[판결]수능 감독관, 개인정보 제공받는 자 아냐

대법원, "수능 감독관은 개인정보 보호법상 ‘개인정보 제공받은 자’ 아니다"

- 개인정보 보호법 위반 혐의로 기소된 교사 사건, 원심 파기환송 -

대법원이 대학수학능력시험(수능) 감독관으로 위촉된 교사가 수험생의 개인정보를 무단으로 이용한 혐의(개인정보 보호법 위반)로 기소된 사건에서, 해당 교사는 ‘개인정보 제공받은 자’에 해당하지 않는다며 원심을 파기하고 사건을 환송했다.

이번 판결은 개인정보 보호법상 ‘개인정보 제공받은 자’의 범위를 명확히 하면서, 기관의 지휘·감독을 받아 업무 수행 중 개인정보를 취급한 사람은 해당 조항의 적용 대상이 아니라는 점을 확인한 것으로 평가된다.

◇ 사건 개요 ◇

피고인은 공립학교 교사로서 교육청으로부터 대학수학능력시험 감독관으로 위촉되었다.

시험 감독 업무 수행을 위해 교육청으로부터 수험생의 개인정보(성명, 주민등록번호, 연락처, 주소 등이 포함된 응시원서)를 제공받아 관리했다.

그러나 피고인은 업무 목적과 무관하게 응시원서를 통해 알게 된 수험생의 연락처로 “사실 ○○씨가 맘에 들어서요” 등의 메시지를 발송했다.

이에 검찰은 피고인이 개인정보 보호법 제19조(목적 외 이용·제공 금지)를 위반했다며 기소했다.

◇ 원심 판결: 유죄 판단

원심(하급심 재판부)은 다음과 같은 이유로 피고인이 개인정보 보호법을 위반했다고 판단했다.

피고인은 교육청(개인정보처리자)으로부터 수험생들의 개인정보(연락처 등)를 ‘제공받은 자’에 해당한다.

개인정보 제공받은 자는 원래 목적 외의 용도로 개인정보를 이용해서는 안 되지만, 피고인은 이를 무단으로 이용했다.

따라서 피고인은 개인정보 보호법 제19조 및 제71조(처벌 규정)를 위반한 것으로 인정된다.

이에 따라 피고인은 개인정보 보호법 위반 혐의로 처벌 대상이 된다고 판단되었다.

◇ 대법원의 판단: 원심 판결 파기, 사건 환송

대법원은 개인정보 보호법 제19조 및 제71조의 적용 범위를 엄격히 해석하며, 피고인은 ‘개인정보 제공받은 자’가 아니라 ‘개인정보취급자’이므로 해당 조항의 적용 대상이 아니라고 보아 원심을 파기하고 사건을 환송했다.

1. 개인정보 보호법상 ‘개인정보 제공받은 자’의 정의

개인정보 보호법 제19조는 ‘개인정보처리자로부터 개인정보를 제공받은 자’는 원래의 목적 외 용도로 개인정보를 사용하거나 제3자에게 제공할 수 없다고 규정하고 있다.

그러나 법에서 말하는 ‘개인정보 제공받은 자’는 개인정보처리자로부터 개인정보의 지배·관리권을 독립적으로 이전받아 이를 활용할 수 있는 자를 의미한다.

즉, 개인정보처리자의 지휘·감독을 받으면서 개인정보를 단순히 업무 수행을 위해 사용하는 개인정보취급자는 포함되지 않는다.

2. 개인정보취급자는 ‘개인정보 제공받은 자’가 아니다

개인정보처리자의 업무 수행을 위해 내부적으로 개인정보를 이용하는 것은 ‘제3자 제공’이 아니다.

개인정보 보호법에 따르면, 기관(교육청)의 지휘·감독 아래에서 개인정보를 취급하는 사람(예: 교사, 직원, 공무원 등)은 개인정보취급자이지 ‘개인정보 제공받은 자’가 아니다.

즉, 피고인은 개인정보 보호법상 ‘개인정보 제공받은 자’가 아니라 단순히 개인정보를 취급하는 자로 보아야 한다.

3. 개인정보 보호법 위반 혐의가 적용될 수 없는 이유

수능 감독관인 피고인은 교육청의 지휘·감독을 받아 개인정보를 처리하는 업무를 담당했다.

이 과정에서 개인정보를 이용한 것은 ‘기관 내부 업무’에 해당하며, 이는 ‘개인정보 제공’이 아니라 단순한 업무 수행으로 봐야 한다.

따라서 피고인은 개인정보 보호법 제19조에서 정한 ‘개인정보 제공받은 자’에 해당하지 않으므로, 해당 조항을 근거로 처벌할 수 없다.

◇ 판결의 의미 및 시사점

개인정보 보호법에서 ‘개인정보 제공받은 자’와 ‘개인정보취급자’의 구분을 명확히 함 기관(개인정보처리자)의 지휘·감독을 받는 직원·공무원·파견근로자 등은 개인정보취급자에 해당하며, 개인정보 제공받은 자로 볼 수 없다. 이는 개인정보 보호법 적용 범위를 엄격히 해석해야 한다는 원칙을 다시 확인한 것이다.

개인정보처리자 내부에서 업무 수행을 위해 개인정보를 사용하는 것은 ‘제3자 제공’이 아니다. 단순히 업무 목적으로 개인정보를 전달받아 사용하는 것은 ‘제3자 제공’이 아니므로, 개인정보 보호법 제19조의 적용 대상이 아니다.

개인정보 보호법 위반 사건에서 피고인의 역할을 면밀히 검토해야 함 기관 내부 업무 수행자가 개인정보 보호법 위반 혐의로 기소될 경우, 해당 인물이 ‘개인정보 제공받은 자’인지 ‘개인정보취급자’인지 명확히 따져야 한다. 개인정보취급자가 내부 업무 수행 과정에서 개인정보를 사용한 경우라면 ‘개인정보 제공’으로 볼 수 없어 처벌 대상이 되기 어렵다.

◇ 결론: 원심 판결 파기, 사건 환송

대법원은 "피고인은 개인정보 보호법 제19조에서 규정하는 ‘개인정보 제공받은 자’가 아니라, 개인정보처리자인 교육청의 지휘·감독 아래 개인정보를 취급한 개인정보취급자에 해당한다"며, 개인정보 보호법 위반 혐의를 인정한 원심 판결을 파기하고 사건을 환송했다.

이번 판결은 개인정보 보호법의 적용 범위를 엄격히 해석하여 기관 내부의 개인정보 취급과 ‘제3자 제공’의 차이를 명확히 한 중요한 판례로 평가된다.