[법무법인 민후 김정원 변호사] 기업을 운영하다 보면 고소인으로서, 피고소인으로서 수사기관에 자료를 제출해야 하는 경우가 있고, 수사기관으로부터 직접 자료 제출을 요구받는 경우도 있다. 그런데 수사기관의 요청에 의한 것이라고 하더라도 타인의 개인정보 제출은 개인정보보호법 위반 소지가 있으므로 제출 자료에 타인의 개인정보가 포함되어 있을 경우 각별히 유의해야 한다.

업무상 알게 된 개인정보

개인정보보호법 제71조 제9호 및 제59조 제2호는 개인정보를 처리하거나 처리하였던 자는 업무상 알게 된 개인정보를 누설하거나 권한 없이 다른 사람이 이용하도록 제공하는 행위를 하여서는 아니되고, 이를 위반한 자는 5년 이하의 징역 또는 5천만원 이하의 벌금에 처한다고 규정하고 있다.

위 법 제59조 제2호 소정의 의무주체인 '개인정보를 처리하거나 처리하였던 자'는 같은 법 제2조 제5호 소정의 '개인정보처리자' 즉 업무를 목적으로 개인정보파일을 운용하기 위하여 스스로 또는 다른 사람을 통하여 개인정보를 처리하는 공공기관, 법인, 단체 및 개인 등에 한정되지 않고, 업무상 알게 된 제2조 제1호 소정의 '개인정보'를 제2조 제2호 소정의 방법으로 '처리'하거나 '처리'하였던 자를 포함한다(대법원 2016. 3. 10. 선고 2015도8766 판결 참조).

기업은 개인정보처리자로서 고객의 이름과 연락처 등 업무상 알게 되어 보유하고 있는 타인의 개인정보를 누설하게 될 경우 그 상대방이 수사기관이라고 하더라도 개인정보보호법 위반에 해당하게 된다.

협조공문을 통해 개인정보 제출을 요구받는 경우

수사기관에서 수사 중인 사건과 관련하여 기업을 상대로 타인의 개인정보 제출을 요청하는 경우가 있다. 유선상으로 요청하기도 하고, 협조공문을 통해 공식적으로 요청하기도 하는데 일반적으로 개인정보를 요청하는 근거법령으로서 형사소송법 제199조 제2항, 경찰관직무집행법 제8조, 개인정보보호법 제18조 제2항 7호를 제시한다.

그런데, 대법원 2022. 10. 27. 선고 2022도9510 판결에 따르면 공공기관이 아닌 민간 기업의 경우 위 규정은 타인의 개인정보를 제공할 수 있는 근거가 될 수 없다.

위 판결은 개인정보보호법 제18조 제2항 7호에 관하여 "개인정보처리자가 ‘범죄의 수사와 공소의 제기 및 유지를 위하여 필요한 경우’에는 정보주체 또는 제3자의 이익을 부당하게 침해할 우려가 있는 때를 제외하고는 개인정보를 목적 외의 용도로 이용하거나 이를 제3자에 제공할 수 있음을 규정하였으나, 이는 ‘개인정보처리자’가 ‘공공기관’인 경우에 한정될 뿐 법인·단체·개인 등의 경우에는 적용되지 아니한다" 고 하여 해당 조항은 공공기관인 경우에 한정된다고 명시적으로 판단하였기 때문이다.

그리고 위 판결은 "개인정보 보호법 제18조 제2항 제2호에서 정한 ‘다른 법률에 특별한 규정이 있는 경우’란 그 문언 그대로 개별 법률에서 개인정보의 제공이 허용됨을 구체적으로 명시한 경우로 한정하여 해석하여야 하므로, 형사소송법 제199조 제2항과 같이 수사기관이 공무소 기타 공사단체에 조회하여 필요한 사항의 보고를 요구할 수 있는 포괄적인 규정은 이에 해당하지 아니한다." 고 하여 형사소송법 제199조 제2항이 기업에 타인의 개인정보를 요청할 수 있는 근거법령이 될 수 없다고 했다.

따라서 공공기관이 아닌 일반 기업이 수사기관으로부터 협조공문을 통해 타인의 개인정보 제공을 요청받더라도 그 타인(정보주체)의 동의를 얻지 않는 이상 이를 제공하면 개인정보보호법 제59조 제2호를 위반하는 것이 되고 원칙적으로는 수사기관이 법원을 통해 영장을 발부 받아야만 그 정보를 취득할 수 있다.

노동위원회 등 공공기관 제출 자료라도 개인정보 유출에 주의해야

기업의 경우 노사간 분쟁이 발생한 경우 기업 측 입장 소명을 위해 노동위원회에도 각종 자료를 제출하게 될 수 있다. 이 경우에도 제출하는 자료에 개인정보가 포함되어 있을 수 있으므로 개인정보를 마스킹처리 하는 등으로 개인정보가 유출되지 않도록 주의해야 한다.

한 하급심 판결은 아파트 관리소장으로 근무하면서 직원의 이름, 주민등록번호 동이 담긴 근로계약서를 관리사무소 문서함에 보유하는 방법으로 개인정보를 처리하던 피고인이 위 근로계약서를 복사해서 가지고 나간 다음 지방노동위원회에 부당해고구제신청을 하면서 제출한 사안에서, 개인정보보호법위반의 점에 관하여 유죄로 판단하였다. 개인정보보호법이 정보주체의 이익을 위해 개인정보의 수집·이용·제공 자체를 엄격히 제한하고 있고, 개인정보가 당장 악용될 우려가 없다고 하여 이러한 제한에서 벗어날 수 없으므로 설령 그 유출의 상대방이 공공기관이라고 하더라도 이는 개인정보 유출에 해당한다고 판단한 것이다.

특히 위 사안의 경우 근로자가 부당해고구제신청을 위해 관련 자료로 타인의 근로계약서를 지방노동위원회에 제출한 것으로서 제출처가 공공기관이므로 제출된 개인정보가 악용될 가능성이 극히 낮은 경우임에도, 이름과 주민등록번호를 지우거나 노출을 최소화하지 않은 채 그대로 제출할 수밖에 없었던 합당한 이유가 존재하지 않으므로 사회상규에 위배되지 않는 정당행위에도 해당하지 않는다고 판단하였다.

물론 자료 제출의 목적이나 경위, 누설한 개인정보의 내용이나 범위, 당사자들의 관계 등에 따라 개인정보가 일부 유출되더라도 위법성이 조각되거나 정당행위로 인정될 수도 있다. 그러나 수사기관이나 노동위원회는 공공기관이기에 각종 자료를 제출할 때 개인정보가 악용될 우려가 없을 것이라고만 생각하여 노출을 최소화하지 않은 채 타인의 개인정보를 그대로 제출할 경우 정당행위로서도 인정받지 못할 가능성이 있다. 그러므로 공공기관에 자료를 제출할 때 각종 계약서 등 자료에 타인의 개인정보가 포함되어 있는지 꼼꼼히 확인하고, 이름이나 연락처, 주민등록번호 등 개인정보 일부 또는 전부를 마스킹 처리 하는 등으로 노출을 최소화 하는 것이 기업으로서 개인정보보호법 위반 소지가 없는 가장 안전한 방법임을 유념해야 한다.

<김정원 변호사> 법무법인 민후

<기고와 칼럼은 본지 편집방향과 무관합니다.>