법무법인 민후 김경환 변호사는 전자신문 「김경환 변호사의 IT법」 기고를 통해, 최근 대법원 판결을 바탕으로 개인정보보호법상 ‘제3자 제공’과 ‘목적 외 이용’의 판단 기준 및 기업·기관이 유의해야 할 개인정보 처리 원칙을 설명했습니다.

김경환 변호사는 실무에서 조직 내부의 업무 위탁이나 지침 위반까지 개인정보보호법상 ‘목적 외 처리’로 확대 해석될 경우 형사처벌의 범위가 지나치게 넓어질 수 있다는 점을 짚었습니다. 특히 대법원 2026. 7. 16. 선고 2024도17852 판결이 개인정보의 ‘제3자 제공’과 ‘목적 외 이용’을 판단하는 구체적인 기준을 제시했다는 점에 주목했습니다.

김변호사의 설명에 의하면, 먼저 개인정보의 ‘제3자 제공’은 본래의 수집·이용 목적 범위를 넘어 개인정보를 제공받는 자의 업무 처리와 이익을 위해 개인정보에 대한 지배·관리권이 이전되는 경우를 의미합니다. 반면 개인정보에 대한 지배·관리권을 유지하면서 자신의 업무 처리를 위해 하급자나 보조자에게 개인정보를 처리하게 하는 경우는 제3자 제공으로 보기 어렵다는 것이 대법원의 판단입니다.

이어 ‘목적 외 이용’ 여부에 대해서도 개인정보를 제공받은 목적을 단순히 내부 규정이나 일방적인 기준만으로 판단해서는 안 된다고 설명했습니다. 최초 개인정보 수집 목적과 정보주체가 동의한 범위, 당사자의 의사표시, 정보주체의 합리적 예측 가능성 등을 종합해 객관적으로 판단해야 하며, 내부 약정이나 지침을 위반했다는 사정만으로 곧바로 개인정보보호법상 목적 외 이용에 해당한다고 단정할 수 없다는 것입니다.

김경환 변호사는 이번 판결이 개인정보 보호의 필요성을 전제로 하면서도, 형사책임을 판단할 때에는 ‘독립된 제3자에게 개인정보의 지배·관리권이 이전되었는지’와 ‘개인정보 이용이 정보주체가 합리적으로 예측할 수 있는 범위를 벗어났는지’를 구체적으로 살펴야 한다는 기준을 제시했다는 점에 의미가 있다고 설명했습니다.

아울러 기업과 기관 등 개인정보처리자가 내부 업무 위탁이나 보조자를 통한 개인정보 처리 체계를 운영할 때에는 단순한 내부 규정의 준수 여부뿐만 아니라, 정보주체의 합리적 예측 가능성과 개인정보에 대한 지배·관리권의 귀속 관계를 중심으로 개인정보 처리 절차를 점검할 필요가 있다고 강조했습니다.

기고문 전문은 우측 상단의 [기사바로보기]를 통해 확인하실 수 있습니다.