칼럼 및 연구자료

기업 현장에서는 보험설계사, 플랫폼 파트너, 프리랜서, 외주 인력 등 외부 수행자가 고객의 연락처·주소·계약 정보 등 개인정보에 접근하는 일이 빈번하게 일어납니다. 이때 이들이 개인정보를 실제로 취급하였다는 사정만으로 「개인정보 보호법」상 '개인정보처리자'에 해당한다고 볼 수 있는지가 문제됩니다. 대법원은 2026. 2. 26. 선고한 2024도14998 판결에서 이에 관한 판단 기준을 제시하였습니다.

이 사건은 보험설계사가 고객의 생년월일·주소·연락처 등 개인정보를 이용해 공범으로 하여금 고객을 사칭하게 하고, 이를 통해 보험 특약 해지 및 보장내용 변경 등을 신청한 사안입니다. 사기·사전자기록등위작 혐의와 함께 구 개인정보 보호법 위반 혐의가 다투어졌으며, 피고인이 개인정보처리자에 해당하는지가 핵심 쟁점이 되었습니다.

원심은 피고인이 고객 개인정보를 수집·보유하였다는 이유로 개인정보처리자에 해당한다고 보아 유죄로 판단하였습니다. 그러나 대법원은 개인정보처리에 해당하는 행위를 실제로 하였다는 사정만으로 곧바로 개인정보처리자에 해당하지 않으며, 개인정보 처리의 목적·내용·방법·절차를 종국적으로 결정하는 권한이 누구에게 있는지를 기준으로 판단해야 한다고 보았습니다.

보험설계사가 보험계약 체결을 중개하는 과정에서 고객 개인정보를 수집·보유하더라도, 그 처리 목적이 보험회사의 고유 업무와 밀접하게 관련된다면 종국적 결정 권한은 보험회사에 있다고 평가될 가능성이 높다는 것입니다. 대법원은 원심이 위촉계약과 보험모집 위탁계약의 구체적 내용, 개인정보 관리 주체와 방법을 충분히 심리하지 않은 채 피고인을 개인정보처리자로 전제한 것은 위법하다고 보아 원심을 파기환송하였습니다.

이번 판결은 개인정보를 실제로 취급하는 사람(개인정보취급자)과 법적 책임 주체인 개인정보처리자가 반드시 일치하지 않는다는 점을 분명히 하였습니다. 처리 목적·방법·관리체계를 실질적으로 결정하는 주체가 회사라면 외부 인력에게 업무를 맡긴 경우에도 회사가 개인정보처리자로 평가될 수 있고, 반대로 외부 수행자가 독자적인 사업 목적 아래 처리 목적과 방법을 스스로 결정한다면 별도의 개인정보처리자로 인정될 여지도 있습니다. 결국 개인정보처리자 해당 여부는 계약의 명칭이나 형식적 지위가 아니라 처리 구조 전반을 실질적으로 분석하여 가려집니다.

따라서 단순히 개인정보 처리 업무를 외부에 맡기고 있다는 사정만으로 개인정보처리자로서의 책임이 배제된다고 보기는 어렵습니다. 외부 인력이 고객 개인정보에 접근하는 구조에서는 처리 목적·접근 권한·이용 범위를 계약과 내부 규정으로 명확히 설정하고, 접근권한 관리와 로그 점검, 정기 교육, 감사 체계를 함께 갖추는 것이 바람직합니다. 위탁계약서에 처리 목적·범위·보안 조치·재위탁 제한 등 세부 조항을 구체적으로 반영하는 것 또한 중요합니다.

법무법인 비트는 개인정보보호위원회 고문변호사와 인증 심사원 자격을 갖춘 IT전문 변호사, 그리고 검사장 출신 대표 변호사의 송무 경험이 결합된 기업소송팀을 통해 개인정보 규제 해석부터 분쟁·수사 대응까지 아우르는 법률 서비스를 제공하고 있습니다.

보다 자세한 칼럼의 내용은 아래 공식 블로그를 참고해 주시기 바라며,  개인정보 보호와 관련된 개인정보처리자 판단 및 형사 사건 대응 전략에 대한 검토가 필요하시다면 언제든지 법무법인 비트로 문의하여 주시기 바랍니다.

• [기업소송팀] 보험설계자는 개인정보처리자일까? 대법원이 제시한 개인정보보보호법 판단 기준

감사합니다.

법무법인 비트 드림