보험설계사가 고객 개인정보를 이용해 문제를 일으켰을 때, 그 설계사는 개인정보보호법상 개인정보처리자일까요, 아니면 개인정보취급자일까요? 이 둘을 헷갈려서 쓰는 경우가 실무에서 생각보다 많습니다. 2026년 2월 26일 대법원이 선고한 2024도14998 판결이 이 구분을 명확히 짚어준 사례라 소개해드리려고 합니다.
사건은 이랬습니다
피고인은 보험회사 소속 설계사였고, 고객은 이 설계사를 통해 보험에 가입했습니다. 그 과정에서 피고인은 고객의 생년월일, 주소, 연락처를 알게 됐죠. 문제는 그다음부터였습니다. 피고인과 공범이 이 정보를 이용해 고객 본인 행세를 했고, 보험회사 상담원에게 전화를 걸어 특약 해지와 주계약 보장내용 변경을 신청했습니다.
1심과 2심은 피고인을 개인정보처리자로 보고 개인정보보호법 위반을 유죄로 판단했습니다. 그런데 대법원은 이 판단을 다시 보라고 했어요. 원심이 설계사의 위촉계약, 모집 위탁계약, 고객정보 관리 주체, 개인정보파일의 운용 방식을 충분히 살피지 않았다는 이유였습니다.
판결의 핵심 문장은 이거예요.
“업무를 목적으로 개인정보파일을 운용하기 위해 개인정보를 실제로 수집·보유·이용했다는 사정만으로 그 사람이 당연히 개인정보처리자가 되는 것은 아니다.” — 대법원 2026. 2. 26. 선고 2024도14998 판결
즉, 고객정보를 직접 만졌다는 사실 하나로는 처리자 여부를 결정할 수 없다는 겁니다.
처리자와 취급자, 뭐가 다른가요
개인정보보호법에서 이 둘은 완전히 다른 개념이에요. 그런데 현장에서는 자주 섞여 씁니다.
개인정보처리자는 개인정보 처리의 목적과 방법을 스스로 결정하는 주체입니다. 개인정보파일을 왜 만들지, 어떤 항목을 모을지, 얼마나 보관할지, 누구에게 어떤 권한을 줄지 — 이 기준을 최종적으로 정하는 쪽이 처리자예요. 법상 의무와 책임(안전조치 의무, 처리방침 공개, 유출 시 신고 등)은 기본적으로 이 처리자에게 지워집니다.
개인정보취급자는 그 처리자의 지휘·감독을 받아서 실제로 개인정보를 다루는 사람입니다. 처리자가 정한 기준 안에서 조회하고, 입력하고, 상담하고, 변경 요청을 처리하는 역할이죠. 취급자는 스스로 목적과 방법을 정하지 않습니다. 정해진 규칙을 따를 뿐이에요.
이 구분이 왜 헷갈리냐면, 실제로 고객정보 화면을 열고 만지는 사람은 대부분 취급자거든요. 설계사가 가입 서류를 받고, 상담원이 계약 변경 화면을 열고, 지점장이 DB 조회 권한을 확인합니다. “정보를 직접 다뤘다”는 사실만 보면 이 사람들이 다 처리자처럼 보이기 쉬워요. 하지만 대법원이 이번에 다시 확인해준 건, 판단 기준이 “누가 화면을 열었나”가 아니라 “누가 그 처리의 목적과 방법을 정했나”라는 겁니다.
그래서 뭘 봐야 하나요
대법원이 제시한 판단 기준을 정리하면 이렇습니다.
- 개인정보 처리의 목적·내용·방법·절차를 최종적으로 결정한 주체가 누구인가
- 그 처리 목적이 누구의 고유 업무와 이익에 연결되는가
- 처리 과정을 실질적으로 지휘·감독하는 주체가 누구인가
- 개인정보파일을 누가 만들고 보유하고 운용하는가
보험 모집 과정에서 고객정보를 수집하는 목적은 대체로 보험계약 체결, 계약 이행, 고객 관리로 귀결됩니다. 이건 보험회사 고유 업무와 뗄 수 없는 영역이에요. 그래서 대법원도 특별한 사정이 없는 한 처리에 관한 최종 결정권이 회사 쪽에 있다고 볼 여지가 크다고 판단했습니다. 설계사가 CRM에서 고객정보를 조회했다면, 그건 회사가 만든 시스템 안에서 회사가 정한 규칙에 따라 움직인 것에 가깝다는 거죠. 그러니까 설계사는 처리자가 아니라 취급자로 보는 게 원칙에 맞다는 겁니다.
그렇다고 설계사에게 책임이 없다는 뜻은 아닙니다
여기서 중요한 오해 하나를 짚어야 합니다. “설계사는 처리자가 아니다”가 “설계사는 무죄다”는 뜻이 절대 아니라는 점이에요.
실제로 이 사건에서도 사기, 사전자기록 위작, 위작사전자기록 행사 부분은 별도로 유죄 판단을 받았습니다. 개인정보보호법 안에서도 취급자가 권한 없이 정보를 이용하거나, 누설하거나, 목적 외로 쓰면 그 자체로 처벌 대상이 됩니다. 처리자냐 취급자냐는 “누가 법을 어겼나”의 문제가 아니라 “누구에게 어떤 종류의 의무가 있는가”를 가르는 기준이에요.
정리하면 이렇습니다. 처리자는 시스템을 설계하고 규칙을 정한 책임을 집니다. 안전조치를 제대로 마련했는지, 접근권한을 적절히 통제했는지, 취급자를 제대로 교육하고 관리했는지가 처리자의 몫이에요. 반면 취급자는 그 규칙 안에서 정직하게 행동할 책임을 집니다. 정해진 목적 밖으로 정보를 쓰지 않을 의무, 권한 없이 접근하지 않을 의무는 취급자에게도 그대로 적용되고요.
실무자가 챙겨야 할 건 이겁니다
보험사나 GA에서 일하시는 분이라면, 이 판례를 보고 “설계사는 책임 없구나”로 끝내지 않으셨으면 합니다. 오히려 반대로 읽어야 해요. 회사가 처리자라는 건, 그만큼 회사가 설계사(취급자)를 어떻게 관리했는지에 대한 책임이 더 무겁게 걸린다는 뜻이거든요.
그래서 실무에서 봐야 할 질문은 “이 사람이 처리자인가 취급자인가”가 아니라, 이렇게 바뀝니다.
우리 회사가 정한 고객정보 처리 목적과 방법이 문서로 명확히 남아있는가. 설계사에게 부여한 접근권한이 그 목적 범위 안에 있는가. 설계사가 그 권한을 벗어나 쓸 수 없도록 감독하고 있는가. 문제가 생겼을 때 “이건 설계사 개인의 일탈이었다”고 설명할 수 있으려면, 애초에 회사가 취급자를 어떻게 통제하고 있었는지가 기록으로 남아 있어야 합니다.
결국 이 판결이 실무자에게 주는 메시지는 하나예요. 개인정보를 다루는 사람이 누구인지보다, 그 사람에게 어떤 권한을 왜 줬는지가 더 중요한 질문이라는 겁니다.
따라서 개인정보에 대한 접근 권한을 관리하고 로그를 남기는 것이 매우 중요해지겠죠?
이런 고민을 가지고 있으신 실무자분들이라면, 편하게 캐치시큐로 무료 상담을 신청해보세요. 😁
