[제8-2행정부 2023. 9. 1. 선고] <일반> □ 사안 개요 - 오픈마켓을 운영하는 원고(통신판매중개자)는 오픈마켓 회원들(판매자와 구매자)에게 온라인공간에서 상품을 거래할 수 있는 플랫폼을 제공함 - 구매자는 회원가입, 주문·결제 시 판매자에게 계정(ID), 성명, 전화번호, 배송지 주소 등을 제공하는 것에 대해 동의할 수 있고, 원고는 위 ‘개인정보 제3자 제공’동의에 근거하여 구매자의 개인정보를 판매자에게 제공하며, 판매자는 구매자의 개인정보를 이용하여 상품을 배송함 - 피고(개인정보보호위원회)는 원고가 '개인정보 보호법'상 ‘개인정보처리자’에 해당하고, 판매자는 개인정보처리자의 지휘·감독을 받아 개인정보를 처리하는 ‘개인정보취급자’에 해당한다는 전제 하에, 원고에게 판매자에 대한 안전한 인증수단 적용 및 정기적인 교육 실시 등의 시정조치를 할 것을 명함. 원고는 위 처분의 취소를 구함 □ 쟁점 - '개인정보 보호법'상 ‘개인정보취급자’에 해당하기 위한 요건 - ‘개인정보취급자’의 지위와 '개인정보 보호법' 제17조 제1항에 따라 개인정보를 제공받는 ‘제3자’의 지위가 양립가능한지(소극) □ 판단 - '개인정보 보호법'상 ‘개인정보취급자’는 ① 개인정보처리자의 지휘·감독을 받아 개인정보를 처리하는 업무를 담당하는 자로서 ② 임직원, 파견근로자, 시간제근로자 등을 의미하고(①, ② 요건을 모두 충족해야 함), 반드시 개인정보처리자와 고용계약을 체결한 자로 한정되지는 않지만 적어도 법령 또는 계약상 개인정보처리자의 의사에 따라 그 지휘·감독 아래 업무를 집행하는 자를 의미함 - '개인정보 보호법' 제17조 제1항은 개인정보처리자가 제3자에게 개인정보를 제공하는 경우 정보주체의 동의를 요구하는 반면, 개인정보취급자의 경우에는 개인정보 처리가 당연한 업무범위 내라는 전제에서 정보주체의 별도 동의를 요구하지 않고 있는 점에 비추어, ‘제3자’와 ‘개인정보취급자’는 서로 양립할 수 없는 별개의 지위라고 봄이 타당함 - 판매자는 이 사건 약관 등 약정에 따라 원고로부터 개인정보처리시스템에 대한 접근권한을 부여받음으로써 구매자의 개인정보를 제공받아, 판매자 자신의 업무를 위하여 스스로의 의사에 따라 개인정보를 처리 및 이용하는 ‘제3자’일 뿐 원고의 개인정보취급자에 해당하지 않음[항소기각(원고승)]

불법유출된 개인정보를 매수하여 재판매하고 접근권한 없이 타인의 컴퓨터에 접속해 개인정보를 빼낸 사안에서 징역형을 선고한 사례 1. 정보통신망이용촉진및정보보호등에관한법률위반(개인정보누설등) 누구든지 그 개인정보가 누설된 사정을 알면서도 영리 또는 부정한 목적으로 개인정보를 제공받아서는 아니 된다. 그럼에도 불구하고 피고인은 2016년 1월 11일경 자신의 주거지에서, 해킹되거나 불법 유출된 사정을 알면서도 불상의 판매상으로부터 타인의 성명, 전화번호, 생년월일 등 개인정보 35건이 포함된 “naver 35.txt” 파일을 스카이프 메신저를 통해 제공받은 것을 비롯하여 그 때부터 2017년 2월 17일까지 개인정보를 판매할 목적으로 불상의 판매상으로부터 파일당 2만 원에서 4만원을 주고 총 61회에 걸쳐 8만7366건의 개인정보 파일을 제공받았다. 이로써 피고인은 개인정보가 누설된 사정을 알면서도 영리를 목적으로 개인정보를 제공받았다. 2. 정보통신망이용촉진및정보보호등에관한법률위반(정보통신망침해등) 누구든지 정당한 접근권한 없이 또는 허용된 접근권한을 넘어 정보통신망에 침입하여서는 아니 된다. 그럼에도 불구하고 피고인은 2016년 8월 6일경 위 1항 기재 장소에서, 인터넷 사이트에 각종 프로그램을 판매한다고 글을 올린 불상의 프로그램 판매자에게 연락하여 마치 프로그램을 구매하는 것처럼 행세하면서 구매 전에 테스트를 해보겠다고 속인 후 원격접속 프로그램인 '팀뷰어'를 실행시켜 위 불상자의 컴퓨터에 접속하여 그 컴퓨터에 저장된 '페이스북 좋아요 자동입력 프로그램 파일' 등 파일 9개를 피고인의 컴퓨터에 복사하여 저장한 것을 비롯하여 그 때부터 2017년 3월 2일까지 별지 범죄 일람표 2 기재와 같이 총 26회에 걸쳐 타인의 컴퓨터에 저장된 358개의 파일을 원격접속 프로그램을 이용하여 피고인의 컴퓨터에 복사하여 저장하는 방법으로 유출하였다. 이로써 피고인은 허용된 접근권한을 넘어 타인의 정보통신망에 침입하였다.