불법적으로 취득한 개인정보 처리와 개인정보 보호법 위반죄의 적용 기준 [2026. 4. 16. 선고 2026도477 판결]
Article posted in 2026-08-20 17:24:53 | VEAT
개인정보가 해킹이나 불법 유통 등 부정한 경로를 통해 취득된 경우, 이를 이용한 사람도 개인정보 보호법상 개인정보처리자에 해당하는지가 문제될 수 있습니다. 또한 하나의 개인정보 이용행위가 수집 목적을 벗어난 이용·제공과 정당한 권한 없는 이용·유출에 모두 해당하는 경우, 각각의 개인정보 보호법 위반죄가 어떠한 관계에 있는지도 쟁점이 됩니다.
대법원은 2026. 4. 16. 선고한 2026도477 판결에서 불법적으로 취득·유통된 개인정보를 처리한 사람의 개인정보처리자 해당 여부와 개인정보 보호법 제18조 제1항 및 제59조 제3호 위반죄의 죄수관계를 판단하였습니다.
이 사건은 피고인이 도박공간을 개설하면서 해킹 등 부정한 방법으로 취득되었거나 불법적으로 유통되고 있던 개인정보를 이용한 사안입니다.
개인정보 보호법은 개인정보처리자를 업무를 목적으로 개인정보파일을 운용하기 위하여 개인정보를 처리하는 공공기관, 법인, 단체 및 개인 등으로 규정하고 있습니다. 대법원은 개인정보처리자가 개인정보파일을 어떠한 경위와 방법으로 취득하였는지에 관하여 법에서 별도의 제한을 두고 있지 않다는 점과 개인정보 보호법의 입법취지 및 보호목적을 고려하였습니다.
이에 따라 해킹 등 부정한 방법으로 개인정보를 취득하거나 불법적으로 유통되고 있던 개인정보를 취득한 경우에도, 이를 기초로 업무상 개인정보파일을 운용하기 위하여 개인정보를 처리하였다면 특별한 사정이 없는 한 개인정보 보호법상 개인정보처리자에 해당한다고 판단하였습니다.
아울러 대법원은 수집 목적의 범위를 초과하여 개인정보를 이용하거나 제3자에게 제공한 행위와 정당한 권한 없이 개인정보를 이용·유출한 행위는 서로 독립된 별개의 구성요건을 가진다고 보았습니다. 이에 두 죄가 특별관계에 있다고 본 원심과 달리, 하나의 행위가 두 구성요건을 모두 충족하는 경우 상상적 경합 관계에 있다고 판단하였습니다.
이번 판결은 개인정보의 취득 경위가 부적법하다는 사정만으로 개인정보처리자 해당 여부가 달라지는 것은 아니라는 점을 보여줍니다. 개인정보 관련 형사사건에서는 개인정보파일의 운용 목적과 실제 처리 방식, 행위자의 권한 및 각 처벌규정의 구성요건을 구체적으로 구분하여 살펴보는 것이 중요합니다.
법무법인 비트는 개인정보 보호 및 IT 분야의 규제·분쟁 사안에서 관련 법령과 판례뿐 아니라 실제 데이터 처리 구조와 업무 과정, 당사자별 권한관계를 함께 분석하여 형사·민사 분쟁 및 개인정보 컴플라이언스 전반에 관한 법률 서비스를 제공하고 있습니다.