COLUMN · 개인정보·형사

작성 2026. 9. 16. | 로엘법무법인 유한규 변호사

업무를 하다 보면 남의 연락처를 보게 됩니다. 접수 서류에서, 명단에서, 신청서에서 봅니다. 그 번호로 사적인 연락을 하면 어떤 죄가 되는지는 간단하지 않습니다.

흔히 드는 조문은 「개인정보 보호법」 제19조입니다. 그런데 대법원은 2025년에 업무로 받아 본 사람은 그 조문의 수범자가 아니라고 판단했습니다. 처벌을 면한다는 뜻은 아닙니다.

01

제19조는 '밖에서 받은 사람'을 겨눈 조문입니다

제19조의 수범자는 개인정보처리자로부터 개인정보를 제공받은 자입니다. 조문은 그 사람에게 제공받은 목적 외의 용도로 이용하거나 제3자에게 제공해서는 아니 된다고 하고, 예외는 두 가지뿐입니다. 정보주체로부터 별도의 동의를 받은 경우와 다른 법률에 특별한 규정이 있는 경우입니다.

벌칙은 가볍지 않습니다. 제71조 제2호는 제19조를 위반해 개인정보를 이용하거나 제3자에게 제공한 자를 5년 이하의 징역 또는 5천만원 이하의 벌금에 처합니다.

문제는 "제공받은 자"가 누구냐입니다. 회사끼리 명단을 넘긴 경우라면 다툼이 없지만, 기관이 자기 일을 시키려고 직원이나 위촉받은 사람에게 자료를 건넨 경우가 오래 문제 되어 왔습니다.

02

대법원은 감독관이 여기 없다고 보았습니다

대법원 2025. 2. 13. 선고 2020도14713 판결은 개인정보취급자는 제19조의 '제공받은 자'에 해당하지 않는다고 판단했습니다. 공립학교 교사가 대학수학능력시험 감독관으로 위촉되어 동일성 확인업무를 위해 교육청으로부터 응시원서를 전달받았고, 대조 과정에서 알게 된 연락처로 사적인 메시지를 보낸 사안이었습니다.

심급마다 결론이 달랐습니다. 제1심은 무죄, 원심은 유죄였는데, 대법원은 교사가 교육청의 지휘·감독하에 개인정보를 처리한 개인정보취급자일 뿐이라고 보아 원심을 파기하고 사건을 환송했습니다.

취급자의 범위도 함께 밝혔습니다. 같은 판결은 개인정보취급자가 직접 개인정보 업무를 담당하는 사람뿐 아니라 업무상 필요로 개인정보에 접근해 처리하는 사람을 모두 포함한다고 했습니다. 정규직인지 위촉직인지는 기준이 아닙니다.

03

갈림길은 지배·관리권입니다

기준은 자료가 건네졌는지가 아니라 지배·관리권이 넘어갔는지입니다. 판결은 제3자 제공을 받는 자의 업무처리와 이익을 위하여 지배·관리권이 이전되는 것으로 보고, 개인정보처리자가 지배·관리권을 그대로 둔 채 자신의 업무를 위해 내부적으로 이용하는 것과 구별했습니다.

근거는 정의 규정입니다. 제2조 제5호는 개인정보처리자를 스스로 또는 다른 사람을 통하여 개인정보를 처리하는 자로 정의합니다. 다른 사람을 통한 처리도 자기 처리이므로, 그 사람에게 자료가 넘어간 것을 제3자 제공으로 볼 수 없다는 것입니다.

체계도 같은 방향입니다. 제17조와 제18조 제2항 다음에 제19조가 놓여 있으므로, 그 수범자는 두 조문에 따라 지배·관리권을 이전받은 제3자라는 것입니다.

04

그렇다고 빠져나가는 것은 아닙니다

제19조가 아니라는 판단은 조문이 바뀐다는 뜻이지 책임이 없다는 뜻이 아닙니다. 같은 법 제59조의 수범자는 개인정보를 처리하거나 처리하였던 자로, 취급자를 정면으로 포섭합니다.

제59조는 세 가지를 금지합니다. 부정한 수단으로 개인정보를 취득하는 행위(제1호), 업무상 알게 된 개인정보를 누설하거나 권한 없이 다른 사람이 이용하도록 제공하는 행위(제2호), 허용된 권한을 초과하여 개인정보를 이용·유출하는 행위(제3호)입니다. 제71조 제9호·제10호는 이를 제19조와 같은 법정형으로 처벌합니다.

필자가 형사 사건을 다루며 보는 다툼의 실질도 여기에 있습니다. 쟁점은 "처벌되느냐"가 아니라 어느 조문의 구성요건에 맞느냐이고, 이 사건에서도 원심이 뒤집힌 이유는 사실관계가 아니라 법리오해였습니다.

정리하면 셋입니다. 제19조는 지배·관리권을 넘겨받은 제3자의 조문이고, 지휘·감독을 받는 사람은 취급자이며, 그 사적 이용은 제59조에서 문제 됩니다.

FAQ

자주 묻는 질문

Q. 업무로 알게 된 고객 연락처로 개인적으로 연락하면 처벌되나요?

조문이 갈립니다. 대법원 2025. 2. 13. 선고 2020도14713 판결에 따르면 지휘·감독을 받아 개인정보를 처리한 사람은 「개인정보 보호법」 제19조의 '제공받은 자'가 아닙니다. 다만 제59조 제2호는 업무상 알게 된 개인정보를 누설하거나 권한 없이 다른 사람이 이용하도록 제공하는 행위를, 제3호는 허용된 권한을 초과한 이용을 금지하고 있습니다.

Q. 개인정보 보호법 제19조의 '제공받은 자'에는 누가 포함됩니까?

대법원 2020도14713 판결은 제17조·제18조 등에 따라 개인정보처리자로부터 개인정보의 지배·관리권을 이전받은 제3자를 뜻한다고 보았습니다. 임직원·파견근로자·시간제근로자처럼 지휘·감독을 받아 개인정보를 처리하는 개인정보취급자는 여기에 포함되지 않습니다.

Q. 제19조에 해당하지 않으면 처벌을 면하나요?

적용 조문이 달라지는 것일 뿐입니다. 제59조의 수범자는 개인정보를 처리하거나 처리하였던 자여서 개인정보취급자를 포함하고, 제71조 제9호와 제10호는 제59조 제2호·제3호 위반을 제19조 위반과 같은 5년 이하의 징역 또는 5천만원 이하의 벌금으로 정하고 있습니다.

참고자료

· 「개인정보 보호법」 제2조·제17조·제18조·제19조·제59조·제71조 [법률 제21445호, 시행 2026. 9. 11.] — 국가법령정보센터
· 대법원 2025. 2. 13. 선고 2020도14713 판결(파기환송) — 국가법령정보센터
· 관련: 고소장에 적힌 개인정보는 어디까지 쓸 수 있나 / 개인정보 유출, 대표에게도 형사책임이 갑니다
· 같은 날 발행 칼럼: 세금 압류, 월급은 절반까지입니다