출처 모르는 개인정보 DB, 사서 쓰면 처벌될까 - 대법원이 무죄를 선고한 이유와 그 함정

대법원 2024. 6. 17. 선고 2019도3402 판결을 실무자 관점에서 풀어 쓴 글입니다. 판결문 원문은 대법원 종합법률정보 또는 국가법령정보센터에서 확인할 수 있습니다.

 

"가입만기 고객 리스트 있습니다." 텔레마케팅 쪽에서 일해본 사람이라면 이런 제안이 얼마나 흔하게 오가는지 알 겁니다. 마케팅 대상 DB를 사고파는 시장은 오래전부터 있었고, 지금도 형태만 바꿔 돌아갑니다. 이 판결은 바로 그 관행을 정면으로 다뤘습니다. 결론은 무죄인데, 이 무죄를 "사도 된다"로 읽는 순간 크게 다칩니다. 왜 그런지 순서대로 보겠습니다.

 

---

어떤 사건인가

피고인들은 인터넷 서비스 가입만기가 임박한 고객들에게 전화를 걸어 다른 인터넷 서비스 가입을 권유하는 텔레마케팅 사업을 했습니다. 영업 대상 명단이 필요했고, 개인정보 판매자들로부터 대량의 개인정보를 여러 차례 돈을 주고 사들였습니다. 출처는 확인하지 않았습니다. 다만 이 정보들이 정보주체 동의 없이 유통되고 있다는 사정 자체는 알고 있었습니다.

검찰은 이 매입 행위를 "거짓이나 그 밖의 부정한 수단이나 방법으로 개인정보를 취득한 행위" 등으로 기소했습니다.

 

처벌 조항의 구조를 먼저 봐야 한다

이 사건의 쟁점을 이해하려면 조문 구조를 봐야 합니다. 개인정보 보호법 제59조 제1호는 거짓이나 그 밖의 부정한 수단·방법으로 개인정보를 취득하거나 동의를 받는 행위를 금지하고, 제72조 제2호가 이를 처벌하는데, 이 벌칙 조항이 두 부분으로 나뉘어 있습니다.

• 전단: 부정한 수단·방법으로 개인정보를 취득한 자
• 후단: 그 사정을 알면서도 영리 또는 부정한 목적으로 개인정보를 제공받은 자

산 사람은 '취득한 자'일까요, '제공받은 자'일까요. 그리고 "동의 없이 유통되는 정보인 걸 알았다"는 것만으로 후단의 '그 사정을 알면서'가 충족될까요. 이 판결이 답한 게 정확히 이 두 질문입니다.

 

대법원의 판단

첫째, 돈 주고 산 것 자체는 '부정한 수단'이 아닙니다. 대법원이 말하는 부정한 수단·방법이란 위계 기타 사회통념상 부정하다고 인정되는 행위 — 상대방의 의사결정에 영향을 미치는 기망 같은 행위나, 해킹처럼 그 자체로 부정한 행위를 말합니다. 판매자에게 대가를 지급하고 정보를 넘겨받은 행위는 판매자의 의사결정을 왜곡한 것도, 해킹 같은 부정한 방법을 쓴 것도 아니므로 전단의 '부정한 취득'에 해당하지 않습니다.

둘째, "동의 없이 유통되는 걸 알았다"만으로는 후단도 성립하지 않습니다. 여기가 이 판결의 핵심입니다. 후단의 '그 사정'이란 앞 단계에서 누군가가 부정한 수단·방법으로 그 정보를 취득했거나 동의를 받았다는 사정을 말합니다. 피고인들은 동의 없는 정보라는 건 알았지만, 그 정보가 어디서 어떤 경위로 흘러나왔는지는 몰랐습니다. 대법원의 표현을 빌리면, 부정한 수단·방법은 "단순히 정보주체의 동의 없이 개인정보를 얻는 것과는 구별되는" 행위입니다. 동의 없음을 아는 것과, 부정 취득을 아는 것은 다른 문제라는 겁니다.

결국 전단도 후단도 성립하지 않아 무죄가 확정됐습니다.

 

그런데 이 무죄를 믿고 DB를 사면 안 되는 이유

여기까지만 읽으면 "출처만 모르면 사도 되는구나"라는 결론이 나올 것 같습니다. 세 가지 이유로 틀린 독해입니다.

하나, 처벌 트랙이 하나 더 있습니다. 제71조 제1호는 동의 없이 개인정보를 제3자에게 제공한 자와 함께, 그 사정을 알면서도 제공받은 자를 5년 이하 징역 또는 5천만 원 이하 벌금으로 처벌합니다. 제72조(3년/3천만 원)보다 무거운 조항입니다. 이 사건에서도 이 조항 위반이 함께 기소됐고 증거 부족으로 무죄가 됐을 뿐, 조항 자체는 멀쩡히 살아 있습니다. "동의 없이 제공되는 정보인 걸 알면서 받았다"가 증명되는 순간 이 트랙으로 유죄가 되는 구조입니다.

둘, '몰랐다'는 방어선은 도박입니다. 이 사건의 무죄는 요건 해석과 증명의 문제였지, 행위가 괜찮다는 선언이 아닙니다. 거래 메신저 기록, 단가, 정보의 구성(가입만기일까지 들어있는 DB가 정상 경로로 나왔을 리가요) 같은 정황으로 인식이 증명되면 결론은 뒤집힙니다. 수사 실무가 이 판결 이후 인식 입증에 더 공을 들일 것도 자명하고요.

셋, 형사 무죄와 행정·민사는 별개입니다. 동의 없는 개인정보 처리에 대한 과징금·시정조치, 정보주체의 손해배상 청구는 형사 무죄와 무관하게 진행될 수 있습니다.

 

현행법 기준으로 보면

이 사건에는 구 개인정보 보호법(2020. 2. 4. 개정 전)이 적용됐지만, 확인해보면 제59조 제1호와 제72조 제2호의 전단·후단 구조는 현행법에 그대로 유지되어 있습니다. 제71조 제1호(동의 없는 제공·수령)도 현행법에 있습니다. 즉 이 판결의 법리는 지금도 그대로 통용됩니다.

 

실무 시사점

마케팅 부서에서 "리드 좀 구매하려 하는데요"라는 요청이 왔을 때의 점검 포인트입니다.

출처와 동의 범위를 서면으로 확인합니다. 판매자가 어떤 경로로 수집했는지, 제3자 제공 동의를 받았는지, 그 동의의 제공받는 자 범위에 우리 회사가 포함되는지까지 확인해야 합니다. "제휴사에 제공될 수 있음" 같은 포괄 문구만 믿는 것도 위험합니다.

확인이 안 되는 DB는 사지 않는 게 원칙입니다. 이 판결을 근거로 "모르고 사면 무죄"라는 전략을 세우는 건, 인식이 증명되는 순간 제71조 또는 제72조로 직행하는 도박입니다. 동의 이력을 서면으로 확인할 수 없는 DB는 사지 않는다 — 이 한 줄이면 됩니다.

사왔다면 제20조 의무가 따라옵니다. 정보주체 이외로부터 수집한 개인정보는 정보주체가 요구하면 수집 출처, 처리 목적, 처리정지·동의철회 권리를 즉시 알려야 하고, 일정 규모 이상 처리자는 요구가 없어도 알려야 합니다. 출처를 말할 수 없는 DB라면 이 의무 앞에서 바로 막힙니다. 구매 단계에서 답이 나오는 셈입니다.

 

참고

• 대법원 2024. 6. 17. 선고 2019도3402 판결 (원심: 서울중앙지법 2019. 2. 14. 선고 2018노678 판결)
• 개인정보 보호법 제59조 제1호(금지행위), 제71조 제1호, 제72조 제2호, 제20조(수집 출처 등 통지)
• 관련 판례: 대법원 2017. 4. 7. 선고 2016도13263 판결 ('부정한 수단·방법'의 의미)