[예규·판례] 보관 중인 휴대전화 경찰에 넘긴 판매업자, 개인정보법 위반일까

(조세금융신문=임화선 변호사) 휴대전화 기기 판매업자인 A씨는 B에게 휴대전화를 판매하면서 B로부터 B가 사용했던 구형 휴대전화 단말기를 무상으로 교부받아 보관하고 있었다. 이후 A씨는 경찰관들이 와서 B의 구형 휴대전화 단말기 교부를 요구하자 이를 경찰관들에게 교부하였다.

이에 대하여 검찰은 휴대전화 기기 판매업자를 개인정보를 처리하거나 처리하였던 자로서 개인정보를 누설하거나 유출하였고, 경찰공무원은 그 사정을 알면서도 영리 또는 부정한 목적으로 개인정보를 제공받았다는 내용으로 이들을 개인정보보호법 위반죄로 기소하였다. 이에 대해 휴대전화 기기 판매업자는 자신은 개인정보 보호법 제59조의 ‘개인정보를 처리하거나 처리하였던 자’에 해당하지 않으니 무죄라고 주장하였다.

이 사건에서 원심법원(2심)은 휴대전화 단말기의 교부 경위 등을 고려하면, 검사가 제출한 증거만으로는 휴대전화 판매업자가 휴대전화 기기를 판매할 때 B의 구형 휴대전화 단말기에 저장되어 있는 각 개인정보를 업무와 관련하여 보유하거나 취득하였다는 사실을 인정하기에 부족하다고 보아, 공소사실을 무죄로 판단하였다(춘천지방법원 2023. 4. 7. 선고 2020노968 판결). 검사가 상고하였는데 아래와 같은 이유로 상고를 기각하는 판결을 선고하였다(대법원 2025. 7. 3. 선고 2023도5226 판결).

[대법원 2025. 7. 3. 선고 2023도5226 판결]의 취지

‘개인정보를 처리하거나 처리하였던 자’의 의미

구 개인정보 보호법(2020. 2. 4. 법률 제16930호로 개정되기 전의 것, 이하 ‘구 개인정보 보호법’이라 한다)은 제59조는 ‘개인정보를 처리하거나 처리하였던 자는 다음 각 호의 어느 하나에 해당하는 행위를 하여서는 아니 된다.’고 규정하면서 각 호에서 금지행위를 열거하고, 각 호에서 금지하는 행위를 한 자를 처벌하는 규정을 두고 있다(제71조 제5호, 제6호, 제72조 제2호).

구체적으로 살펴보면 구 개인정보 보호법 제59조 제1호는 ‘거짓이나 그 밖의 부정한 수단이나 방법으로 개인정보를 취득하거나 처리에 관한 동의를 받는 행위’를, 제2호는 ‘업무상 알게 된 개인정보를 누설하거나 권한 없이 다른 사람이 이용하도록 제공하는 행위’를, 제3호는 ‘정당한 권한 없이 또는 허용된 권한을 초과하여 다른 사람의 개인정보를 훼손, 멸실, 변경, 위조 또는 유출하는 행위’를 금지하고 있다.

한편 구 개인정보 보호법 제71조 제5호, 제6호 및 제72조 제2호는 ‘개인정보를 처리하거나 처리하였던 자’의 제59조 위반행위, 즉 거짓이나 그 밖의 부정한 수단이나 방법으로 개인정보를 취득하거나 처리에 관한 동의를 받는 행위, 개인정보를 누설하거나, 권한 없이 다른 사람이 이용하도록 제공, 유출하는 행위 등을 처벌하는 반면, ‘개인정보를 처리하거나 처리하였던 자’가 아닌 경우에는 위와 같은 행위를 처벌하지 않는다.

또한 구 개인정보 보호법 제71조는 정보주체의 동의 등이 없이 개인정보가 제공되는 경우에는, ‘개인정보처리자’에 의한 행위(제1호, 제2호)와 ‘개인정보를 처리하거나 처리하였던 자’에 의한 행위(제5호, 제6호)를 구별하지 않고 동일한 법정형으로 처벌한다.

이러한 처벌규정의 내용과 체계에 비추어 보면, ‘개인정보를 처리하거나 처리하였던 자’는 일반 개인과는 구별되고, ‘개인정보처리자’와 동일한 정도로 정보주체의 개인정보자기결정권을 보호할 책무가 있는 자라고 보아야 한다.

즉 구 개인정보 보호법 제59조 제2호에서는 ‘업무상 알게 된 개인정보’에 대해서만 금지하고 있고, 제1호, 제3호는 업무처리와 관련된 개인정보임을 명시하고 있지 않지만, 위에서 살펴본 바와 같이 위반행위의 주체, 금지의무의 대상, 처벌규정의 체계 등에 비추어 보면, 이러한 금지행위의 유형은 업무와 관련하여 또는 업무 수행 과정에서 개인정보 처리가 수반되면서 일어나는 다양한 형태의 침해행위를 몇 가지 유형으로 분류하여 규정하고 있는 것으로 봄이 타당하다.

결국 구 개인정보 보호법 제59조의 의무주체인 ‘개인정보를 처리하거나 처리하였던 자’는 단순히 개인정보를 처리하거나 처리하였던 모든 자를 의미하는 것이 아니라 ‘업무상’ 개인정보를 처리하거나 처리하였던 자를 말한다.

‘업무상 알게 된 개인정보’의 의미

대법원은 구 개인정보보호법 제59조 각 호의 금지행위의 객체가 되는 개인정보는 ‘개인정보를 처리하거나 처리하였던 자’가 ‘업무상’ 처리하거나 처리하였던 개인정보라고 밝히면서, 여기서 구 개인정보 보호법 제59조의 ‘개인정보를 처리하거나 처리하였던 자’의 ‘업무’는 정보주체들의 개인정보를 수집하여 처리하는 것을 주된 내용으로 하는 업무에 한정되지 않고, 개인정보의 수집·처리 외의 일반적인 업무를 주된 내용으로 하면서 그 업무와 밀접한 관련이 있는 부수적 업무로서 개인정보의 수집·처리가 이루어지는 경우도 포함하는 것이라고 판시하였다.

그러면서 사적 영역에서 처리하는 개인정보에 대한 누설, 제공, 유출 행위 등은 형사처벌의 대상으로 삼을 수 없고, 형벌법규는 엄격하게 해석되어야 하므로, 업무상 개인정보를 처리하였다는 것은 업무처리나 업무수행과 개인정보 처리 사이에 직접적이고 밀접한 인과관계가 있다는 의미로 새겨야 하고, 업무상 개인정보를 처리하였다는 사실은 범죄구성요건이므로 검사가 증명하여야 한다는 취지로 판시하였다.

[결론]

구 개인정보 보호법 제59조의 수범자에 관하여 ‘업무상’ 개인정보를 처리하거나 처리하였을 것의 요건이 필요하지 않다고 본다면, 개인들이 일상생활 전반에 걸쳐 업무와 무관하게 개인정보를 수집·이용·파기 등으로 처리하는 경우에도, 구 개인정보 보호법 제59조의 금지의무가 부과되고, 이를 위반하는 경우 형사처벌 대상이 되는 결과가 되어 매우 불합리하고 혼란스러운 상황이 발생할 수 있게 될 것이다.

또한 이 사건처럼 신형 휴대전화를 구입하면서 구형 휴대전화 단말기를 판매업자에게 무상으로 교부한 경우는 종종 있는 일인데, 그 구형 휴대전화 단말기 내에 저장되어 있는 개인정보에 대해서까지 개인정보보호법상의 개인정보처리자의 지위를 부여하는 것은 형사처벌의 대상을 지나치게 확대하는 것이라 할 것이다. 개인정보보호법상의 개인정보처리자의 지위를 엄격하게 보는 취지의 판례가 지극히 타당해 보인다.