제2018-22-246호

안건번호 : 제2018-22-246호
안건명 : 정읍경찰서의 회사 종업원 고객 개인정보 이용 관련 법령 해석에 관한 건
신청인 : 정읍경찰서장
의결연월일 : 2018. 10. 29.

1. 회사가 제품 수리업무를 목적으로 수집한 고객의 개인정보를 회사 종업원이 고객이 운영하는 사업장에 대한 인터넷 블로그에 악의적 댓글을 게시하는데 이용한 행위는 「개인정보 보호법」 제18조 제1항에서 제한하는 그 수집 목적 범위를 초과하는 개인정보의 목적 외 이용에 해당한다.
2. 회사 종업원의 제1항의 행위에 대해 회사에게 「개인정보 보호법」 제74조 제2항의 양벌규정과 제71조 제2호의 벌칙규정을 적용할 수 없다.

1. 배 경

회사 종업원인 피의자(이하 '회사 종업원’이라 한다)는 'ㄱ회사’의 수리 기사로서 고객인 고소인(이하 '고객’이라 한다)의 제품 수리 과정에서 수집된 고객의 개인정보 (성명, 주소, 전화번호)를 이용하여 고객이 운영하는 사업장을 파악하였다. 그리고 고객이 운영하는 사업장 상호를 인터넷에서 검색하여 해당 사업장에 대한 블로그 이용후기 글에 실제 사업장을 이용한 사실이 없음에도 마치 이용한 것처럼 악성 댓글을 세 차례 게시하였다. 고객은 회사 종업원의 행위가 자신의 개인정보를 수집 목적 외로 이용한 것이며, 'ㄱ회사’ 또한 회사 종업원의 개인정보 처리에 대한 관리와 감독을 소홀히 한 책임이 있으므로 회사 종업원과 'ㄱ회사’를 함께 처벌해 줄 것을 고소하였다.

이에 정읍경찰서는 회사 종업원이 제품 수리를 위해 수집한 고객의 개인정보를 이용하여 고객이 운영하는 사업장에 대한 인터넷 블로그 이용후기 글에 악의적 댓글을 게시한 것이 「개인정보 보호법」 제18조 제1항을 초과한 개인정보의 목적 외 이용에 해당하는지와 'ㄱ회사’에게 회사 종업원에 대한 관리ㆍ감독 소홀의 책임을 물어 같은 법 제71조 제2호 및 제74조 제2항을 적용할 수 있는지에 대하여 질의하였다.


2. 판 단

가. 회사 종업원의 행위가 「개인정보 보호법」 제18조 제1항을 초과한 개인정보의 목적 외 이용에 해당하는지 여부

「개인정보 보호법」 제18조는 제1항에서 개인정보처리자의 개인정보 목적 외 이용을 원칙적으로 제한하면서 제2항에서 각 호의 어느 하나에 해당하는 경우에는 정보주체 또는 제3자의 이익을 부당하게 침해할 우려가 있을 때를 제외하고 이를 예외적으로 허용하고 있다.

회사가 제품 수리 접수, 고객 상담, 수리 제품 송부 등을 목적으로 수집한 고객의 개인정보를 회사 종업원이 악성 댓글을 게시하는 데 이용한 것은 개인정보를 「개인정보 보호법」 제15조 제1항에 따른 그 수집 목적 범위를 초과하여 이용한 것에 해당하며, 본 건의 경우 개인정보의 목적 외 이용을 예외적으로 허용한 같은 법 제18조 제2항 각 호의 어느 하나에도 해당하지 않는다. 따라서 회사 종업원의 본 건 행위는 「개인정보 보호법」 제18조 제1항에서 제한하고 있는 그 수집 목적 범위를 초과한 개인정보의 목적 외 이용에 해당한다 할 것이다.
나. 'ㄱ회사’에 「개인정보 보호법」 제71조 제2호 및 제74조 제2항이 적용되는지 여부

「개인정보 보호법」 제71조 제2호는 제18조제1항ㆍ제2항을 위반하여 개인정보를 이용한 자에 대해 5년 이하의 징역 또는 5천만 원 이하의 벌금에 처하도록 규정하고 있으며, 같은 법 제74조 제2항은 '법인의 대표자나 법인 또는 개인의 대리인, 사용인, 그 밖의 종업원이 그 법인 또는 개인의 업무에 관하여 제71조부터 제73조까지의 어느 하나에 해당하는 위반행위를 하면 그 행위자를 벌하는 외에 그 법인 또는 개인에게도 해당 조문의 벌금형을 과한다’는 양벌규정을 두고 있다. 「개인정보 보호법」이 양벌규정을 두고 있는 취지는 벌칙규정의 위반행위를 한 행위자와 그 법인 또는 개인인 개인정보처리자 쌍방을 모두 처벌함으로써 임직원, 대리인 등의 업무 처리에 대한 개인정보처리자의 경각심을 높이고 관리ㆍ감독을 강화하기 위한 것이다(대법원 1997. 6. 13. 선고 97도534 판결, 대법원 1999. 7. 15. 선고 95도2870 판결, 「개인정보보호 법령 및 지침ㆍ고시 해설」, 행정안전부, 2016. 12. 참조).

그러나, 법인의 형사처벌은 형법상 행위자책임 원칙에 대한 예외로서 현행 형법도 법인의 처벌은 법률상 특별규정이 있는 경우에 한하여 정책적으로 인정하는 입장에 입각하고 있음에 비추어, 손해의 공평한 분담이라고 하는 이념을 실현하기 위하여 인정되는 민사상 사용자 책임의 경우와는 달리 엄격하게 해석함이 타당하다(대법원 1983. 3. 22. 선고 80도1951 판결 참조). 「개인정보 보호법」 제74조 제2항에 따라 종업원의 범칙행위에 의하여 법인을 처벌하기 위한 요건으로서 '법인의 업무에 관하여’행한 것으로 보기 위해서는 객관적으로 법인의 업무를 위하여 하는 것으로 인정할 수 있는 행위가 있어야 하고, 주관적으로는 종업원이 법인의 업무를 위하여 한다는 의사를 가지고 행위함을 요한다. '업무관련성’을 판단함에 있어서는 법인의 적법한 업무의 범위, 종업원의 직책이나 직위, 종업원의 범법행위와 법인의 적법한 업무 사이의 관련성, 종업원이 행한 범법행위의 동기와 사후처리, 종업원의 범법행위에 대한 법인의 인식 여부 또는 관여 정도, 종업원이 범법행위에 사용한 자금의 출처와 그로 인한 손익의 귀속 여하 등 여러 사정을 심리하여 결정하여야 한다(대법원 2006. 6. 15. 선고 2004도1639 판결, 대법원 1997. 2. 14. 선고 96도2699 판결 참조).

정읍경찰서가 제출한 자료에 따르면 회사 종업원은 제품 수리 과정에서 고객과 언쟁을 벌인 것을 계기로 고객의 개인정보를 악성 댓글을 게시하는데 이용한 것으로 판단 가.에서 살펴본 바와 같이 고객의 개인정보를 그 수집 목적 범위를 초과하여 목적 외로 이용한 것에 해당한다. 이러한 회사 종업원의 개인정보 목적 외 이용행위는 객관적 외형상으로 회사의 업무를 위하여 한 것이라고 볼 수 없고, 주관적으로도 회사 종업원이 회사의 업무처리를 위하여 한다는 의사를 가지고 고객 개인정보를 목적 외로 이용하였다고 볼 수 없으며, 회사 종업원의 행위가 회사의 인식 하에 일어난 행위라기도 보기 어렵다.

따라서 회사 종업원의 행위는 회사의 '업무에 관하여’한 행위라고 인정하기 어려운 것으로 볼 수 있으므로, 회사에게 「개인정보 보호법」 제74조 제2항의 양벌규정과 제71조 제2호의 벌칙규정을 적용할 수 없다 할 것이다.


3. 결 론

이상과 같은 이유로 주문과 같이 의결한다.