제2016-11-19호

안건번호 : 제2016-11-19호
안건명 : 한국수력원자력주식회사의 자체감사를 위한 개인정보 이용ㆍ제공 관련 질의 건
신청인 : 한국수력원자력주식회사
의결연월일 : 2016. 7. 11.

1. 한국수력원자력주식회사는 자체감사를 위하여 필요한 최소한의 범위 내에서 내부 전산서버에 저장되어 있는 임직원의 전화 및 이메일 송수신기록을 정보주체의 동의 없이 이용할 수 있으나, 이메일 내용 및 첨부물의 경우 범죄 혐의를 구체적이고 합리적으로 의심할 수 있는 상황에서 긴급히 확인하고 대처할 필요가 있고 그 열람 범위를 범죄혐의와 관련된 범위로 제한하는 등 사회통념상 허용될 수 있는 상당성이 있는 경우를 제외하고는 이용할 수 없다.
2. 한국수력원자력주식회사는 자체감사에 이용한 개인정보 중 임직원의 이메일 내용 및 첨부물을 제외한 개인정보를 고소 또는 고발에 필요한 범위 내에서 정보주체의 동의 없이 수사기관에 제공할 수 있으나, 이메일 내용 및 첨부물은 위 제1항 후단의 경우를 제외하고는 제공할 수 없다.

1. 배 경

한국수력원자력주식회사는 원자력발전소 설치ㆍ운영 관련 계약 등 업무에 대한 불법 행위를 자체감사하고 혐의가 있을 경우 수사기관에 감사결과를 제공하고자 한다. 이를 위해 한국수력원자력주식회사는 한국수력원자력주식회사와 같은 공공기관이 내부 전산 서버에 저장되어 있는 임직원의 전화 및 이메일 송수신기록(이하 '본건 송수신기록’이라 한다)과 이메일 내용 및 첨부물(이하 '본건 이메일내용’이라 한다)을 정보주체의 동의 없이 자체감사 목적으로 이용할 수 있는지 여부와 자체감사를 한 결과 범죄혐의를 발견하여 수사기관에 고소 또는 고발하는 경우 감사에 이용한 개인정보를 정보주체의 동의 없이 수사기관에 제공할 수 있는지 여부를 우리 위원회에 각 질의하였다.


2. 판 단

가. 한국수력원자력주식회사가 본건 송수신기록과 본건 이메일내용을 정보주체의 동의 없이 자체감사 목적으로 이용할 수 있는지 여부

먼저 본건 송수신기록을 살펴보면, 본건 송수신기록은 살아있는 개인을 식별할 수 있는 정보이므로 「개인정보 보호법」 제2조 제1호에 따른 개인정보에 해당한다. 본건 송수신기록의 수집ㆍ저장 목적은 통신요금정산, 이메일 송수신 서비스 제공, 전산시스템 보안 등으로 볼 수 있는데, 한국수력원자력주식회사가 본건 송수신기록을 자체감사 목적으로 이용하는 것은 이러한 수집 목적의 범위를 초과하는 것으로 개인정보의 목적 외 이용에 해당한다. 따라서 한국수력원자력주식회사가 본건 송수신기록을 자체감사 목적으로 이용하기 위해서는 개인정보의 목적 외 이용을 예외적으로 허용하고 있는 「개인정보 보호법」 제18조 제2항의 요건을 충족하여야 한다.

「개인정보 보호법」 제18조 제2항은 개인정보처리자가 '다른 법률에 특별한 규정이 있는 경우’(제2호) 등에는 정보주체 또는 제3자의 이익을 부당하게 침해할 우려가 있을 때를 제외하고는 개인정보를 목적 외의 용도로 이용할 수 있도록 규정하고 있다. 이와 관련하여 「공공감사에 관한 법률」 제20조는 제1항에서 감사기구의 장이 자체감사를 위하여 필요할 때에는 자체감사 대상기관 또는 그 소속 공무원이나 직원에 대하여 '출석ㆍ답변의 요구’(제1호), '관계 서류ㆍ장부 및 물품 등의 제출 요구’(제2호), '전산정보시스템에 입력된 자료의 조사’(제3호), '금고ㆍ창고ㆍ장부 및 물품 등의 봉인 요구’(제4호) 조치를 할 수 있도록 규정하고 있고, 제3항에서 감사 대상기관 및 그 소속 공무원이나 직원은 정당한 사유가 없으면 그 요구에 따라야 하도록 규정하고 있으며, 제2항 및 제5항에서는 제1항의 조치가 감사에 필요한 최소한도에 그쳐야 하고 제출받은 정보 또는 자료를 감사 목적 외의 용도로 이용할 수 없도록 규정하고 있다.
한국수력원자력주식회사는 「공공감사에 관한 법률」 제2조 제4호에 따른 공공기관에 해당하는데, 한국수력원자력주식회사와 같은 공공기관의 자체감사에는 개인의 불법행위 조사가 포함되며 이를 위해서는 본건 송수신기록의 이용이 필요한 경우가 있을 수 있다. 따라서 한국수력원자력주식회사가 「공공감사에 관한 법률」 제20조에 따라 자체감사를 위해 필요한 경우에 본건 송수신기록을 이용하는 것은 「개인정보 보호법」 제18조 제2항 제2호 요건에 해당한다 할 것이고, 필요 최소한의 범위 내에서라면 법률에 따른 정당한 행위이므로 정보주체 또는 제3자의 이익을 부당하게 침해할 우려가 있다고 보기도 어렵다. 따라서 한국수력원자력주식회사는 「개인정보 보호법」 제18조 제2항에 따라 자체감사를 위하여 필요한 최소한의 범위 내에서 본건 송수신기록을 이용할 수 있다 할 것이다.

한편, 본건 이메일내용과 관련하여 「형법」 제316조 제2항은 봉함 기타 비밀장치한 사람의 편지, 문서, 도화 또는 전자기록등 특수매체기록을 기술적 수단을 이용하여 그 내용을 알아낸 자는 3년 이하의 징역이나 금고 또는 500만원 이하의 벌금에 처하도록 규정하고 있다.

한국수력원자력주식회사의 내부 전산서버에 저장되어 있는 임직원의 이메일 내용 및 첨부물은 아이디 및 비밀번호를 통해 타인이 접근할 수 없도록 하고 있는 점을 고려할 때 '비밀장치한 전자기록등’에 해당하므로 타인이 그 내용을 확인하는 것은 허용되지 아니한다. 따라서 한국수력원자력주식회사가 정보주체의 동의 없이 본건 이메일내용을 자체감사 목적으로 이용하는 것은 「형법」 제316조 제2항에 위반되어 허용되지 아니한다.

다만, 한국수력원자력주식회사가 범죄 혐의를 구체적이고 합리적으로 의심할 수 있는 상황에서 긴급히 확인하고 대처할 필요가 있고 그 열람 범위를 범죄혐의와 관련된 범위로 제한하는 등 사회통념상 허용될 수 있는 상당성이 있는 경우에는 「형법」 제20조의 정당행위에 해당하여 위법성이 조각되므로 본건 이메일내용을 정보주체의 동의 없이 자체감사 목적으로 이용할 수 있다 할 것이다(대법원 2009. 12. 24. 선고 2007도6243 판결 참조).
나. 한국수력원자력주식회사가 자체감사를 한 결과 범죄혐의를 발견하여 수사기관에 고소 또는 고발하는 경우 감사에 이용한 개인정보를 정보주체의 동의 없이 수사 기관에 제공할 수 있는지 여부

한국수력원자력주식회사가 감사에 이용한 개인정보를 고소 또는 고발을 위하여 수사기관에 제공하는 것은 개인정보의 목적 외 제3자 제공에 해당한다. 따라서 이를 위해서는 개인정보의 목적 외 제3자 제공을 예외적으로 허용하고 있는 「개인정보 보호법」 제18조 제2항의 요건을 충족하여야 한다.

먼저 한국수력원자력주식회사가 감사에 이용한 개인정보 중 본건 이메일내용을 제외한 개인정보에 대해 살펴보면, 「개인정보 보호법」 제18조 제2항은 개인정보처리자가 '다른 법률에 특별한 규정이 있는 경우’(제2호) 등에는 정보주체 또는 제3자의 이익을 부당하게 침해할 우려가 있을 때를 제외하고는 개인정보를 목적 외의 용도로 제3자에게 제공할 수 있도록 규정하고 있다. 또한 「형사소송법」 제223조는 “범죄로 인한 피해자는 고소할 수 있다.”, 같은 법 제234조는 “누구든지 범죄가 있다고 사료하는 때에는 고발할 수 있다.”라고 각 규정하고 있다.

고소 또는 고발은 특정인의 범죄사실 등 고소 또는 고발에 필요한 개인정보를 수사기관에 제공하여 처벌해 줄 것을 요청하는 행위이다. 따라서 한국수력원자력주식회사가 자체감사를 한 결과 범죄혐의를 발견하여 「형사소송법」 제223조 또는 제234조에 따라 고소 또는 고발하는 경우 고소 또는 고발에 필요한 개인정보를 수사기관에 제공하는 것은 「개인정보 보호법」 제18조 제2항 제2호 요건에 해당한다 할 것이다. 또한 이는 고소인 또는 고발인의 법률에 따른 정당한 권리행사로서 정보주체 또는 제3자의 이익을 부당하게 침해할 우려가 있다고 보기도 어렵다.

따라서 한국수력원자력주식회사가 자체감사를 한 결과 범죄혐의를 발견하여 고소 또는 고발하는 경우에는 이에 필요한 개인정보 중 본건 이메일내용을 제외한 개인정보를 정보주체의 동의 없이 수사기관에 제공할 수 있다 할 것이다.

그러나 본건 이메일내용은 앞서 가.에서 살펴본 바와 같이 「형법」 제316조 제2항에 따라 그 내용을 확인하는 것이 원칙적으로 허용되지 아니하므로 「형법」 제20조의 정당행위에 해당하는 경우를 제외하고는 정보주체의 동의 없이 수사기관에 제공할 수 없다 할 것이다.


3. 결 론

이상과 같은 이유로 주문과 같이 의결한다.