Open Decision Ledger · Criminal law
Personal data handlers are not persons provided with data under Article 19
Supreme Court, Feb. 13, 2025, 2020Do14713 (judgment)
Case name: 개인정보보호법위반[교육청으로부터 대학수학능력시험 감독관으로 위촉되어 시험감독업무 수행을 위하여 수험생의 개인정보가 포함된 응시원서를 제공받은 사람이 구 「개인정보 보호법」(2020. 2. 4. 법률 제16930호로 개정되기 전의 것, 이하 ‘구 「개인정보 보호법」’) 제71조 제2호, 제19조에서 정한 ‘개인정보처리자로부터 개인정보를 제공받은 자’에 해당하는지 여부가 문제된 사건]
Official text on the National Law Information Center
Question
Is a person who handles personal information under a controller's direction and supervision, and who receives personal data from that controller in order to carry out the controller's work, a person who has been provided with personal information within Article 19 of the former Personal Information Protection Act?
Holding
No. A person provided with data within Article 19 of the former Personal Information Protection Act means the third party who has been transferred the right of control and management of the personal data from the controller as provided in Article 17, Article 18 and other provisions of that Act. Employees, dispatched workers, part-time workers and the like who handle data under the controller's direction and supervision, for the controller's business, do not hold such a position and are therefore outside Article 19, so a purpose-limitation offence under Article 71(ii) cannot rest on that transfer. Applying this, the Court held that a public school teacher appointed as a CSAT invigilator, who received the candidates' application forms from the Seoul Metropolitan Office of Education for the identity-check work, was a handler under Article 28 and not a person provided with personal information.
Summary of the holding, verbatim
그런데 임직원, 파견근로자, 시간제근로자 등 개인정보처리자의 지휘·감독을 받아 개인정보를 처리하는 자인 개인정보취급자(같은 법 제28조)가 개인정보처리자의 업무 수행을 위하여 개인정보를 이전받는 경우 위와 같은 개인정보취급자는 ‘개인정보처리자로부터 개인정보를 제공받은 자’에 해당하지 않는다.
Unofficial English translation
However, where a person in charge of the management of personal information (Article 28 of the same Act), such as an executive or employee, a dispatched worker, or a part-time worker, who processes personal information under the direction and supervision of a personal information controller, receives a transfer of personal information for the performance of the personal information controller's work, such person in charge of the management of personal information does not fall under 'a person who has received personal information from a personal information controller'.
Disposition
Reversed and remanded Stated in the decision
원심판결을 파기하고, 사건을 서울중앙지방법원에 환송한다.
Unofficial English translation
The judgment of the court below is reversed, and the case is remanded to the Seoul Central District Court.
Form of the test
Elements stated Stated in the decision
구 개인정보 보호법 제19조에서 말하는 ‘개인정보처리자로부터 개인정보를 제공받은 자’란 같은 법 제17조, 제18조 등에 규정된 바에 따라 개인정보처리자로부터 개인정보의 지배·관리권을 이전받은 그 제3자를 의미한다고 보는 것이 타당하다.
Unofficial English translation
It is reasonable to construe 'a person who has received personal information from a personal information controller' referred to in Article 19 of the former Personal Information Protection Act as meaning the third party who has been transferred the right to control and manage personal information from the personal information controller, as prescribed in Article 17, Article 18, etc. of the same Act.
Factors
- 개인정보처리자의 지휘·감독을 받아 개인정보를 처리하는 자인 개인정보취급자(같은 법 제28조)가 개인정보처리자의 업무 수행을 위하여 개인정보를 이전받는 경우
- 개인정보의 ‘제3자 제공’은 본래의 개인정보 수집·이용 목적의 범위를 넘어 그 정보를 제공받는 자의 업무처리와 이익을 위하여 개인정보의 지배·관리권이 이전되는 것으로
- 개인정보처리자는 다른 사람을 통하여 개인정보를 처리하는 것도 가능하므로(구 개인정보 보호법 제2조 제5호)
- ‘제공받은 개인정보’를 개인정보처리자의 의사와 무관하게 자신의 의사에 따라 이용하거나 이를 제3자에게 제공할 수 있는 지위에 있다
- 개인정보파일 운용에 직접 관여하는 업무를 하는 자에 한정된다고 볼 것은 아니다
Unofficial English translation
• Where a person in charge of the management of personal information (Article 28 of the same Act), who processes personal information under the direction and supervision of a personal information controller, receives a transfer of personal information for the performance of the personal information controller's work
• the 'provision of personal information to a third party' means that, beyond the scope of the original purpose of collection and use of the personal information, the right to control and manage the personal information is transferred for the handling of work and the benefit of the person receiving the information
• Since a personal information controller may also process personal information through another person (Article 2 (5) of the former Personal Information Protection Act)
• is in a position to use the 'personal information received', irrespective of the will of the personal information controller, at its own discretion, or to provide it to a third party
• cannot be regarded as limited to persons who perform work directly involved in the operation of personal information files
Relation to precedent
States a new standard Read from the decision
반면 개인정보처리에 관한 독자적 이익을 위하여 개인정보를 이용하거나 제3자에게 이를 제공할 수 있는 지위에 있지 않는 개인정보취급자는 구 개인정보 보호법 제19조의 ‘개인정보처리자로부터 개인정보를 제공받은 자’에 포함되지 않는다.
Unofficial English translation
By contrast, a person in charge of the management of personal information who is not in a position to use personal information for his or her independent interest in the processing of personal information or to provide it to a third party is not included in 'a person who has received personal information from a personal information controller' under Article 19 of the former Personal Information Protection Act.
Decisions referred to
해당 본문 참조
Burden of proof
Not addressed Not in the decision
Open question and revisit condition
Where a handler's use of personal data for a purpose outside the purpose of the provision is not caught by Article 19 of the former Personal Information Protection Act, what provisions of that Act, if any, still reach such conduct?
The remand judgment, once it re-examines the charge against the defendant without Article 19, will show how this holding works in practice. Any amendment to Articles 19, 28 or 71(ii) of the Personal Information Protection Act, or a later Supreme Court decision on the position of a person who is both a handler and an outside recipient, would require this entry to be read again.
Cross-family AI independent reading & axis check
7 of 8 axes matched GPT-6 Astra (OpenAI, codex CLI) · 2026-10-25
A reader from another model family (GPT-6 Astra), given the official text but not the primary reading, agreed on 7 of the 8 axes; the readings differed on axis 6 (relation to precedent).
Axis 6 (Relation to precedent): Primary “States a new standard” vs Independent “Cannot be determined”
The primary reading treats the decision as setting a new standard for the Article 19 recipient, while the independent reading could not confirm the precedent relationship from the excerpt given, so the two readings differ on whether it departs from earlier authority.
반면 개인정보처리에 관한 독자적 이익을 위하여 개인정보를 이용하거나 제3자에게 이를 제공할 수 있는 지위에 있지 않는 개인정보취급자는 구 개인정보 보호법 제19조의 ‘개인정보처리자로부터 개인정보를 제공받은 자’에 포함되지 않는다.Raw responses and comparison record: Protocol · Blind readings (JSONL) · Axis comparison (JSONL) · SHA-256 (JSON)
Lower-court contrast & scope of application
Lower-court reading vs. Supreme Court holding
Lower-court context: The Seoul Central District Court, in its judgment of 15 October 2020 (2019No4259), overturned the first-instance acquittal and convicted the defendant on the principal charge. It reasoned that the defendant was appointed by the Seoul Metropolitan Office of Education as a CSAT invigilator and was given the candidates' telephone numbers and other personal data in order to perform the supervision work, so that this was a 'provision' and the defendant was a person provided with personal information under Article 19 of the former Personal Information Protection Act.
Supreme Court standard: The Supreme Court held that the court below had misapprehended the meaning of the term in Article 19, and that the error affected the judgment. The defendant was a teacher at a public high school established by the Seoul Metropolitan Government who processed the candidates' personal data under the direction and supervision of the Seoul Metropolitan Office of Education, so he was a handler and could hardly be treated as a person provided with personal information. The judgment was reversed and the case remanded for retrial, with the remaining grounds of appeal left unexamined.
Distinguishing conditions
- A recipient to whom the controller has transferred the right of control and management of the personal data under Article 17, Article 18 or another provision of the former Personal Information Protection Act.
- A transfer made for the recipient's own business processing and interest, so that the right of control and management passes away from the controller.
- A person who, unlike such a handler, stands in a position to use the data or provide it to a third party on their own will for an independent interest in the processing.
Record verification notes
Establish first who the controller was, what work the accused was doing for it, and under whose direction and supervision the data was handled, since the whole rule turns on that relationship. Then check which version of the Act was in force on the date of the act, because the Court applied the text before the amendment by Act No. 16930 of 4 February 2020. Finally note that the Court did not examine the other grounds of appeal, so nothing about them may be read from this decision.
From the official text
Points at issue
[1] 임직원, 파견근로자, 시간제근로자 등 개인정보처리자의 지휘·감독을 받아 개인정보를 처리하는 자인 개인정보취급자가 개인정보처리자의 업무 수행을 위하여 개인정보를 이전받는 경우, 위와 같은 개인정보취급자가 구 개인정보 보호법 제19조에서 정한 ‘개인정보처리자로부터 개인정보를 제공받은 자’에 해당하는지 여부(소극) [2] 피고인이 대학수학능력시험 고사장 감독업무를 수행하면서 수험생의 개인정보가 포함된 응시원서를 제공받아 이를 각 수험생의 수험표와 대조하는 과정에서 알게 된 갑의 연락처를 이용하여 카카오톡 친구로 추가한 후 갑에게 카카오톡으로 "사실 ○○씨가 맘에 들어서요." 등의 메시지를 발송함으로써 개인정보처리자로부터 제공받은 개인정보를 제공받은 목적 외 용도로 이용하였다는 구 개인정보 보호법 위반의 공소사실로 기소된 사안에서, 공소사실을 유죄로 판단한 원심판결에 같은 법 제19조의 ‘개인정보처리자로부터 개인정보를 제공받은 자’의 의미에 관한 법리오해의 잘못이 있다고 한 사례
Unofficial English translation
[1] Whether, where a person in charge of the management of personal information, such as an executive or employee, a dispatched worker, or a part-time worker, who processes personal information under the direction and supervision of a personal information controller, receives a transfer of personal information for the performance of the personal information controller's work, such person in charge of the management of personal information falls under 'a person who has received personal information from a personal information controller' as provided in Article 19 of the former Personal Information Protection Act (negative) [2] In a case where the defendant, while performing proctoring duties at a College Scholastic Ability Test examination venue, was provided with application forms containing the personal information of test takers and, in the course of cross-checking them against the admission tickets of the respective test takers, learned A's contact information, added A as a friend on KakaoTalk, and then sent messages to A by KakaoTalk, such as "Actually, I like you, ○○.", thereby using personal information provided by a personal information controller for a purpose other than that for which it was provided, and was prosecuted on a charge of violation of the former Personal Information Protection Act, holding that the judgment of the court below, which found the facts charged guilty, is erroneous in misapprehension of legal principles regarding the meaning of 'a person who has received personal information from a personal information controller' in Article 19 of the same Act
Summary of the holding
[1] 구 개인정보 보호법(2020. 2. 4. 법률 제16930호로 개정되기 전의 것, 이하 같다) 제71조 제2호는 "제19조를 위반하여 개인정보를 이용하거나 제3자에게 제공한 자"를 처벌하도록 규정하고, 제19조는 "개인정보처리자로부터 개인정보를 제공받은 자는 정보주체로부터 별도의 동의를 받은 경우나 다른 법률에 특별한 규정이 있는 경우를 제외하고는 개인정보를 제공받은 목적 외의 용도로 이용하거나 이를 제3자에게 제공하여서는 아니 된다."라고 규정한다. 그런데 임직원, 파견근로자, 시간제근로자 등 개인정보처리자의 지휘·감독을 받아 개인정보를 처리하는 자인 개인정보취급자(같은 법 제28조)가 개인정보처리자의 업무 수행을 위하여 개인정보를 이전받는 경우 위와 같은 개인정보취급자는 ‘개인정보처리자로부터 개인정보를 제공받은 자’에 해당하지 않는다. 그 이유는 다음과 같다. (가) 개인정보의 ‘제3자 제공’은 본래의 개인정보 수집·이용 목적의 범위를 넘어 그 정보를 제공받는 자의 업무처리와 이익을 위하여 개인정보의 지배·관리권이 이전되는 것으로, 개인정보처리자가 개인정보의 지배·관리권을 그대로 유지하면서 개인정보처리자의 업무처리와 이익을 위하여 내부적으로 개인정보를 이용하는 것과 구별된다. 개인정보처리자는 다른 사람을 통하여 개인정보를 처리하는 것도 가능하므로(구 개인정보 보호법 제2조 제5호) 개인정보처리자의 의사에 따라 개인정보처리 업무를 직접 수행하는 개인정보취급자가 개인정보처리자로부터 정보주체의 개인정보를 이전받더라도 이와 같은 이전은 ‘제3자 제공’에 해당한다고 볼 수 없다. (나) 구 개인정보 보호법은 제15조, 제16조에서 개인정보처리자의 개인정보 수집·이용에 관하여 규정하고, 제17조에서 개인정보처리자가 수집한 개인정보를 제3자에게 제공할 수 있는 경우를 규정하며, 제18조 제2항에서 개인정보처리자가 개인정보를 목적 외의 용도로 이용하거나 이를 제3자에게 제공할 수 있는 경우를 규정한 다음, 제19조에서 ‘개인정보처리자로부터 개인정보를 제공받은 자’를 수범자로 하여 정보주체로부터 별도의 동의를 받거나 다른 법률에 특별한 규정이 있는 경우를 제외하고는 개인정보를 제공받은 목적 외의 용도로 이용하거나 이를 제3자에게 제공하여서는 아니 된다고 규정하고 있다. 위와 같은 법령의 체계와 문언에 비추어 보면, 구 개인정보 보호법 제19조에서 말하는 ‘개인정보처리자로부터 개인정보를 제공받은 자’란 같은 법 제17조, 제18조 등에 규정된 바에 따라 개인정보처리자로부터 개인정보의 지배·관리권을 이전받은 그 제3자를 의미한다고 보는 것이 타당하다. (다) 구 개인정보 보호법 제19조의 ‘개인정보처리자로부터 개인정보를 제공받은 자’는 정보주체로부터 별도의 동의를 받은 경우나 다른 법률에 특별한 규정이 있는 경우에는 개인정보를 제공받은 목적 외의 용도로 이용하거나 이를 다시 제3자에게 제공할 수 있으므로, ‘제공받은 개인정보’를 개인정보처리자의 의사와 무관하게 자신의 의사에 따라 이용하거나 이를 제3자에게 제공할 수 있는 지위에 있다. 반면 개인정보처리에 관한 독자적 이익을 위하여 개인정보를 이용하거나 제3자에게 이를 제공할 수 있는 지위에 있지 않는 개인정보취급자는 구 개인정보 보호법 제19조의 ‘개인정보처리자로부터 개인정보를 제공받은 자’에 포함되지 않는다. (라) 한편 개인정보취급자는 개인정보처리자의 지휘·감독을 받아 개인정보를 처리하는 사람으로서 직접 개인정보에 관한 업무를 담당하는 사람과 그 밖에 업무상 필요에 의해 개인정보에 접근하여 이를 처리하는 모든 사람을 말하고, 개인정보파일 운용에 직접 관여하는 업무를 하는 자에 한정된다고 볼 것은 아니다. [2] 피고인이 대학수학능력시험 고사장 감독업무를 수행하면서 수험생의 개인정보가 포함된 응시원서를 제공받아 이를 각 수험생의 수험표와 대조하는 과정에서 알게 된 갑의 연락처를 이용하여 카카오톡 친구로 추가한 후 갑에게 카카오톡으로 "사실 ○○씨가 맘에 들어서요." 등의 메시지를 발송함으로써 개인정보처리자로부터 제공받은 개인정보를 제공받은 목적 외 용도로 이용하였다는 구 개인정보 보호법(2020. 2. 4. 법률 제16930호로 개정되기 전의 것, 이하 같다) 위반의 공소사실로 기소된 사안에서, 피고인은 서울특별시가 설립한 공립 고등학교의 교사로서 2019학년도 대학수학능력시험 감독관으로 위촉(임명)되어 대학수학능력시험 고사장 감독업무 중 일부인 수험생의 동일성 확인업무 수행을 위하여 서울특별시교육청으로부터 수험생의 성명, 주민등록번호, 연락처, 주소 등 개인정보가 포함된 응시원서를 전달받은 사실에 비추어, 피고인은 개인정보처리자인 서울특별시교육청의 지휘·감독하에 수험생들의 개인정보를 처리한 자로 개인정보취급자에 해당할 뿐, 개인정보처리자인 서울특별시교육청으로부터 ‘개인정보를 제공받은 자’로 보기 어렵다는 이유로, 이와 달리 보아 공소사실을 유죄로 판단한 원심판결에 구 개인정보 보호법 제19조의 ‘개인정보처리자로부터 개인정보를 제공받은 자’의 의미에 관한 법리오해의 잘못이 있다고 한 사례.
Order
원심판결을 파기하고, 사건을 서울중앙지방법원에 환송한다.
Unofficial English translation
The judgment of the court below is reversed, and the case is remanded to the Seoul Central District Court.
Provisions referred to
[1] 구 개인정보 보호법(2020. 2. 4. 법률 제16930호로 개정되기 전의 것) 제2조 제5호, 제15조, 제16조, 제17조, 제18조, 제19조, 제28조, 제71조 제2호 [2] 구 개인정보 보호법(2020. 2. 4. 법률 제16930호로 개정되기 전의 것) 제19조, 제28조, 제71조 제2호
Read 2026-10-25 · Cross-read 2026-10-25. All quotes matched against the official text. The Chinese-character placeholders the court used for anonymised parties are given in their Korean readings, and parenthetical Chinese-character glosses are omitted.
Every entry is published only after all quotes have been matched character by character against the official text, and audited by an independent second reading from a different model family across all eight axes. Both agreed axes and text-grounded interpretive divergences are recorded openly. The ledger is a research record, not an assessment of the court or advice on any matter.
Back to the ledger