형사 · IT

해킹 등으로 취득한 개인정보로 개인정보파일을 운용한 자의 개인정보처리자 해당 여부

김진오 대표변호사 · 김호윤 변호사 · 박정철 변호사 · 유태선 변호사2026. 10. 12.대법원 2026. 4. 16. 선고 2026도477 판결

해당 판결

쟁점

개인정보 보호법 제18조 제1항은 개인정보처리자가 개인정보를 정해진 범위를 초과하여 이용하는 것을 금지하고, 제71조 제2호는 이를 처벌합니다. 이 사건에서는 성명불상자로부터 취득한 다른 도박사이트 회원들의 개인정보로 개인정보파일을 운용한 사람도 제2조 제5호의 개인정보처리자에 해당하는지가 문제 되었습니다. 대법원은 같은 행위에 제71조 제2호, 제18조 제1항 위반죄와 제71조 제10호, 제59조 제3호 위반죄가 함께 성립하는지도 직권으로 판단했습니다.

사실관계

• 피고인은 다른 사람(이하 제작자라 합니다)에게 도박게임 사이트 제작을 제안했고, 제작자는 자신이 가지고 있던 다른 도박게임 사이트의 소스코드를 이용하여 이 사건 사이트를 만들었습니다. 제작자는 2024. 11. 28. 도메인 주소를 등록했고, 2024. 11. 29. 피고인에게 사이트 주소를 전달했습니다.
• 이 사건 사이트에 접속하면 바카라, 슬롯 등 게임을 이용할 수 있었고, 게임 기능과 도박자금의 입·출금 기능이 실제로 작동했습니다.
• 공소사실에 따르면 피고인은 2024. 11. 29.경부터 2024. 12. 25.경까지 제작자와 함께, 성명불상자로부터 취득한 다른 도박사이트 회원들의 성명, 계좌번호, 전화번호 등이 포함된 개인정보 등 총 796건을 저장·보유하던 중 그 회원들을 이 사건 사이트의 회원으로 등록했습니다. 그리고 이를 사이트의 기능 점검, 유지, 보수 등 운영에 이용했습니다.
• 피고인은 검찰에서 사이트 테스트를 쉽게 하기 위해 제작자에게 물어보니 제작자가 개인정보를 가져왔다는 취지로 진술했습니다.
• 검사는 같은 이용 행위에 대하여 제71조 제2호, 제18조 제1항과 제71조 제10호, 제59조 제3호를 함께 적용하여 기소했습니다.

원심의 판단

원심은 검사가 제71조 제2호, 제18조 제1항을 적용하여 기소한 공소사실 부분에 대하여 제1심이 판단하지 않은 잘못이 있다고 보았습니다. 또한 피고인이 개인정보처리자에 해당하는 이상 정보주체의 동의 없는 이용에는 제71조 제2호, 제18조 제1항이 적용되어야 하고, 제71조 제10호, 제59조 제3호 위반죄는 별도로 성립하지 않는다고 보았습니다. 그 근거로 두 조항의 문언과 체계, 제59조 제3호의 「개인정보를 처리하거나 처리하였던 자」가 개인정보처리자를 포함하는 개념인 점, 2023. 3. 14. 개정의 취지 등을 들었습니다.

이에 따라 원심은 제1심판결을 파기하고, 도박공간개설죄와 함께 개인정보 보호법 위반 부분은 제71조 제2호, 제18조 제1항만 적용하여 유죄로 인정했습니다. 제59조 제3호 위반 부분은 이유에서 무죄로 판단했으나, 일죄 관계에 있는 죄를 유죄로 인정하므로 주문에서 따로 무죄를 선고하지 않았습니다. 피고인이 제작자와 공모하여 개인정보를 이용한 사실과, 사이트 오류로 판매하지 못했더라도 도박공간개설죄가 기수에 이르렀다는 점도 인정했습니다.

제1심은 제59조 제3호를 적용하여 유죄로 보았고 원심은 같은 행위에 제18조 제1항을 적용하여 유죄로 보았으나, 선고한 형은 모두 징역 1년이었습니다.

대법원의 판단

대법원은 부정한 방법으로 취득한 개인정보를 기초로 개인정보파일을 운용한 사람이 개인정보처리자에 해당하는지에 관하여 다음과 같이 판단했습니다.

개인정보 보호법 제2조 제5호 등 관련 규정의 문언과 체계, 개인정보 보호법의 입법 취지와 보호법익을 고려한 ‘개인정보처리자’ 개념에 관한 합리적 해석 등을 종합하면, 업무를 목적으로 개인정보파일을 운용하기 위하여 스스로 또는 다른 사람을 통해 개인정보를 처리하는 자는 특별한 사정이 없는 한 개인정보 보호법 제2조 제5호에서 정한 ‘개인정보처리자’에 해당한다고 보아야 하고, 해킹 등 부정한 방법을 통하여 개인정보를 취득하거나 정보주체의 동의 또는 법률의 규정 등에 기하지 아니한 채 불법적으로 유통되고 있는 개인정보를 취득한 후 이를 기초로 업무상 개인정보파일을 운용하기 위하여 개인정보를 처리한 경우라고 하더라도 이와 달리 볼 것은 아니다.

따라서 해킹 등 부정한 방법을 통해 개인정보를 직접 취득하였거나 정보주체의 동의 또는 법률의 규정 등에 기하지 아니한 채 불법적으로 유통되고 있는 개인정보를 취득하였다는 이유만으로 개인정보처리자에 해당되지 않는다고 본다면, 「개인정보 보호법」 의 입법 취지와 보호목적에 반하여 정보주체의 개인정보자기결정권 보호에 있어 상당한 공백이 발생하게 된다.

대법원은 그 이유로 다음 사정을 들었습니다.

• 제2조 제5호는 개인정보처리자의 개념을 정할 뿐, 개인정보처리자가 개인정보파일을 「어떠한 경위와 방법으로 취득하였는지에 대하여는 아무런 제한을 두고 있지 않다」고 보았습니다.
• 개인정보 보호법은 정보주체의 개인정보자기결정권을 보호법익으로 하고, 개인정보처리자에게 수집·이용·제공부터 관리·감독까지 여러 의무를 지우며 위반하면 형사책임을 지게 합니다.
• 정보주체는 개인정보처리자에게 수집 출처 고지, 열람, 정정·삭제, 처리정지 등을 요구하고 손해배상을 청구할 수 있습니다.
• 부정한 방법으로 개인정보를 취득한 사람을 개인정보처리자에서 제외하면, 정보주체의 권익을 침해할 우려가 큰 사람이 오히려 위 의무와 책임을 면하는 결과가 된다고 보았습니다.

대법원은 이 법리에 비추어 원심이 피고인을 개인정보처리자로 보아 제71조 제2호, 제18조 제1항 위반을 유죄로 판단한 것은 정당하고, 공모관계와 불이익변경금지 원칙에 관한 법리오해도 없다고 보았습니다. 도박공간개설죄의 기수에 관한 상고이유도 받아들이지 않았습니다.

한편 대법원은 직권으로, 두 처벌조항은 「수범자 및 금지행위 등 구체적인 구성요건을 달리하고 있어」 특별관계에 있다고 볼 수 없고, 1개의 행위가 각 구성요건을 충족하면 상상적 경합 관계에 있다고 판단했습니다. 따라서 원심이 제59조 제3호 위반 부분을 이유에서 무죄로 본 것은 죄수에 관한 법리를 오해한 것이라고 보았습니다. 다만 처단형의 범위에 아무런 차이가 없고 선고형에도 실질적으로 차이가 없을 것으로 보이는 점 등에 비추어, 이 잘못이 판결에 영향을 미쳤다고 볼 수는 없다고 했습니다.

결국 대법원은 개인정보처리자에 관한 원심 판단을 수긍했습니다. 죄수에 관한 원심 판단에는 법리오해가 있다고 지적했으나, 그 잘못이 판결에 영향을 미쳤다고 볼 수 없다고 하여 상고를 기각했습니다.

관련 판례

• 대법원 2014. 7. 24. 선고 2012다49933 판결: 개인정보 보호법이 정보주체의 개인정보자기결정권을 보호법익으로 한다는 법리의 근거로 들었습니다.
• 대법원 2025. 10. 30. 선고 2024도19539 판결: 위와 같은 보호법익에 관한 법리의 근거로 함께 들었습니다.
• 대법원 1997. 6. 27. 선고 97도1085 판결: 특별관계는 어느 구성요건이 다른 구성요건의 모든 요소를 포함하는 외에 다른 요소를 구비하여야 성립한다는 법리의 근거로 들었습니다.
• 대법원 2025. 7. 3. 선고 2025도4969 판결: 죄수 평가에 관한 원심의 잘못이 판결에 영향을 미쳤다고 볼 수 없다는 판단의 근거로 들었습니다.

관련 법령

• 개인정보 보호법 제2조 제5호: 개인정보처리자의 정의 조항으로, 개인정보의 취득 경위를 묻지 않는다는 해석의 근거가 되었습니다.
• 개인정보 보호법 제18조 제1항: 개인정보처리자의 범위 초과 이용을 금지하는 조항으로, 피고인에게 적용된 의무 조항입니다.
• 개인정보 보호법 제71조 제2호: 제18조 제1항을 위반하여 개인정보를 이용한 자를 처벌하는 조항으로, 원심과 대법원이 유죄의 근거로 삼았습니다.
• 개인정보 보호법 제59조 제3호: 정당한 권한 없이 다른 사람의 개인정보를 이용하는 행위를 금지하는 조항으로, 위반하면 제71조 제10호로 처벌됩니다.
• 형법 제40조: 상상적 경합에 관한 조항으로, 대법원은 위 두 죄를 상상적 경합 관계로 보았습니다.

실무상 의미

• 업무를 목적으로 개인정보파일을 운용하기 위하여 개인정보를 처리했다면, 특별한 사정이 없는 한 그 개인정보를 해킹 등 부정한 방법이나 불법 유통 경로로 얻었다는 이유만으로 개인정보처리자에서 제외되지 않습니다.
• 이 사건에서는 다른 도박사이트 회원정보를 새 사이트 회원으로 등록하여 기능 점검 등 운영에 쓴 행위에 대하여 제71조 제2호, 제18조 제1항 위반의 유죄가 유지되었습니다.
• 같은 이용 행위가 제18조 제1항 위반과 제59조 제3호 위반에 모두 해당하면 두 죄가 각각 성립하고 상상적 경합 관계에 있다고 대법원이 보았습니다.

사건 표시

• 대법원 2026. 4. 16. 선고 2026도477 판결 [도박공간개설·개인정보보호법위반] [공2026상,1182]
• 원심: 의정부지방법원 2025. 12. 19. 선고 2025노2686 판결
• 판결 원문: 국가법령정보센터

이 글은 판결을 소개하는 일반 정보이며 법률 자문이 아닙니다. 구체적인 사건은 사실관계에 따라 결론이 달라질 수 있으니 변호사와 상담하시기 바랍니다. 본문의 판결과 법령은 국가법령정보센터에 원문이 있으면 그 원문으로 연결됩니다. 연결되지 않은 하급심 판결은 판결문을 따로 확인해 정리한 것입니다.

목록으로