보험설계사는 개인정보처리자에 해당하지 않는다는 대법원 판단이 나왔다. 개인정보 처리에 관한 종국적인 결정 권한은 보험설계사가 아니라 보험회사에 있다는 취지다.

대법원 형사2부(주심 권영준 대법관)는 2월 26일 사기, 개인정보보호법 위반 등 혐의로 기소된 보험설계사 A 씨의 상고심에서 유죄를 선고한 원심을 파기하고 사건을 서울중앙지법으로 환송했다(2024도14998).

[사실관계]
보험설계사인 A 씨는 B 씨와 공모하고 B 씨가 보험상담원에게 전화를 걸어 A 씨의 고객인 C 씨가 가입한 보험의 특약 해지, 계약의 보장내용 변경 등을 신청하도록 했다. 이 과정에서 A 씨는 보험설계사로서 보험 가입 및 고객 관리를 위해 수집한 고객 C 씨의 생년월일, 주소, 연락처 등을 이용했다. 검찰은 A 씨가 개인정보처리자에 해당함에도 고객의 개인정보를 수집 목적 범위를 넘어 이용했다며 기소했다.

[하급심]
1심과 항소심은 A 씨를 개인정보처리자로 보고 개인정보보호법 위반죄를 유죄로 인정했다.

[쟁점]
보험설계사를 개인정보보호법상 개인정보처리자로 볼 수 있는지 여부

[대법원 판단(요지)]
그러나 대법원은 보험설계사는 개인정보처리자가 아니라고 판단했다. 

-개인정보처리자는 스스로 개인정보를 처리할 수 있을 뿐 아니라, 제3자에게 개인정보 처리 업무를 위탁하거나 다른 사람을 통해 개인정보를 처리할 수도 있다. 따라서 어떤 주제가 업무를 목적으로 개인정보파일을 운용하기 위해 개인정보를 수집, 보유, 이용하는 등 개인정보처리에 해당하는 행위를 실제로 했다는 사정만으로 그가 당연히 개인정보처리자에 해당하는 것은 아니다.

-누가 개인정보처리자인지는 개인정보처리의 목적, 내용, 방법, 절차 등 개인정보처리에 관한 사항을 종국적으로 결정하는 권한이 누구에게 있는지에 따라 판단해야 한다. 이러한 판단은 개인정보처리의 목적이 누구의 고유한 업무 및 이익과 밀접한 관련성을 맺고 있는지, 그 목적 달성을 위해 개인정보를 처리하는 과정에서 실질적인 지휘 또는 감독을 하는 자가 누구인지, 개인정보파일을 누가 어떠한 목적으로 어떻게 생성, 보유 운용하고 있는지 등 여러 사정을 종합적으로 고려해 이루어져야 한다. 

-이러한 판단을 함에 있어서는 개인정보처리자의 의무와 책임을 누구에게 귀속시키는 것이 정보주체의 권익 보호와 개인정보의 적합한 처리 보장의 요청에 잘 부합하는지도 염두에 두어야 한다. 피고인(보험설계사 A 씨)이 개인정보처리에 해당하는 행위를 실제했다는 사정만으로 당연히 개인정보처리자에 해당하는 것은 아니다. 

-보험설계사는 보험회사 등에 소속돼 보험계약의 체결을 중개하는 모집종사자로 보험회사에 소속된 보험설계사가 보험계약의 체결을 중개하는 과정에서 보험계약자 등의 개인정보를 수집, 보유하는 등 개인정보처리 행위를 하더라도, 그 개인정보처리의 목적은 특별한 사정이 없는 한 보험회사가 당사자인 보험계약 체결 및 그에 따른 보험회사의 의무 이행 등 보험회사의 고유한 업무 및 이익과 밀접한 관련성을 맺게 되어 개인정보처리에 관한 사항의 종국적 결정 권한이 보험회사에 있다고 볼 여지가 높다.

-개인정보처리에 관한 정보주체의 권익 보호와 개인정보의 적합한 처리를 위해 보험회사로 하여금 개인정보 보호법상 개인정보처리자의 의무와 책임을 지도록 할 필요도 있다. 

-원심 판단에는 개인정보처리자에 관한 법리를 오해하거나 필요한 심리를 다하지 않음으로써 판결에 영향을 미친 잘못이 있다. 이를 지적하는 피고인의 상고이유 주장은 이유 있다. 다만 피고인이 개인정보처리자가 아니라고 판단되더라도 양벌규정에서 정한 행위자에 해당한다면 벌칙규정의 적용대상이 될 수 있다는 점은 별론으로 한다.