[김경환 변호사의 IT법] 〈15〉내부 규정 위반이 '개인정보 목적 외 처리'인가?

김경환 법무법인 민후 변호사 오늘날 디지털 사회에서 개인정보의 보호와 활용은 늘 팽팽한 긴장 관계를 유지한다. 개인정보보호법은 개인정보의 무분별한 남용을 막기 위해 제공받은 목적 외 이용이나 제3자 제공을 엄격히 금지하고, 이를 위반할 경우 형사처벌까지 부과하고 있다. 그러나 실무 현장에서는 조직 내부의 업무 위탁이나 단순 지침 위반마저 개인정보보호법상 '목적 외 처리'로 과도하게 확대 해석돼 형벌권이 남용될 위험이 존재해 왔다. 최근 선고된 대법원 판결(대법원 2026. 7. 16. 선고 2024도17852 판결)은 이러한 혼선을 정돈하고, 형사처벌 대상이 되는 '제3자 제공'과 '목적 외 이용'의 법리적 기준을 명확히 제시했다는 점에서 중요한 시사점을 던져준다. 이 사건은 한 주택재개발정비사업조합의 조합장 선거 과정에서 발생했다. 조합장 후보자인 피고인은 조합으로부터 선거운동 목적으로 조합원들의 개인정보가 담긴 '선거인 명부'를 정당하게 제공받았다. 이후 피고인은 자신의 선거사무원에게 전화 선거운동을 지시하며 선거인 명부 일부를 전달했다. 그러나 조합의 선거관리규정상 '전화를 통한 선거운동'은 후보자 본인만 할 수 있도록 제한돼 있었다. 검찰과 원심 법원은 피고인이 내부 선거관리규정을 위반해 선거사무원에게 명부를 전달한 행위를 '제공받은 목적 외의 용도로 개인정보를 제3자에게 제공한 행위'로 보아 유죄로 판단했다. 하지만 대법원의 판단은 달랐다. 대법원은 원심판결을 파기환송하며, 피고인의 행위가 개인정보보호법상 '제3자 제공'도, '목적 외 이용'도 아니라고 명확히 선언했다. 첫째, 대법원은 '제3자 제공'의 개념을 재확인했다. 개인정보의 제3자 제공이란 본래의 수집·이용 목적 범위를 넘어, 정보를 제공받는 자의 업무 처리와 이익을 위해 개인정보의 '지배·관리권'이 이전되는 것을 의미한다. 반면, 지배·관리권을 유지한 채 내부적인 업무 처리와 이익을 위해 하급자나 보조자에게 개인정보를 처리하게 하는 것은 제3자 제공에 해당하지 않는다. 선거사무원은 후보자의 지휘·감독하에 후보자의 선거운동이라는 업무를 보조하는 내부 관계자에 불과하므로, 선거사무원에게 명부를 전달한 것을 독립된 제3자에게 지배권을 넘긴 것으로 볼 수 없다는 취지다. 둘째, 대법원은 '목적 외 이용'의 엄격한 판단 기준을 제시했다. 법상 '제공받은 목적'이란 주관적·일방적 목적이 아니라, 최초 수집 목적, 정보주체가 동의한 범위, 당사자 간의 ...