오늘날 디지털 사회에서 개인정보의 보호와 활용은 늘 팽팽한 긴장 관계를 유지한다. 개인정보보호법은 개인정보의 무분별한 남용을 막기 위해 제공받은 목적 외 이용이나 제3자 제공을 엄격히 금지하고, 이를 위반할 경우 형사처벌까지 부과하고 있다. 그러나 실무 현장에서는 조직 내부의 업무 위탁이나 단순 지침 위반마저 개인정보보호법상 '목적 외 처리'로 과도하게 확대 해석돼 형벌권이 남용될 위험이 존재해 왔다. 최근 선고된 대법원 판결(대법원 2026. 7. 16. 선고 2024도17852 판결)은 이러한 혼선을 정돈하고, 형사처벌 대상이 되는 '제3자 제공'과 '목적 외 이용'의 법리적 기준을 명확히 제시했다는 점에서 중요한 시사점을 던져준다.
이 사건은 한 주택재개발정비사업조합의 조합장 선거 과정에서 발생했다. 조합장 후보자인 피고인은 조합으로부터 선거운동 목적으로 조합원들의 개인정보가 담긴 '선거인 명부'를 정당하게 제공받았다. 이후 피고인은 자신의 선거사무원에게 전화 선거운동을 지시하며 선거인 명부 일부를 전달했다. 그러나 조합의 선거관리규정상 '전화를 통한 선거운동'은 후보자 본인만 할 수 있도록 제한돼 있었다. 검찰과 원심 법원은 피고인이 내부 선거관리규정을 위반해 선거사무원에게 명부를 전달한 행위를 '제공받은 목적 외의 용도로 개인정보를 제3자에게 제공한 행위'로 보아 유죄로 판단했다.
하지만 대법원의 판단은 달랐다. 대법원은 원심판결을 파기환송하며, 피고인의 행위가 개인정보보호법상 '제3자 제공'도, '목적 외 이용'도 아니라고 명확히 선언했다.
첫째, 대법원은 '제3자 제공'의 개념을 재확인했다. 개인정보의 제3자 제공이란 본래의 수집·이용 목적 범위를 넘어, 정보를 제공받는 자의 업무 처리와 이익을 위해 개인정보의 '지배·관리권'이 이전되는 것을 의미한다. 반면, 지배·관리권을 유지한 채 내부적인 업무 처리와 이익을 위해 하급자나 보조자에게 개인정보를 처리하게 하는 것은 제3자 제공에 해당하지 않는다. 선거사무원은 후보자의 지휘·감독하에 후보자의 선거운동이라는 업무를 보조하는 내부 관계자에 불과하므로, 선거사무원에게 명부를 전달한 것을 독립된 제3자에게 지배권을 넘긴 것으로 볼 수 없다는 취지다.
둘째, 대법원은 '목적 외 이용'의 엄격한 판단 기준을 제시했다. 법상 '제공받은 목적'이란 주관적·일방적 목적이 아니라, 최초 수집 목적, 정보주체가 동의한 범위, 당사자 간의 의사표시, 합리적 예측 가능성 등을 종합하여 객관적으로 설정해야 한다. 특히 정보주체와 개인정보처리자 입장에서 합리적으로 예측할 수 있는 범위 내의 이용이라면, 단순한 내부 약정이나 선거관리규정 등 '지침 위반'이 있다는 사정만으로 곧바로 형사처벌 대상인 '목적 외 이용'으로 단정해서는 안 된다고 판시했다. 조합원들 역시 후보자가 선거사무원과 함께 선거인 명부를 활용할 것임을 충분히 예측할 수 있었으므로, 전화를 통한 선거운동 제한을 어겼다는 내부 규정 위반이 곧바로 개인정보자기결정권을 부당하게 침해하는 '목적 외 이용'이 될 수는 없다는 것이다.
결국 이번 판례는 개인정보 보호의 필요성을 인정하면서도, '독립된 제3자로의 지배권 이전'과 '정보주체의 예측 가능성을 벗어난 부당한 권리 침해'라는 엄격한 잣대를 통과할 때에만 형사적 책임을 물을 수 있음을 분명히 했다. 기업과 기관 등 개인정보처리자와 수령자는 내부 업무 위탁 및 보조자 활용 체계를 정비함에 있어, 단순한 내부 규정 준수를 넘어 '정보주체의 합리적 예측 가능성'과 '지배·관리권의 귀속 관계'를 중심으로 개인정보 처리 절차를 철저히 관리해야 할 것이다.
김경환 법무법인 민후 변호사