COLUMN · 개인정보·형사

작성 2026. 10. 16. | 로엘법무법인 김강호 변호사

조합이나 단체에서 명부를 받아 일을 하다 보면, 혼자 다 할 수 없어 함께 일하는 사람에게 명부 일부를 건네게 됩니다. 그런데 이 전달이 개인정보를 남에게 넘긴 '제3자 제공'이라며 고소나 기소로 이어지는 경우가 있습니다.

대법원은 2026년 7월, 조합장 후보가 조합에서 받은 선거인 명부를 자기 선거사무원에게 넘긴 사건에서 이를 제3자 제공으로 보기 어렵다고 판단했습니다. 「개인정보 보호법」 제19조의 '제3자 제공'과 '목적 외 용도'를 이 판결로 정리합니다.

조합장 후보가 선거사무원에게 넘긴 선거인 명부

이 사건의 피고인은 주택재개발정비사업조합의 조합임원 선거에 조합장 후보로 등록한 사람입니다. 피고인은 2022년 8월 '선거운동'을 목적으로 열람·복사를 신청해, 조합원의 이름·주소·전화번호·생년월일이 담긴 선거인 명부를 받았습니다.

조합 규정은 전화 선거운동을 후보자 본인만 할 수 있게 제한했습니다. 피고인은 선거사무원에게 전화 선거운동을 시키며 명부 중 약 150명분을 건넸고, 받은 개인정보를 목적 외 용도로 제3자에게 제공했다는 혐의로 기소되었습니다. 원심(부산지방법원 2024노1561)은 이를 유죄로 보았으나, 대법원은 원심판결을 파기하고 부산지방법원으로 환송했습니다.

'제3자 제공'은 지배·관리권이 넘어가는 것입니다

개인정보의 제3자 제공은 정보를 받는 사람의 업무와 이익을 위해 그 정보의 지배·관리권이 옮겨 가는 것을 말합니다. 개인정보처리자가 지배·관리권을 그대로 가진 채 자기 업무를 위해 내부적으로 쓰는 것은 제3자 제공이 아닙니다. 이 기준은 대법원 2025. 2. 13. 선고 2020도14713 판결에서 제시된 것입니다.

이번 판결은 이 기준을 한 단계 넓혔습니다. 처리자에게서 개인정보를 제공받은 사람이 다시 다른 사람에게 넘기는 경우에도 같은 기준으로 제3자 제공 여부를 판단한다는 것입니다. 대법원은 선거사무원이 피고인의 지휘·감독 아래 피고인의 업무와 이익을 위해 내부적으로 개인정보를 처리한 사람에 불과하다고 보았습니다.

내부 규정을 어겼다고 곧 '목적 외 이용'은 아닙니다

제19조의 '제공받은 목적'은 받은 사람이 마음속에 둔 목적이 아니라, 법이 제3자 제공을 허용하는 사유와 관련된 객관적 목적입니다. 대법원 2026. 1. 8. 선고 2023도8339 판결이 밝힌 이 기준을 이번 판결도 따랐습니다. 목적의 범위는 최초 수집 목적과 정보주체가 동의한 범위, 근거 법률의 내용, 제공 당시 의사표시, 내부 지침이나 규정을 종합해 정합니다.

특히 대법원은 정보주체의 개인정보자기결정권을 부당하게 침해하는 경우가 아니라면, 약정이나 내부 규정 일부를 어겼다는 사정만으로 목적 외 이용이라고 쉽게 단정해서는 안 된다고 했습니다. 이 사건 신청서의 목적란에는 '선거운동'만 적혀 있었고, 조합 규정도 명부를 선거 외 목적에 쓰지 말라고만 정하고 있었습니다.

선거사무원은 규정상 후보자의 선거운동을 보조할 수 있었으므로, 후보자가 선거사무원과 함께 명부를 쓰는 것은 조합원과 조합이 예상할 수 있는 범위였습니다. 전화 선거운동 제한을 어긴 것으로 보이기는 하지만, 그것을 모두 이 죄로 처벌하면 형사처벌의 범위가 지나치게 넓어진다는 것이 대법원의 판단입니다.

명부를 받거나 넘길 때 확인할 것

이 판결은 구법 사건이지만, 현행 「개인정보 보호법」에서도 제19조의 문언은 같고, 이를 처벌하는 제71조 제2호도 그대로 유지되고 있습니다. 제19조를 위반해 개인정보를 이용하거나 제3자에게 제공하면 5년 이하의 징역 또는 5천만원 이하의 벌금에 처해질 수 있습니다.

이번 판단은 지휘·감독 관계 안에서 넘긴 사안에 대한 것입니다. 필자의 해석으로는, 받은 사람이 독립적으로 자기 이익을 위해 쓰도록 넘겼다면 지배·관리권이 옮겨 간 것으로 볼 여지가 있어 결론이 달라질 수 있습니다. 「도시 및 주거환경정비법」 제124조 제6항도 열람·복사로 받은 자료를 사용목적 외 용도로 쓰지 못하게 하므로, 신청서 목적란을 어떻게 적었는지가 중요합니다.

필자가 형사 사건을 상담하다 보면, 명부를 건넨 사실만으로 처벌을 걱정하며 찾아오는 분이 적지 않습니다. 쟁점은 넘긴 사실 자체보다 받은 사람과의 관계, 지휘·감독 여부, 제공받을 때 밝힌 목적에 있습니다. 개인정보처리자 내부에서 업무로 받은 정보의 문제는 업무로 알게 된 연락처, 어느 조문에 걸리나에서 정리했습니다.

정리하면 세 가지입니다. 첫째, 제3자 제공은 지배·관리권이 넘어가는 것이고, 제공받은 사람이 다시 넘기는 경우에도 같은 기준이 적용됩니다. 둘째, 내부 규정 위반만으로 목적 외 이용을 단정할 수 없습니다. 셋째, 이 판결은 파기환송이어서 피고인의 최종 유무죄는 아직 정해지지 않았습니다.

참고자료

· 대법원 2026. 7. 16. 선고 2024도17852 판결 / 대법원 2026. 1. 8. 선고 2023도8339 판결 / 대법원 2025. 2. 13. 선고 2020도14713 판결 — 국가법령정보센터
· 「개인정보 보호법」 제19조·제71조 [시행 2026. 9. 11., 법률 제21445호], 「도시 및 주거환경정비법」 제124조 — 국가법령정보센터
· 같은 날 발행 칼럼: 신체 접촉 없어도 강제추행, 대법원이 본 기준