[김경환 변호사의 디지털법]〈1〉수사기관에 타인 개인정보 제출할 때 신중해야

최근 수사기관에 타인의 개인정보를 제출한 사안에 관한 두 가지 대법원 판결이 선고됐다. 그동안 고소인 입장 또는 피의자 입장에서 타인의 개인정보를 별다른 검토 없이 수사기관에 제출하는 관행이 있었지만 이러한 관행에 제동을 거는 판결이라 할 수 있다.

첫 대법원 판결(대법원 2022. 11. 10. 선고 2018도1966 판결)은 고소인 A가 조합 퇴사 시 업무상 알게 된 조합장의 개인정보를 형사고발장에 첨부해서 제출한 사안이다.

이 사안에 대해 원심은 고소·고발에 수반해서 수사기관에 개인정보를 알려주는 행위는 개인정보보호법 제59조 제2호(업무상 알게 된 개인정보를 누설하거나 권한 없이 다른 사람이 이용하도록 제공하는 행위)의 '누설'에 해당하지 않는다고 판시했다.

그 이유에 대해 원심은 수사기관이 개인정보 주체의 사생활을 침해할 개연성이 없기 때문이라고 판시했다.

그러나 대법원 입장은 달랐다. 대법원은 개인정보보호법 제59조 제2호의 '누설'은 아직 개인정보를 알지 못하는 타인에게 알려주는 일체의 행위를 의미하기 때문에 정보 주체의 동의를 받지 않고 고소·고발장에 타인의 개인정보를 첨부해서 개인정보를 제출한 행위는 개인정보보호법 제59조 제2호에 해당한다고 판단했다.

(다만 대법원은 이 행위에 위법성 조각사유가 있는지는 별개의 검토가 필요하다고 보았는바, 결국 고소·고발장에 타인의 개인정보를 첨부해 개인정보를 제출한 행위가 개인정보보호법 제59조 제2호에 해당한다는 전제 하에 사회상규 등의 위법성 조각사유가 있는지 여부가 개별 사안별로 중요한 쟁점이 될 것으로 보인다.)

두 번째 대법원 판결(대법원 2022. 10. 27. 선고 2022도9510 판결)은 특정 단체에 소속된 피의자 신분의 B가 타인의 입당원서를 작성자의 동의 없이 임의로 수사기관에 제출한 사안이다.

이 사안에 대해 대법원은, B가 타인의 입당원서를 작성자의 동의없이 임의로 수사기관에 제출한 것은 개인정보보호법 제18조의 개인정보의 목적 외 이용 또는 목적 외 제공이라는 전제 하에, 형사소송법 제199조 제2항(수사에 관하여는 공무소 기타 공사단체에 조회하여 필요한 사항의 보고를 요구할 수 있다)과 같이 수사기관이 공무소 기타 공사단체에 조회하여 필요한 사항의 보고를 요구할 수 있는 포괄적인 규정은 개인정보보호법 제18조 제2항 제2호가 규정한 개인정보의 목적 외 이용·제공 허용사유(다른 법률에 특별한 규정이 있는 경우)에 해당하지 않고, 오히려 B의 행위는 개인정보보호법 제59조 제2호가 금지한 행위이므로, B가 수사기관에 제출한 입당원서는 위법수집증거로서 증거능력이 없다고 판시했다.

대법원 판시 내용에 따르면 수사기관은 형사소송법 제199조 제2항(또는 같은 내용의 경찰관직무집행법 제8조 제1항)에 근거하여 고소인 또는 피의자·참고인 당사자가 아닌 타인의 개인정보를 임의로 받을 수 없다. 그렇다면 특정 당사자로부터 당사자 외 타인의 개인정보를 임의로 받기 위해서는 그 타인, 즉 정보 주체의 동의를 얻거나 법원으로부터 영장을 발부받아 처리하여야 한다.

다만 공공기관은 이러한 제약이 없다. 위 판시는 포괄적인 규정이 개인정보보호법 제18조 제2항 제2호의 사유에 해당하지 않는다는 것인데, 같은 항 제7호는 공공기관에 한하여 '범죄의 수사와 공소의 제기 및 유지를 위하여 필요한 경우'에는 정보주체 또는 제3자의 이익을 부당하게 침해할 우려가 있을 때를 제외하고는 처리하는 개인정보를 수사기관에 제공할 수 있도록 별도의 법적 근거를 마련해 두고 있기 때문이다.

또한 개인정보처리자나 개인정보취급자(였던 자 포함)에 해당하지 않는 일반 개인의 경우에도 이러한 제약이 없다. 이러한 경우에는 개인정보보호법 자체가 적용되지 않기 때문이다.

따라서 민간기업이나 민간단체 등으로서 개인정보보호법이 적용되는 개인정보처리자 또는 개인정보취급자(이던 자)의 경우에는 앞의 대법원 판결을 유념해서 수사기관에 타인의 개인정보를 제공하거나 수사기관의 타인 개인정보 제출 요청에 대응해야 한다. 구체적인 대응 방안은 다음과 같다.

첫째 수사기관에 타인(이용자, 회원, 임직원 등)의 개인정보를 제출하는 경우에는 법적 근거가 있는지를 따져 보아야 한다.

다만 대법원의 판시 내용에 따르면 형사소송법 제199조 제2항은 이러한 근거가 될 수 없다.

예컨대 전기통신사업법 제83조(대법원 2013다105482 판결 또는 헌법재판소 2022헌마126 결정 참조)나 통신비밀보호법 제13조(헌법재판소 2012헌마191 결정 참조) 등이 이러한 근거가 될 수 있는데, 그러나 대부분의 민간기업이나 민간단체 등의 경우에는 이러한 근거가 없는 게 현실이고, 전기통신사업법 제83조나 통신비밀보호법 제13조 등도 그 대상이 한정적이므로 해당 사업자라고 하더라도 그 대상에 해당하는지에 대한 면밀한 검토가 필요하다.

둘째 타인의 개인정보를 수사기관에 제출하는 법적 근거가 없다면 그 타인, 즉 정보 주체의 동의를 얻어야 한다. 이것도 어려우면 결국 영장에 의하여 타인의 개인정보 확보를 집행해야 한다.

대부분의 경우 정보주체의 동의를 얻기 어려울 것인바, 타인의 개인정보를 마스킹 처리하는 방식도 상황에 따라서는 생각해 볼만하다.

셋째 제출에 관한 명문의 법적 근거, 정보 주체의 동의, 법원이 발부한 영장의 절차가 결여된 상태에서 타인의 개인정보가 제출되면 오히려 제출자가 정보 주체의 개인정보자기결정권을 침해하는 것이 되어 개인정보보호법 제59조 제2호에 의하여 형사처벌되거나 설령 수사기관에 제출되고 유죄 증거로 법정에 제출된다 하더라도 위법수집증거로 증거 능력이 인정받지 못할 수 있다. 다만 개인정보보호법 제59조 제2호 형사처벌과 관련해서는 사안에 따라 위법성 조각 사유를 주장할 여지는 있다.

이상 대법원의 2022년 10월 27일과 11월 10일 2개 판결은 완전히 새로운 내용이라기보다는 개인정보보호법 제18조 제2항 제2호의 적용 범위를 엄격하게 해석하고 개인정보보호법 제59조 제2호의 범위를 명확히 함으로써 고소인이나 피의자 등의 지위에서 행해지는 타인 개인정보의 수사기관 제출에 대하여 적법 절차 또는 분별적인 처리가 달성되어야 함을 확인한 것으로 볼 수 있다.

김경환 법무법인 민후 대표변호사 oalmephaga@minwho.kr