어린이집 CCTV 정보의 목적외 이용

어린이집 CCTV 영상을 그대로 보여 주지 않고 영상에서 알아낸 사실만 전달해도 개인정보 이용이 될 수 있다. 이용에 해당하는지는 개인정보를 쓰는 일련의 행위를 전체적으로 보아 판단하므로, 영상 시청·정보 추출·기록·전달 가운데 전달한 행위 부분만 분리해 따지지 않는다(2023도18539 판결요지 [1]·이유 3가·다·라).

쉽게 말하면 — CCTV 화면을 복사해 보내지 않고 “교사가 근무 중 휴대전화를 썼다”고 말만 했더라도, 영상을 관리하는 쪽이 그 관리권을 다른 곳에 넘기지 않은 채 스스로 영상을 보고 그 정보를 뽑아 징계심의의 자료로 썼다면 개인정보 이용일 수 있습니다. 다만 그 이용이 원래 설치 목적을 벗어났는지와 누가 개인정보처리자인지는 별도로 확인해야 합니다.

영상에서 알아낸 사실만 써도 개인정보 이용인가?

영상에서 알아낸 사실만 써도 개인정보 이용이 될 수 있다. 대법원이 이 사건에 적용한 법률은 구 개인정보 보호법(2023. 3. 14. 법률 제19234호로 개정되기 전의 것)이다. 구 개인정보 보호법 제18조 제1항의 개인정보 이용은 개인정보처리자가 개인정보의 지배·관리권을 이전하지 않은 채 스스로 개인정보를 쓰는 행위를 뜻한다(2023도18539 판결요지 [1]·이유 3가). 개인정보의 이용에는 개인정보를 수집된 형태 그대로 쓰는 행위뿐 아니라 수집된 개인정보를 가공, 편집하여 쓰거나 그로부터 정보를 추출하여 쓰는 행위도 포함된다(2023도18539 판결요지 [1]·이유 3가). 이용에 해당하는지는 개인정보를 쓰는 일련의 행위를 전체적으로 보아 판단해야 한다(2023도18539 판결요지 [1]·이유 3가).

현행 개인정보 보호법에서 개인정보는 살아 있는 개인에 관한 정보로서 성명, 주민등록번호 및 영상 등을 통하여 개인을 알아볼 수 있는 정보 등을 말한다(개인정보 보호법 제2조 제1호 가목). 대법원은 원장이 시청한 CCTV 영상이 교사의 초상, 신체의 모습 등이 촬영되어 영상을 통하여 그 교사를 알아볼 수 있는 정보로서 그 교사의 개인정보에 해당한다고 보았다(2023도18539 이유 3다).

원장은 CCTV 영상을 시청하여 교사의 휴대전화 사용 부분을 추출하여 분석·기록한 뒤 이에 기초한 정보를 업무지시 불이행 사례로 법인 보육사업 담당자에게 전달했다(2023도18539 이유 3다). 대법원은 이처럼 CCTV 영상에 포함된 휴대전화 사용에 관한 정보를 징계심의의 자료로 사용하는 것은 전체적으로 보아 개인정보처리자가 개인정보의 지배·관리권을 이전하지 않은 채 스스로 개인정보를 쓰는 행위로서 개인정보인 CCTV 영상을 이용한 행위에 해당한다고 판단했다(2023도18539 판결요지 [2]·이유 3다). 이러한 일련의 행위 과정에서 원장이 전달한 정보가 CCTV 영상 자체가 아니라 그로부터 추출한 정보라는 사정만으로 다르게 볼 이유가 없다고 했다(2023도18539 판결요지 [2]·이유 3다).

어린이집 CCTV는 어떤 목적으로 설치·관리하나?

어린이집 운영자는 아동학대 방지 등 영유아의 안전과 어린이집 보안을 위해 CCTV를 설치·관리해야 한다(영유아보육법 제15조의4 제1항 본문). 보호자 전원의 동의를 받아 신고한 경우 등 법정 예외가 있다(같은 항 단서).

설치·관리자는 최소한의 영상정보만 적법하고 정당하게 수집하고 목적 외 용도로 활용하지 않아야 한다(같은 조 제2항 제1호). 영상정보를 안전하게 관리하고 사생활 침해를 최소화할 의무도 있다(같은 항 제2호·제3호). 다른 사람에게 영상정보를 열람하게 하는 행위는 보호자의 안전 확인 요청, 수사·재판 등 법정 사유가 있는 경우에만 허용된다(영유아보육법 제15조의5 제1항).

영유아보육법이 어린이집 CCTV의 설치·관리·열람을 따로 정한 범위 밖에서는 개인정보 보호법이 적용되지만, 고정형 영상정보처리기기 일반 조항인 제25조는 제외된다(같은 조 제6항).

근무 태도 확인은 곧바로 목적외 이용인가?

근무 태도 확인에 쓴 이용이 목적외 이용인지는 대법원이 결론을 내리지 않고 환송 후 원심의 심리 대상으로 남겼다. 대법원은 파기 이유와 별도로, 참고로 환송 후 원심이 영유아보육법의 CCTV 관련 규정 취지와 내용, 원장의 개인정보 이용 목적과 경위 등에 비추어 그 이용이 CCTV에 의한 개인정보 수집 목적의 범위를 초과한 이용인지 심리할 필요가 있다고 지적해 두었다(2023도18539 이유 3마).

이와 달리 이용에 해당하는지는 대법원이 판단했다. 원심은 원장의 행위가 CCTV 영상에 나타난 교사의 근무 태도에 관한 정보를 법인의 보육사업 담당자에게 구술로 전달한 것이라고 보았다(2023도18539 이유 2). 원심은 그 정보가 개인정보처리자로서 취득한 개인정보 그 자체에 해당하지 않고, 그 정보를 통해 교사의 인적사항 등 특정 개인을 알아볼 수 있는 것도 아니라며 무죄로 판단한 제1심판결을 유지했다(2023도18539 이유 2). 원심은 원장을 구 개인정보 보호법 제71조 제2호 위반으로 처벌할 수 없는 이상 법인을 제74조 제2항에 의해 처벌할 수도 없다고 보았다(2023도18539 이유 2).

대법원은 원장이 교사의 근무 태도에 관한 정보를 전달한 행위 부분만을 분리한 뒤 그 정보가 구 개인정보 보호법상 개인정보에 해당하지 않는다고 본 원심판단에 개인정보의 이용에 관한 법리오해 등의 잘못이 있다고 보았다(2023도18539 판결요지 [2]·이유 3라). 대법원은 원심판결을 파기하고 사건을 서울동부지방법원에 환송했다(2023도18539 주문).

개인정보처리자와 개인정보취급자는 왜 구별해야 하나?

원장이 개인정보처리자로 평가될 수 있는지는 대법원이 환송 후 원심에 심리할 필요가 있다고 지적해 둔 사항이고, 그 평가에 따라 원장의 행위에 적용할 수 있는 조항이 달라질 수 있기 때문이다(2023도18539 이유 3마). 대법원은 같은 지적 안에서, 만약 법인이 개인정보처리자이고 원장은 법인의 지휘·감독을 받아 개인정보를 처리하는 개인정보취급자라면 원장의 행위는 구 개인정보 보호법 제71조 제2호, 제18조 제1항 위반으로 처벌할 수 없다고 했다(2023도18539 이유 3마). 그 경우 원장의 행위는 구 개인정보 보호법 제74조 제2항에 기초하여 위 조항의 적용 대상이 될 수 있을 뿐이라고 했다(2023도18539 이유 3마).

현행법에서 개인정보처리자는 업무를 목적으로 개인정보파일을 운용하기 위하여 스스로 또는 다른 사람을 통하여 개인정보를 처리하는 공공기관, 법인, 단체 및 개인 등을 말한다(개인정보 보호법 제2조 제5호). 임직원, 파견근로자, 시간제근로자 등 개인정보처리자의 지휘·감독을 받아 개인정보를 처리하는 자는 개인정보취급자다(같은 법 제28조 제1항).

이 사건에서 원장은 개인정보처리자로서 개인정보를 수집 목적의 범위를 초과하여 이용하였다는 내용으로, 어린이집 사무를 수탁한 법인은 사용인인 원장이 법인의 업무에 관하여 위와 같은 위반행위를 하였다는 내용으로 기소되었다(2023도18539 이유 1가·나).

실무 체크포인트

자체 시청·정보 추출과 외부 열람을 구별하고, 다른 사람에게 영상정보를 열람하게 할 때에는 법정 허용 사유가 있는지 확인한다(영유아보육법 제15조의5 제1항).
개인정보처리자가 지배·관리권을 이전하지 않은 채 영상에서 정보를 추출해 기록·전달하며 쓰는 일련의 행위도 전체적으로 보아 이용에 해당할 수 있으므로(2023도18539 판결요지 [1]·이유 3가·다), 목적 외의 용도로 활용하지 않도록 한다(영유아보육법 제15조의4 제2항 제1호).
어린이집 사무를 수탁한 법인과 원장 중 누가 개인정보처리자인지, 원장이 법인의 지휘·감독을 받아 개인정보를 처리하는 개인정보취급자인지 확인한다(2023도18539 이유 3마).
영유아보육법의 CCTV 관련 규정 취지와 내용, 이용 목적과 경위 등에 비추어 수집 목적의 범위를 초과한 이용인지 먼저 본다(2023도18539 이유 3마). 범위를 초과했다면 개인정보 보호법 제18조 제2항 각 호의 예외에 해당하는지와 정보주체 또는 제3자의 이익을 부당하게 침해할 우려가 있는지를 확인하고, 제5호부터 제9호까지에 따른 경우는 공공기관의 경우로 한정된다는 점도 본다(같은 항 단서).