개인정보 보호법 금지행위 조항은 '누구든지'로 시작하지 않는다…호마다 벌칙 갈려
수범자는 ‘개인정보를 처리하거나 처리하였던 자’…제1호는 3년 이하 징역 또는 3천만원 이하 벌금, 제2호ㆍ제3호는 5년 이하 징역 또는 5천만원 이하 벌금
개인정보 보호법이 정한 금지행위 조항은 개인정보를 처리하거나 처리하였던 자를 수범자로 삼고, 어느 호를 위반했는지에 따라 법정형이 갈린다.
개인정보 보호법 제59조는 항 없이 세 개의 호로만 이뤄져 있다. 조문은 “개인정보를 처리하거나 처리하였던 자는 다음 각 호의 어느 하나에 해당하는 행위를 하여서는 아니 된다”고 정한다.
제1호는 거짓이나 그 밖의 부정한 수단이나 방법으로 개인정보를 취득하거나 처리에 관한 동의를 받는 행위다. 이 행위는 제72조 제2호에 따라 3년 이하의 징역 또는 3천만원 이하의 벌금에 처해진다.
제2호는 업무상 알게 된 개인정보를 누설하거나 권한 없이 다른 사람이 이용하도록 제공하는 행위로, 제71조 제9호가 5년 이하의 징역 또는 5천만원 이하의 벌금을 정하고 있다.
제3호는 정당한 권한 없이 또는 허용된 권한을 초과해 다른 사람의 개인정보를 이용, 훼손, 멸실, 변경, 위조 또는 유출하는 행위이며, 제71조 제10호가 제2호와 같은 법정형을 정한다.
세 호의 법정형은 모두 징역 또는 벌금의 선택형이다. 조문에 적힌 5천만원과 3천만원은 벌금의 법정 상한이고, 과태료를 정한 제75조에는 제59조를 인용하는 호가 없다.
제59조는 ‘누구든지’로 시작하는 조항이 아니다. 그래서 문제 된 정보가 법이 말하는 개인정보인지, 행위자가 그 정보를 처리하거나 처리하였던 자인지가 먼저 판단 대상이 된다.
같은 법 제2조 제2호는 처리를 수집, 생성, 연계, 연동, 기록, 저장, 보유, 가공, 편집, 검색, 출력, 정정, 복구, 이용, 제공, 공개, 파기와 그 밖에 이와 유사한 행위로 정의한다.
제2조 제5호가 정한 개인정보처리자는 업무를 목적으로 개인정보파일을 운용하기 위해 개인정보를 처리하는 공공기관, 법인, 단체 및 개인 등이다. 제59조의 수범자 표현과 이 정의는 문언이 서로 다르다.
제59조의 현행 문언은 2023년 3월 14일 공포된 법률 제19234호가 만들었다. 이 개정규정은 부칙 제1조 단서가 시행일을 따로 정한 대상에 들어 있지 않아, 공포 후 6개월이 지난 2023년 9월 15일부터 시행됐다.
현행법 상단에 표시된 법률 제21445호는 2026년 3월 10일 공포돼 같은 해 9월 11일 시행됐으나 제59조를 고치지 않았다. 조문에 붙은 개정 표시도 2023년 3월 14일 그대로다.
제58조 제1항이 정한 적용 일부 제외의 범위는 제3장부터 제8장까지여서, 제9장에 놓인 제59조는 그 범위에 들어가지 않는다.
제74조 제2항은 법인의 대표자나 대리인, 사용인, 그 밖의 종업원이 업무에 관해 제71조부터 제73조까지의 위반행위를 하면 행위자를 벌하는 외에 법인 또는 개인에게도 해당 조문의 벌금형을 과하도록 하고 있다.
다만 법인 또는 개인이 위반행위를 막기 위해 해당 업무에 관해 상당한 주의와 감독을 게을리하지 않은 경우는 같은 항 단서로 제외된다.
제74조의2는 제70조부터 제73조까지의 죄를 지은 자가 위반행위와 관련해 취득한 금품이나 이익을 몰수할 수 있고, 몰수할 수 없을 때는 그 가액을 추징할 수 있다고 정한다. 조문의 어미는 모두 재량 형식이다.
대법원은 지난 4월 16일 선고한 2026도477 판결에서 해킹 등 부정한 방법으로 개인정보를 취득하거나 불법 유통되는 개인정보를 취득한 뒤 이를 기초로 업무상 개인정보파일을 운용하기 위해 개인정보를 처리한 경우에도 개인정보처리자에 해당한다고 판단했다.
대법원은 이 판결에서 제71조 제2호ㆍ제18조 제1항 위반죄와 제71조 제10호ㆍ제59조 제3호 위반죄의 죄수관계를 상상적 경합으로 봤다. 주문은 상고 기각이다.
누설을 다룬 판결도 있다. 대법원은 지난해 10월 30일 선고한 2024도19539 판결에서 구 개인정보 보호법 제59조 제2호가 금지하는 누설에 관해 정보주체의 사전 동의가 있으면 같은 법 제71조 제5호로 처벌할 수 없다고 판단하고, 원심판결을 파기해 사건을 서울중앙지방법원으로 돌려보냈다.
이 판결은 2023년 3월 14일 법률 제19234호로 개정되기 전의 구법을 적용한 사건이다. 누설 관련 벌칙의 조문 번호가 현행법과 다른 이유다.
지난 2월 26일 선고된 2025도13141 판결과 지난해 7월 18일 선고된 2023도17590 판결은 소송상 주장의 증명이나 방어권 행사를 위해 개인정보가 담긴 서류ㆍ증거를 법원이나 수사기관에 제출한 행위에 대해 형법 제20조에 따라 위법성이 조각될 수 있다고 봤다.
두 판결 모두 원심판결을 파기하고 사건을 각각 서울중앙지방법원과 광주지방법원으로 돌려보냈다. 앞의 사건은 2023년 3월 14일 법률 제19234호로, 뒤의 사건은 2016년 3월 29일 법률 제14107호로 각각 개정되기 전의 구법이 적용됐다.
다만 위 판결들은 개별 사정을 종합해 정당행위 해당 여부와 처벌 가능성을 가린 사례이고, 자료를 제출하거나 동의를 받기만 하면 언제나 허용된다는 기준을 세운 것은 아니다.
참고 법령
개인정보 보호법 제2조 제1호ㆍ제2호ㆍ제5호(정의), 제18조 제1항ㆍ제2항(개인정보의 목적 외 이용ㆍ제공 제한), 제58조 제1항(적용의 일부 제외), 제59조 제1호부터 제3호까지(금지행위), 제71조 제9호ㆍ제10호(벌칙), 제72조 제2호(벌칙), 제74조 제2항(양벌규정), 제74조의2(몰수ㆍ추징 등), 제75조(과태료), 형법 제20조(정당행위), 법률 제19234호(2023. 3. 14., 일부개정) 부칙 제1조, 법률 제21445호(2026. 3. 10., 일부개정)
관련 판례
대법원은 해킹 등 부정한 방법으로 취득한 개인정보를 기초로 업무상 개인정보파일을 운용하기 위해 처리한 경우에도 개인정보처리자에 해당한다고 봤다. 제18조 제1항 위반죄와 제59조 제3호 위반죄의 관계는 상상적 경합으로 판단했고, 주문은 상고 기각이다.
대법원은 소송상 필요한 주장 증명이나 방어권 행사를 위해 개인정보가 포함된 자료를 법원에 제출한 경우 형법 제20조에 따라 위법성이 조각될 수 있다고 봤다. 원심판결을 파기하고 사건을 서울중앙지방법원에 환송했다.
대법원은 구 개인정보 보호법이 적용된 사건에서 정보주체의 사전 동의가 있는 경우 업무상 알게 된 개인정보의 누설을 같은 법 벌칙으로 처벌할 수 없다고 봤다. 원심판결을 파기하고 사건을 서울중앙지방법원에 환송했다.
대법원은 고소·고발이나 수사절차에서 범죄혐의 소명 또는 방어권 행사를 위해 개인정보가 포함된 증거자료를 제출한 경우 사회상규에 위배되지 않는 행위가 될 수 있다고 봤다. 원심판결을 파기하고 사건을 광주지방법원에 환송했다.
