• 목록

 대법원 2025. 6. 26. 선고 2023도18539 판결

  [공소사실의 요지]

어린이집 원장인 피고인은 보육교사의 근무시간 중 휴대전화 사용 여부를 확인할 목적으로 CCTV 영상을 확인하고, 이를 업무지시 불이행 사안으로 피고인이 속한 회사의 보육사업 담당자에게 전달하여 징계심의의 자료로 삼게 함으로써, 개인정보처리자인 피고인은 개인정보를 수집 목적의 범위를 초과하여 이용함

(피고인은 어린이집 내에 설치된 CCTV로 실시간 촬영되는 영상을 시청하여, 영상에 포함된 보육교사의 휴대전화 사용 내역을 확인하고, 그 확인 내역을 정리하여 피고인이 속한 보육사업 담당자에게 구두로 알려주었으며, 피고인이 속한 회사는 해당 정보를 근거로 보육교사의 업무지시 불이행을 징계사유 중 하나로 삼아 보육교사에 대한 징계심의를 개시하고자 함)

  [쟁점]

피고인이 어린이집 내에 설치된 CCTV로 실시간 촬영되는 영상을 시청하여, 영상에 포함된 보육교사의 휴대전화 사용 내역을 확인하고, 그 확인 내역을 정리하여 보육사업 담당자에게 구두로 알려주는 것이 개인정보의 '이용'에 해당하는지

  [원심(서울동부지방법원 2023. 11. 30. 선고 2023노612 판결)의 판단]

피고인의 행위는 CCTV 영상에 나타난 보육교사의 근무 태도에 관한 영상을 보육사업 담당자에게 구술로 전달한 것으로서, 해당 정보는 개인정보처리자로서 취득한 보육교사의 '성명, 주민등록번호, 영상'에 해당하는 정보, 즉 개인정보처리자로서 취득한 개인정보 그 자체에 해당하지 않고, 해당 정보를 통해 보육교사의 인적 사항 등 특정 개인을 알아볼 수 있는 것도 아니므로, 피고인의 행위를 '개인정보'의 목적 외 이용행위로 볼 수 없다.

(원심은 피고인이 보육교사의 근무태도에 관한  정보를 보육사업 담당자에게 제공한 행위 부분만을 분리하여 그 정보가 개인정보에 해당하지 않는다고 판단함) 

  ★[대법원의 판단]★

개인정보의 '이용'은 개인정보처리자가 개인정보의 지배 · 관리권을 이전하지 않은 채 스스로 개인정보를 쓰는 행위를 의미한다. 개인정보의 이용에는 개인정보를 수집된 형태 그대로 쓰는 행위뿐만 아니라 수집된 개인정보를 가공, 편집하여 쓰거나 그로부터 정보를 추출하여 쓰는 행위도 포함된다. 따라서 개인정보의 이용에 해당하는지는 개인정보를 쓰는 일련의 행위를 전체적으로 보아 판단해야 한다.

피고인이 시청한 CCTV 영상은 정보주체의 초상, 신체의 모습 등이 촬영되어 영상을 통하여 알아볼 수 있는 정보로서 보육교사의 개인정보(제2조 제1호 가목의 개인정보)에 해당한다. 

CCTV 영상에 포함된 휴대전화 사용에 관한 정보를 징계심의의 자료로 사용하는 것은 전체적으로 보아 개인정보처리자가 개인정보의 지배 · 관리권을 이전하지 않은 채 스스로 개인정보를 쓰는 행위로서 개인정보인 CCTV 영상을 이용한 행위에 해당한다. 

  [대법원 판시의 의의] (* 출처 : 법무법인 민◯, 김◯환 변호사)

개인정보보호법 및 표준개인정보보호지침에는 개인정보 '이용'에 대한 정의규정이 존재하지 않는바, 대법원은 개인정보의 '이용'의 개념정의를 최초로 밝히고 있다. 

개인정보의 '이용'은 1) 개인정보의 지배· 관리권을 이전하지 않은 상태에서, 2) 개인정보처리자 스스로, 3) 개인정보를 쓰는 행위를 의미한다. 

3) 개인정보를 쓰는 행위는 개인정보를 수집된 형태 그대로 쓰는 행위뿐만 아니라 수집된 개인정보를 가공, 편집하여 쓰거나 그로부터 정보를 추출하여 쓰는 행위도 포함된다. 

본 사안에서, 대법원은 피고인이 시청한 CCTV 영상이 개인정보임을 전제로 그로부터 휴대전화 사용에 관한 정보를 추출하여 분석기록한 뒤 이에 기초한 정보를 피고인이 속한 회사의 보육사업 담당자에게 전달한 행위는 전체적으로 개인정보인 CCTV 영상을 이용한 행위에 해당한다고 보았다. 

특히 이러한 일련의 행위 과정에서 피고인이 전달한 정보가 정보주체의 초상, 신체의 모습 등이 촬영된 CCTV 영상 자체가 아니라 그로부터 추출한 정보라는 점에서, 개인정보의 '이용'의 범위를 다소 확대한 측면이 있다. 

 ※ [참조조문] : 개인정보보호법

 제15조(개인정보의 수집ㆍ이용) ① 개인정보처리자는 다음 각 호의 어느 하나에 해당하는 경우에는 개인정보를 수집할 수 있으며 그 수집 목적의 범위에서 이용할 수 있다. 

  1. 정보주체의 동의를 받은 경우

  2. 법률에 특별한 규정이 있거나 법령상 의무를 준수하기 위하여 불가피한 경우

  3. 공공기관이 법령 등에서 정하는 소관 업무의 수행을 위하여 불가피한 경우

  4. 정보주체와 체결한 계약을 이행하거나 계약을 체결하는 과정에서 정보주체의 요청에 따른 조치를 이행하기 위하여 필요한 경우

  5. 명백히 정보주체 또는 제3자의 급박한 생명, 신체, 재산의 이익을 위하여 필요하다고 인정되는 경우

  6. 개인정보처리자의 정당한 이익을 달성하기 위하여 필요한 경우로서 명백하게 정보주체의 권리보다 우선하는 경우. 이 경우 개인정보처리자의 정당한 이익과 상당한 관련이 있고 합리적인 범위를 초과하지 아니하는 경우에 한한다.

  7. 공중위생 등 공공의 안전과 안녕을 위하여 긴급히 필요한 경우

 제17조(개인정보의 제공) ① 개인정보처리자는 다음 각 호의 어느 하나에 해당되는 경우에는 정보주체의 개인정보를 제3자에게 제공(공유를 포함한다. 이하 같다)할 수 있다. 

  1. 정보주체의 동의를 받은 경우

  2. 제15조제1항제2호, 제3호 및 제5호부터 제7호까지에 따라 개인정보를 수집한 목적 범위에서 개인정보를 제공하는 경우

 제18조(개인정보의 목적 외 이용ㆍ제공 제한) ① 개인정보처리자는 개인정보를 제15조제1항에 따른 범위를 초과하여 이용하거나 제17조제1항 및 제28조의8제1항에 따른 범위를 초과하여 제3자에게 제공하여서는 아니 된다. 

② 제1항에도 불구하고 개인정보처리자는 다음 각 호의 어느 하나에 해당하는 경우에는 정보주체 또는 제3자의 이익을 부당하게 침해할 우려가 있을 때를 제외하고는 개인정보를 목적 외의 용도로 이용하거나 이를 제3자에게 제공할 수 있다. 다만, 제5호부터 제9호까지에 따른 경우는 공공기관의 경우로 한정한다.

  1. 정보주체로부터 별도의 동의를 받은 경우

  2. 다른 법률에 특별한 규정이 있는 경우

  3. 명백히 정보주체 또는 제3자의 급박한 생명, 신체, 재산의 이익을 위하여 필요하다고 인정되는 경우

  4. 삭제 <2020. 2. 4.>

  5. 개인정보를 목적 외의 용도로 이용하거나 이를 제3자에게 제공하지 아니하면 다른 법률에서 정하는 소관 업무를 수행할 수 없는 경우로서 보호위원회의 심의ㆍ의결을 거친 경우

  6. 조약, 그 밖의 국제협정의 이행을 위하여 외국정부 또는 국제기구에 제공하기 위하여 필요한 경우

  7. 범죄의 수사와 공소의 제기 및 유지를 위하여 필요한 경우

  8. 법원의 재판업무 수행을 위하여 필요한 경우

  9. 형(刑) 및 감호, 보호처분의 집행을 위하여 필요한 경우

  10. 공중위생 등 공공의 안전과 안녕을 위하여 긴급히 필요한 경우

 제28조의8(개인정보의 국외 이전) ① 개인정보처리자는 개인정보를 국외로 제공(조회되는 경우를 포함한다)ㆍ처리위탁ㆍ보관(이하 이 절에서 “이전”이라 한다)하여서는 아니 된다. 다만, 다음 각 호의 어느 하나에 해당하는 경우에는 개인정보를 국외로 이전할 수 있다.

  1. 정보주체로부터 국외 이전에 관한 별도의 동의를 받은 경우

  2. 법률, 대한민국을 당사자로 하는 조약 또는 그 밖의 국제협정에 개인정보의 국외 이전에 관한 특별한 규정이 있는 경우

  3. 정보주체와의 계약의 체결 및 이행을 위하여 개인정보의 처리위탁ㆍ보관이 필요한 경우로서 다음 각 목의 어느 하나에 해당하는 경우

   가. 제2항 각 호의 사항을 제30조에 따른 개인정보 처리방침에 공개한 경우

   나. 전자우편 등 대통령령으로 정하는 방법에 따라 제2항 각 호의 사항을 정보주체에게 알린 경우

  4. 개인정보를 이전받는 자가 제32조의2에 따른 개인정보 보호 인증 등 보호위원회가 정하여 고시하는 인증을 받은 경우로서 다음 각 목의 조치를 모두 한 경우

   가. 개인정보 보호에 필요한 안전조치 및 정보주체 권리보장에 필요한 조치

   나. 인증받은 사항을 개인정보가 이전되는 국가에서 이행하기 위하여 필요한 조치

  5. 개인정보가 이전되는 국가 또는 국제기구의 개인정보 보호체계, 정보주체 권리보장 범위, 피해구제 절차 등이 이 법에 따른 개인정보 보호 수준과 실질적으로 동등한 수준을 갖추었다고 보호위원회가 인정하는 경우

 제71조(벌칙) 다음 각 호의 어느 하나에 해당하는 자는 5년 이하의 징역 또는 5천만원 이하의 벌금에 처한다. 

  2. 제18조제1항ㆍ제2항, 제27조제3항 또는 제28조의2(제26조제8항에 따라 준용되는 경우를 포함한다), 제19조 또는 제26조제5항을 위반하여 개인정보를 이용하거나 제3자에게 제공한 자 및 그 사정을 알면서도 영리 또는 부정한 목적으로 개인정보를 제공받은 자