보험설계사 사기, 개인정보보호법위반 형사전문변호사 [ 법원판례 소송사례 및 칼럼 ]

보험설계사 개인정보처리자 해당 여부 부정

– 개인정보보호법 위반 및 사기 사건 핵심 판례 –

대법원 2026. 2. 26. 선고 2024도14998 판결



요약본

보험설계사가 고객의 개인정보를 수집·이용하였다는 사정만으로 곧바로 개인정보처리자에 해당하지 않는다고 본 판례이다.
개인정보보호법 위반, 보험사기, 개인정보 무단이용 사건에서 개인정보처리자 판단 기준을 명확히 하였으며, 실질적인 권한과 책임 주체를 중심으로 판단해야 한다는 점을 강조하였다.



 - 차례 -

1. 개인정보보호법 위반 핵심 쟁점

2. 보험설계사 개인정보 이용 사건 개요

3. 개인정보처리자 판단 기준

4. 개인정보보호법상 책임 주체

5. 보험설계사와 개인정보처리자 구분
 
6. 개인정보 무단이용과 형사책임

7. 원심 판단의 문제점

8. 대법원의 판단

9. 판례의 실무적 의미

10. 개인정보보호법 위반 대응 전략




1. 개인정보보호법 위반 핵심 쟁점

이 사건의 핵심은 다음이다.

보험설계사가 개인정보처리자에 해당하는지
개인정보보호법 위반 성립 여부
개인정보 수집만으로 책임이 발생하는지

즉, 개인정보처리자 판단 기준이 핵심 쟁점이다.



2. 보험설계사 개인정보 이용 사건 개요

피고인은 보험설계사로서 고객의 개인정보를 보유하고 있었고,

공범과 함께
→ 고객인 것처럼 가장하여 보험 계약 변경을 진행하였다.

이는 전형적인
→ 개인정보 무단이용 + 보험사기 유형 사건이다.



3. 개인정보처리자 판단 기준

대법원은 중요한 기준을 제시하였다.

단순히

개인정보를 수집
보유 또는 이용

했다는 사정만으로
→ 개인정보처리자에 해당하지 않는다

핵심 기준은 다음이다.

개인정보 처리 목적 결정 권한
처리 방법 및 절차 통제 여부
실질적인 지휘·감독 관계


4. 개인정보보호법상 책임 주체

개인정보보호법은
→ 책임 주체를 ‘형식’이 아니라 ‘실질’로 판단한다.

즉,

누가 개인정보 처리 목적을 결정하는가
누가 최종 책임을 부담하는가

이 기준에 따라
→ 개인정보처리



5. 보험설계사와 개인정보처리자 구분

대법원은 다음과 같이 보았다.

보험설계사는

보험회사 소속 모집종사자
계약 체결을 중개하는 지위

따라서

개인정보 처리 목적 → 보험회사
관리 및 통제 권한 → 보험회사

결론
→ 일반적으로 보험설계사는 개인정보처리자 아님



6. 개인정보 무단이용과 형사책임

다만 중요한 점은 다음이다.

개인정보처리자가 아니더라도
개인정보 무단이용 자체는 위법 가능

또한

공범과의 공모
보험계약 변경 행위

는
→ 사기죄 및 기타 형사범죄로 처벌 가능



7. 원심 판단의 문제점

원심은 다음과 같은 오류를 범했다.

단순 개인정보 수집 사실만으로
→ 개인정보처리자 인정

그러나 이는

실질적 권한 구조 미검토
개인정보파일 운영 여부 미확인

이라는 문제점이 있었다.



8. 대법원의 판단

대법원은 다음과 같이 판시하였다.

개인정보처리자 판단 법리 오해
심리 미진 인정

결론

→ 원심판결 파기 및 환송

즉
→ 개인정보보호법 위반 부분은 다시 판단 필요



9. 판례의 실무적 의미

이 판례는 개인정보보호법 사건에서 매우 중요한 기준을 제시한다.

핵심 요약

개인정보 수집만으로 처벌 불가
실질적 권한 기준으로 판단
보험설계사는 원칙적으로 개인정보처리자 아님
개인정보 무단이용은 별도로 처벌 가능

특히

→ 보험사기 + 개인정보보호법 위반 사건에서 핵심 판례



10. 개인정보보호법 위반 대응 전략

실무 대응 핵심은 다음이다.

개인정보처리자 해당 여부 분석
개인정보 처리 권한 구조 검토
회사 vs 개인 책임 분리
공모 여부 및 고의성 판단

이 요소들이
→ 형사처벌 여부를 좌우한다.




정규범 법무국장 법률칼럼

이번 판례는 개인정보보호법 위반 사건에서 가장 중요한 기준인
“누가 개인정보처리자인가”에 대해 명확한 방향을 제시한 결정이다.

기존에는 개인정보를 단순히 보유하거나 이용했다는 이유만으로
형사책임이 인정되는 경우가 있었으나,

대법원은 이를 명확히 제한하였다.

즉, 핵심은
→ “실질적인 통제권과 책임 주체가 누구인가”이다.

이 판례는 특히

보험설계사
플랫폼 종사자
프리랜서 영업조직

과 같은 구조에서 매우 중요한 기준이 된다.

앞으로 개인정보보호법 위반 사건에서는

단순 행위가 아니라

→ “개인정보 처리 권한과 책임의 귀속 구조”

를 중심으로 판단해야 한다.

결론적으로
형사사건 대응에서는

개인정보처리자 여부
조직 구조
실질적 통제권

이 세 가지를 전략적으로 분석하는 것이 핵심이다.

 

#개인정보보호법
#개인정보보호법위반
#개인정보처리자
#개인정보무단이용
#보험사기
#형사사건
#대법원판례
 #법률칼럼
#형사전문변호사
 #개인정보법




대법원 2026. 2. 26. 선고 2024도14998 판결

[ 사기·사전자기록등위작·위작사전자기록등행사·개인정보보호법위반 ]

〈보험가입 및 고객 관리를 위하여 고객의 개인정보를 수집한 보험설계사가 개인정보처리자에 해당하는지 여부가 문제 된 사건〉〈압수된 증거의 증거능력이 문제 된 사건〉



【판시사항】

[1] 어떤 주체가 업무를 목적으로 개인정보파일을 운용하기 위하여 개인정보를 수집, 보유, 이용하는 등 개인정보처리에 해당하는 행위를 실제로 하였다는 사정만으로 당연히 구 개인정보 보호법 제18조 제1항의 수범자인 ‘개인정보처리자’에 해당하는지 여부(소극) / 구 개인정보 보호법상 ‘개인정보처리자’에 해당하는지 판단하는 기준 및 이때 고려하여야 할 사항

[2] 피고인은 갑 보험회사 소속 보험설계사로 위촉되어 활동하던 사람이고, 을은 당시 피고인을 통해 갑 보험회사의 보험상품에 가입한 사람인데, 피고인이 병과 공모한 다음 병이 갑 보험회사 상담원에게 전화하여 마치 을인 것처럼 행세하면서 피고인이 보험설계사로서 보험 가입 및 고객 관리를 위해 수집한 을의 생년월일, 주소, 연락처 등을 이용하여 을이 가입한 보험의 특약 해지, 주 계약 보장내용 변경 등을 신청함으로써 을의 개인정보를 수집 목적의 범위를 초과하여 이용하였다는 구 개인정보 보호법 위반으로 기소된 사안에서, 피고인이 을의 개인정보를 수집한 적이 있다는 등의 사정만으로 개인정보처리자라는 전제 아래 피고인의 행위가 같은 법 제71조 제2호, 제18조 제1항 위반죄에 해당한다고 본 원심판단에 법리오해 등의 잘못이 있다고 한 사례



【판결요지】

[1] 구 개인정보 보호법(2020. 2. 4. 법률 제16930호로 개정되기 전의 것, 이하 ‘법’이라 한다)은 제71조 제2호에서 ‘제18조 제1항·제2항을 위반하여 개인정보를 이용하거나 제3자에게 제공한 자’를 처벌하도록 규정하고, 제18조 제1항은 “개인정보처리자는 개인정보를 제15조 제1항에 따른 범위를 초과하여 이용하거나 제17조 제1항 및 제3항에 따른 범위를 초과하여 제3자에게 제공하여서는 아니 된다.”라고 규정한다. 법 제18조 제1항의 수범자인 ‘개인정보처리자’란 ‘업무를 목적으로 개인정보파일을 운용하기 위하여 스스로 또는 다른 사람을 통하여 개인정보를 처리하는 공공기관, 법인, 단체 및 개인 등’을 말한다(법 제2조 제5호).

개인정보처리자는 스스로 개인정보를 처리할 수 있을 뿐 아니라, 제3자에게 개인정보처리 업무를 위탁하거나(법 제26조), 임직원, 파견근로자, 시간제근로자 등 개인정보처리자의 지휘·감독을 받아 개인정보를 처리하는 자인 개인정보취급자(법 제28조)를 통하여 개인정보를 처리하는 등 다른 사람을 통하여 개인정보를 처리할 수도 있다. 따라서 어떤 주체가 업무를 목적으로 개인정보파일을 운용하기 위하여 개인정보를 수집, 보유, 이용하는 등 개인정보처리에 해당하는 행위를 실제로 하였다는 사정만으로 그가 당연히 개인정보처리자에 해당하는 것은 아니다.

누가 개인정보처리자인지는 개인정보처리의 목적, 내용, 방법, 절차 등 개인정보처리에 관한 사항을 종국적으로 결정하는 권한이 누구에게 있는지에 따라 판단하여야 한다. 이러한 판단은 개인정보처리의 목적이 누구의 고유한 업무 및 이익과 밀접한 관련성을 맺고 있는지, 그 목적 달성을 위해 개인정보를 처리하는 과정에서 실질적인 지휘 또는 감독을 하는 자가 누구인지, 개인정보파일을 누가 어떠한 목적으로 어떻게 생성·보유·운용하고 있는지 등 여러 사정을 종합적으로 고려하여 이루어져야 한다. 아울러 이러한 판단을 함에 있어서는 개인정보처리자의 의무와 책임을 누구에게 귀속시키는 것이 정보주체의 권익 보호와 개인정보의 적합한 처리 보장의 요청에 잘 부합하는지도 염두에 두어야 한다.

[2] 피고인은 갑 보험회사 소속 보험설계사로 위촉되어 활동하던 사람이고, 을은 당시 피고인을 통해 갑 보험회사의 보험상품에 가입한 사람인데, 피고인이 병과 공모한 다음 병이 갑 보험회사 상담원에게 전화하여 마치 을인 것처럼 행세하면서 피고인이 보험설계사로서 보험 가입 및 고객 관리를 위해 수집한 을의 생년월일, 주소, 연락처 등을 이용하여 을이 가입한 보험의 특약 해지, 주 계약 보장내용 변경 등을 신청함으로써 을의 개인정보를 수집 목적의 범위를 초과하여 이용하였다는 구 개인정보 보호법(2020. 2. 4. 법률 제16930호로 개정되기 전의 것, 이하 ‘법’이라 한다) 위반으로 기소된 사안에서, 을이 피고인을 통하여 갑 보험회사와 보험계약을 체결하고 그 과정에서 피고인이 을의 개인정보를 수집하는 등 개인정보처리에 해당하는 행위를 실제 하였다는 사정만으로 당연히 개인정보처리자에 해당하는 것은 아니고, 보험설계사는 보험회사 등에 소속되어 보험계약의 체결을 중개하는 모집종사자로(보험업법 제2조 제9호, 제83조 제1항 제1호) 보험회사에 소속된 보험설계사가 보험계약의 체결을 중개하는 과정에서 보험계약자 등의 개인정보를 수집, 보유하는 등 개인정보처리 행위를 하더라도, 그 개인정보처리의 목적은 특별한 사정이 없는 한 보험회사가 당사자인 보험계약 체결 및 그에 따른 보험회사의 의무 이행 등 보험회사의 고유한 업무 및 이익과 밀접한 관련성을 맺게 되어 개인정보처리에 관한 사항의 종국적 결정 권한이 보험회사에 있다고 볼 여지가 높기 때문에, 이러한 경우 개인정보처리에 관한 정보주체의 권익 보호와 개인정보의 적합한 처리를 위하여 보험회사로 하여금 법상 개인정보처리자의 의무와 책임을 지도록 할 필요도 있다는 이유로, 피고인이 갑 보험회사와 체결한 보험설계사 위촉계약, 보험모집 위탁계약의 내용, 피고인이 보험계약의 체결을 중개·모집하면서 수집하거나 알게 된 고객들의 개인정보에 관한 관리 주체나 방법 등과 같이 피고인의 개인정보처리 목적과 밀접한 관련성을 맺고 있는 고유한 업무 및 이익의 주체, 개인정보처리 과정에서 실질적인 지휘 또는 감독을 하는 자가 누구인지 등의 여러 사정뿐 아니라 피고인이 운용한다고 기재된 개인정보파일의 존부와 그 생성·보유·운용에 관한 구체적 사정도 충분히 살펴보지 않은 채, 피고인이 을의 개인정보를 수집한 적이 있다는 등의 사정만으로 개인정보처리자라는 전제 아래 피고인의 행위가 법 제71조 제2호, 제18조 제1항 위반죄에 해당한다고 본 원심의 판단에 개인정보처리자에 관한 법리오해 또는 심리미진의 잘못이 있다고 한 사례.



【참조조문】

[1] 구 개인정보 보호법(2020. 2. 4. 법률 제16930호로 개정되기 전의 것) 제2조 제2호, 제5호, 제18조 제1항, 제26조, 제28조, 제71조 제2호 [2] 구 개인정보 보호법(2020. 2. 4. 법률 제16930호로 개정되기 전의 것) 제2조 제2호, 제5호, 제18조 제1항, 제71조 제2호, 보험업법 제2조 제9호, 제83조 제1항 제1호, 형법 제30조

【전 문】

【피 고 인】 피고인

【상 고 인】 피고인

【원심판결】 서울중앙지법 2024. 9. 5. 선고 2023노2040 판결



【주 문】

원심판결을 파기하고, 사건을 서울중앙지방법원에 환송한다.



【이 유】

상고이유를 판단한다.

1. 개인정보 보호법 위반 부분 중 개인정보처리자에 관한 법리오해 상고이유에 관하여

가. 이 부분 공소사실의 요지

피고인은 2015. 10. 22.경부터 ○○○보험 주식회사(이하 ‘공소외 1 회사’라 한다)에서 보험설계사로 위촉되어 활동한 사람이다. 방○성은 2015년, 2016년 무렵 피고인을 통해 공소외 1 회사의 보험상품에 가입한 사람이다. 피고인은 2017. 1. 4.경 공소외 2와 공모하여, 공소외 2가 공소외 1 회사 상담원에게 전화하여 마치 방○성인 것처럼 행세하면서 피고인이 보험설계사로서 보험 가입 및 고객 관리를 위해 수집한 방○성의 생년월일, 주소, 연락처 등을 이용하여 방○성이 공소외 1 회사에 가입한 보험의 특약 해지, 주 계약의 보장내용 변경 등을 신청하였다.

이로써 개인정보처리자인 피고인은 방○성의 개인정보를 수집 목적의 범위를 초과하여 이용하였다.

나. 원심의 판단

원심은 이 부분 공소사실에 대하여 구 개인정보 보호법(2020. 2. 4. 법률 제16930호로 개정되기 전의 것, 이하 ‘구 개인정보 보호법’이라 한다) 제71조 제2호, 제18조 제1항을 적용하여 유죄로 인정한 제1심판결을 그대로 유지하였다.

다. 대법원의 판단

그러나 원심의 판단은 다음과 같은 이유로 받아들이기 어렵다.

1) 관련 법리

구 개인정보 보호법(이하 ‘법’이라 한다)은 제71조 제2호에서 ‘제18조 제1항·제2항을 위반하여 개인정보를 이용하거나 제3자에게 제공한 자’를 처벌하도록 규정하고, 제18조 제1항은 “개인정보처리자는 개인정보를 제15조 제1항에 따른 범위를 초과하여 이용하거나 제17조 제1항 및 제3항에 따른 범위를 초과하여 제3자에게 제공하여서는 아니 된다.”라고 규정한다. 법 제18조 제1항의 수범자인 ‘개인정보처리자’란 ‘업무를 목적으로 개인정보파일을 운용하기 위하여 스스로 또는 다른 사람을 통하여 개인정보를 처리하는 공공기관, 법인, 단체 및 개인 등’을 말한다(법 제2조 제5호).

개인정보처리자는 스스로 개인정보를 처리할 수 있을 뿐 아니라, 제3자에게 개인정보처리 업무를 위탁하거나(법 제26조), 임직원, 파견근로자, 시간제근로자 등 개인정보처리자의 지휘·감독을 받아 개인정보를 처리하는 자인 개인정보취급자(법 제28조)를 통하여 개인정보를 처리하는 등 다른 사람을 통하여 개인정보를 처리할 수도 있다. 따라서 어떤 주체가 업무를 목적으로 개인정보파일을 운용하기 위하여 개인정보를 수집, 보유, 이용하는 등 개인정보처리에 해당하는 행위를 실제로 하였다는 사정만으로 그가 당연히 개인정보처리자에 해당하는 것은 아니다.

누가 개인정보처리자인지는 개인정보처리의 목적, 내용, 방법, 절차 등 개인정보처리에 관한 사항을 종국적으로 결정하는 권한이 누구에게 있는지에 따라 판단하여야 한다. 이러한 판단은 개인정보처리의 목적이 누구의 고유한 업무 및 이익과 밀접한 관련성을 맺고 있는지, 그 목적 달성을 위해 개인정보를 처리하는 과정에서 실질적인 지휘 또는 감독을 하는 자가 누구인지, 개인정보파일을 누가 어떠한 목적으로 어떻게 생성·보유·운용하고 있는지 등 여러 사정을 종합적으로 고려하여 이루어져야 한다. 아울러 이러한 판단을 함에 있어서는 개인정보처리자의 의무와 책임을 누구에게 귀속시키는 것이 정보주체의 권익 보호와 개인정보의 적합한 처리 보장의 요청에 잘 부합하는지도 염두에 두어야 한다.

2) 이 사건에 관한 판단

위와 같은 법리에 비추어 이 사건의 경우를 본다.

원심판결 이유와 기록에 의하면, 피고인이 공소외 1 회사 소속 보험설계사였던 2015년, 2016년경 당시 방○성이 피고인을 통하여 공소외 1 회사와 보험계약을 체결하고 그 과정에서 피고인이 방○성의 개인정보를 수집하는 등 처리한 사실은 알 수 있다. 그러나 피고인이 개인정보처리에 해당하는 행위를 실제 하였다는 사정만으로 당연히 개인정보처리자에 해당하는 것은 아니다. 보험설계사는 보험회사 등에 소속되어 보험계약의 체결을 중개하는 모집종사자로(보험업법 제2조 제9호, 제83조 제1항 제1호) 보험회사에 소속된 보험설계사가 보험계약의 체결을 중개하는 과정에서 보험계약자 등의 개인정보를 수집, 보유하는 등 개인정보처리 행위를 하더라도, 그 개인정보처리의 목적은 특별한 사정이 없는 한 보험회사가 당사자인 보험계약 체결 및 그에 따른 보험회사의 의무 이행 등 보험회사의 고유한 업무 및 이익과 밀접한 관련성을 맺게 되어 개인정보처리에 관한 사항의 종국적 결정 권한이 보험회사에 있다고 볼 여지가 높기 때문이다. 이러한 경우에는 개인정보처리에 관한 정보주체의 권익 보호와 개인정보의 적합한 처리를 위하여 보험회사로 하여금 법상 개인정보처리자의 의무와 책임을 지도록 할 필요도 있다.

그럼에도 원심은 피고인이 공소외 1 회사와 체결한 보험설계사 위촉계약, 보험모집 위탁계약의 내용, 피고인이 보험계약의 체결을 중개·모집하면서 수집하거나 알게 된 고객들의 개인정보에 관한 관리 주체나 방법 등과 같이 피고인의 개인정보처리 목적과 밀접한 관련성을 맺고 있는 고유한 업무 및 이익의 주체, 개인정보처리 과정에서 실질적인 지휘 또는 감독을 하는 자가 누구인지 등의 여러 사정뿐 아니라 피고인이 운용한다고 기재된 개인정보파일의 존부와 그 생성·보유·운용에 관한 구체적 사정도 충분히 살펴보지 않은 채, 피고인이 방○성의 개인정보를 수집한 적이 있다는 등의 사정만으로 개인정보처리자라는 전제 아래 이 부분 공소사실 기재 피고인의 행위는 법 제71조 제2호, 제18조 제1항 위반죄에 해당한다고 보았다.

이러한 원심의 판단에는 개인정보처리자에 관한 법리를 오해하거나 필요한 심리를 다하지 않음으로써 판결에 영향을 미친 잘못이 있다. 이를 지적하는 피고인의 상고이유 주장은 이유 있다. 다만 피고인이 개인정보처리자가 아니라고 판단되더라도 법 제74조 양벌규정에서 정한 행위자에 해당한다면 위 벌칙규정의 적용 대상이 될 수 있다는 점은 별론으로 한다(대법원 2021. 10. 28. 선고 2020도1942 판결 참조).

2. 사기, 사전자기록 등 위작, 위작 사전자기록 등 행사 부분에 관한 상고이유에 관하여

원심은 판시와 같은 이유로 이 부분 공소사실을 유죄로 판단한 제1심판결을 유지하였다. 원심판결 이유를 관련 법리와 적법하게 채택된 증거에 비추어 살펴보면, 원심의 판단에 논리와 경험의 법칙을 위반하여 자유심증주의의 한계를 벗어난 잘못이 없다.

3. 파기 범위

원심판결 중 개인정보 보호법 위반 부분은 파기되어야 하는데, 위 파기 부분과 원심이 유죄로 인정한 나머지 부분이 형법 제37조 전단의 경합범 관계에 있어 하나의 형이 선고되었으므로, 결국 원심판결은 전부 파기되어야 한다.

4. 결론

나머지 상고이유에 관한 판단을 생략한 채 원심판결을 파기하고 사건을 다시 심리·판단하도록 원심법원에 환송하기로 하여, 관여 대법관의 일치된 의견으로 주문과 같이 판결한다.

대법관  천대엽(재판장) 오경미 권영준(주심) 엄상필


#개인정보보호법
#개인정보보호법위반
#개인정보처리자
#개인정보무단이용
#보험사기
#형사사건
#대법원판례
 #법률칼럼
#형사전문변호사
 #개인정보법


...

좋아요 30