신상털이는 무조건 5년 이하 징역인가…개인정보 보호법 제59조, 행위별 벌칙 달라
‘처리하거나 처리하였던 자’가 수범자…제1호는 3년 이하 징역 또는 3천만원 이하 벌금
온라인에서 이른바 ‘신상털이’로 불리는 행위가 곧바로 개인정보 보호법 제59조 위반이 되는 것은 아니다. 이 조항은 ‘개인정보를 처리하거나 처리하였던 자’를 대상으로 하고, 금지행위 3가지에 따라 연결되는 벌칙도 다르게 정하고 있다.
2026년 9월 17일 기준 개인정보 보호법 제59조는 항 없이 제1호부터 제3호까지로 구성된다. 조문 첫머리는 ‘누구든지’가 아니라 개인정보를 처리하거나 처리하였던 자라고 규정한다.
개인정보 보호법 제2조는 개인정보를 살아 있는 개인에 관한 정보로서 개인을 알아볼 수 있는 정보 등을 말한다고 정한다. 또 처리는 수집, 기록, 저장, 이용, 제공, 공개, 파기 등과 유사한 행위를 포함한다.
따라서 단순히 다른 사람의 정보를 온라인에서 봤다는 사정만으로 제59조가 적용된다고 단정하기는 어렵다. 해당 정보가 법상 개인정보인지, 행위자가 그 정보를 처리하거나 처리하였던 자인지가 먼저 판단 대상이 된다.
제59조 제1호는 거짓이나 그 밖의 부정한 수단이나 방법으로 개인정보를 취득하거나 처리에 관한 동의를 받는 행위를 금지한다. 이 경우 제72조 제2호가 적용돼 3년 이하의 징역 또는 3천만원 이하의 벌금에 처한다.
제2호는 업무상 알게 된 개인정보를 누설하거나 권한 없이 다른 사람이 이용하도록 제공하는 행위를 금지한다. 제71조 제9호는 이를 위반한 경우 5년 이하의 징역 또는 5천만원 이하의 벌금에 처하도록 한다.
제3호는 정당한 권한 없이 또는 허용된 권한을 초과해 다른 사람의 개인정보를 이용, 훼손, 멸실, 변경, 위조 또는 유출하는 행위를 대상으로 한다. 제71조 제10호도 제3호 위반에 5년 이하의 징역 또는 5천만원 이하의 벌금을 정한다.
‘업무 중 알게 된 개인정보를 다른 사람에게 알려주면 처벌되나요?’라는 물음에는 업무상 알게 된 정보인지와 누설 또는 권한 없는 제공에 해당하는지를 함께 살펴야 한다. 제59조 제2호의 수범자에는 개인정보를 처리하였던 자도 포함된다.
‘퇴사한 뒤 고객 정보를 제공해도 개인정보 보호법 위반인가요?’라는 물음도 퇴직만으로 결론이 정해지지는 않는다. 업무상 알게 된 개인정보인지, 권한 없이 다른 사람이 이용하도록 제공했는지 등 구체적 사실에 따라 제59조 제2호의 적용 여부가 판단된다.
대법원은 구 개인정보 보호법이 적용된 사건에서 정보주체의 사전 동의가 있는 경우 업무상 알게 된 개인정보의 누설을 처벌할 수 있는지 판단했다. 또 소송이나 수사 절차에서 개인정보가 포함된 자료를 제출한 행위는 형법 제20조에 따라 정당행위로 위법성이 조각될 수 있으나, 개별 사정을 종합해 판단해야 한다고 봤다.
‘소송 증거로 개인정보를 제출하면 개인정보 보호법 위반인가요?’라는 물음 역시 일률적으로 답할 수 없다. 대법원은 소송상 필요한 주장의 증명이나 방어권 행사를 위한 제출인지, 필요한 범위를 넘었는지 등을 살펴 정당행위 해당 여부를 판단해야 한다고 밝혔다.
제59조의 제1호와 제2호·제3호를 같은 법정형으로 묶어서는 안 된다. 법문은 모두 징역 또는 벌금의 선택형이며, 3천만원과 5천만원은 범칙금이나 과태료가 아니라 벌금의 법정상한이다.
제75조의 과태료 조항에는 제59조 위반이 열거돼 있지 않다. 제59조 위반의 직접 벌칙은 제1호의 경우 제72조 제2호, 제2호와 제3호의 경우 제71조 제9호와 제10호다.
한편 법인이나 개인의 업무와 관련해 제71조부터 제73조까지의 위반행위가 있으면 개인정보 보호법 제74조 제2항의 양벌규정이 문제 될 수 있다. 다만 법인 또는 개인이 위반행위 방지를 위해 상당한 주의와 감독을 게을리하지 않은 경우에는 예외가 인정될 수 있다.
현행 제59조 문언은 2023년 3월 14일 개정된 법률 제19234호에 따른 것으로, 같은 해 9월 15일부터 시행됐다. 현행법 상단에 표시된 법률 제21445호는 제59조를 개정하지 않았으므로, 2026년 개정으로 제59조 내용이 바뀌었다고 볼 수는 없다.
참고 법령
- 개인정보 보호법 제2조 제1호·제2호, 제18조, 제59조, 제71조 제9호·제10호, 제72조 제2호, 제74조 제2항, 제75조
- 형법 제20조
관련 판례
대법원은 해킹 등 부정한 방법으로 취득한 개인정보를 기초로 업무상 개인정보파일을 운용하기 위해 처리한 경우에도 개인정보처리자에 해당한다고 봤다. 제18조 제1항 위반죄와 제59조 제3호 위반죄의 관계는 상상적 경합으로 판단했고, 주문은 상고 기각이다.
대법원은 소송상 필요한 주장 증명이나 방어권 행사를 위해 개인정보가 포함된 자료를 법원에 제출한 경우 형법 제20조에 따라 위법성이 조각될 수 있다고 봤다. 원심판결을 파기하고 사건을 서울중앙지방법원에 환송했다.
대법원은 구 개인정보 보호법이 적용된 사건에서 정보주체의 사전 동의가 있는 경우 업무상 알게 된 개인정보의 누설을 같은 법 벌칙으로 처벌할 수 없다고 봤다. 원심판결을 파기하고 사건을 서울중앙지방법원에 환송했다.
대법원은 고소·고발이나 수사절차에서 범죄혐의 소명 또는 방어권 행사를 위해 개인정보가 포함된 증거자료를 제출한 경우 사회상규에 위배되지 않는 행위가 될 수 있다고 봤다. 원심판결을 파기하고 사건을 광주지방법원에 환송했다.
