서울중앙지방법원 2017. 9. 1. 선고 2016노5344 판결

피고인은 D병원 소속 전공의 F의 안내를 받아 이 사건 병원에 들어간 것이므로, 이 사건 건조물 관리자인 E의 의사에 반하여 위 건조물에 침입한 사실이 없다.

피고인이 취득한 정보는 환자들의 개인정보에 해당하지 않고, 설령 이를 개인정보라고 보더라도 피고인은 위 정보를 부정한 방법으로 취득한 것이 아니다.

피고인에게 원심이 선고한 형(벌금 300만 원)이 너무 무거워서 부당하다.

검사는 당심에 이르러 피고인에 대한 기존 공소사실 제2항을 주위적 공소사실로 유지하면서, 예비적으로 아래 '다시 쓰는 판결'의 범죄사실 중 제2항과 같이 예비적 공소사실을 추가하고 예비적 공소사실에 정보통신망이용촉진및정보보호등에관한법률 제71조 제9호, 제11호, 제48조 제1항, 제49조를 적용하는 내용의 공소장변경허가신청을 하였고, 이 법원이 이를 허가함으로써 이 부분에 관한 당심의 심판대상이 변경되었다.

한편 아래에서 보는 바와 같이 당심에서 추가된 예비적 공소사실은 유죄로 인정되고, 위 예비적 공소사실과 원심에서 유죄로 인정한 주거칩입죄는 형법 제37조 전단의 경합범 관계에 있어 형법 제38조 제1항에 따라 하나의 형이 선고되어야 하므로, 원심판결 전부는 그대로 유지될 수 없게 되었다.

다만 위와 같은 직권파기 사유에도 불구하고 피고인의 항소이유 중 사실오인 및 법리오해 주장은 여전히 이 법원의 판단대상이 되므로, 이에 관하여 살펴본다.

원심의 판단을 원심이 적법하게 채택하여 조사한 증거들과 대조하여 면밀히 검토하고, 여기에 증거들에 의하여 인정되는 아래와 같은 사정들까지 보태어 보면, 이 부분 공소사실을 유죄로 인정한 원심의 판단은 정당한 것으로서 수긍이 가고, 거기에 피고인의 주장과 같은 사실오인이나 법리오해의 위법이 있다고 볼 수 없다. 따라서 피고인의 위 주장은 받아들이지 아니한다.

개인정보를 처리하거나 처리하였던 자는 거짓이나 그 밖의 부정한 수단이나 방법으로 개인정보를 취득하는 행위를 하여서는 아니된다.

피고인은 2012. 3. 12.경부터 2013. 12. 31.경까지 위 D병원에서 정형외과 의사(전문의)로 재직하면서 개인정보를 처리하였던 사람으로, 2015. 6.경 위 D병원 7층 의국에서 그곳에 근무하는 직원인 F가 자리를 비운 틈을 이용하여 로그인 되어 있는 'OCS' 프로그램에 정당한 권한 없이 접속하여 자신이 치료한 환자들의 성명, 성별, 나이, 질환명, 수술내역 등 개인정보가 기재된 화면을 캡쳐한 후 가지고 간 USB에 그 파일들을 저장하여 가지고 나옴으로써, 부정한 방법으로 위 환자들의 개인정보를 취득하였다.

원심은 그 판시와 같은 증거를 들어 이 부분 공소사실을 유죄로 판단하였다.

원심이 적법하게 채택하여 조사한 증거들에 의하여 인정되는 다음과 같은 사정에 비추어 보면, 피고인이 취득한 정보는 개인정보 보호법이 보호하는 개인정보에는 해당한다.

여기에서 개인정보 보호법 제72조 제2호에 규정된 '거짓이나 그 밖의 부정한 수단이나 방법'이란 개인정보를 취득하거나 또는 그 처리에 관한 동의를 받기 위하여 사용하는 위계 기타 사회통념상 부정한 방법이라고 인정되는 것으로서 개인정보 취득 또는 그 처리에 동의할지에 관한 정보주체의 의사결정에 영향을 미칠 수 있는 적극적 또는 소극적 행위를 뜻한다(대법원 2017. 4. 7. 선고 2016도13263 판결).

이러한 조항의 문언 및 그 규정 취지에 비추어 보면, 개인정보보호법 제72조 제2호는 '정보주체로부터 업무상 개인정보를 취득하는 과정에서', '개인정보 취득 또는 그 처리에 동의할지에 관한 정보주체의 의사결정에 영향을 미칠 수 있는' 방법을 사용한 경우를 그 규율대상으로 삼고 있다고 해석된다. 또한 개인정보 보호법 제59조의 '개인정보를 처리하였던 자'에서 말하는 '개인정보'는 위 조항이 규율하는 누설이나 훼손, 멸실 등 개인정보의 보유를 전제로 한 행위의 대상이 되는 당해 개인정보로 해석하는 것이 자연스럽고, 어떠한 형태의 개인정보라도 처리하였던 경험이 있는 사람이라면 누구든지 위 조항의 규율을 받는 대상이 된다고 할 수는 없다. 이와 같이 보면, 개인정보를 취득하는 행위에 있어서는 '개인정보를 처리하였던 자'가 위반의 주체가 되는 경우는 논리적으로 상정하기 어렵고, 개인정보를 처리하는 자가 규율 대상이라고 보아야 한다.

피고인이 빼낸 자료는 '병원이 정보주체인 환자들로부터 적법하게 취득하여 관리하고 있는' 정보였고, 피고인이 병원에 침입하여 OCS 프로그램에서 정보를 취득하는 과정에서는 정보주체인 환자들의 의사결정이 개입될 여지가 없었다. 피고인은 병원에서 퇴직하여 더 이상 병원 환자들의 진료기록과 같은 개인정보를 더 이상 처리하는 업무에 있지 아니한 상태였고, 피고인이 위 자료를 빼낸 목적은 개인적인 임금지급 사건에 대응하기 위한 것이었을 뿐, 업무상 필요와도 전혀 무관한 것이었다.

그렇다면 이러한 피고인의 행위는 개인정보를 처리하거나 처리하였던 자로서의 취득행위라고 보기도 어렵고, 특히 정보주체로부터 개인정보를 취득하는 과정에서 부정한 방법을 사용하여 정보주체의 의사결정에 영향을 미쳤다고 볼 수도 없다.

결국 피고인이 병원의 OCS 프로그램에 정당한 권한 없이 접속하여 개인정보를 빼내 취득하였다고 하더라도, 이러한 사정만으로는 피고인이 개인정보보호법 제72조 제2호를 위반하였다고 할 수 없고, 달리 이를 인정할 증거가 없다.

따라서 이 부분 주위적 공소사실은 범죄의 증명이 없는 경우에 해당한다.

피고인이 USB에 복사하여 가져온 자료는 피고인이 병원에 근무할 당시 정당한 권한을 가지고 취득한 자료이고, 피고인이 퇴직 후 의국에서 공유하고 있던 자료를 로그인되어 있던 컴퓨터에서 단순히 검색하였다는 것만으로는 침해라고 할 수 없다.

정보통신망 이용촉진 및 정보보호 등에 관한 법률 제48조 제1항은 이용자의 신뢰 내지 그의 이익을 보호하기 위한 규정이 아니라 정보통신망 자체의 안정성과 그 정보의 신뢰성을 보호하기 위한 것이라고 할 것이므로, 위 규정에서 접근권한을 부여하거나 허용되는 범위를 설정하는 주체는 서비스제공자라 할 것이고, 따라서 서비스제공자로부터 권한을 부여받은 이용자가 아닌 제3자가 정보통신망에 접속한 경우 그에게 접근권한이 있는지 여부는 서비스제공자가 부여한 접근권한을 기준으로 판단하여야 한다.

이용자가 자신의 아이디와 비밀번호를 알려주며 사용을 승낙하여 제3자로 하여금 정보통신망을 사용하도록 한 경우라고 하더라도, 그 제3자의 사용이 이용자의 사자 내지 사실행위를 대행하는 자에 불과할 뿐 이용자의 의도에 따라 이용자의 이익을 위하여 사용되는 경우와 같이 사회통념상 이용자가 직접 사용하는 것에 불과하거나, 서비스제공자가 이용자에게 제3자로 하여금 사용할 수 있도록 승낙하는 권한을 부여하였다고 볼 수 있거나 또는 서비스제공자에게 제3자로 하여금 사용하도록 한 사정을 고지하였다면 서비스제공자도 동의하였으리라고 추인되는 경우 등을 제외하고는, 원칙적으로 그 제3자에게는 정당한 접근권한이 없다고 봄이 상당하다(대법원 2005. 11. 25. 선고 2005도870 판결).

한편 '정보통신망에 의하여 처리·보관 또는 전송되는 타인의 비밀 침해'란 정보통신망에 의하여 처리·보관 또는 전송되는 타인의 비밀을 정보통신망에 침입하는 등 부정한 수단 또는 방법으로 취득하는 행위를 말하고, '정보통신망에 의하여 처리·보관 또는 전송되는 타인의 비밀 도용'이란 정보통신망에 의하여 처리·보관 또는 전송되는 타인의 비밀을 정보통신망에 침입하는 등 부정한 수단 또는 방법으로 취득한 사람이나 그 비밀이 위와 같은 방법으로 취득된 것을 알고 있는 사람이 그 비밀을 사용하는 행위를 의미한다(대법원 2015. 1. 15. 선고 2013도15457 판결).

원심이 적법하게 채택하여 조사한 증거들에 의하여 인정되는 다음과 같은 사실 및 사정을 종합하여 보면, 피고인이 정당한 접근권한 없이 정보통신망에 침입하고 타인의 비밀을 침해하였음을 인정할 수 있다.

그렇다면, 원심판결에는 위와 같은 직권파기사유가 있으므로, 피고인과 검사의 각 양형부당 주장에 대한 판단을 생략한 채 형사소송법 제364조 제2항에 따라 원심판결을 파기하고, 변론을 거쳐 다시 다음과 같이 판결한다.

[다시 쓰는 판결]