【출처】 대법원 판례 — 대법원 2023도8339 (2026.01.08) · 국가법령정보센터(법제처)
[1] 임직원, 파견근로자, 시간제근로자 등 개인정보처리자의 지휘ㆍ감독을 받아 개인정보를 처리하는 자인 개인정보취급자가 개인정보처리자의 업무 수행을 위하여 개인정보를 이전받는 경우, 구 개인정보 보호법 제19조에서 정한 ‘개인정보처리자로부터 개인정보를 제공받은 자’에 해당하는지 여부(소극)
[2] 구 개인정보 보호법 제19조에서 말하는 ‘개인정보처리자로부터 개인정보를 제공받은 자’의 의미(=같은 법 제17조, 제18조 등에 규정된 바에 따라 개인정보처리자로부터 개인정보의 지배ㆍ관리권을 이전받은 그 제3자) 및 ‘제공받은 목적’의 의미(=같은 법 제17조 제1항 각 호, 제3항, 제18조 제2항 각 호에서 정한 개인정보를 제3자에게 제공할 수 있는 경우와 관련이 있는 목적) / 개인정보처리자가 구 개인정보 보호법 제17조, 제18조를 위반하여 개인정보를 제공한 경우, 그 개인정보를 제공받은 자를 같은 법 제19조의 ‘개인정보처리자로부터 개인정보를 제공받은 자’에 해당한다고 보아 그 위반을 이유로 같은 법 제71조 제2호로 처벌할 수 있는지 여부(소극)
[1] 구 개인정보 보호법(2020. 2. 4. 법률 제16930호로 개정되기 전의 것) 제71조 제2호는 ‘제19조를 위반하여 개인정보를 이용하거나 제3자에게 제공한 자’를 처벌하도록 규정하고, 제19조는 "개인정보처리자로부터 개인정보를 제공받은 자는 정보주체로부터 별도의 동의를 받은 경우나 다른 법률에 특별한 규정이 있는 경우를 제외하고는 개인정보를 제공받은 목적 외의 용도로 이용하거나 이를 제3자에게 제공하여서는 아니 된다."라고 규정한다. 그런데 임직원, 파견근로자, 시간제근로자 등 개인정보처리자의 지휘ㆍ감독을 받아 개인정보를 처리하는 자인 개인정보취급자(같은 법 제28조)가 개인정보처리자의 업무 수행을 위하여 개인정보를 이전받는 경우 위와 같은 개인정보취급자는 ‘개인정보처리자로부터 개인정보를 제공받은 자’에 해당하지 않는다.
[2] 구 개인정보 보호법(2020. 2. 4. 법률 제16930호로 개정되기 전의 것, 이하 같다)은 제15조, 제16조에서 개인정보처리자의 개인정보 수집ㆍ이용에 관하여 규정하고, 제17조에서 개인정보처리자가 수집한 개인정보를 제3자에게 제공할 수 있는 경우를 규정하며, 제18조 제2항에서 개인정보처리자가 개인정보를 목적 외의 용도로 이용하거나 이를 제3자에게 제공할 수 있는 경우를 규정한다. 제19조에서는 ‘개인정보처리자로부터 개인정보를 제공받은 자’를 수범자로 하여 정보주체로부터 별도의 동의를 받거나 다른 법률에 특별한 규정이 있는 경우를 제외하고는 개인정보를 제공받은 목적 외의 용도로 이용하거나 이를 제3자에게 제공하여서는 아니 된다고 규정하고 있다.
위와 같은 법령의 체계와 문언을 종합해 보면, 구 개인정보 보호법 제19조에서 말하는 ‘개인정보처리자로부터 개인정보를 제공받은 자’란 같은 법 제17조, 제18조 등에 규정된 바에 따라 개인정보처리자로부터 개인정보의 지배ㆍ관리권을 이전받은 그 제3자를 의미한다. 그리고 구 개인정보 보호법 제19조의 ‘제공받은 목적’은 같은 법 제17조 제1항 각 호, 제17조 제3항, 제18조 제2항 각 호에서 정한 개인정보를 제3자에게 제공할 수 있는 경우와 관련이 있는 목적을 의미하고, 그와 무관하게 제공받은 자가 가지는 주관적ㆍ일방적인 목적을 의미하는 것은 아니라고 보아야 한다. 개인정보처리자가 개인정보를 수집한 후 이를 제3자에게 제공함으로써 개인정보의 지배ㆍ관리권이 이전된다면 해당 개인정보는 그 제공의 이유나 의도에 부합하도록 이용되어야 하기 때문이다.
따라서 개인정보처리자가 구 개인정보 보호법 제17조, 제18조를 위반하여 개인정보를 제공한 경우, 개인정보처리자 및 그 사정을 알면서도 영리 또는 부정한 목적으로 그 개인정보를 제공받은 자에 대하여 그 위반을 이유로 같은 법 제71조 제1호 또는 제2호로 처벌할 수 있는지 여부는 별론으로 하더라도, 구 개인정보 보호법 제19조의 ‘개인정보처리자로부터 개인정보를 제공받은 자’에 해당한다고 보아 그 위반을 이유로 같은 법 제71조 제2호로 처벌할 수는 없다.
주제: 사내 인사담당자(개인정보취급자)의 법적 지위 및 위법하게 제공된 개인정보 수령자에 대한 처벌 한계
이 판결은 기업 내에서 인사·노무 업무를 수행하며 근로자의 개인정보를 다루는 임직원(개인정보취급자)이 개인정보 보호법상 ‘개인정보를 제공받은 자(제3자)’에 해당하는지, 그리고 애초에 위법하게 개인정보를 제공받은 자를 목적 외 이용 금지 위반으로 처벌할 수 있는지에 대한 명확한 법리적 기준을 제시한 사례입니다.
기업의 HR 부서는 채용, 급여 지급, 평가 등 필수적인 인사노무 관리를 위해 방대한 근로자 개인정보를 처리합니다. 본 판례는 사내 개인정보 이전과 외부 제3자 제공의 법적 성격을 명확히 구분하므로 실무 적용 시 반드시 유의해야 합니다.
사내 임직원 간의 정보 전달은 ‘제3자 제공’이 아님:
인사팀 직원, 파견근로자 등 사업주(개인정보처리자)의 지휘·감독 아래에서 개인정보를 다루는 자(개인정보취급자)가 업무 목적으로 정보를 넘겨받는 것은 개인정보 보호법 제19조의 ‘개인정보를 제공받은 자’에 해당하지 않습니다. 따라서 사내 부서 간 업무상 필요한 범위 내에서의 데이터 공유를 제3자 제공으로 오인하여 불필요한 동의 절차를 거칠 필요는 없습니다.
외부 업체 위탁과 제3자 제공의 엄격한 구별:
개인정보의 ‘지배·관리권’이 이전되는 경우에만 제3자 제공에 해당합니다. 급여 아웃소싱이나 4대보험 처리 위탁 등은 수탁자가 지배·관리권을 가지는 것이 아니므로 위탁(제26조)으로 봅니다. 반면, 근로자의 정보를 외부 복지몰 업체나 제휴 금융기관에 완전히 넘겨주는 경우는 제3자 제공(제17조)이므로 명확한 사전 동의가 필수적입니다.
형벌 규정의 엄격 해석 원칙:
회사가 적법한 요건(제17조, 제18조)을 갖추지 않고 위법하게 개인정보를 제공한 경우, 그 정보를 받은 자를 제19조(목적 외 이용 금지) 위반으로 처벌할 수는 없다는 것이 대법원의 입장입니다. 단, 이는 제19조 위반으로 처벌할 수 없다는 의미일 뿐, 영리나 부정한 목적으로 불법 제공받은 사실이 입증된다면 다른 조항(제71조 제1호 등)에 의해 처벌될 위험은 여전히 존재하므로 컴플라이언스 관리에 만전을 기해야 합니다.
노동법 및 개인정보 보호법을 학습할 때, 주체별 법적 지위와 각 조문의 적용 요건을 정확히 매칭하는 것이 핵심입니다.
구분 | 개념 및 특징 | 본 판례에서의 시사점 |
|---|---|---|
개인정보처리자 | 업무 목적으로 개인정보파일을 운용하는 사업주, 법인 등 | 정보 수집 및 제공의 궁극적인 책임 주체 |
개인정보취급자 | 처리자의 지휘·감독을 받아 개인정보를 처리하는 임직원 등 | 제19조의 '제공받은 자(제3자)'에 해당하지 않음 |
제공받은 자(제3자) | 적법한 절차에 따라 개인정보의 지배·관리권을 이전받은 외부인 | 제19조에 따라 '제공받은 목적' 내에서만 이용 가능 |
논리적 전제: 제19조는 "적법하게 개인정보를 제공받은 자(제17조, 제18조에 따른 제공)"를 전제로, 그 제공받은 목적 외로 사용하지 말라는 규정입니다.
결론: 애초에 위법하게 정보가 넘어갔다면, 법에서 정한 합법적인 '제공받은 목적' 자체가 존재할 수 없습니다. 따라서 목적 외 사용을 처벌하는 제19조(제71조 제2호)를 적용하는 것은 죄형법정주의에 반하는 확장해석이 되어 불가능하다는 것이 판례의 태도입니다.
