정보주체의 동의 없이 유통되는 개인정보를 매입하는 행위가 「개인정보 보호법[대법원2024.6.17선고2019도3402판결

[허철구]

대법원 2024. 6. 17. 선고 2019도3402 판결

[개인정보보호법위반(일부예비적죄명:정보통신망이용촉진및정보보호등에관한법률위반)]〈정보주체의 동의 없이 유통되는 개인정보를 매입하는 행위가 「개인정보 보호법」 제72조 제2호 전단의 ‘거짓이나 그 밖의 부정한 수단이나 방법으로 개인정보를 취득한 행위’에 해당하는지 여부가 문제된 사건〉[공2024하,1143]

【판시사항】

[1] 구 개인정보 보호법 제72조 제2호 전단에서 규정한 ‘거짓이나 그 밖의 부정한 수단이나 방법’의 의미 / 이때 개인정보 취득 과정에서 사용하는 ‘거짓이나 그 밖의 부정한 수단이나 방법’에는 정보주체나 개인정보 보유자의 의사결정에 영향을 미칠 수 있는 적극적 또는 소극적 행위는 물론 해킹과 같이 정보주체 등의 의사결정과 무관하게 그 자체로 위계 기타 사회통념상 부정한 방법이라고 인정되는 행위도 포함되는지 여부(적극)

[2] 개인정보가 정보주체의 동의 등에 기하지 아니한 채 유통되고 있는 사정을 알면서 개인정보를 제공받은 것만으로 구 개인정보 보호법 제72조 제2호 전단의 ‘거짓이나 그 밖의 부정한 수단이나 방법’을 사용하여 개인정보를 취득한 경우에 해당하는지 여부(소극) / 개인정보를 제공받은 사람이 ‘개인정보를 처리하거나 처리하였던 자가 거짓이나 그 밖의 부정한 수단이나 방법을 사용하여 개인정보를 취득하거나 개인정보 처리에 관한 동의를 받았다는 사정’을 알면서도 영리 또는 부정한 목적으로 개인정보를 제공받은 경우, 같은 법 제72조 제2호 후단에 해당할 수 있는지 여부(적극)

【판결요지】

[1] 구 개인정보 보호법(2020. 2. 4. 법률 제16930호로 개정되기 전의 것, 이하 같다) 제59조 제1호는 ‘개인정보를 처리하거나 처리하였던 자는 거짓이나 그 밖의 부정한 수단이나 방법으로 개인정보를 취득하거나 개인정보 처리에 관한 동의를 받는 행위를 하여서는 아니 된다.’고 규정하고, 제72조 제2호는 ‘제59조 제1호를 위반하여 거짓이나 그 밖의 부정한 수단이나 방법으로 개인정보를 취득하거나 개인정보 처리에 관한 동의를 받는 행위를 한 자 및 그 사정을 알면서도 영리 또는 부정한 목적으로 개인정보를 제공받은 자’를 처벌하고 있다.

구 개인정보 보호법 제72조 제2호 전단에서 규정한 ‘거짓이나 그 밖의 부정한 수단이나 방법’이란 개인정보를 취득하거나 그 처리에 관한 동의를 받기 위하여 사용하는 위계 기타 사회통념상 부정한 방법이라고 인정되는 일체의 행위를 말한다. 그중 개인정보 취득 과정에서 사용하는 ‘거짓이나 그 밖의 부정한 수단이나 방법’에는 정보주체나 개인정보 보유자의 의사결정에 영향을 미칠 수 있는 적극적 또는 소극적 행위는 물론 해킹과 같이 정보주체 등의 의사결정과 무관하게 그 자체로 위계 기타 사회통념상 부정한 방법이라고 인정되는 행위도 포함된다.

[2] 구 개인정보 보호법(2020. 2. 4. 법률 제16930호로 개정되기 전의 것, 이하 같다) 제72조 제2호가 전단과 후단에서 ‘취득한 자’와 ‘제공받은 자’를 구별하여 정하고 있으므로 개인정보가 정보주체의 동의 등에 기하지 아니한 채 유통되고 있는 사정을 알면서 개인정보를 제공받은 것만으로는 구 개인정보 보호법 제72조 제2호 전단의 ‘거짓이나 그 밖의 부정한 수단이나 방법’을 사용하여 개인정보를 취득하였다고 보기는 어렵다. 다만 개인정보를 제공받은 사람이 ‘개인정보를 처리하거나 처리하였던 자가 거짓이나 그 밖의 부정한 수단이나 방법을 사용하여 개인정보를 취득하거나 개인정보 처리에 관한 동의를 받았다는 사정’을 알면서도 영리 또는 부정한 목적으로 개인정보를 제공받은 경우에는 구 개인정보 보호법 제72조 제2호 후단에 해당될 수 있다.

【참조조문】

[1] 구 개인정보 보호법(2020. 2. 4. 법률 제16930호로 개정되기 전의 것) 제59조 제1호, 제72조 제2호 [2] 구 개인정보 보호법(2020. 2. 4. 법률 제16930호로 개정되기 전의 것) 제59조 제1호, 제72조 제2호

【참조판례】

[1] 대법원 2017. 4. 7. 선고 2016도13263 판결(공2017상, 1042)

【전 문】

【피 고 인】 피고인 1 외 2인

【상 고 인】 검사

【원심판결】 서울중앙지법 2019. 2. 14. 선고 2018노678 판결

【주 문】

상고를 모두 기각한다.

【이 유】

상고이유를 판단한다.

1. 피고인 1이 개인정보를 제공받은 행위, 피고인 2가 공소외 1로부터, 피고인 3이 공소외 2로부터 각 개인정보를 제공받은 행위에 대한 주위적 공소사실 및 제1예비적 공소사실에 관하여

원심은 판시와 같은 이유로 이 부분 공소사실에 대하여 범죄의 증명이 없다고 보아 무죄를 선고하였다.

원심판결 이유를 관련 법리와 기록에 비추어 살펴보면, 원심의 판단에 논리와 경험의 법칙을 위반하여 자유심증주의의 한계를 벗어나거나, 구 「개인정보 보호법」(2020. 2. 4. 법률 제16930호로 개정되기 전의 것, 이하 ‘구 개인정보 보호법’이라 한다) 제71조 제1호, 제17조 제1항 제1호, 제2호, 구 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」(2020. 2. 4. 법률 제16955호로 개정되기 전의 것) 제71조 제1항 제6호, 제28조의2 제2항에 관한 법리를 오해한 잘못이 없다.

2. 피고인 1이 개인정보를 제공받은 행위, 피고인 2가 공소외 1로부터, 피고인 3이 공소외 2로부터 각 개인정보를 제공받은 행위에 대한 제2예비적 공소사실에 관하여

가. 이 부분 공소사실의 요지

개인정보를 처리하거나 처리하였던 자는 거짓이나 그 밖의 부정한 수단이나 방법으로 개인정보를 취득하거나 개인정보 처리에 관한 동의를 받는 행위를 하여서는 아니 되고, 누구든지 그 사정을 알면서도 영리 또는 부정한 목적으로 개인정보를 제공받아서는 아니 된다.

피고인들은 인터넷 서비스 가입만기가 임박한 고객들에 대한 개인정보를 제공받아 이들을 상대로 전화 연락하여 다른 인터넷 서비스 사업에 대한 가입을 권유하거나 홍보 또는 다른 사업자에게 개인정보를 양도하기로 마음먹고, 피고인 1은 공소외 3 및 성명불상자로부터, 피고인 2는 공소외 1로부터, 피고인 3은 공소외 2로부터 각각 인터넷 서비스 가입자의 동의를 받지 아니하고 개인정보를 제공받아 영리 또는 부정한 목적으로 개인정보를 제공받았다.

나. 원심의 판단

원심은 다음과 같은 이유로 위 공소사실에 대하여 무죄로 판단하였다.

1) 구 개인정보 보호법 제72조 제2호는 개인정보를 처리하거나 처리하였던 자가 정보주체로부터 개인정보를 취득하거나 그 처리에 관한 동의를 받았지만, 그 과정에서 거짓이나 그 밖의 부정한 수단이나 방법을 사용한 경우, 즉 위계 기타 사회통념상 부정한 방법이라고 인정되는 것으로서 개인정보 취득 또는 그 처리에 동의할지에 관한 정보주체의 의사결정에 영향을 미칠 수 있는 적극적 또는 소극적 행위를 한 경우를 처벌하는 규정이다. 따라서 행위자가 정보주체로부터 개인정보를 취득하거나 그 처리에 관한 동의를 받은 사실 자체가 없는 경우에는 위 조항에 의하여 처벌할 수 없다.

2) 그런데 피고인들은 공소외 3 및 성명불상자나 공소외 1 또는 공소외 2(이하 ‘공소외 3 등’이라 한다)로부터 각각 개인정보를 제공받았을 뿐 정보주체들로부터 이를 취득하거나 그 처리에 관한 동의를 받은 사실을 인정할 증거가 없으므로, 피고인들의 위 각 행위는 구 개인정보 보호법 제72조 제2호의 죄를 구성한다고 볼 수 없다.

다. 대법원의 판단

1) 구 개인정보 보호법 제59조 제1호는 ‘개인정보를 처리하거나 처리하였던 자는 거짓이나 그 밖의 부정한 수단이나 방법으로 개인정보를 취득하거나 개인정보 처리에 관한 동의를 받는 행위를 하여서는 아니 된다.’고 규정하고, 제72조 제2호는 ‘제59조 제1호를 위반하여 거짓이나 그 밖의 부정한 수단이나 방법으로 개인정보를 취득하거나 개인정보 처리에 관한 동의를 받는 행위를 한 자 및 그 사정을 알면서도 영리 또는 부정한 목적으로 개인정보를 제공받은 자’를 처벌하고 있다.

구 개인정보 보호법 제72조 제2호 전단에서 규정한 ‘거짓이나 그 밖의 부정한 수단이나 방법’이란 개인정보를 취득하거나 그 처리에 관한 동의를 받기 위하여 사용하는 위계 기타 사회통념상 부정한 방법이라고 인정되는 일체의 행위를 말한다(대법원 2017. 4. 7. 선고 2016도13263 판결 등 참조). 그중 개인정보 취득 과정에서 사용하는 ‘거짓이나 그 밖의 부정한 수단이나 방법’에는 정보주체나 개인정보 보유자의 의사결정에 영향을 미칠 수 있는 적극적 또는 소극적 행위는 물론 해킹과 같이 정보주체 등의 의사결정과 무관하게 그 자체로 위계 기타 사회통념상 부정한 방법이라고 인정되는 행위도 포함된다.

한편 구 개인정보 보호법 제72조 제2호가 전단과 후단에서 ‘취득한 자’와 ‘제공받은 자’를 구별하여 정하고 있으므로 개인정보가 정보주체의 동의 등에 기하지 아니한 채 유통되고 있는 사정을 알면서 개인정보를 제공받은 것만으로는 구 개인정보 보호법 제72조 제2호 전단의 ‘거짓이나 그 밖의 부정한 수단이나 방법’을 사용하여 개인정보를 취득하였다고 보기는 어렵다. 다만 개인정보를 제공받은 사람이 ‘개인정보를 처리하거나 처리하였던 자가 거짓이나 그 밖의 부정한 수단이나 방법을 사용하여 개인정보를 취득하거나 개인정보 처리에 관한 동의를 받았다는 사정’을 알면서도 영리 또는 부정한 목적으로 개인정보를 제공받은 경우에는 구 개인정보 보호법 제72조 제2호 후단에 해당될 수 있다.

2) 원심판결 이유와 기록에 의하면, 피고인들이 텔레마케팅 업무 등을 위해 개인정보 판매자인 공소외 3 등으로부터 대량의 개인정보를 그 출처를 확인하지 않은 채 수회에 걸쳐 유상으로 매입한 사실을 알 수 있으나, 위와 같은 사실만으로는 피고인들이 개인정보를 취득하기 위하여 위계 기타 사회통념상 부정한 방법을 사용하여 개인정보 판매자인 공소외 3 등의 의사결정에 영향을 미쳤다거나 해킹 등 그 자체로 위계 기타 사회통념상 부정하다고 볼 수 있는 방법을 사용하였다고 보기는 어려우므로, 피고인들이 구 개인정보 보호법 제72조 제2호 전단에서 정한 ‘거짓 그 밖의 부정한 수단이나 방법으로 개인정보를 취득’하였다고 보기 어렵다.

나아가 피고인들이, 매입한 개인정보가 그 전 단계에서 ‘개인정보를 처리하거나 처리하였던 자가 거짓이나 그 밖의 부정한 수단이나 방법을 사용하여 취득한 개인정보이거나 그와 같은 방법을 사용하여 개인정보 처리에 관한 동의를 받은 개인정보’인 사정을 알았다고도 보기 어려우므로 피고인들에 대하여 구 개인정보 보호법 제72조 제2호 후단이 적용될 수도 없다. 구 개인정보 보호법 제72조 제2호의 거짓이나 그 밖의 부정한 수단이나 방법은 단순히 정보주체의 동의 없이 개인정보를 얻는 것과는 구별되는 행위로서 위계 기타 사회통념상 부정한 방법에 이르는 행위여야 하는데 피고인들이 자신들의 개인정보 매입에 대하여 비록 정보주체의 동의가 없는 것을 알고는 있었으나 개인정보의 출처나 그 유통 경위를 알지 못하였다면 구체적으로 위와 같은 사정을 알았다고 보기 어렵기 때문이다.

3) 따라서 원심이 이와 달리 피고인들이 정보주체들로부터 개인정보를 취득하거나 그 처리에 관한 동의를 받은 사실을 인정할 증거가 없다는 이유만으로 구 개인정보 보호법 제72조 제2호의 죄가 성립하지 않는다고 판단한 것은 잘못이지만, 원심이 이 부분 공소사실에 대하여 범죄의 증명이 없다고 보아 무죄로 판단한 것은 정당하므로, 원심의 위와 같은 잘못은 판결 결과에 영향이 없다.

3. 나머지 부분에 관하여

검사는 원심판결 전부에 대하여 상고하였으나, 유죄 부분에 대하여는 상고장이나 상고이유서에 이에 대한 불복이유의 기재가 없다.

4. 결론

그러므로 상고를 모두 기각하기로 하여, 관여 대법관의 일치된 의견으로 주문과 같이 판결한다.

대법관   오석준(재판장) 노정희(주심) 이흥구 엄상필