COLUMN · 개인정보·형사

작성 2026. 11. 4. | 로엘법무법인 김강호 변호사

보험설계사는 계약을 받으면서 고객의 생년월일, 주소, 연락처를 알게 됩니다. 그 정보를 계약 목적과 다르게 쓰면 「개인정보 보호법」 위반으로 처벌된다고 생각하기 쉽습니다.

그런데 대법원은 2026년 2월, 설계사가 고객 정보를 직접 수집했다는 사정만으로는 이 법의 '개인정보처리자'로 단정할 수 없다며 유죄 판결을 파기했습니다. 누가 개인정보처리자인지, 설계사에게 이 판결이 어떤 의미인지 정리합니다.

고객 정보로 보험 내용을 바꾼 사건, 원심은 유죄였습니다

판결문에 따르면 피고인은 2015년 10월부터 한 보험회사의 설계사로 위촉되어 일했고, 고객 한 명이 2015~2016년 무렵 피고인을 통해 그 회사 보험에 가입했습니다. 2017년 1월 피고인과 공모한 사람이 보험회사 상담원에게 고객인 척 전화해, 피고인이 가입·관리 과정에서 수집한 고객의 생년월일·주소·연락처 등으로 특약 해지와 보장내용 변경을 신청했습니다.

검사는 이를 개인정보처리자가 수집 목적의 범위를 넘어 개인정보를 이용한 행위로 보고, 구 「개인정보 보호법」 제71조 제2호, 제18조 제1항으로 기소했습니다. 제1심과 원심(서울중앙지방법원 항소심)은 유죄로 판단했지만, 대법원은 원심판결을 파기하고 사건을 서울중앙지방법원에 돌려보냈습니다.

개인정보를 다뤘다고 모두 '처리자'는 아닙니다

제18조 제1항의 목적 외 이용 금지는 '개인정보처리자'에게 적용되는 조문입니다. 법 제2조 제5호는 개인정보처리자를 업무 목적으로 개인정보파일을 운용하려고 스스로 또는 다른 사람을 통해 개인정보를 처리하는 공공기관·법인·단체·개인 등으로 정의하며, 현행법도 같은 문언입니다.

대법원은 개인정보처리자가 업무를 위탁하거나(제26조) 지휘·감독을 받는 임직원 같은 개인정보취급자(제28조)를 통해 정보를 처리할 수도 있다는 점에 주목했습니다. 그래서 정보를 수집·보유·이용하는 행위를 실제로 했다는 것만으로는 처리자가 되지 않고, 처리의 목적·내용·방법·절차를 종국적으로 결정하는 권한이 누구에게 있는지를 따져야 한다고 밝혔습니다.

여기에 더해 대법원은 처리자의 의무와 책임을 누구에게 지우는 것이 정보주체 보호에 맞는지도 함께 고려하라고 했습니다. 필자 식으로 풀면, 정보를 손에 쥔 사람보다 처리의 방향을 정하는 사람이 누구인지가 핵심이라는 취지로 읽힙니다.

보험설계사라면 결정 권한은 보험회사 쪽일 여지가 큽니다

보험설계사가 계약 중개 과정에서 고객 정보를 수집하더라도, 특별한 사정이 없으면 결정 권한은 보험회사에 있다고 볼 여지가 높다는 것이 대법원의 판단입니다. 「보험업법」 제2조 제9호와 제83조 제1항 제1호에 따르면 설계사는 보험회사 등에 소속되어 계약 체결을 중개하는 모집종사자이고, 그 정보 처리는 보험회사의 고유한 업무와 이익에 밀접하게 닿아 있기 때문입니다.

원심은 위촉계약과 모집 위탁계약의 내용, 고객 정보를 누가 어떻게 관리했는지, 공소사실에 적힌 개인정보파일이 실제로 있었는지를 충분히 살피지 않았습니다. 대법원은 이를 법리오해 또는 심리미진으로 보았습니다. 다만 처리자가 아니더라도 제74조 양벌규정의 행위자에 해당하면 처벌 대상이 될 수 있다는 점은 별론으로 했는데, 이는 대법원 2021. 10. 28. 선고 2020도1942 판결의 법리입니다.

처벌 대상에서 빠진다는 뜻은 아닙니다

이번 판결은 무죄 판결이 아니라, 개인정보처리자인지를 다시 심리하라는 취지의 파기환송입니다. 대법원은 사기·사전자기록 등 위작·행사 부분의 유죄 판단에는 잘못이 없다고 보았고, 다만 하나의 형이 선고된 경합범이라 원심판결 전부를 파기했습니다. 환송 후 결론과 확정 여부는 확인되지 않았습니다.

필자 대조로 덧붙이면, 현행 「개인정보 보호법」 제59조는 수범자를 '개인정보를 처리하거나 처리하였던 자'로 정하고 제71조 제9호·제10호로 처벌합니다. 같은 행위도 어느 조문으로 기소됐는지에 따라 다툼의 지점이 달라지는데, 이번 판결은 제59조 적용 여부를 판단하지 않았습니다. 업무로 받은 정보와 조문의 관계는 업무로 알게 된 연락처, 어느 조문에 걸리나에서도 다뤘습니다.

필자가 형사 사건을 상담하다 보면, 영업직이 고객 정보를 다뤘다는 사실만으로 혐의가 성립한다고 여기고 위촉계약서는 들여다보지 않는 경우를 봅니다. 설계사라면 위촉계약과 회사의 고객정보 관리 지침, 고객 정보를 어디에 어떻게 보관했는지부터 정리해 두는 것이 출발점입니다. 결론은 계약 구조와 구체적 사실관계에 따라 달라질 수 있습니다.

정리하면 세 가지입니다. 첫째, 개인정보를 실제로 다뤘다는 것만으로 개인정보처리자가 되지는 않습니다. 둘째, 기준은 처리의 목적과 방법을 종국적으로 결정하는 권한이고, 설계사라면 보험회사 쪽일 여지가 큽니다. 셋째, 그래도 양벌규정 행위자나 다른 조문으로 처벌될 가능성은 남아 있습니다.

참고자료

· 대법원 2026. 2. 26. 선고 2024도14998 판결 / 대법원 2021. 10. 28. 선고 2020도1942 판결 — 국가법령정보센터
· 「개인정보 보호법」 제2조·제18조·제26조·제28조·제59조·제71조·제74조 [법률 제21445호, 시행 2026. 9. 11.] — 국가법령정보센터
· 「보험업법」 제2조·제83조 [법률 제20436호, 시행 2025. 1. 31.] — 국가법령정보센터
· 같은 날 발행 칼럼: 해외직구 어린이제품, 12월 3일부터 안전성조사