중고폰 판매 개인정보보호법 위반 아냐
‘업무상’ 개인정보 처리 여부와 형사처벌의 경계 ― 대법원 2023도5226 판결을 중심으로
개인정보 보호법 위반죄의 성립을 위한 구성요건 해석의 엄격성
최근 대법원은 ‘개인정보 보호법 위반’과 관련하여 개인정보를 ‘업무상’ 처리하였다는 사실이 형사처벌의 전제가 된다는 점을 다시금 명확히 하였다. 이는 개인정보 보호에 대한 사회적 관심과 형벌의 실효성이라는 시대적 요청 속에서도, 형벌법규는 엄격하게 해석되어야 한다는 법치주의의 원칙을 재확인한 결정으로 평가된다. 본 칼럼에서는 대법원 2023도5226 판결을 중심으로 개인정보보호법 제59조 제2호의 ‘업무상 알게 된 개인정보’의 의미, 그리고 그에 따른 범죄 구성요건과 입증책임 문제를 짚어본다.
Ⅰ. 사건 개요
이 사건은 휴대전화 기기 판매업자인 피고인 1이, 자신에게 중고폰을 무상으로 넘긴 고객 A의 단말기를 경찰관들(피고인 2, 3)의 요구에 따라 제공한 사안이다. 이에 대해 검사는 피고인 1이 ‘업무상’ 취득한 개인정보를 제3자에게 누설하였고, 이를 제공받은 경찰관들도 ‘부정한 목적’으로 개인정보를 제공받았다는 혐의로 개인정보보호법 위반으로 기소하였다.
그러나 원심은, 피고인 1이 중고 단말기를 업무상 개인정보와 관련해 보관하거나 취득했다고 보기 어렵고, 따라서 개인정보보호법 제59조 위반이 성립하지 않는다고 판단하였다. 검사는 이에 상고하였으나, 대법원은 원심의 판단을 그대로 수긍하여 상고를 기각하였다.
Ⅱ. 쟁점: ‘개인정보를 처리하거나 처리하였던 자’의 의미
개인정보보호법 제59조는 ‘개인정보를 처리하거나 처리하였던 자’가 ‘업무상 알게 된 개인정보’를 누설하거나 제3자에게 제공하는 행위를 금지한다. 본 판결의 핵심은 이 조항의 ‘업무상’이라는 문언의 해석이다.
대법원은 이 조항의 ‘개인정보를 처리하거나 처리하였던 자’를 단순히 개인정보를 취급한 자가 아니라, “업무상” 개인정보를 취급하거나 처리하였던 자로 한정하였다. 즉, ‘업무상’이란 개념은 단순한 부수적 언급이 아닌 범죄 성립의 본질적 요건이라는 것이다. 이를 통해 대법원은 형사처벌 대상이 될 수 있는 개인정보처리자의 범위를 명확히 제한한 것이다.
Ⅲ. 업무상 개인정보 처리의 판단기준
대법원은 구체적으로 다음과 같은 논거를 들어 ‘업무상’ 요건을 강조하였다.
입법 취지와 금지행위의 구조
제59조는 제1호에서 거짓이나 부정한 수단에 의한 동의 취득, 제2호에서 ‘업무상’ 알게 된 개인정보의 누설, 제3호에서 정당한 권한 없는 개인정보 유출 등을 금지하고 있다. 이들 조항은 모두 개인정보처리가 ‘업무의 일부로서’ 수반되는 상황을 전제로 한다.
처벌규정의 체계 해석
제71조, 제72조의 처벌규정을 보면, ‘개인정보를 처리하거나 처리하였던 자’만이 형사처벌의 대상이 된다. 단순한 일상적 처리자나 일반인은 제외된다. 이는 개인정보보호법이 업무상 개인정보 처리에 수반된 책임을 강조한 법률이라는 점을 반영한다.
생활 전반의 일반행위와의 구별 필요성
만약 ‘업무상’이라는 요건을 배제할 경우, 일반인이 사적 관계에서 알게 된 개인정보를 누설한 경우도 형사처벌 대상이 되어 과잉처벌로 이어질 수 있다. 이는 형벌법규 해석의 기본 원칙인 엄격해석에 반한다.
Ⅳ. 본건에 대한 적용과 판단
이 사건에서 피고인 1은 중고 휴대폰을 고객 A로부터 무상으로 양도받은 후 단순 보관 중이었다. 당시 단말기에 저장된 정보는 피고인의 주된 영업행위인 휴대폰 판매와 직접적인 관련이 없었다. 즉, 피고인의 ‘업무상’ 처리의 일환으로 취득한 개인정보라고 보기 어려웠다.
원심은 이러한 사정을 바탕으로 피고인이 업무상 개인정보를 처리한 자에 해당하지 않으며, 그에 따라 개인정보 누설죄의 주체가 될 수 없다고 판단하였다. 대법원도 이에 동의하며, 해당 개인정보가 ‘업무상’ 취득된 것이라는 인과관계가 증명되지 않았다는 이유로 공소사실을 무죄로 확정하였다.
Ⅴ. 개인정보 보호법 해석의 시사점
이번 판결은 개인정보 보호에 대한 과도한 형사처벌의 확장을 경계한 결정으로 해석된다. 개인정보보호는 오늘날 민주주의와 정보사회의 핵심 가치이나, 이와 같은 보호 역시 법적 구성요건에 근거해야 한다. 특히 형사처벌이 수반되는 영역에서는 그 요건이 엄격히 해석되어야 한다는 법 원칙이 다시 한 번 확인된 것이다.
대법원은 본 판결을 통해 “업무상”이라는 요건의 해석을 명확히 하였을 뿐 아니라, 그 입증책임 역시 검사에게 있음을 분명히 하였다. 즉, 수사기관이 단순한 개인정보의 이동이나 보관을 근거로 처벌을 시도할 경우, 반드시 해당 행위가 ‘업무상’ 개인정보 처리에 해당하는지를 구체적이고 실질적으로 증명해야 한다.
Ⅵ. 결론
이 사건은 일견 경미한 사건으로 보일 수 있으나, 개인정보보호법의 해석과 적용에 있어 중요한 법리를 명확히 한 판례로서 큰 의미가 있다. 무엇보다도 이 판결은 형벌법규 해석의 기본 원칙, 즉 명확성의 원칙과 엄격해석의 원칙을 일관되게 유지하였다는 점에서 그 법적 의의가 크다.
앞으로도 개인정보와 관련한 형사사건에서 검사는 ‘업무상’ 개인정보 처리라는 구성요건을 입증하기 위한 충분한 자료와 논리를 제시하여야 할 것이며, 사적 영역에서의 개인정보 취급은 형사처벌의 대상이 아니라는 점도 분명히 유의해야 한다.
개인정보 보호는 시대적 요청이지만, 법치주의에 따른 합리적 법 해석은 그에 못지않게 중요하다. 법은 감정이 아닌 이성에 따라 집행되어야 하며, 그 기준은 오로지 법문과 판례에 따라야 한다. 이 판결은 그 당위를 다시 한 번 강조하고 있다.
