Personal information handlers are not Article 19 recipients

Cross-family AI independent reading & axis check

8 of 8 axes matched GPT-6 Astra (OpenAI, codex CLI) · 2026-10-24

A reader from another model family (GPT-6 Astra), given the official text but not the primary reading, agreed on all 8 axes.

Raw responses and comparison record: Protocol · Blind readings (JSONL) · Axis comparison (JSONL) · SHA-256 (JSON)

Lower-court contrast & scope of application

Lower-court reading vs. Supreme Court holding

Lower-court context: The Incheon District Court, sitting on appeal, in its judgment of 7 June 2023 (2022No622), left standing the first-instance convictions of all three defendants under Article 19 of the former Personal Information Protection Act, and the convictions under the Financial Real-Name Transactions and Secrecy Act. Defendant 1 was the chairman and Defendant 2 the deputy manager of a Saemaul Geumgo, the controller of the data, and in August and early September 2019 its consolidated member transaction certificate and customer available amount enquiry were sent to Defendant 3, the lawyer the Saemaul Geumgo had retained, without the seven dismissed workers' consent. On 4 September 2019 Defendant 3 attached those materials to a written preparation and filed them with the court in the workers' provisional attachment case.

Supreme Court standard: The Supreme Court held that Defendants 1 and 2 were handlers processing the data under the Saemaul Geumgo's direction and supervision and not recipients, and that the handover to Defendant 3 was not a disclosure meeting the requirements of Article 17 or Article 18, so that neither could be treated as the operative subject of Article 19, applying Supreme Court Decision 2020Do14713. It found that the court below had misread the meaning of that subject with an error affecting the judgment; because those counts stood in ideal concurrence or concurrence under Article 37, first clause, of the Criminal Act with the remaining convictions for which one sentence had been imposed, the whole judgment was reversed. The convictions under the Financial Real-Name Transactions and Secrecy Act were left undisturbed, that court having breached no bounds of free evaluation and misapprehended neither 'another person' under Article 4(1) of that Act nor the law on co-prisoners.

Distinguishing conditions

• A recipient to whom the controller transferred the power of control and management of the data under Article 17 or Article 18, so that the disclosure itself was lawful.
• An employee or dispatched worker who is nevertheless a third party outside the controller's direction and supervision, since the decision relied on that subordination.
• A charge resting on the controller's own breach of Article 17 or 18 rather than on the recipient's use beyond the purpose of receipt, which the decision left undecided.

Record verification notes

Identify first who the personal information controller of the data is and whether the accused stood in its direction and supervision, since the whole analysis turns on that. Then check whether the disclosure met the requirements of Article 17(1) and (3) or Article 18(2), which the decision names as the cases in which a controller may disclose to a third party or use data for another purpose. Keep the Financial Real-Name Transactions and Secrecy Act count apart: it was upheld here and its treatment does not depend on this reading of Article 19.

From the official text

Points at issue

[1] 임직원, 파견근로자, 시간제근로자 등 개인정보처리자의 지휘·감독을 받아 개인정보를 처리하는 자인 개인정보취급자가 개인정보처리자의 업무 수행을 위하여 개인정보를 이전받는 경우, 구 개인정보 보호법 제19조에서 정한 ‘개인정보처리자로부터 개인정보를 제공받은 자’에 해당하는지 여부(소극) [2] 구 개인정보 보호법 제19조에서 말하는 ‘개인정보처리자로부터 개인정보를 제공받은 자’의 의미(=같은 법 제17조, 제18조 등에 규정된 바에 따라 개인정보처리자로부터 개인정보의 지배·관리권을 이전받은 그 제3자) 및 ‘제공받은 목적’의 의미(=같은 법 제17조 제1항 각 호, 제3항, 제18조 제2항 각 호에서 정한 개인정보를 제3자에게 제공할 수 있는 경우와 관련이 있는 목적) / 개인정보처리자가 구 개인정보 보호법 제17조, 제18조를 위반하여 개인정보를 제공한 경우, 그 개인정보를 제공받은 자를 같은 법 제19조의 ‘개인정보처리자로부터 개인정보를 제공받은 자’에 해당한다고 보아 그 위반을 이유로 같은 법 제71조 제2호로 처벌할 수 있는지 여부(소극)

Summary of the holding

[1] 구 개인정보 보호법(2020. 2. 4. 법률 제16930호로 개정되기 전의 것) 제71조 제2호는 ‘제19조를 위반하여 개인정보를 이용하거나 제3자에게 제공한 자’를 처벌하도록 규정하고, 제19조는 "개인정보처리자로부터 개인정보를 제공받은 자는 정보주체로부터 별도의 동의를 받은 경우나 다른 법률에 특별한 규정이 있는 경우를 제외하고는 개인정보를 제공받은 목적 외의 용도로 이용하거나 이를 제3자에게 제공하여서는 아니 된다."라고 규정한다. 그런데 임직원, 파견근로자, 시간제근로자 등 개인정보처리자의 지휘·감독을 받아 개인정보를 처리하는 자인 개인정보취급자(같은 법 제28조)가 개인정보처리자의 업무 수행을 위하여 개인정보를 이전받는 경우 위와 같은 개인정보취급자는 ‘개인정보처리자로부터 개인정보를 제공받은 자’에 해당하지 않는다. [2] 구 개인정보 보호법(2020. 2. 4. 법률 제16930호로 개정되기 전의 것, 이하 같다)은 제15조, 제16조에서 개인정보처리자의 개인정보 수집·이용에 관하여 규정하고, 제17조에서 개인정보처리자가 수집한 개인정보를 제3자에게 제공할 수 있는 경우를 규정하며, 제18조 제2항에서 개인정보처리자가 개인정보를 목적 외의 용도로 이용하거나 이를 제3자에게 제공할 수 있는 경우를 규정한다. 제19조에서는 ‘개인정보처리자로부터 개인정보를 제공받은 자’를 수범자로 하여 정보주체로부터 별도의 동의를 받거나 다른 법률에 특별한 규정이 있는 경우를 제외하고는 개인정보를 제공받은 목적 외의 용도로 이용하거나 이를 제3자에게 제공하여서는 아니 된다고 규정하고 있다. 위와 같은 법령의 체계와 문언을 종합해 보면, 구 개인정보 보호법 제19조에서 말하는 ‘개인정보처리자로부터 개인정보를 제공받은 자’란 같은 법 제17조, 제18조 등에 규정된 바에 따라 개인정보처리자로부터 개인정보의 지배·관리권을 이전받은 그 제3자를 의미한다. 그리고 구 개인정보 보호법 제19조의 ‘제공받은 목적’은 같은 법 제17조 제1항 각 호, 제17조 제3항, 제18조 제2항 각 호에서 정한 개인정보를 제3자에게 제공할 수 있는 경우와 관련이 있는 목적을 의미하고, 그와 무관하게 제공받은 자가 가지는 주관적·일방적인 목적을 의미하는 것은 아니라고 보아야 한다. 개인정보처리자가 개인정보를 수집한 후 이를 제3자에게 제공함으로써 개인정보의 지배·관리권이 이전된다면 해당 개인정보는 그 제공의 이유나 의도에 부합하도록 이용되어야 하기 때문이다. 따라서 개인정보처리자가 구 개인정보 보호법 제17조, 제18조를 위반하여 개인정보를 제공한 경우, 개인정보처리자 및 그 사정을 알면서도 영리 또는 부정한 목적으로 그 개인정보를 제공받은 자에 대하여 그 위반을 이유로 같은 법 제71조 제1호 또는 제2호로 처벌할 수 있는지 여부는 별론으로 하더라도, 구 개인정보 보호법 제19조의 ‘개인정보처리자로부터 개인정보를 제공받은 자’에 해당한다고 보아 그 위반을 이유로 같은 법 제71조 제2호로 처벌할 수는 없다.

Order

원심판결을 파기하고, 사건을 인천지방법원에 환송한다.

Provisions referred to

[1] 구 개인정보 보호법(2020. 2. 4. 법률 제16930호로 개정되기 전의 것) 제19조, 제28조, 제71조 제2호 / [2] 구 개인정보 보호법(2020. 2. 4. 법률 제16930호로 개정되기 전의 것) 제15조, 제16조, 제17조, 제18조, 제19조, 제71조 제1호, 제2호