은 아닌 것으로 보여 이야기하는 것입니다."라고 진술하였다(수사기록 제912면). 살피건대, AY이 검찰 조사 당시 한 진술은 이 법정에서 한 진술과 달리 그 내용이 구체적일 뿐만 아니라 수사기관에서 알기 어려운 사정도 스스로 기억하여 진술한 것이어서 그 진술의 신빙성을 인정할 수 있는바, 그에 따르면 AY은 늦어도 2010. 11. 29.자 품의서를 작성하여 자신의 상사인 CE 전무에게 보고할 무렵에는 이미 피고인 F에게 수수료 이관에 대한 대가를 지급하기로 계획하고 있었음이 분명하다. 마) 배임수재죄의 '부정한 청탁'이란 반드시 업무상배임의 정도에 이를 것을 요하지 않으며, 사회상규 또는 신의성실의 원칙에 반하는 것이면 족하므로(대법원 2011. 2. 24. 선고 2010도11784 판결 등 참조), 이 사건 수수료 이관조치가 금전적 대가의 수수와 결부되어 J에 구체적으로 이익 또는 손해를 발생시키는 행위인지 여부에 관한 합리적인 검토 없이 이루어진 이상, 사회상규 또는 신의성실의 원칙에 반하는 부정한 청탁의 대가로 금품을 수수하였다고 봄이 상당하다. 5. 범죄사실 제7항의 업무상배임과 관련한 피고인 E, F의 주장에 관한 판단(2015고합1115호) 가. 피고인 E, F과 변호인들의 주장 피고인 F이 피고인 E에게 건네 준 'CG 기획안'은 피해자 J의 영업상 주요한 자산에 해당하지 아니하므로, 피고인 F이 피고인 E에위 자료를 건네주었다고 하더라도, 업무상배임죄는 성립하지 않는다. 나. 인정사실 1) 피고인 E, F의 지위 피고인 E은 2007. 3.경부터 2013. 3. 7.경까지 J에서 상임이사로 재직하였고, 피고인 F은 2009. 1.경부터 2014. 5. 31.경까지 피해자 J의 개발팀장으로 근무하였다. 2) 피고인 F의 보안 준수 서약서 작성 피고인 F은 2008. 5. 30.경 '1. 본원(J)으로부터 취득한 모든 정보를 업무에 한해서만 이용한다. 2. 본원으로부터 제공받은 정보자산(서류, 사진, 전자파일, 저장매체, 전산장비 등)을 무단 변조, 복사, 훼손, 분실 등으로부터 안전하게 관리하고, 불법유출을 하지 않는다. 3. 상대가 누구이건 간에(본원 직원, 계약직 사원, 고객 등) 알 필요가 없는 자에게 본원 혹은 제3자의 소유 정보를 누설하지 않는다. …… 6. 본원 소유 정보자산을 보호하기 위하여 본원 통신망을 통하여 수·발신되는 전자문서를 점검할 수 있으며, 정보자산을 전송할 경우 업무담당 책임자의 승인하에 전송되어야 한다.'는 내용의 보안 준수 서약서에 서명하였다(수사기록 제4권 제51면). 3) 피고인 E의 자료 송부 요청 및 그에 따른 피고인 F의 자료 송부 가) 피고인 E은 2013. 3. 7.경 피해자 J에서 퇴직한 후 사업을 구상하는 과정에서 2013. 3. 21.경부터 2013. 6. 13.경까지 피고인 F에게 J에서 보유하고 있는 자료를 이메일로 송부하여 줄 것을 요청하였고, 이에 피고인 F은 피고인 E의 요청에 따라 여러 차례에 걸쳐 피해자 J의 자료를 피고인 E에게 전송하였다. 나) 피고인 F이 2013. 3. 21. 이메일을 통하여 피고인 E에게 전송한 'CG 기획안'(이하 '이 사건 CG 기획안'이라고 한다)은 피해자 J의 웹사업팀에서 기획하여 2013. 3. 19.경 피해자 J의 이사회에서 발표한 자료로서 위 기획안의 내용은 크게 '1. CG 개요, 2. 분석, 3. 구축 계획, 4. 운영계획, 5. 개발 일정'으로 구성되어 있는데, 그 주요 내용은 아래와 같다(수사기록 제6권). 다. 업무상배임죄의 성립 여부 1) 관련 법리 회사 직원이 경쟁업체 또는 스스로의 이익을 위하여 이용할 의사로 무단으로 자료를 반출한 행위를 업무상배임죄로 의율함에 있어서는, 그 자료가 반드시 영업비밀에 해당할 필요까지는 없다고 하더라도, 적어도 그 자료가 불특정 다수인에게 공개되어 있지 않아 보유자를 통하지 아니하고는 이를 통상 입수할 수 없고, 그 자료의 보유자가 자료의 취득이나 개발을 위하여 상당한 시간, 노력 및 비용을 들인 것으로 그 자료의 사용을 통하여 경쟁자에 대하여 경쟁상의 이익을 얻을 수 있는 정도의 영업상 주요한 자산에는 해당할 것을 요한다고 할 것이다(대법원 2011. 6. 30. 선고 2009도3915 판결, 대법원 2016. 7. 7. 선고 2015도17628 판결 등 참조). 업무상배임죄의 실행으로 인하여 이익을 얻게 되는 수익자가 소극적으로 실행행위자의 배임행위에 편승하여 이익을 취득하는 데 그치지 않고 배임행위를 교사하거나 또는 배임행위의 전 과정에 관여하는 등으로 실행행위자의 배임행위에 적극 가담한 경우에는 업무상배임죄의 공동정범이 된다고 할 것이다(대법원 1999. 7. 23. 선고 99도1911 판결, 대법원 2007. 2. 8. 선고 2006도483 판결 등 참조). 2) 이 사건 CG 기획안이 영업상 주요한 자산에 해당되는지 여부 위 나항 기재와 같은 인정사실에다가 검사가 제출한 증거들에 의하여 인정되는 다음과 같은 사실 또는 사정들을 종합하면, 이 사건 CG 기획안은 불특정 다수인에게 공개되어 있지 않아 보유자인 피해자 J을 통하지 아니하고는 이를 입수할 수 없고 피해자 J이 위 자료의 구상 및 작성을 위하여 상당한 시간, 노력 및 비용을 들인 것으로 이를 통하여 경쟁상 이익을 얻을 수 있는 정도의 영업상 주요 자산에 해당한다고 봄이 상당하다. 가) 이 사건 CG 기획안은 피해자 J의 웹사업팀이 만들어 J 내부의 이사회에 별도로 보고한 자료로서 피해자 J 외에 외부에 공개되지 않았었고, 따라서 J 내부의 직원이 아닌 한 이를 취득하기가 어려웠던 것으로 보인다. 나) 컨텐츠 사업의 경우에는 사업의 내용을 구성하는 컨텐츠 자체에 관한 아이디어를 발현해 내는 것 자체가 중요할뿐더러, 시장에서 다른 경쟁업체보다 해당 컨덴츠 사업 자체를 선점하여 진행하는 것이 사업의 성공과 밀접한 관계에 있다고 볼 수 있다. 다) 그런데 이 사건 CG 기획안의 내용을 보더라도, CG 사업은 피해자 J의 첫 번째 모바일사업 아이템으로 진행하기로 계획된 것으로서 새로운 사업을 진행하는 데 필요한 기획안이고, 그와 같은 기획안을 도출하는 데 상당한 노력과 시간이 소요되었다고 봄이 상당하며, 이 사건 CG 기획안이 J 내부의 '이사회'에 보고될 정도로 중요한 자료라고 보인다. 라) 피고인 F은 J의 웹사업팀이 2013. 3. 19. 이사회에서 이 사건 CG 기획안을 발표한 지 이틀밖에 지나지 않은 시점인 2013. 3. 21. 피고인 E에게 이 사건 CG 기획안을 건네주었다. 그런데 피고인 E은 그 당시 J에서 계속 근무하다가 2013. 3. 7.경 피해자 J을 퇴직한 후 새로운 사업을 구상하던 중에 있었으므로, 피고인 E이 그와 같은 시점에 이 사건 CG 기획안을 취득하였다면, 이 사건 CG 기획안에 기재되어 있는 내용을 참조하여 자신의 사업 아이템으로 선점하여 개발을 시작할 수 있었다. 그로 인하여 피해자 J에서 구상하고 있었던 CG 기획안이 실제로 실현된다고 하더라도 경쟁자인 피고인 E의 존재로 당초 예상했던 효과를 제대로 거두지 못할 가능성도 배제할 수 없는 상황이었다고 보인다. 마) 한편 피고인 F, E은, 이 사건 CG 기획안의 사업성을 검토하기 위하여 피고인 F이 피고인 E에게 위 기획안을 보낸 것이라고 주장하나(2015고합1115호 수사기록 제681면, 제892면), 2005년 J에 입사한 이래 범죄사실 제7항 기재 업무상배임 범행(이하 '이 부분 범행'이라고 한다) 시점까지 피고인 F이 자신의 소관도 아닌 웹사업팀이 발표한 이 사건 CG 기획안의 사업성을 이미 J을 퇴사한 피고인 E에게 검토하여 달라고 보냈다는 위와 같은 변소는 일반인의 경험칙에 비추어 쉽사리 수긍하기 어렵다. 3) 피고인 E을 배임죄의 공범으로 볼 수 있는지 여부 위 나항의 인정사실 및 검사가 제출한 증거들에 의하여 알 수 있는 다음과 같은 사정, 즉 피고인 E은 2007. 3.경부터 2013. 3. 7.경까지 피해자 J의 상임이사로 근무하면서 피해자 J의 일선 실무를 총괄할 뿐만 아니라 향후 운영방안이나 영업전략을 비롯한 발전계획 등의 수립에도 관여할 수 있는 지위에 있었던 점, 피고인 E은 퇴사 직후 사업을 구상하면서 피해자 J 재직 시절 부하 직원이었던 피고인 F에게 연락하여 피해자 J의 자료 송부를 요청하여 이 사건 CG 기획안을 포함한 여러 자료들을 전달받은 점, 위와 같은 방법으로 전달받은 이 사건 CG 기획안 등은 그 제목만 보더라도 모두 피해자 J의 운영현황이나 운영방안 또는 수익 창출을 위한 계획 등과 관련된 것이어서 피고인 E이 퇴직 후 구상하던 사업이 피해자 J의 활동 또는 영업과 연계되었을 가능성을 시사하는 점, 그런데 피고인 E은 전직 상사라는 지위 또는 연고관계를 이용하여 여러 차례 요청하여 그 요청을 거절하지 못한 피고인 F로 하여금 업무상 임무를 위배하여 피해자 J의 영업상 주요한 자산에 속하는 이 사건 CG 기획안을 외부에 유출하도록 한 것이어서 피고인 E이 피고인 F에게 이 부분 범행의 계기를 제공하고 이 부분 범행 과정에도 적극 관여한 것으로 볼 수 있는 점 등에 비추어, 피고인 E은 피고인 F이 저지른 이 부분 범행으로 인하여 이익을 얻게 되는 수익자로서 소극적으로 피고인 F의 이 부분 범행에 편승하여 이익을 취득하는 데 그친 것이 아니라 피고인 F의 이 부분 범행 배임행위의 전 과정에 관여하는 등으로 피고인 F의 이 부분 범행에 적극 가담하였음을 알 수 있으므로, 피고인 E을 피고인 F이 저지른 업무상배임죄의 공동정범으로 볼 수 있다. 4) 소결론 따라서 이와 다른 전제에 선 피고인 E, F과 변호인들의 주장은 받아들이지 않는다. 양형의 이유 [피고인 A] 1. 법률상 처단형의 범위 : 징역 1월 ~ 징역 5년 2. 양형기준의 적용 여부 : 개인정보보호법위반죄에 대하여 양형기준이 따로 설정되어 있지 아니하다. 3. 선고형의 결정 : 징역 6월, 집행유예 1년 피고인 A은 피고인 C의 대표자로서 M와의 사이에 체결된 AF 계약에 따라 특정개인을 알아 볼 수 없는 정보만을 수집하면 충분함에도 개인을 식별할 수 있는 처방정보를 만연히 수집하여 13,000건의 환자 처방정보를 수집하였고, 특히 특이질병 또는 희귀질병을 앓고 있는 특정 개인의 입장에서는 제3자에게 환자 처방정보가 유출될 경우 그의 인격권 등이 침해당할 가능성 발생할 소지가 있는 등 그 죄질이 좋다고 보기는 어렵고, 이 부분 개인정보보호법위반 범행이 유죄로 인정됨에도 수사기관 및 이 법정에서 자신의 범행을 부인하는 등 범행 후의 정황도 좋다고 볼 수는 없다. 그러나 피고인 A은 개인정보 보호법 시행 이전부터 특정개인을 알아볼 수 있는 개인정보를 수집하던 중 개인정보 보호법이 시행된 이후에도 법 시행 초기의 혼란스러운 상황에서 기존부터 해 오던 행위를 지속하여 왔던 것으로 보이는 점, 범행 당시에는 전자차트 프로그램에서 통계 작성에 필요한 정보만을 별도로 추출하는 작업에 기술적·시기적인 한계가 존재하여 통계 작성에 필요한 정보(특정개인을 알아 볼 수 없는 정보)만을 추출하는 데 현실적인 어려움이 있었던 것으로 보이고, 위와 같은 이유로 피고인 A이 통계 작성에 필요한 정보뿐만 아니라 위와 같은 정보와 같은 위치에 있었던 개인을 식별할 수 있는 정보까지 함께 수집하였던 것으로 보이는 점, 피고인 A이 이 부분 개인정보보호법위반 범행으로 취득한 환자 처방정보를 제3자에게 누설하는 등 별개의 범죄행위를 하였다거나 다른 범죄행위에 위 환자 처방정보를 제공한 사실이 확인되지 않는 점, 그리하여 피고인 A을 포함한 피고인 C의 일부 직원 외에 피고인 C가 수집한 환자 처방정보를 인식할 수 있었던 사람은 없었던 것으로 보이므로, 정보주체에 실질적인 피해가 발생하였다고 단정하기 어려운 점 등 피고인 A에게 유리한 정상도 다수 존재한다. 따라서 위와 같은 사정에다가 피고인 A의 연령, 성행, 환경, 가족관계 등 양형의 조건이 되는 제반 사정까지 모두 고려하여 주문과 같이 형을 정한다. [피고인 C] 1. 법률상 처단형의 범위 : 벌금 50,000원 ~ 벌금 75,000,000원 2. 양형기준의 적용 여부 : 개인정보보호법위반죄에 대하여 양형기준이 따로 설정되어 있지 아니하다. 3. 선고형의 결정 : 벌금 5,000,000원 피고인 C의 대표자인 피고인 A에 대한 양형의 이유에서 살펴본 사정들을 감안하여 주문과 같이 형을 정한다. [피고인 E] 1. 법률상 처단형의 범위 : 징역 1월 ~ 징역 5년 2. 양형기준에 따른 권고형의 범위 [유형의 결정] 횡령·배임범죄 > 01. 횡령·배임 > [제1유형] 100,000,000원 미만 [특별양형인자] 없음 [권고영역 및 권고형의 범위] 기본영역, 징역 4월 ~ 징역 1년 4월 3. 선고형의 결정 : 징역 6월, 집행유예 1년 피고인 E은 피해자 J에서 상임이사로 근무한 자로서 피해자 J에서 퇴직한 직후 자신의 사업 구상에 필요하다는 이유로 피고인 F에게 피해자 J의 영업상 주요자산으로 평가되는 이 사건 CG 기획안을 제공하여 주도록 요청하였고, 그리고 인하여 피고인 F이 이 사건 CG 기획안 반출로 인한 업무상배임 범행에 가담하게 되는 등 피고인 E의 죄질이 결코 가볍지 않다. 그러나 피고인 E은 동종의 범죄전력이 없는 점, 피해자 J 측이 이 사건 CG 기획안을 가지고 실제 사업을 영위하였다고 볼만한 정황을 확인하기 어렵고, 피고인 E이 피고인 F로부터 제공받은 이 사건 CG 기획안으로 실제로 경쟁업체를 설립하거나 경쟁사업을 벌인 정황도 확인하기 어려우므로, 이 사건 CG 기획안 반출행위로 인하여 피해자 J에 실질적인 피해가 발생하였다고 보기는 어려운 점 등 피고인 E에게 유리한 정상도 존재한다. 위와 같은 사정에다가 피고인 E의 연령, 성행, 환경, 가족관계 등 양형의 조건이 되는 제반 사정까지 모두 고려하여 주문과 같이 형을 정한다. [피고인 F] 1. 법률상 처단형의 범위 : 징역 1월 ~ 징역 15년 2. 양형기준에 따른 권고형의 범위 가. 제1범죄(배임수재) [유형의 결정] 배임수증재범죄 > 01. 배임수재 > [제2유형] 30,000,000원 이상, 50,000,000원 미만 [특별양형인자] 가중요소 : 수재와 관련하여 부정한 업무 처리를 한 경우 [권고영역 및 권고형의 범위] 가중영역, 징역 1년 ~ 2년 6월 나. 제2범죄(업무상배임) [유형의 결정] 횡령·배임범죄 > 01. 횡령·배임 > [제1유형] 100,000,000원 미만 [특별양형인자] 없음 [권고영역 및 권고형의 범위] 기본영역, 징역 4월 ~ 징역 1년 4월 라. 다수범죄 처리기준에 따른 권고형의 범위 : 징역 1년 ~ 징역 3년 2월(제1범죄 상한 + 제2범죄 상한의 1/2) 3. 선고형의 결정 : 징역 1년 6월, 집행유예 3년, 사회봉사명령 120시간 피고인 F은 피해자 J에서 개발팀장으로 재직하면서, AU 프로그램과 VAN사업자들의 신용카드 단말기 연동에 대한 수수료 정산 등의 업무를 담당하였으므로, 비영리 공익 재단법인인 피해자 J 구성원들의 이익을 위하여 공정하게 업무를 처리하여야 업무상 임무가 있었음에도, AW 측으로부터 이 사건 수수료 이관조치를 하여달라는 부정한 청탁과 함께 2011. 2. 11.경부터 2013. 9. 30.경까지 장기간에 걸쳐 합계 36,962,400원을 취득하였는바, 그 죄질이 좋지 아니하고, 피고인 F에 대한 배임수재, 업무상배임의 범행이 유죄로 인정됨에도 수사기관에서부터 이 법정에 이르기까지 자신의 범행을 부인하면서 피해자 J이 입은 손해를 보전하려는 특별한 노력을 기울이지 아니하는 등 범행 후의 정황도 좋지 아니하다. 그러나 한편, 피고인 F은 범죄 전력이 없는 초범인 점, 이 사건 수수료 이관조치로 인하여 피해자 J이 회복하기 어려운 손해를 입었다고 보기는 어려울 뿐만 아니라, 이 사건 수수료 이관조치는 민사적인 관점에서는 권한 없는 자에 의하여 행해진 조치로서 무효로 볼 수 있고, 따라서 피해자 J 측이 여전히 AW 측에 이 사건 제휴계약상에 따른 수수료 채권을 가지고 있어 피해자 J의 손해가 현실화되었다고 보기 어려운 측면도 존재하는 점, 피해자 J 측이 이 사건 CG 기획안을 가지고 실제 사업을 영위하였다고 볼만한 정황을 확인하기 어렵고, 피고인 E이 피고인 F로부터 제공받은 이 사건 CG 기획안으로 실제로 경쟁업체를 설립하거나 경쟁사업을 벌인 정황도 확인하기 어려우므로, 이 사건 CG 기획안 반출 행위로 인하여 피해자 J에 실질적인 피해가 발생하였다고 보기는 어려운 점 등 피고인 F에게 유리한 사정도 존재한다. 따라서 위와 같은 사정에다가 피고인 F의 연령, 성행, 환경, 가족관계 등 양형의 조건이 되는 제반 사정까지 모두 고려하여 주문과 같이 형을 정한다. [피고인 I] 1. 법률상 처단형의 범위 : 징역 1월 ~ 징역 2년 6월 2. 양형기준에 따른 권고형의 범위 [유형의 결정] 위증·증거인멸범죄 > 01. 위증 > [제1유형] 위증 [특별양형인자] 감경요소 : 자수·자백 [권고영역 및 권고형의 범위] 감경영역, 징역 1월 ~ 징역 10월 3. 선고형의 결정 : 징역 6월, 집행유예 1년 형사재판에서의 위증은 실체적 진실발견을 어렵게 하고, 적절한 형벌권 행사에 관한 법원의 사법기능을 훼손하는 행위로서 엄히 처벌할 필요가 있는바, 피고인 I은 당시 재판 과정에서 중요한 쟁점으로 다루어졌던 부분에 관하여 허위로 진술하였으므로, 그 죄질이 좋다고 보기는 어렵다. 그러나 피고인 I은 범죄전력이 없는 초범인 점, 수사 초기 단계에서부터 자신의 위증 범행을 시인한 이후 이 법정에 이르기까지 자신의 위증 범행을 자백하였는바, 위증죄의 자백은 형의 필요적 감경사유에 해당하는 점, 피고인 I에 대한 공소사실 자체에 의하더라도 피고인 I은 검사의 물음에 대하여 단순히 "예"라고 대답하는 방식으로 허위의 진술을 하였다는 것에 그치고, 나아가 피고인 I이 허위의 사실을 적극적으로 나서 구체적으로 진술하였다고 보이지는 아니하는 점, 피고인 I의 위증 범행이 재판의 결과에 중대한 영향을 미치지는 아니한 점 등 피고인 I에게 유리한 정상도 존재한다. 따라서 위와 같은 사정에다가 피고인 I의 연령, 성행, 환경, 가족관계 등 양형의 조건이 되는 제반 사정까지 모두 고려하여 주문과 같이 형을 정한다. [피고인 L] 1. 법률상 처단형의 범위 : 벌금 50,000원 ~ 벌금 5,000,000원 2. 양형기준의 적용 여부 : 벌금형을 선택하므로 양형기준을 적용하지 아니한다. 3. 선고형의 결정 : 벌금 2,000,000원 형사재판에서의 위증은 실체적 진실발견을 어렵게 하고, 적절한 형벌권 행사에 관한 법원의 사법기능을 훼손하는 행위로서 엄히 처벌할 필요가 있는데, 피고인 L의 위 증방조범행은 당시 재판 과정에서 중요한 쟁점으로 다루어졌던 부분에 관하여 피고인 I의 위증결의를 강화한 것으로서 그 죄질이 좋다고 보기는 어렵다. 그러나 피고인 L은 범죄전력이 없는 초범인 점, 피고인 L은 피고인 I의 위증 범행을 적극적으로 교사하는 방법으로 위증 범행을 야기한 것이 아니라 이미 위증 범행을 결심한 피고인 I으로 하여금 피고인 I의 위증 범행을 정신적으로 강화시켜준 것에 불과하여 방조범에 해당하는데, 방조범의 경우에는 형을 필요적으로 감경하여야 하는 점, 피고인 L이 피고인 I에게 위증에 대한 대가를 지급할 것을 약속하는 등으로 적극적인 방조행위를 하였다고 보기도 어려운 점, 피고인 L의 위증방조 범행으로 인하여 피고인 I이 위증 범행으로 나아가기는 하였으나, 그것이 재판의 결과에 중대한 영향을 미치지는 아니한 점 등 피고인 L에게 유리한 정상이 다수 존재한다. 따라서 위와 같은 사정에다가 피고인 L의 연령, 성행, 환경, 가족관계 등 양형의 조건이 되는 제반 사정까지 모두 고려하여 주문과 같이 형을 정한다. 무죄 부분 1. 이 법원 2015고합665호 사건의 공소사실 중 피고인 A, B, C의 요양급여비용 청구사전심사 프로그램 관련 민감정보인 환자 진료정보 불법보유로 인한 각 개인정보보호법위반의 점(이하 '이 부분 공소사실'이라고 한다)에 관한 판단 가. 이 부분 공소사실의 요지 1) 전제사실 병·의원은 일정기간 환자들을 진료한 내역에 대하여 건강보험심사평가원에 요양급여비용을 청구하기 위하여, 그 기간 동안 진료한 환자들의 명세서, 요양급여비용 청구의 근거가 되는 환자의 진료내역 및 처치내역, 요양급여 청구내역 등을 건강보험심사평가원에서 요구하는 양식에 따라 전자문서교환 파일(Electronic Data Interchange, 이하 'EDI 파일'이라고 한다) 형태로 생성하여 제출하는데, 위 EDI 파일에는 환자들의 성명, 주민등록번호, 의료보험증번호 등 환자들의 개인정보와 의사의 코드, 면허번호, 상병, 약물코드, 복용량, 처방일수, 처방전 교부번호, 진료일자 등 환자진료정보 및 처방내역정보가 포함된다. 피고인 C는 2002년경부터 건강보험심사평가원에 요양급여비용을 청구하기 전에 환자별 진료내역을 분석하여 건강보험심사평가원에서 발표한 심사지침에 맞게 진료내역을 분석하여 지침에 어긋나는 내용을 사전점검할 수 있는 요양급여청구 사전심사시스템(이하 'AD 프로그램'이라고 한다)을 개발한 후, 직접 판매영업을 하거나 판매대행사인 주식회사 CJ을 통하여 전국 7,439여 개의 병·의원에 위 프로그램을 판매하여 배포하여 왔다. 피고인 A, B은 2007년경 위와 같이 병·의원들에 AD 프로그램이 공급되어 구축됨을 기화로, AD 프로그램에서 생성·처리하는 EDI파일에 들어있는 환자들의 성명, 주민등록번호, 의료보험증번호 등 환자들의 개인정보와 의사의 코드, 면허번호, 상병, 약물코드, 복용량, 처방일수, 처방전 교부번호, 진료일자 등 환자 진료정보 및 처방내역정보들을 진료의사 및 정보주체인 환자들의 동의 없이 피고인 C가 관리하는 데이터베이스 서버로 무단 전송받아 저장·보유한 후, 이를 M 등 제3자에게 판매하여 수익을 올리기로 공모하였다. 2) 구체적인 공소사실 피고인 C는 의료정보시스템 개발업체로서 요양급여비용 사전심사청구 프로그램인 AD 프로그램을 병·의원에 공급하고 그 과정에서 환자 진료정보 데이터를 취급하고 있는 개인정보처리자이다. 2011. 9. 30. 개인정보보호법 시행 전에 법률의 근거 또는 정보주체의 동의 없이 제3자로부터 개인정보를 제공받아 목적 외의 용도로 이용하고 있는 개인정보처리자라도 개인정보 보호법 시행 이후부터는 정보주체의 동의를 받아야 하고, 만일 정보주체의 동의 없이 제3자의 개인정보를 계속 보유하게 되면 개인정보의 불법 보유에 해당된다. 피고인 A, B은 2008. 3.경부터 2011. 9.경까지 다수의 병·의원으로부터 범죄일람표 순번 1 내지 200,000 기재와 같이 건강보험심사평가원에 요양급여비용을 청구하기 위한 EDI 파일을 정보주체인 환자들의 동의나 법령의 근거 없이 임의로 피고인 C의 데이터베이스 서버로 전송받아 2011. 10. 1.경부터 2014. 12. 2.경까지 환자별 진료정보 200,000건을 환자들의 동의를 받지 아니하고 보유하였다. 이로써 피고인 A, B은 공모하여 법령의 근거 또는 환자들의 동의 없이 민감정보인 환자정보 200,000건을 보유하였고, 피고인 C는 그 대표자인 피고인 A과 종업원인 피고인 B이 피고인 C의 업무에 관하여 정보주체인 환자들의 동의 없이 환자별 진료정보를 보유하였다. 나. 피고인 A, B, C와 변호인의 주장 1) AD 프로그램과 관련하여 범죄일람표 에 기재된 정보는 환자의 민감정보에 해당하지 않는다. 따라서 피고인 A, B, C가 민감정보를 처리하였음을 전제로 하는 개인정보 보호법 제74조 제2항, 제71조 제3호, 제23조 제1항 위반죄는 성립하지 않는다. 2) 피고인 C는 민감정보인 환자정보에 관한 개인정보처리자인 병·의원으로부터 병·의원의 사무처리를 위한 목적으로 AD 프로그램을 통하여 환자정보를 위탁받은 수탁자일 뿐 개인정보처리자가 아니다. 따라서 피고인 C에 대하여 개인정보 보호법 제71조 제3호, 제23조 제1항 위반죄가 성립하지 아니하고, 피고인 C가 개인정보처리자가 아닌 이상 실제 행위자들인 피고인 A, B에 대하여도 개인정보 보호법 제74조 제2항, 제71조 제3호, 제23조 제1항 위반죄도 성립하지 않는다. 3) 설령 그렇지 않더라도, 피고인 C가 개인정보 보호법 시행 전에 AD 프로그램의 EDI 파일을 C 서버에 보관한 것은 개인정보 보호법 시행 전에 수집한 정보를 보유하면서 기존의 수집 목적 범위 내에서 이용하는 것에 불과하여 개인정보 보호법 부칙(2011. 3. 29. 법률 제10465호, 이하 '개인정보 보호법 부칙'이라고만 한다) 제4조에 따라 적법하다. 다. 인정사실 검사와 피고인 A, B, C의 변호인이 제출한 증거들에 의하면 아래의 사실이 인정된다. 1) AD 프로그램의 개관 가) 병·의원은 일정기간 환자들을 진료한 내역에 대하여 국민건강보험공단에 요양급여비용을 청구하면서 사전에 건강보험심사평가원에 요양급여비용에 관한 심사청구를 하게 되는데, 그 과정에서 건강보험심사평가원에 발표한 심사지침에 어긋나게 요양급여비용을 청구하여 금액을 삭감당하거나 요양급여비용을 받을 수 있는 항목을 누락하여 청구하는 등 금전적인 손해가 발생하기도 하였다. 나) 피고인 C는 2004년경 병·의원이 건강보험심사평가원에 요양급여비용을 청구하기 전에 그 청구가 적정하게 이루어졌는지 여부 등을 심사할 수 있는 프로그램인 AD 프로그램을 개발하여 병·의원에 공급하여 왔다. 2) 피고인 C 등과 병·의원 사이의 AD 프로그램 사용계약 등의 체결 가) 피고인 C는 2004년경부터 2014년경까지 주식회사 CJ과 사이에, 피고인 C가 개발한 AD 프로그램의 국내 시장 판매권 및 영업권을 주식회사 CJ에 부여하는 내용의 AD 판매 및 공급에 관한 계약을 체결하였고(수사기록 제1467 면 내지 제1470면), 주식회사 CJ은 위 기간 동안 CK 내과의원 등 병·의원과 AD 프로그램에 관한 서비스 이용계약을 체결하였다. 주식회사 CJ과 병·의원들이 체결한 위 계약의 일부 내용은 아래와 같다(수사기록 제1489면 내지 제1494면). 나) 한편 위 가)항에 기재된 바와 같이 AD 프로그램의 판매는 주로 주식회사 CJ을 통하여 이루어졌으나, 피고인 C는 일부 병·의원에 대하여 직접 AD 프로그램을 판매하기도 하였는데, 피고인 C와 병·의원 사이에서 체결된 계약의 주요 내용은 아래와 같다. 3) AD 프로그램의 설치 및 프로그램 실행과정 가) AD 프로그램은 피고인 C의 홈페이지에서 다운로드하여 설치할 수 있는데, AD 프로그램을 설치한 후 위 프로그램을 로그인하게 되면 아래와 같은 내용의 '개인정보 위탁확약서'가 팝업창 형식으로 컴퓨터 화면에 나타나게 된다. 나) 위 '개인정보 위탁확약서'의 팝업창 하단에는 "위 내용을 확인하였으며, 동의합니다."는 문구와 함께 위 문구를 인지하였음을 확인하는 의미의 체크박스('□')가 나타나게 되고 위 내용에 동의를 하지 않으면, 위 팝업창이 사라지지 않고 계속하여 나타난다. 다) 병·의원 의사들은 AD 프로그램 서비스를 이용하려면 위 프로그램을 실행하여 '파일접수' 버튼을 누르고, 그 경우 위 프로그램에는 '파일 업로드'라는 제목으로 '청구파일 접수 중'이라는 안내창이 게시되고, 접수가 완료되면 "건의 청구서 FILE을 저장하였습니다. 잠시 후 진행상황을 확인하세요"라는 안내창이 게시되며, 이후 접수현황 메뉴를 통하여 '대기', '심사', 단계를 거쳐 '완료' 상태로 진행되면 그 심사 결과를 확인할 수 있게 된다. 라. 피고인 C가 '개인정보처리자'에 해당하는지 여부 1) 관련 법리 개인정보 보호법 제17조 제1항 제1호, 제26조, 제71조 제1호의 문언 및 취지에 비추어 보면, 개인정보 보호법 제17조에서 말하는 개인정보의 '제3자 제공'은 본래의 개인정보 수집·이용 목적의 범위를 넘어 정보를 제공받는 자의 업무처리와 이익을 위하여 개인정보가 이전되는 경우인 반면, 개인정보 보호법 제26조에서 말하는 개인정보의 '처리위탁'은 본래의 개인정보 수집·이용 목적과 관련된 위탁자 본인의 업무 처리와 이익을 위하여 개인정보가 이전되는 경우를 의미한다. 개인정보 처리위탁에 있어 수탁자는 위탁자로부터 위탁사무 처리에 따른 대가를 지급받는 것 외에는 개인정보 처리에 관하여 독자적인 이익을 가지지 않고, 정보제공자의 관리·감독 아래 위탁받은 범위 내에서만 개인정보를 처리하게 되므로, 개인정보 보호법 제17조에 정한 '제3자'에 해당하지 않는다. 한편 어떠한 행위가 개인정보의 제공인지 아니면 처리위탁인지는 개인정보의 취득 목적과 방법, 대가 수수 여부, 수탁자에 대한 실질적인 관리·감독 여부, 정보주체 또는 이용자의 개인정보 보호 필요성에 미치는 영향 및 이러한 개인정보를 이용할 필요가 있는 자가 실질적으로 누구인지 등을 종합하여 판단하여야 한다(대법원 2017. 4. 7. 선고 2016도13263 판결 참조). 2) 구체적 판단 위 다항 기재와 같은 인정사실에다가 검사와 피고인 A, B, C의 변호인이 제출한 증거들에 의하여 인정되는 아래와 같은 사실 또는 사정들을 종합하면, 병·의원에서 근무하는 의사들은 자신들의 사무인 건강보험심사평가원에 대한 요양급여비용의 심사청구 전에 그 내용을 점검하는 업무를 주식회사 CJ을 통하여 피고인 C에 또는 직접 피고인 C에 위탁한 것으로 봄이 상당하고, 이와 달리 검사가 제출한 증거들만으로는 피고인 C가 개인정보 보호법 제2조 제5호에서 정한 개인정보처리자에 해당한다고 단정하기 어렵다. 가) 국민건강보험법 제47조 제1항에 따라 요양기관은 국민건강보험공단에 요양급여비용의 지급을 청구할 수 있고, 같은 조 제2항에 따라 요양기관은 위와 같이 요양급여비용을 청구하기 위하여는 건강보험심사평가원에 요양급여비용의 심사청구를 하여야 한다. 따라서 건강보험심사평가원에 요양급여비용을 심사청구하기 전에 요양기관인 병·의원이 요양급여비용을 적정하게 청구하는 것인지 여부를 점검하는 것은 본래 병·의원 또는 의사들의 업무에 해당한다고 보아야 하고, 병·의원 또는 의사들은 자신들의 이익을 위하여 요양급여비용 청구의 적정성 여부에 관한 자신들의 심사 업무를 전문업체인 피고인 C에게 위탁하면서 환자정보를 제공하였다고 봄이 상당하다. 나) 피고인 C가 공급하는 AD 프로그램을 실행하는 과정에서 화면에 나타나는 '개인정보 위탁확약서'에 의하더라도 피고인 C를 '수탁자', 병·의원을 '위탁자'로 규정하면서 수탁자인 피고인 C는 업무 외의 목적으로 개인정보를 활용하지 못하도록 정하였다. 또한 피고인 C는 병·의원의 동의 없이는 위탁업무를 제3자에게 다시 위탁할 수 없고(제3조), 병·의원으로부터 제공받은 개인정보를 활용 목적 범위 내에서만 처리할 수 있을 뿐만 아니라(제4조), 병·의원으로부터 위탁받은 업무와 관련하여 제공받아 보유하고 있는 개인정보의 관리현황 등에 대하여 병·의원의 점검 및 감독을 받게 되어 있는바(제5조), 위 규정들에 의하더라도 피고인 C는 정보제공자인 병·의원의 관리·감독 아래에서 위탁받은 범위 내에서만 개인정보를 처리하였던 것으로 보인다. 다) 피고인 C 또는 피고인 C로부터 AD 프로그램에 관한 판매권과 영업권을 취득한 주식회사 CJ은 병·의원에 AD 프로그램 서비스 제공에 대한 대가로 일정 금원을 지급받았을 뿐이고, 피고인 C가 병·의원으로부터 환자정보를 제공받으면서 병·의원에 대가를 지급하지는 않았다. 라) AD 프로그램 자체가 병·의원에서 건강보험심사평가원에 요양급여비용에 관한 심사청구를 하기 전에 건강보험심사평가원에서 발표한 지침에 따라 요양급여비용이 적절하게 청구되었는지 여부를 사전에 점검하는 기능을 가졌으므로, 환자에 대한 각 처방내역과 적용수가의 적정성을 검토하기 위하여 피고인 C가 환자정보를 제공받는 것이 사전에 예정되어 있었던 것이다. 따라서 피고인 C의 입장에서는 AD 프로그램 서비스를 제공하는 과정에서 병·의원으로부터 환자정보를 제공받았을 뿐, 병·의원으로부터 환자정보를 취득하는 것 자체를 목적으로 하였다고 볼 수도 없다. 마) CM, CN 등 병·의원의 의사 또는 관계자들이 수사기관 또는 이 법정에 증인으로 출석하여 환자들의 정보가 피고인 C의 서버에 제공되는 것을 몰랐고 이를 허락하지도 않았다는 취지로 진술하기는 하였다. 그러나 주식회사 CJ이 병·의원과 직접 체결한 AD 서비스 계약서(이용신청서)의 제공내역란 '인터넷 보안서버 운영'이라고 기재되어 있어 AD 프로그램 서비스 제공과정에서 외부 서버가 사용된다는 점이 나타나는 점, 앞서 살펴보았듯이 병·의원 의사들이 AD 프로그램을 실행할 때 팝업창으로 나타나는 개인정보 위탁확인서 제4조에는 수탁자가 개인정보 활용 범위 목적 이외에는 어떠한 형태로든 개인정보(여기서는 환자정보)를 수집·생성·저장하지 않는다고 규정하고 있는바, 병·의원 관계자들로서도 수탁자인 피고인 C가 개인정보 활용 범위 목적 내에서는 개인정보를 수집 또는 저장하는 것을 용인한 것으로 보이는 점, 위 라)항 기재 AD 프로그램의 기능상 사전점검을 위하여서는 환자정보가 필요할 수밖에 없고 이는 병·의원의 의사 또는 관계자들도 충분히 이를 예측할 수 있었다고 보일 뿐만 아니라 실제로 병·의원 의사들이 AD 프로그램을 사용하면서 요양급여비용 청구 사전심사 서비스를 이용하기 위하여는 직접 환자정보가 담긴 파일을 업로드하였던 것으로 보이는 점, CO내과의원에서 사무장으로 근무하였던 BI은 이 법정에 증인으로 출석하여 'AD 프로그램 사용 시 환자정보가 C의 서버에 전송된다는 사실을 알았다'고 진술하기도 한 점 등에 비추어, 일부 병·의원 관계자들의 진술만으로 병·의원과 피고인 C 사이의 위탁관계가 부정된다고 보기 어렵다. 바) 검사는 개인정보 보호법 제26조 제1항에 따라 개인정보처리자가 제3자에게 개인정보의 처리 업무를 위탁하는 경우에는 위탁업무 수행 목적 외 개인정보의 처리 금지에 관한 사항 등의 내용이 포함된 '문서'에 의하여야 하는데, 병·의원과 주식회사 CJ 또는 피고인 C와의 사이에, AD 프로그램 사용에 관한 계약을 체결하면서 개인정보 보호법 제26조에서 정한 절차를 거친 바 없으므로, 피고인 C를 '수탁자'로 볼 수 없다는 취지로 주장한다. 그러나 위 개인정보 보호법 제26조는 개인정보의 처리 업무를 위탁하는 경우 그 절차 또는 방식을 정한 것일 뿐이므로, 병·의원이 주식회사 CJ 또는 피고인 C와 AD 프로그램 사용에 관한 계약을 체결하면서 위 조항에서 정한 절차나 방식을 지키지 않았다고 하더라도 이는 개인정보 보호법 제75조 제3항 제4호에 따라 과태료 부과의 대상이 될 수 있을지언정, 개인정보 처리의 '위탁'의 성질이 '위탁'이 아닌 것으로 변경된다고 볼 수 없다. 사) 검사는 개인정보 보호법 제6조에서 개인정보 보호법 관하여 다른 법률에 특별한 규정이 있는 경우에는 개인정보 보호법에 우선하여 그 법률이 적용된다고 규정하고 있고, 의료법은 민감정보의 위탁을 금지하고 있으므로, 피고인 C는 민감정보인 환자정보의 '수탁자'가 될 수 없다는 취지로도 주장한다. 그러나 다음과 같은 사정들, 즉 개인정보 보호법에 민감정보의 위탁을 금지하는 명시적인 조항이 없는 점, 오히려 업무위탁에 따른 개인정보의 처리 제한에 관한 조항인 개인정보 보호법 제26조 제7항은 민감정보의 처리 제한에 관한 같은 법 제23조를 준용하도록 정하고 있으므로, 개인정보 보호법상으로도 민감정보의 위탁 자체는 가능하다고 해석할 여지가 있는 점, 의료법 제18조 제2항에서 전자처방전에 저장된 개인정보를 누출하여서는 안되다고 정하고 있기는 하나, 개인정보의 '누출'에 개인정보의 '위탁'이 당연히 포함된다고 보기도 어려운 점, 행정안전부에서 발간한 개인정보 보호 법령 및 지침·고시 해설에서는 "의료법 등에 따른 전자처방전, 전자의무기록 등의 공유·제공을 위하여 관리업체를 활용하는 것은 서비스 제공에 관한 계약을 이행하기 위하여 필요한 개인정보 취급위탁에 해당하므로 별도의 동의 획득 없이 정보주체에 대하여 공개하여야 하며, 위탁업무 중 홍보·판매업무가 포함되어 있는 경우 정보주체에게 통지하여야 한다."라고 기재하여(위 해설서 제189면), 민감정보의 위탁이 가능하다는 전제에서 의료기관이 관리업체를 활용하는 것이 가능하다고 설명하고 있는 점, 민감정보라고 하더라도 개인정보처리자가 수행하는 업무의 다양성, 정보처리 업무의 전문성 등을 고려할 때 위탁자가 자신의 사무를 수탁자를 통하여 처리할 필요도 있으므로, 민감정보의 위탁이 전면적으로 금지되어야 한다고 보기도 어려운 점 등에 비추어, 개인정보처리자는 제3자에게 민감정보도 위탁이 가능하다고 해석함이 상당하다. 아) 검사는 민감정보의 위탁이 가능하다고 하더라도 개인정보 보호법 제26조 제7항은 수탁자에 관하여 같은 법 제23조를 준용하도록 규정하고 있고, 같은 법 제23조 제1항에 의하면 민감정보를 처리하기 위하여는 정보주체의 동의를 받아야 함에도 피고인 C는 정보주체인 환자들의 동의를 받지 않았으므로, 민감정보를 처리할 수 없다는 취지로 주장하나, 다음과 같은 이유에서 민감정보의 수탁자가 법률의 규정에 의하거나 정보주체의 동의를 받아 개인정보를 처리하게 되는 개인정보처리자와 별도로 또다시 정보주체의 동의를 받을 의무는 없다고 봄이 상당하다. 개인정보 보호법 제26조는 개인정보처리자가 취득한 개인정보의 처리에 관한 업무를 제3자에게 위탁할 수 있음을 전제로 위탁절차 또는 방식에 관한 여러 규정을 두고 있으나, 별도로 정보주체의 동의를 얻는 것을 명시적으로 요구하지 않고 있다. 개인정보 보호법 제26조 제7항에서 같은 법 제23조를 준용하고 있기는 하나, 법령의 어느 조항이 특정 사항에 관하여 규율하고 있는 다른 조항을 준용한다고 규정할 때 그 '준용'한다는 취지는, 특정 사항에 관한 다른 조항을 기계적으로 그대로 적용한다는 뜻이 아니라 규율의 내용과 성질에 반하지 않는 범위 안에서 그 다른 조항을 적용한다는 의미로 새겨야 할 것이다. 특히 그 준용 규정이 형벌법규와 관련된 경우 그 해석은 엄격하여야 하며 피고인에게 불리한 방향으로 확장해석하거나 유추해석하는 것은 죄형법정주의의 원칙에 어긋나는 것으로서 허용되지 아니한다(대법원 2006. 10. 19. 선고 2004도7773 전원합의체 판결 등 참조, 법원 2016. 8. 30. 선고 2015도5608 판결 등 참조). 그런데 수탁자가 개인정보 또는 민감정보를 처리하기 위하여 개인정보호법 제15조, 제23조에서 규정한 정보주체의 동의를 받아야 한다고 해석하면, 수탁자로서는 정보주체들의 동의를 받기 위하여 위탁자로부터 정보주체의 개인정보를 받은 다음 이를 이용하여 정보주체에게 연락하여 동의를 받아야 하는데, 이는 정보주체의 개인정보 처리에 대한 동의를 받기 위하여 위 개인정보를 수집·이용할 수밖에 없다는 모순이 발생하는 데다가, 수탁자는 정보주체와 계약관계 등이 형성되어 있지 않아 정보주체의 동의를 받기가 현실적으로 곤란하다는 점까지 더하여 보면, 개인정보 보호법 제26조 제7항에 따라 정보주체의 동의를 받아야 한다는 같은 법 제23조는 규율의 내용 및 성질상 위탁관계로 수탁자가 위탁 업무를 처리하기 위하여 위탁자로부터 개인정보를 취득하게 되는 경우에는 적용된다고 보기 어렵다. 나아가 행정안전부에서 발간한 개인정보 보호법령 및 지침·고시 해설에서는 "병원과 의료정보 전달시스템 관리업체 간에 환자의 정보를 공유하는 것도 취급위탁에 따른 동의를 받아야 하는가."라는 질문에 대하여 "의료법 등에 따른 전자처방전, 전자의무기록 등의 공유·제공을 위하여 관리업체를 활용하는 것은 서비스 제공에 관한 계약을 이행하기 위하여 필요한 개인정보 취급위탁에 해당하므로 별도의 동의 획득 없이 정보주체에 대하여 공개하여야 하며 위탁 업무 중 홍보·판매업무가 포함되어 있는 경우 정보주체에게 통지하여야 한다."(위 해설서 제189면)라고 기재하여 민감정보(전자처방전, 전자의무기록)의 취급을 위탁하는 경우에는 수탁자가 정보주체로부터 별도로 동의를 받을 필요가 없음을 분명히 밝히고 있다. 설령 검사의 주장대로 민감정보를 위탁하는 경우에도 정보주체의 동의를 받아야 함에도 동의를 얻지 않은 경우 그 행위를 처벌할 수 있는지 여부는 별론으로 하더라도, 수탁자의 지위에 있었던 C가 개인정보처리자의 지위로 성격이 변한단고 볼 수도 없다. 3) 소결론 가) 구 개인정보 보호법 제71조 제3호, 제23조 제1항 위반행위의 주체는 '개인정보처리자에 한정되므로, 피고인 C가 구 개인정보처리자의 지위에 있지 않은 이상, 피고인 C를 개인정보 보호법 제71조 제3호, 제23조 제1항 위반죄로 처벌할 수 없다. 나) 한편 구 개인정보 보호법에 규정된 의무규정과 그 위반행위를 제재하는 벌칙규정의 형식과 내용 및 그 상관관계를 살펴보면, 아래와 같은 특성을 갖고 있음을 알 수 있으므로, 의무규정의 수범자만이 그 의무규정 위반행위에 대하여 형사책임을 부담하고, 의무규정의 수범자가 아닌 자는 원칙적으로 당해 의무규정 위반행위에 관한 벌칙규정으로 처벌할 수 없고, 예외적으로 양벌규정인 제74조가 규정한 '행위자'에 해당하는 경우에만 당해 의무규정 위반행위에 관한 벌칙규정으로 처벌할 수 있다고 보는 것이 헌법상 명확성의 원칙과 죄형법정주의에 부합하는 법률해석이라고 할 것이다. 구 개인정보 보호법 제70조 내지 제73조의 벌칙조항 중 같은 법[이하 이 부분 3)항에서는 법률명을 따로 기재하지 않기로 한다] 제70조는 의무규정을 원용하지 않고 직접 처벌대상이 되는 수범자를 특정하고 있는 반면, 제71조 내지 제73조는 해당 각 호에서 '개별적인 의무규정을 위반하여 특정한 행위를 한 자'라는 형식으로 규정함으로써 처벌의 전제로서 '의무규정 위반'을 전제로 하고 있다. 그런데 제71조 내지 제73조 각 호에 규정된 의무규정들을 살펴보면, 의무규정의 수범자를 개인정보처리자(제71조 제1호 내지 제4호에 규정된 제17조 제1항 제2호, 제18조 제1항, 제2항, 제23조 제1항, 제24조 제1항과 제73조 제1호에 규정된 제23조 제2항, 제29조 및 제73조 제2호, 제3호에 규정된 제36조 제2항, 제37조 제2항), 수탁자, 즉 개인정보처리자로부터 개인정보의 처리를 위탁받은 자(제71조 제2호에 규정된 제26조 제5항), 영업양수자, 즉 개인정보처리자로부터 영업의 양도·합병 등으로 개인정보를 이전받은 자(제71조 제2호에 규정된 제27조 제3항), 개인정보처리자로부터 개인정보를 제공받은 자(제71조 제2호에 규정된 제19조), 영상정보처리기기운영자(제72조 제1호에 규정된 제25조 제5항과 제73조 제1호에 규정된 제25조 제6항), 개인정보를 처리하거나 처리하였던 자(제71조 제5호에 규정된 제59조 제2호와 제71조 제6호에 규정된 제59조 제3호 및 제72조 제2호에 규정된 제59조 제1호), 제8조에 따른 보호위원회의 업무, 제33조에 따른 영향평가 업무, 제40조에 따른 분쟁조정위원회의 분쟁조정 업무 등에 종사하거나 종사하였던 자(제72조 제3호에 규정된 제60조 각 호)로 구별할 수 있다. 한편 양벌규정인 제74조는 법인의 대표자나 법인 또는 개인의 대리인, 사용인, 그 밖의 종업원이 그 법인 또는 개인의 업무에 관하여 제70조(제74조 제1항) 또는 제71조 내지 제73조(제74조 제2항)에 해당하는 위반행위를 하면 그 행위자를 벌하는 외에 그 법인 또는 개인을 70,000,000원 이하의 벌금형(제74조 제1항) 또는 그 행위자를 벌하는 해당 조문의 벌금형(제74조 제2항)에 처하도록 규정하고 있다. 위와 같은 구 개인정보 보호법의 관련 규정들의 형식과 내용 및 그 상관관계에 비추어 보면, 구 개인정보 보호법은 제70조 내지 제73조에서 개별적으로 처벌대상을 특정하여 각 해당 의무규정의 수범자가 의무위반행위를 하는 경우 의무위반행위를 하는 수범자를 처벌하도록 하면서, 처벌의 공백을 막기 위하여, 그 수범자가 사용자(법인 또는 개인)로서 법인의 대표자나 법인 또는 개인의 대리인, 사용인, 그 밖의 종업원, 즉 타인을 통하여 제70조 내지 제73조에서 규정하는 의무위반행위를 실행하는 경우에는 그 수범자를 제70조 내지 제73조에서 규정하는 형으로 처벌하는 동시에 실행행위를 한 타인도 제70조 내지 제73조에서 규정하는 형으로 처벌하고, 그 수범자가 실행행위자인 경우에는 그 실행행위를 한 수범자를 제70조 내지 제73조에서 규정하는 형으로 처벌하는 동시에 고용관계 등으로 그 실행행위자인 수범자의 사용자에 해당하는 법인 또는 개인도 70,000,000원 이하의 벌금형(제74조 제1항) 또는 그 행위자를 벌하는 해당 조문의 벌금형(제74조 제2항)에 처하도록 규정하고 있다고 해석하여야 한다. 만일 이와 달리 양벌규정인 제74조에 의하여 제70조 내지 제73조가 처벌대상으로 하는 의무규정의 수범자가 아니라고 하더라도 제70조 내지 제73조가 처벌대상으로 하는 유형의 행위를 한 자를 모두 제70조 내지 제73조에서 정한 형으로 처벌할 수 있다고 본다면, 양벌규정인 제74조에 의하여 제70조 내지 제73조에서 개별적으로 특정한 개개의 의무규정을 위반하는 모든 행위를 처벌할 수 있게 되어 제70조 내지 제73조의 벌칙규정들은 그 독자적 의미를 상실하게 되고, 처벌범위를 지나치게 확장하는 것이 되어 헌법상 명확성의 원칙과 죄형법정주의에 반한다고 보지 않을 수 없다. 다) 따라서 제74조의 양벌규정에 따라 개인정보처리자는 아니나 해당 업무를 실제로 집행한 자를 처벌하기 위하여서는 해당 업무를 실제로 집행하는 자, 즉 행위자가 '개인정보처리자'의 업무를 실제로 집행하는 관계에 있음이 전제되어야 하고, 행위자가 '개인정보처리자'가 아닌 자의 업무를 실제로 집행하는 관계에 있는 경우까지 그 행위자를 마치 개인정보처리자를 처벌하면서 행위자도 함께 처벌하는 경우와 마찬가지로 제74조의 양벌규정에 따라 처벌할 수는 없다. 그렇다면 AD 프로그램과 관련하여 개인정보처리자가 아닌 수탁자에 불과한 피고인 C의 업무를 실제로 집행하였던 피고인 A, B을 피고인 C가 개인정보처리자에 해당하는 경우에만 적용할 수 있는 개인정보 보호법 제74조 제2항, 제71조 제3항, 제23조 제1항 위반죄로 처벌할 수는 없다. 마. 개인정보 보호법 부칙 제4조에 따라 허용되는 행위인지 여부 검사와 피고인 A, B, C의 변호인이 제출한 증거들에 의하여 인정되는 아래와 같은 사실 또는 사정들을 종합하면, 피고인 C가 개인정보 보호법 시행 전에 AD 프로그램을 통하여 피고인 C 서버에 저장·보유하였던 환자정보를 개인정보 보호법 시행 이후에 그대로 보유하고 있었다고 하더라도 이는 개인정보 보호법 부칙 제4조에 따라 허용된다고 봄이 상당하다. 1) 구 표준 개인정보 보호지침 제67조 제1항은 "법 시행 전에 근거법령 없이 개인정보를 수집한 경우 당해 개인정보를 보유하는 것은 적법한 처리로 본다. 다만, 이 법 시행 이후 기존의 수집목적 범위 내에서 이용하는 경우를 제외하고 개인정보를 새롭게 처리하는 경우에는 법, 시행령, 시행규칙 및 이 지침에 따라야 한다."라고 규정하고 있다. 결국 개인정보 보호법 시행 전에 법령의 근거 없이 개인정보를 수집한 경우에도 개인정보 보호법 부칙 제4조가 적용된다고 보아야 한다. 2) 검사는, 피고인 C와 병·의원 사이에 정보통신망법이 적용됨을 전제로, 개인정보 보호법 시행 전에도 피고인 C는 구 정보통신망법(2014. 5. 28. 법률 제12681호로 개정되기 전의 것) 제23조 제1항에 따라 사상, 신념, 과거의 병력 등 개인의 권리·이익이나 사생활을 뚜렷하게 침해할 우려가 있는 개인정보를 수집할 수 없었고, 예외적으로 이용자의 동의를 받아야만 수집할 수 있었음에도 환자들의 동의를 받지 않고 수집하였으므로 구 표준 개인정보 보호지침 제67조 제1항의 "법 시행 전에 근거법령 없이 개인정보를 수집한 경우"에 해당하지 않고, 결국 개인정보 보호법 부칙 제4조에서 말하는 "이 법 시행 전에 다른 법령에 따라 적법하게 처리된 개인정보"로 볼 수도 없다고 주장한다. 살피건대, 정보통신망법 제22조 제1항 전문의 문언, 같은 법 제2조 제1항 제4호, 제22조 제2항 제1호, 제2호, 구 정보통신망법(2014. 5. 28. 법률 제12681호로 개정되기 전의 것) 제23조 제2항, 구 정보통신망법(2011. 3. 29. 법률 제10465호로 개정되기 전의 것) 제67조 제1항을 포함한 정보통신망법의 전반적인 체계와 취지·목적 등을 종합하여 볼 때, 정보통신망법 제22조 제1항 전문에 의하여 보호되는 개인정보의 주체인 이용자는 자신의 개인정보를 수집하려고 하는 정보통신서비스 제공자로부터 정보통신서비스를 제공받아 이를 이용하는 관계를 전제로 하고 있다고 해석된다(대법원 2013. 10. 17. 선고 2012도4387 판결 등 참조). 그러나 피고인 C와 환자들 사이에서는 어떠한 계약관계도 존재하지 않고, 환자들이 피고인 C가 제공하는 프로그램들을 직접 이용하였던 것도 아니므로 환자들을 정보통신망법 제23조 제1항에서 정한 '이용자'에 해당한다고 보기 어렵고, 피고인 C는 이용자인 의사들이 보유한 환자들의 정보를 수집한 것일 뿐이어서, 결국 피고인 C가 정보통신망법 제23조 제1항에 위반하여 개인정보를 수집하였음을 전제로 하는 검사의 주장은 타당하지 않다. 3) 한편 구 표준 개인정보 보호지침 제67조 제1항 단서의 '새로운 처리'란 기존의 수집 목적 외에 별개의 목적을 가지고 기존의 처리와는 다른 처리를 하는 것을 의미하고, 기존에 법령의 근거 없이 수집한 개인정보를 단순히 계속하여 보유한 행위를 '기존의 수집 목적을 벗어나 개인정보를 새롭게 처리'한 것이라고 보기 어렵다. 그런데 피고인 A, B, C는 AD 사업을 시작할 당시부터 ASP(Application Service Provider) 방식으로 요양급여비용 청구 시 이를 사전에 심사하는 업무를 하고 있었고, 위 요양급여비용 사전점검을 목적으로 수집한 정보를 동일한 목적을 가지고 계속하여 서버에 보유하였을 뿐이므로, 이를 구 표준 개인정보 보호지침 제67조 제1항 단서의 '기존의 수집목적 범위'를 벗어났다거나 '개인정보를 새롭게 처리하는 경우'에 해당한다고 보기도 어렵다. 바. 결론 따라서 피고인 A, B, C에 대한 이 부분 각 공소사실은 위 피고인들의 나머지 주장에 나아가 살펴볼 필요 없이 피고사건이 범죄가 되지 아니하거나 범죄의 증명이 없는 경우에 해당하므로 형사소송법 제325조에 의하여 각 무죄를 선고하고, 형법 제58조 제2항에 의하여 위 피고인들에 대한 각 무죄 부분의 요지를 공시한다. 2. 이 법원 2015고합665호 사건의 공소사실 중 피고인 A, B, C의 AD 프로그램 관련 민감정보인 환자 진료정보 불법 수집·저장·보유로 인한 각 개인정보보호법위반의 점(이하 '이 부분 각 공소사실'이라고 한다) 가. 이 부분 각 공소사실의 요지 피고인 C는 의료정보시스템 개발업체로서 요양급여비용 사전심사청구 프로그램인 AD 프로그램을 병·의원에 공급하고 그 과정에서 환자 진료정보 데이터를 취급하고 있는 개인정보처리자이다. 피고인 A, B은 무죄 부분 제1의 가. 1)항 기재와 같이 AD 프로그램에서 생성·처리하는 EDI 파일에 들어있는 환자들의 성명, 주민등록번호, 의료보험증번호 등 환자들의 개인정보와 의사의 코드, 면허번호, 상병, 약물코드, 복용량, 처방일수, 처방전 교부번호, 진료일자 등 환자 진료정보 및 처방내역정보 등을 진료의사 및 정보주체인 환자들의 동의 없이 C가 관리하는 데이터베이스 서버로 무단 전송받아 저장·보유한 후, 이를 M 등 제3자에게 판매하여 수익을 올리기로 공모하였다. 그 후 피고인 A, B은 2014. 7. 31.경 성명 'CP', '주민등록번호 CQ', 의료보험증번호 'CR'인 환자가 2014. 7. 14.경 CS내과(요양기관코드CT)에서 진료를 받았다는 내용이 포함된 EDI 파일을 정보주체인 환자들의 동의나 법령의 근거 없이 임의로 피고인 C의 데이터베이스 서버로 전송받아 위 환자의 진료정보를 수집·저장·보유하였다. 이를 비롯하여 피고인 A, B은 2011. 10.경부터 2014. 12.경까지 다수의 병·의원으로부터 범죄일람표 순번 376,519,217 내지 376,699,216 기재와 같이 건강보험심사평가원에 요양급여비용을 청구하기 위한 EDI 파일 180,000건을 정보주체인 환자들의 동의를 받지 아니하고 임의로 C 데이터베이스 서버로 전송받아 환자별 진료정보 180,000건을 수집·저장·보유하였다. 이로써 피고인 A, B은 공모하여 법령의 근거 또는 환자들의 동의 없이 민감정보인 환자정보 180,000건을 처리(수집·저장·보유)하였고, 피고인 C는 그 대표자인 피고인 A과 종업원인 피고인 B이 피고인 C의 업무에 관하여 정보주체인 환자들의 동의 없이 환자별 진료정보를 처리(수집·저장·보유)하였다. 나. 피고인 A, B, C와 변호인의 주장 1) AD 프로그램과 관련 범죄일람표 에 기재된 정보는 환자의 민감정보에 해당하지 않는다. 따라서 피고인 A, B, C가 민감정보를 처리하였음을 전제로 하는 개인정보 보호법 제74조 제2항, 제71조 제3호, 제23조 제1항 위반죄는 성립하지 않는다. 2) 설령 그렇지 않더라도, 피고인 C는 민감정보인 환자정보에 관한 개인정보처리자인 병·의원으로부터 병·의원의 사무처리를 위한 목적으로 AD 프로그램을 통하여 환자정보를 위탁받은 수탁자일 뿐, 개인정보처리자가 아니다. 따라서 피고인 C에 대하여 개인정보 보호법 제71조 제3호, 제23조 제1항 위반죄가 성립하지 아니하고, 피고인 C가 개인정보처리자가 아닌 이상 실제 행위자들인 피고인 A, B에 대하여도 개인정보보호법 제74조 제2항, 제71조 제3호, 제23조 제1항 위반죄도 성립하지 않는다. 다. 판단 1) 피고인 C가 AD 프로그램과 관련하여 환자정보의 개인정보처리자인 병·의원들로부터 주식회사 CJ을 통하여 또는 직접 요양급여비용 청구에 관한 사전심사 업무를 위탁받은 수탁자에 불과할 뿐, 개인정보처리자로 볼 수 없는 점은 무죄 부분 제1의 라. 2)항에서 살펴본 바와 같다(나아가 각각 피고인 C의 대표이사, 개별팀장인 피고인 A, B이 개인정보처리자가 될 수 없음은 더욱 분명하다). 2) 그런데 개인정보 보호법 제71조 제3호, 제23조 제1항 위반행위의 주체는 '개인정보처리자'에 한정되므로, 피고인 C가 개인정보처리자의 지위에 있지 않은 이상, 피고인 C를 개인정보 보호법 제71조 제3호, 제23조 제1항 위반죄로 처벌할 수는 없다. 3) 또한 무죄 부분 제1의 라. 3) 나)항에서 살펴본 법률 해석에 비추어, 개인정보 보호법 제74조의 양벌규정에 따라 개인정보처리자는 아니나 해당업무를 실제로 집행한 자를 처벌하기 위하여서는 해당 업무를 실제로 집행하는 자, 즉 행위자가 '개인정보처리자'의 업무를 실제로 집행하는 관계에 있음이 전제되어야 하고, 행위자가 '개인정보처리자'가 아닌 자의 업무를 실제로 집행하는 관계에 있는 경우까지 그 행위자를 마치 개인정보처리자를 처벌하면서 행위자도 함께 처벌하는 경우와 마찬가지로 같은 법 제74조의 양벌규정에 따라 처벌할 수는 없다. 그렇다면 AD 프로그램과 관련하여 개인정보처리자가 아닌 수탁자에 불과한 피고인 C의 업무를 실제로 집행하였던 피고인 A, B을 피고인 C가 개인정보처리자에 해당하는 경우에만 적용할 수 있는 개인정보 보호법 제74조 제2항, 제71조 제3항, 제23조 제1항 위반죄로 처벌할 수 없다. 라. 결론 따라서 피고인 A, B, C에 대한 이 부분 각 공소사실은 위 피고인들의 나머지 주장에 나아가 살펴볼 필요 없이 피고사건이 범죄로 되지 아니하는 경우에 해당하므로, 형사소송법 제325조 전단에 의하여 각 무죄를 선고하고, 형법 제58조 제2항에 의하여 위 각 무죄 부분의 요지를 공시한다. 3. 이 법원 2018고합665호 사건의 공소사실 중 피고인 A, B, C의 AD 프로그램 관련 민감정보인 환자 진료정보 불법 제공으로 인한 각 개인정보보호법위반의 점(이하 '이 부분 각 공소사실'이라고 한다) 가. 이 부분 각 공소사실의 요지 피고인 A, B, C는 2007. 12.경 M와 특정 병·의원으로부터 환자처방 통계정보를 제공받을 수 있는 프로그램 개발 및 관련 서비스를 제공하는 대가로 매년 80,000,000원을 지급받기로 하는 계약을 체결하고, 2010. 2. 18.경 M와 요양급여청구 사전심사시스템(AD)을 통하여 수집한 환자들의 처방정보, AF 프로그램을 통하여 수집한 환자들의 처방정보 등을 제공하는 대가로 2011년경부터 2014년 경까지 매년 100,000,000원 상당을 지급받기로 하는 계약을 체결하였다. 위 계약에 따라 피고인들은 2008년경부터 2013. 12. 31.경까지 요양급여청구 사전심사시스템(AD)을 이용하여 수집하여 지속적으로 데이터베이스 서버에 누적시켜 온 환자정보 별지 범죄일람표 순번 1 내지 200,000, 376,519,217 내지 376,699,216 총 380,000건에 대하여 M가 언제든지 실시간으로 그 데이터베이스 서버에 저장된 정보를 검색(생년월일, 처방내역 등)하고 다운로드할 수 있게 하였다(CU 프로그램 제공). 이로써 피고인들은 공모하여 2011. 9. 30.경부터 2013. 12. 31.경까지 법령의 근거 또는 환자들의 동의 없이 민감정보인 환자정보 380,000건을 M에 공유방식으로 제공하여 처리 하였고, 피고인 C는 그 대표자인 A과 종업원인 B이 피고인 C의 업무에 관하여 정보주체인 환자들의 동의 없이 환자별 진료정보를 M에 공유방식으로 제공하여 처리하였다. 나. 피고인 A, B, C와 변호인의 주장 1) AD 프로그램과 관련 범죄일람표 에 기재된 정보는 환자의 민감정보에 해당하지 않는다. 따라서 피고인 A, B, C가 민감정보를 처리하였음을 전제로 하는 개인정보 보호법 제74조 제2항, 제71조 제3호, 제23조 제1항 위반죄는 성립하지 않는다. 2) 설령 그렇지 않더라도, 피고인 C는 민감정보인 환자정보에 관한 개인정보처리자인 병·의원으로부터 병·의원의 사무처리를 위한 목적으로 AD 프로그램을 통하여 환자정보를 위탁받은 수탁자일 뿐, 개인정보처리자가 아니다. 따라서 피고인 C에 대하여 개인정보 보호법 제71조 제3호, 제23조 제1항 위반죄가 성립하지 아니하고, 피고인 C가 개인정보처리자가 아닌 이상 실제 행위자들인 피고인 A, B에 대하여도 개인정보보호법 제74조 제2항, 제71조 제3호, 제23조 제1항 위반죄도 성립하지 않는다. 3) 피고인 C는 AD 프로그램을 통하여 수집한 환자정보 중 비식별화된 정보만을 M로 하여금 다운로드받을 수 있도록 하였으므로, 식별가능한 개인정보를 M에 제공하지 않았다. 다. 판단 1) 피고인 C가 AD 프로그램과 관련하여 환자정보의 개인정보처리자인 병·의원들로부터 주식회사 CJ을 통하여 또는 직접 요양급여비용 청구에 관한 사전심사 업무를 위탁받은 수탁자에 불과할 뿐, 개인정보처리자로 볼 수 없는 점은 앞선 무죄 부분 제1의 라. 2)항에서 살펴본 바와 같다. 2) 개인정보 보호법 제71조 제3호, 제23조 제1항 위반행위의 주체는 '개인정보처리자'에 한정되므로, 피고인 C가 개인정보처리자의 지위에 있지 않은 이상, 피고인 C를 개인정보 보호법 제71조 제3호, 제23조 제1항 위반죄로 처벌할 수 없다. 3) 또한 무죄 부분 제1의 라. 3) 나)항에서 살펴본 법률해석에 비추어, 개인정보 보호법 제74조의 양벌규정에 따라 개인정보처리자는 아니나 해당업무를 실제로 집행한 자를 처벌하기 위하여서는 해당 업무를 실제로 집행하는 자, 즉 행위자가 '개인정보처리자'의 업무를 실제로 집행하는 관계에 있음이 전제되어야 하고, 행위자가 '개인정보처리자'가 아닌 자의 업무를 실제로 집행하는 관계에 있는 경우까지 그 행위자를 마치 개인정보처리자를 처벌하면서 행위자도 함께 처벌하는 경우와 마찬가지로 같은 법 제74조의 양벌규정에 따라 처벌할 수는 없다. 그렇다면 AD 프로그램과 관련하여 개인정보처리자가 아닌 수탁자에 불과한 피고인 C의 업무를 실제로 집행하였던 피고인 A, B을 피고인 C가 개인정보처리자에 해당하는 경우에만 적용할 수 있는 개인정보 보호법 제74조 제2항, 제71조 제3항, 제23조 제1항 위반죄로 처벌할 수는 없다. 4) 한편 개인정보 또는 민감정보의 처리를 위탁받은 수탁자가 개인정보처리자로부터 위탁받은 범위를 초과하여 개인정보를 이용하거나 제3자에게 제공한 경우 개인정보 보호법 제71조 제2호, 제26조 제5항에 따라 처벌되므로, 수탁자인 피고인 C가 제3자인 M에 민감정보를 제공한 행위가 위 조항에 해당된다고 볼 여지가 없지는 않다. 그러나 검사는 이 부분 각 공소사실에 관한 공소를 제기하면서 개인정보 보호법 제71조 제3호, 제23조를 적용하였음을 분명하게 하였는데, 피고인 C가 '개인정보처리자인지 여부' 또는 '개인정보처리자로부터 개인정보의 처리업무를 수탁받은 자'인지 여부에 따라 피고인의 방어방법이 달라질 수밖에 없다. 이러한 상황에서 이 법원이 공소장변경절차에 의하지 아니하고 직권으로 피고인 A, B, C의 이 부분 각 공소사실 기재와 같은 행위가 개인정보 보호법 제71조 제2호, 제26조 제5항에서 규정한 개인정보보호법위반죄에 해당하는지 여부에 나아가 판단하는 경우 위 피고인들에게 실질적 불이익을 초래할 여지가 있을 뿐만 아니라, 정보주체의 개인정보가 제3자에게 유출되어 범죄에 이용되는 등 개인정보 주체가 실질적으로 피해를 입게 되는 일반적인 개인정보보호법위반 사안과는 달리 이 사건에서는 정보주체들이 실질적인 불이익을 보았다고 볼만한 정황을 확인하기 어려운 사정도 존재한다. 이 법원은 위와 같은 여러 사정을 고려하여 나아가 위 피고인들의 위와 같은 행위가 개인정보 보호법 제71조 제2호, 제26조 제5항에서 규정한 개인정보보호법위반죄에 해당하는지 여부에 관하여 판단하지 않기로 한다. 라. 결론 따라서 피고인 A, B, C에 대한 이 부분 각 공소사실은 위 피고인들의 나머지 주장에 나아가 살펴볼 필요 없이 피고사건이 범죄가 되지 아니하는 경우에 해당하므로, 형사소송법 제325조 전단에 의하여 위 피고인들에 대하여 각 무죄를 선고하고, 형법 제58조 제2항에 의하여 위 각 무죄 부분의 요지를 공시한다. 4. 이 법원 2018고합665호 사건의 공소사실 중 피고인 A, B, C의 AE 프로그램 관련 민감정보인 진료정보 및 처방정보의 불법 수집·저장·보유로 인한 각 개인정보보호법위반의 점(이하 '이 부분 각 공소사실'이라고 한다) 가. 이 부분 각 공소사실의 요지 피고인 C와 주식회사 CV(이하 'CV'라고만 한다)는 2010. 11.경 CV가 개발한 전자차트프로그램(EMR)인 'CW'을 사용하는 병·의원에 실시간 심사점검 솔루션(CW' 사용고객을 대상으로 요양급여 심사청구 전 점검서비스와 진료 의사결정 서비스를 패키지 형태로 판매하는 결합상품, 일명 'AE', 이하 'AE 프로그램'이라고 한다)을 판매하기로 하는 협력사업에 관한 계약을 한 후 2012. 1.경부터 2014. 12.경까지 전국에 있는 'CW' 전자차트프로그램을 사용하는 약 871개의 병·의원의 'CW'에 의사가 건강보험심사평가원에서 발표한 심사지침에 맞게 적절하게 진료하는지 여부를 알려주는 AE 프로그램을 탑재하는 방식으로 위 프로그램을 설치하기로 하였다. 피고인 A, B은 위와 같이 병·의원에 위 실시간 심사점검 솔루션이 구축됨을 기화로, 병·의원에서 실시간 심사점검 솔루션을 이용하여 환자들의 진료할 경우에 생성되는 환자들의 처방정보[요양기관코드, 환자들의 주민등록번호, 입원(진료)일자, 진료과, 약물코드, 약물명, 처방일자, 처방일수, 복용량 등] 및 환자들의 진료정보[요양기관코드, 환자들의 성명, 주민등록번호, 입원(진료)일자, 진료과, 진료의사이름 등]를 C 데이터베이스 서버로 전송받아 저장·보유하되, 이러한 사실을 병·의원 관계자 및 정보주체인 환자들에게 알리지 않고 무단으로 해당 정보를 전송받아 저장·보유하기로 하였다. 그 후 피고인 A, B은 범죄일람표 순번 1 기재와 같이 2012. 1. 2.경 정보주체인 환자의 동의나 법령의 근거 없이 CX(여, CY생)이 CZ의원(요양기관코드 DA)에서 가정의학과(진료과 코드 23) 진료를 받고 BTS당검사(반정량)의 처방을 받았다는 내용의 민감정보를 피고인 C의 데이터베이스 서버에 무단 전송받아 위 환자에 대한 처방정보를 수집·저장·보유하였다. 이를 비롯하여 피고인 A, B은 2012. 1. 2.경부터 2014. 12. 31.경까지 별지 범죄일람표 순번 1 내지 300,000, 163,862,713 내지 164,392,712 기재와 같이 병·의원으로부터 건강보험심사평가원 심사기준에 맞는 요양급여비용을 청구하기 위하여 실시간으로 위 실시간 심사점검 솔루션을 이용하여 병·의원에서 처리하는 환자들의 처방정보 830,000건을 환자들의 동의를 받지 아니하고 임의로 피고인 C의 데이터베이스 서버로 무단 전송받아 수집·저장·보유하였고, 피고인 C는 그 대표자인 피고인 A과 종업원인 피고인 B이 피고인 C의 업무에 관하여 정보주체인 환자들의 동의 없이 진료정보 및 처방정보 합계 830,000건을 처리(수집·저장 - 보유)하였다. 나아가 피고인 A, B은 위 실시간 심사점검 솔루션을 사용하는 병·의원들이 건강보험 심사평가원에 요양급여비용을 청구하기 전에 실시간 심사점검 솔루션에서 제공하는 사전점검 메뉴(AD)를 사용하므로 피고인 C의 데이터베이스 서버에 전송되는 EDI파일에 포함된 환자들의 성명, 주민등록번호, 의료보험증번호 등 환자들의 개인정보와 의사의 코드, 면허번호, 상병, 약물코드, 복용량, 처방일수, 처방전 교부번호 등 환자 진료정보 및 처방내역정보를 무단으로 전송받아 이를 보유하기로 마음먹었다. 피고인 A, B은 범죄일람표 순번 1 기재와 같이 2011. 10. 1.경 정보주체인 환자의 동의나 법령의 근거 없이 DB(남, DC 생, 의료보험증번호 DD)이 2011. 9. 5.경 DE내과의원(요양기관코드 DF)에서 진료를 받았다는 내용 등의 민감정보를 피고인 C의 데이터베이스 서버로 무단 전송받아, 위 환자에 대한 처방정보를 수집·저장·보유하였다. 이를 비롯하여 피고인 A, B은 2011. 10.경부터 2014. 12. 1.경까지 범죄일람표 순번 1 내지 23,000, 7,464,821 내지 7,479,820 기재와 같이 병·의원으로부터 건강보험심사평가원에 요양급여비용을 청구하기 위한 EDI파일을 진료환자들의 동의를 받지 아니하고 임의로 피고인 C의 데이터베이스 서버로 무단 전송받아 환자별 진료정보 38,000건 상당을 수집·저장·보유하였다. 이로써 피고인 A, B은 2011. 10.경부터 2014. 12.경까지 법령상 근거 또는 환자들의 동의 없이 민감정보인 진료정보 및 처방정보 합계 38,000건을 처리(수집·저장·보유)하였고, 피고인 C는 그 대표자인 피고인 A과 종업원인 피고인 B이 피고인 C의 업무에 관하여 정보주체인 환자들의 동의 없이 진료정보 및 처방정보 합계 38,000건을 처리(수집·저장·보유)하였다. 나. 피고인 A, B, C와 변호인의 주장 1) AE 프로그램과 관련된 범죄일람표 , 에 기재된 정보는 환자의 민간정보에 해당하지 않고 환자 개인을 식별할 수도 없어 개인정보에도 해당하지 아니므로, 피고인 A, B, C를 개인정보 보호법 제71조 제3호, 제23조 제1항 위반죄로 처벌할 수 없다. 2) 설령 그렇지 않더라도, 병·의원과 CV, 피고인 C 사이에는 병·의원의 요양급여 사전심사를 위하여 환자정보의 처리를 위탁하는 관계에 있고, 피고인 C는 수탁자의 지위에 있는 것에 불과하므로, 피고인 C가 '개인정보처리자'임을 전제로 하는 개인정보 보호법 제71조 제3호, 제23조는 적용될 여지가 없다. 3) 설령 그렇지 않더라도, CV와 각 병·의원은 모두 AE 프로그램을 이용할 때 병·의원이 선택한 환자정보가 피고인 C의 데이터베이스 서버로 전송, 저장되는 것을 알고 동의하였으므로, 피고인 C가 불법으로 환자정보 등을 수집한 것도 아니다. 4) 설령 그렇지 않더라도, AE 프로그램의 실시간점검 기능을 통하여 저장된 처방데이터는 이후 AE, AD의 사전점검 기능을 통하여 청구데이터가 되어 같은 내용이 중복되고, 중복된 건수가 3분의 1에 달하므로, 법익의 추가 침해가 없어 처벌할 수 없다. 다. 인정사실 검사와 피고인 A, B, C의 변호인이 제출한 증거들에 의하면 아래의 사실이 인정된다. 1) 피고인 C와 CV 사이의 개인정보위탁계약 가) CV는 2010년경부터 병·의원에서 사용하는 'CW'이라는 전자의무기록 (전자차트) 시스템을 개발하여 병·의원에 공급하고 있었다. 나) 피고인 C와 CV는 2010년경 CV에서 개발하여 병·의원에 공급한 'CW'과 피고인 C가 개발한 실시간 심사점검 솔루션 프로그램인 이른바 AE 프로그램을 연동시키기로 하는 협력사업계약을 체결하였다. 그 후 피고인 C와 CV는 2013. 4. 8. 위와 같은 협력사업을 진행하는 과정에서 개인정보처리에 관한 사항을 정하기 위하여 개인정보처리위탁계약을 체결하였는데, 그 주요내용은 아래와 같다(수사기록 제10668면 내지 제10670면). 2) CV와 병·의원 사이의 사전점검솔루션이용계약의 체결 CV가 개발한 'CW' 전자차트프로그램을 사용하고 있었던 병·의원들은 위 'CW'에 AE 프로그램 기능을 추가하기 위하여 사전점검솔루션 가입신청서를 작성하여 CV에 교부하여야 했는데, 위 사전점검솔루션 가입신청서에 첨부된 사전점검솔루션 이용약관과 개인정보취급방침, 개인정보 수집·이용 등 동의서의 주요 내용은 아래와 같다(수사기록 제11832면 내지 제11834면). 3) AE 프로그램의 이용 가) AE 프로그램을 이용하기 위하여는 인터넷이 설치되어야만 하고 CV에서는 피고인 C의 서버 교체로 AE 프로그램을 통한 사전점검이 진행될 수 없다고 고지하기도 하였다(피고인 A, B, C의 변호인이 제출한 증 제47호증). 나) AE 프로그램을 이용할 때 병·의원의 의사들은 사전점검을 원하는 파일을 선택한 후 '접수' 버튼을 누르고 점검이 완료되면 진행상태창에 '심사 완료'라고 표시되며, 심사 완료 결과를 보기 위하여 '수신받기'를 클릭하면 '점검 내용을 다운로드 중입니다'라는 창이 뜨고 다운로드가 완료되는 경우 '다운로드를 완료하였습니다'라는 확인창이 뜬 뒤 진행상태창에 '다운로드 완료'라고 표시가 나타난다(수사기록 제13627, 13628면). 4) 피고인 C의 사용료 수령 CV는 병·의원들로부터 CW과 그와 연동된 AE 프로그램의 사용에 따른 사용료를 직접 지급받았으며, 피고인 C는 CV로부터 그 중의 일부를 다시 지급받았다. 라. 피고인 C가 '개인정보처리자'에 해당하는지 여부 무죄 부분 제1의 라. 1) 항 기재와 같은 관련 법리에 비추어 이 사건을 보건대, 위 다항에서 인정한 사실에다가 검사와 피고인 A, B, C의 변호인이 제출한 증거들에 의하여 인정되는 아래와 같은 사실 또는 사정을 종합하면, 병·의원에서 근무하는 의사들은 자신들의 사무인 건강보험심사평가원에 대한 요양급여비용의 청구 전에 청구의 적정성 여부를 사전에 점검하거나 처방의 적정성 여부를 실시간으로 점검하는 업무를 CV 위탁하였고, 피고인 C는 CV로부터 그 업무를 재위탁받았다고 봄이 상당하고, 이와 달리 검사가 제출한 증거들만으로는 피고인 C가 개인정보 보호법 제2조 제5호에서 정한 개인정보처리자에 해당한다고 단정하기 어렵다. 1) 무죄 부분 제1의 라. 2) 가)항에서 살펴본 바와 같이 건강보험심사평가원에 요양급여비용의 심사청구를 하는 업무와 심사청구의 적정성 여부를 심사하는 업무는 병·의원 또는 의사들의 업무에 해당한다고 봄이 상당하다. 그런데 CV의 전자차트프로그램인 CW을 사용하는 병·의원 또는 의사들은 CW에 탑재된 사전심사 기능인 AE 프로그램을 실시간으로 또는 요양급여비용 청구 전에 이용하면서 환자정보를 제공하였는바, 이는 병·의원 또는 의사들이 자신들의 이익을 위하여 요양급여비용 청구의 적정성 여부 또는 처방의 적정성 여부에 관한 심사업무를 전문업체인 CV에 위탁하면서 환자정보를 제공하였다고 봄이 상당하다. 2) CV와 병·의원이 체결한 사전점검솔루션 이용약관의 제11조 2. 에 의하더라도 회원인 병·의원이 CW 연계 제품 등 사용 시 개인정보보호 법령에 따른 '위탁업무' 등에 대한 공개의무를 개별적으로 부담하는 것으로 정하고 있는바, 위 조항의 문언에 따르더라도 '위탁업무'라는 점이 명시되어 있을 뿐만 아니라 위탁업무의 공개의무도 CV나 피고인 C가 아니라 병·의원이 부담하도록 되어 있다(개인정보 보호법 제26조 제2항은 위탁하는 업무의 내용과 수탁자를 정보주체가 확인할 수 있도록 공개할 의무를 개인정보처리자에게 부과하고 있다). 또한 개인정보취급방침 5. 와 개인정보 수집·이용 동의서상에도 CV가 병·의원의 개인정보를 외부, 즉 피고인 C에 위탁처리하거나 제공할 수 있다고 기재되어 있다. 3) CV와 피고인 C와 사이에 체결한 개인정보처리위탁계약에 의하더라도 CV가 피고인 C에게 사전점검솔루션 협력사업을 위하여 개인정보처리 업무를 위탁하는 것으로 되어 있고(제1조), 피고인 C는 계약기간 뿐만 아니라 계약 종료 후에도 위탁 업무 수행 목적을 넘어 개인정보를 이용하거나 제3자에게 제공 또는 누설하여서는 아니되는 제한을 받을 뿐만 아니라(제3조), CV는 피고인 C에 대하여 개인정보의 처리 현황 등을 관리·감독할 수 있는 권한 및 시정요구권한을 갖고 피고인 C는 CV의 시정요구를 특별한 사정이 없는 한 이행하여야 하는 것으로 되어 있다. 4) 피고인 C는 CV가 병·의원들로부터 AE 프로그램 사용에 대한 대가로 받은 금원의 일부를 다시 CV로부터 지급받았을 뿐이고, 피고인 C가 병·의원 또는 CV로부터 환자정보를 제공받으면서 병·의원에 그에 대한 대가를 지급한 바 없다. 5) AE 프로그램 자체가 병·의원에서 건강보험심사평가원에 요양급여비용 청구를 하기 전에 건강보험심사평가원에서 발표한 지침에 따라 요양급여비용이 적절하게 청구되었는지 여부를 실시간 또는 사전에 점검하는 기능을 가졌으므로, 환자에 대한 각 처방내역과 적용수가의 적정성을 검토하기 위하여서는 환자정보의 처리, 즉 환자정보를 제공받는 것은 애초부터 예정되어 있었다. 따라서 피고인 C의 입장에서는 AE 프로그램 서비스를 제공하는 과정에서 CV를 통하여 병·의원이 보유한 환자정보를 제공받았을 뿐이지, 병·의원으로부터 환자정보를 취득하는 것 자체를 목적으로 하였다고 볼 수도 없다. 6) DI을 비롯한 일부 병·의원 의사들이 수사기관 또는 이 법정에 증인으로 출석하여 환자들의 정보가 피고인 C의 서버에 제공되는 것을 몰랐고 이를 허락하지도 않았다는 취지로 진술하기는 하였다. 그러나 앞서 살펴보았듯이 병·의원이 CV와 사전점검 솔루션 이용계약을 체결하면서 동의한 사전점검솔루션 이용약관에는 CV가 개인정보를 피고인 C에 위탁하여 처리할 수 있다고 기재되어 있는 점, 위 5)항 기재와 같이 AE 프로그램의 기능상 사전점검을 위하여서는 환자정보가 필요할 수밖에 없고 이는 병·의원의 의사 또는 관계자들도 충분히 예측할 수 있었다고 보일 뿐만 아니라, 실제로 병·의원 의사들이 AE 프로그램을 사용하면서 요양급여비용 청구 사전심사 서비스를 이용하기 위하여 직접 환자정보가 담긴 파일을 업로드하였던 것으로 보이는 점, AE 프로그램을 이용하기 위하여서는 인터넷이 설치되어야 하고 CV가 병·의원에 피고인 C의 서버 교체로 인하여 AE 프로그램의 사전점검 기능을 이용할 수 없다고 고지한 적도 있는 점 등에 비추어, 의사를 비롯한 병·의원 관계자들이 환자정보가 피고인 C의 서버로 전송된다는 점을 인식하지 못하였다고 단정하기 어렵고, 따라서 일부 병·의원 관계자들의 진술만으로는 병·의원과 CV 사이의 위탁관계가 부정된다고 보기도 어렵다. 7) 검사는 개인정보 보호법 제6조에서 개인정보 보호법에 관하여 다른 법률에 특별한 규정이 있는 경우에는 개인정보 보호법에 우선하여 그 법률이 적용된다고 규정하고 있고 의료법은 민감정보의 위탁을 금지하고 있으므로, CV와 피고인 C는 민감정보인 환자정보의 수탁자가 될 수 없다는 취지로 주장하나, 개인정보처리자가 제3자에게 민감정보를 위탁하는 것이 금지된다고 단정하기 어려움은 무죄 부분 제1의 라. 2) 사)항에서 살펴본 바와 같으므로, 이와 다른 전제에 선 검사의 위 주장은 받아들이지 않는다. 마. 식별가능한 개인정보에 해당하는지 여부 1) 관련 규정 및 관련 법리 가) 개인정보 보호법 제2조 제1호는 "개인정보란 살아 있는 개인에 관한 정보로서 성명, 주민등록번호 및 영상 등을 통하여 개인을 알아 볼 수 있는 정보(해당 정보만으로는 특정 개인을 알아볼 수 없더라도 다른 정보와 쉽게 결합하여 알아볼 수 있는 것을 모두 포함한다)를 말한다."고 규정하고 있다. 나) 먼저 개인정보 보호법 제2조 제1호에서 정한 개인정보에 해당하기 위하여는 '개인을 알아볼 수 있는 정보 '이어야 하므로 특정 개인을 알아보기 어려운 정보는 개인정보가 아니다. 여기서 '알아볼 수 있는'의 주체는 해당 정보를 처리하는 자(정보의 제공관계에 있어서는 제공받은 자를 포함)이고, 개인을 '알아볼 수 있는' 정보라는 것은 사전에 친분 관계 등이 있는 사람이 특정 개인을 알아보는 것 뿐만 아니라, 그 특정 개인을 전혀 모르던 사람이더라도 객관적으로 그 특정 개인이 누구인지 식별할 수 있다면 모두 개인정보에 포함될 수 있다는 의미이다. 다) '다른 정보와 쉽게 결합하여'의 의미는 개인정보처리자 또는 임의의 다른 사람 등이 이미 보유하고 있거나 쉽게 얻을 수 있는 다른 정보를 바탕으로 해당 정보와 다른 정보를 특별한 어려움 없이 결합하여 특정 개인을 알아볼 수 있게 되는 것을 말하는 것으로서, 다른 정보의 취득 및 해당 정보와의 결합을 통한 특정 개인의 식별이 모두 쉽게 이루어져야 하는 것을 의미한다고 볼 것이다. 따라서 객관적으로 다른 정보를 결합하여 특정 정보를 알아 볼 수 있다고 하더라도 개인정보처리자의 입장에서 그가 보유하고 있는 정보와 결합시킬 다른 정보를 합리적인 방법을 통하여 취득하기 어려운 사정이 존재한다면, '다른 정보와 쉽게 결합하여'의 요건을 충족하였다고 볼 수 없어 개인정보에 해당한다고 보기 어렵다. 2) 구체적 판단 검사와 피고인 A, B, C의 변호인이 제출한 증거들에 의하여 인정되는 아래와 같은 사실 또는 사정들을 종합하면, 검사가 제출한 증거들만으로는 위 피고인들이 AE 프로그램의 실시간점검 기능 또는 사전점검 기능을 통하여 개인을 식별할 수 있는 개인정보나 민감정보를 수집·저장·보유하였다고 단정하기 어렵다. 가) 개인정보 보호법 제23조는 '사상·신념, 노동조합 정당의 가입·탈퇴, 정치적 견해, 건강, 성생활 등에 관한 정보, 그 밖에 정보주체의 사생활을 현저히 침해할 우려가 있는 개인정보로서 대통령령으로 정하는 정보'를 민감정보에 해당한다고 정의하고 있으므로, 민감정보는 개인정보의 한 유형에 해당하는 것이 문언상으로도 분명한바, 개인정보 보호법 제23조에서 정한 민감정보에 해당하기 위하여는 개인정보 보호법 제2조 제1호에서 정한 개인정보에 해당하기 위한 요건도 충족하여야 한다. 나) AE 프로그램은 처방이 이루어지고 난 뒤 건강보험심사평가원에 요양급여비용 청구를 할 무렵 그 청구의 적정성을 점검할 수 있는 사전점검 기능뿐만 아니라 의사가 실시간으로 처방을 하는 경우 처방의 적정성을 점검할 수 있는 실시간점검 기능까지 가지고 있었음은 앞서 살펴본 바와 같다. 그런데 사전점검 기능을 이용하는 과정에서 필요한 환자정보 등은 피고인 C 서버 중 AI 테이블에 저장되었고, 실시간 처방점검 기능을 이용하는 과정에서 필요한 처방정보 등은 피고인 C 서버 중 AG 테이블 또는 AH 테이블에 각각 저장되었다(수사기록 제3480면 내지 제3487면). 다) 그런데 2019. 6. 20.자 공소장변경허가신청서에 첨부된 별지 범죄일람표 에 의하더라도 AE 프로그램 중 실시간 처방점검 기능을 이용하는 과정에서 피고인 C의 서버(AG 테이블 또는 AH 테이블)에 저장된 정보는 요양기관명, 유일한 킷값, 환자번호, 환자이름, 주민등록번호, 처방일자, 진료과, 처방코드 명칭인데, 위 정보 중 환자이름은 가운데 글자가 ×로 치환되어 있거나[별지 범죄일람표 제1, 2권], 환자이름이 모두 영문자로 치환되어 있고[별지 범죄일람표 제3 내지 5권], 주민등록번호는 생년월일과 성별을 뜻하는 앞 7자리 숫자는 그대로 기재되어 있었으나, 뒷 여섯자리 숫자는 '000000'으로 치환되어 있었다[별지 범죄일람표 ]. 따라서 실시간 처방점검 기능을 이용하는 과정에서 피고인 C 서버에 저장된 위와 같은 형태의 환자이름과 주민등록번호만을 가지고는 그 환자가 특정한 개인에 해당한다고 식별할 수 있다고 단정하기 어렵다. 라) 또한 2019. 6. 20.자 공소장변경허가신청서에 첨부된 별지 범죄일람표 에 의하더라도 AE 프로그램 중 사전점검 기능을 이용하는 과정에서 피고인 C의 서버(AI 테이블)에 저장된 정보는 요양기관명, 청구번호, 청구일자, 명일련번호, 의료보험증번호, 수진자성명, 수진자주민등록번호, 내원일자인데, 위 정보들 중 환자이름은 가운데 글자가 대부분 ×로 치환되어 있고, 주민등록번호는 생년월일과 성별을 뜻하는 앞 7자리 숫자는 그대로 기재되어 있었으나, 뒷 6자리 숫자는 '××××××'으로 치환되어 있었다[별지 범죄일람표 ]. 따라서 실시간 처방점검 기능을 이용하는 과정에서 피고인 C 서버에 저장된 위와 같은 형태의 환자이름과 주민등록번호만을 가지고는 그 환자가 특정한 개인에 해당한다고 식별할 수 있다고 단정하기 어렵다. 다만, AE 프로그램 중 사전점검 기능을 이용하는 과정에서 피고인 C의 서버인 AI 테이블에 저장된 처방정보 중 일부[별지 범죄일람표 순번 7607 내지 13335]에 수진자의 실제 이름이 그대로 기재되어 있어 개인정보에 해당한다고 볼 여지가 있기는 하나, 이 경우에도 '몇 월 몇 일에 태어난 특정 이름을 가진 남성 또는 여성이 특정 병·의원에 특정한 일자에 내원하여 진료를 받았다'는 정도의 정보로 해석될 뿐이어서 이름과 생년월일이 같은 동명이인이 다수 존재할 가능성을 배제하기 어렵고, 피고인 A, B, C가 특정 환자가 누구인지 구체적으로 특정할 수 있는 정보를 가지고 있었다는 다른 정황을 확인하기 어려운 이상, 위와 같은 정보만으로는 개인을 식별할 수 있는 개인정보에 해당한다고 단정하기 어렵다. 마) 주민등록번호 수집 금지 제도 가이드라인에서는 "주민번호 앞자리(생년월일)는 사용 가능한가요"라는 물음에 "주민번호 앞자리의 생년월일은 주민번호의 체계에 따라 생성되는 것이 아니라, 출생신고 시 국민이 공공기관에 신고한 날짜를 토대로 정의되는 숫자 열입니다. 따라서, 생년월일은 주민번호를 이용한 숫자열이라 보기 어려우며, 이용자의 동의를 받아 수집·이용이 가능합니다."라고 기재하였는바(위 가이드라인 34쪽), 뒤 6자리가 삭제된 주민등록번호는 더 이상 주민등록번호에 해당한다고 볼 수 없고, 개인의 성명이 포함되지 않은 생년월일과 성별만으로는 개인을 식별할 가능성이 있다고 보기 어렵다. 바) 검사는, 위 AG 테이블 또는 AH 테이블에 저장된 환자번호를 개별 요양기관에 있는 요양기관명, 환자번호와 결합하여 개인을 식별할 수 있는 가능성이 있다거나 AI 테이블에 저장되어 있는 요양기관명, 의료보험증번호를 개별 요양기관에 저장되어 있는 요양기관명과 의료보험증번호와 결합하여 개인을 식별할 수 있으므로, 여전히 개인정보 나아가 민감정보에 해당한다고 주장한다. 그러나 개인정보의 식별가능성을 판단함에 있어서는 해당 정보를 처리하는 자(또는 해당 정보를 제공받은 자)의 입장에서 판단하되 그 입수가능성도 고려해야 하는데, 의료 관계 법령상 환자의 정보를 다른 사람에게 누설하는 행위를 금지하고 있어서 개별 요양기관에 있는 환자번호, 의료보험증번호 등의 정보를 해당 환자 본인이 아닌 피고인 A, B, C가 적법하게 입수하여 AE 프로그램을 통하여 받은 정보와 결합하여 개인을 식별할 수 있다고 보기 어렵다[심지어 별지 범죄일람표 제3권 내지 제5권은 환자번호도 '×××'로 치환되어 있어 환자번호를 확인하기 조차 어렵다]. 바. 개인정보보호법위반죄의 성립 여부 1) 개인정보 보호법 제71조 제3호, 제23조 제1항 위반행위의 주체는 '개인정보처리자'에 한정되므로, 앞서 위 라항 기재와 같이 피고인 C는 병·의원 또는 의사들로부터 개인정보의 처리를 포함한 위 사전점검 또는 실시간점검 업무를 위탁받은 CV로부터 위와 같은 위탁자들의 동의 아래 위 각 업무를 재위탁받은 재수탁자에 불과하여 개인정보처리자의 지위에 있지 않은 이상, 피고인 C를 개인정보 보호법 제71조 제3호, 제23조 제1항 위반죄로 처벌할 수 없다. 2) 또한 무죄 부분 제1의 라. 3) 나)항에서 살펴본 법률해석에 비추어, 개인정보 보호법 제74조의 양벌규정에 따라 개인정보처리자는 아니나 해당 업무를 실제로 집행한 자를 처벌하기 위하여서는 해당 업무를 실제로 집행하는 자, 즉 행위자가 '개인정보처리자'의 업무를 실제로 집행하는 관계에 있음이 전제되어야 하고, 행위자가 '개인정보처리자'가 아닌 자의 업무를 실제로 집행하는 관계에 있는 경우까지 그 행위자를 마치 개인정보처리자를 처벌하면서 행위자도 함께 처벌하는 경우와 마찬가지로 제74조의 양벌규정에 따라 처벌할 수는 없다. 그렇다면 AE 프로그램과 관련하여 개인정보처리자가 아닌 수탁자에 불과한 피고인 C의 업무를 실제로 집행하였던 피고인 A, B을 피고인 C가 개인정보처리자에 해당하는 경우에만 적용할 수 있는 개인정보 보호법 제74조 제2항, 제71조 제3항, 제23조 제1항 위반죄로 처벌할 수는 없다. 3) 나아가 피고인 A, B, C가 AE 프로그램과 관련하여 피고인 C 서버에 보유한 정보가 식별가능한 개인정보에 해당한다고 단정하기도 어려우므로, 이러한 측면에서도 피고인 C를 개인정보 보호법 제71조 제3호, 제23조 제1항 위반죄로, 피고인 A, B을 개인정보 보호법 제74조 제2항, 제71조 제3항, 제23조 제1항 위반죄로 처벌할 수 없다. 사. 결론 따라서 피고인 A, B, C에 대한 이 부분 각 공소사실에 대하여는 위 피고인들의 나머지 주장에 나아가 살펴볼 필요 없이 피고사건이 범죄가 되지 아니하거나 범죄사실의 증명이 없는 경우에 해당하므로 형사소송법 제325조에 의하여 위 피고인들에 대하여 각 무죄를 선고하고, 형법 제58조 제2항에 의하여 각 무죄 부분의 요지를 공시한다. 5. 이 법원 2018고합665호 사건의 공소사실 중 피고인 A, B, C의 AF 프로그램 관련 민감정보인 처방정보 불법 보유로 인한 각 개인정보보호법위반의 점(이하 '이 부분 각 공소사실'이라고 한다)에 관한 판단 가. 이 부분 각 공소사실의 요지 2011. 9. 30. 개인정보 보호법 시행 이전에 법률의 근거 또는 정보주체의 동의 없이 제3자로부터 개인정보를 제공받아 목적 외의 용도로 이용하고 있는 개인정보처리자는 정보주체의 동의를 받아야 하고, 만일 정보주체의 동의 없이 가지고 있게 되면 개인정보의 불법보유에 해당된다. 피고인 A, B은 2015고합665 범죄사실 제1의 가항 기재와 같이 병·의원에 자료전송 프로그램인 'AN' 프로그램이 설치됨을 기화로 병·의원 의료진이 통계정보를 전송하기 위하여 구동하는 순간 병·의원 의료진이 전자차트프로그램에서 처리 하였던 환자들의 개인정보 및 진료내역 정보가 전송됨을 병·의원의 의료진에게 제대로 고지하지 아니하여 환자들의 동의를 받을 수 없는 상태에서, 해당 정보가 C가 관리하는 데이터베에스 서버로 전송되도록 하였다. 피고인 A, B은 2008. 3. 1.경 정보주체인 환자의 동의나 법령의 근거 없이 DJ(주민등록번호 DK)가 2008. 3. 1.경 DL의원(요양기관코드 DM)에서 '타가메트정 유한메디카 내복'을 하루 2번, 30일간 처방받았다는 내용 등의 민감정보를 C 데이터베이스 서버로 무단 전송받아, 2011. 9. 30.경부터 2014. 12. 2.경까지 위 환자에 대한 처방정보를 보유한 것을 비롯하여 2008. 3.경부터 2011. 9.경까지 별지 범죄일람표 순번 1 내지 30,000 기재와 같이 환자에 대한 처방정보 30,000건을 의사들 및 환자들의 동의를 받지 아니하고 C 데이터베이스 서버로 무단 전송받아 2011. 9. 30.경부터 2014. 12. 2.경까지 보유하였다. 이로써 피고인 A, B은 공모하여 법령의 근거 또는 환자들의 동의없이 민감정보인 환자 처방정보 300,000건을 처리(보유)하였고, 피고인 C는 그 대표자인 A과 종업원인 B이 피고인 C의 업무에 관하여 정보주체인 환자들의 동의 없이 환자 처방정보 300,000건을 처리(보유)하였다. 나. 피고인 A, B, C와 변호인의 주장 1) 피고인 C가 개인정보 보호법 시행 전에 AF 프로그램을 통하여 수집한 파일을 C 서버에 보관한 것은 개인정보 보호법 시행 전에 수집한 정보를 보유하면서 기존의 수집목적 범위 내에서 이용하는 것에 불과하여 개인정보 보호법 부칙 제4조에 따라 적법하다. 2) 피고인 C가 AF 프로그램을 통하여 수집한 정보에는 식별가능한 개인정보가 포함되어 있지 않다. 다. 판단 1) 구 표준 개인정보 보호지침에 따라 개인정보 보호법 시행 전에 법령의 근거 없이 개인정보를 수집한 경우에도 개인정보 보호법 부칙 제4조가 적용된다고 보아야 하고 정보통신망법 제22조 제1항 전문에 의하여 보호되는 개인정보의 주체인 '이용자'는 자신의 개인정보를 수집하려고 하는 정보통신서비스 제공자로부터 정보통신서비스를 제공받아 이를 이용하는 관계를 전제로 하고 있다고 해석되는데, 피고인 C와 환자들 사이에서는 어떠한 계약관계도 존재하지 않고, 환자들이 피고인 C가 제공하는 프로그램들을 직접 이용하였던 것도 아니므로 환자들을 '이용자'라고 보기 어려워 피고인 C가 정보통신망법 제23조 제1항에 위반하여 개인정보를 수집하였다고 보기 어려움은 무죄 부분 제1의 마. 2) 항에서 살펴본 바와 같다. 2) 그런데 피고인 A, B은 AF 사업을 시작할 당시 M의 요청에 따라 환자의 개인정보를 제외한 통계정보만을 제공하려고 하였으나, 병·의원으로부터 해당 정보만을 추출하여 M에 제공하는 것이 기술적으로 곤란하자 자신들의 서버에 병·의원으로부터 전송되는 개인정보를 저장하여 둔 다음 그 중 개인을 식별할 수 있는 정보를 제외한 나머지 통계정보만을 추출하여 M에 제공하였던 것으로 보이는바, 결국 피고인 C가 개인정보 보호법 시행 전에 병·의원으로부터 전송받은 개인정보를 자신의 서버에 보유한 것은 기존에 M에 (개인정보가 아닌) 통계정보를 제공하던 사업을 목적으로 수집한 정보를 동일한 목적에서 계속하여 보유하고 있으면서 개인정보를 제외한 통계정보만을 M에 제공한 것에 불과하여, 이를 구 표준 개인정보 보호지침 제67조 제1항 단서의 '기존의 수집 목적을 벗어나 개인정보를 새롭게 처리하는 경우'에 해당한다고 보기 어렵다. 3) 뿐만 아니라 M는 1년에 2회 정도 AF 프로그램을 통한 통계자료 제공에 동의한 개별 병·의원들로부터 최근 약 일주일 동안의 처방내역을 요청하고, 해당 병·의원에서 자료를 전송하면 M의 데이터콜렉션팀에서 이를 다운로드한 다음에 자료를 정제하기 위하여 M의 공유폴더(DN)에 업로드 하는 사실(증인 BG의 법정진술)이 인정되는데, 개인정보 보호법 시행 전에 C가 수집하여 보관하고 있던 자료들을 M에서 개인정보 보호법 시행 후에 다운로드한 사실을 인정할 자료도 없으므로 이 점에서도 '기존의 수집 목적을 벗어나 개인정보를 새롭게 처리'하였다고 단정할 수 없다. 4) 따라서 피고인 C가 개인정보 보호법 시행 전에 수집한 개인정보를 보유하고 있었던 행위는 개인정보 보호법 부칙 제4조에 따라 허용된다고 보는 것이 상당하다. 라. 결론 따라서 피고인 A, B, C에 대한 이 부분 각 공소사실은 위 피고인들의 나머지 주장에 나아가 살펴볼 필요 없이 피고사건이 범죄가 되지 아니하는 경우에 해당하므로, 형사소송법 제325조 전단에 의하여 위 피고인들에 대하여 각 무죄를 선고하고, 형법 제58조 제2항에 의하여 각 무죄 부분의 요지를 공시한다. 6. 이 법원 2018고합665호 사건의 공소사실 중 피고인 B의 AF 프로그램 관련 민감정보인 처방정보 불법 수집·저장·보유로 인한 개인정보보호법위반의 점(이하 '이 부분 공소사실'이라고 한다)에 관한 판단 가. 이 부분 공소사실의 요지 피고인 B은 공동피고인 A(이하 공동피고인 A이 당해 피고인이 아닌 경우에는 'A'이라고만 한다)과 공모하여 이 법원 2015고합665호 사건의 범죄사실 제1의 가항 기재와 같이 2014. 10. 7.경 정보주체인 환자들의 동의나 법령의 근거 없이 'AO(주민등록번호 AP, 의료보험증번호 AQ)가 2014. 10. 7.경 AR 내과의원(요양기관코드 AS)에서 자누비아정100mg을 하루 1번, 30일간 처방받았다'는 내용 등의 민감정보를 C의 데이터베이스 서버로 무단 전송받아 수집·저장·보유한 것을 비롯하여 2011. 10. 1.경부터 2014. 11. 15.경까지 147개의 병·의원 의료진들이 전자차트프로그램에서 처리하는 환자 처방정보 13,000건을 의사 및 환자들의 동의 없이 C가 관리하는 데이터베이스 서버로 무단 전송받아 수집·저장·보유하였다. 이로써 피고인 B은 A과 공모하여 법령의 근거 또는 환자들의 동의 없이 민감정보인 환자 처방정보 13,000건을 처리(수집·저장·보유)하였다. 나. 피고인 B과 변호인의 주장 피고인 B은 A의 환자 처방정보 불법 처리로 인한 개인정보보호법위반 범행에 공동정범으로 가담하지 않았다. 다. 공동정범의 성립 여부 1) 관련 법리 형법 제30조에서 정한 공동정범은 공동으로 범죄를 저지르려는 의사에 따라 공범자들이 협력하여 범행을 분담함으로써 범죄의 구성요건을 실현한 경우에 각자가 범죄 전체에 대하여 정범으로서의 책임을 지는 것이다. 이러한 공동정범이 성립하기 위하여서는 주관적 요건으로서 공동가공의 의사와 객관적 요건으로서 공동의사에 의한 기능적 행위지배를 통한 범죄의 실행사실이 필요하고, 이때 공동가공의 의사는 공동의 의사로 특정한 범죄행위를 하기 위하여 일체가 되어 서로 다른 사람의 행위를 이용하여 자기의 의사를 실행에 옮기는 것을 내용으로 하는 것이어야 한다(대법원 1996. 1. 26. 선고 95도2461 판결, 대법원 2017. 5. 17. 선고 2017도2573 판결 등 참조). 공동정범이 성립한다고 판단하기 위하여서는 범죄 실현의 전 과정을 통하여 행위자들 각자의 지위와 역할, 다른 행위자에 대한 권유 내용 등을 구체적으로 검토하고 이를 종합하여 공동가공의 의사에 기한 상호 이용의 관계가 합리적인 의심을 할 여지가 없을 정도로 증명되어야 한다(대법원 2015. 10. 29. 선고 2015도5355 판결 등 참조). 2) 구체적 판단 검사와 피고인 B의 변호인이 제출한 증거들에 의하여 인정되는 아래와 같은 사실 또는 사정들을 종합하면, 검사가 제출한 증거들만으로는 피고인 B이 A의 환자 처방정보 불법 처리로 인한 개인정보보호법위반 범행에 가담한다는 공동가공의 의사나 기능적 행위지배를 통한 범죄의 실행사실이 인정된다는 점이 법관으로 하여금 합리적 의심의 여지를 배제하게 할 정도로 증명되었다고 보기 어렵다. 가) A은 C의 대표자로서 2007년경 M와 사이에, AF 서비스 이용계약에 관한 협상을 하였으나, 피고인 B은 그와 같은 협상 과정에 관여한 바가 없고, 그 이후에도 피고인 B이 A으로부터 환자 처방정보가 C 데이터베이스 서버에 저장되고 있다는 사실을 전달받았다고 볼만한 정황을 찾아보기 어렵다. 나) 병·의원에서 사용하는 전자차트프로그램에 저장된 환자 처방 정보가 피고인 C 데이터베이스 서버로 자동으로 전송되는 프로그램인 'AN 프로그램'은 피고인 B이 C의 AD 개발팀장으로 재직하기 시작한 2010년 중반경 이전인 2007년경 개발이 완료되었고, 그 개발에 관여한 사람은 DO이었다. 다) 'AN 프로그램'의 특성상 병·의원의 의사들이 위 프로그램을 실행하여 환자 처방정보를 전송하면 자동적으로 전자차트프로그램에 저장되도록 설계되었고, 피고인 B에 정보의 전송과정에 관여할 수 있는 여지가 없었던 것으로 보인다. 라) C에서 AF 서비스 제공 업무에 관여한 BF은 검찰 참고인조사 당시 환자 처방정보가 자동으로 저장되는 C의 데이터베이스 계정인 'DP' 계정에 접속할 수 있는 권한을 가진 사람은 DO과 BF 자신이었다고 진술하였는데(수사기록 제2987면), 피고인 B으로서는 C 데이터베이스 서버에 접속하여 병·의원으로부터 C 데이터베이스 서버로 전송되는 정보의 종류를 확인할 수 있는 위치에 있었다고 보이지도 않는다. 마) 피고인 B이 M에서 C 데이터베이스 서버에 저장된 정보를 다운로드하는 사실을 알고 있었다고 하더라도 C가 병·의원으로부터 식별이 가능한 환자 처방정보를 전송받아 보유하고 있었다는 점까지 당연히 인식하였다고 볼 수도 없다. 라. 결론 따라서 피고인 B에 대한 이 부분 공소사실은 범죄사실의 증명이 없는 경우에 해당하므로, 형사소송법 제325조 후단에 의하여 무죄를 선고하고, 형법 제58조 제2항에 의하여 위 무죄 부분의 요지를 공시한다. 7. 이 법원 2015고합665호 사건의 공소사실 중 피고인 G, J의 2013. 6. 17.경부터 2013. 12. 11.경까지 사이의 민감정보인 환자 조제정보 불법 수집·저장·보유로 인한 각 개인정보보호법위반의 점, 피고인 F, G, J의 2013. 12. 12.경부터 2014. 5. 31.경까지 사이의 민감정보인 환자 조제정보 불법 수집·저장·보유로 인한 각 개인정보보호법위반의 점, 피고인 G, I, J의 2014. 6. 1.경부터 2014. 7. 6.경까지 사이의 민감정보인 환자 조제정보 불법 수집·저장·보유로 인한 각 개인정보보호법위반의 점, 피고인 G, H, I, J의 2014. 7. 7.경부터 2014. 11. 30.경까지 사이의 민감정보인 환자 조제정보 불법 수집·저장·보유로 인한 각 개인정보보호법위반의 점, 피고인 D, E, F, J의 개인정보 보호법 시행 전인 2011. 1. 28.경부터 2011. 9. 30.경까지 수집된 민감정보인 환자 조제정보를 2011. 9. 30.경부터 2013. 12. 11.경까지 불법 제공하고 개인정보 보호법 시행 이후인 2011. 10. 1.경부터 2013. 3. 7.경까지 사이에 별도로 민감정보인 환자 조제정보를 불법 제공한 행위로 인한 각 개인정보보호법위반의 점, 피고인 D, F, J의 2013. 3. 8.경부터 2013. 6. 16.경까지 사이의 민감정보인 환자 조제정보 불법 제공으로 인한 각 개인정보보호법위반의 점, 피고인 F, G, J의 2013. 6. 17.경부터 2013. 12. 11.경까지 사이 및 2013. 12. 12.경부터 2014. 5. 31.경까지 사이의 민감정보인 환자 조제정보 불법 제공으로 인한 각 개인정보보호법위반의 점, 피고인 G, I, J의 2014. 6. 1.경부터 2014. 7. 6.경까지 사이의 민감정보인 환자 조제정보 불법 제공으로 인한 각 개인정보보호법위반의 점, 피고인 G, H, I, J의 2014. 7. 7.경부터 2014. 11. 30.경까지 사이의 민감정보인 환자 조제정보 불법 제공으로 인한 각 개인정보보호법위반의 점(이하 '이 부분 각 공소사실'이라고 한다)에 관한 판단 가. 이 부분 각 공소사실의 요지 1) 기초사실 가) 2009. 7.경 피고인 J의 당시 원장인 피고인 D(2013. 6. 16.경까지 원장으로 근무), 당시 이사인 피고인 E(2013. 3. 7.경까지 이사로 근무), 당시 개발팀장인 피고인 F(2014. 5. 31.경까지 개발팀장으로 근무), 당시 개발팀 직원인 피고인 I(2014. 8.경부터는 사업기획팀 팀장으로 본건 사업에 관여)은 M 대표이사 공동피고인 K(이하 공동피고인 K가 당해 피고인이 아닌 경우에는 'K'라고만 한다)로부터 피고인 J 산하 회원 약국에 보관된 처방전 정보 등을 제공해달라는 제의를 받고 피고인 J의 약국경영관리 프로그램인 'AU 프로그램', 이하 'AU 프로그램'이라고 한다)을 이용하여 각 약국의 컴퓨터에 저장된 처방전 정보를 수집하여 M에 판매하는 사업을 피고인 J의 주력 사업으로 추진하기로 하였다. 나) 피고인 D, E, F, I은 2010. 1.경부터 2010. 12. 26.경까지 약국에 저장된 조제정보(환자 주민등록번호, 생년월일, 약국코드, 처방전번호, 처방기관번호, 처방일, 처방전 교부번호, 처방전 구분, 환자번호, 의사면허, 약국 접수일, 상병기호, 청구액, 조제료 합계, 총약가, 비보험 약가, 처방기관, 우편번호, 주소, 전화번호, 프로그램 버전, 입력 서버 이름 등)를 J 서버에 자동으로 전송하는 프로그램을 개발하였다. 아울러 피고인 D, E, F, I은 약사법상의 타인의 비밀 누설 등의 문제를 회피하기 위하여 약국 환자의 주민등록번호를 15자리 알파벳으로 암호화(치환방식)하는 기능도 탑재함으로써 환자정보를 제공받는 측에서는 마치 그 암호를 풀 수 없는 것처럼 하였다. 그러나 사실은 이러한 치환방식은 피고인 J 측에서 자체 개발한 것이 아니라 M 측에서 개발하여 넘겨준 것으로 M 측에서는 환자 인적사항을 언제든지 해독할 수 있는 상황이었다. 위와 같이 개발한 자동전송 프로그램을 2011. 1. 28.경 AU 업데이트 파일에 내장하여 AU 전용 서버에 올려놓았고, 그 무렵 이를 잘 모르는 전국 9,000여개 약국들로 하여금 단순히 AU 프로그램을 업데이트하는 것으로 알고 이를 다운로드하여 설치하게 하는 방식으로 처방전 관련 정보 자동전송 프로그램을 전국 9,000여개 약국 컴퓨터에 설치하여, 약국 조제정보가 J의 서버로 자동 전송되게 하였다. 다) 피고인 D이 피고인 J 원장 직에서 물러난 후 피고인 G이 2013. 6.경 후임 원장으로 취임하며 피고인 J의 자동전송 프로그램의 운영 업무와 M에 대한 정보 판매 업무 등 제반 업무를 총괄하여 왔고, 2014. 7. 7.경부터 피고인 J 사업부문 담당 전무로 근무하는 피고인 H은 위와 같은 업무를 실무적으로 뒷받침하며 약국 환자정보의 자동전송 사업 업무를 계속 하였다. 그러던 중 피고인 J 측은 약국 환자 조제정보 불법 수집·제공 혐의로 2013. 12.경 서울중앙지방검찰청 제2형사부로부터 수사를 받고 2014. 7. 28. 피고인 D, E, F, J은 약국으로부터 조제정보를 불법 수집하였다는 개인정보보호법위반죄 등으로 공소제기되었다. 그럼에도 피고인 J 측은 '개인정보를 수집하거나 제공하는 과정에서 약국 환자의 인적사항을 알파벳으로 치환하거나 암호화하게 되면 특정 개인을 식별할 수 없다'는 명분을 이유로 개인정보가 아니라는 주장을 하며 자동전송 사업을 2015. 1.경까지 강행하여 왔다. 그러나 개인정보의 '암호화 조치'는 유출 시를 대비하여 해커 등이 열어보지 못하도록 개인정보처리자가 지켜야 하는 안정성 확보 조치 중의 하나이고, 암호화된 개인정보도 복호화가 가능한 이상 개인정보의 성질에 변함이 있는 것은 아니어서 개인정보에 해당하며, 환자정보를 권한 없이 암호화하는 행위 자체가 개인정보를 가공하는 '처리'에 해당하고 환자들의 처리 동의가 없는 한 이러한 암호화 행위도 불법 처리에 해당한다. 더구나 M는 피고인 J과 치환방식 및 암호화에 대한 해독방식을 공유하여 알고 있는 상황이었다. 2) 민감정보인 조제정보의 불법 처리(수집·저장·보유) 가) 피고인 G, J의 2013. 6. 17.경부터 2013. 12. 11.경까지 사이의 민감정보 불법 처리(수집·저장·보유)로 인한 개인정보보호법위반 피고인 G은 F과 공모하여 2013. 7. 29.경 법령의 근거 또는 정보주체인 환자들의 동의 없이 약국에 설치된 위 AU 프로그램을 통하여 치환주민등록번호 'DQ'(실제 주민등록번호 DR)를 가진 사람이 레토나제 정(약품코드 DS)을 처방받았다는 내용 등의 환자 조제정보를 J 서버로 무단 전송받아 J 서버에 저장하여 민감정보를 불법 수집·저장·보유하였다. 이를 비롯하여 피고인 G은 F과 공모하여 2013. 6. 17.경부터 2013. 12. 11.경까지 법령의 근거 또는 정보주체인 환자들의 동의 없이 여러 개의 약국에 설치된 위 AU 프로그램을 통하여 별지 범죄일람표 순번 2,200,000,001~2,200,600,000 기재와 같이 600,000건의 환자 조제정보를 J의 서버로 무단 전송받아 J 서버에 저장하여 민감정보를 불법 수집·저장·보유하였다. 이로써 피고인 G은 F과 공모하여 법령의 근거 또는 환자들의 동의 없이 민감정보인 환자들의 조제정보 600,000건을 처리(수집·저장·보유)하였고, 피고인 J은 대표자인 피고인 G이 피고인 J의 업무에 관하여 위와 같이 법령의 근거 또는 정보주체인 환자들의 동의 없이 민감정보를 처리(수집·저장·보유)하였다. 나) 피고인 F, G, J의 2013. 12. 12.경부터 2014. 5. 31.경까지 사이의 민감정보 불법 처리(수집·저장·보유)로 인한 개인정보보호법위반 피고인 F, G은 공모하여 2014. 1. 9.경 법령의 근거 또는 정보주체인 환자들의 동의 없이 약국에 설치된 위 AU 프로그램을 통하여 치환주민등록번호 'DT'(실제 주민등록번호 DU)를 가진 사람이 '써스펜 8시간 이알서방정'(약품코드 DV)을 처방받았다는 내용 등의 환자 조제정보를 J 서버로 무단 전송받아 J 서버에 저장하여 민감정보를 불법 수집·저장·보유하였다. 이를 비롯하여 피고인 F, G은 공모하여 2013. 12. 12.경부터 2014. 5. 31.경까지 법령의 근거 또는 정보주체인 환자들의 동의 없이 다수의 약국에 설치된 위 AU 프로그램을 통하여 별지 범죄일람표 순번 2,600,000,001 ~ 2,600,600,000 기재와 같이 600,000건의 환자들의 조제정보를 J 서버로 무단 전송받아 민감정보를 처리(수집·저장·보유)하였고, 피고인 J은 대표자인 피고인 G과 종업원인 피고인 F이 피고인 J의 업무에 관하여 위와 같이 법령의 근거 또는 정보주체인 환자들의 동의 없이 민감정보를 처리(수집·저장·보유)하였다. 다) 피고인 G, I, J의 2014. 6. 1.경부터 2014. 7. 6.경까지 사이의 민감정보 불법 처리(수집·저장·보유)로 인한 개인정보보호법위반 피고인 G, I은 공모하여 2014. 6. 7.경 법령의 근거 또는 정보주체인 환자들의 동의 없이 약국에 설치된 위 AU 프로그램을 통하여 치환주민등록번호 'DW'(실제 주민등록번호 DX)를 가진 사람이 '하이메틴정 200mg'(약품코드 DY)을 처방받았다는 내용 등의 환자 조제정보를 J 서버로 무단 전송받아 피고인 J의 서버에 저장하여 민감정보를 불법 수집·저장·보유하였다. 이를 비롯하여 피고인 G, I은 공모하여 2014. 6. 1.경부터 2014. 7. 6.경까지 법령의 근거 또는 정보주체인 환자들의 동의 없이 다수의 약국에 설치된 AU 프로그램을 통하여 별지 범죄일람표 순번 3,000,000,001 내지 3,000,200,000 기재와 같이 200,000건의 환자들의 조제 정보를 J 서버로 무단 전송받아 민감정보를 처리(수집·저장·보유)하였고, 피고인 J은 대표자인 피고인 G과 종업원인 피고인 I이 피고인 J의 업무에 관하여 위와 같이 법령의 근거 또는 정보주체인 환자들의 동의 없이 민감정보를 처리(수집·저장·보유)하였다. 라) 피고인 G, H, I, J의 2014. 7. 7.경부터 2014. 11. 30.경까지 사이의 민감정보 불법 처리(수집·저장·보유)로 인한 개인정보보호법위반 피고인 G, H, I은 공모하여 2014. 7. 22.경 법령의 근거 또는 정보주체인 환자들의 동의 없이 약국에 설치된 위 AU 프로그램을 통하여 치환주민등록번호 'DZ'(실제 주민등록번호 EA)를 가진 사람이 '한미 아스피린 장용정 100mg'(약품코드 EB)을 처방받았다는 내용 등의 환자 조제정보를 피고인 J 서버로 무단 전송받아 J의 서버에 저장하여 민감정보를 불법 수집·저장·보유하였다. 이를 비롯하여 피고인 G, H, I은 공모하여 2014. 7. 7.경부터 2014. 11. 30.경까지 법령의 근거 또는 정보주체인 환자들의 동의 없이 다수의 약국 설치된 위 AU 프로그램을 통하여 별지 범죄일람표 순번 3,100,000,001 내지 3,100,600,000 기재와 같이 환자들의 조제정보 600,000건을 피고인 J의 서버로 무단 전송받아 민감정보를 처리(수집·저장·보유)하였고, 피고인 J은 대표자인 피고인 G과 종업원인 피고인 H, I이 피고인 J의 업무에 관하여 위와 같이 법령의 근거 또는 정보주체인 환자들의 동의 없이 민감정보를 처리(수집·저장·보유)하였다. 3) 민감정보인 조제정보의 불법 제공 가) 피고인 D, E, F, J의 공동범행 피고인 D, E, F은 공모하여 2011. 1. 28.경 법령의 근거 또는 정보주체인 환자들의 동의 없이 약국에 설치된 AU 프로그램을 통하여 수집한 치환주민등록번호 'EC'(실제 주민등록번호 ED)를 가진 사람이 '피디 정 4mg'(약품코드 EE)을 처방받았다는 내용 등의 환자 조제정보를 2011. 9. 30.경부터 2013. 12. 11.까지 보유하면서 환자들의 동의나 법령의 근거 없이 M가 관련 프로그램을 통하여 언제든지 다운로드할 수 있게 공유하는 방법으로 제공하여 민감정보인 환자정보를 처리(공유·제공)하였다. 이를 비롯하여 피고인 D, E, F은 공모하여 2011. 1. 28.경부터 2011. 9. 30.경까지 정보주체인 환자들의 동의나 법령의 근거 없이 별지 범죄일람표 순번 1 내지 1,000,000 기재와 같이 수집한 환자들의 조제정보 1,000,000건을 개인정보보호법 시행일인 2011. 9. 30.경부터 2013. 12. 11.까지 보유하면서 환자들의 동의나 법령의 근거 없이 M가 관련 프로그램을 통하여 언제든지 다운로드할 수 있게 공유하는 방법으로 제공하여 민감정보인 환자정보를 처리(공유·제공)하였고, 피고인 J은 대표자인 피고인 D과 종업원인 피고인 E, F이 피고인 J의 업무에 관하여 위와 같이 법령의 근거 또는 정보주체인 환자들의 동의 없이 민감정보를 처리(공유·제공)하였다. 또한 피고인 D, E, F은 공모하여 2011. 10. 14.경 법령의 근거 또는 정보주체인 환자들의 동의 없이 약국에 설치된 AU 프로그램을 통하여 수집한 치환주민등록번호 'EF'(실제 주민등록번호 EG)를 가진 사람이 '레바킨 시럽'(약품코드 EH)을 처방받았다는 내용 등의 환자 조제정보를 환자들의 동의나 법령의 근거 없이 M에 무단 제공하는 방법으로 민감정보를 불법 처리하였다. 이를 비롯하여 피고인 D, E, F은 공모하여 2011. 10. 1.경부터 2013. 3. 7.경까지 정보주체인 환자들의 동의나 법령의 근거 없이 별지 범죄일람표 순번 600,000,001 내지 602,000,000 기재와 같이 환자들의 조제정보 2,000,000건을 환자들의 동의나 법령의 근거 없이 M에 무단 제공하는 방법으로 민감정보를 불법 처리하였고, 피고인 J은 대표자인 피고인 D과 종업원인 피고인 E, F이 피고인 J의 업무에 관하여 위와 같이 법령의 근거 또는 정보주체인 환자들의 동의 없이 민감정보를 처리하였다. 나) 피고인 D, F, J의 공동범행 피고인 D, F은 공모하여 2013. 5. 2.경 법령의 근거 또는 정보주체인 환자들의 동의 없이 약국에 설치된 AU 프로그램을 통하여 수집한 치환주민등록번호 'EI'(실제 주민등록번호 EJ)를 가진 사람이 '매프론 정'(약품코드 EK)을 처방받았다는 내용 등의 환자 조제정보를 환자들의 동의나 법령의 근거 없이 M에 무단 제공하는 방법으로 민감정보를 불법 처리하였다. 이를 비롯하여 피고인 D, F은 공모하여 2013. 3. 8.경부터 2013. 6. 16.경까지 정보주체인 환자들의 동의나 법령의 근거 없이 별지 범죄일람표 순번 2,000,000,001 내지 2,000,400,000 기재와 같이 환자들의 조제정보 400,000건을 환자들의 동의나 법령의 근거 없이 M에 제공하는 방법으로 민감정보를 불법 처리하였고, 피고인 J은 대표자인 피고인 D과 종업원인 피고인 F이 피고인 J의 업무에 관하여 위와 같이 법령의 근거 또는 정보주체인 환자들의 동의 없이 민감정보를 처리하였다. 다) 피고인 F, G, J의 공동범행 피고인 F, G은 공모하여 2013. 7. 29.경 법령의 근거 또는 정보주체인 환자들의 동의 없이 약국에 설치된 위 AU 프로그램을 통하여 수집한 치환주민등록번호 'DQ'(실제 주민등록번호 DR)를 가진 사람이 레토나제 정(약품코드 DS)을 처방받았다는 내용 등의 환자 조제정보를 환자들의 동의나 법령의 근거 없이 M에 무단 제공하는 방법으로 민감정보를 불법 처리하였다. 이를 비롯하여 피고인 F, G은 공모하여 2013. 6. 17.경부터 2013. 12. 11.경까지 정보주체인 환자들의 동의나 법령의 근거 없이 별지 범죄일람표 순번 2,200,000,001 내지 2,200,600,000 기재와 같이 환자들의 조제정보 600,000건을 환자들의 동의나 법령의 근거 없이 M에 무단 제공하는 방법으로 민감정보를 불법 처리하였고, 피고인 J은 대표자인 피고인 G과 종업원인 피고인 F이 피고인 J의 업무에 관하여 위와 같이 법령의 근거 또는 정보주체인 환자들의 동의 없이 민감정보를 처리하였다. 또한 피고인 F, G은 공모하여 2014. 1. 9.경 법령의 근거 또는 정보주체인 환자들의 동의 없이 약국에 설치된 위 AU 프로그램을 통하여 수집한 치환주민등록번호 'DT'(실제 주민등록번호 DU)를 가진 사람이 '써스펜 8시간 이알서방정'(약품코드 DV)을 처방받았다는 내용 등의 환자 조제정보를 환자들의 동의나 법령의 근거 없이 M에 무단 제공하는 방법으로 민감정보를 불법 처리하였다. 이를 비롯하여 피고인 F, G은 공모하여 2013. 12. 12.경부터 2014. 5. 31.경까지 정보주체인 환자들의 동의나 법령의 근거 없이 별지 범죄일람표 순번 2,600,000,001 내지 2,600,600,000 기재와 같이 환자들의 조제정보 600,000건을 환자들의 동의나 법령의 근거 없이 M에 무단 제공하는 방법으로 민감정보를 불법 처리하였고, 피고인 J은 대표자인 피고인 G과 종업원인 피고인 F이 피고인 J의 업무에 관하여 위와 같이 법령의 근거 또는 정보주체인 환자들의 동의 없이 민감정보를 처리하였다. 라) 피고인 G, I, J의 공동범행 피고인 G, I은 공모하여 2014. 6. 7.경 법령의 근거 또는 정보주체인 환자들의 동의 없이 약국에 설치된 위 AU 프로그램을 통하여 수집한 치환주민등록번호 'DW'(실제 주민등록번호 DX)를 가진 사람이 '하이메틴정 200mg'(약품코드 DY)을 처방받았다는 내용 등의 환자 조제정보를 환자들의 동의나 법령의 근거 없이 M에 무단 제공하는 방법으로 민감정보를 불법 처리하였다. 이를 비롯하여 피고인 G, I은 공모하여 2014. 6. 1.경부터 2014. 7. 6.경까지 정보주체인 환자들의 동의나 법령의 근거 없이 별지 범죄일람표 순번 3,000,000,001 내지 3,000,200,000 기재와 같이 환자들의 조제정보 200,000건을 환자들의 동의나 법령의 근거 없이 M에 무단 제공하는 방법으로 민감정보를 불법 처리하였고, 피고인 J은 대표자인 피고인 G과 종업원인 피고인 I이 피고인 J의 업무에 관하여 위와 같이 법령의 근거 또는 정보주체인 환자들의 동의 없이 민감정보를 처리하였다. 마) 피고인 G, H, I, J의 공동범행 피고인 G, H, I은 공모하여 2014. 7. 22.경 법령의 근거 또는 정보주체인 환자들의 동의 없이 약국에 설치된 AU 프로그램을 통하여 수집한 치환주민등록번호 'DZ'(실제 주민등록번호 EA)를 가진 사람이 '한미 아스피린 장용정 100mg'(약품코드 EB)을 처방받았다는 내용 등의 환자 조제정보를 환자들의 동의나 법령의 근거 없이 M에 무단 제공하는 방법으로 민감정보를 불법 처리하였다. 이를 비롯하여 피고인 G, H, I은 공모하여 2014. 7. 7.경부터 2014. 11. 30.경까지 정보주체인 환자들의 동의나 법령의 근거 없이 별지 범죄일람표 순번 3,064,788,973 내지 3,415,107,637 기재와 같이 다수의 약국으로부터 수집한 별지 범죄일람표 순번 3,100,000,001 내지 3,100,600,000 기재와 같이 환자들의 조제정보 600,000건을 환자들의 동의나 법령의 근거 없이 M에 무단 제공하는 방법으로 민감정보를 불법 처리하였고, 피고인 J은 대표자인 피고인 G과 종업원인 피고인 H, I이 피고인 J의 업무에 관하여 위와 같이 법령의 근거 또는 정보주체인 환자들의 동의 없이 민감정보를 처리하였다. 나. 피고인 D, E, F, G, H, I, J과 각 변호인들의 주장 1) 피고인 J이 약국으로부터 수집한 조제정보는 환자의 주민등록번호 등이 암호화된 형태로 수집된 것이어서 특정 개인의 조제정보라는 점을 식별할 수 없으므로, 개인정보 보호법 제2조 제1호의 '개인정보'에 해당하지 아니하고 개인정보 보호법 제23조의 '민감정보'에도 해당하지 않는다. 2) 설령 그렇지 않더라도, 피고인 D, G, F, I, H은 특정 개인을 식별할 수 있는 조제정보를 처리한다는 점에 대한 고의가 없었다. 3) 특히 피고인 G, H은 피고인 F, I이 암호화된 주민등록번호를 복호화할 수 있는 암호화 규칙을 소지하고 있다는 점을 인식하지 못하였으므로 개인정보 보호법 위반의 고의가 없었고, 피고인 F 등의 개인정보보호법위반 범행에 공범으로 가담하였다고 볼 수도 없다. 4) 하나의 처방전에 표시되는 여러 약제에 관한 조제정보는 하나의 처방전마다 1건의 조제정보에 해당한다고 보아야 함에도 검사는 하나의 처방전에 표시되는 개별 약제마다 별개의 조제정보에 해당하는 것으로 공소제기 한 잘못이 있다. 다. 인정사실 검사와 피고인 G, H, I, J의 변호인이 제출한 증거들에 의하면 아래의 사실이 인정된다. 1) AU 프로그램의 개관 가) 피고인 J이 CC로부터 약사들이 건강보험심사평가원에 요양급여비용을 청구하고 환자 관리 및 조제데이터를 입력·저장하는 등의 기능을 갖춘 심사청구 소프트웨어인 AU 프로그램을 위탁받아 관리하고 있었음은 피고인들과 변호인들의 주장에 관한 판단 제4의 가. 1)항에서 살펴본 바와 같다. 나) 한편 의사가 환자에게 발행하는 처방전에는 환자의 성명 및 주민등록번호, 의료기관의 명칭 및 전화번호, 질병분류기호, 의료인의 성명, 면허종류 및 면허번호, 처방의약품의 명칭, 분량 및 용법, 처방전 발급 연월일 및 사용기간 등이 기재되어 있는데, 환자가 처방전을 받아 이를 약국에 제출하면 약국에서는 처방전에 기재된 사항을 각 약국에 설치되어 있는 AU 프로그램에 입력하여 그 정보를 토대로 건강보험심사평가원에 조제료, 복약지도료 등을 청구하게 된다. 2) 피고인 J과 M 사이의 데이터공급계약 등의 체결 가) 피고인 J(당시 J원장은 피고인 D이었다)과 M(당시 대표이사는 K이었다)는 2009. 2. 17. 양 기관이 보유하고 있는 의약품정보의 공동활용체제를 구축하기 위한 양해각서를 체결하였고, 2010. 2. 3. 위 양해각서를 구체화하여 피고인 J이 AU 프로그램을 사용하는 약국으로부터 취합한 재고관리 및 처방조제 데이터를 M에 제공하기로 하는 부대합의서를 체결하였으며, 2010. 12. 30. 위 부대합의서에 따라 본 계약에 해당하는 데이터공급계약(이하 '이 사건 데이터공급계약'이라고 한다)을 체결하였다(데이터공급계약서에 의하여 양해각서와 부대합의서를 교체 및 대체하는 것으로 정하였다). 피고인 J과 M가 작성한 부대합의서와 데이터공급계약서에는 아래와 같은 내용이 포함되어 있다. 나) 한편 피고인 J과 M가 2009. 2. 17. 양해각서를 체결한 이후 처방정보 등의 제공에 관한 협의를 하는 과정에서 M 소속 공동피고인 L(이하 공동피고인 L이 당해 피고인이 아닌 경우에는 'L'이라고만 한다)은 피고인 J 개발팀장 피고인 F에게 피고인 J이 M에 제공하는 정보들 중 환자의 이름은 제외하여 줄 것과 환자의 주민등록번호는 암호화하여 제공하여 줄 것을 요청하였고, 실제로 L이 피고인 F에게 발송한 2009. 12. 21.자 이메일과 2010. 4. 2.자 이메일에는 환자정보 중 환자의 생년월일과 성별은 그대로 제공받되, 환자의 ID는 "암호화(Encryption) 환자별 구분이 가능해야 하므로 주민등록번호를 암호화하여 제공"이라고 기재되어 있었다(수사기록 제19493, 19494면, 제19498, 19499면). 3) AU 프로그램 내 자동전송 프로그램의 탑재 및 J의 처방정보 수집 등 가) 피고인 J의 이사 피고인 E, 개발팀장 피고인 F은 이 사건 데이터공급계약을 이행하기 위하여 2011. 1. 28.경 각 약국에 저장된 처방전 관련 정보를 피고인 J에 자동으로 전송하는 프로그램을 개발하여 이를 AU 프로그램 업데이트 파일에 포함시킨 후 각 약국으로 하여금 AU 프로그램을 업데이트하는 과정에서 위 자동전송 프로그램을 설치하도록 하였다. AU 프로그램 사용자가 AU 프로그램을 업데이트하려고 할 때 아래와 같은 내용의 약관이 팝업(pop-up) 형식으로 나타났고, 사용자에게 동의 여부에 대하여 '예, 아니오.'라고 묻고 '예'라고 하면 바로 업데이트가 진행되는데, 동의하는 경우에만 프로그램이 실행되었다. 나) 그 후 약사들이 자동전송 프로그램이 설치된 AU 프로그램을 통하여 처방 전 관련 정보를 입력하게 되면, 입력된 환자들의 정보, 즉 환자의 주민등록번호, 환자의 성별 및 생년월일, 처방전 발급기관, 의료인의 성명 및 면허번호, 질병분류기호, 처방의약품의 명칭, 분량 및 용법, 처방전 발급 연월일 등의 정보(이하 '이 사건 조제정보'라고 한다)가 암호화 과정을 거쳐 피고인 J의 중앙서버로 전송되었다. 다) 피고인 J은 AU 프로그램을 통하여 수집한 이 사건 조제정보를 M에 제공하고 M로부터 대가를 지급받았으며, M는 이 사건 조제정보를 미국에 있는 EL 본사에 전송한 후 정보분석 결과 및 통계자료를 전송받아 이를 제약회사 등에 판매하였다. 4) 이 사건 조제정보 중 환자의 주민등록번호에 관한 암호화 방식 가) 이 사건 조제정보 중 환자의 주민등록번호의 경우 다음과 같은 방식으로 암호화가 되어 피고인 J의 중앙서버에 저장되었고 M는 피고인 J으로부터 암호화된 주민등록번호가 포함된 이 사건 조제정보를 제공받았다. 나) 한편 피고인 J의 개발팀장 피고인 F과 개발팀 직원 피고인 I은 피고인 J 자체 내에서 환자 주민등록번호를 암호화하는 방식을 개발하려고 시도하였으나 피고인 J에서 개발한 암호화 방식에 오류가 발생하자, 2010. 5.경 M의 L으로부터 아래 다)항 기재와 같이 암호화 방식을 사용할 것을 제안받았다. 다) 그리하여 피고인 J은 최초 정보제공 시인 2011. 1. 말경부터 2014. 6.경까지는 13자리의 주민등록번호 중 홀수 자리와 짝수 자리를 각 다른 암호화 규칙에 따라 영어 알파벳으로 치환한 다음 양끝 2자리에 임의의 알파벳으로 잡음(노이즈, noise)을 추가하는 방식의 양방향 암호화를 하였다(이하 '1기 암호화'라고 한다). 1단계 : 아래 표와 같이 13자리를 짝수자리와 홀수자리로 나누어서 각 숫자를 해당하는 알파벳으로 변환 예) EM → elafjhafcfjnd 2단계 : 변환된 문자열의 6번째 자리의 문자를 문자열의 가장 마지막 자리에, 13번째 자리의 문자를 첫 번째 자리에 추가하여 15자리의 알파벳 문자열을 생성 예) EM → elafjhafcfjnd → delafjhafcfjndh 라) 그 후 피고인 J 측은 2014. 6.경부터 2014. 9.경까지는 복호화가 불가능한 일방향 암호화 방식인 SHA-512 방식으로 환자의 주민등록번호를 암호화하였다(이하 '2기 암호화'라고 한다). 예) EN →25525ab9f38678f802c8d0416bd488132c0682919f004986a328c125a3f192a934d 482c371af2e2476fc66cfc257e0d6d58c83f536f36a2aa0e80caba39b0ebb 마) 또한 피고인 J 측은 2014. 10.경 이후부터 2015. 1.경까지는 주민등록번호가 아니라 성명, 생년월일, 성별로 환자를 특정한 후 이를 일방향 암호화 방식(SHA-512방식)으로 암호화하였다(이하 '3기 암호화'라고 한다). 예) EO EP 여 → 05b0ebd66291667d062ff3070114f22d1b4a626b9a2396a822d19d0ae0db8cf 2ee0bf5aa2417e0f7d670a31d11155fbec76e57709a848f398ce55d8c94357878 5) 의사 이름, 의사면허번호의 암호화 환자 주민등록번호에 관한 1기 암호화가 이루어진 후 2011. 9. 30. 개인정보 보호법이 시행되었고, 6개월의 계도기간이 부여되었는데, 피고인 J과 M는 계도기간이 만료되기 전인 2012. 2.경 의사 이름과 면허번호를 추가로 암호화하였다. 라. 피고인 F, G, H, I에게 환자 조제정보 불법 처리로 인한 각 개인정보보호법위반 범행과 피고인 D, E, F, G, H, I에게 환자 조제정보 불법 제공으로 인한 각 개인정보보호법위반 범행에 관한 고의가 인정되는지 여부 1) 관련 법리 범죄구성요건의 주관적 요소로서 미필적 고의라 함은 범죄사실의 발생 가능성을 불확실한 것으로 표상하면서 이를 용인하고 있는 경우를 말하고, 미필적 고의가 있었다고 하려면 범죄사실의 발생 가능성에 대한 인식이 있음은 물론 나아가 범죄사실이 발생할 위험을 용인하는 내심의 의사가 있어야 하며, 그 행위자가 범죄사실이 발생할 가능성을 용인하고 있었는지의 여부는 행위자의 진술에 의존하지 아니하고 외부에 나타난 행위의 형태와 행위의 상황 등 구체적인 사정을 기초로 하여 일반인이라면 당해 범죄사실이 발생할 가능성을 어떻게 평가할 것인가를 고려하면서 행위자의 입장에서 그 심리상태를 추인하여야 하고, 이와 같은 경우에도 공소가 제기된 범죄사실의 주관적 요소인 미필적 고의의 존재에 대한 입증책임은 검사에게 있는 것이며, 한편 유죄의 인정은 법관으로 하여금 합리적인 의심을 할 여지가 없을 정도로 공소사실이 진실한 것이라는 확신을 가지게 하는 증명력을 가진 증거에 의하여야 하므로, 그와 같은 증거가 없다면 설령 피고인에게 유죄의 의심이 간다고 하더라도 피고인의 이익으로 판단할 수밖에 없다(대법원 2004. 5. 14. 선고 2004도74 판결 등 참조). 2) 구체적 판단 위 다항 기재 인정사실에다가 검사와 피고인 G, H, I, J의 변호인이 제출한 증거들에 의하여 인정되는 아래와 같은 사실 또는 사정들을 종합하면, 피고인 F, G, H, I에게 '특정 개인을 식별할 수 있는' 조제정보를 수집·저장·보유 및 제공한다는 점에 대한 인식과 이를 용인하는 내심의 의사, 즉 민감정보인 조제정보를 처리한다는 점에 대한 고의가 있었다는 점이 법관으로 하여금 합리적 의심의 여지를 배제하게 할 정도로 증명되었다고 보기 어렵다. 가) 개인정보는 해당 정보를 처리하는 자의 입장에서 합리적으로 활용될 가능성이 있는 수단을 고려하여 특정 개인을 식별할 수 있는(identifiable) 정보이므로, 개인정보에 암호화 등 적절한 비식별화(de-identification) 조치를 취함으로써 특정 개인을 식별할 수 없는 상태에 이른다면 이는 식별가능할 것을 요건으로 하는 개인정보에 해당하지는 않으나, 비식별화 조치 또는 암호화 조치가 이루어졌다고 하더라도 재식별 가능성 또는 복호화 가능성이 합리적으로 존재한다면 여전히 개인정보에 해당한다고는 보아야 한다. 그러나 어떤 정보가 식별가능한 개인정보에 해당한다는 것과 행위자가 그 정보를 식별가능한 개인정보로 인식하였는지 여부는 별개의 문제이고, 특히 개인정보가 비식별화 조치 또는 암호화 조치가 된 경우, 그와 같은 정보를 처리하는 자에게 개인정보 처리에 관한 고의가 있었다고 보려면, 비식별화 또는 암호화된 개인정보를 식별화 또는 복호화하여 처리할 수 있다는 인식과 함께 그와 같은 정보를 식별가능한 형태의 정보로 치환하여 처리하는 것을 용인하는 의사까지 인정이 되어야 할 것이다. 나) 피고인 J과 M 사이에서 AU 프로그램을 통하여 취득하는 이 사건 조제정보 제공에 관한 논의가 이루어질 당시, M의 L은 피고인 J의 피고인 F 등에게 개인을 식별할 수 있는 환자의 이름을 제공 대상에서 제외할 것과 환자의 주민등록번호를 암호화하여 제공하여 줄 것을 요청하였다. 그리고 실제로 J과 M가 체결한 데이터공급계약서에 의하더라도 'J은 환자의 식별 가능한 데이터 항목인 환자 성명, 환자 식별번호, 생년월일에 대하여 일관되고 충분한 암호화 작업이 이루어지도록 한다'고 정하였고, L이 피고인 J의 피고인 F에게 보낸 이메일에도 그러한 취지가 기재되어 있었다. 이에 따라 피고인 J은 약국으로부터 AU 프로그램의 자동전송 프로그램을 통하여 환자의 실제 주민등록번호가 아니라 1기 암호화 방식으로 암호화된 상태의 주민등록번호가 포함 된 조제정보를 전송받았다. 다) 피고인 J은 M와 사이에 이 사건 데이터공급계약을 체결하기 전에는 약국으로부터 조제정보 등을 따로 수집한 적이 없었고, 오로지 이 사건 데이터공급계약에 따른 의무를 이행하기 위하여 환자의 조제정보를 수집하였던 것으로 보인다. 따라서 피고인 J 입장에서는 이 사건 데이터공급계약에서 정한 의무를 이행하기 위하여 필요한 형태의 정보만을 수집하면 족하였다. 그런데 이 사건 데이터공급계약에서 정한 환자 주민등록번호의 제공형태는 암호화된 상태의 주민등록번호였으므로, 피고인 J 입장에서는 약국으로부터 암호화된 상태로 전송된 주민등록번호를 그대로 M 측에 제공하기만 하면 될 뿐이고, 굳이 암호화된 상태의 주민등록번호를 실제 주민등록번호로 복호화할 아무런 이유나 동기가 없었다. 라) 특히 피고인 J이 M와 이 사건 데이터공급계약을 체결하고 약국으로부터 AU 프로그램 내의 자동전송 프로그램을 통하여 환자 주민등록번호를 포함한 조제정보를 수집하기 시작한 시점은 개인정보 보호법이 시행된 2011. 9. 30. 이전이었으므로, 그 당시에 피고인 J은 암호화된 형태의 주민등록번호가 아닌 실제 주민등록번호를 수집하여도 개인정보 보호법 위반의 문제가 발생하지 않는 상황이었다. 따라서 피고인 J 나아가 M가 애초부터 실제 주민등록번호를 수집하려고 하였다면 굳이 번거로운 절차를 거치면서까지 암호화된 형태의 주민등록번호를 전송받아 이를 다시 복호화하는 과정을 거칠 필요가 없었다. 그럼에도 피고인 J의 피고인 F, I은 주민등록번호를 암호화하여 수집하였는바, 이는 식별가능한 형태의 주민등록번호를 수집한다는 의사를 가진 자들이 일반적으로 취하는 행동이라 보기 어렵고, 오히려 개인을 식별할 수 없는 형태로 주민등록번호를 수집하려는 의사였다고 봄이 자연스럽다. 마) 피고인 J 개발팀장인 피고인 F과 개발팀 과장인 피고인 I이 M의 L으로부터 암호화 규칙에 관한 제안을 받았으므로, 암호화된 형태의 주민등록번호를 원래 주민등록번호로 치환할 수 있는 규칙을 알고 있기는 하였다. 그런데 피고인 F, I 및 당시 각각 피고인 J의 원장, 상임이사이었던 D, E에게 식별가능한 개인정보를 수집한다는 고의가 있었다고 인정하려면 그들에게 복호화가 가능한 주민등록번호를 수집한다는 가능성을 인식하는 것에서 나아가 암호화된 주민등록번호를 복호화하여 식별가능한 개인정보를 수집하는 것을 용인하는 내심의 의사가 있었다는 점까지 증명되어야 할 것임은 앞서 본 바와 같다. 그러나 다음과 같은 사정들, 즉 피고인 J은 이 사건 데이터공급계약에 따라 M에 암호화된 형태의 주민등록번호를 제공할 의무가 있었으므로, 피고인 J의 직원 중 누군가는 약국에서 수집되는 실제 주민등록번호를 암호화하는 작업을 수행할 수밖에 없었던 것으로 보이고, 실제로 피고인 F, I이 그러한 작업을 수행하였던 점, 이 사건 데이터공급계약 체결 무렵에는 개인정보 보호법이 시행되기 전이었으므로 개인정보 암호화에 관한 개념 또는 인식이 보편화되지 않았던 것으로 보이고, 따라서 피고인 J의 임직원들이 암호화된 개인정보를 실제로 복호화하지 않더라도 암호화규칙을 알고 있다는 사실 자체만으로 향후 입법화될 개인정보 보호법에서 정한 '개인정보'에 해당할 수 있는 데다가, 그와 같은 개인정보를 처리하는 것이 개인정보 보호법에서 금지하는 행위에 해당할 수 있다는 사정까지 예견하기는 어려웠을 것으로 보이는 점 등에 비추어 보면, 피고인 F, I이 주민등록번호를 암호화하는 과정에서 암호화 규칙을 알고 있었다고 하더라도 그들에게 암호화된 주민등록번호를 복호화할 의사가 있었다고 단정하기도 어렵다(심지어 피고인 D, E은 피고인 F, I으로부터 주민등록번호 암호화에 관한 진행상황만을 보고받았다고 보일 뿐, 피고인 F, I이 암호화된 주민등록번호를 실제 주민등록번호로 복호화할 수 있다는 점까지 인식하였다고 볼만한 정황을 확인하기 어렵다). 바) 비록 피고인 F, I을 비롯한 피고인 J 측에서 개인정보 보호법이 시행된 2011. 9. 30. 이후 곧바로 보다 완전한 형태의 암호화 방식인 2기 암호화 방식을 적용하지 않은 채 2014. 6.경까지 기존에 사용해 온 1기 암호화 방식에 따라 조제정보에 포함된 주민등록번호를 암호화하기는 하였다. 그러나 피고인 J에서는 개인정보 보호법이 시행되기 전부터 약국으로부터 1기 암호화 방식을 적용하여 암호화된 형태의 주민등록번호를 전송받고 있었고, 그 당시 피고인 F, I에게 암호화된 형태의 주민등록번호를 복호화한다는 의사가 있었다고 단정하기 어려움은 앞서 살펴본 바와 같은바, 한편으로 개인정보 보호법이 시행되었다고 하더라도 그 무렵 개인정보 유출 사고가 발생하였다거나 피고인 J이 채택한 1기 암호화 방식의 불완전성이 문제가 되는 등으로 좀 더 완전한 형태의 암호화를 즉시 시행하지 않으면 안 될 정도의 상황이 발생하였다고 볼 수도 없고, 다른 한편으로 개인정보 보호법이 시행됨에 따라 암호화된 개인정보를 임의로 복호화하는 행위가 처벌대상이 될 수도 있음이 공적으로 알려진 시점에 피고인 F, I에게 암호화된 형태의 주민등록번호를 복호화하여야 하는 이유나 동기가 발생하였다고 볼만한 정황을 확인하기 어렵다. 그렇다면 피고인 F, I에게 1기 암호화 방식 보다 완전한 형태의 암호화 방식으로 개선하지 아니한 과실이 있다고 볼 수 있을지언정, 새삼스레 그들에게 식별가능한 개인정보를 수집한다는 고의가 발생하였다고 볼 수는 없다. 사) 특히 다음과 같은 사정들에 비추어, 피고인 G이 피고인 J이 약국으로부터 수집하는 암호화된 주민등록번호가 실제 주민등록번호로 치환할 수 있는 정보라는 점을 인식하였다고 보기도 어렵다. 피고인 G은 2013. 3. 19. 피고인 J의 원장 대행으로 취임하여 2013. 6. 17. 원장으로 취임하였는데, 그 당시 피고인 이미 J의 전임 원장이었던 피고인 D과 전임 이사였던 피고인 E이 2010년경 이미 피고인 J과 M 사이에 양해각서를 비롯한 이 사건 데이터공급계약을 체결하여 피고인 J이 약국으로부터 수집한 조제정보를 M에 제공하는 사업을 진행하고 있었고, 따라서 피고인 G은 M와의 양해각서 체결, 조제정보 수집, 전송 프로그램의 개발, M와의 이 사건 데이터공급계약의 체결, 조제정보 수집 및 전송 개시 중 어느 것에도 관여한 적이 없다. 피고인 G이 J원장으로 취임하였을 당시 전임 원장인 피고인 D을 비롯한 전임 집행부 및 담당 직원들로부터 업무 인수를 받은 내용도 통계 자료를 판매하는 회사인 M와 환자의 개인정보가 포함되지 않은 의약품에 관한 조제정보만을 M에 제공하는 사업을 한다는 정도에 불과하였던 것으로 보인다. 아) 또한 다음과 같은 사정들에 비추어, 피고인 H도 피고인 J이 약국으로부터 수집하는 암호화된 주민등록번호가 실제 주민등록번호로 치환할 수 있는 정보라는 점을 인식하였다고 보기도 어렵다. 피고인 H은 피고인 J이 안전행정부의 권고에 따라 주민등록번호를 일방향으로 암호화(2기 암호화)된 후인 2014. 7. 7.경부터 J의 사업부문 담당 전무로 근무하기 시작하였는데, J의 전임 원장이었던 피고인 D과 전임 이사였던 피고인 E은 피고인 H이 J에 입사하기 전인 2010년경 M에 이 사건 조제정보를 전송하는 사업을 진행하고 있었기 때문에, 피고인 H은 M와의 양해각서의 체결, 조제정보 수집, 전송 프로그램의 개발, M와의 이 사건 데이터공급계약의 체결 및 조제정보 수집 및 전송 개시 중 어느 것에도 관여한 적이 없다. 사업부문 담당 전무직은 피고인 H이 부임하면서 신설된 직책이었을 뿐만 아니라 피고인 J와 M 사이의 이 사건 데이터공급계약을 주도적으로 담당하였던 피고인 E은 피고인 H이 입사하기 한참 전에 퇴사한 상태였기 때문에, 피고인 H은은 업무 인수인계를 받을 수도 없었다. 피고인 H이 입사하기 직전 피고인 J에서는 안전행정부의 권고에 따라 주민등록번호를 기존의 영문자 치환방식이 아닌 적정한 방법(SHA2-512)으로 일방향 암호화하는 2기 암호화를 거의 완료한 상태였고, 피고인 H이 입사한 이후 피고인 J은 다시 주민등록번호가 아닌 환자의 성명, 생년월일, 성별을 적정한 방법(SHA2-512)으로 일방향 암호화하는 3기 암호화를 추진하면서 기존의 1기, 2기 암호화 방식에 따라 수집한 데이터를 삭제할 계획이었다. 자) 한편 피고인 J 소속 임직원들은 이 사건 데이터공급계약에 따라 M 측에 암호화된 형태의 주민등록번호가 포함된 조제정보를 제공할 계획이었던 것이므로, 피고인 J 소속 임직원들에게 식별 가능한 개인정보를 수집한다는 점에 대한 고의가 있었다고 단정하기 어려운 이상, 식별가능한 개인정보를 제공한다는 점에 대한 고의가 있었다고 단정하기도 어렵다. 마. 결론 따라서 피고인 D, E, F, G, H, I, J에 대한 이 부분 각 공소사실은 위 피고인들의 나머지 주장에 나아가 살펴볼 필요 없이 범죄사실의 증명이 없는 경우에 해당하므로, 형사소송법 제325조 후단에 의하여 위 피고인들에 대하여 각 무죄를 선고하고, 형법 제58조 제2항에 의하여 위 각 무죄 부분의 요지를 공시한다. 8. 이 법원 2015고합665호 사건의 공소사실 중 피고인 K, L, M의 J과 관련된 민감정보인 환자 진료정보 불법 수집·저장·보유로 인한 각 개인정보보호법위반의 점(이하 '이 부분 각 공소사실'이라고 한다)에 관한 판단 가. 이 부분 각 공소사실의 요지 J이 2010. 1.경부터 2015. 1.경까지 전국 약 13,813여개 약국에 무료 배포한 AU 프로그램의 전송기능을 통하여 수집한 환자 개인정보(환자 주민등록번호, 보험가입자, 병명, 병·의원 진단 및 약국 조제, 투약내역 등), 의료기관 정보(병·의원 및 약국 상호, 의사 및 약사 성명, 요양기관번호, 처방전 발급기관, 처방전 발행일자, 처방전 교부번호, 등), 약국 영업정보(조제일자, 질병기호, 투약량, 투여회수, 투약일수, 제약회사 명칭, 의약품 구매, 판매, 재고정보 등) 등을 약사와 환자 몰래 수집하여 보관하고 있는 것을 기화로, 각각 피고인 M의 대표이사, 아이티 담당 이사인 피고인 K, L은 J 측으로부터 위 환자 개인정보, 의료기관 정보, 조제정보를 포함한 약국 영업정보 등을 환자 몰래 구입한 후, EL 본사에 제공하기로 공모하였다. 피고인 K, L은 공모하여 2014. 7.경 AU 프로그램을 통하여 J에 보관되어 있던 치환주민등록번호 'DZ'(실제 주민등록번호 EA)를 가진 사람이 '한미 아스피린 장용정 100mg'(약품코드 EB)을 처방받았다는 내용 등의 환자 조제정보를 환자들의 동의나 법령의 근거 없이 M의 데이터베이스 서버로 전송받았다. 이를 비롯하여 피고인 K, L은 2011. 9. 30.경부터 2015. 1.경까지 J 원장 D 등에게 약 2,269,570,000원 상당을 지급한 후 다수의 약국에 설치된 AU 프로그램을 통하여 별지 범죄일람표 순번 1 내지 1,000,000, 순번 600,000,001 내지 602,000,000, 순번 2,000,000,001 내지 2,000,400,000, 순번 2,200,000,001 내지 2,200,600,000, 순번 2,600,000,001 내지 2,600,600,000, 순번 3,000,000,001 내지 3,000,200,000, 순번 3,100,000,001 내지 3,100,600,000 기재와 같이 J에 보관되어 있던 환자정보, 의료기관 정보, 조제정보 5,400,000건을 포함한 약국 영업정보를 환자들의 동의 없이 M의 데이터베이스 서버로 전송받고, 이를 다시 환자들의 동의 없이 미국에 소재하고 있는 EL 본사에 전송하였으며 EL 본사로부터 위 환자정보, 의료기관 정보, 조제정보를 포함한 약국 영업정보를 분석한 결과 및 통계자료를 다시 전송받아 위 분석결과 및 통계자료를 제약회사 등에 약 8,432,000,000원 상당에 판매하였다. 이로써 피고인 K, L은 공모하여 2011. 9. 30.경부터 2015. 1.경까지 법령상 근거 또는 환자들의 동의 없이 민감정보인 환자 진료정보 5,400,000건을 처리(수집·저장·보유)하였고, 피고인 M는 대표자인 피고인 K과 종업원인 피고인 L이 피고인 M의 업무에 관하여 위와 같이 법령의 근거 또는 정보주체인 환자들의 동의 없이 민감정보인 환자진료정보를 처리하였다. 나. 피고인 K, L, M와 변호인의 주장 1) 피고인 K, L은 J으로부터 암호화된 형태의 주민등록번호가 포함된 조제정보를 제공받은 것이어서 특정 개인의 조제정보라는 점을 식별할 수 없으므로, 개인정보 보호법 제2조 제1호의 '개인정보'에 해당하지 아니하고, 개인정보 보호법 제23조의 '민감정보'에도 해당하지 않는다. 2) 설령 그렇지 않더라도, 개인정보 보호법 제18조 제2항 제4호에서는 '개인정보'와는 별개로 '특정 개인을 알아볼 수 없는' 형태로 통계목적의 자료를 제공할 수 있다고 규정하고 있고, 개인정보 보호법 제23조 단서 제2호의 '법령'에는 개인정보 보호법 제18조 제2항 제4호도 포함되므로, 피고인 K, L, M가 J으로부터 AU 데이터를 제공받은 행위는 위 조항에 따라 허용된다. 3) 피고인 K, L은 환자의 주민등록번호가 암호화되어 있었기 때문에 그 데이터가 개인을 식별할 수 있는 정보가 아니라고 생각하였고, 개인을 식별할 수 있는 조제정보를 처리한다거나 처리하려는 의사도 없었으므로 개인정보보호법위반의 고의가 없다. 다. 피고인 K, L에게 환자 조제정보 불법 수집으로 인한 각 개인정보보호법위반 범행의 고의가 인정되는지 여부 무죄 부분 제7의 다항 기재 인정사실에다가 검사와 피고인 K, L, M의 변호인들이 제출한 증거들에 의하여 인정되는 아래와 같은 사실 또는 사정들을 종합하면, 피고인 K, L에게 '특정 개인을 식별할 수 있는' 조제정보를 수집한다는 점에 대한 인식과 이를 용인하는 내심의 의사, 즉 민감정보인 조제정보를 수집한다는 점에 대한 고의가 있었다는 점이 법관으로 하여금 합리적 의심의 여지를 배제하게 할 정도로 증명되었다고 보기 어렵다. 1) 피고인 M의 아이티 담당이사인 피고인 L은 J의 F 등에게 개인을 식별할 수 있는 환자의 이름을 제공 대상에서 제외할 것과 환자의 주민등록번호를 암호화하여 제공하여 줄 것을 먼저 요청하였다. 실제로 피고인 M와 J 사이에 작성된 부대합의서에는 'J이 M에 제공할 데이터에 대하여 필요 시 암호화하도록 한다'는 취지의 기재가 있고, 이 사건 데이터공급계약 당시 작성된 데이터공급계약서에 의하더라도 'J은 환자의 식별 가능한 데이터 항목인 환자 성명, 환자 식별번호, 생년월일에 대하여 일관되고 충분한 암호화 작업이 이루어지도록 한다'고 기재되어 있음은 무죄 부분 제7의 다. 2)항에서 살펴본 바와 같다. 2) 피고인 M 측은 개인정보 보호법이 시행되기 전에 암호화된 형태가 아닌 실제 주민등록번호를 그대로 수집하여도 무방함에도 위 1)항에 기재된 행위를 하였는바, 이는 식별가능한 형태의 주민등록번호를 수집한다는 의사를 가진 자들이 일반적으로 취하는 행동이라 보기 어렵다. 3) 피고인 M는 2012. 4.경 AU 프로그램을 통하여 취득하는 개인정보 보호에 관한 준수사항을 정한 아래와 같은 내용의 내부 가이드라인(M Assets Guideline)을 시행하였는데, 이를 보더라도 피고인 M의 피고인 K, L이 암호화된 형태의 환자 주민등록번호를 복호화함으로써 특정 개인을 식별할 수 있는 형태의 정보가 생성되는 결과가 발생하는 것을 용인하였다고 보기 어렵다(피고인 M는 개인정보보호법위반 혐의로 인하여 J에 대한 압수수색이 이루어진 2013. 12. 11.경 이전부터 이미 위 가이드라인을 시행하고 있었다). 4) 피고인 M는 시계열 통계분석자료를 만들기 위하여 J으로부터 암호화된 형태의 주민등록번호를 제공받았던 것인데, 시계열 통계분석자료를 만들기 위하여서는 조제정보의 주체를 구분할 수 있기만 하면 충분하므로, 굳이 추가적인 비용과 노력을 들이면서까지 암호화된 주민등록번호를 복호화할 동기나 이유를 찾아보기 어렵다. 5) 피고인 M는 1기 암호화 방식으로 암호화된 환자 주민등록번호 등을 제공받아 오던 중 2011. 9. 30. 개인정보 보호법이 시행되자 그 계도기간에 법률자문을 통하여 개인정보 보호법 위반의 소지가 있었던 의사 이름과 의사 면허번호를 추가적으로 암호화하는 작업을 하면서도 1기 암호화 방식이 적용된 환자 주민등록번호에 관한 암호화 방식을 변경하지는 않았다. 이는 피고인 M가 개인정보 보호법 시행 이후에도 1기 암호화 방식을 적용하여 환자들의 주민등록번호를 수집하는 것을 식별가능한 개인정보를 수집하는 것으로 인식하지 못하였음을 시사하는 것으로 못 볼 바 아니다. 6) 한편 검사는 피고인 M의 피고인 L이 J의 F, I에게 환자 주민등록번호에 관한 1기 암호화 방식을 제공함으로써 결과적으로 피고인 M와 J이 암호화된 주민등록번호를 복호화할 수 있는 암호화 규칙을 공유하게 되었으므로, 개인정보보호법 위반의 고의가 있었다는 취지로 주장한다. 그러나 다음과 같은 사정들, 즉 이 사건 데이터공급계약에 의하면 환자들의 주민등록번호를 암호화하여 피고인 M 측에 제공할 의무는 애초부터 J 측에 있었던 점, 실제로 J의 개발팀 소속 F, I은 M 측의 도움 없이 자체적으로 암호화 방식을 개발하기 위하여 노력하였던 것으로 보이는 점, 그럼에도 F, I이 개발한 암호화 방식에 오류가 발생하게 되자 그때서야 피고인 M 측의 피고인 L이 F, I에게 1기 암호화 방식을 제안한 것으로 보이는 점, 따라서 F, I 등 J 측이 자체적으로 오류 발생의 횟수가 적은 암호화 방식을 개발하였더라면 피고인 L이 그가 알고 있었던 1기 암호화 방식을 제안하지 않았을 가능성을 배제하기 어려운 점 등에 비추어, 피고인 L이 J의 F, I에게 1기 암호화 방식을 제안하였다는 점만으로는 피고인 L을 비롯한 피고인 M 측에서 J으로부터 제공받은 암호화된 주민등록번호를 복호화하려는 의사로 J의 F, I에게 암호화 규칙을 제공하였다고 단정하기도 어렵다. 라. 결론 따라서 피고인 K, L, M에 대한 이 부분 각 공소사실은 위 피고인들의 나머지 주장에 나아가 살펴볼 필요 없이 범죄사실의 증명이 없는 경우에 해당하므로, 형사소송법 제325조 후단에 의하여 위 피고인들에 대하여 각 무죄를 선고하고, 형법 제58조 제2항에 의하여 위 각 무죄 부분의 요지를 공시한다. 9. 이 법원 2015고합665호 사건의 피고인 K, L, M의 민감정보인 환자 진료정보 불법 제공으로 인한 각 개인정보보호법위반의 점(이하 '이 부분 각 공소사실'이라고 한다) 가. 이 부분 각 공소사실의 요지 피고인 K, L은 공모하여 J으로부터 수집한 치환주민등록번호 'DZ'(실제 주민등록번호 EA)를 가진 사람이 '한미 아스피린 장용정 100mg'(약품코드 EB)을 처방받았다는 내용 등의 환자 진료정보를 환자들의 동의 없이 EL 본사로 전송하는 방법으로 민감정보를 EL에 제공하여 불법 처리하였다. 피고인 K, L은 공모하여 J으로부터 수집한 범죄일람표 순번 1 내지 1,000,000, 순번 600,000,001 내지 602,000,000, 순번 2,000,000,001 내지 2,000,400,000, 순번 2,200,000,001 내지 2,200,600,000, 순번 2,600,000,001 내지 2,600,600,000, 순번 3,000,000,001 내지 3,000,200,000, 순번 3,100,000,001 내지 3,100,600,000 총 5,400,000건의 환자 진료정보를 그 각 수집 무렵에 환자들의 동의 없이 본사인 EL로 전송하는 방법으로 민감정보를 EL에 제공하여 처리하였고, 피고인 M는 대표자인 피고인 K과 종업원인 피고인 L이 피고인 M의 업무에 관하여 위와 같이 법령의 근거 또는 정보주체인 환자들의 동의 없이 민감정보인 환자 진료정보 총 5,400,000건을 EL에 제공하여 처리하였다. 나. 피고인 K, L, M 및 그 변호인의 주장 요지 피고인 M는 J으로부터 수집한 자료를 가공하여 통계자료를 생성하기 위한 목적으로 본사인 EL 본사에 데이터를 제공하였으므로, 이는 M가 본사인 EL에 민감정보의 처리를 위탁한 것에 해당한다. 다. 판단 무죄 부분 제1의 라. 1) 항에 기재된 법리에 비추어 이 사건을 보건대, 검사와 피고인 K, L, M 변호인이 제출한 증거들에 의하여 인정되는 아래와 같은 사실 또는 사정을 종합하면, 피고인 K, L, M가 본사인 EL에 민감정보인 환자 진료정보를 위탁하였다고 볼 수 있을 뿐, 민감정보인 환자 진료정보를 제공하였다는 점이 법관으로 하여금 합리적 의심의 여지를 배제하게 할 정도로 증명되었다고 보고 어렵다. 1) 피고인 M는 J 등으로부터 수집한 데이터를 통계 자료로 만들기 위하여 본사인 EL로 보냈다. 2) 피고인 M는 본사인 EL에 데이터를 보내어 통계 자료를 작성하도록 하면서 EL에 데이터 가공비용을 지급하였다. 이는 통상적으로 개인정보를 제3자에게 제공하는 경우 개인정보를 이전받는 측에서 개인정보를 제공하는 측에 개인정보 이전의 대가를 지급하는 것과 구별된다. 3) 피고인 M 뿐만 아니라 다른 나라의 EQ에서도 본사인 EL에 데이터를 보내서 이를 가공하여 통계 자료를 작성하도록 하는 동일한 업무처리 프로세스에 따라 통계자료를 작성하고 있다(증인 ER의 법정진술). 4) 피고인 M는 본사인 EL로부터 통계처리 결과물을 받은 다음 이를 피고인 M에서 판매하여 수익을 창출하고 있다. 5) 피고인 M가 본사인 EL에 통계처리를 의뢰한 데이터에 대한 지배권은 여전히 피고인 M가 보유하고 있다고 보인다. 실제로 이 사건에서 개인정보보호법위반 여부가 문제된 이후 본사인 EL는 피고인 M의 요청에 따라 본사의 데이터베이스에 저장하였던 정보를 삭제하였다(피고인 K, L, M의 변호인이 제출한 증 제16, 17호). 6) 한편 피고인 M가 본사인 EL에 개인정보에 관한 통계작성 업무를 위탁하여 처리한다는 점은 당초 피고인 M에 개인정보를 제공한 J 측에서도 충분히 인지하고 이 사건 데이터공급계약 제11조 1. 3.에 J이 피고인 M가 데이터 및 그 일부를 사용 또는 상용화하는 것을 허여하며, 이는 피고인 M의 기타 데이터와 본건 데이터를 통합 또는 처리하는 것을 포함한다는 규정을 둔 것으로 보인다. 따라서 피고인 M가 본사인 EL에 데이터를 보내 통계작성 업무를 위탁한 것은 J과 피고인 M 사이에 체결된 이 사건 데이터공급계약의 범위 내에서 이루어진 것으로 볼 수도 있다. 라. 결론 따라서 피고인 K, L, M에 대한 이 부분 각 공소사실은 범죄사실의 증명이 없는 경우에 해당하므로, 형사소송법 제325조 후단에 의하여 위 피고인들에 대하여 각 무죄를 선고하고, 형법 제58조 제2항에 의하여 위 각 무죄 부분의 요지를 공시한다. 10. 이 법원 2015고합665호 사건의 피고인 K, L, M의 C와 관련된 민감정보인 환자 진료정보 불법 수집·저장·보유로 인한 각 개인정보보호법위반의 점(이하 '이 부분 각 공소사실'이라고 한다) 가. 이 부분 각 공소사실의 요지 피고인 M는 피고인 K, L을 통하여 C와 사이에, 2007. 12.경 C가 특정 병원으로부터 환자처방 통계정보를 제공받을 수 있는 프로그램 개발 및 관련 서비스를 제공하면 피고인 M가 매년 80,000,000원을 지급하기로 하는 계약을 체결하였고, 2010. 2. 18.경 C가 요양급여청구 사전심사시스템인 AD 프로그램을 통하여 수집한 환자들의 처방정보, AF 프로그램을 통하여 수집한 환자들의 처방정보 등을 제공하면 피고인 M가 2011년경부터 2014. 12. 말경까지 매년 100,000,000원 상당을 지급하기로 하는 계약을 체결하였다. 위 각 계약에 따라서 피고인 K, L은 2008년경부터 2014년 경까지 A 등 C 측으로부터 AD 프로그램을 이용하여 수집한 약 420,278,722건의 환자 처방정보 데이터베이스 서버에서 환자들의 생년월일, 처방내역 등의 자료를 검색하여 다운로드할 수 있는 기능이 포함된 CU 프로그램을 제공받은 후 2014. 12.경까지 범죄일람표 순번 1 내지 200,000, 376,519,217 내지 376,699,216 기재와 같이 총 380,000건의 환자 처방정보를 불법 공유하였다. 피고인 K, L은 위 환자정보에 접근할 수 있는 권한을 배정받은 대가로 위 A에게 약 671,000,000원 상당의 대가를 지급하였고, 이의 재가공을 통하여 병원에서 처방한 약의 통계자료를 생성하고 나서 제약회사 등에 판매하여 약 2,323,000,000원 상당의 수익을 창출하였다. 이로써 피고인 K, L은 2011. 10. 1.부터 2014. 12.경까지 법령상 근거 또는 환자들의 동의 없이 민감정보인 환자 진료정보 380,000건을 처리(수집·저장·보유)하였고, 피고인 M는 대표자인 피고인 K과 종업원인 피고인 L이 피고인 M의 업무에 관하여 위와 같이 법령의 근거 또는 정보주체인 환자들의 동의 없이 민감정보인 환자 진료정보를 처리하였다. 나. 피고인 K, L, M의 주장 1) 피고인 M 측이 CU 프로그램을 통하여 다운로드할 수 있었던 AD 관련 환자정보는 식별가능성이 없으므로 개인정보 보호법 제2조 제1호의 개인정보에 해당하지 않는다. 2) 설령 그렇지 않더라도, 피고인 M가 C로부터 CU 프로그램을 제공받은 후 실제로 위 CU 프로그램을 실행하여 환자정보를 다운로드하지 않은 이상, 개인정보를 처리(수집·저장·보유)하였다고 볼 수 없다. 3) 설령 그렇지 않더라도, 피고인 K, L에게 식별가능한 개인정보를 처리한다는 점에 대한 고의가 없었다. 다. 인정사실 검사와 피고인 K, L, M의 변호인이 제출한 증거들에 의하면 아래의 사실이 인정된다. 1) C는 2004년경부터, 병·의원이 요양급여비용 사전심사 프로그램인 AD 프로그램을 이용하면서 제공하는 요양기관, 환자의 이름, 주민등록번호, 의료보험증번호, 투여량, 투여횟수 등 환자 진료정보 등을 C 서버에 보유하고 있었다. 2) M는 2007년경부터 C로부터 C 데이터베이스 서버에 저장되어 있는 정보 중 의약품 사용량 통계자료를 제공받아 오다가 2010년경부터는 시계열 통계분석자료를 개발하기 위한 목적으로 C로부터 개인을 구분할 수 있는 정보를 추가적으로 제공받고 C에 그에 대한 대가를 지급하기로 하는 계약을 체결하였다. 3) 한편 C는 2013년 경까지는 위 1)항 기재와 같이 병·의원으로부터 진료정보 등을 제공받으면서 별도의 마스킹처리를 하지 않은 상태의 환자들의 실제 주민등록번호를 포함하여 환자의 이름, 성별, 의료보험증번호 등을 그대로 제공받았다. 그런데 피고인 M의 이사 피고인 L은 위 2)항 기재와 같이 2010년경 C와의 사이에 개인을 구분할 수 있는 정보를 추가로 제공받기로 하는 논의를 하는 과정에서 C의 개발팀장인 공동피고인 B(이하 공동피고인 B이 당해 피고인이 아닌 경우에는 'B'이라고만 한다)에게 암호화된 형태의 주민등록번호를 제공하여 줄 것을 요청하였다. 4) 그리하여 C의 개발팀장 F 등은 C에서 자체 개발한 암호화 방식을 피고인 L에게 알려 주었는데, 피고인 L은 그 암호화 방식이 단순하다고 하면서 새로운 암호화 방식을 개발하여 줄 것을 요청하였다. 그 후 B은 피고인 L과 협의 또는 피고인 L의 조언을 받으면서 주민등록번호를 영문자로 치환하는 방식의 암호화 방식을 개발하였다. 암호화 방식의 규칙은 아래와 같다. 13자리의 숫자를 홀수자리와 짝수자리로 구별한 다음 홀수자리의 1부터 0까지는 영문자 a부터 j까지 오름차순으로, 짝수자리의 1부터 0까지는 영문자 o부터 f까지 내림차순으로 치환하는 방식 5) 한편 C는 병·의원으로부터 위 3)항 기재와 같이 마스킹처리가 되지 않은 상태의 환자 진료정보를 제공받아 오다가 개인정보 보호법이 시행된 2011. 9. 30.이후인 2014년경부터는 환자의 이름 가운데 글자가 '×' 마스킹처리 된 형태의 환자의 이름과 환자 주민등록번호 뒤 여섯자리 숫자가 '××××××'의 형태로 마스킹처리 된 형태의 주민등록번호를 제공받았다. 6) 피고인 M는 C로부터 개인을 구분할 수 있는 정보를 제공받기 위하여는 다음과 같은 과정, 즉 C가 제공한 CU 프로그램을 실행하여 AD 시스템에 접속[AD 시스템 화면 중 요양기관별 자료 탭에서는 '요양기관 번호, 요양기관 명칭, 등급(의원), 분야(의과/내과/외과/산소아과/피부비뇨/안이비인), 청구건수, 총진료비, 내원형태(외래/입원), 환자유형(보험/급여), 청구번호, 청구일자'가 나타나고, 월별 자료 탭에서는 '진료년월, 전체 접수건, 3차 접수건, 종병 접수건, 병원 접수건, 의원 접수건'이 나타난다(수사기록 제223면 내지 제227면, 제2902, 2903면, 제2929면, 제2935면)], AD 시스템에서 요양기관을 선택한 다음 '생성' 버튼을 클릭, 생성된 자료를 '다운로드' 버튼 클릭 후 자료 다운로드의 과정을 거쳐야 한다. 7) 그런데 피고인 M가 위 6)항 기재와 같은 과정을 거쳐 다운로드한 정보에는 환자의 이름은 따로 포함되지 않았고, 요양기관코드, 청구번호, 환자의 성별 등과 2010년경부터 2013년경까지는 영문자로 치환된 형태의 환자 주민등록번호, 2014년경부터는 위 6)항 기재와 같이 뒷 여섯 자리가 마스킹 처리된 형태의 환자주민등록번호를 다운로드할 수 있었다. 라. 개인정보에 해당하는지 여부 위 다항에 기재된 인정사실에다가 검사와 피고인 K, L, M의 변호인이 제출한 증거들에 의하여 인정되는 아래와 같은 사실 또는 사정들을 종합하면, 검사가 제출한 증거들만으로는 피고인 M가 다운로드한 자료들이 개인을 식별할 수 있는 개인정보나 민감정보에 해당한다는 점이 법관으로 하여금 합리적 의심의 여지를 배제하게 할 정도로 증명되었다고 보기 어렵다. 1) 무죄 부분 제4의 마. 2) 가)항에서 살펴본 바와 같이 개인정보 보호법 제23조의 민감정보에 해당하기 위하여는 개인정보 보호법 제2조 제1호에서 정한 개인정보에 해당하기 위한 요건도 충족하여야 한다. 2) 그런데 C가 2014년경부터는 병·의원으로부터 수집하는 환자의 주민등록번호 뒤 6자리를 '××××××'로 마스킹하여 저장했기 때문에, 피고인 M에도 치환된 주민등록번호의 뒤 6자리가 '××××××'로 마스킹 처리된 형태의 주민등록번호를 다운로드할 수 있었다[검사가 서면으로 출력하여 제출한 별지 범죄일람표 제2권이 여기에 해당한다]. 결국 피고인 M는 2014년경부터 환자의 생년월일과 성별만을 의미하는 주민등록번호만을 다운로드할 수 있었던 것이므로, 이 정보만으로는 특정 개인을 식별할 수 있다고 단정하기 어렵다. 3) 검사는, 피고인 M가 CU 프로그램을 통하여 C 데이터베이스 서버에 접속한 후 환자들의 생년월일과 처방내역 등의 자료를 검색할 수 있고, 실제로 피고인 M가 C로부터 환자의 실제 성명과 의료보험증번호를 제공받았다고 공소제기하였다[검사가 2019. 6. 20.자 공소장변경허가신청서를 제출하면서 첨부한 별지 범죄일람표 에는 의료보험증번호와 수진자 성명이 기재되어 있다]. 그러나 위 인정사실에서 살펴 본 바와 같이 피고인 M는 C 데이터베이스 서버에 접속할 권한이 없었고, 단순히 CU 프로그램을 통하여 AD 시스템에 접속한 후 화면에 나타나는 정보만을 선택할 수 있었을 뿐, C 서버에 저장된 모든 정보 중 특정 정보를 검색하여 다운로드할 수는 없었던 것으로 보이는 점, 실제로 피고인 M는 C로부터 그 회사가 보유한 모든 환자 진료정보를 제공받은 것이 아니라 일부 정보만을 제공받기로 한 것인데, 피고인 M가 CU 프로그램을 실행하였을 때 나타나는 화면에는 환자의 이름과 의료보험증번호는 포함되어 있지 아니하고, 다운로드한 정보에도 환자의 이름과 의료보험증번호는 포함되어 있지 않았던 점[피고인 M의 직원으로서 C로부터의 환자 진료정보 수집에 관여한 ES도 검찰 참고인조사 당시 "눈으로 확인할 수 있는 자료는 요양기관별 등록현황, 요양기관별 청구내역, 월별 청구내역 등을 확인할 수 있는데, 요양기관별 청구내역에는 요양기관 코드, 요양기관 명칭, 해당 요양기관에서 청구한 건수 및 내역 등을 확인할 수 있습니다."라고 진술하였다(수가기록 제2178면)] 등에 비추어, 이와 다른 전제에 선 검사의 위 주장은 받아들이기 어렵다. 4) 또한 검사는, 피고인 M가 마스킹처리된 형태의 주민등록번호만을 다운로드할 수 있었다고 하더라도, 의료보험증번호와 결합하여 특정 개인을 식별할 수 있으므로, 개인정보에 해당한다는 취지로도 주장한다. 그러나 개인정보의 식별가능성을 판단함에 있어서 해당 정보를 처리하는 자 또는 해당 정보를 제공받는 자의 입장에서 판단하되, 결합시킬 다른 정보를 합리적인 방법을 통하여 취득하기 어려운 사정이 존재한다면, 개인정보 보호법 제2조 제1호에서 정한 '다른 정보와 쉽게 결합하여'의 요건이 충족되지 아니하여 개인정보에 해당한다고 볼 수 없음은 무죄 부분 제4의 마. 1) 다)항에서 살펴본 바와 같은바, 피고인 M가 의료보험증번호를 C의 서버에서 직접 다운로드할 수 없었고 의료법령상 환자의 정보를 다른 사람에게 누설하는 행위를 금지하고 있어서 피고인 M가 병·의원을 통하여 개별 환자의 의료보험증번호를 적법하게 입수하는 것도 사실상 불가능하다. 따라서 주민등록번호 뒷 여섯자리 숫자가 '××××××'으로 마스킹 처리된 채 제공된 환자 진료정보는 개인정보에 해당한다고 단정하기 어렵다. 마. 피고인 K, L에게 환자 진료정보 불법 수집으로 인한 각 개인정보보호법위반 범행의 고의가 인정되는지 여부 위 다항 기재와 같은 인정사실에다가 검사와 피고인 K, L, M의 변호인들이 제출한 증거들에 의하여 인정되는 아래와 같은 사실 또는 사정들을 종합하면, 피고인 K, L에게 '특정 개인을 식별할 수 있는' 환자 진료정보를 수집한다는 점에 대한 인식과 이를 용인하는 내심의 의사, 즉 민감정보인 환자 진료정보를 처리(수집·저장·보유)한다는 점에 대한 고의가 있었다는 점이 법관으로 하여금 합리적 의심의 여지를 배제하게 할 정도로 증명되었다고 보기 어렵다. 1) 피고인 L은 2010년경 C와의 사이에 개인을 구분할 수 있는 정보를 추가로 제공받기로 하는 논의를 하는 과정에서 C의 개발팀장 B에게 암호화된 형태의 주민등록번호를 제공하여 줄 것을 요청하였을 뿐만 아니라, C 측이 자체 개발한 암호화 방식이 단순하다는 이유로 새로운 암호화 방식을 개발하여 줄 것을 요청하였다. 2) 피고인 M 측이 C로부터 환자 진료정보를 제공받기로 한 시점은 2010년경으로 그 당시에는 개인정보 보호법이 시행되기도 전이었으므로, 환자의 실제 주민등록번호를 그대로 수집하여도 무방하였다. 그럼에도 피고인 M 측은 C 측에 암호화된 형태의 주민등록번호를 제공하여 줄 것을 요청하였던 것이므로, 이는 식별가능한 형태의 주민등록번호를 수집한다는 의사를 가진 자가 일반적으로 취하는 행동이라고 보기 어렵다. 3) 피고인 L이 영문자로 치환된 주민등록번호를 복호화할 수 있는 암호화규칙을 알고 있기는 하였다. 그러나 위 1)항 기재와 같은 사정을 고려해 보면, 피고인 L은 암호화된 주민등록번호가 피고인 M가 아닌 제3자에게 유출되었을 경우를 대비하여 C 측에 보다 안전한 형태로 주민등록번호를 암호화하여 줄 것을 요청하고 그와 같은 암호화 방식에 대하여 C와 협의하는 과정에서 이를 인식하였던 것으로 볼 여지가 있고, 단순히 그가 암호화규칙을 알고 있었다는 점만으로 그에게 암호화된 주민등록번호를 식별가능한 형태의 주민등록번호로 복호화한다는 의사가 있었다고 단정하기 어렵다. 4) 피고인 M는 시계열 통계분석자료를 만들기 위하여 C로부터 개인을 구분할 수 있는(식별이 아니다) 형태의 암호화된 주민등록번호만을 제공받으면 족하였던 것으로 보이므로, 굳이 추가적인 비용과 시간을 들이면서까지 암호화된 주민등록번호를 복호화할 동기나 이유를 찾아보기 어렵다. 5) 피고인 M는 CU 프로그램을 통하여 2010년경부터 2013년경까지는 영문자로 치환된 주민등록번호를 다운로드할 수 있었고 2014년경부터는 복호화조차 불가능한 형태, 즉 뒷자리 여섯숫자가 '××××××'로 마스킹 처리된 주민등록번호만을 다운로드 할 수 있었던 것으로 보인다. 그런데 만약 피고인 M가 영문자로 치환된 주민등록번호를 식별가능한 형태로 복호화할 의사였다면 2014년경 복호화가 어려운 주민등록번호를 다운로드할 수 있었을 당시 C에게 복호화가 어려운 주민등록번호를 제공한다는 점에 대한 항의를 하거나 이를 다시 복호화할 수 있는 방법에 관한 논의를 하였어야 할 것이나, 피고인 M 측이 C 측에 그와 같이 항의하거나 복호화에 관한 논의를 요구하였다고 볼만한 아무런 정황을 확인하기 어렵다. 바. 결론 따라서 피고인 K, L, M에 대한 이 부분 각 공소사실은 위 피고인들의 나머지 주장에 나아가 살펴볼 필요 없이 범죄사실의 증명이 없는 경우에 해당하므로, 형사소송법 제325조 후단에 의하여 위 피고인들에 대하여 각 무죄를 선고하고, 형법 제58조 제2항에 의하여 위 각 무죄 부분의 요지를 공시한다. 11. 이 법원 2015고합665호 사건의 공소사실 중 피고인 L의 위증교사의 점(이하 '이 부분 주위적 공소사실'이라고 한다)에 관한 판단 가. 이 부분 주위적 공소사실의 요지 피고인 L은 범죄사실 제4항 기재와 같이 2014. 10. 30. 오전 시간불상경 J 부근 커피숍에서 I을 만나 '암호화 규칙은 J에서 자체 개발한 것이고, M는 모르는 것으로 해달라'고 요구하고, 2014. 11. 5. 오전 시간불상경 서울 서초구 AT 오피스텔에 있는 F이 운영하는 사무실에서 I을 만나 I에게 '주민등록번호 치환방식은 J에서 자체 개발한 것으로 하고 M에서는 주민등록번호 치환방식을 모르는 것처럼 해달라'고 요구하여 I으로 하여금 법정에서 검찰에서 진술한 것과 같은 내용으로 위증하게 하기로 마음먹게 하였다. 그 후 I은 2014. 11. 14. 범죄사실 제4항 기재와 같이 서울 서초구 서초동에 있는 서울중앙지방법원 서관 제525호에서 열린 J 등에 대한 정보통신망법위반 사건의 증인으로 선서한 후 기억에 반하는 진술을 하였다. 이로써 피고인 L은 I으로 하여금 기억에 반하는 허위의 증언을 하게 하여 위증을 교사하였다. 나. 피고인 L과 변호인들의 주장 1) 피고인 L이 2014. 10. 30. 및 2014. 11. 5.경 I에게 '주민등록번호 치환 방식의 암호화 규칙은 J에서 자체 개발한 것으로 하고, M는 주민등록번호 치환 암호화 방식을 모르는 것처럼 증언해달라'는 취지로 요구한 사실이 없다. 2) 피고인 L이 I에게 이 부분 주위적 공소사실에 기재된 바와 같은 요구를 하였다고 하더라도, I은 이미 위증을 하려고 마음먹고 있었다. 따라서 피고인 L의 교사행위로 인하여 I이 위증을 하였다고 볼 수 없어 교사행위와 피교사자인 I의 범행 결의 사이에 인과관계도 인정되지 않는다. 다. 위증교사죄의 성립 여부 1) 관련 법리 교사범이란 타인(정범)으로 하여금 범죄를 결의하게 하여 그 죄를 범하게 한 때에 성립하는 것이고 피교사자는 교사범의 교사에 의하여 범죄실행을 결의하여야 하는 것이므로, 피교사자가 이미 범죄의 결의를 가지고 있을 때에는 교사범이 성립할 여지가 없다(대법원 1991. 5. 14. 선고 91도542 판결, 대법원 2011. 3. 24. 선고 2010도13367 판결 등 참조). 2) 구체적 판단 검사와 피고인 L의 변호인이 제출한 증거들에 의하여 인정되는 아래와 같은 사정들을 종합하면, 피고인 L이 이 부분 주위적 공소사실 기재와 같이 I에게 '암호화 규칙은 J에서 자체 개발한 것이고, M는 모르는 것으로 해달라'는 취지로 말하였다거나, I이 그 자리에서 피고인 L의 말을 듣고 비로소 위증 범행의 결의를 하였다는 점이 법관으로 하여금 합리적 의심의 여지를 배제하게 할 정도로 증명되었다고 보기 어렵다. 가) 비록 I이 2015. 4. 22. 작성하여 검찰에 제출한 진술서를 통하여 또는 2015. 4. 29. 제3회 검찰 피의자신문 당시 및 2015. 5. 6. 피고인 L에 대한 피의자신문 당시 대질조사를 받으면서 '피고인 L이 자신에게 암호화 규칙은 J에서 자체 개발한 것이고, M는 모르는 것으로 해달라고 말하였다', '검찰에서 진술할 때부터 피고인 L의 말을 듣고 허위로 진술하고 허위로 증언할 마음을 먹게 되었다'는 취지로 진술하기는 하였다(수사기록 제19951면). 또한 F도 2015. 4. 29. 제2회 검찰 피의자신문 당시 및 2015. 5. 6. 피고인 L에 대한 피의자신문 당시 대질조사를 받으면서 '피고인 L이 2014. 11. 5. 자신과 I에게 암호화 부분은 J에서 자체 개발한 것으로 하는 게 맞다. M는 모르는 것으로 해야 한다는 취지로 말하였다'고 진술하기는 하였다(수사기록 제19945, 19946면, 제20103, 20104면). 그러나 I은 2015. 4. 17. 제1회 검찰 피의자신문 당시, 2015. 4. 20. 제2회 검찰 피의자신문 당시 및 2015. 5. 6. 피고인 L에 대한 피의자신문 당시 대질조사를 받으면서 '자신이 크게 처벌받을까 봐 두려워서 허위의 진술을 하였다'는 취지로 진술하였고, 특히 제2회 검찰 피의자신문 당시에는 허위로 증언한 이유에 관하여 '누가 시켜서 진술한 것은 아니다. 검찰 조사 때부터 거짓말했기 때문에 기존 진술과 동일하게 진술하였다. 사실대로 말하면 처벌받을까 봐 겁이 났다'라고 진술하였으며(수사기록 제19305면, 제20084, 20085면), 이 법정에 증인으로 출석하여서는 "2014. 11. 14. 3차 공판을 앞두고 피고인 L을 2번 만났는데 (피고인 L이 자신에게) 진술 내용이 변했는지 확인하는, 마음이 변하였는지 확인하였을 뿐이지 자신에게 위증을 하라는 말을 한 적은 없다'는 취지로 진술하였다. 나아가 F도 이 법정에 증인으로 출석하여 "(2014. 11. 5.경 피고인 L과 I, 자신이 자신의 사무실에서 만났는데) 당시 피고인 L이 I에게 법정에서 허위의 진술을 하라고 이야기 하던가요."라는 질문에 대하여 "저 있는 데서는 그런 이야기한 적 없습니다."라고 답하였으며, "당시 피고인 L 때문에 자신이나 I이 거짓 진술을 한 것이 아니라 저와 I, 피고인 L 3명이 모두 J이 암호화 방법을 독자 개발한 것으로 진술하는 것이 서로에게 좋겠다고 생각하여 그와 같이 진술하게 된 것입니다."라고 진술하였다. 따라서 I, F이 일부 검찰 피의자신문 당시 또는 진술서 작성을 통하여 이 부분 주위적 공소사실에 부합하는 취지의 진술을 하였더라도, 이는 위 검찰 피의자신문을 전·후하여 이루어진 I, F의 검찰 진술 및 이 법정에서의 진술과 어긋날 뿐만 아니라 특히 I은 이 법정에 증인으로 출석하여 '검찰 조사 당시 수사기관으로부터 위증을 한 이유가 피고인 L이 시켜서 한 것이 아니냐는 이야기를 듣고 나서 피고인 L 때문에 허위 진술을 하였다고 말하면 자신의 책임이 가벼워질 것이라고 생각하기도 하였다'는 취지로도 진술하였는바, I이 자신의 위증죄의 부담을 덜고자 일부 검찰 피의자신문 당시 피고인 L의 요청으로 위증을 하였다고 허위로 진술하였을 가능성을 전적으로 배제하기 어려운 점에 비추어, I, F이 일부 검찰 피의자신문 당시 이 사건 주위적 공소사실에 부합하는 취지로 한 진술을 그대로 믿기는 어렵다. 나) I은 이 법정에 증인으로 출석하여 위증을 하게 된 경위 등에 관하여 "자신이 (수사기관에서) 처음부터 거짓 진술을 했기 때문에, 그냥 그것을 유지하기 위하여서 위증한 것이다. 자신이 새삼스럽게 법정에서는 자신과 F이 종전에 검찰에서 한 진술과 달리 '1기 암호화 규칙은 사실은 자신과 F 외에 피고인 L도 알았다'고 증언할 특별한 이유나 사정은 없었다. 피고인 L이 자신에게 위증해 달라고 명시적으로 말한 적은 없고, 증언하기 전에 종전에 자신이 진술한 내용에 대하여 의견이 바뀌었는지 확인한 것이 전부이다. 검찰에서 계속 자체 개발했다고 자신도 이미 이야기를 다 해 놓았고, F도 그렇게 다 이야기했기 때문에, 피고인 L이 새삼스럽게 그 증언 그대로 헤라 마라는 이야기를 하지 않더라도 당연히 그런 내용으로 증언했을 것이다."라는 취지로 진술하였다. F도 이 법정에 증인으로 출석하여 검찰 조사를 받을 당시 J이 암호화 방법을 독자적으로 개발하였다고 진술하게 된 경위에 관하여, "자신도 검찰에 조사받으러 가기 전에 이것(알파벳 치환 방식 공유)을 알리면 안 되겠다. 이렇게 생각했습니다. 피고인 L이 먼저 이야기하기 전에도 자신은 이것을 먼저 검찰에 이야기하면 안 되겠다고 생각했습니다. 검찰에서는 '피고인 L이 암호화에 대해서는 J에서 자체 개발한 것으로 진술해 달라고 요청해서 일단 피고인 L의 요청대로 진술하게 되었습니다'라고 검사에게 진술한 적 있습니다. 이는 피고인 L이 요청한 것도 맞고, 제 생각도 그럴 생각이 좀 있었다는 것입니다. 당시 피고인 L 때문에 자신이나 I이 거짓 진술을 한 것이 아니라, 저와 I, 피고인 L 3명이 모두 J이 암호화 방법을 독자 개발한 것으로 진술하는 것이 서로에게 좋겠다고 생각하여 그와 같이 진술하게 된 것입니다."라고 진술하였다. I과 F의 위와 같은 진술에 비추어, I은 피고인 L으로부터 2014. 10. 30. 및 2014. 11. 5.경 진술내용이 변하였는지, 마음이 변하였는지 여부 등을 확인하는 취지의 말을 듣지 않았더라도 이미 위증을 하려고 마음먹고 있었던 것으로 보인다. 다) I이 2013. 12. 17.경 검찰 조사를 받을 무렵, 피고인 L이 그에게 전화하여 "암호화 규칙은 M에서 모르는 것이라고 해 달라."라고 말하였고, 이에 따라 I은 검찰 조사를 받을 때부터 암호화 방법을 J에서 독자적으로 개발하였다고 진술하였기 때문에 이후의 검찰 조사나 증인신문 과정에서도 기존의 검찰 진술과 동일하게 허위로 진술하거나 증언하였다고 보는 것이 자연스럽다. 라) 피고인 L이 위 다)항 기재와 같이 2013. 12. 17.경 I이 검찰 조사를 받을 무렵 I에게 암호화 규칙은 M에서 모르는 것이라고 해달라는 취지로 말하였다고 하더라도, 이를 가지고 그보다 약 11개월이 지난 시점인 2014. 11. 14.에 있은 I의 위증 범행에 대한 교사행위가 이루어진 것이라고 볼 수도 없다. 마) I이 M의 피고인 L과 암호화 규칙을 공유하였다는 점이 수사기관에 발각될 경우 그가 수사기관으로부터 '주민등록번호 등을 암호화 한 효과가 없는 것 아니냐'는 취지의 추궁을 받을 가능성이 있었다고 보인다. 따라서 I 입장에서도 암호화 규칙을 J에서 독자적으로 개발하였다고 진술하는 것이 자신과 J 측에 유리한 상황이었다고 못 볼 바 아니고, 이러한 측면에서도 피고인 L의 요구에 따라 I이 비로소 위증 범행을 실행할 것을 결의하였다고 단정하기 어렵다(실제로 I과 F이 검찰 조사 과정에서 'J이 암호화 방법을 독자적으로 개발하였다'는 취지로 진술함에 따라 J과 F은 M에 개인정보를 제공한 부분에 대하여 공소제기되지 않았고, I은 아예 위 부분에 대하여 공소제기 대상에서 제외되기도 하였다). 라. 결론 따라서 피고인 L에 대한 이 부분 주위적 공소사실은 범죄사실의 증명이 없는 경우에 해당하므로, 형사소송법 제325조 후단에 의하여 무죄를 선고하여야 하나, 범죄사실 제4항 기재와 같이 피고인 L에 대한 예비적 공소사실인 위증방조죄를 유죄로 인정하는 이상, 주문에서 따로 무죄를 선고하지는 아니한다. 12. 이 법원 2015고합665호 사건의 공소사실 중 피고인 L의 증거은닉교사의 점(이하 '이 부분 공소사실'이라고 한다)에 관한 판단 가. 이 부분 공소사실의 요지 검찰의 '개인정보범죄 정부합동수사단'은 2014. 12.경부터 C와 M의 환자정보 불법취급 혐의에 대하여 수사를 하였다. 그 일환으로 검찰 수사관들은 2015. 4. 1. 서울 강서구 EU, EV호에 있는 피고인 L의 주거지에 대하여 압수수색영장을 집행하기 위하여 그 출입문 앞에 이르게 되었다. 그 때 위 주거지 안에 있는 피고인 L의 배우자 EW는 집에 아무도 없는 것처럼 문을 열어주지 않고 외부에 나가 있는 남편인 피고인 L에게 전화를 걸어 이 상황을 알렸다. 그러자 피고인 L은 검찰 수사에 대비하여 M의 대표이사 K 등과 협의하고 작성한 서류 등이 자신의 집에서 압수될 경우 M에서 J 등에 암호화 치환규칙을 알려주어 암호화 방식에 대하여 잘 알고 있었음이 발각될 것을 우려하여 그 서류 등이 발각되지 않도록 조치하기로 마음먹었다. 이에 피고인 L은 배우자 EW에게 전화하여 '서류 등을 처리하라'는 취지로 말하여 EW 로 하여금 피고인 L과 관련된 수사에 대비하여 작성한 서류 등 증거를 압수되지 않도록 처리하게 할 것을 마음먹게 하였다. 그 후 EW는 피고인 L의 위와 같은 요청에 따라 피고인 L이 작성하고 보관하고 있던 증거서류 등을 보자기에 싸서 3층 창밖으로 집어 던져 버렸다. 이로써 피고인 L은 EW하여금 타인의 형사사건에 관한 증거를 은닉하도록 교사하였다. 나. 피고인 L 및 그 변호인의 주장 요지 피고인 L의 증거은닉 교사행위는 형사사법작용에 장애를 가져오는 방어권 남용에 이르는 행위라고 보기 어려워 증거 은닉교사죄로 처벌할 수 없다. 다. 증거은닉교사죄의 성립 여부 1) 관련 법리 증거은닉죄는 타인의 형사사건이나 징계사건에 관한 증거를 은닉할 때 성립하고 자신의 형사사건에 관한 증거은닉 행위는 형사소송에 있어서 피고인의 방어권을 인정하는 취지와 상충하여 처벌의 대상이 되지 아니하므로 자신의 형사사건에 관한 증거은닉을 위하여 타인에게 도움을 요청하는 행위 역시 원칙적으로 처벌되지 아니하나, 다만 그것이 방어권의 남용이라고 볼 수 있을 때는 증거은닉교사죄로 처벌할 수 있다. 방어권 남용이라고 볼 수 있는지 여부는, 증거를 은닉하게 하는 것이라고 지목된 행위의 태양과 내용, 범인과 행위자의 관계, 행위 당시의 구체적인 상황, 형사사법작용에 영향을 미칠 수 있는 위험성의 정도 등을 종합하여 판단하여야 한다(대법원 2016. 7. 29. 선고 2016도5596 판결 참조). 나아가 피고인 자신이 직접 형사처분을 받게 될 것을 두려워한 나머지 자기의 이익을 위하여 그 증거가 될 자료를 은닉하였다면 증거은닉죄에 해당하지 않고, 제3자와 공동하여 그러한 행위를 하였다고 하더라도 마찬가지이다(대법원 2018. 10. 25. 선고 2015도1000 판결 참조). 2) 구체적 판단 검사와 피고인 L의 변호인들이 제출한 증거들에 의하여 인정되는 아래와 같은 사실 또는 사정들을 종합하면, 검사가 제출한 증거들만으로는 피고인 L이 EW에게 이 부분 공소사실에 기재된 행위를 하도록 하였다고 하더라도, 자신의 형사사건에 관한 증거은닉을 위하여 타인인 EW에게 도움을 요청한 행위가 방어권을 남용하여 증거은닉 교사죄로 처벌하여야 하는 정도에 이르렀다는 점이 법관으로 하여금 합리적 의심의 여지를 배제하게 할 정도로 증명되었다고 보기 어렵다. 가) EW는 피고인 L의 배우자로서 형법 제155조 제4항에 따라 증거은닉죄로 처벌받지 않는 사람이고, 피고인 L은 위와 같이 형사처벌의 대상이 되지 않는 배우자에게 단순히 도움을 요청한 것으로 보인다. 나) 나아가 피고인 L이 배우자인 EW와 공동하여 이 부분 공소사실에 기재된 증거인멸 행위를 하였다면 자기의 이익이 될 자료를 은닉한 것으로써 처벌되지 않을 여지가 있다. 그런데 피고인 L이 검찰의 압수수색이 임박한 상황에서 배우자인 EW와 실시간으로 전화통화를 하면서 EW로 하여금 이 부분 공소사실에 기재된 증거은닉 행위를 하게 하였다면, 피고인 L이 EW와 공동으로 증거인멸 행위를 한 것이라고 못 볼 바도 아니다. 다) 피고인 L은 EW에게 책상 위의 서류를 치워달라고 했을 뿐 구체적으로 증거를 은닉할 방법을 언급한 것으로 보이지 않는다. 한편 EW는 책상 위의 서류를 치워달라는 피고인 L의 말을 듣고, 피고인 L의 책상 위에 있던 서류들을 모두 보자기에 싸서 창밖으로 던졌는데, EW의 위 행위는 겁에 질린 일반인의 단순한 방어적 행위일 뿐으로 보이고, 베란다에서 내려다보면 1층 화단에 던져진 보자기를 곧바로 확인할 수 있을 정도로 간단한 방법으로 은닉하였으며, 실제로 위 서류들은 검찰 수사관들에 의하여 어렵지 않게 발견된 점에 비추어, 피고인 L이 EW로 하여금 위와 같이 책상 위의 서류를 보자기로 싸서 창밖으로 던지게 함으로써 수사에 중대한 장애를 초래하였다고 단정할 수 없다. 라) 피고인 L이 EW로 하여금 은닉하게 한 서류들은 피고인 L 또는 M 측의 수사상황에 증기로 될 수 있는 것과 무관한 서류들이 존재할 뿐만 아니라, 피고인 L이 검찰 수사를 받으면서 사실관계를 확인하기 위하여 사후적으로 작성한 서류 또는 피고인 L이 방어권을 행사하기 위하여 변호인으로부터 받은 서류 또는 피고인 L이 이미 검찰에서 진술한 내용과 동일하거나 검찰이 이미 확보하고 있는 서류들에 불과하였다(2015고합665호 수사기록 제17481-2면 내지 제17481-198면). 마) 또한 당시 피고인 L에 대하여 이미 1년간 4차례의 압수수색과 강도 높은 조사가 이루어진 상태였고, 특히 피고인 L은 위 압수수색 10일 전인 2015. 3. 20.경 검찰에서 조사를 받으면서 'C와 J에 암호화 규칙을 제안한 사실이 있다'고 인정하는 등 검찰에서는 상당한 증거를 확보하고 있었던 것으로 보인다. 라. 결론 따라서 피고인 L에 대한 이 부분 공소사실은 범죄사실의 증명이 없는 경우에 해당하므로, 형사소송법 제325조 후단에 의하여 무죄를 선고하고, 형법 제58조 제2항에 의하여 위 무죄 부분의 요지를 공시한다. 13. 이 법원 2015고합752호 사건의 공소사실 중 피고인 D, E, F, J의 각 정보통신망법위반의 점, (피고인 D, E이 피고인 J에서 퇴사한 후에 저질러진) 피고인 F, J의 각 정보통신망법위반의 점(이하 '이 부분 각 공소사실'이라고 한다)에 관한 판단 가. 이 부분 각 공소사실의 요지 1) 피고인 E은 2009. 7.경 제약회사 등에 보건, 의료 관련 통계정보를 제공하는 다국적회사인 M의 K로부터 각 약국에 보관된 처방전 정보 등을 이용하여 통계자료를 만들어 판매하자는 제의를 받고 이를 피고인 D에게 보고하였다. 이에 피고인 D은 그 무렵 서울 서초구 BA J 사무실에서 피고인 E에게 AU 프로그램을 이용하여 각 약국의 컴퓨터에 저장된 처방전 정보를 수집하여 M에 제공하는 사업을 진행하라고 지시하였다. 이에 피고인 E은 J의 개발팀장 피고인 F에게 각 약국 컴퓨터에 설치된 AU 프로그램에 약국에 저장된 조제정보를 J으로 전송하는 프로그램을 삽입하도록 지시하였다. 피고인 F은 2010. 1.경부터 2010. 12. 26.경까지 위 J 사무실에서 개발팀 과장인 I과 함께 각 약국에 저장된 조제정보(환자 주민등록번호, 생년월일, 약국코드, 처방전번호, 처방기관번호, 처방일, 처방전 교부번호, 처방전 구분, 환자번호, 의사면허, 약국 접수일, 상병기호, 청구액, 조제료 합계, 총약가, 비보험 약가, 처방기관, 우편번호, 주소, 전화번호, 프로그램 버전, 입력 서버 이름 등)를 J에 자동전송(다만, 환자의 주민등록번호는 15자리 알파벳문자로 치환된 상태로 전송)하는 프로그램과 위와 같이 치환된 주민등록번호를 복호화하는 해독프로그램 2개를 개발하였다. 피고인 D, E, F은 2011. 1. 28.경 위 J 사무실에서 위와 같이 개발한 자동전송 프로그램을 AU 업데이트 프로그램 파일에 내장한 후 이를 AU 프로그램을 사용하는 전국 9,000여개의 약국과 정보통신망으로 연결된 J 내 AU 프로그램 전용 서버에 올려놓으면서 위와 같이 조제정보가 J으로 자동전송되는 프로그램이 내장되어 있는 사실을 숨긴 채 이를 단순히 AU 프로그램 업데이트인 것처럼 알렸다. 이에 따라 그 무렵 전국 9,000여개 약국 컴퓨터에 설치된 AU 프로그램이 위 서버에 접속하여 자동으로 버전 정보 체크를 한 후 업데이트가 필요하다는 안내문을 표시하자 이를 단순한 AU 프로그램의 업데이트로 속은 강원 홍천군 EX EY약국의 약사 EZ로 하여금 위 프로그램을 다운로드받아 설치하게 하는 등 위 AU 프로그램을 사용하는 전국 9,000여개 약국의 약사들로 하여금 다운로드하여 설치하게 하는 방식으로 처방전 관련 정보에 관한 자동전송 프로그램을 전국 9,000여 개 약국 컴퓨터에 설치하였다. 2) 피고인 D, E, F은 위와 같이 업데이트라고 속여 설치한 처방전 관련 정보에 관한 자동전송 프로그램을 이용하여 2011. 1. 28.경 암호화된 주민등록번호 'FA', 생년월일 'FB'인 남성이 위 EY 약국에서 편도선염으로 '크라운이브로펜정 400mg' 등을 처방받은 처방전 정보를 비롯한 처방전 관련 정보를 전송받는 등 같은 날 별지 범죄일람표 순번 1 내지 4 기재와 같이 위 EY약국에서 관리하는 처방전 관련 정보 4건을 전송받아 수집하였다. 이로써 피고인 D, E, F은 공모하여 정보통신망을 통하여 속이는 행위로 다른 사람의 정보를 각 수집하였고, 피고인 J은 피고인 J의 대표자인 D, 종업원인 E. F이 피고인 J의 업무에 관하여 위와 같은 방법으로 다른 사람의 정보를 각 수집하였다. 3) 한편 피고인 F은 2013. 12. 9.경부터 2013. 12. 10.경까지 사이에 같은 방법으로 별지 범죄일람표 순번 5 내지 7 기재와 같이 처방전 관련 정보 3건을 전송받아 수집하였다. 이로써 피고인 F은 정보통신망을 통하여 속이는 행위로 다른 사람의 정보를 각 수집하였고, 피고인 J은 피고인 J의 종업원인 피고인 F이 피고인 J의 업무에 관하여 위와 같은 방법으로 다른 사람의 정보를 각 수집하였다. 나. 피고인 D, E, F, J과 변호인들의 주장 1) AU 프로그램의 업데이트 과정에서 약국에 저장된 조제 정보가 J으로 전송될 수 있다는 사실이 기재된 이상 위 피고인들이 '정보통신망을 통하여 속이는 행위'로 약국으로부터 처방전 관련 정보를 수집한 것으로 볼 수 없다. 2) 피고인 D, E, F이 수집한 처방전 관련 정보는 환자들의 주민등록번호가 영문자로 치환되어 암호화되어 정보통신망법 제2조 제1항 제6호에서 정한 개인정보에 해당한다고 볼 수 없다고 할 것이므로, 위 피고인들이 개인정보를 수집하였음을 전제로 하는 정보통신망법 제72조 제1항 제2호, 제49조의2 제1항 위반죄는 성립하지 않는다. 3) 설령 그렇지 않더라도, 피고인 D, E, F에게 약국의 약사들을 속여 처방전 관련 정보를 취득한다는 정보통신망법위반 범행에 관한 고의도 없었다. 다. 판단 1) 정보통신망법 제49조의2 제1항은 "누구든지 정보통신망을 통하여 속이는 행위로 다른 사람의 정보를 수집하거나 다른 사람이 정보를 제공하도록 유인하여서는 아니된다."고 정하고 있고, 이를 위반한 자는 같은 법 제72조 제1항 제2호에 의하여 처벌된다. 2) 검사와 위 피고인들의 변호인들이 제출한 증거들에 의하여 인정되는 다음과 같은 사실 또는 사정들을 종합하면, 피고인 D, E, F이 '정보통신망을 통하여 속이는 행위로 다른 사람의 정보를 수집하였다'거나 위 피고인들에게 그에 관한 고의가 있었다는 점이 법관으로 하여금 합리적 의심을 배제하게 할 정도로 증명되었다고 보기 어렵다. 가) 정보통신망법 제49조의2 제1항은 '정보통신망을 통하여 기망의 방법으로 타인의 정보를 수집하는 행위를 금지하고 이를 위반하였을 경우 처벌하는 것으로서 피싱 등의 수법을 이용한 금융사기 피해 등을 원천적으로 방지'하기 위하여 신설되었다. 위 정보통신망법 제49조의2 제1항의 문언의 해석이나 위와 같은 입법취지에 비추어 행위자가 '기망의 방법으로' 타인의 정보를 수집한 것이 아닌 경우에는 위 처벌규정에 따라 처벌할 수 없음이 분명하다. 나) 그런데 무죄 부분 제7의 다. 3)항에서 살펴보았듯이 약국이 피고인 J으로부터 공급받은 AU 프로그램을 업데이트하려고 할 때 팝업 형식으로 나타나는 약관에는 '피고인 J은 약사가 AU 프로그램을 이용하는 과정에서 저장하는 조제정보를 통계 작성 및 학술연구 등의 목적으로 수집할 수 있다. AU 프로그램에는 피고인 J이 수집하는 통계용 조제정보 중 개인정보를 자동으로 암호화하여 전송하는 프로그램이 탑재되어있다'는 점이 명시되어 있고, 위 약관에 동의하여야만 업데이트가 비로소 진행될 수 있었다. 다) 따라서 피고인 J이 약국으로부터 AU 프로그램을 이용하는 과정에서 약국에 저장되는 조제정보를 수집할 수 있음을 위와 같이 명시적으로 고지한 이상, 피고인 D, E, F이 정보통신망을 통하여 약사들을 '속이는 행위로' 환자들의 처방전 관련 정보를 취득하였다고 보기 어렵다. 라) 약사들이 AU 프로그램을 업데이트하는 과정에서 위와 같은 팝업 형식의 약관을 제대로 읽어보지 않아 약국에 저장된 처방전 관련 정보가 피고인 J의 서버로 전송된다는 점을 인식하지 못하였다고 할지라도, 이는 약사들의 부주의로 평가될 수 있을 뿐(약사들이 팝업 형식의 약관 내용을 파악하기 어려울 정도로 약관에 적힌 글자의 가독성이 떨어진다고 볼만한 정황도 확인하기 어렵다), 피고인 D, E, F에게 그에 관한 형사책임을 물을 수는 없다. 라. 결론 따라서 피고인 D, E, F, J에 대한 이 부분 각 공소사실은 위 피고인들과 각 변호인들의 나머지 주장에 나아가 살펴볼 필요 없이 범죄사실의 증명이 없는 경우에 해당하므로, 형사소송법 제325조 후단에 의하여 무죄를 선고하고, 형법 제58조 제2항에 의하여 위 무죄 부분의 요지를 공시한다. 14. 이 법원 2015고합752호 사건의 공소사실 중 피고인 F, J의 고유식별정보인 주민등록번호 불법 수집으로 인한 각 개인정보보호법위반의 점(이하 '이 부분 각 공소사실'이라고 한다)에 관한 판단 가. 이 부분 각 공소사실의 요지 피고인 F은 무죄 부분 제13의 가항 기재와 같이 영문자로 치환된 환자들의 주민등록번호를 원상복구할 수 있는 복호화 해독 프로그램 2개를 개발하여 보관하고 있는 상태에서 2013. 12. 9.경 개인을 고유하게 식별할 수 있는 고유식별정보인 치환된 주민등록번호 'FC', 생년월일 'FD'을 전송받아 법령의 근거나 환자의 동의 없이 수집하였고, 피고인 J 피고인 J의 종업원인 피고인 F이 피고인 J의 업무에 관하여 위와 같이 고유식별정보인 주민등록번호를 수집하였다. 나. 판단 무죄 부분 제7의 라항에서 살펴본 바와 같이 J은 M와의 사이에 체결한 이 사건 데이터공급계약에 따라 암호화된 상태의 주민등록번호가 포함된 처방전 관련 정보를 M에 제공하기 위하여 약국으로부터 그 정보들을 수집하였던 것인데, 이 사건 데이터공급계약에 의하더라도 J과 M는 암호화된 상태의 주민등록번호가 포함된 정보들을 필요하였을 뿐이어서 피고인 J 입장에서는 약국으로부터 암호화된 상태로 제공받은 주민등록번호를 굳이 실제 주민등록번호로 복호화할 아무런 이유나 동기가 없었던 점, 피고인 J이 약국으로부터 AU 프로그램을 통하여 영문자로 치환된 형태의 주민등록번호가 포함된 처방전 관련 정보들을 제공받기 시작한 시점은 개인정보 보호법이 제정되기 전이었는데, 피고인 J 소속 피고인 F은 그때부터 주민등록번호를 암호화하여 수집하였던 점, 피고인 F이 영문자로 치환된 주민등록번호를 복호화할 수 있는 암호화 규칙을 알고 있었다고 하더라도 이는 주민등록번호를 암호화하는 과정에서 부득이하게 알게 된 것에 불과하고 영문자로 치환된 주민등록번호를 다시 복호화할 의사로 위와 같이 암호화 규칙을 알고 있었다고 단정하기 어려운 점 등의 사정들을 종합하면, 피고인 F에게 특정 개인을 식별할 수 있는 형태의 주민등록번호를 수집한다는 점에 대한 인식과 이를 용인하는 내심의 의사, 즉 고유식별정보인 주민등록번호를 수집한다는 점에 대한 고의가 있었다는 점이 법관으로 하여금 합리적 의심을 배제하게 할 정도로 증명되었다고 보기 어렵다. 다. 결론 따라서 피고인 F, J에 대한 이 부분 공소사실은 위 피고인들과 각 변호인들의 나머지 주장에 나아가 살펴볼 필요 없이 범죄사실의 증명이 없는 경우에 해당하므로, 형사소송법 제325조 후단에 의하여 무죄를 선고하고, 형법 제58조 제2항에 의하여 위 무죄 부분의 요지를 공시한다. 15. 이 법원 2015고합1115호의 공소사실 중 피고인 F에 대한 이 사건 수수료 이관조치로 인한 업무상배임의 점(이하 '이 부분 공소사실'이라고 한다)에 관한 판단 가. 이 부분 공소사실의 요지 피고인 F은 범죄사실 제5항 기재와 같은 방법으로 피해자 J이 AW으로부터 지급받아 오던 수수료를 AZ에 지급하라는 내용의 문서를 작성한 후 이를 AW에 보내어 피해자 J으로 하여금 2010. 9.분부터 2014. 10.분까지의 수수료를 지급받지 못하게 함으로써 AZ과 AW에 합계 347,681,640원의 상당의 재산상 이익을 취득하게 하고, 피해자 J에 같은 금액 상당의 재산상 손해를 가하였다. 나. 판단 1) 관련 법리 업무상배임죄의 재산상 손해에는 객관적으로 보아 취득할 것이 충분히 기대되는데도 임무위배행위로 말미암아 이익을 얻지 못하는 경우, 즉 소극적 손해를 야기한 경우도 포함된다. 이러한 소극적 손해는 재산증가를 객관적·개연적으로 기대할 수 있음에도 임무위배행위로 이러한 재산증가가 이루어지지 않은 경우를 의미하므로 임무위배행위가 없었다면 실현되었을 재산 상태와 임무위배행위로 말미암아 현실적으로 실현된 재산 상태를 비교하여 그 유무 및 범위를 산정하여야 한다(대법원 2013. 4. 26. 선고 2011도6798 판결 등 참조). 한편 배임죄의 성립을 인정하려면 손해의 발생이 합리적인 의심이 없는 정도의 증명에 이르러야 하는데, 배임행위로 인한 재산상 손해의 발생 여부가 충분히 입증되지 아니하였음에도 가볍게 액수 불상의 손해는 발생하였다고 인정함으로써 배임죄의 성립을 인정하는 것은 허용될 수 없다. 그러나 손해의 발생이 증명된 이상 손해액이 구체적으로 명백하게 산정되지 아니하였더라도 배임죄의 성립에는 영향이 없다(대법원 2014. 2. 27. 선고 2013도12155 판결). 또한 법원은 공소사실의 동일성이 인정되는 범위 내에서 공소가 제기된 범죄사실에 포함된 보다 가벼운 범죄사실이 인정되는 경우에 심리의 경과에 비추어 피고인의 방어권행사에 실질적인 불이익을 초래할 염려가 없다고 인정되는 때에는 공소장이 변경되지 않았더라도 직권으로 공소장에 기재된 공소사실과 다른 범죄사실을 인정할 수 있다(2002. 11. 22. 선고 2000도4419 판결 등 참조). 2) 구체적 판단 가) 검사는 피고인 F의 임무위배행위, 즉 이 사건 수수료, 이관조치가 없었더라면 피해자 J이 347,681,640원 상당의 재산을 취득할 수 있었음에도 그 전액을 취득하지 못하였으므로 위 금원 상당액이 피해자 J의 재산상 손해액이라고 공소제기하였다. 나) 그러나 다음과 같은 사정들에 비추어, 이 사건 수수료 이관조치가 없었다고 하더라도 피해자 J이 이 사건 제휴계약에 따라 AW으로부터 347,681,640원 상당의 수수료를 취득할 수 있었다는 점이 법관으로 하여금 합리적 의심의 여지를 배제하게 할 정도로 증명되었다고 보기 어렵다. J의 직원인 BV는 이 법정에 증인으로 출석하여 "J의 수수료 조치와 정확하게 연관이 있는지는 모르겠지만 그 부분도 도움이 되어 AW VAN 영업이 활성화되면서 VAN 수수료 액수는 대폭 확대되었다고 생각합니다.", "J이 2014. 10.경 AW과 VAN 수수료를 다시 J이 지급받는 내용으로 재계약을 체결하였고, VAN 수수료를 받을 수 있는 권리를 다시 회수하였는데, 그 뒤 AW VAN 건수가 감소하였습니다."라고 진술하였다. 실제로 AW VAN의 신용건수는 이 사건 수수료 이관조치가 이루어진 직후인 2010. 12.경에는 40,700건이었으나, 이 사건 수수료 이관조치가 이루지고 일정기간 경과한 시점인 2011. 12.경에는 155,624건, 2012. 12.경에는 242,551건까지 증가하였고, 이에 반하여 AW에서 AZ에 영업비를 지급하지 않게 된 2013. 10.경부터 점차 감소하기 시작하여 2013. 12.경에는 229,644건, 2014. 12.경에는 93,889건으로 대폭 감소하였다(2015고합1115호 수사기록 제645, 646면, 제650면 내지 652면, 제932면). 이 사건 수수료 이관조치가 이루어지기 전에 피해자 J은 AW으로부터 직접 이 사건 제휴계약에 따른 수수료를 지급받아왔었는데, 그 금액은 2010. 2. 18.경 222,530원, 2010. 2. 28.경 174,290원, 2010. 3. 31.경 290,810원, 2010. 5. 31.경 362,510원 및 419,330원, 2010. 6. 30.경 650,100원, 2010. 7. 30.경 766,880원, 2010. 8. 31.경 929,060원 정도에 불과하였다(2015고합1115호 수사기록 제59면). 위와 같은 사실을 앞서 살펴본 법리에 비추어 보면, 피고인 F의 독단적인 이 사건 수수료 이관조치를 통하여 피해자 J에 수수료를 받지 못하는 손해가 발생한 사실은 분명하나, 위와 같이 이 사건 수수료, 이관조치 전 피해자 J의 연도별 수수료 수입이 점차 증가하였다는 사정을 고려해 보더라도, 이 사건 수수료 이관조치가 이루어진 약 4년 기간 동안(2010. 9.경부터 2014. 9.경까지) 그 합계가 347,681,640원에 달할 것이라고 단정하기 어렵다. 한편 AW 또는 AZ 측이 이 사건 수수료 이관조치를 통하여 얻은 금액으로 AU 프로그램의 AS업체를 통하여 AW의 단말기에 관한 영업을 함으로써 AW VAN 단말기를 통한 결제가 증가하였다고 못 볼 바 아니고, 따라서 2010. 9.분부터 2014. 10.분까지 발생한 수수료 합계 347,681,640원 중에는 AW과 AZ의 영업활동으로 인하여 AW VAN 단말기 수가 증가하여 발생한 금액도 포함되어 있다고 보아야 한다. 그런데 그중 AW과 AZ의 영업활동으로 인한 수수료 부분과 나머지 부분을 나누어 특정할 객관적인 근거나 자료를 확인하기 어렵다. 이상에서 살펴본 바를 종합하면, 피고인 F이 업무상 임무를 위배하여 이 사건 수수료 이관조치를 함으로써 피해자 J에 손해가 발생한 사실은 확인되나 그 액수를 확인하기 어렵다. 그런데 앞서 살펴본 법리와 같이 이 사건의 심리 정도에 비추어 피고인 F에 대하여 공소제기된 피해액을 347,681,640원으로 하는 업무상배임의 범죄사실보다 피해액이 적은 액수 불상의 업무상배임의 범죄사실을 유죄로 인정하더라도 피고인 F의 방어권 행사에 실질적 불이익을 초래하지 않으므로, 공소장변경 없이 직권으로 범죄사실 제6항의 액수 불상의 업무상배임죄를 유죄로 인정한다. 다. 결론 따라서 피고인 F에 대한 이 부분 공소사실은 범죄사실의 증명이 없는 경우에 해당하므로, 형사소송법 제325조 후단에 의하여 무죄를 선고하여야 하나, 이와 일죄관계에 있는 범죄사실 제6항의 액수 불상의 업무상배임죄를 유죄로 인정하는 이상, 주문에서 따로 무죄를 선고하지 아니한다. 16. 이 법원 2015고합1115호 사건의 공소사실 중 피고인 E, F의 영업자료 무단 반출로 인한 업무상배임의 점(이하 '이 부분 각 공소사실'이라고 한다)에 관한 판단 가. 이 부분 각 공소사실의 요지 피고인 F은 범죄사실 제7항 기재와 같이 피해자 J이 시간과 비용을 들여 축적한 각종 자료들을 외부에 무단 반출하지 않고 피해자 J을 위하여 성실하게 업무를 처리하여야 할 임무가 있었음에도 피고인 E의 요청을 받고 피해자 J의 주요한 영업비밀 자료 내지 영업상 주요한 자산을 빼내어 피고인 E에게 건네주기로 하였다. 피고인 F은 피해자 J의 사무실에서 이메일을 이용하여 피고인 E에게 2013. 4. 29.경 '원격 AS요금 체계안' 파일 및 'CH 구성도' 파일을, 2013. 5. 15.경 피해자 J의 '2013년도 AU 프로그램 사용 약국 현황 자료'를, 2013. 6. 13.경 약 조제 기계인 'ATC 판매 전략 자료'를 각각 이메일로 송부하여 주는 방법으로 피해자의 영업상 주요한 자료들을 피고인 E에게 무단으로 반출하였다. 이로써 피고인 E, F은 공모하여 위와 같은 업무상 임무에 위배하여 피해자 J의 영업상 주요한 자료들을 무단으로 반출해주고 건네받음으로써 피고인 E으로 하여금 위와 같이 반출한 자료들의 가치에 상당하는 액수 불상의 재산상 이익을 취득하게 하고 피해자 J에 같은 금액 상당의 재산상 손해를 가하였다. 나. 피고인 E, F과 변호인들의 주장 요지 1) 피고인 F은 피고인 E에게 '2013년도 AU 프로그램 사용 약국 현황 자료' 및 'ATC 판매전략 자료'를 반출하지 않았다. 2) '원격 AS요금 체계안' 파일, 'CH 구성도' 파일, '2013년도 AU 프로그램 사용약국 현황 자료', 및 'ATC 판매전략 자료'가 피해자 J의 영업상 주요 자산에 해당하지도 않으므로, 위 자료들을 반출하였다고 하더라도 업무상배임죄가 성립하지 않는다. 다. 영업상 주요 자산에 해당하는지 여부 또는 실제로 반출이 이루어졌는지 여부 피고인들과 변호인들의 주장에 관한 판단 제5의 다. 1)항에 기재된 관련 법리에다가 검사와 피고인 E, F의 변호인들이 제출한 증거들에 의하여 인정되는 다음과 같은 사정들을 종합하면, 위 '원격AS요금 체계안' 파일 등 자료들이 불특정 다수인에게 공개되어 있지 아니하여 보유자인 피해자 J을 통하지 아니하고는 이를 통상 입수할 수 없고, 그 자료의 보유자인 피해자 J이 그 자료의 취득이나 개발을 위하여 상당한 시간, 노력 및 비용을 들인 것으로서 그 자료의 사용을 통하여 경쟁자에 대하여 경쟁상의 이익을 얻을 수 있는 정도의 영업상 주요한 자산에 해당한다거나, '2013년도 AU 프로그램 사용 약국 현황 자료'와 'ATC 판매전략 자료'가 피고인 E에게 실제로 반출되었다는 점이 법관으로 하여금 합리적 의심의 여지를 배제하게 할 정도로 증명되었다고 보기 어렵다. 1) '원격 AS요금 체계안' 파일의 경우 가) 피고인 F은 검찰 피의자신문 당시 '원격AS요금 체계안' 파일에 관하여, '피고인 E이 자신에게 약국에서 AS를 하는 업체가 현장방문 없이 원격으로 AS를 하는 경우 비용을 얼마나 받는지 알아봐 달라고 하여 자신이 그가 아는 AS 업체에 물어보거나 해당 업체 홈페이지에서 확인하는 등의 방법으로 알아봐 준 내용이다'라는 취지로 진술하였다(2015고합1115호 수사기록 제682면). 나) 여기에 다음과 같은 사정들, 즉 실제로 피고인 F이 피고인 E에게 이메일을 통하여 전송한 '원격AS요금 체계안'에 의하면(2015고합1115호 수사기록 제247면), 그 문서에 피해자 J의 자료라는 점이 따로 표시되어 있지 아니하고, 그 내용과 문서 형식이 상당한 노력과 비용을 들여서 작성하였다고 보기에는 조잡한 측면이 있는 점, AS요금은 AS를 원하는 고객이라면 AS 업체에 문의하는 등의 방법으로 취득할 수 있는 정보에 해당하고 그것을 취득하는 데 상당한 시간과 노력이 필요하다고 보기 어려운 점, 피해자 J의 관리본부장으로서 피고인 E, F을 수사기관에 고소한 BV는 검찰 참고인조사 당시 '원격AS요금 체계안'의 구체적인 내용에 관한 추가 자료를 제출하겠다고 하였으나 끝내 제출하지 못하였고, 피고인 F이 피고인 E에게 위와 같이 이메일을 통하여 보낸 자료 외에 피해자 J이 위 이메일에 첨부된 내용이 포함된 '원격AS요금 체계안' 자료를 별도로 보관하고 있었다고 볼만한 정황을 확인하기 어려운 점(BV는 이 법정에 증인으로 출석하여 '피고인 F이 피고인 E에게 위와 같이 이메일로 보낸 자료 외에 별도의 자료를 본 적은 없다'는 취지로 진술하였다), 위 '원격AS요금 체계안'이 피해자 J의 영업상 주요 자산에 해당한다면 피해자 J이 그에 관한 자료를 보관하고 있거나 적어도 그에 관한 내용을 구체적으로 알고 있어야 함이 상당한 점 등에 비추어, 피해자 J이 '원격AS요금 체계안'과 관련된 자료를 취득하거나 개발하는 데 상당한 시간, 노력 및 비용을 들여 그 자료를 취득하였다거나 위 '원격AS요금 체계안'이 그 사용을 통하여 경쟁자에 대하여 경쟁상의 이익을 얻을 수 있는 정도의 영업상 주요한 자산에는 해당한다고 단정하기는 어렵다. 2) 'CH 구성도' 파일의 경우 가) 피고인 F은 검찰 피의자신문 당시 "'CH 구성도'는 피고인 E이 자신에게 약국에서 서버가 불안정하기 때문에 백업 서버를 어떻게 구성해야 좋을지 물어봐서 자신이 종이 1장짜리로 간략히 적어서 건네 준 자료이다"라는 취지로 진술하였다. 나) 여기에 다음과 같은 사정들, 즉 피해자 J의 전무로서 피고인 E, F을 수사기관에 고소한 H은 피고인 F에 대한 경찰 피의자신문 당시 대질조사 과정에서, "'CH 구성도'가 피해자 J의 자료인지 여부에 관한 사법경찰관의 질문에 대하여 'J에서는 CH를 기획한 것은 없습니다."라고 진술한 점(2015고합1115호 수사기록 제132면), 피해자 J 측은 수사기관에서 'CH 구성도'의 구체적인 내용에 관하여 추가 자료를 제출하겠다고 하였으나 끝내 제출하지 못하였고, 피고인 F이 E에게 위와 같이 이메일을 통하여 보낸 자료 외에 피해자 J이 위 이메일에 첨부된 내용이 포함된 'CH 구성도'와 관련된 자료를 별도로 보관하고 있었다고 볼만한 정황을 확인하기 어려운 점(피해자 J의 관리본부장으로서 피고임 E, F을 수사기관에 고소하였던 BV는 이 법정에 증인으로 출석하여 '피고인 F이 피고인 E에게 위와 같이 이메일로 보낸 자료 외에 별도의 자료를 본적은 없다'는 취지로 진술하였다), 'CH 구성도'가 피해자 J의 영업상 주요 자산에 해당한다면 피해자 J이 그에 관한 자료를 보관하고 있거나 적어도 그에 관한 내용을 구체적으로 알고 있어야 함이 상당한 점 등에 비추어, 피해자 J이 'CH 구성도'와 관련된 자료를 취득하거나 개발하는 데 상당한 시간, 노력 및 비용을 그 자료를 취득하였다거나 위 'CH 구성도'가 그 사용을 통하여 경쟁자에 대하여 경쟁상의 이익을 얻을 수 있는 정도의 영업상 주요한 자산에는 해당한다고 단정하기는 어렵다. 3) '2013년도 AU 프로그램 사용 약국 현황 자료'의 경우 검사와 피고인 E, F의 변호인들이 제출한 증거들에 의하여 인정되는 다음과 같은 사정들, 즉 피고인 F이 이메일을 통하여 피고인 E에게 전송하였다는 '2013년도 AU 프로그램 사용 약국 현황 자료'의 구체적인 내용을 알 수 없는 점(피고인 F은 이메일을 통하여 '링크(Link)' 주소를 전송하는 방식으로 위 자료를 보낸 것으로 보이는데, 링크 주소가 삭제되어 그 구체적인 내용을 확인할 수 없다), 피해자 J의 관리본부장 BV는 이 법정에 증인으로 출석하여 '인터넷 기사나 CC 지부 홈페이지 등을 통하여 AU 프로그램 사용 약국 현황의 대략적인 숫자를 알 수 있지요.'라는 취지의 피고인 F의 변호인의 질문에 대하여 "예."라고 답변한 점 등에 비추어, 위 '2013년도 AU 프로그램 사용 약국 현황 자료'가 불특정 다수인에게 공개되어 있지 않아 피해자 J을 통하지 아니하고는 이를 통상 입수할 수 없다거나 피해자 J이 위 자료를 취득하는 데 상당한 시간, 노력 및 비용을 들여 그 자료의 사용을 통하여 경쟁자에 대하여 경쟁상의 이익을 얻을 수 있는 정도의 영업상 주요한 자산에 해당한다고 단정하기 어렵다. 또한 피고인 E이 피고인 F로부터 위 이메일을 받을 당시부터 링크 주소에 오류가 생기는 등의 문제로 '2013년도 AU 프로그램 사용 약국 현황' 자료에 접근할 수 없었을 가능성을 전적으로 배제하기 어려운 점도 존재하므로, 위 '2013년도 AU 프로그램 사용 약국 현황 자료'가 실제로 피고인 E에게 반출되었다고 단정하기도 어렵다. 4) 'ATC 판매전략 자료'의 경우 가) 검사와 피고인 E, F의 변호인들이 제출한 증거들에 의하면, 피고인 F이 피고인 E에게 보낸 이메일에는 'ATC 판매전략 자료'에 관한 파일이 첨부파일 형태로 따로 첨부되어 있지는 않았고, 이메일의 본문에 아래와 같은 내용만이 기재되어 있었던 사실이 인정된다(수사기록 제70면). 나) 그런데 피해자 J의 관리본부장인 BV가 이 법정에 증인으로 출석하여 '피해자 J에서 ATC 기계를 판매하거나 약국에 대하여 ATC 기계에 관한 구입을 권유하는 것은 아니다'라고 진술하였고, 'ATC 판매에 대한 자체적인 기획안이 없다'는 취지로 진술하였던 점, 위 이메일 본문에는 '근무약사 1인이고 일 조제건수가 50건 이상인 약국과 근무약사 2인이고 일 조제 건수가 80건 이하인 약국이라는 조건에 맞는 약국을 찾으면 ATC 판매 성공률이 높을 것 같다'는 내용이 기재되어 있을 뿐인 점(2015고합1115호 수사기록 1권 제237면) 등에 비추어, 피해자 J이 'ATC 판매 전략'에 관련된 자료를 가지고 자신의 영업에 활용하려고 하였다고 단정하기 어려우므로, 피해자 J이 'ATC 판매 전략' 자료의 사용을 통하여 경쟁자에 대하여 경쟁상의 이익을 얻을 수 있어 위 자료가 영업상 주요 자산에 해당한다고 단정하기 어렵다. 다) 나아가 다음과 같은 사정들, 즉 피고인 E, F은 위 이메일을 통하여 데이터를 추출한 자료를 건네주거나 건네받지 않았다는 취지로 비교적 일관되게 진술하고 있는 점, 위 이메일에는 '피고인 E이 3가지 조건에 동의하면 데이터 추출 작업을 진행하겠다'는 취지로 기재되어 있을 뿐이고, 실제 피고인 F이 데이터 추출 작업을 통하여 추출한 자료를 피고인 E에게 건네주었다고 볼만한 정황을 확인하기 어려운 점 등에 비추어, ATC 판매 전략에 관련된 자료가 피고인 E에게 실제로 반출되었다고 단정하기도 어렵다. 라. 결론 따라서 피고인 E, F에 대한 이 부분 각 공소사실은 범죄사실의 증명이 없는 경우에 해당하므로, 형사소송법 제325조 후단에 의하여 무죄를 선고하여야 하나, 위 피고인들에 대하여 포괄일죄 관계에 있는 이 사건 CG 기획안을 반출한 행위로 인한 범죄사실 제7항의 업무상배임죄를 유죄로 인정하는 이상, 위 피고인들에 대하여 주문에서 따로 무죄를 선고하지는 아니한다. 공소기각 부분 1. 이 법원 2015고합665호 사건 중 피고인 A, B, C의 AD 프로그램 관련 민감정보인 환자 진료정보 43,379,506건 불법 보유로 인한 각 개인정보보호법위반의 점, 피고인 A, B, C의 AD 프로그램 관련 민감정보인 환자 진료정보 376,519,216건 불법 수집·저장·보유로 인한 각 개인정보보호법위반의 점, 피고인 A, B, C의 AD 프로그램 관련 민감정보인 환자 진료정보 419,898,722건 불법 제공으로 인한 각 개인정보보호법위반의 점, 피고인 A, B, C의 심사점검 솔루션 관련(AG, AH DB) 처방정보 163,562,712건 불법 수집·저장·보유로 인한 각 개인정보보호법위반의 점, 피고인 A, B, C의 심사점검 솔루션의 사전점검 메뉴 관련(AI DB) 처방정보 7,441,820건 불법 수집·저장·보유로 인한 각 개인정보보호법위반의 점, 피고인 A, B, C의 AF 프로그램 관련 민감정보인 처방정보 5,244,280건 불법 보유로 인한 각 개인정보보호법위반의 점, 피고인 A, B, C의 AF 프로그램 관련 민감정보인 처방정보 2,614,407건 불법 수집·저장·보유로 인한 각 개인정보보호법위반의 점, 피고인 G, J의 민감정보인 조제정보 422,615,310건 불법 수집·저장·보유로 인한 각 개인정보보호법위반의 점, 피고인 F, G, J의 민감정보인 조제정보 454,526,916건 불법 수집·저장·보유로 인한 각 개인정보보호법위반의 점, 피고인 G, I, J의 민감정보인 조제정보 78,272,220건 불법 수집·저장·보유로 인한 각 개인정보보호법위반의 점, 피고인 G, H, I, J의 민감정보인 조제정보, 349,718,665건 불법 수집·저장·보유로 인한 각 개인정보보호법위반의 점, 피고인 D, E, F, J의 2011. 1. 28.경부터 2011. 9. 30.경까지 수집한 민감정보인 환자정보 567,628,247건 불법 제공 및 2011. 10. 1.경부터 2013. 3. 7.경까지 수집한 조제정보 1,278,261,330건 불법 제공으로 인한 각 개인정보보호법위반의 점, 피고인 D, F, J의 민감정보인 조제정보 258,686,949건 불법 제공으로 인한 각 개인정보보호법위반의 점, 피고인 G, F, J의 2013. 6. 17.경부터 2013. 12. 11.경까지 민감정보인 조제정보, 422,615,310건 및 2013. 12. 12.경부터 2014. 5. 31.경까지 민감정보인 조제정보 454,526,916건 불법 제공으로 인한 각 개인정보보호법위반의 점, 피고인 G, I, J의 민감정보인 조제정보 78,272,220건 불법 제공으로 인한 각 개인정보보호법위반의 점, 피고인 G, H, I, J의 민감정보인 조제정보 349,718,665건 불법 제공으로 인한 각 개인정보보호법위반의 점, 피고인 K, L, M의 C 관련 민감정보인 환자 처방정보 419,898,722건 불법 수집·저장·보유로 인한 각 개인정보보호법위반의 점, 피고인 K, L, M의 J 관련 민감정보인 환자 진료정보 3,409,709,637건 불법 수집·저장·보유로 인한 각 개인정보보호법위반의 점, 피고인 K, L, M의 민감정보인 환자 진료정보 3,409,709,637건 불법 제공으로 인한 각 개인정보보호법위반의 점, 이 법원 2015고합752호 사건 중 피고인 D, E, F, J의 처방전 관련 정보 557,540,923건에 관한 각 정보통신망법위반의 점, 피고인 D, F, J의 처방전 관련 정보 63,444,199건에 관한 각 정보통신망법위반의 점, 피고인 F, J의 처방전 관련 정보 126,329,945건에 관한 각 정보통신망법위반의 점, 피고인 F, J의 고유식별정보인 주민등록번호 126,329,947건 불법 수집으로 인한 각 개인정보보호법위반의 점, 피고인 D, E, F, J의 고유식별정보인 주민등록번호 332,201,615건 불법 수집으로 인한 각 개인정보보호법위반의 점, 피고인 D, F, J의 고유식별정보인 주민등록번호 63,444,199건 불법 수집으로 인한 각 개인정보보호법위반의 점(이하 '이 부분 각 공소사실'이라고 한다)에 관한 판단 가. 이 부분 각 공소사실의 요지 1) 피고인 A, B 공모하여 무죄 부분 제1의 가항 기재와 같은 방법으로 2011. 10. 1.경부터 2014. 12. 2.경까지 법령의 근거 또는 환자들의 동의 없이 민감정보인 환자 진료정보 43,379,506건을 보유하고, 피고인 C는 그 대표자인 피고인 A과 종업원인 B이 피고인 C의 업무에 관하여 위와 같이 환자 진료정보를 보유하였다(2015고합665호). 2) 피고인 A, B은 공모하여 무죄 부분 제2 가항 기재와 같은 방법으로 2011. 10.경부터 2014. 12.경까지 법령의 근거 또는 환자들의 동의 없이 환자 진료정보 376,519,216건을 수집·저장·보유하고, 피고인 C는 그 대표자인 피고인 A과 종업원인 피고인 B이 피고인 C의 업무에 관하여 위와 같이 환자 진료정보를 수집·저장·보유하였다(2015고합665호). 3) 피고인 A, B은 공모하여 무죄 부분 제3의 가항 기재와 같은 방법으로 2011. 9. 30.부터 2014. 12.경까지 법령의 근거 또는 환자들의 동의 없이 민감정보인 환자 진료정보 419,898,722건을 M에 공유방식으로 제공하여 처리하고, 피고인 C는 그 대표자인 피고인 A과 종업원인 피고인 B이 피고인 C의 업무에 관하여 위와 같이 환자 진료정보를 보유하였다(2015고합665호). 4) 피고인 A, B은 무죄 부분 제4의 가항 기재와 같은 방법으로 AE 프로그램과 관련하여 2012. 1.경부터 2014. 12. 31.경까지 실시간 심사점검 솔루션을 이용하여 병원에서 처리하는 환자들의 처방정보 163,562,712건을 법령의 근거 또는 환자들의 동의 없이 수집·저장·보유하고, 2011. 10.경부터 2014. 12. 1.경까지 건강보험심사평가원에 요양급여비용을 청구하기 위한 EDI 파일을 임의로 C 데이터베이스 서버에 전송받아 환자 진료정보 7,441,820건 상당을 수집·저장·보유하고, 피고인 C는 그 대표자인 피고인 A과 종업원인 피고인 B이 피고인 C의 업무에 관하여 위와 같이 환자 진료정보를 보유하였다(2015고합665호). 5) 피고인 A, B은 공모하여 범죄 사실 제1항의 기재와 같은 방법으로 AF 프로그램과 관련하여 2011. 9. 30.경부터 2014. 12. 2.경까지 민감정보인 환자 처방정보 5,244,280건을 법령의 근거 또는 환자들의 동의 없이 보유하고, 피고인 C는 그 대표자인 피고인 A과 종업원인 피고인 B이 피고인 C의 업무에 관하여 위와 같이 환자 처방정보를 보유하였다(2015고합665호). 6) 피고인 A, B은 공모하여 범죄 사실 제1항의 기재와 같은 방법으로 2011. 10. 1.경부터 2014. 11. 15.경까지 민감정보인 환자 처방정보 2,614,407건을 법령의 근거 또는 환자들의 동의 없이 수집·저장·보유하고, 피고인 C는 그 대표자인 피고인 A과 종업원인 피고인 B이 피고인 C의 업무에 관하여 위와 같이 환자 처방정보를 수집·저장·보유하였다(2015고합665호). 7) 피고인 G은 무죄 부분 제7의 가. 2) 가)항 기재와 같은 방법으로 공동피고인 F과 공모하여 2013. 6.경부터 2013. 12. 11.경까지 민감정보인 환자 조제정보 422,615,310건을 법령의 근거 또는 환자들의 동의 없이 수집·저장·보유하고, 피고인 J은 대표자인 피고인 G이 피고인 J의 업무에 관하여 위와 같이 민감정보를 처리(수집·저장·보유)하였다(2015고합665호). 8) 피고인 G, F은 공모하여 무죄 부분 제7의 가. 2) 나)항 기재와 같은 방법으로 2013. 12. 12.경부터 2014. 5. 31.경까지 민감정보인 환자 조제정보 454,526,916건을 법령의 근거 또는 환자들의 동의 없이 수집·저장·보유하고, 피고인 J은 대표자인 피고인 G, 종업원인 피고인 F이 피고인 J의 업무에 관하여 위와 같이 민감정보를 처리(수집·저장·보유)하였다(2015고합665호). 9) 피고인 G, I은 공모하여 무죄 부분 제7의 가. 2) 다)항 기재와 같은 방법으로 2014. 6. 1.경부터 2014. 5. 31.경까지 민감정보인 환자 조제정보 78,272,220건을 법령의 근거 또는 환자들의 동의 없이 수집·저장·보유하고, 피고인 J은 대표자인 피고인 G, 종업원인 피고인 이 피고인 J의 업무에 관하여 위와 같이 민감정보를 처리(수집·저장·보유)하였다(2015고합665호). 10) 피고인 G, H, I은 공모하여 무죄 부분 제7의 2) 라)항 기재와 같은 방법으로 2014. 7. 7.경부터 2014. 11. 30.경까지 민감정보인 환자 조제정보 349,718,665건을 법령의 근거 또는 환자들의 동의 없이 수집·저장·보유하고, 피고인 J은 대표자인 피고인 G, 종업원인 피고인 F이 피고인 J의 업무에 관하여 위와 같이 민감정보를 처리(수집·저장·보유)하였다(2015고합665호). 11) 피고인 D, E, F은 공모하여 무죄 부분 제7의 가. 3) 가)항 기재와 같은 방법으로, 2011. 1. 28.경부터 2011. 9. 30.경까지수집한 민감정보인 조제정보 567,628,247건을 12011. 9. 30.경부터 2013. 12. 11.경까지, 2011. 10. 1.경부터 2013. 3. 7.경까지 수집한 민감정보인 조제정보 1,278,261,330건을 법령의 근거 또는 환자들의 동의 없이 M에 제공하고, 피고인 J은 대표자인 피고인 D, 종업원인 피고인 E, F이 피고인 J의 업무에 관하여 위와 같이 민감정보를 제공하였다(2015고합665호). 12) 피고인 D, F은 공모하여 무죄 부분 제7의 가. 3) 나)항 기재와 같은 방법으로 2013. 3. 8.경부터 2013. 6. 16.경까지 민감정보인 조제정보 258,686,949건을 법령의 근거 또는 환자들의 동의 없이 M에 제공하고, 피고인 J은 대표자인 피고인 D, 종업원인 피고인 F이 피고인 J의 업무에 관하여 위와 같이 민감정보를 제공하였다(2015고합665호). 13) 피고인 F, G은 공모하여 무죄 부분 제7의 가. 3) 다)항 기재와 같은 방법으로 2013. 6. 17.경부터 2013. 12. 11.경까지 민감정보인 조제정보 422,615,310건 및 2013. 12. 12.경부터 2014. 5. 31.경까지 민감정보인 조제정보 454,526,916건을 법령의 근거 또는 환자들의 동의 없이 M에 제공하고, 피고인 J은 대표자인 피고인 G, 종업원인 피고인 F이 피고인 J의 업무에 관하여 위와 같이 민감정보를 제공하였다(2015고합665호). 14) 피고인 G, I은 공모하여 무죄 부분 제7의 가. 3) 라)항 기재와 같은 방법으로 2014. 6. 1.경부터 2014. 7. 6.경까지 민감정보인 조제정보 78,272,220건을 법령의 근거 또는 환자들의 동의 없이 M에 제공하고, 피고인 J은 대표자인 피고인 G, 종업원인 피고인 이 피고인 J의 업무에 관하여 위와 같이 민감정보를 제공하였다(2015고합665호). 15) 피고인 G, H, I은 공모하여 무죄 부분 제7의 가. 3) 마)항 기재와 같은 방법으로 2014. 7. 7.경부터 2014. 11. 30.경까지 민감정보인 조제정보 349,718,665건을 법령의 근거 또는 환자들의 동의 없이 M에 제공하고, 피고인 J은 대표자인 피고인 G, 종업원인 피고인 H, I이 피고인 J의 업무에 관하여 위와 같이 민감정보를 제공하였다(2015고합665호). 16) 피고인 K, L은 공모하여 무죄 부분 제8의 가항 기재와 같은 방법으로 2011. 9. 30.경부터 2015. 1.경까지 민감정보인 환자 진료정보 3,409,709,637건을 법령의 근거 또는 환자들의 동의 없이 처리(수집·저장·보유)하고, 피고인 M는 대표자인 피고인 K, 종업원인 피고인 L이 피고인 M의 업무에 관하여 위와 같이 민감정보를 처리(수집·저장·보유)하였다(2015고합665호). 17) 피고인 K, L은 공모하여 무죄 부분 제9의 가항 기재와 같은 방법으로 2011. 9. 30.경부터 2015. 1.경까지 민감정보인 환자 진료정보 3,409,709,637건을 법령의 근거 또는 환자들의 동의 없이 EL에 제공하고, 피고인 M는 대표자인 피고인 K, 종업원인 피고인 L이 피고인 M의 업무에 관하여 위와 같이 법령의 근거 또는 정보주체인 환자들의 동의 없이 민감정보를 제공하였다(2015고합665호). 18) 피고인 K, L은 공모하여 무죄 부분 제10의 가항 기재와 같은 방법으로 2011. 10. 1.부터 2014. 12.경까지 민감정보인 환자 진료정보 419,898,722건을 법령의 근거 또는 환자들의 동의 없이 처리(수집·저장·보유)하고, 피고인 M는 대표자인 피고인 K, 종업원인 피고인 L이 피고인 M의 업무에 관하여 위와 같이 민감정보를 처리(수집·저장 보유)하였다(2015고합665호). 19) 피고인 D, E, F은 공모하여 무죄 부분 제13의 가항 기재와 같은 경위로 2011. 1. 28.경부터 2013. 3. 7.경까지 처방전 관련 정보 557,540,923건을 정보통신망을 통하여 속이는 행위로 수집하고, 피고인 J은 대표자인 피고인 D, 종업원인 피고인 E, F이 피고인 J의 업무에 관하여 위와 같이 처방전 관련 정보를 수집하였다(2015고합752호). 20) 피고인 D, F은 공모하여 무죄 부분 제13의 가항 기재와 같은 경위로 2013. 3. 8.경부터 2013. 6. 16.경까지 처방전 관련 정보 557,540,923건을 정보통신망을 통하여 속이는 행위로 수집하고, 피고인 J은 대표자인 피고인 D, 종업원인 피고인 F이 피고인 J의 업무에 관하여 위와 같이 처방전 관련 정보를 수집하였다(2015고합752호). 21) 피고인 F은 무죄 부분 제13의 가항 기재와 같은 경위로 2013. 6. 17.경부터 2013. 12. 11.경까지 처방전 관련 정보 126,329,945건을 정보통신망을 통하여 속이는 행위로 수집하고, 피고인 J은 대표자인 피고인 D, 종업원인 피고인 F이 피고인 J의 업무에 관하여 위와 같이 처방전 관련 정보를 수집하였다(2015고합752호). 22) 피고인 F은 무죄 부분 제14의 가항 기재와 같은 경위로 2013. 6. 17.경부터 2013. 12. 11.경까지 고유식별정보인 주민등록번호 126,329,947건을 법령의 근거 또는 환자들의 동의 없이 수집하고, 피고인 J은 종업원인 피고인 F이 피고인 J의 업무에 관하여 위와 같이 고유식별정보인 주민등록번호를 수집하였다(2015고합752호). 23) 피고인 D, E, F은 무죄 부분 제14의 가항 기재와 같은 경위로 2011. 9. 30.경부터 2013. 3. 7.경까지 고유식별정보인 주민등록번호 332,201,615건을 법령의 근거 또는 환자들의 동의 없이 수집하고, 피고인 J은 종업원인 피고인 F이 피고인 J의 업무에 관하여 위와 같이 고유식별정보인 주민등록번호를 수집하였다(2015고합752호). 24) 피고인 D, F은 무죄 부분 제14의 가항 기재와 같은 경위로 2013. 3. 8.경부터 2013. 6. 16.경까지 고유식별정보인 주민등록번호 63,444,199건을 법령의 근거 또는 환자들의 동의 없이 수집하고, 피고인 J은 종업원인 피고인 D, F이 피고인 J의 업무에 관하여 위와 같이 고유식별정보인 주민등록번호를 수집하였다(2015고합752호). 나. 공소사실의 특정 여부 1) 관련 법리 형사소송법 제254조 제4항이 "공소사실의 기재는 범죄의 시일, 장소와 방법을 명시하여 사실을 특정할 수 있도록 기재하여야 한다."라고 규정한 취지는 심판의 대상을 한정함으로써 심판의 능률과 신속을 꾀함과 동시에 방어의 범위를 특정하여 피고인의 방어권 행사를 쉽게 해 주기 위한 것이다. 따라서 비록 공소범죄의 성격에 비추어 범죄의 일시·장소 등에 관한 개괄적인 표시가 부득이한 경우가 있다 하더라도, 검사는 가능한 한 공소제기나 공소장변경 당시의 증거에 의하여 이를 특정하여야 하고, 이에 이르지 아니함으로써 사실상 피고인의 방어권 행사에 지장을 가져오는 경우에는 형사소송법 제254조 제4항에서 정하고 있는 구체적인 범죄사실의 기재가 있는 공소장이라 할 수 없다(대법원 2008. 3. 14. 선고 2008도418 판결, 대법원 2013. 10. 17. 선고 2013도6826 판결 등 참조). 한편 개인정보보호법위반죄와 정보통신망법위반죄는 원칙적으로 정보주체 또는 정보통신서비스 이용자별로 각각 별개의 죄를 구성한다. 그러므로 공소장에 종이문서로 첨부된 각 범죄일람표에 정보주체와 개인정보 내역 등이 기재되어 있는 부분은 공소사실이 구체적으로 특정되었다고 할 것이나, 공소장에 범행 시기와 종기, 취득하거나 제공한 개인정보의 종류와 건수 등만 기재되어 있고 범죄일람표가 CD로만 제출되어 있는 부분은 정보주체가 누구인지 또는 피고인들이 취득하거나 제공하고 제공받은 개인정보의 내용이 무엇인지 등을 전혀 알 수 없어 공소사실이 특정되었다고 할 수 없다(대법원 2017. 4. 7. 선고 2016도13263 판결 참조). 2) 판단 이 법원이 이미 2019. 9. 19. 열린 제19회 공판기일에서 서면으로 출력하지 않고 전자파일 형태로만 DVD에 담아 제출한 부분에 대하여 공소장변경허가신청을 불허함에 따라 당초 공소장 또는 공소장변경이 허가된 2019. 11. 3.자 공소장변경허가신청서에 숫자로만 정보가 기재된 이 부분 각 공소사실에는 검사가 각 공소사실별 해당 피고인들(이하 '피고인들'이라고만 한다)이 저질렀다고 주장하는 개인정보법위반 또는 정보통신망법위반 범행의 시기와 종기, 피고인들이 법령의 근거나 환자들의 동의 없이 수집·저장·보유하였거나 제공하였다고 지목된 개인정보의 종류와 건수 또는 피고인 D, E, F이 정보통신망을 통하여 속이는 행위로 수집한 개인정보의 종류와 건수만이 기재되어 있을 뿐, 정보주체 또는 정보통신서비스 이용자가 누구인지 또는 피고인들이 법령의 근거나 환자들의 동의 없이 수집·저장·보유하였거나 제공한 개인정보 또는 정보통신망을 통하여 속이는 행위로 수집한 개인정보의 구체적인 내용이 무엇인지 제대로 나타나 있지 않고, 따라서 피고인들의 입장에서 정보주체 또는 정보통신서비스 이용자가 실제로 존재하는 인물인지 여부, 개인정보 등의 내용이 정보주체 또는 정보통신서비스 이용자의 것이 맞는지 여부 등을 다른 정보와 결합하는 등의 방법으로도 확인할 방법이 전혀 없어 공소사실이 특정되었다고 보기 어렵다. 다. 결론 따라서 피고인들에 대한 이 부분 각 공소사실은 공소제기의 절차가 법률의 규정에 위반하여 무효인 때에 해당하므로, 형사소송법 제327조 제2호에 의하여 피고인들에 대한 공소를 각 기각한다. 이상의 이유로 주문과 같이 판결한다.