전주지방법원 2020. 10. 21. 선고 2020노120 판결

피고인은 개인정보처리자의 지휘·감독을 받는 개인정보취급자일 뿐 개인정보 보호법에서 정한 ‘개인정보처리자’ 또는 ‘개인정보를 처리하거나 처리하였던 자’에 해당하지 않음에도 이 사건 공소사실을 모두 유죄로 인정한 원심판결에는 관련 법리를 오해한 위법이 있다.

피고인은 2017. 9. 6.부터 2018. 9. 13.까지 충남 서천군 B에 있는 C기관(이하 ‘이 사건 공공기관’이라고 한다)에서 노동조합위원장으로 근무하였다.

개인정보를 처리하거나 처리하였던 자는 정당한 권한 없이 또는 허용된 권한을 초과하여 다른 사람의 개인정보를 훼손, 멸실, 변경, 위조 또는 유출하여서는 아니 된다. 그럼에도 불구하고 피고인은 2017. 10. 17.경 이 사건 공공기관 사무실에서, 이 사건 공공기관 전자문서시스템인 인트라넷에 접속하여 이 사건 공공기관 소속 감사부장 D이 작성한 ‘청탁금지법 위반사실 통보’라는 제목의 문서가 비공개 설정 상태로 게시되어 있는 것을 발견하고, 위 문서에 보안(잠금) 설정이 되어 있지 아니한 점을 이용하여 위 문서를 열람한 후 문서에 첨부되어 있는 이 사건 공공기관 소속 직원 F와 G의 각 성명, 주민등록번호, 주소, 청탁금지법위반사항 등이 기재되어 있는 ‘청탁금지법 위반내역서 파일 2개’(이하 ‘이 사건 위반내역서’라고 한다)를 자신의 컴퓨터에 저장하였고, 10. 25.경 위 파일 2개를 출력한 다음 그 출력물을 충남 홍성군 법원로38 홍성지원에 제출하였다. 이로써 피고인은 F와 G의 개인정보를 유출하였다.

검사는 ‘피고인이 이 사건 공공기관 내부 전자문서시스템에 접속하여 성명, 주민등록번호 등 개인정보가 포함된 이 사건 위반내역서를 자신의 컴퓨터에 임의로 저장하고, 이를 계속 보관하고 있다가 법원에 제출한 행위’가 ‘개인정보처리자인 이 사건 공공기관의 관리·통제권으로부터 벗어나게 하는 행위’임과 동시에, ‘위 내역서의 열람, 저장, 보관 등에 대하여 아무런 권한이 없는 피고인이 자유롭게 타인의 개인정보에 접근할 수 있게끔 하는 행위’로서, 개인정보 보호법 제59조 제3호 소정의 개인정보 ‘유출’에 해당한다면서 이 부분 공소를 제기한 것인바(수사기록 제435, 436면, 공판기록 제115면 참조), 이하에서는 피고인이 ‘개인정보를 처리하거나 처리하였던 자’에 해당하지 않는다는 피고인의 항소이유에 대한 판단에 앞서 직권으로 피고인의 위와 같은 행위가 개인정보 보호법 제59조 제3호 소정의 ‘유출’에 해당하는지에 관하여 본다.

살피건대, ① ‘유출’이란 사전적으로 ‘밖으로 흘러 나가거나 흘려 내보냄’, ‘귀중한 물품이나 정보 따위가 불법적으로 나라나 조직의 밖으로 나가 버림 또는 그것을 내보냄’의 뜻으로 사용되는바, (안에서) 밖으로 흘려 내보내는 것이 아니라 이미 밖에 나가 있는 상태, 즉, 이미 개인정보처리자의 관리․통제권을 벗어나 해당 제3자도 그 내용을 알 수 있었던 상태에서 위 제3자에게 다시 같은 내용의 정보를 제공하는 행위까지 ‘유출’이라고 해석하는 것은, 명문규정의 의미를 피고인에게 불리한 방향으로 지나치게 확장해석하거나 유추해석하는 것을 금지하는 죄형법정주의의 원칙에 어긋나는 것으로 보이는 점, ② 행정안전부가 2017. 7. 26. 고시한 표준 개인정보 보호지침 제25조에 의하면, 개인정보의 유출은 ‘법령이나 개인정보처리자의 자유로운 의사에 의하지 않고, 정보주체의 개인정보에 대하여 개인정보처리자가 통제를 상실하거나 권한 없는 자의 접근을 허용한 것으로서 다음 각 호<1>의 어느 하나에 해당하는 경우를 말한다’고 규정하고 있는 점 등을 종합하여 보면, 개인정보 보호법 제59조 제3호에서 정한 ‘다른 사람의 개인정보를 유출하는 행위’라 함은 “다른 사람의 개인정보를 개인정보처리자의 관리․통제권을 벗어나 이에 대하여 접근할 권한이 없었던 제3자가 비로소 그 내용을 알 수 있게 하는 상태에 이르게 하는 것”을 의미한다고 할 것이다.

이 사건 기록과 변론에 의하면 다음의 각 사실이 인정된다.

⑴ 이 사건 공공기관은 2017. 10. 17. 부정청탁 및 금품 등 수수금지에 관한 법률(이하 ‘청탁금지법’이라고 한다) 제23조 제5항에 따라 대전지방법원 홍성지원장에게 F, G의 청탁금지법 위반사실을 통보하면서, 이 사건 위반내역서와 같은 내용의 문서를 첨부하였다(수사기록 제40~42면).

⑵ 피고인은 위 2017. 10. 17. 무렵 이 사건 공공기관의 전자결재시스템의 기록물등록대장에 들어가 문서를 열람하던 중 이 사건 위반내역서 파일을 발견하게 되었고, 위 위반내역서에 F, G의 위반행위 일시가 “2017. 4. 18. 17:00경”라고 기재되어 있음을 확인하였다.

⑶ 이에 피고인은 2017. 10. 25.경 이 사건 위반내역서 파일을 자신의 컴퓨터에 저장한 후 이를 출력하여 위 과태료 담당재판부에 제출하면서, 자신이 알기로는 위 위반내역서에 기재된 일시(즉, 2017. 4. 18.)에 청탁금지법 위반행위가 있었던 것이 아니라 실제로는 2017. 4. 17.에 있었다는 등의 의견을 제출하였다(수사기록 제161, 162면).

살피건대, 위 인정사실 및 이 사건 기록과 변론에 의하여 알 수 있는 다음과 같은 사정들, 즉 ① 이 사건 위반내역서에 보안(잠금) 설정이 되어 있지 않았기에 피고인이 이를 저장할 수 있었던 것일 뿐, 이를 저장함에 있어 부정한 수단이나 방법을 사용한 것은 아닌 점, ② 피고인이 이 사건 공공기관의 감사부장 등 다른 사람들에게 알리지 않은 채 이 사건 위반내역서를 이 사건 공공기관 사무실 내에 위치한 자신의 컴퓨터에 저장하여 보관하고 있었다는 사정만으로 이 사건 공공기관의 관리·통제권으로부터 벗어나게 하는 행위라고 단정할 수는 없는 점, ③ 이 사건 위반내역서 기재 내용과 같이 한 과태료 부과 처분에 대한 담당 재판부에 이 사건 위반내역서를 제출한 것인바, 피고인의 행위는 이 사건 공공기관으로부터 해당 정보자료를 이미 제출받아서 확보하고 있었던 담당 재판부에 같은 내용의 출력물을 다시 제출한 것에 불과하여, 해당 재판부는 이미 그 내용을 알고 있었고, 달리 피고인이 제출한 문서에 담당 재판부가 알고 있었던 내용을 초과하는 개인정보가 담겨 있었다고 볼 만한 증거가 없는 점, ④ 개인정보보호법 제18조 제2항 제8호는 “공공기관인 개인정보처리자는 ‘법원의 재판업무 수행을 위하여 필요한 경우’ 개인정보를 목적 외의 용도로 이용하거나 이를 제3자에게 제공할 수 있다”는 취지로 규정하는바, 위 과태료 사건 담당재판부가 이 사건 공공기관으로부터 이 사건 위반내역서 기재와 같은 내용의 개인정보를 제공받은 이상 그에 대하여 적법하게 접근할 권한이 있었던 점 등을 종합하여 보면, 검사가 제출한 증거만으로는 피고인의 이 부분 공소사실 행위가 개인정보 보호법 제59조 제3호 소정의 ‘유출’에 해당한다고 단정할 수 없고, 달리 이를 인정할 증거가 없다.

개인정보처리자는 사상ㆍ신념, 노동조합ㆍ정당의 가입ㆍ탈퇴, 정치적 견해, 건강, 성생활 등에 관한 정보, 그 밖에 정보주체의 사생활을 현저히 침해할 우려가 있는 민감정보를 처리하여서는 아니 된다. 그럼에도 불구하고 피고인은 이 사건 공공기관 소속 직원인 H과 I이 각 작성하여 제출한 노동조합 가입신청서 2부를 보관하고 있던 중, 2018. 5. 초순경 이들에게 위 노동조합 가입신청서 2부를 다른 기관에 제공한다는 사실을 알리지 아니하고 이에 대한 동의를 받지 않았음에도 ‘위 H과 I이 이 사건 공공기관 노동조합(이하 ’이 사건 노동조합‘이라고 한다)에 가입을 신청하였다’는 내용의 민감정보가 기재되어 있는 위 노동조합 가입신청서 2부(이하 ‘이 사건 가입신청서’라고 한다)를 세종 어진동 소재 중앙노동위원회에 제공하였다. 이로써 피고인은 노동조합 가입 등에 관한 민감정보를 처리하였다.

피고인은 원심에서도 이 부분 항소이유와 동일한 주장을 하였고, 원심은 판결문 제5, 6면 제2의 나항에 자세히 설시하여 피고인의 위 주장을 모두 배척하였는바, 원심이 설시한 사정들에다가, 원심 및 당심이 적법하게 채택하여 조사한 증거들에 의하여 알 수 있는 다음과 같은 사정, 즉 ① 피고인은 자신이 노동조합 위원장으로서 개인정보 보호법 제28조 제1항 소정의 ‘개인정보취급자’에 해당할 뿐, 제2조 제5호 소정의 ‘개인정보처리자’라고 볼 수 없다고 주장하나, 위 조항은 ‘개인정보처리자’를 “업무를 목적으로 개인정보파일을 운용하기 위하여 스스로 또는 다른 사람을 통하여 개인정보를 처리하는 공공기관, 법인, 단체 및 개인 등”이라고 규정함으로써, 그 주체를 한정적으로 제한하고 있지 않는 점(개인정보 보호법 제2조 제5호), ② 위 법 제28조 제1항은 “개인정보처리자는 개인정보를 처리함에 있어서 개인정보가 안전하게 관리될 수 있도록 임직원, 파견근로자, 시간제근로자 등 개인정보처리자의 지휘ㆍ감독을 받아 개인정보를 처리하는 자(이하 ‘개인정보취급자’라 한다)에 대하여 적절한 관리ㆍ감독을 행하여야 한다”고 규정하는바, 피고인이 다른 누군가의 지휘·감독을 받아 위와 같은 개인정보를 처리한 것이 아니라 이 사건 노동조합의 위원장으로서 스스로 이를 처리한 이상 개인정보 보호법 제2조 제5호 소정의 ‘개인정보처리자’에 해당한다고 보이고, ‘개인정보취급자’라고 보기는 어려운 점 등을 더하여 보면, 원심이 피고인을 ‘개인정보처리자’에 해당한다고 판단한 것은 옳고, 거기에 법리오해의 잘못이 없다.

직권으로 살펴본다.

⑴ 형법 제20조에 정한 ‘사회상규에 위배되지 아니하는 행위'라 함은 법질서 전체의 정신이나 그 배후에 놓여 있는 사회윤리 내지 사회통념에 비추어 용인될 수 있는 행위를 말하고, 어떠한 행위가 사회상규에 위배되지 아니하는 정당한 행위로서 위법성이 조각되는 것인지는 구체적인 사정 아래서 합목적적·합리적으로 고찰하여 개별적으로 판단되어야 하므로, 이와 같은 정당행위가 인정되려면, 그 행위의 동기나 목적의 정당성, 행위의 수단이나 방법의 상당성, 보호이익과 침해이익의 법익 균형성, 긴급성, 그 행위 이외의 다른 수단이나 방법이 없다는 보충성 등의 요건을 갖추어야 한다(대법원 2003. 9. 26. 선고 2003도3000 판결, 2005. 12. 23. 선고 2002도1173 판결 등 참조)

한편 개인정보자기결정권이라는 인격적 법익을 침해·제한한다고 주장되는 행위를 판단함에 있어서는, 그와 같은 정보처리행위로 침해될 수 있는 정보주체의 인격적 법익과 그 행위로 보호받을 수 있는 정보처리자 등의 법적 이익이 하나의 법률관계를 둘러싸고 충돌하게 되는데, 이 때에는 정보주체가 공적인 존재인지, 개인정보의 공공성과 공익성, 원래 공개한 대상 범위, 개인정보 처리의 목적·절차·이용형태의 상당성과 필요성, 개인정보 처리로 인하여 침해될 수 있는 이익의 성질과 내용 등 여러 사정을 종합적으로 고려하여, 개인정보에 관한 인격권 보호에 의하여 얻을 수 있는 이익과 그 정보처리 행위로 인하여 얻을 수 있는 이익을 구체적으로 비교형량하여 그 정보처리행위의 최종적 위법성 여부를 판단해야 할 것이다(대법원 2016. 8. 7. 선고 2014다235080판결의 취지 및 대법원 2019. 1. 10. 선고 2018도15895 판결, 춘천지방법원 2018. 9. 14. 선고 2017노673 판결 등 참조).

⑵ 이 사건 기록과 변론에 의하면 다음의 각 사실이 인정된다.

⑶ 위 인정사실 및 이 사건 기록과 변론에 의하여 알 수 있는 다음과 같은 사정들을 종합하면 피고인의 이 사건 가입신청서 제출 행위는 사회상규에 위배되지 않는 행위로서 형법 제20조에 의하여 위법성이 조각된다고 봄이 상당하다.

그렇다면 원심판결에는 사실을 오인하거나 법리를 오해한 잘못이 있으므로, 형사소송법 제364조 제2항에 의하여 원심판결을 파기하고 변론을 거쳐, 다시 아래와 같이 판결한다.

[다시 쓰는 판결이유]

이 판결 이유 부분 제2의 가. 1)항 및 제2의

살피건대, 이 사건 공소사실 중 이 판결 이유 부분 제2의 가. 1)항 기재 공소사실은 이 판결 이유 부분 제2의 가. 2), 3)항에서 살핀 바와 같은 이유로 범죄의 증명이 없는 경우에 해당하므로 형사소송법 제325조 후단에 따라 무죄를 선고하고, 이 사건 공소사실 중 이 판결 이유 부분 제2의 나. 1)항 기재 공소사실은 이 판결 이유 부분 제2의 나. 2)항에서 살핀 바와 같은 이유로 죄가 되지 아니하는 경우에 해당하므로 형사소송법 제325조 전단에 따라 무죄를 선고하며, 형법 제58조 제2항 단서에 따라 이 판결의 요지를 공시하지 아니한다.

판사 강동원(재판장) 정주현 유인한

각주1) 1. 개인정보가 포함된 서면, 이동식 저장장치, 휴대용 컴퓨터 등을 분실하거나 도난당한 경우 2. 개인정보가 저장된 데이터베이스 등 개인정보처리시스템에 정상적인 권한이 없는 자가 접근한 경우 3. 개인정보처리자의 고의 또는 과실로 인해 개인정보가 포함된 파일 또는 종이문서, 기타 저장 매체가 권한이 없는 자에게 잘못 전달된 경우 4. 기타 권한이 없는 자에게 개인정보가 전달된 경우

각주2) 노동조합법 제82조(구제신청) ① 사용자의 부당노동행위로 인하여 그 권리를 침해당한 근로자 또는 노동조합은 노동위원회에 그 구제를 신청할 수 있다.

각주3) 피고인의 이 부분 행위에 대하여 최초로 문제를 제기한 것은 개인정보주체들이 아니라 이 사건 공공기관이었다.