수능시험을 감독하는 업무를 맡은 공립학교 교사가 응시원서와 수험표를 대조하는 과정에서 피해자인 수험생의 연락처를 알게 되었고, 그로부터 10일 정도를 지나 "사실 OO씨가 맘에 들어서요"라는 등의 메시지를 발송했다. 개인정보 보호법 위반일까?
개인정보 보호법에 따르면 '개인정보처리자'나 '개인정보처리자로부터 개인정보를 제공받은 자'가 목적 외의 용도로 이용하거나 제3자에게 제공하는 행위 등을 처벌하는데, 개인정보처리자의 지휘ㆍ감독을 받아 개인정보를 처리하는 자, 즉 임직원, 파견근로자 등과 같은 '개인정보취급자'가 개인정보를 부당하게 이용하는 행위는 처벌대상으로 명시적으로 규정되어 있지 않다.
피고인이 개인정보처리자로부터 '개인정보를 제공받은 자'인지 아니면 개인정보취급자인지가 문제되는데, 먼저 1심은 피고인이 교육청의 지휘ㆍ감독을 받아 개인정보를 처리하는 개인정보취급자이니 무죄라고 판결했고, 2심은 피고인이 개인정보파일 운용을 목적으로 수험생들의 개인정보를 받은 것이 아니므로 개인정보취급자가 아니라고 판단했다.
대법원은 1심의 손을 들어주었다(대법원 2025. 2. 13. 선고 2020도14713 판결). 개인정보의 '제3자 제공'은 '본래의 개인정보 수집ㆍ이용 목적의 범위를 넘어 그 정보를 제공받는 자의 업무처리와 이익을 위하여 개인정보의 지배ㆍ관리권이 이전되는 것'으로, 개인정보처리자가 개인정보의 지배 관리권을 그대로 유지하면서 개인정보처리자의 업무처리와 이익을 위하여 내부적으로 개인정보를 이용하는 것과 구별된다는 논리다. 법률적으로는 피고인에게 시험 감독에 관한 업무처리와 이익을 위해 개인정보를 지배, 관리할 수 있는 권리가 이전된 것은 아니므로 이를 다른 목적으로 사용하더라도 형사처벌 대상은 아니라고 본 것이다.
타당한 결론일까? '개인정보처리자'나 '개인정보를 제공받은 자'는 개인정보 보호법에 따라 형사처벌이 수반될 수 있는 법적 의무를 부담하게 되는데, 아마도 대법원과 1심은 이 사안과 같이 공적인 업무에 투입된 실무자에게 그와 같은 지위를 인정하는 것은 법리적으로 적절하지 않다고 판단한 것으로 보인다. 어떤 이유든 개인정보와 관련한 문제가 발생할 경우를 고려하면 죄형법정주의 관점에서 일응 수긍할 여지도 있다.
다만 이 사건에서 문제가 된 구체적 행위를 고려하면 쉽게 수긍하기는 어려운 결론이다. 시험감독 교사가 수험생 정보를 이용해 '맘에 든다'는 취지의 문자를 보낸 것 자체가 변명의 여지 없이 부적절한 행위이고, 피해자는 큰 정신적 충격을 받아 기존 주거지를 떠나는 등의 실질적인 피해도 입었기 때문이다. 또한 피고인은 수사 과정에서 범행을 부인하거나 피해자에게 무고죄가 될 수도 있다는 취지로 고소취하를 종용하기도 했다는 사정까지 고려하면, 당연히 엄벌의 필요성도 있어 보인다.
아마 피해자는 민사상으로는 손해배상을 받았을 가능성이 높고, 소송을 하게 되면 위 판결과 무관하게 승소할 수는 있어 보인다. 개인정보 보호법에 따르더라도 개인정보처리자는 개인정보취급자를 적절히 관리, 감독할 의무가 있기 때문이다. 그렇더라도, 피해자가 받은 정신적 고통이 돈으로만 해결될 수 있을까? 장래 비슷한 문제를 예방하기 위해서라도, 이 사건과 같이 명백히 부적절한 행위로 피해를 입힌 사람을 처벌하기 위한 입법적 보완 역시 필요해 보인다.
독자들의 PICK!
