보호법위반ㆍ정보통신망이용촉진및정...

보호법위반ㆍ정보통신망이용촉진및정보보호등에관한법률위반(개인정보누설등)(이른바 '경품 응모권 1mm 글씨 고지' 등 관련 형사사건)
[대법원 2017. 4. 7. 선고 2016도13263 판결]
【판시사항】
[1] 개인정보 보호법 제72조 제2호에 규정된 ‘거짓이나 그 밖의 부정한 수단이나 방법’의 의미 및 거짓이나 그 밖의 부정한 수단이나 방법으로 개인정보를 취득하거나 그 처리에 관한 동의를 받았는지 판단하는 방법
[2] 개인정보 보호법 제17조와 정보통신망 이용촉진 및 정보보호 등에 관한 법률 제24조의2에서 말하는 개인정보의 ‘제3자 제공’의 의미 및 개인정보 보호법 제26조와 정보통신망 이용촉진 및 정보보호 등에 관한 법률 제25조에서 말하는 개인정보의 ‘처리위탁’의 의미 / 개인정보 처리위탁에 있어 수탁자가 개인정보 보호법 제17조와 정보통신망 이용촉진 및 정보보호 등에 관한 법률 제24조의2에 정한 ‘제3자’에 해당하는지 여부(소극) / 어떠한 행위가 개인정보의 제공인지 아니면 처리위탁인지 판단하는 기준
【판결요지】
[1] 개인정보자기결정권의 법적 성질, 개인정보 보호법의 입법 목적, 개인정보 보호법상 개인정보 보호 원칙 및 개인정보처리자가 개인정보를 처리함에 있어서 준수하여야 할 의무의 내용 등을 고려하여 볼 때, 개인정보 보호법 제72조 제2호에 규정된 ‘거짓이나 그 밖의 부정한 수단이나 방법’이란 개인정보를 취득하거나 또는 그 처리에 관한 동의를 받기 위하여 사용하는 위계 기타 사회통념상 부정한 방법이라고 인정되는 것으로서 개인정보 취득 또는 그 처리에 동의할지에 관한 정보주체의 의사결정에 영향을 미칠 수 있는 적극적 또는 소극적 행위를 뜻한다. 그리고 거짓이나 그 밖의 부정한 수단이나 방법으로 개인정보를 취득하거나 그 처리에 관한 동의를 받았는지를 판단할 때에는 개인정보처리자가 그에 관한 동의를 받는 행위 자체만을 분리하여 개별적으로 판단하여서는 안 되고, 개인정보처리자가 개인정보를 취득하거나 처리에 관한 동의를 받게 된 전 과정을 살펴보아 거기에서 드러난 개인정보 수집 등의 동기와 목적, 수집 목적과 수집 대상인 개인정보의 관련성, 수집 등을 위하여 사용한 구체적인 방법, 개인정보 보호법 등 관련 법령을 준수하였는지 및 취득한 개인정보의 내용과 규모, 특히 민감정보·고유식별정보 등의 포함 여부 등을 종합적으로 고려하여 사회통념에 따라 판단하여야 한다.
[2] 개인정보 보호법 제17조 제1항 제1호, 제26조, 제71조 제1호, 정보통신망 이용촉진 및 정보보호 등에 관한 법률(이하 ‘정보통신망법’이라고 한다) 제24조의2 제1항, 제25조, 제71조 제3호의 문언 및 취지에 비추어 보면, 개인정보 보호법 제17조와 정보통신망법 제24조의2에서 말하는 개인정보의 ‘제3자 제공’은 본래의 개인정보 수집·이용 목적의 범위를 넘어 정보를 제공받는 자의 업무처리와 이익을 위하여 개인정보가 이전되는 경우인 반면, 개인정보 보호법 제26조와 정보통신망법 제25조에서 말하는 개인정보의 ‘처리위탁’은 본래의 개인정보 수집·이용 목적과 관련된 위탁자 본인의 업무 처리와 이익을 위하여 개인정보가 이전되는 경우를 의미한다. 개인정보 처리위탁에 있어 수탁자는 위탁자로부터 위탁사무 처리에 따른 대가를 지급받는 것 외에는 개인정보 처리에 관하여 독자적인 이익을 가지지 않고, 정보제공자의 관리·감독 아래 위탁받은 범위 내에서만 개인정보를 처리하게 되므로, 개인정보 보호법 제17조와 정보통신망법 제24조의2에 정한 ‘제3자’에 해당하지 않는다.
한편 어떠한 행위가 개인정보의 제공인지 아니면 처리위탁인지는 개인정보의 취득 목적과 방법, 대가 수수 여부, 수탁자에 대한 실질적인 관리·감독 여부, 정보주체 또는 이용자의 개인정보 보호 필요성에 미치는 영향 및 이러한 개인정보를 이용할 필요가 있는 자가 실질적으로 누구인지 등을 종합하여 판단하여야 한다.
【참조조문】
[1] 헌법 제10조, 제17조, 개인정보 보호법 제1조, 제3조 제1항, 제15조, 제17조 제1항, 제2항, 제22조 제1항, 제59조 제1호, 제72조 제2호, 구 개인정보 보호법(2013. 8. 6. 법률 제11990호로 개정되기 전의 것) 제16조 제1항, 제2항(현행 제16조 제3항 참조)
[2] 개인정보 보호법 제17조 제1항 제1호, 제26조, 제71조 제1호, 정보통신망 이용촉진 및 정보보호 등에 관한 법률 제24조의2 제1항, 제25조, 구 정보통신망 이용촉진 및 정보보호 등에 관한 법률(2016. 3. 22. 법률 제14080호로 개정되기 전의 것) 제71조 제3호(현행 제71조 제1항 제3호 참조)
【참조판례】
[2] 대법원 2011. 7. 14. 선고 2011도1960 판결(공2011하, 1675)

【전문】
【피 고 인】
【상 고 인】
검사
【변 호 인】
변호사 손지열 외 11인
【원심판결】
서울중앙지법 2016. 8. 12. 선고 2016노223 판결
【주 문】
원심판결을 파기하고, 사건을 서울중앙지방법원에 환송한다. 원심판결의 사건명 표시 “개인정보보호법위반”을 “가. 개인정보보호법위반, 나. 정보통신망이용촉진및정보보호등에관한법률위반(개인정보누설등)”으로 경정한다.

【이 유】
1. 이 사건 공소사실의 요지

가. 개인정보 취득 등으로 인한 개인정보 보호법 위반의 점
(1) 피고인 1, 피고인 2, 피고인 3, 피고인 4, 피고인 5, 피고인 6(이하 ‘피고인 1 등’이라고 한다)은 피고인 9 주식회사(이하 ‘피고인 9 회사’라고 한다)의 임직원들로서, 공소외 1 주식회사 및 공소외 2 주식회사(이하 각 ‘공소외 1 회사’, ‘공소외 2 회사’라고 한다)와 피고인 9 회사가 경품행사를 통해 취득하는 개인정보를 1건당 1,980원에 판매한다는 업무제휴약정을 각 체결하고, 경품행사를 가장하여 경품 당첨을 기대하고 응모하는 고객들의 개인정보를 수집하여 보험회사에 대가를 받고 팔아넘길 목적으로 경품행사를 기획·시행하기로 하였다.
피고인 1 등은 피고인 9 회사의 회원정보만으로는 보험회사에 판매할 충분한 개인정보를 확보할 수 없어 경품행사를 하게 되었다는 사실, 경품행사를 하는 목적이 경품행사를 가장하여 보험회사에 판매할 개인정보를 취득하는 것이라는 사실을 알면서도, 위와 같은 목적을 달성하기 위하여 각자의 직위에 따라 역할을 분담하여 경품행사를 통해 개인정보를 취득하기로 하였다.
피고인 1 등은 이에 따라 응모권 용지에 개인정보 수집 및 제3자 제공에 관한 내용을 약 1mm 크기로 인쇄하여 사실상 읽을 수 없도록 하여 응모자들로 하여금 어수선한 경품행사 현장에서 응모권에 있는 고가의 경품 사진에 현혹되어 무심코 동의를 하도록 하였다.
또 피고인 1 등은 경품행사에 필요한 범위를 넘어 개인정보를 수집하고, 그에 동의하지 않으면 경품 추첨에서 배제하였으며, 당첨자에게 연락하려는 노력을 게을리하거나 경품을 준비 또는 지급하지 않았고, 적법한 보험모집자가 아님에도 보험계약 체결 가능성이 있는 대량의 개인정보를 알선해 주고 그 대가를 받았다.
결국 피고인 1 등은 피고인 9 회사의 임직원으로서 아래 ①~④항 기재와 같이 공모하여 거짓이나 그 밖의 부정한 수단이나 방법으로 해당 범죄일람표 기재와 같이 경품행사 응모 고객들의 개인정보(성명·생년월일·휴대전화번호·자녀 수)를 취득하고 그 처리(제3자 제공)에 관한 동의를 받았다.
① 피고인 2, 피고인 3, 피고인 4: 2011년 12월경부터 2012년 8월경까지, 별지 범죄일람표(1-1)~(1-3), 3개 경품행사, 개인정보 2,986,247건
② 피고인 3, 피고인 4: 2012년 9월경부터 2013년 4월경까지, 별지 범죄일람표(1-4)~(1-6), 3개 경품행사, 개인정보 1,290,125건
③ 피고인 1, 피고인 3, 피고인 5: 2013년 7월경부터 2013년 11월경까지, 별지 범죄일람표(1-7)~(1-9), 3개 경품행사, 개인정보 1,698,457건
④ 피고인 1, 피고인 3, 피고인 6: 2013년 12월경부터 2014년 6월경까지, 별지 범죄일람표(1-10)~(1-11), 2개 경품행사, 개인정보 1,146,311건
(2) 피고인 9 회사는 위 (1)항 기재와 같이 그 대표자나 종업원인 피고인 1 등이 법