1. 수능감독하다 알아낸 전화번호로 고백을 한 시험감독관 사건
고등학교 교사였던 A씨는 2018. 11. 15.경 서울 강동구 B에 있는 C고등학교 대학수학능력시험 고사장 감독업무를 수행하는 과정에서 수험생의 성명, 주민등록번호, 연락처, 주소 등 개인정보가 포함된 응시원서를 제공받고, 이를 각 수험생의 수험표와 대조하는 과정에서 피해자의 연락처를 알게 되었습니다.
이후 A씨는 약 10일이 지난후 위와 같이 알게 된 연락처를 이용하여 피해자를 카카오톡 친구로 추가한 후 피해자에게 카카오톡으로 "사실 OO씨가 맘에 들어서요" 등의 메시지를 발송하였다.
A씨는 행위에 대하여 개인정보처리자로부터 개인정보를 제공받은 자는 정보주체로부터 별도의 동의를 받거나 다른 법률에 특별한 규정이 있는 경우가 아니면 개인정보를 제공받은 목적 외의 용도로 이용하여서는 아니 됨에도 불구하고 개인정보처리자로부터 제공받은 개인정보를 제공받은 목적 외 용도로 이용하였다는 이유로 개인정보보호법 제19조 위반으로 기소된 사안이었습니다.
2. 쟁점의 정리
해당사안에서 개인정보처리자가 학교에 해당하는 것은 명확하였는데 A씨가 개인정보처리자로부터 개인정보를 제공받는 자에 해당하는지 아니면 개인정보를 처리하였거나 처리하엿던 자에 해당하는지가 쟁점이 되었습니다. 결국 개인정보처리자인 학교로부터 권한을 위임받아 학생들의 개인정보(전화번호)를 수집한 A씨는 학교에게 정보를 제공받은 자인지 아니면 정보를 처리 취급하는 것을 도운 자에 해당하는지 문제가 된 것입니다.
이렇게 A씨가 개인정보처리자로부터 개인정보를 제공받는 자에 해당하는지 아니면 개인정보처리자에 해당하는지가 문제가 된 이후는 처벌규정 때문이었습니다. 이 사건은 고등학교 교사인 A씨가 전화번호를 받아서 부정하게 이용한 행위에 해당하는데 개인정보처리자로부터 개인정보를 제공받는 자는 개인정보를 부정하게 이용한 행위를 처벌하지만, 개인정보취급자에 대해서는 부정하게 이용하는 행위에 대해 따로 처벌규정이 없었던 것이었습니다.
이 사건은 1심 2심 대법원 결론이 계속해서 뒤집혔는데 아래에서 확인해보시죠
3. 하급심의 판단
가. 1심 - 무죄 (서울중앙지방법원 2019. 12. 12. 선고 2019고단3278 판결)
개인정보 보호법(이하 '법'이라 한다)은 개인정보를 보호하기 위한 여러 금지규정을 두면서 금지의무의 주체로 '개인정보처리자'(법 제17조, 제18조), '개인정보처리자로부터 개인정보를 제공받은 자'(법 제19조), '개인정보를 처리하거나 처리하였던 자'(법 제59조) 등을 규정하고 있는데,
법 제19조에서 정하고 있는 '개인정보처리자로부터 개인정보를 제공받은 자'란 개인정보처리자가 아닌 자로서 개인정보처리자에 속하지 않는 제3자, 즉 개인정보처리자의 지휘나 감독을 받지 아니하는, 개인정보처리자와 무관한 제3자를 의미하고 '개인정보취급자'에게는 법 제19조가 적용될 수 없는 것으로 해석함이 합리적인 해석이라 할 것이라고 보았습니다.
결국 법이 개인정보를 다루는 자를 1) 개인정보처리자 2) 개인정보처리자로부터 개인정보를 제공받은 자 3) 개인정보를 처리하거나 처리하였던 자로 구분하고 있고, A씨가 개인정보를 처리하거나 처리하였던 자에 해당하는 이상 개인정보처리자로부터 개인정보를 제공받는 자에 해당할 수 없고 따라서 개인정보보호법 19조를 적용할 수 없다는 것입니다.
나. 2심 - 유죄 (서울중앙지방법원 2020. 10. 15. 선고 2019노4259 판결)
원심의 위와 같은 개인정보 보호법의 해석 및 이를 바탕으로 피고인은 개인정보취급자일 뿐 개인정보 보호법 제19조에서 규정한 ‘개인정보처리자로부터 개인정보를 제공받은 자’에 해당하지 않는다는 판단은 개인정보 보호법 제19조 및 제28조의 입법 취지는 물론 개인정보를 두텁게 보호하고자 하는 개인정보 보호법의 입법 목적까지 저해하는 것이어서 쉽게 수긍하기 어렵다는 입장이었습니다.
2심 재판부는 법 제17조 제1항은, ‘개인정보처리자는 다음 각호의 어느 하나에 해당되는 경우에는 정보주체의 개인정보를 제3자에게 제공할 수 있다’고 하면서, “제공”의 태양에 “공유”를 포함한다고 규정하고 있어, 개인정보처리자가 그 정보를 공유할 정도로 밀접한 관계에 있는 자도 제3자에서 제외하지 않고 개인정보를 제공받은 자에 포함시키고 있으므로 A씨는 개인정보처리자로부터 개인정보를 제공받는 자에 해당하여 개인정보보호법 제19조를 적용할 수 있다고 판단하여 징역형을 선고하였습니다.
4. 대법원의 판단 - 무죄 (대법원 2025. 2. 13. 선고 2020도14713 판결)
대법원은 임직원, 파견근로자, 시간제근로자 등 개인정보처리자의 지휘·감독을 받아 개인정보를 처리하는 자인 개인정보취급자(같은 법 제28조)가 개인정보처리자의 업무 수행을 위하여 개인정보를 이전받는 경우 위와 같은 개인정보취급자는 ‘개인정보처리자로부터 개인정보를 제공받은 자’에 해당하지 않는다고 보았습니다.
개인정보의 ‘제3자 제공’은 본래의 개인정보 수집·이용 목적의 범위를 넘어 그 정보를 제공받는 자의 업무처리와 이익을 위하여 개인정보의 지배·관리권이 이전되는 것으로, 개인정보처리자가 개인정보의 지배·관리권을 그대로 유지하면서 개인정보처리자의 업무처리와 이익을 위하여 내부적으로 개인정보를 이용하는 것과 구별되므로 A씨가 사용한 것은 내부적 이용에 불과하다고 본 것입니다.
한편, 개인정보취급자는 개인정보처리자의 지휘 · 감독을 받아 개인정보를 처리하는 사람으로서 직접 개인정보에 관한 업무를 담당하는 사람과 그 밖에 업무상 필요에 의해 개인정보에 접근하여 이를 처리하는 모든 사람을 말한다고 하여 A씨는 개인정보를 처리하거나 처리하였던 자에 해당한다고 봄이 맞다고도 하였습니다.
결국 공립학교 교사인 A씨는 개인정보처리자인 서울특별시교육청의 지휘 · 감독 하에 수험생들의 개인정보를 처리한 자로 개인정보취급자에 해당할 뿐, 개인정보처리자인 서울특별시교육청으로부터 '개인정보를 제공받은 자'로 보기 어렵다. 그럼에도 그 판시와 같은 이유로 주위적 공소사실을 유죄로 판단한 원심판결에는 구 「 개인정보 보호법」제19조의 '개인정보처리자로부터 개인정보를 제공받은 자'의 의미에 관한 법리를 오해하여 판결에 영향을 미친 잘못있다고 보아 2심을 무죄취지로 파기환송하였습니다.
4. 지금도 처벌받지 않을까요?
지금은 법이 개정되어 처벌받을 수 있습니다.
2023. 2. 27. 국회 본회의를 통과한 개인정보 보호법 일부개정법률안이 2023. 9. 15.부터 시행 중에 있습니다. 이를 살펴보면
라고 규정되어 있는데 원래 없던 이용이 추가된 것을 확인하실 수 있습니다.
결국 A교사와 같은 행동을 지금한다면 개인정보취급자의 개인정보 이용행위에 해당하여 처벌받을 수 있게 되는 것입니다.
5. 결론 - 개인정보보호법 위반, 무조건 유죄는 아닙니다
이번 판결은 중요한 현실을 보여줍니다. 개인정보를 부적절하게 사용했다고 해서, 무조건 처벌되는 것은 아닙니다.
죄형법정주의 원칙상 형벌법규의 해석은 엄격하여야 하고, 문언의 가능한 의미를 벗어나 피고인에게 불리한 방향으로 해석하는 것은 죄형법정주의의 내용인 확장해석금지에 따라 허용될 수 없습니다.
도덕적으로 피고인의 행위가 부적절하다는 점에 관해서는 의문의 여지가 없다하더라도 죄형법정주의의 원칙상 그와 같은 사정만으로 A씨의 행위를 법 제59조 소정의 금지행위에 포섭하여 해석할 수는 없는 것처럼 법을 엄격하게 해석하여 처벌받지 않을 수 있습니다.
결과는 충분히 달라질 수 있습니다.
📌 즉, 개인정보보호법 위반도 ‘해석’과 ‘사실관계’에 따라 무죄가 나올 수 있는 영역입니다.
하지만 중요한 건, 그 판단이 결코 쉬운 일이 아니라는 점입니다.
실무적으로는 사건 초기 대응부터 서면 제출, 증거 해석, 사실관계 정리까지
정확한 전략이 없으면 오해가 곧 유죄로 바뀔 수 있습니다.
내 곁의 법무팀, 법률사무소 온직이 실전에서 도와드립니다
온직은 단순히 조문만 들여다보는 자문이 아닌,
사건의 흐름을 꿰뚫고 전략을 설계하는 실전형 법률팀입니다.
- 개인정보 유출 초기 대응 자문
- 수사 및 조사 대응 서면 정리
- 무죄 입증을 위한 사실관계 재구성
- 재발 방지를 위한 조직 내 개인정보 관리 체계 수립
📩 억울한 혐의로 위기에 놓이셨나요?
법률사무소 온직
pf.kakao.com
무조건 두려워하지 마세요.
당신의 사실관계를 가장 잘 이해하는 파트너, 법률사무소 온직이 함께합니다.