업무상 알게 된 개인정보를 누설하면 몇 년인가 — 개인정보 보호법 제59조는 호마다 벌칙이 갈린다

입력 2026.09.17. 오전 10:08

요약 및 결론: 개인정보 보호법 제59조는 금지행위만 정하고, 형벌은 다른 조문이 받는다. 제59조 제2호(업무상 알게 된 개인정보 누설ㆍ무권한 제공)와 제3호(권한 없이 또는 권한을 초과한 이용ㆍ훼손ㆍ멸실ㆍ변경ㆍ위조ㆍ유출)는 제71조 제9호ㆍ제10호로 넘어가 **5년 이하의 징역 또는 5천만원 이하의 벌금**, 제59조 제1호(부정한 수단으로 취득하거나 동의를 받는 행위)는 제72조 제2호로 넘어가 **3년 이하의 징역 또는 3천만원 이하의 벌금**이다. 다만 제59조의 수범자는 "누구든지"가 아니라 `개인정보를 처리하거나 처리하였던 자`여서, 온라인에서 남의 정보를 본 모든 사람에게 자동으로 붙는 조문이 아니다.

"신상털이는 무조건 5년 이하 징역", "범칙금 5천만원" 같은 말로 요약하면, 개인정보 보호법 제59조의 문언은 그렇게 읽히지 않는다. 조문은 금지되는 행위를 세 갈래로 나누고, 그 세 갈래가 각각 다른 벌칙조문으로 간다. 대법원도 2025년\~2026년 사이 제59조 제2호의 '누설'과 정당행위, 개인정보처리자 개념, 제18조 제1항 위반죄와의 죄수관계를 잇따라 정리했다.

제59조는 누구에게 적용되나

제59조의 첫 줄은 개인정보를 처리하거나 처리하였던 자다. 개인정보 보호법에서 누구든지로 시작하는 조항과 문언이 다르다. 따라서 어떤 행위가 제59조 위반인지 따지기 전에, 그 정보가 법상 개인정보인지와 행위자가 그 정보를 처리하거나 처리하였던 자인지가 먼저 판단 대상이 된다.

여기서 ‘처리’는 넓다. 제2조 제2호는 처리를 “개인정보의 수집, 생성, 연계, 연동, 기록, 저장, 보유, 가공, 편집, 검색, 출력, 정정(訂正), 복구, 이용, 제공, 공개, 파기(破棄), 그 밖에 이와 유사한 행위”로 정의한다. 과거형(처리하였던 자)이 함께 쓰였으므로, 그 일을 그만둔 뒤라고 해서 문언상 당연히 벗어나지는 않는다.

‘개인정보처리자’와 제59조의 수범자는 같은 말이 아니다. 제2조 제5호의 개인정보처리자는 “업무를 목적으로 개인정보파일을 운용하기 위하여 스스로 또는 다른 사람을 통하여 개인정보를 처리하는 공공기관, 법인, 단체 및 개인 등”이다. 제59조는 그보다 넓은 처리하거나 처리하였던 자를 상대로 한다. 대법원 2026. 4. 16. 선고 2026도477 판결은 해킹 등 부정한 방법으로 개인정보를 취득하거나 불법 유통되는 개인정보를 취득한 뒤 이를 기초로 업무상 개인정보파일을 운용하기 위해 개인정보를 처리한 경우에도 ‘개인정보처리자’에 해당한다고 보았다(주문은 상고 기각).

세 가지 금지행위는 각각 어느 벌칙조문으로 가나

제59조는 항 없이 제1호~제3호로만 구성된다. 항이 0개이므로 “제59조 제1항”이라는 인용은 성립하지 않는다. 각 호가 받는 벌칙조문은 아래와 같이 갈린다.

제71조 제9호와 제72조 제2호에는 행위자 말고 받는 쪽도 들어 있다. 제71조 제9호는 누설ㆍ제공한 자와 함께 “그 사정을 알면서도 영리 또는 부정한 목적으로 개인정보를 제공받은 자”를, 제72조 제2호도 같은 형태의 문구를 두고 있다. 즉 건네준 사람만의 문제가 아니다.

5천만원은 과태료인가, 벌금인가

벌금이다. 제71조는 “다음 각 호의 어느 하나에 해당하는 자는 5년 이하의 징역 또는 5천만원 이하의 벌금에 처한다”로 시작하고, 제72조는 “3년 이하의 징역 또는 3천만원 이하의 벌금에 처한다”로 시작한다. 여기의 5천만원ㆍ3천만원은 벌금의 법정상한이지 범칙금이나 과태료가 아니다.

과태료를 정한 제75조에는 제59조를 인용하는 자리가 없다. 제59조 위반의 직접 제재는 제71조ㆍ제72조의 형벌이다. 따라서 “개인정보 누설은 과태료 5천만원”이라는 표현은 제재의 종류부터 조문과 다르다.

법정형이 징역 또는 벌금의 선택형이라는 점도 그대로 읽어야 한다. 선택형은 둘 중 하나를 고르는 구조이므로, “징역과 벌금을 함께 받는다”는 설명은 문언과 맞지 않는다. 다만 제74조의2는 별도로 “제70조부터 제73조까지의 어느 하나에 해당하는 죄를 지은 자가 해당 위반행위와 관련하여 취득한 금품이나 그 밖의 이익은 몰수할 수 있으며, 이를 몰수할 수 없을 때에는 그 가액을 추징할 수 있다”고 정하고, “이 경우 몰수 또는 추징은 다른 벌칙에 부가하여 과할 수 있다”고 덧붙인다. 어미가 할 수 있다ㆍ과할 수 있다이므로 재량이다.

실제 선고는 법정형만큼 나오나

제59조 위반 사건의 선고형 분포를 보여 주는 공식 통계나 양형기준 수치는 이 글의 확인 범위에서는 공표 자료 없음이다. 확인되는 것은 법정형의 상한(제71조 5년ㆍ5천만원, 제72조 3년ㆍ3천만원)과, 그것이 선택형이라는 점까지다. 구체적 사건의 선고 결과를 수치로 단정하지 않는 편이 문언에 맞다.

대신 조문 구조에서 읽히는 것은 있다. 제71조ㆍ제72조는 모두 상한만 정한 선택형이므로 실제 처분은 벌금형으로도, 징역형으로도 갈 수 있는 폭이 열려 있다. 그리고 최근 대법원 판결들은 형량이 아니라 구성요건에 해당하는지, 위법성이 조각되는지를 다투는 자리에서 결론이 갈렸다.

퇴사한 뒤에 제공해도 제59조 제2호인가

문언상 제59조는 처리하였던 자를 함께 적고 있으므로, 재직 중이 아니라는 사정만으로 조문 밖이 되지는 않는다. 제2호는 “업무상 알게 된 개인정보를 누설하거나 권한 없이 다른 사람이 이용하도록 제공하는 행위”를 금지하는데, 여기서 시점 요건이 붙은 것은 ‘알게 된’ 경위(업무상)이지 ‘제공한’ 시점이 아니다.

다만 자동으로 유죄가 된다는 뜻은 아니다. 해당 정보가 법상 개인정보인지, 업무상 알게 된 것인지, 권한이나 적법 근거가 있었는지가 사실별로 확인 대상이다. 대법원 2025. 10. 30. 선고 2024도19539 판결은 구 개인정보 보호법(2023. 3. 14. 법률 제19234호로 개정되기 전의 것) 제59조 제2호에서 금지하는 누설에 관하여 정보주체의 사전 동의가 있는 경우에는 같은 법 제71조 제5호로 처벌할 수 없다고 보아 원심판결을 파기하고 사건을 서울중앙지방법원에 환송했다. 같은 판결은 개인정보 보호법의 보호법익을 정보주체의 개인정보자기결정권으로 짚었다.

소송이나 고발에 증거로 낸 것도 누설인가

구성요건에 해당하더라도 형법 제20조의 정당행위로 위법성이 조각될 수 있다는 것이 최근 대법원의 판단이다. 대법원 2026. 2. 26. 선고 2025도13141 판결은, 재판과정에서 소송상 필요한 주장의 증명이나 범죄혐의에 대한 방어권 행사를 위하여 금융거래정보 또는 개인정보가 포함된 소송서류나 증거를 법원에 제출하는 경우 형법 제20조에 따라 위법성이 조각될 수 있다고 보았다. 해당 사건에서는 구 개인정보 보호법 제71조 제5호 위반죄의 구성요건에 해당하더라도 위법성이 조각될 소지가 충분하다고 하여 원심판결을 파기하고 사건을 서울중앙지방법원에 환송했다.

대법원 2025. 7. 18. 선고 2023도17590 판결도 같은 방향이다. 재판과정의 증거 제출뿐 아니라 고소ㆍ고발 또는 수사절차에서 범죄혐의의 소명이나 방어권 행사를 위하여 개인정보가 포함된 증거자료를 수사기관에 제출하는 경우가 사회상규에 위배되지 않는 행위에 해당할 수 있다고 보고, 정당행위가 아니라고 본 원심판단에 법리오해의 잘못이 있다고 하여 사건을 광주지방법원에 환송했다(구 개인정보 보호법(2016. 3. 29. 법률 제14107호로 개정되기 전의 것) 적용).

주의할 것은 두 판결 모두 ‘제출하면 언제나 괜찮다’는 면책 규정을 만든 것이 아니라는 점이다. 각 판결은 정당행위에 해당하는지를 판단하는 방법ㆍ기준을 제시하며 개별 사정을 종합하도록 했다. 자동 면책 조항은 조문에도 없다.

목적 외 이용과 제59조 제3호는 같은 죄인가

별개 구성요건이다. 제18조 제1항은 개인정보처리자가 수집 목적 범위를 초과해 이용하거나 제공 범위를 초과해 제3자에게 제공하는 것을 금지하고, 이를 위반하면 제71조 제2호가 적용된다. 제59조 제3호는 정당한 권한 없이 또는 허용된 권한을 초과하여 다른 사람의 개인정보를 이용ㆍ훼손ㆍ멸실ㆍ변경ㆍ위조 또는 유출하는 행위를 금지하고, 제71조 제10호가 적용된다.

대법원 2026. 4. 16. 선고 2026도477 판결은 개인정보 보호법 제71조 제2호ㆍ제18조 제1항 위반죄와 같은 법 제71조 제10호ㆍ제59조 제3호 위반죄 사이의 죄수관계를 상상적 경합 관계로 보았다. 두 조문이 서로를 흡수해 하나만 남는 구조가 아니라는 뜻이다.

회사도 함께 처벌되나

제74조 제2항이 양벌규정이다. 법인의 대표자나 법인 또는 개인의 대리인, 사용인, 그 밖의 종업원이 그 법인 또는 개인의 업무에 관하여 제71조부터 제73조까지의 어느 하나에 해당하는 위반행위를 하면, 행위자를 벌하는 외에 그 법인 또는 개인에게도 해당 조문의 벌금형을 과(科)한다. 제59조 제1호~제3호 위반이 제71조ㆍ제72조에 해당하면 이 범위에 든다.

다만 단서가 있다. “법인 또는 개인이 그 위반행위를 방지하기 위하여 해당 업무에 관하여 상당한 주의와 감독을 게을리하지 아니한 경우에는 그러하지 아니하다.” 양벌규정이 자동 부과 조항은 아니라는 뜻이다.

2026년 개정으로 제59조가 바뀌었나

바뀌지 않았다. 개인정보 보호법 현행본 상단 표시는 [시행 2026. 9. 11.] [법률 제21445호, 2026. 3. 10., 일부개정]이지만, 이 공포번호는 법률 전체의 가장 최근 공포번호일 뿐이다. 제59조에 붙은 연혁 표기는 여전히 <개정 2023. 3. 14.>이고, 현행 문언을 만든 개정법률은 **법률 제19234호(2023. 3. 14.)**다. 그 개정에서 제3호에 이용,이 추가됐다.

시행 시점도 본칙대로다. 법률 제19234호 부칙 제1조는 “이 법은 공포 후 6개월이 경과한 날부터 시행한다”고 정하고, 단서에서 제11조의2ㆍ제31조ㆍ제35조의3ㆍ제37조의2ㆍ제39조의7ㆍ제60조 제5호ㆍ제75조 일부 등은 공포 후 1년, 제35조의2는 대통령령으로 정하는 날로 늦췄다. 제59조 개정규정은 그 열거에 없다. 따라서 제59조 개정규정은 본칙에 따라 2023. 9. 15.부터 시행됐다.

제58조로 빠져나가는 길도 문언상 없다. 제58조 제1항의 적용 제외 범위는 제3장~제8장이고 제59조는 제9장에 있어 그 제외 대상이 아니다.

일반 정보이며 법률 자문이 아닙니다 — 콘텐츠 원칙 보기

본 콘텐츠는 법률브리프 에디터가 작성 및 검수하였으며, 일부는 AI로 작성되었습니다.