2018헌바222

사 건 2018헌바222 개인정보보호법 제2조 제2호 등 위헌소원
청 구 인 이○○
대리인 변호사 하영욱
당 해 사 건 울산지방법원 2017고단3229 개인정보보호법위반
[주 문]
1. 개인정보 보호법(2011. 3. 29. 법률 제10465호로 제정된 것) 제59조 제2호와 구 개인정보 보호법(2016. 3. 29. 법률 제14107호로 개정되고, 2020. 2. 4. 법률 제16930호로 개정되기 전의 것) 제71조 제5호 중 제59조 제2호 관련 부분은 모두 헌법에 위반되지 아니한다.
2. 청구인의 나머지 심판청구를 각하한다.
[이 유]
1. 사건개요
가. 청구인은 변호사로서, 2017. 9. 20. 소송 사건과 관련하여 탄원서를 제출한 자들의 성명, 주민등록번호, 주소가 포함된 소송 사건 기록 일체를 대법원 전자소송사이트를 통해 다운받은 후 소송사건의 채권자 및 선정자 등이 포함된 네이버 밴드에 업로드함으로써 업무상 알게 된 개인정보를 누설하거나 권한 없이 다른 사람이 이용하도록 제공하여 개인정보 보호법 제71조 제5호, 제59조 제2호 등을 위반하였다는 이유로 불구속 기소되었다.

나. 청구인은 당해사건 소송 계속 중인 2017. 12. 14. 개인정보 보호법(2016. 3. 29. 법률 제14107호로 개정된 것) 제2조 제2호, 제59조 본문 및 제2호, 제71조 제5호에 대하여 위헌법률심판제청신청을 하였으나, 2018. 4. 26. 기각되었다(울산지방법원 2017초기1140). 이에 청구인은 2018. 5. 28. 이 사건 헌법소원심판을 청구하였다.

2. 심판대상
가. 공소사실에 의하면, 청구인은 개인정보를 보유, 검색, 이용, 공개하는 등의 방법으로 개인정보를 처리하였던 자로서, 2016. 12. 9. 업무상 알게 된 개인정보를 각각 누설하거나 권한 없이 다른 사람이 이용하도록 제공하여 개인정보 보호법을 위반하였다는 것이므로, 청구인의 위와 같은 행위 당시 적용되는 개인정보 보호법상의 조항을 심판대상으로 삼아야 한다.

나. 청구인은 개인정보 보호법 제2조 제2호 중 ‘보유’ 부분의 위헌성을 다투고 있으므로, 심판대상을 개인정보 보호법 제2조 제2호 중 ‘보유’ 부분으로 한정한다.

다. 청구인은 개인정보 보호법 제71조 제5호를 다투고 있으나, 청구인에 관한 공소사실과 관련 있는 부분은 개인정보 보호법 제59조 제2호이므로, 심판대상을 개인정보 보호법 제71조 제5호 중 제59조 제2호 관련 부분으로 한정하는 것이 타당하다.

라. 그렇다면 이 사건 심판대상은 구 개인정보 보호법(2014. 3. 24. 법률 제12504호로 개정되고, 2020. 2. 4. 법률 제16930호로 개정되기 전의 것) 제2조 제2호 중 ‘보유’ 부분(이하 ‘이 사건 정의규정’이라 한다), 개인정보 보호법(2011. 3. 29. 법률 제10465호로 제정된 것) 제59조 제2호(이하 ‘이 사건 금지규정’이라 한다) 및 구 개인정보 보호법(2016. 3. 29. 법률 제14107호로 개정되고, 2020. 2. 4. 법률 제16930호로 개정되기 전의 것) 제71조 제5호 중 제59조 제2호 관련 부분(이하 ‘이 사건 처벌규정’이라 한다)이 헌법에 위반되는지 여부이다(위 조항들을 통틀어 ‘심판대상조항’이라 하고, 연혁에 관계없이 법 자체를 가리킬 때는 ‘개인정보 보호법’이라 한다).
심판대상조항 및 관련조항은 다음과 같다.

[심판대상조항]
구 개인정보 보호법(2014. 3. 24. 법률 제12504호로 개정되고, 2020. 2. 4. 법률 제16930호로 개정되기 전의 것)
제2조(정의) 이 법에서 사용하는 용어의 뜻은 다음과 같다.
2. "처리"란 개인정보의 수집, 생성, 연계, 연동, 기록, 저장, 보유, 가공, 편집, 검색, 출력, 정정(訂正), 복구, 이용, 제공, 공개, 파기(破棄), 그 밖에 이와 유사한 행위를 말한다.
개인정보 보호법(2011. 3. 29. 법률 제10465호로 제정된 것)
제59조(금지행위) 개인정보를 처리하거나 처리하였던 자는 다음 각 호의 어느 하나에 해당하는 행위를 하여서는 아니 된다.
2. 업무상 알게 된 개인정보를 누설하거나 권한 없이 다른 사람이 이용하도록 제공하는 행위
구 개인정보 보호법(2016. 3. 29. 법률 제14107호로 개정되고, 2020. 2. 4. 법률 제16930호로 개정되기 전의 것)
제71조(벌칙) 다음 각 호의 어느 하나에 해당하는 자는 5년 이하의 징역 또는 5천만
원 이하의 벌금에 처한다.
5. 제59조 제2호를 위반하여 업무상 알게 된 개인정보를 누설하거나 권한 없이 다른 사람이 이용하도록 제공한 자 및 그 사정을 알면서도 영리 또는 부정한 목적으로 개인정보를 제공받은 자

[관련조항]
구 개인정보 보호법(2014. 3. 24. 법률 제12504호로 개정되고, 2020. 2. 4. 법률 제16930호로 개정되기 전의 것)
제2조(정의) 이 법에서 사용하는 용어의 뜻은 다음과 같다.
1. "개인정보"란 살아 있는 개인에 관한 정보로서 성명, 주민등록번호 및 영상 등을 통하여 개인을 알아볼 수 있는 정보(해당 정보만으로는 특정 개인을 알아볼 수 없더라도 다른 정보와 쉽게 결합하여 알아볼 수 있는 것을 포함한다)를 말한다.
5. "개인정보처리자"란 업무를 목적으로 개인정보파일을 운용하기 위하여 스스로 또는 다른 사람을 통하여 개인정보를 처리하는 공공기관, 법인, 단체 및 개인 등을 말한다.
개인정보 보호법(2011. 3. 29. 법률 제10465호로 제정된 것)
제59조(금지행위) 개인정보를 처리하거나 처리하였던 자는 다음 각 호의 어느 하나에 해당하는 행위를 하여서는 아니 된다.
1. 거짓이나 그 밖의 부정한 수단이나 방법으로 개인정보를 취득하거나 처리에 관한 동의를 받는 행위
2. (생략)
3. 정당한 권한 없이 또는 허용된 권한을 초과하여 다른 사람의 개인정보를 훼손,
멸실, 변경, 위조 또는 유출하는 행위

3. 청구인의 주장 및 판단
가. 이 사건 정의규정에 대한 판단
(1) 헌법재판소법 제68조 제2항에 의한 헌법소원심판청구가 적법하기 위해서는 문제된 법률의 위헌 여부가 재판의 전제가 되어야 한다. 여기서 말하는 재판의 전제성이라 함은 구체적인 사건이 법원에 계속되어 있었거나 계속 중이어야 하고, 위헌 여부가 문제되는 법률이 당해 소송사건의 재판에 적용되는 것이어야 하며, 그 법률이 헌법에 위반되는지의 여부에 따라 당해사건 재판의 결론이나 주문에 영향을 주는 경우뿐만 아니라, 문제된 법률의 위헌 여부가 비록 재판의 주문 자체에는 영향을 주지 않는다고 하더라도 재판의 내용과 효력에 관한 법률적 의미가 달라지는 경우도 포함된다고 할 것이다(헌재 2010. 5. 27. 2009헌바49 등).

(2) 청구인은 이 사건 정의규정이 ‘처리’의 정의에 물리적 행위를 수반하지 않고 개인정보를 단순히 ‘보유’하는 행위까지 포함시켜 규정하고 있는 것은 ‘처리’의 사전적 정의를 벗어나 명확성의 원칙에 위배된다고 주장한다.

(3) 이 사건 정의규정은 개인정보 보호법상 ‘처리’의 의미에 관한 정의규정일 뿐 청구인이 기소될 때 적용된 법률조항이 아니다. 아울러 청구인의 주장은 이 사건 정의규정이 ‘처리’를 정의함에 있어 ‘보유’까지 포함한 것은 그 포섭범위가 지나치게 광범위하고 불명확하여 헌법상 명확성의 원칙에 위반된다는 것이다. 그런데 이 사건 기록에 나타난 공소사실에 따르면, 청구인은 개인정보를 ‘보유’한 것 외에도 ‘검색’, ‘이용’, ‘공개’하는 등의 방법으로 개인정보를 ‘처리’하였던 자임을 전제로 기소되었던 것을 알 수 있다. 그렇다면 설령 헌법재판소가 청구인의 위 주장과 같은 이유로 이 사건 정의규정을 위헌으로 선언하여도 청구인은 여전히 공소사실에서 개인정보를 ‘검색’, ‘이용’, ‘공개’하는 등의 방법으로 개인정보를 ‘처리하였던 자’의 신분을 가지는 것은 변함이 없어 당해사건 재판의 결론이나 이유에 영향을 미치지 않는다. 따라서 이 사건 정의규정에 대한 심판청구는 재판의 전제성이 인정되지 아니하여 부적법하다.

나. 이 사건 금지규정 및 이 사건 처벌규정에 대한 판단
(1) 쟁점정리
(가) 청구인은 이 사건 금지규정 및 처벌규정이 명확성의 원칙과 평등원칙에 위반된다고 주장하므로 이에 관하여 판단하기로 한다.

(나) 청구인은 직업의 자유 침해도 언급하고 있으나, 이에 관한 구체적 주장을 하고 있지 아니하므로 별도로 판단하지 아니한다(헌재 2019. 11. 28. 2017헌바241참조).

(2) 명확성의 원칙 위반 여부
(가) 죄형법정주의는 법률이 처벌하고자 하는 행위가 무엇이며 그에 대한 형벌이 어떠한 것인지를 누구나 예견할 수 있고, 그에 따라 자신의 행위를 결정할 수 있도록 구성요건을 명확하게 규정할 것을 요구한다. 그러나 처벌법규의 구성요건과 형벌을 단순한 의미의 서술적인 개념에 의하여 규정하도록 요하는 것은 아니며, 다소 광범위하여 어떤 범위에서는 법관의 보충적인 해석을 필요로 하는 개념을 사용하였다고 하더라도 그 점만으로 헌법이 요구하는 처벌법규의 명확성원칙에 반드시 배치되는 것이라고 볼 수 없다. 즉 건전한 상식과 통상적인 법감정을 가진 사람이 처벌법규의 적용대상자가 누구이며 구체적으로 어떠한 행위가 금지되고 어떠한 형벌을 받는지 충분히 알 수 있다면 죄형법정주의의 명확성원칙에 위배되지 않는다(헌재 2012. 12. 27. 2012헌바46).

(나) ‘개인정보를 처리하거나 처리하였던 자’ 부분
청구인은 이 사건 금지규정 및 처벌규정 중 ‘개인정보를 처리하거나 처리하였던 자’ 부분이 불명확하여 명확성의 원칙에 위반된다고 주장한다.
그러나 대법원은 이미 “…‘개인정보처리자’의 개인정보 무단 제공행위 및 그로부터 개인정보를 무단으로 제공받는 행위에 관하여는 제71조 제1호, 제17조 제1항에 의하여 별도로 규제되고 처벌할 수 있는 점, 개인정보 보호법 제59조 제2호의 의무주체는 ‘개인정보를 처리하거나 처리하였던 자’로서 제15조(개인정보의 수집·이용), 제17조(개인정보의 제공), 제18조(개인정보의 목적 외 이용·제공 제한) 등의 의무주체인 ‘개인정보처리자’와는 법문에서 명백히 구별되는 점, 개인정보 보호법이 금지 및 행위규범을 정할 때 일반적으로 개인정보처리자를 규범준수자로 하여 규율함에 따라, 제8장 보칙의 장에 따로 제59조를 두어 ‘개인정보처리자’ 외에도 ‘개인정보를 처리하거나 처리하였던 자’를 의무주체로 하는 금지행위에 관하여 규정함으로써 개인정보처리자 이외의 자에 의한 개인정보 침해를 방지하여 사생활의 비밀 보호 등 개인정보 보호법의 입법 목적을 달성하려 한 것으로 볼 수 있는 점 등을 고려하면, 개인정보 보호법 제71조 제5호의 적용대상자로서 제59조 제2호의 의무주체인 ‘개인정보를 처리하거나 처리하였던 자’는 제2조 제5호의 ‘개인정보처리자’ 즉 업무를 목적으로 개인정보파일을 운용하기 위하여 스스로 또는 다른 사람을 통하여 개인정보를 처리하는 공공기관, 법인, 단체 및 개인 등에 한정되지 않고, 업무상 알게 된 제2조 제1호의 ‘개인정보’를 제2조 제2호의 방법으로 ‘처리’하거나 ‘처리’하였던 자를 포함한다.”고 판시하여(대법원 2016. 3. 10. 선고 2015도8766 판결), 이 사건 금지규정 중 ‘개인정보를 처리하거나 처리하였던 자’의 개념을 명확히 하였다.
이처럼 이 사건 금지규정 및 처벌규정 중 ‘개인정보를 처리하거나 처리하였던 자’ 부분은 법관의 법보충 작용인 해석을 통하여 그 구체적인 의미와 내용이 명확히 정립되고 구체화되어, 건전한 상식과 통상적인 법감정을 가진 사람은 그 의미를 명확히 이해할 수 있으므로, 명확성의 원칙에 위반되지 않는다.

(다) ‘업무’ 부분
청구인은 이 사건 금지규정 및 처벌규정 중 ‘업무’ 부분이 불명확하여 다수의 개인들의 정보를 수집하여 처리하는 것을 주된 내용으로 하는 업무에 한정되는 것인지 아니면 개인정보의 수집·처리 외의 일반적인 업무 내용을 주된 내용으로 하면서 부수적으로 개인정보의 수집·처리가 이루어지는 것까지 포함하는 것인지 그 범위가 불분명하다고 주장한다.
‘업무’의 사전적 의미는 ‘직장 같은 곳에서 맡아서 하는 일’을 말하는 것으로 그 의미가 비교적 분명하다. 또한 대법원은 형법상 업무의 개념과 관련하여 “업무방해죄에 있어서 업무란 직업 또는 사회생활의 지위에 기하여 계속적으로 종사하는 사무나 사업의 일체를 의미하고 그 업무가 주된 것이든 부수적인 것이든 가리지 아니하며, 일회적인 사무라 하더라도 그 자체가 어느 정도 계속하여 행해지는 것이거나 혹은 그것이 직업 또는 사회생활상의 지위에서 계속적으로 행하여 온 본래의 업무수행과 밀접불가분의 관계에서 이루어진 경우에도 이에 해당한다.”고 판시하였다(대법원 2005. 4. 15. 선고 2004도8701 판결).
이러한 사정들에 비추어 보면, 이 사건 금지규정 및 처벌규정 중 ‘업무’의 개념 역시 직업 또는 사회생활상의 지위에서 계속적으로 종사하는 사무나 사업의 일체를 의미하는 것으로서 보수 유무나 영리 여부와는 관계가 없으며, 단 1회의 행위라도 계속·반복의 의사가 있다면 업무로 볼 수 있다고 할 것이고, 단순히 개인정보를 수집·처리하는 것을 주된 목적으로 하는 업무로만 한정할 수는 없다고 할 것이다.
그렇다면, 이 사건 금지규정 및 처벌규정 중 ‘업무’ 부분은 그 의미가 문언상 명백하고, 법관의 법보충 작용인 해석을 통하여 ‘업무’의 구체적인 의미와 내용이 명확히 정립되고 구체화되어, 건전한 상식과 통상적인 법감정을 가진 사람은 명확히 이해하고 구별할 수 있으므로, 명확성의 원칙에 위반되지 않는다.

(라) 소결
이 사건 금지규정 및 이 사건 처벌규정은 죄형법정주의의 명확성원칙에 위반되지 아니한다.

(3) 평등원칙 위반 여부
(가) 평등의 원칙은 입법자에게 본질적으로 같은 것을 자의적으로 다르게, 본질적으로 다른 것을 자의적으로 같게 취급하는 것을 금하고 있다. 그러므로 비교의 대상을 이루는 두 개의 사실관계 사이에 서로 상이한 취급을 정당화할 수 있을 정도의 차이가 없음에도 불구하고 두 사실관계를 서로 다르게 취급한다면, 입법자는 이로써 평등권을 침해하게 된다. 그러나 서로 비교될 수 있는 사실관계가 모든 관점에서 완전히 동일한 것이 아니라 단지 일정 요소에 있어서만 동일한 경우에, 비교되는 두 사실관계를 법적으로 동일한 것으로 볼 것인지 아니면 다른 것으로 볼 것인지를 판단하기 위하여는 어떠한 요소가 결정적인 기준이 되는가가 문제된다. 두 개의 사실관계가 본질적으로 동일한가의 판단은 일반적으로 당해 법률조항의 의미와 목적에 달려있다(헌재 2011. 10. 25. 2010헌바272 등).

(나) 청구인은 개인정보 보호법 제2조 제5호 소정의 ‘개인정보처리자’ 와 ‘업무상 알게 된 제2조 제1호의 개인정보를 제2조 제2호의 방법으로 처리하거나 처리하였던 자’는 모두 타인의 정보를 취급하는 동일한 비교집단에 해당함에도 이 사건 금지규정 및 처벌규정이 양자를 불합리하게 차별취급을 하고 있어 평등원칙에 위반된다고 주장한다.
살피건대, 이 사건 금지규정 및 처벌규정 중 ‘개인정보를 처리하거나 처리하였던 자’의 개념 범위에는 개인정보 보호법 제2조 제5호의 ‘개인정보처리자’뿐만 아니라, ‘업무상 알게 된 제2조 제1호의 개인정보를 제2조 제2호의 방법으로 처리하거나 처리하였던 자’도 포함되는 것이기 때문에, 이 사건 금지규정과 처벌규정은 의무주체로서 양 집단 모두를 포섭하여 같게 취급하고 있고 차별취급을 하고 있지 않다. 따라서 평등원칙에 위반되지 않는다.

(다) 한편 청구인은 이 사건 금지규정 및 처벌규정은 ‘개인정보를 처리하거나 처리하였던 자’에 개인정보 보호법 제2조 제5호의 ‘개인정보처리자’ 뿐만 아니라 ‘업무상 알게 된 제2조 제1호의 개인정보를 제2조 제2호의 방법으로 처리하거나 처리하였던 자’까지 의무주체로 포섭하여 결과적으로 ‘본질적으로 다른 것을 같게 취급’하고 있고, 이는 불합리한 차별에 해당하여 평등원칙에 위반된다는 취지의 주장도 한다.
살피건대, 이 사건 금지규정 및 처벌규정은 개인의 사생활 및 개인정보의 두터운 보호를 위하여 개인정보를 처리하거나 처리하였던 자가 개인정보를 제3자에게 누설하거나 무단으로 제공하는 것을 금지 및 처벌하는 조항이다. 그런데 이 사건 금지규정 및 처벌규정 중 ‘개인정보를 처리하거나 처리하였던 자’에 해당하는 개인정보 보호법 제2조 제5호의 ‘개인정보처리자’와 ‘업무상 알게 된 제2조 제1호의 개인정보를 제2조 제2호의 방법으로 처리하거나 처리하였던 자’는, 행위주체의 범위 및 개인정보처리업무 관련성과 비중의 정도에서 차이가 있을 뿐, 모두 개인정보 보호법에 따라서 ‘개인정보를 처리’하는 지위를 가지기 때문에 개인의 사생활 보호 등을 위하여 함부로 개인정보를 누설하거나 무단으로 제3자에게 제공하는 것을 금지하는 의무를 부여할 필요성이 인정된다는 공통점을 가지고 있다.
이처럼 이 사건 금지규정 및 처벌규정의 의미와 목적에 비추어 볼 때, 개인정보 보호법 제2조 제5호의 ‘개인정보처리자’와 ‘업무상 알게 된 제2조 제1호의 개인정보를 제2조 제2호의 방법으로 처리하거나 처리하였던 자’가 본질적으로 다른 집단이라고 보기 어렵다. 따라서 평등원칙에 위반되지 않는다.

(라) 소결
이 사건 금지규정 및 이 사건 처벌규정은 평등원칙에 위반되지 아니한다.

4. 결론
그렇다면 이 사건 금지규정 및 이 사건 처벌규정 모두 헌법에 위반되지 아니하고, 청구인의 나머지 심판청구는 부적법하므로 이를 각하하기로 하여, 관여 재판관 전원의 일치된 의견에 따라 주문과 같이 결정한다.

재판관 유남석 이선애 이석태 이은애 이종석 이영진 김기영 문형배 이미선