주문
검사의 피고인들에 대한 항소를 모두 기각한다.
이유
항소이유 요지(사실오인, 법리오해)
피고인 B 주식회사(이하 ‘피고인 회사’라 한다)는 개인정보보호법 상의 ‘개인정보처리자’에 해당하고, 피고인들의 행위는 개인정보처리자가 암호화 등 안정성 확보에 필요한 조치를 하지 않음으로써 개인정보를 유출 당한 경우에 해당한다.
판단
원심은 판결 ‘2. 판단’이라는 제목 아래에 검사가 제출한 증거들만으로는 피고인 회사가 개인정보보호법 상 ‘업무를 목적으로 개인정보파일을 운용하기 위하여 스스로 또는 다른 사람을 통하여 개인정보를 처리하는 개인정보처리자’라고 보기 어렵고, 달리 이를 인정할 증거가 없으므로 이를 전제로 한 이 사건 공소사실은 범죄사실의 증명이 없는 경우에 해당한다고 판단하여 무죄를 선고하였다.
원심이 설시한 사정들에다가 원심이 적법하게 채택하여 조사한 증거들에 의하여 인정되는 다음과 같은 사정 등을 종합하여 살펴보면, 원심의 위와 같은 판단은 정당한 것으로 충분히 수긍할 수 있고, 거기에 검사의 주장과 같은 사실오인, 법리오해의 위법이 있다고 할 수 없다. 검사의 주장은 이유 없다.
‘개인정보파일’이란 개인정보를 쉽게 검색할 수 있도록 일정한 규칙에 따라 체계적으로 배열하거나 구성한 개인정보의 집합물로서(개인정보보호법 제2조), 검색·열람을 위한 색인이 되어 있는 데이터베이스나 수기 문서자료 등을 의미한다. 그러나 개인정보보호법의 입법 목적, 각 규정들의 체계와 형식, 정의 규정의 문언 등을 종합적으로 고려해 보았을 때, 개인정보의 체계적 배열이나 구성이 없이 단순히 개인정보가 기재되어 있는 문서를 집합해둔 것에 불과한 경우에는 이를 개인정보파일에 해당한다고 평가하기 어렵다.
피고인 회사는 근로기준법 제42조 및 동법 시행령 제22조 1항에 따라 30일 이상 근무한 근로자의 개인정보를 3년간 의무적으로 보존해야 하므로, 피고인 회사에서 인사 업무를 담당한 피고인 A이 관련 규정 등에 의거하여 업무를 목적으로 피해자를 포함한 근로자들의 이력서나 자기소개서 등을 컴퓨터 내부의 별도 폴더에 모아서 저장해둔 사실, 이러한 이력서와 자기소개서에는 지원자들의 성명, 생년월일, 가족관계, 학력사항 등과 같이 개인을 식별할 수 있는 개인정보가 포함되어 있는 사실, 피고인 A은 수사기관에서 보통 입사지원서의 파일명은 ‘B(주)_자사양식.doc’이고, 지원자들은 대부분 자기 이름으로 파일명을 수정하여 보내지만, 지원자가 기존 파일명과 동일하게 지원서를 제출할 경우 자사양식과의 구별을 위하여 지원자 이름으로 파일명을 바꿔서 저장하기도 하였다는 취지로 진술한 사실(증거기록 246쪽)은 인정된다.
그러나 피고인들이 별도의 폴더에 저장해 둔 이력서나 자기소개서 등은 단순히 개인정보가 기재되어 있는 문서들을 집합해 놓은 것에 불과한 것으로 보이고, 검사가 제출한 증거들만으로는 피고인 회사가 개인정보를 쉽게 검색할 수 있도록 일정한 규칙에 따라 체계적으로 배열하거나 구성한 개인정보의 집합물인 개인정보파일을 운용하였다는 사실을 인정하기 어렵고, 달리 이를 인정할 증거가 없다. 따라서 피고인 회사를 개인정보파일의 운용을 전제로 하는 개인정보보호법상의 ‘개인정보처리자’라고 인정할 수 없다.
결론
검사의 피고인들에 대한 항소를 모두 기각한다.
판사 김재영(재판장) 송혜영 조중래
각주1) 개인정보 보호법령 및 지침·고시 해설, 개인정보보호위원회(2020. 12.), 17쪽
출처: 대법원 종합법률정보 · 수집일 2026.10.26.