정세진 법무법인 광장 변호사. (사진=본인 제공)
이 질문에 중요한 기준을 제시한 판례가 이른바 ‘수능 감독관 사건’으로 불리는 대법원 2025. 2. 13. 선고 2020도14713 판결이다.
이 사건에서 한 공립학교 교사는 대학수학능력시험 감독관으로 참여해 시험장에서 수험생의 수험표와 응시원서를 대조하는 업무를 맡았다. 그 과정에서 수험생의 성명·연락처 등 개인정보를 확인하게 되었고, 이후 그 중 한 수험생의 연락처를 이용해 사적인 메시지를 보냈다.
쟁점은 이 교사가 개인정보 보호법상 ‘개인정보처리자’에 해당하는지 여부였다. 교사가 개인정보처리자인 서울시교육청으로부터 개인정보를 제공받아 독립적으로 처리하는 주체라면 개인정보처리자로서 처벌 규정이 적용될 수 있지만, 단순히 내부에서 업무를 수행한 사람에 불과하다면 법적 평가가 달라지기 때문이다.
대법원은 수능 감독관을 독립된 개인정보처리자로 보지 않았다. 감독관은 서울시교육청의 지휘·감독 아래 시험 업무를 수행하면서 개인정보를 취급한 자일 뿐, 개인정보의 지배·관리권을 넘겨받아 별도로 처리하는 주체는 아니라는 것이다. 즉, 그는 ‘개인정보처리자’인 서울시교육청에 종속되어 개인정보를 다루는 ‘개인정보취급자’에 해당할 뿐 독립된 개인정보처리자는 아니라고 판단하였다. 당시에는 개인정보취급자가 개인정보를 무단으로 이용한 경우를 직접 처벌하는 규정이 없었으므로, 개인정보 보호법 위반으로는 처벌할 수 없다고 본 것이다.
이 판결에서 주목해야 할 점은 개인정보처리자 여부가 단순히 “개인정보를 다루었는가”만으로 결정되지 않는다는 것이다. 그 사람이 어떤 지위에서, 어떤 권한 아래, 어떤 방식으로 개인정보를 처리했는지가 함께 고려되어야 한다.
업무상 개인정보를 취급했다고 해서 곧바로 개인정보처리자가 되는 것은 아니다. 조직의 지휘·감독 아래 내부적으로 정보를 다루는 경우라면 ‘개인정보취급자’에 그칠 뿐이고, 개인정보를 독립적으로 수집·이용·제공할 권한과 책임을 가진 경우에만 비로소 개인정보처리자로 평가될 수 있다.
이러한 구분은 단순한 개념상의 차이에 그치지 않는다. 개인정보 보호법의 적용 범위와 책임 구조를 결정짓는 핵심 기준이기 때문이다. 이 구분이 명확하지 않으면, 내부 업무 수행자까지 모두 동일한 책임을 지거나, 반대로 실제로 개인정보를 통제하는 주체가 책임에서 벗어나는 문제가 생길 수 있다.
오늘날 데이터 활용 구조는 갈수록 복잡해지고 있다. 하나의 서비스 안에서도 여러 주체가 역할을 나누어 개인정보를 처리하는 경우가 많다. 이러한 환경에서 ‘누가 개인정보처리자인가’를 정확히 가려내는 것은 그만큼 중요하다.
결국 개인정보처리자란 단순히 개인정보를 다루는 사람이 아니다. 개인정보를 독립적으로 처리할 수 있는 권한과 책임을 지니고, 개인정보에 대한 ‘지배와 통제’를 행사하는 주체를 의미한다. 개인정보처리자의 범위는 우리의 예상보다 좁을 수도, 넓을 수도 있다. 그 판단은 언제나 구체적인 사실관계에 따라 이루어진다.
■정세진 변호사 △고려대학교 전기전자전파공학 졸업 △한국과학기술원(KAIST) 전기 및 전자공학 석사 졸업 △성균관대학교 법학전문대학원 석사 졸업 △고려대학교 정보보호대학원 박사과정 수료 △前김앤장 법률사무소 변호사 △前 법무법인 율촌 변호사 △과학기술정보통신부 고문변호사 △개인정보보호위원회 고문변호사 △금융감독원 금융감독자문위원회 자문위원(디지털/IT분과)△사단법인 벤쳐기업협회 자문위원 △한국핀테크지원센터 혁신금융 전문위원 △한국금융연수원 겸임교수 △성균관대학교 법학전문대학원 겸임교수
