형사 · IT

보험설계사가 고객 개인정보를 수집 목적 범위를 넘어 이용한 경우 개인정보처리자에 해당하는지 판단하는 기준

김진오 대표변호사 · 김호윤 변호사 · 박정철 변호사 · 유태선 변호사2026. 10. 13.대법원 2026. 2. 26. 선고 2024도14998 판결

해당 판결

쟁점

구 개인정보 보호법 제71조 제2호, 제18조 제1항은 개인정보처리자가 개인정보를 수집 목적 범위를 넘어 이용한 경우를 처벌합니다. 개인정보처리자의 뜻은 같은 법 제2조 제5호에 정해져 있습니다. 이 사건의 쟁점은 보험회사 소속 보험설계사가 보험 가입 과정에서 고객 개인정보를 수집했다는 사정만으로 이 조항의 수범자인 개인정보처리자가 되는지였습니다.

사실관계

• 피고인은 2015. 10. 22.경부터 보험회사에서 보험설계사로 위촉되어 활동했습니다.
• 보험가입자는 2015년, 2016년 무렵 피고인을 통해 그 보험회사의 보험상품에 가입했습니다.
• 공소사실에 따르면, 피고인은 2017. 1. 4.경 공범과 공모했습니다. 공범은 보험회사 상담원에게 전화해 보험가입자인 것처럼 행세하며 특약 해지, 주 계약의 보장내용 변경 등을 신청했습니다.
• 공소사실에 따르면, 이때 쓰인 정보는 피고인이 보험 가입 및 고객 관리를 위해 수집한 보험가입자의 생년월일, 주소, 연락처 등입니다.
• 검사는 개인정보처리자인 피고인이 보험가입자의 개인정보를 수집 목적의 범위를 초과하여 이용했다고 보아 기소했습니다. 사기, 사전자기록 등 위작, 위작 사전자기록 등 행사로도 함께 기소했습니다.

원심의 판단

원심은 개인정보 보호법 위반 공소사실에 구 개인정보 보호법 제71조 제2호, 제18조 제1항을 적용해 유죄로 인정한 제1심판결을 그대로 유지했습니다. 대법원 판결에 따르면 원심은 피고인이 보험가입자의 개인정보를 수집한 적이 있다는 등의 사정만으로 피고인을 개인정보처리자로 전제했습니다. 원심 판결 원문은 확인하지 못하여, 이 글은 대법원 판결이 전하는 원심 판단만 소개합니다. 제1심과 원심의 결론은 같았습니다.

대법원의 판단

대법원은 누가 개인정보처리자인지에 관하여 다음과 같이 판단했습니다.

따라서 어떤 주체가 업무를 목적으로 개인정보파일을 운용하기 위하여 개인정보를 수집, 보유, 이용하는 등 개인정보처리에 해당하는 행위를 실제로 하였다는 사정만으로 그가 당연히 개인정보처리자에 해당하는 것은 아니다.

누가 개인정보처리자인지는 개인정보처리의 목적, 내용, 방법, 절차 등 개인정보처리에 관한 사항을 종국적으로 결정하는 권한이 누구에게 있는지에 따라 판단하여야 한다. 이러한 판단은 개인정보처리의 목적이 누구의 고유한 업무 및 이익과 밀접한 관련성을 맺고 있는지, 그 목적 달성을 위해 개인정보를 처리하는 과정에서 실질적인 지휘 또는 감독을 하는 자가 누구인지, 개인정보파일을 누가 어떠한 목적으로 어떻게 생성·보유·운용하고 있는지 등 여러 사정을 종합적으로 고려하여 이루어져야 한다.

이 사건에서는 다음 사정 등을 들어 원심 판단을 받아들이기 어렵다고 보았습니다.

• 피고인이 보험계약 체결 과정에서 보험가입자의 개인정보를 수집하는 등 처리한 사실은 인정됩니다. 그러나 그 사정만으로 당연히 개인정보처리자에 해당하지는 않는다고 보았습니다.
• 보험설계사는 보험회사 등에 소속되어 보험계약의 체결을 중개하는 모집종사자입니다(보험업법 제2조 제9호, 제83조 제1항 제1호).
• 보험설계사가 중개 과정에서 개인정보를 처리하더라도, 그 목적은 특별한 사정이 없는 한 보험회사의 고유한 업무 및 이익과 밀접한 관련성을 맺게 됩니다. 그래서 종국적 결정 권한이 보험회사에 있다고 볼 여지가 높다고 보았습니다.
• 정보주체의 권익 보호와 개인정보의 적합한 처리를 위하여 보험회사로 하여금 개인정보처리자의 의무와 책임을 지도록 할 필요도 있다고 보았습니다.
• 원심은 위촉계약과 보험모집 위탁계약의 내용, 고객 개인정보의 관리 주체나 방법, 실질적인 지휘 또는 감독을 하는 자를 충분히 살펴보지 않았습니다. 피고인이 운용한다고 기재된 개인정보파일의 존부와 그 생성·보유·운용에 관한 구체적 사정도 살펴보지 않았다고 보았습니다.

대법원은 원심 판단에 개인정보처리자에 관한 법리오해 또는 심리미진으로 판결에 영향을 미친 잘못이 있다고 보았습니다. 다만 피고인이 개인정보처리자에 해당하지 않더라도 구 개인정보 보호법 제74조 양벌규정에서 정한 행위자에 해당하면 처벌 대상이 될 수 있다는 점은 별론으로 했습니다(대법원 2021. 10. 28. 선고 2020도1942 판결 참조). 사기, 사전자기록 등 위작, 위작 사전자기록 등 행사 부분에 대해서는 원심 판단에 잘못이 없다고 보았습니다.

개인정보 보호법 위반 부분과 나머지 유죄 부분은 형법 제37조 전단의 경합범 관계에 있어 하나의 형이 선고되었습니다. 그래서 대법원은 원심판결 전부를 파기하고 사건을 서울중앙지방법원에 환송했습니다.

관련 법령

• 구 개인정보 보호법 제2조 제5호: 개인정보처리자의 정의 조항으로, 피고인이 처벌 조항의 수범자인지 판단하는 기준이 되었습니다.
• 구 개인정보 보호법 제18조 제1항: 개인정보처리자의 목적 외 이용을 금지하는 조항으로, 이 사건 공소사실에 적용되었습니다.
• 구 개인정보 보호법 제71조 제2호: 제18조 제1항을 위반하여 개인정보를 이용한 자를 처벌하는 조항입니다.
• 구 개인정보 보호법 제28조: 대법원은 개인정보처리자가 지휘·감독을 받는 개인정보취급자를 통해서도 개인정보를 처리할 수 있다는 근거로 이 조항을 들었습니다.
• 보험업법 제2조 제9호: 제83조 제1항 제1호와 함께 보험설계사가 보험회사에 소속된 모집종사자라는 근거로 들었습니다.

실무상 의미

• 구 개인정보 보호법 제18조 제1항 위반죄는 개인정보처리자를 수범자로 합니다. 개인정보를 실제로 수집·이용했다는 사정만으로 당연히 개인정보처리자가 되지는 않으며, 종국적 결정 권한이 누구에게 있는지를 따져야 합니다.
• 보험설계사가 문제 된 경우 위촉계약과 위탁계약의 내용, 고객 정보의 관리 주체와 방법, 실질적인 지휘 또는 감독을 하는 자, 개인정보파일의 존부 등이 판단 자료가 됩니다.
• 대법원은 양벌규정의 행위자로 처벌될 가능성은 별론으로 했고, 사기 등 부분의 유죄 판단에는 잘못이 없다고 보았습니다. 개인정보처리자 해당 여부 외에 다른 처벌 근거도 함께 검토해야 합니다.

사건 표시

• 대법원 2026. 2. 26. 선고 2024도14998 판결 [사기·사전자기록등위작·위작사전자기록등행사·개인정보보호법위반] [공2026상,882]
• 원심: 서울중앙지방법원 2024. 9. 5. 선고 2023노2040 판결
• 판결 원문: 국가법령정보센터

이 글은 판결을 소개하는 일반 정보이며 법률 자문이 아닙니다. 구체적인 사건은 사실관계에 따라 결론이 달라질 수 있으니 변호사와 상담하시기 바랍니다. 본문의 판결과 법령은 국가법령정보센터에 원문이 있으면 그 원문으로 연결됩니다. 연결되지 않은 하급심 판결은 판결문을 따로 확인해 정리한 것입니다.

목록으로