개인정보보호법 제15조는, 정보주체의 동의를 받은 경우 개인정보를 수집할 수 있고 그 수집 목적의 범위에서 이용할 수 있도록 정하고 있으며, 그 외에 조항에서 정한 일정 사유를 충족한 경우에는 정보주체의 동의가 없더라도 개인정보를 수집·이용할 수 있도록 정하고 있습니다. 쉽게 말해, 특정한 경우를 제외하고는 개인정보 수집·이용을 위해서는 반드시 정보주체의 동의가 필요한데요. 최근 제가 법률자문을 맡고 있는 한 공공기관(이하 기관)에, 내부직원의 개인정보 수집과 관련된 자문을 해드린 바가 있어 소개해드리고자 합니다. 기관은 한 임직원이 업무상 지득한 기밀을 임의로 외부에 누설했다는 정황을 포착한 후 이에 대한 자체감사를 실시하게 되었습니다. 감사과정에서 해당 임직원의 비위행위를 입증하기 위해서는, 기밀을 빼돌릴 때 사용되었을 것으로 추측되는 업무용 메일(내부인트라넷) 내용과 삭제내역 등을 열람할 필요가 있었는데요. 그러나 비위행위를 저질렀다는 의심을 받고 있는 상황에서 해당 임직원이 흔쾌히 업무용 메일 열람에 동의할 가능성은 낮았습니다. 따라서 이번 사례가 개인정보보호법에서 정한 특정한 경우에 해당하여, 정보주체(임직원)의 동의 없이도 개인정보의 수집이 가능한 경우인지 문의해주셨는데요. 이에 대해 저는 우선, 1) 개인정보보호법상 정보주체(임직원)의 동의 없이도 개인정보를 수집할 수 있는 경우인 ‘개인정보처리자의 정당한 이익을 달성하기 위하여 필요한 경우로서 명백하게 정보주체의 권리보다 우선하는 경우’에 해당할 가능성이 많으며, 2) 향후 개인정보보호법 위반 소지를 없애기 위해서는, 애당초 임직원과 2년간의 근로계약서 작성 시 업무상기밀 등 업무용 자료 및 그에 포함된 개인정보는 계약기간 내 수집에 동의한다는 내용을 명시하는 방법 등을 통해 미리 정보주체의 개인정보 수집 동의를 받아놓을 필요가 있고, 아울러 업무 관련 결과물을 모두 회사에 귀속시킨다는 내용까지 명시할 필요가 있다는 의견을 개진하였습니다. 다만 개인정보보호법상 ‘개인정보처리자의 정당한 이익을 달성하기 위하여 필요한 경우로서 명백하게 정보주체의 권리보다 우선하는 경우’에도 개인정보처리자의 정당한 이익과 상당한 관련이 있고 합리적인 범위를 초과하지 아니하는 경우에 한해서만 정보주체(임직원)의 동의 없이 개인정보를 수집할 수 있으므로, 사실관계에 따라서는 위법적인 개인정보 수집에 해당할 수 있는데요. 대법원은 형법상 비밀침해죄가 문제시된 사건에서, 비록 대표이사가 직원의 비위행위를 확인할 목적으로 직원의 동의 없이 개인용 컴퓨터의 하드디스크를 떼어내어 이메일과 메신저 기록을 조사했다고 해도, 이는 사회통념상 상당히 허용될 만한 정당행위이므로 비밀침해죄가 성립하지 않는다고 판단한 바 있습니다.(2009. 12. 24. 선고 2007도6243 판결). 대법원은 판결의 근거로, 당시 피조사자의 범죄혐의가 구체적이고 합리적으로 의심되는 상황이었던 점, 대표이사로서 혐의 유무를 긴급히 확인하고 대처할 필요가 있었던 점, 조사 및 열람의 범위를 범죄혐의와 관련된 범위로 제한한 점, 입사 시 업무 관련 결과물을 모두 회사에 귀속시키겠다고 약정한 점, 검색 결과 범죄행위를 확인할 수 있는 여러 자료가 발견된 점 등을 들었는데요. 이러한 대법원 입장에 비춰볼 때, 정보주체의 동의 없이 개인정보 수집이 가능한지 여부는 구체적인 사정에 따라 합리적·개별적으로 판단해야 하며, 다만 일정한 사실관계가 있다면 기관이나 회사가 직원의 동의 없이도 이메일 등 개인정보를 열람할 수 있다고 봐야 합니다. 이번 자문사례 또한 직원의 비위행위가 구체적으로 의심되는 상황에서 긴급한 확인 및 대처가 필요한 상황이었으며, 더구나 개인용이 아닌 업무용 이메일을 열람하기 위한 목적이므로, 앞서 말씀드린 것처럼 개인정보처리자의 정당한 이익이 정보주체(임직원)의 권리에 우선한다고 보는 게 합당한데요. 보다 근본적으로 개인정보 침해 소지를 없애기 위해서는 미리 정보주체의 동의를 받아놓을 필요가 있겠지만, 또 다른 예외사유로서 근로계약 이행에 반드시 필요한 경우에는 개인정보 수집 시 동의가 불필요하므로, 미리 정보주체(임직원)의 동의를 받지 못했다 해도 근로계약서에 명시된 업무와 관련성이 있다면 동의 여부에 관계없이 필요최소한의 범위 내에서 개인정보를 수집할 수 있다고 할 것입니다.
< 관련 조항 > 
| 
