Who counts as a personal information processor

Cross-family AI independent reading & axis check

6 of 8 axes matched GPT-6 Astra (OpenAI, codex CLI) · 2026-10-24

A reader from another model family (GPT-6 Astra), given the official text but not the primary reading, agreed on 6 of the 8 axes; the readings differed on axis 6 (relation to precedent), axis 8 (open question and revisit condition).

Raw responses and comparison record: Protocol · Blind readings (JSONL) · Axis comparison (JSONL) · SHA-256 (JSON)

Lower-court contrast & scope of application

Lower-court reading vs. Supreme Court holding

Lower-court context: The Seoul Central District Court, in its judgment of 5 September 2024 (2023No2040), upheld the first-instance conviction under Article 71(ii) and Article 18(1) of the former Personal Information Protection Act. It held on the premise that the Defendant, an insurance agent appointed by the insurance company who had brokered A's policies in 2015 and 2016, was a personal information processor, because he had collected A's date of birth, address and contact details for insurance sales and customer management and then, together with B, used them beyond that purpose to cancel a special clause and change the main coverage.

Supreme Court standard: The Supreme Court held that this premise was wrong as a matter of law. The court below did not sufficiently examine the content of the appointment contract and the insurance brokerage entrustment contract, who managed the customers' data and how, or whether a personal information file recorded as operated by the Defendant existed and how it was generated, held and operated, so it misstated the law on personal information processors or failed to conduct the necessary examination. On the fraud and forged electronic record counts it found no error in free evaluation, but because those convictions stand in concurrence with the reversed part under Article 37 first clause of the Criminal Act and one sentence had been imposed, the whole judgment had to be reversed; the Court added in passing that even a person who is not a processor may still be liable as a punishable actor under Article 74.

Distinguishing conditions

• A person who processes personal information under an entrustment from a controller under Article 26 of the Act, or who is an employee, dispatched worker or part-time worker acting under the controller's direction and supervision as a handler under Article 28, since the statute already assigns the processing to another.
• An insurance agent whose processing purpose, because of special circumstances, is closely connected with the agent's own business and interests rather than the insurer's.
• A charge dealt with under the punishable actor provision in Article 74 of the Act, which the Court expressly left open as a separate question rather than deciding here.

Record verification notes

Before relying on this decision, gather the appointment contract and the insurance brokerage entrustment contract, and ask who decides the purpose, content, method and procedure of the processing under them. Then check whether a personal information file recorded as the actor's actually exists and how it was created, held and operated, since the court below was faulted for not examining that. Finally keep the version of the Act in view, as the decision applies the former Personal Information Protection Act before the amendment by Law No. 16930 of 4 February 2020.

From the official text

Points at issue

[1] 어떤 주체가 업무를 목적으로 개인정보파일을 운용하기 위하여 개인정보를 수집, 보유, 이용하는 등 개인정보처리에 해당하는 행위를 실제로 하였다는 사정만으로 당연히 구 개인정보 보호법 제18조 제1항의 수범자인 ‘개인정보처리자’에 해당하는지 여부(소극) / 구 개인정보 보호법상 ‘개인정보처리자’에 해당하는지 판단하는 기준 및 이때 고려하여야 할 사항 [2] 피고인은 갑 보험회사 소속 보험설계사로 위촉되어 활동하던 사람이고, 을은 당시 피고인을 통해 갑 보험회사의 보험상품에 가입한 사람인데, 피고인이 병과 공모한 다음 병이 갑 보험회사 상담원에게 전화하여 마치 을인 것처럼 행세하면서 피고인이 보험설계사로서 보험 가입 및 고객 관리를 위해 수집한 을의 생년월일, 주소, 연락처 등을 이용하여 을이 가입한 보험의 특약 해지, 주 계약 보장내용 변경 등을 신청함으로써 을의 개인정보를 수집 목적의 범위를 초과하여 이용하였다는 구 개인정보 보호법 위반으로 기소된 사안에서, 피고인이 을의 개인정보를 수집한 적이 있다는 등의 사정만으로 개인정보처리자라는 전제 아래 피고인의 행위가 같은 법 제71조 제2호, 제18조 제1항 위반죄에 해당한다고 본 원심판단에 법리오해 등의 잘못이 있다고 한 사례

Summary of the holding

[1] 구 개인정보 보호법(2020. 2. 4. 법률 제16930호로 개정되기 전의 것, 이하 ‘법’이라 한다)은 제71조 제2호에서 ‘제18조 제1항·제2항을 위반하여 개인정보를 이용하거나 제3자에게 제공한 자’를 처벌하도록 규정하고, 제18조 제1항은 "개인정보처리자는 개인정보를 제15조 제1항에 따른 범위를 초과하여 이용하거나 제17조 제1항 및 제3항에 따른 범위를 초과하여 제3자에게 제공하여서는 아니 된다."라고 규정한다. 법 제18조 제1항의 수범자인 ‘개인정보처리자’란 ‘업무를 목적으로 개인정보파일을 운용하기 위하여 스스로 또는 다른 사람을 통하여 개인정보를 처리하는 공공기관, 법인, 단체 및 개인 등’을 말한다(법 제2조 제5호). 개인정보처리자는 스스로 개인정보를 처리할 수 있을 뿐 아니라, 제3자에게 개인정보처리 업무를 위탁하거나(법 제26조), 임직원, 파견근로자, 시간제근로자 등 개인정보처리자의 지휘·감독을 받아 개인정보를 처리하는 자인 개인정보취급자(법 제28조)를 통하여 개인정보를 처리하는 등 다른 사람을 통하여 개인정보를 처리할 수도 있다. 따라서 어떤 주체가 업무를 목적으로 개인정보파일을 운용하기 위하여 개인정보를 수집, 보유, 이용하는 등 개인정보처리에 해당하는 행위를 실제로 하였다는 사정만으로 그가 당연히 개인정보처리자에 해당하는 것은 아니다. 누가 개인정보처리자인지는 개인정보처리의 목적, 내용, 방법, 절차 등 개인정보처리에 관한 사항을 종국적으로 결정하는 권한이 누구에게 있는지에 따라 판단하여야 한다. 이러한 판단은 개인정보처리의 목적이 누구의 고유한 업무 및 이익과 밀접한 관련성을 맺고 있는지, 그 목적 달성을 위해 개인정보를 처리하는 과정에서 실질적인 지휘 또는 감독을 하는 자가 누구인지, 개인정보파일을 누가 어떠한 목적으로 어떻게 생성·보유·운용하고 있는지 등 여러 사정을 종합적으로 고려하여 이루어져야 한다. 아울러 이러한 판단을 함에 있어서는 개인정보처리자의 의무와 책임을 누구에게 귀속시키는 것이 정보주체의 권익 보호와 개인정보의 적합한 처리 보장의 요청에 잘 부합하는지도 염두에 두어야 한다. [2] 피고인은 갑 보험회사 소속 보험설계사로 위촉되어 활동하던 사람이고, 을은 당시 피고인을 통해 갑 보험회사의 보험상품에 가입한 사람인데, 피고인이 병과 공모한 다음 병이 갑 보험회사 상담원에게 전화하여 마치 을인 것처럼 행세하면서 피고인이 보험설계사로서 보험 가입 및 고객 관리를 위해 수집한 을의 생년월일, 주소, 연락처 등을 이용하여 을이 가입한 보험의 특약 해지, 주 계약 보장내용 변경 등을 신청함으로써 을의 개인정보를 수집 목적의 범위를 초과하여 이용하였다는 구 개인정보 보호법(2020. 2. 4. 법률 제16930호로 개정되기 전의 것, 이하 ‘법’이라 한다) 위반으로 기소된 사안에서, 을이 피고인을 통하여 갑 보험회사와 보험계약을 체결하고 그 과정에서 피고인이 을의 개인정보를 수집하는 등 개인정보처리에 해당하는 행위를 실제 하였다는 사정만으로 당연히 개인정보처리자에 해당하는 것은 아니고, 보험설계사는 보험회사 등에 소속되어 보험계약의 체결을 중개하는 모집종사자로(보험업법 제2조 제9호, 제83조 제1항 제1호) 보험회사에 소속된 보험설계사가 보험계약의 체결을 중개하는 과정에서 보험계약자 등의 개인정보를 수집, 보유하는 등 개인정보처리 행위를 하더라도, 그 개인정보처리의 목적은 특별한 사정이 없는 한 보험회사가 당사자인 보험계약 체결 및 그에 따른 보험회사의 의무 이행 등 보험회사의 고유한 업무 및 이익과 밀접한 관련성을 맺게 되어 개인정보처리에 관한 사항의 종국적 결정 권한이 보험회사에 있다고 볼 여지가 높기 때문에, 이러한 경우 개인정보처리에 관한 정보주체의 권익 보호와 개인정보의 적합한 처리를 위하여 보험회사로 하여금 법상 개인정보처리자의 의무와 책임을 지도록 할 필요도 있다는 이유로, 피고인이 갑 보험회사와 체결한 보험설계사 위촉계약, 보험모집 위탁계약의 내용, 피고인이 보험계약의 체결을 중개·모집하면서 수집하거나 알게 된 고객들의 개인정보에 관한 관리 주체나 방법 등과 같이 피고인의 개인정보처리 목적과 밀접한 관련성을 맺고 있는 고유한 업무 및 이익의 주체, 개인정보처리 과정에서 실질적인 지휘 또는 감독을 하는 자가 누구인지 등의 여러 사정뿐 아니라 피고인이 운용한다고 기재된 개인정보파일의 존부와 그 생성·보유·운용에 관한 구체적 사정도 충분히 살펴보지 않은 채, 피고인이 을의 개인정보를 수집한 적이 있다는 등의 사정만으로 개인정보처리자라는 전제 아래 피고인의 행위가 법 제71조 제2호, 제18조 제1항 위반죄에 해당한다고 본 원심의 판단에 개인정보처리자에 관한 법리오해 또는 심리미진의 잘못이 있다고 한 사례.

Order

원심판결을 파기하고, 사건을 서울중앙지방법원에 환송한다.

Provisions referred to

[1] 구 개인정보 보호법(2020. 2. 4. 법률 제16930호로 개정되기 전의 것) 제2조 제2호, 제5호, 제18조 제1항, 제26조, 제28조, 제71조 제2호 / [2] 구 개인정보 보호법(2020. 2. 4. 법률 제16930호로 개정되기 전의 것) 제2조 제2호, 제5호, 제18조 제1항, 제71조 제2호, 보험업법 제2조 제9호, 제83조 제1항 제1호, 형법 제30조