Workbear재주넘는곰
한국어 Log in Sign up free
◉ Workbear case detail — 대법원 2026도477 · https://workbear.kr/precedents/16090 · Viewed 2026-10-27
대법원 2026도477

Illegal Online Gambling Site Operation and Violation of the Personal Information Protection Act (도박공간개설·개인정보보호법위반)도박공간개설·개인정보보호법위반

Decided2026. 04. 16. Court대법원Appeal dismissed; the lower court's guilty verdict was upheld (the prosecution's position was affirmed and the defendant's conviction became final)
한국어·Print
AI-generated English translation (summary, key points, decision summary and full text) for reference only — not an official translation and without legal effect. The Korean original below is authoritative.
AI Easy read — AI summary of this decision
AI-generated summary for reference only — the Korean original below is authoritative.

The Supreme Court held that a person qualifies as a 'personal information processor (개인정보처리자)' under the Personal Information Protection Act (개인정보보호법) even if the personal data was illegally obtained (e.g., through hacking), so long as it is used for business purposes. Here, the operator of an illegal gambling website used personal information obtained via hacking to manage gambling site members, which the Court found violated the Act. The Court further clarified that the crime of using personal information beyond its authorized purpose and the crime of disclosing business secrets are separate offenses that apply simultaneously (imaginative concurrence, 상상적 경합), rather than one superseding the other.

Key takeaways
  • CaseThe operator of an illegal gambling website obtained users' personal information through hacking and used it to manage gambling site members.
  • OutcomeThe Supreme Court upheld the conviction, confirming that even illegally obtained personal data triggers liability under the Personal Information Protection Act (개인정보보호법) once it is used for business operations.
  • LessonBusinesses cannot escape liability under privacy law by claiming that personal data was originally acquired through illegal means such as hacking—using such data operationally still constitutes a punishable violation, and related offenses may be charged together.
Issues
  • Whether a person who obtains personal information through unlawful means such as hacking and later uses it for business purposes qualifies as a 'personal information processor (개인정보처리자)' under the Personal Information Protection Act
  • Whether the offense of using/providing personal information beyond its authorized purpose (Article 71(2), Article 18(1)) and the offense of disclosing business secrets (Article 71(10), Article 59(3)) stand in a 'special relationship' (where only one law applies) or in 'imaginative concurrence' (where both apply simultaneously)
Key reasoning

The Personal Information Protection Act does not restrict the definition of 'personal information processor' based on how the information was acquired. Therefore, even someone who illegally obtained personal data—such as through hacking—can still be deemed a personal information processor if they operate or manage that data as part of their business activities. The Court also examined two separate offenses: (1) using personal information outside its authorized purpose (Article 71(2), Article 18(1)) and (2) disclosing confidential information obtained in the course of business (Article 71(10), Article 59(3)). Because these two offenses have different addressees and different prohibited conduct, they do not form a 'special relationship' where one law exclusively governs; instead, both offenses can be charged together under the doctrine of imaginative concurrence, since a single act can simultaneously satisfy the elements of both crimes.

Summary of Decision (English, AI translation)

[1] Considering the language and structure of the relevant provisions, including Article 2 Subparagraph 5 of the Personal Information Protection Act (개인정보 보호법), as well as a reasonable interpretation of the concept of "personal information controller" that takes into account the legislative purpose and protected legal interests of the Personal Information Protection Act, a person who processes personal information, whether by itself or through another person, for the purpose of operating a personal information file for business purposes should, absent special circumstances, be deemed to fall under the "personal information controller" as defined in Article 2 Subparagraph 5 of the Personal Information Protection Act. This conclusion should not differ even where a person acquired personal information through unlawful means such as hacking, or acquired personal information that had been illegally circulated without the consent of the data subject or without any basis in statutory provisions, and thereafter processed such personal information in order to operate a personal information file for business purposes based thereon.

[2] The offense under Article 71 Subparagraph 2 and Article 18 Paragraph 1 of the Personal Information Protection Act and the offense under Article 71 Subparagraph 10 and Article 59 Subparagraph 3 of the Personal Information Protection Act each have different specific constituent elements, including the persons subject to regulation and the prohibited acts, and thus the constituent elements of the offense under Article 71 Subparagraph 2 and Article 18 Paragraph 1 of the Personal Information Protection Act do not constitute a case in which they encompass all the elements of the offense under Article 71 Subparagraph 10 and Article 59 Subparagraph 3 of the Personal Information Protection Act while additionally possessing other elements. Accordingly, the provision on the offense under Article 71 Subparagraph 2 and Article 18 Paragraph 1 of the Personal Information Protection Act cannot be regarded as being in a special relationship with the provision on the offense under Article 71 Subparagraph 10 and Article 59 Subparagraph 3 of the Personal Information Protection Act; rather, these are each independent and separate constituent elements, and where a single act satisfies each of these constituent elements, it should be deemed to be in a relationship of imaginary concurrence (상상적 경합).

Full text (English, AI translation) 15,599 chars

[Defendant] Defendant
[Appellant] Defendant
[Defense Counsel] Attorney Jeon Yeong-gyeong of Woosung Law Firm (LLC)
[Lower Court Judgment] Uijeongbu District Court Judgment 2025No2686, decided December 19, 2025

[Order]

The appeal is dismissed.

[Reasoning]

The grounds of appeal are examined.

1. As to the grounds of appeal concerning the violation of the Personal Information Protection Act (「개인정보 보호법」)

A. Relevant Legal Principles

Considering the language and structure of the relevant provisions, including Article 2, Subparagraph 5 of the Personal Information Protection Act, as well as a reasonable interpretation of the concept of "personal information controller" in light of the legislative purpose and the legal interest protected by the Personal Information Protection Act, a person who processes personal information, either directly or through another person, for the purpose of operating a personal information file for business purposes should, absent special circumstances, be deemed a "personal information controller" as defined in Article 2, Subparagraph 5 of the Personal Information Protection Act. This conclusion does not change even where the personal information was obtained through hacking or other unlawful means, or where personal information that had been unlawfully circulated without the consent of the data subject or without any legal basis was obtained and then processed to operate a personal information file for business purposes. The reasons are as follows.

1) The Personal Information Protection Act, in Article 71, Subparagraph 2, provides for the punishment of "a person who uses or provides personal information to a third party in violation of Article 18, Paragraphs 1 and 2," and Article 18, Paragraph 1 provides that "a personal information controller shall not use personal information beyond the scope set forth in Article 15, Paragraph 1, or provide it to a third party beyond the scope set forth in Article 17, Paragraphs 1 and 3." The "personal information controller," who is the subject of the obligation under Article 18, Paragraph 1 of the Personal Information Protection Act, refers to "a public institution, corporation, organization, individual, or the like that processes personal information, either directly or through another person, for the purpose of operating a personal information file for business purposes" (Article 2, Subparagraph 5), and "personal information file" refers to a collection of personal information systematically arranged or organized according to certain rules to enable easy retrieval of personal information (Article 2, Subparagraph 4).

Examining the language and structure of the relevant provisions of the Personal Information Protection Act in this manner, the concept of "personal information controller" is defined merely as "a public institution, corporation, organization, individual, or the like that processes personal information, either directly or through another person, for the purpose of operating a personal information file for business purposes," without placing any restriction on the circumstances or method by which the personal information controller acquired the personal information file.

2) The Personal Information Protection Act aims to protect individuals' freedom and rights, and further to realize human dignity and worth, by establishing matters concerning the processing and protection of personal information (Article 1), and its protected legal interest is the data subject's right to self-determination over personal information (see Supreme Court Decision 2012Da49933, decided July 24, 2014; Supreme Court Decision 2024Do19539, decided October 30, 2025, among others).

For this purpose, the Personal Information Protection Act, in order to protect the rights and interests of data subjects and to ensure the proper processing of personal information, imposes various obligations on the "personal information controller," who is the subject operating personal information files, ranging from the collection, use, and provision of personal information to management and supervision over the processing of personal information, and provides for criminal liability in case of violation of these obligations. That is, a personal information controller may collect personal information where the data subject's consent has been obtained or where there is a special provision of law, among other cases, and may use it within the scope of the purpose of such collection (Article 15, Paragraph 1). A personal information controller may provide a data subject's personal information to a third party in certain cases, such as where the data subject's consent has been obtained (Article 17, Paragraph 1). In principle, a personal information controller shall not use personal information beyond the scope set forth in Article 15, Paragraph 1, or provide it to a third party beyond the scope set forth in Article 17, Paragraph 1 (Article 18, Paragraph 1). Furthermore, when a personal information controller processes personal information collected from a source other than the data subject, it must, upon the data subject's request, immediately notify the data subject of the source of collection of the personal information, among other matters (Article 20, Paragraph 1). The data subject may request the personal information controller to allow access to his or her own personal information (Article 35, Paragraph 1), and may request correction or deletion of such personal information, or suspension of its processing (Article 36, Paragraph 1; Article 37, Paragraph 1). In addition, where a data subject suffers damage due to an act by a personal information controller in violation of the Personal Information Protection Act, the data subject may claim damages from the personal information controller, and in such case, the personal information controller cannot be exempted from liability unless it proves the absence of intent or negligence (Article 39, Paragraph 1).

Therefore, if a person is deemed not to constitute a personal information controller solely on the ground that the person directly obtained personal information through hacking or other unlawful means, or obtained personal information that had been unlawfully circulated without the consent of the data subject or without any legal basis, this would run counter to the legislative purpose and protective aim of the Personal Information Protection Act and would create a significant gap in the protection of the data subject's right to self-determination over personal information. This is because, in a situation where there is a heightened risk of infringement of the data subject's rights and interests by directly obtaining personal information through unlawful means or by obtaining unlawfully circulated personal information and then operating a personal information file for business purposes on that basis, the result would rather be that such a person is exempted from the various obligations and liabilities that are imposed on personal information controllers as the persons bound by such obligations.

B. Determination

The lower court found the defendant guilty of this part of the charges on the ground, as stated in its reasoning, that the defendant fell under the "personal information controller" as defined in Article 2, Subparagraph 5 of the Personal Information Protection Act. Examining the reasoning of the lower court's judgment in light of the aforementioned legal principles and the evidence lawfully admitted, it was proper for the lower court to find the defendant guilty of violating Article 71, Subparagraph 2 and Article 18, Paragraph 1 of the Personal Information Protection Act, even in a case where the defendant obtained personal information through hacking or other unlawful means, or obtained personal information that had been unlawfully circulated without the consent of the data subject or without any legal basis, and then processed such information to operate a personal information file for business purposes on that basis. There is no error in the lower court's determination, such as failing to conduct the necessary examination, violating the rules of logic and experience so as to exceed the limits of free evaluation of evidence, or misunderstanding the legal principles concerning the "personal information controller" under Article 2, Subparagraph 5 of the Personal Information Protection Act, the relationship of conspiracy, or the principle prohibiting a disadvantageous change in punishment.

2. As to the grounds of appeal concerning the part on establishing a space for gambling

The lower court, for the reasons stated in its judgment, upheld the first-instance judgment, which had found this part of the charges guilty. Examining the reasoning of the lower court's judgment in light of the relevant legal principles and the evidence lawfully admitted, there is no error in the lower court's determination, such as violating the rules of logic and experience so as to exceed the limits of free evaluation of evidence, or misunderstanding the legal principles concerning the completion of the offense of establishing a space for gambling, that affected the judgment.

3. Ex officio determination on the relationship of the number of offenses between the violation of Article 71, Subparagraph 2 and Article 18, Paragraph 1 of the Personal Information Protection Act and the violation of Article 71, Subparagraph 10 and Article 59, Subparagraph 3 of the Personal Information Protection Act

A. An imaginary concurrence of offenses (상상적 경합) refers to a case where a single act substantively satisfies the elements of several offenses, whereas a conflict of statutes (법조경합) refers to a case where a single act appears, on its face, to satisfy the elements of several offenses but in substance constitutes only a single offense. Whether an act substantively constitutes a single offense or multiple offenses must be determined by examining the elements of the offense and the protected legal interest (see Supreme Court Decision 97Do2956, decided March 24, 1998; Supreme Court en banc Decision 2002Do669, decided July 18, 2002, among others). Furthermore, a "special relationship," which is a form of conflict of statutes, refers to a case where one set of elements is established only by including all the elements of another set of elements plus additional elements; in a special relationship, an act satisfying the elements of the special law also satisfies the elements of the general law, but conversely, an act satisfying the elements of the general law does not satisfy the elements of the special law (see Supreme Court Decision 97Do1085, decided June 27, 1997; Supreme Court Decision 2002Do6033, decided April 8, 2003, among others).

B. Article 18, Paragraph 1 of the Personal Information Protection Act provides that "a personal information controller shall not use personal information beyond the scope set forth in Article 15, Paragraph 1, or provide it to a third party beyond the scope set forth in Article 17, Paragraph 1 and Article 28-8, Paragraph 1." Article 71, Subparagraph 2 of the same Act provides that "a person who uses or provides personal information to a third party in violation of Article 18, Paragraphs 1 and 2, Article 27, Paragraph 3, or Article 28-2 (including cases applied mutatis mutandis under Article 26, Paragraph 8), Article 19, or Article 26, Paragraph 5, and a person who receives personal information for profit or for wrongful purposes while being aware of such circumstances, shall be punished by imprisonment for not more than five years or by a fine not exceeding fifty million won." Meanwhile, Article 59 of the same Act provides that "a person who processes or has processed personal information shall not commit any of the following acts," and Subparagraph 3 thereof provides for "using, damaging, destroying, altering, forging, or leaking another person's personal information without legitimate authority or exceeding the authority granted." Article 71, Subparagraph 10 of the same Act provides that "a person who uses, damages, destroys, alters, forges, or leaks another person's personal information in violation of Article 59, Subparagraph 3 shall be punished by imprisonment for not more than five years or by a fine not exceeding fifty million won."

The respective penal provisions for the offense of violating Article 71, Subparagraph 2 and Article 18, Paragraph 1 of the Personal Information Protection Act and the offense of violating Article 71, Subparagraph 10 and Article 59, Subparagraph 3 of the Personal Information Protection Act differ in their specific elements, including the persons bound by the obligation and the prohibited acts, and thus the elements of the former offense do not constitute a case of including all the elements of the latter offense plus additional elements. Accordingly, the provision on the offense of violating Article 71, Subparagraph 2 and Article 18, Paragraph 1 of the Personal Information Protection Act cannot be regarded as being in a special relationship with the provision on the offense of violating Article 71, Subparagraph 10 and Article 59, Subparagraph 3 of the Personal Information Protection Act; rather, these are each independent and separate elements of offense, and where a single act satisfies the elements of each offense, they must be regarded as being in a relationship of imaginary concurrence.

C. Nevertheless, the lower court, for the reasons stated in its judgment, held that where the offense of violating Article 71, Subparagraph 2 and Article 18, Paragraph 1 of the Personal Information Protection Act is established, the offense of violating Article 71, Subparagraph 10 and Article 59, Subparagraph 3 of the Personal Information Protection Act does not separately arise, and accordingly found the defendant not guilty, in the reasoning, of the part of the charges concerning the violation of Article 71, Subparagraph 10 and Article 59, Subparagraph 3 of the Personal Information Protection Act. This constitutes a misunderstanding of the legal principles concerning the number of offenses as between the two offenses, which are in a relationship of imaginary concurrence. However, in light of the circumstances that there is, in the end, no difference in the range of the applicable punishment, and that even if it were held that both offenses are separately established but in a relationship of imaginary concurrence, and the defendant were punished under the punishment prescribed for the offense of violating Article 71, Subparagraph 2 and Article 18, Paragraph 1 of the Personal Information Protection Act, which is the more serious offense in terms of the nature of the offense, there would appear to be no substantial difference, compared to the lower court's approach of finding that only the offense of violating Article 71, Subparagraph 2 and Article 18, Paragraph 1 of the Personal Information Protection Act was established, in the conditions for sentencing or the sentence imposed accordingly, it cannot be said that the lower court's determination regarding the evaluation of the number of offenses affected the judgment (see Supreme Court en banc Decision 80Do384, decided December 9, 1980; Supreme Court Decision 2025Do4969, decided July 3, 2025, among others).

4. Conclusion

The appeal is dismissed, and it is so decided by the unanimous opinion of the participating Justices as stated in the Order.

Justice Ma Yong-ju (Presiding Justice), Cheon Dae-yeop, Seo Gyeong-hwan (Justice in Charge), Shin Suk-hee

【판결요지】

[1] 개인정보 보호법 제2조 제5호 등 관련 규정의 문언과 체계, 개인정보 보호법의 입법 취지와 보호법익을 고려한 ‘개인정보처리자’ 개념에 관한 합리적 해석 등을 종합하면, 업무를 목적으로 개인정보파일을 운용하기 위하여 스스로 또는 다른 사람을 통해 개인정보를 처리하는 자는 특별한 사정이 없는 한 개인정보 보호법 제2조 제5호에서 정한 ‘개인정보처리자’에 해당한다고 보아야 하고, 해킹 등 부정한 방법을 통하여 개인정보를 취득하거나 정보주체의 동의 또는 법률의 규정 등에 기하지 아니한 채 불법적으로 유통되고 있는 개인정보를 취득한 후 이를 기초로 업무상 개인정보파일을 운용하기 위하여 개인정보를 처리한 경우라고 하더라도 이와 달리 볼 것은 아니다.

[2] 개인정보 보호법 제71조 제2호, 제18조 제1항 위반죄와 개인정보 보호법 제71조 제10호, 제59조 제3호 위반죄의 각 처벌조항은 수범자 및 금지행위 등 구체적인 구성요건을 달리하고 있어, 개인정보 보호법 제71조 제2호, 제18조 제1항 위반죄의 구성요건이 개인정보 보호법 제71조 제10호, 제59조 제3호 위반죄 구성요건의 모든 요소를 포함하는 외에 다른 요소를 구비하는 경우에 해당하지 않는다. 그렇다면 개인정보 보호법 제71조 제2호, 제18조 제1항 위반죄의 규정이 개인정보 보호법 제71조 제10호, 제59조 제3호 위반죄의 규정에 대하여 특별관계에 있다고 볼 수 없고, 이들은 각기 독립된 별개의 구성요건으로서 1개의 행위가 각 구성요건을 충족하는 경우에는 상상적 경합의 관계에 있다고 보아야 한다.

【참조조문】

[1] 개인정보 보호법 제2조 제5호, 제15조 제1항, 제17조 제1항, 제18조 제1항, 제71조 제2호

[2] 개인정보 보호법 제18조 제1항, 제59조 제3호, 제71조 제2호, 제10호, 형법 제40조

【주문】·【이유】 전문 5,600자 · 펼쳐 보기

【피 고 인】 피고

【상 고 인】 피고인

【변 호 인】 법무법인(유한) 우승 담당변호사 전영경

【원심판결】 의정부지법 2025. 12. 19. 선고 2025노2686 판결

【주 문】

상고를 기각한다.

【이 유】 상고이유를 판단한다.

1. 「개인정보 보호법」 위반 부분 상고이유에 대하여

가. 관련 법리

「개인정보 보호법」 제2조 제5호 등 관련 규정의 문언과 체계, 「개인정보 보호법」 의 입법 취지와 보호법익을 고려한 ‘개인정보처리자’ 개념에 관한 합리적 해석 등을 종합하여 보면, 업무를 목적으로 개인정보파일을 운용하기 위하여 스스로 또는 다른 사람을 통해 개인정보를 처리하는 자는 특별한 사정이 없는 한 「개인정보 보호법」 제2조 제5호에서 정한 ‘개인정보처리자’에 해당한다고 보아야 하고, 해킹 등 부정한 방법을 통하여 개인정보를 취득하거나 정보주체의 동의 또는 법률의 규정 등에 기하지 아니한 채 불법적으로 유통되고 있는 개인정보를 취득한 후 이를 기초로 업무상 개인정보파일을 운용하기 위하여 개인정보를 처리한 경우라고 하더라도 이와 달리 볼 것은 아니다. 그 이유는 다음과 같다.

1) 「개인정보 보호법」 은 제71조 제2호에서 ‘제18조 제1항·제2항을 위반하여 개인정보를 이용하거나 제3자에게 제공한 자’를 처벌하도록 규정하고, 제18조 제1항은 ‘개인정보처리자는 개인정보를 제15조 제1항에 따른 범위를 초과하여 이용하거나 제17조 제1항 및 제3항에 따른 범위를 초과하여 제3자에게 제공하여서는 아니 된다.’라고 규정한다. 「개인정보 보호법」 제18조 제1항의 의무주체인 ‘개인정보처리자’란 ‘업무를 목적으로 개인정보파일을 운용하기 위하여 스스로 또는 다른 사람을 통하여 개인정보를 처리하는 공공기관, 법인, 단체 및 개인 등’을 말하고(제2조 제5호), ‘개인정보파일’이란 개인정보를 쉽게 검색할 수 있도록 일정한 규칙에 따라 체계적으로 배열하거나 구성한 개인정보의 집합물을 말한다(제2조 제4호).

이와 같이 「개인정보 보호법」 관련 규정의 문언과 체계를 살펴보면, ‘개인정보처리자’의 개념에 관하여 ‘업무를 목적으로 개인정보파일을 운용하기 위하여 스스로 또는 다른 사람을 통하여 개인정보를 처리하는 공공기관, 법인, 단체 및 개인 등을 말한다.’고 규정할 뿐, 개인정보처리자가 개인정보파일을 어떠한 경위와 방법으로 취득하였는지에 대하여는 아무런 제한을 두고 있지 않다.

2) 「개인정보 보호법」 은 개인정보의 처리 및 보호에 관한 사항을 정함으로써 개인의 자유와 권리를 보호하고 나아가 개인의 존엄과 가치를 구현함을 목적으로 하고(제1조), 정보주체의 개인정보자기결정권을 그 보호법익으로 한다(대법원 2014. 7. 24. 선고 2012다49933 판결, 대법원 2025. 10. 30. 선고 2024도19539 판결 등 참조).

이러한 취지에서 「개인정보 보호법」 은 정보주체의 권익을 보호하고 개인정보의 적합한 처리를 보장하기 위하여, 개인정보파일 운용의 주체인 ‘개인정보처리자’에게 개인정보 수집·이용·제공부터 개인정보 처리에 관한 관리·감독 등에 이르기까지 다양한 의무를 부과하고 이를 위반할 경우 형사책임을 지도록 규정하고 있다. 즉 개인정보처리자는 정보주체의 동의를 받거나 법률에 특별한 규정이 있는 경우 등에 개인정보를 수집할 수 있고, 그 수집 목적의 범위에서 이용할 수 있으며(제15조 제1항), 개인정보처리자는 정보주체의 동의를 받는 등 일정한 경우 정보주체의 개인정보를 제3자에게 제공할 수 있고(제17조 제1항), 원칙적으로 개인정보처리자는 개인정보를 제15조 제1항에 따른 범위를 초과하여 이용하거나 제17조 제1항에 따른 범위를 초과하여 제3자에게 제공하여서는 아니 된다(제18조 제1항). 나아가 개인정보처리자가 정보주체 이외로부터 수집한 개인정보를 처리하는 때에는 정보주체의 요구가 있으면 즉시 개인정보의 수집 출처 등을 정보주체에게 알려야 하고(제20조 제1항), 정보주체는 개인정보처리자에게 자신의 개인정보에 대한 열람을 요구할 수 있으며(제35조 제1항), 그 개인정보에 대한 정정 또는 삭제, 처리의 정지 등을 요구할 수 있다(제36조 제1항, 제37조 제1항). 또한 정보주체는 개인정보처리자가 「개인정보 보호법」 을 위반한 행위로 손해를 입으면 개인정보처리자에게 손해배상을 청구할 수 있고, 이 경우 그 개인정보처리자는 고의 또는 과실이 없음을 입증하지 아니하면 책임을 면할 수 없다(제39조 제1항).

따라서 해킹 등 부정한 방법을 통해 개인정보를 직접 취득하였거나 정보주체의 동의 또는 법률의 규정 등에 기하지 아니한 채 불법적으로 유통되고 있는 개인정보를 취득하였다는 이유만으로 개인정보처리자에 해당되지 않는다고 본다면, 「개인정보 보호법」 의 입법 취지와 보호목적에 반하여 정보주체의 개인정보자기결정권 보호에 있어 상당한 공백이 발생하게 된다. 부정한 방법으로 개인정보를 직접 취득하거나 불법적으로 유통되는 개인정보를 취득한 후 이를 기초로 업무상 개인정보파일을 운용함으로써 정보주체의 권익을 침해할 우려가 큰 상황에서, 오히려 개인정보처리자를 수범자로 하여 인정되는 위와 같은 여러 의무와 책임을 면하는 결과가 되기 때문이다.

나. 판단

원심은 판시와 같은 이유로 피고인이 「개인정보 보호법」 제2조 제5호의 ‘개인정보처리자’에 해당된다고 보아 이 부분 공소사실을 유죄로 판단하였다. 원심판결 이유를 앞서 본 법리와 적법하게 채택된 증거에 비추어 살펴보면, 피고인이 해킹 등 부정한 방법을 통해 개인정보를 취득하거나 정보주체의 동의 또는 법률의 규정 등에 기하지 아니한 채 불법적으로 유통되고 있는 개인정보를 취득한 후 이를 기초로 업무상 개인정보파일을 운용하기 위하여 개인정보를 처리한 경우라고 하더라도 「개인정보 보호법」 제71조 제2호, 제18조 제1항 위반을 인정하여 유죄로 판단한 것은 정당하고, 이러한 원심의 판단에 필요한 심리를 다하지 않은 채 논리와 경험의 법칙을 위반하여 자유심증주의의 한계를 벗어나거나 「개인정보 보호법」 제2조 제5호의 ‘개인정보처리자’, 공모관계 및 불이익변경금지의 원칙에 관한 법리를 오해한 잘못이 없다.

2. 도박공간개설 부분 상고이유에 대하여

원심은 판시와 같은 이유로 이 부분 공소사실을 유죄로 인정한 제1심판결을 그대로 유지하였다. 원심판결 이유를 관련 법리와 적법하게 채택된 증거에 비추어 살펴보면, 원심의 판단에 논리와 경험의 법칙을 위반하여 자유심증주의의 한계를 벗어나거나 도박공간개설죄의 기수에 관한 법리를 오해하여 판결에 영향을 미친 잘못이 없다.

3. 「개인정보 보호법」 제71조 제2호, 제18조 제1항 위반 부분과 「개인정보 보호법」 제71조 제10호, 제59조 제3호 위반 부분 사이의 죄수관계에 관한 직권판단

가. 상상적 경합은 1개의 행위가 실질적으로 수 개의 구성요건을 충족하는 경우를 말하고, 법조경합은 1개의 행위가 외관상 수 개의 죄의 구성요건에 해당하는 것처럼 보이나 실질적으로 1죄만을 구성하는 경우를 말한다. 실질적으로 1죄인가 또는 수죄인가는 구성요건적 평가와 보호법익의 측면에서 고찰하여 판단하여야 한다(대법원 1998. 3. 24. 선고 97도2956 판결, 대법원 2002. 7. 18. 선고 2002도669 전원합의체 판결 등 참조). 그리고 법조경합의 한 형태인 특별관계란 어느 구성요건이 다른 구성요건의 모든 요소를 포함하는 외에 다른 요소를 구비하여야 성립하는 경우로서, 특별관계에 있어서는 특별법의 구성요건을 충족하는 행위는 일반법의 구성요건을 충족하지만, 반대로 일반법의 구성요건을 충족하는 행위는 특별법의 구성요건을 충족하지 못한다(대법원 1997. 6. 27. 선고 97도1085 판결, 대법원 2003. 4. 8. 선고 2002도6033 판결 등 참조).

나. 「개인정보 보호법」 제18조 제1항은 "개인정보처리자는 개인정보를 제15조 제1항에 따른 범위를 초과하여 이용하거나 제17조 제1항 및 제28조의8 제1항에 따른 범위를 초과하여 제3자에게 제공하여서는 아니 된다."라고 규정하고 있다. 같은 법 제71조 제2호는 ‘제18조 제1항·제2항, 제27조 제3항 또는 제28조의2(제26조 제8항에 따라 준용되는 경우를 포함한다), 제19조 또는 제26조 제5항을 위반하여 개인정보를 이용하거나 제3자에게 제공한 자 및 그 사정을 알면서도 영리 또는 부정한 목적으로 개인정보를 제공받은 자에 대하여 5년 이하의 징역 또는 5천만 원 이하의 벌금에 처한다.’고 규정하고 있다. 한편 같은 법 제59조는 "개인정보를 처리하거나 처리하였던 자는 다음 각 호의 어느 하나에 해당하는 행위를 하여서는 아니 된다."라고 규정하면서 제3호에서 "정당한 권한 없이 또는 허용된 권한을 초과하여 다른 사람의 개인정보를 이용, 훼손, 멸실, 변경, 위조 또는 유출하는 행위"를 규정하고 있다. 같은 법 제71조 제10호에서는 ‘제59조 제3호를 위반하여 다른 사람의 개인정보를 이용, 훼손, 멸실, 변경, 위조 또는 유출한 자에 대하여 5년 이하의 징역 또는 5천만 원 이하의 벌금에 처한다.’고 규정하고 있다.

이와 같은 「개인정보 보호법」 제71조 제2호, 제18조 제1항 위반죄와 「개인정보 보호법」 제71조 제10호, 제59조 제3호 위반죄의 각 처벌조항은 수범자 및 금지행위 등 구체적인 구성요건을 달리하고 있어, 「개인정보 보호법」 제71조 제2호, 제18조 제1항 위반죄의 구성요건이 「개인정보 보호법」 제71조 제10호, 제59조 제3호 위반죄의 구성요건의 모든 요소를 포함하는 외에 다른 요소를 구비하는 경우에 해당하지 않는다. 그렇다면 「개인정보 보호법」 제71조 제2호, 제18조 제1항 위반죄의 규정이 「개인정보 보호법」 제71조 제10호, 제59조 제3호 위반죄의 규정에 대하여 특별관계에 있다고 볼 수 없고, 이들은 각기 독립된 별개의 구성요건으로서 1개의 행위가 각 구성요건을 충족하는 경우에는 상상적 경합의 관계에 있다고 보아야 한다.

다. 그럼에도 원심이 판시와 같은 이유로, 「개인정보 보호법」 제71조 제2호, 제18조 제1항 위반죄가 성립하는 경우 별도로 「개인정보 보호법」 제71조 제10호, 제59조 제3호 위반죄가 성립하지 아니한다고 보아, 이 사건 공소사실 중 「개인정보 보호법」 제71조 제10호, 제59조 제3호 위반 부분에 대하여 이유에서 무죄로 판단한 것은 상상적 경합 관계에 있는 양 죄의 죄수에 관한 법리를 오해한 것이다. 그러나 결과적으로 처단형의 범위에는 아무런 차이가 없는 점, 양 죄가 별도로 성립하되 상상적 경합 관계에 있다고 보아 죄질이 더 무거운 죄인 「개인정보 보호법」 제71조 제2호, 제18조 제1항 위반죄에 대하여 정한 형으로 처벌할 경우에도, 원심과 같이 「개인정보 보호법」 제71조 제2호, 제18조 제1항 위반죄만 성립된다고 본 경우와 비교하여 실질적으로 양형의 조건이나 그에 따른 선고형에 차이가 없을 것으로 보이는 점 등의 사정에 비추어, 죄수의 평가에 관한 원심의 판단이 판결에 영향을 미쳤다고 볼 수는 없다(대법원 1980. 12. 9. 선고 80도384 전원합의체 판결, 대법원 2025. 7. 3. 선고 2025도4969 판결 등 참조).

4. 결론

상고를 기각하기로 하여, 관여 대법관의 일치된 의견으로 주문과 같이 판결한다.

대법관 마용주(재판장) 천대엽 서경환(주심) 신숙희

Related statutes

개인정보 보호법 제2조 제4호(개인정보파일)개인정보 보호법 제2조 제5호(개인정보처리자)개인정보 보호법 제15조 제1항(개인정보 수집·이용)개인정보 보호법 제17조 제1항(개인정보 제3자 제공)개인정보 보호법 제18조 제1항(목적 외 이용·제공 금지)개인정보 보호법 제59조 제3호(업무상 알게 된 비밀 누설 금지)개인정보 보호법 제71조 제2호(제18조 위반 처벌)개인정보 보호법 제71조 제10호(제59조 위반 처벌)형법 제40조(상상적 경합)

Related tools & guides

AI answers need an account (free accounts: 2 per month) — submit and you'll return to this question after logging in. Search and case reading stay free.

File a complaintlogin requiredCalculatorsFind more cases

Cross-check the original: 국가법령정보센터 (auxiliary link)