"신상털이는 무조건 5년 이하 징역"인가 — 개인정보 보호법 제59조는 '누구든지'로 시작하지 않는다
한 줄 답: 개인정보 보호법 제59조는 모든 사람의 모든 신상 공개를 처벌하는 조문이 아니다. 조문이 정한 상대는 개인정보를 처리하거나 처리하였던 자이고, 벌칙도 호마다 갈린다. 제1호는 3년 이하의 징역 또는 3천만원 이하의 벌금(제72조 제2호), 제2호·제3호는 5년 이하의 징역 또는 5천만원 이하의 벌금(제71조 제9호·제10호)이다.
‘신상털이’라는 말은 조문에 없다. 법률상 독립된 죄명도 아니다. 그런데 이 말을 개인정보 보호법 제59조로 설명하는 순간, 단정적인 요약과 조문 문언이 두 자리에서 어긋난다. 하나는 누구에게 적용되는가(수범자), 다른 하나는 얼마의 형인가(법정형)다. 이 글은 그 두 자리를 조문 원문으로 맞춰 본다. 이 글의 기준일은 2026년 9월 17일이며, 그날 시행 중인 현행 조문을 기준으로 한다.
요약
| 확인할 것 | 문언 |
|---|---|
| 제59조의 수범자 | 개인정보를 처리하거나 처리하였던 자 — 누구든지가 아니다 |
| 조문 구조 | 항 0개, 호 3개. 제59조 제1항이라는 인용은 존재하지 않는다 |
| 제1호 위반 | 제72조 제2호 → 3년 이하의 징역 또는 3천만원 이하의 벌금 |
| 제2호 위반 | 제71조 제9호 → 5년 이하의 징역 또는 5천만원 이하의 벌금 |
| 제3호 위반 | 제71조 제10호 → 5년 이하의 징역 또는 5천만원 이하의 벌금 |
| 과태료인가 | 아니다. 과태료를 정한 제75조에는 제59조를 인용하는 자리가 없다 |
| 현행 문언을 만든 개정법률 | 법률 제19234호(2023. 3. 14.). 조문 표시는 <개정 2023. 3. 14.> |
1. 조문 원문 — 상대가 좁다
제59조(금지행위) 개인정보를 처리하거나 처리하였던 자는 다음 각 호의 어느 하나에 해당하는 행위를 하여서는 아니 된다. <개정 2023. 3. 14.>
- 거짓이나 그 밖의 부정한 수단이나 방법으로 개인정보를 취득하거나 처리에 관한 동의를 받는 행위
- 업무상 알게 된 개인정보를 누설하거나 권한 없이 다른 사람이 이용하도록 제공하는 행위
- 정당한 권한 없이 또는 허용된 권한을 초과하여 다른 사람의 개인정보를 이용, 훼손, 멸실, 변경, 위조 또는 유출하는 행위
첫 줄을 그대로 읽어야 한다. 개인정보를 처리하거나 처리하였던 자다. 개인정보 보호법에는 누구든지로 시작하는 조항이 따로 있지만, 제59조는 그 형식이 아니다. 온라인에서 남의 정보를 보았다는 사실만으로 이 조문이 자동으로 붙는 문언이 아니라는 뜻이다. 적용을 따지려면 ① 문제 된 정보가 법이 말하는 개인정보인지, ② 행위자가 그 정보를 처리하거나 처리하였던 자인지가 먼저 판단 대상이 된다.
여기서 ‘처리’는 좁은 말이 아니다. 제2조 제2호는 개인정보의 수집, 생성, 연계, 연동, 기록, 저장, 보유, 가공, 편집, 검색, 출력, 정정(訂正), 복구, 이용, 제공, 공개, 파기(破棄), 그 밖에 이와 유사한 행위를 처리로 정의한다.
또 하나 눈여겨볼 것은 제59조가 개인정보처리자라는 용어를 쓰지 않는다는 점이다. 제2조 제5호의 개인정보처리자는 업무를 목적으로 개인정보파일을 운용하기 위하여 스스로 또는 다른 사람을 통하여 개인정보를 처리하는 공공기관, 법인, 단체 및 개인 등을 말한다. 제59조는 이 정의어를 쓰는 대신 처리하거나 처리하였던 자라고 적었다. 두 표현을 같은 말로 바꿔 쓰면 조문 인용이 틀어진다.
인용할 때 틀리기 쉬운 자리
제59조에는 항이 없다. 항 0개, 호 3개, 목은 없고 삭제로 남은 항·호도 없다. 따라서 개인정보 보호법 제59조 제1항이라는 인용은 조문에 없는 단위를 부른 것이다. 정확한 인용은 제59조 제1호, 제59조 제2호, 제59조 제3호다.
2. 벌칙은 호마다 갈린다
제59조 자체는 금지만 정하고 형을 정하지 않는다. 형은 다른 조문이 받는데, 제1호가 가는 곳과 제2호·제3호가 가는 곳이 다르다.
| 제59조 | 금지되는 행위 | 받는 벌칙조문 | 법정형 |
|---|---|---|---|
| 제1호 | 거짓이나 그 밖의 부정한 수단·방법으로 개인정보를 취득하거나 처리에 관한 동의를 받는 행위 | 제72조 제2호 | 3년 이하의 징역 또는 3천만원 이하의 벌금 |
| 제2호 | 업무상 알게 된 개인정보 누설, 권한 없이 다른 사람이 이용하도록 제공 | 제71조 제9호 | 5년 이하의 징역 또는 5천만원 이하의 벌금 |
| 제3호 | 정당한 권한 없이 또는 권한을 초과한 이용·훼손·멸실·변경·위조·유출 | 제71조 제10호 | 5년 이하의 징역 또는 5천만원 이하의 벌금 |
제71조는 각 호에 해당하는 자를 5년 이하의 징역 또는 5천만원 이하의 벌금에 처한다고 정하고, 제72조는 3년 이하의 징역 또는 3천만원 이하의 벌금에 처한다고 정한다. 두 조문 모두 선택형이다. 또는이라는 글자가 조문에 있다. ‘징역과 벌금을 함께 받는다’로 옮기면 법문과 다르다.
5천만원은 벌금의 상한이지 범칙금이 아니다
제71조·제72조의 5천만원·3천만원은 벌금의 법정상한이다. 과태료를 정한 제75조에는 제59조를 인용하는 자리가 없다. 즉 제59조 위반의 직접 제재는 행정질서벌이 아니라 형벌이고, 그 형벌의 근거는 제71조와 제72조다. ‘범칙금 5천만원’이라는 표현은 제재의 성격과 금액의 의미를 동시에 바꿔 놓는다.
수령한 쪽도 조문에 적혀 있다
제71조 제9호와 제72조 제2호는 제공한 사람만 적지 않는다. 그 사정을 알면서도 영리 또는 부정한 목적으로 개인정보를 제공받은 자도 각 호의 문언 안에 들어 있다. 제71조 제10호는 제59조 제3호를 위반해 이용, 훼손, 멸실, 변경, 위조 또는 유출한 자를 적는다.
3. 세 가지 질문을 문언으로 되짚으면
업무 중 알게 된 개인정보를 다른 사람에게 알려주면 처벌되나요?
문언으로만 보면, 이 자리는 제59조 제2호(업무상 알게 된 개인정보를 누설하거나 권한 없이 다른 사람이 이용하도록 제공하는 행위)이고 벌칙은 제71조 제9호, 법정형은 5년 이하의 징역 또는 5천만원 이하의 벌금이다. 다만 조문은 업무상 알게 된이라는 요건을 달고 있다. 알게 된 경위가 업무와 어떤 관계인지, 알린 행위가 조문이 말하는 누설 또는 제공에 해당하는지가 사실관계별 판단 대상이 된다. 아래 4절의 대법원 판결은 그 ‘누설’의 의미와 한계를 다룬다.
퇴사한 뒤 고객 정보를 제공해도 개인정보 보호법 위반인가요?
제59조의 수범자 문언이 개인정보를 처리하거나 처리하였던 자라는 점이 여기서 작동한다. 처리하였던이라는 과거형이 조문에 들어 있으므로, 현재 그 업무를 하고 있지 않다는 사정만으로 제59조의 수범자에서 당연히 벗어나는 구조가 아니다. 그다음은 다시 각 호의 요건이다. 제2호라면 업무상 알게 된 정보인지와 누설·무권한 제공에 해당하는지, 제3호라면 정당한 권한 없이 또는 허용된 권한을 초과하여에 해당하는지를 따로 본다.
소송 증거로 개인정보를 제출하면 개인정보 보호법 위반인가요?
이 질문은 구성요건과 위법성이 나뉘는 자리다. 대법원은 재판이나 수사 절차에서 주장의 증명이나 방어권 행사를 위해 개인정보가 포함된 서류·증거를 제출한 경우, 형법 제20조의 정당행위로 위법성이 조각될 수 있다고 보았다. 다만 판시는 그것이 자동 면책이라는 뜻이 아니라, 정당행위에 해당하는지를 판단하는 방법·기준을 제시하는 형태다. ‘제출하면 무조건 괜찮다’도, ‘제출하면 무조건 위반이다’도 조문과 판결의 구조를 잘라 낸 요약이다.
4. 대법원 판결이 정리해 둔 지점
아래 판결의 사건번호·선고일·주문은 공개된 판결 정보 그대로다. 개별 사건의 유무죄를 예단하는 것이 아니라, 판시사항이 제시한 법리의 위치만 옮긴다.
누설의 의미와 사전 동의 — 대법원 2025. 10. 30. 선고 2024도19539 판결
사건명은 개인정보보호법위반이고, 주문은 원심판결을 파기하고, 사건을 서울중앙지방법원에 환송한다이다. 판시사항은 구 개인정보 보호법 제59조 제2호, 제71조 제5호에서 말하는 ‘누설’의 의미를 다루고, 개인정보 보호법의 보호법익을 정보주체의 개인정보자기결정권으로 밝힌 뒤, 금지되는 누설에 관하여 정보주체의 사전 동의가 있는 경우 같은 법 제71조 제5호로 처벌할 수 있는지를 소극으로 판단했다.
여기서 조문 번호를 조심해야 한다. 이 판결이 적용한 것은 구 개인정보 보호법(2023. 3. 14. 법률 제19234호로 개정되기 전의 것)이고, 누설 관련 벌칙을 제71조 제5호로 인용한다. 현행법에서 제59조 제2호 위반을 받는 것은 제71조 제9호다. 판결의 인용 번호를 현행 번호로 바꿔 적으면 인용이 틀어진다.
수사기관 제출과 정당행위 — 대법원 2025. 7. 18. 선고 2023도17590 판결
사건명은 개인정보보호법위반, 주문은 원심판결을 파기하고, 사건을 광주지방법원에 환송한다이다. 판시사항 [1]은 재판 과정에서 소송상 필요한 주장의 증명이나 방어권 행사를 위해, 또는 고소·고발·수사절차에서 범죄혐의의 소명이나 방어권 행사를 위해 개인정보가 포함된 자료를 제출하는 경우 형법 제20조로 위법성이 조각될 수 있는지를 적극으로 보면서, 그 판단 기준을 제시한다. [2]는 고발장에 개인정보가 담긴 자료를 첨부해 수사기관에 제출한 행위를 정당행위에 해당하지 않는다고 본 원심 판단에 법리오해가 있다고 한 사례다. 적용 법률은 구 개인정보 보호법(2016. 3. 29. 법률 제14107호로 개정되기 전의 것)이다.
법원 제출과 위법성 조각 — 대법원 2026. 2. 26. 선고 2025도13141 판결
사건명은 금융실명거래및비밀보장에관한법률위반·개인정보보호법위반이고, 주문은 원심판결을 파기하고, 사건을 서울중앙지방법원에 환송한다이다. 판시사항 [1]은 소송서류나 증거를 법원에 제출하는 경우 금융실명법 및 개인정보 보호법 위반죄에 대해 형법 제20조로 위법성이 조각될 수 있는지를 적극으로 보고, 정당행위 판단 방법을 제시한다. [2]는 서로 다른 민사사건에서 확인한 거래내역 등을 다른 사건에 제출한 사안에서, 구성요건에는 해당하더라도 형법 제20조에 따라 위법성이 조각될 소지가 충분하다고 한 사례다. 판결문이 인용한 것도 구 개인정보 보호법(2023. 3. 14. 법률 제19234호로 개정되기 전의 것) 제71조 제5호다. 판시사항은 사건 관계인을 甲·乙·丙으로만 적는다.
처리자 개념과 죄수관계 — 대법원 2026. 4. 16. 선고 2026도477 판결
사건명은 도박공간개설·개인정보보호법위반이고, 주문은 상고를 기각한다이다. 판시사항 [1]은 제2조 제5호의 ‘개인정보처리자’ 개념을 다루면서, 해킹 등 부정한 방법으로 개인정보를 취득하거나 불법 유통되는 개인정보를 취득한 뒤 이를 기초로 업무상 개인정보파일을 운용하기 위해 개인정보를 처리한 경우에도 개인정보처리자에 해당하는지를 적극으로 판단했다. [2]는 제71조 제2호·제18조 제1항 위반죄와 제71조 제10호·제59조 제3호 위반죄 사이의 죄수관계를 상상적 경합 관계로 보았다. 즉 목적 외 이용·제공 제한 위반과 제59조 제3호 위반은 서로 다른 구성요건으로 다뤄진다. 이 판결에는 특정 구법 번호 표기가 없으므로, 어느 공포번호의 법률을 적용한 판결이라고 덧붙여 쓸 수 없다.
5. 제59조 옆에 두고 봐야 하는 조문
- 제2조 제1호·제2호·제5호 — 개인정보인지, 처리인지, 개인정보처리자인지를 가르는 정의 조항이다. 제1호 다목은 가목 또는 나목 정보를 가명처리해 추가 정보 없이는 특정 개인을 알아볼 수 없게 한 정보를 두고
(이하 "가명정보"라 한다)라고 정한다. - 제18조(개인정보의 목적 외 이용·제공 제한) — 제1항은
개인정보처리자는 개인정보를 제15조제1항에 따른 범위를 초과하여 이용하거나 제17조제1항 및 제28조의8제1항에 따른 범위를 초과하여 제3자에게 제공하여서는 아니 된다고 정한다(금지). 제2항은 제4호 삭제를 제외한 아홉 개 호의 예외를 두되 제5호부터 제9호까지는 공공기관으로 한정한다(재량). 제59조 제3호의정당한 권한 없이 또는 허용된 권한을 초과하여와 제18조의 목적 외 이용·제공은 같은 문제가 아닐 수 있고, 위 2026도477 판결도 두 죄를 별개 구성요건으로 놓았다. - 제26조 제5항·제8항 — 수탁자는 위탁 범위를 초과해 이용·제공해서는 안 되며, 제59조가 수탁자에게 준용되는 구조를 만든다.
- 제58조 — 제1항의 적용 제외 범위는 제3장부터 제8장까지다. 제59조는 제9장에 있으므로 이 규정으로 제외되지 않는다.
- 제62조 —
개인정보처리자가 개인정보를 처리할 때 개인정보에 관한 권리 또는 이익을 침해받은 사람은 보호위원회에 그 침해 사실을 신고할 수 있다고 정한다. - 제74조(양벌규정) — 제2항은 법인의 대표자나 법인·개인의 대리인, 사용인, 그 밖의 종업원이 업무에 관하여 제71조부터 제73조까지의 위반행위를 하면 행위자를 벌하는 외에 법인 또는 개인에게도 해당 조문의 벌금형을 과하도록 하되,
상당한 주의와 감독을 게을리하지 아니한 경우는 단서로 제외한다. - 제74조의2(몰수·추징 등) — 제70조부터 제73조까지의 죄를 지은 자가 위반행위와 관련해 취득한 금품이나 이익은
몰수할 수 있으며, 몰수할 수 없을 때는 가액을추징할 수 있다. 어미가 재량이며, 몰수·추징은 다른 벌칙에 부가해 과할 수 있다. - 제39조·제43조 — 손해배상과 분쟁조정 신청의 민사적 구제 조항이다.
6. 시행일 — ‘2026년에 제59조가 바뀌었다’는 말은 맞지 않는다
현행 개인정보 보호법은 [시행 2026. 9. 11.] [법률 제21445호, 2026. 3. 10., 일부개정]으로 표시된다. 그런데 제59조의 조문 표시는 여전히 <개정 2023. 3. 14.>다. 현행 제59조 문언을 만든 개정법률은 법률 제19234호(2023. 3. 14.)이고, 이 개정에서 제3호에 이용,이 추가됐다. 법률 제21445호는 제59조를 고치지 않았다. 법률 상단의 공포번호는 그 법률 전체의 가장 최근 공포번호일 뿐, 개별 조문을 개정한 번호와 같지 않다. 제71조·제72조도 마찬가지로 제59조 관련 현재 구조는 법률 제19234호가 만들었다.
법률 제19234호 부칙 제1조 본칙은 이 법은 공포 후 6개월이 경과한 날부터 시행한다이고, 단서 제1호·제2호에 늦춰 시행되는 개정규정을 열거한다. 제59조 개정규정은 그 열거에 없다. 따라서 본칙에 따라 2023. 9. 15.부터 시행되었고, 이 글의 기준일인 2026. 9. 17.에는 시행 중이다. 같은 부칙의 제2조부터 제7조는 적용례, 제8조부터 제10조는 경과조치, 제11조는 11개 항에 걸친 다른 법률의 개정이다. 성격이 다른 조문들이므로 묶어서 ‘유예’로 옮기면 틀린다.
법률 제19234호가 제59조 밖에서 고친 개인정보 보호법 조문 전체의 완전한 목록은 이 글의 확인 범위에서는 끝까지 대조되지 않았다. 그러므로 여기서 임의로 열거하지 않는다.
7. 대조할 표현과 조문 문언 대조
| 대조할 표현 | 조문 문언 |
|---|---|
| “신상털이는 개인정보 보호법 위반죄다” | ‘신상털이’는 조문의 말이 아니고 독립 죄명도 아니다. 제59조 각 호의 요건에 해당하는지를 따로 본다 |
| “누구든지 처벌된다” | 제59조의 상대는 개인정보를 처리하거나 처리하였던 자다 |
| “무조건 5년 이하 징역” | 제59조 제1호는 제72조 제2호로 3년 이하의 징역 또는 3천만원 이하의 벌금이다 |
| “범칙금 5천만원” | 5천만원은 제71조가 정한 벌금의 법정상한이다. 제75조 과태료에는 제59조 인용이 없다 |
| “징역과 벌금을 함께 받는다” | 제71조·제72조 모두 징역 또는 벌금의 선택형이다 |
| “제59조 제1항 위반” | 제59조에는 항이 없다. 항 0개, 호 3개다 |
| “2026년 개정으로 제59조가 강화됐다” | 제59조 표시는 <개정 2023. 3. 14.>이고, 법률 제21445호는 제59조를 고치지 않았다 |
| “동의만 받으면 끝” / “소송에 내면 무조건 무죄” | 동의와 정당행위를 다룬 대법원 판결이 있으나 모두 개별 사정을 종합하는 판단이며, 자동 면책 규정이 아니다 |
자주 묻는 질문
Q. 제59조와 제18조는 어떻게 다른가요? A. 제18조는 개인정보처리자의 목적 외 이용·제공을 제한하는 조항이고, 제59조는 처리하거나 처리하였던 자의 금지행위를 정한 조항이다. 대법원 2026. 4. 16. 선고 2026도477 판결은 제71조 제2호·제18조 제1항 위반죄와 제71조 제10호·제59조 제3호 위반죄를 상상적 경합 관계로 보았다.
Q. 회사가 함께 처벌받나요? A. 제74조 제2항이 양벌규정이다. 제71조부터 제73조까지의 위반행위가 법인 또는 개인의 업무에 관해 이뤄지면 행위자를 벌하는 외에 법인·개인에게도 해당 조문의 벌금형을 과한다. 다만 위반행위를 방지하기 위해 상당한 주의와 감독을 게을리하지 아니한 경우는 단서로 제외된다.
Q. 취득한 이익은 어떻게 되나요?
A. 제74조의2는 제70조부터 제73조까지의 죄와 관련해 취득한 금품이나 이익을 몰수할 수 있고, 몰수할 수 없을 때 가액을 추징할 수 있다고 정한다. 어미가 할 수 있다이므로 재량이며, 다른 벌칙에 부가해 과할 수 있다.
Q. 이미 개인을 알아볼 수 없게 된 정보도 해당하나요?
A. 제2조 제1호는 살아 있는 개인에 관한 정보로서 개인을 알아볼 수 있거나 다른 정보와 쉽게 결합해 알아볼 수 있는 정보를 개인정보로 정의한다. 다른 정보를 써도 더 이상 개인을 알아볼 수 없는 정보에는 이 법이 적용되지 않는 구조다. 개인정보성 판단이 제59조 적용의 첫 관문인 이유다.
Q. 제58조로 적용이 제외될 수 있나요? A. 제58조 제1항의 적용 제외 범위는 제3장부터 제8장까지다. 제59조는 제9장에 있어 그 범위에 들어가지 않는다.
참고 법령
- 「개인정보 보호법」 제2조(정의) 제1호·제2호·제5호
- 「개인정보 보호법」 제18조(개인정보의 목적 외 이용·제공 제한)
- 「개인정보 보호법」 제26조(업무위탁에 따른 개인정보의 처리 제한) 제5항·제8항
- 「개인정보 보호법」 제39조(손해배상책임), 제43조(조정의 신청 등)
- 「개인정보 보호법」 제58조(적용의 일부 제외)
- 「개인정보 보호법」 제59조(금지행위)
- 「개인정보 보호법」 제62조(침해 사실의 신고 등)
- 「개인정보 보호법」 제71조(벌칙) 제2호·제9호·제10호
- 「개인정보 보호법」 제72조(벌칙) 제2호
- 「개인정보 보호법」 제74조(양벌규정) 제2항
- 「개인정보 보호법」 제74조의2(몰수·추징 등)
- 「개인정보 보호법」 제75조(과태료)
- 「형법」 제20조(정당행위)
- 법률 제19234호(2023. 3. 14., 일부개정) 부칙 제1조부터 제11조까지
관련 판례
대법원은 해킹 등 부정한 방법으로 취득한 개인정보를 기초로 업무상 개인정보파일을 운용하기 위해 처리한 경우에도 개인정보처리자에 해당한다고 봤다. 제18조 제1항 위반죄와 제59조 제3호 위반죄의 관계는 상상적 경합으로 판단했고, 주문은 상고 기각이다.
대법원은 소송상 필요한 주장 증명이나 방어권 행사를 위해 개인정보가 포함된 자료를 법원에 제출한 경우 형법 제20조에 따라 위법성이 조각될 수 있다고 봤다. 원심판결을 파기하고 사건을 서울중앙지방법원에 환송했다.
대법원은 구 개인정보 보호법이 적용된 사건에서 정보주체의 사전 동의가 있는 경우 업무상 알게 된 개인정보의 누설을 같은 법 벌칙으로 처벌할 수 없다고 봤다. 원심판결을 파기하고 사건을 서울중앙지방법원에 환송했다.
대법원은 고소·고발이나 수사절차에서 범죄혐의 소명 또는 방어권 행사를 위해 개인정보가 포함된 증거자료를 제출한 경우 사회상규에 위배되지 않는 행위가 될 수 있다고 봤다. 원심판결을 파기하고 사건을 광주지방법원에 환송했다.
