CCTV 영상 유출 사건에서 먼저 점검해야 할 처리 목적과 제3자 제공 요건

01 CCTV 영상을 보여줬다는 사실만으로 판단해서는 안 됩니다

아파트, 상가, 음식점, 회사, 주차장 등에 설치된 CCTV 영상을 관리자가 다른 사람에게 보여주거나 휴대전화로 촬영하게 하고, 영상파일 자체를 전달하면서 개인정보 침해 문제가 발생하는 경우가 있습니다.

이러한 사건에서는 우선 문제가 된 영상이 개인정보에 해당하는지를 확인해야 합니다. 영상만으로 특정인을 알아볼 수 있거나 다른 정보와 쉽게 결합하여 개인을 알아볼 수 있다면 개인정보 보호법상 개인정보에 해당할 수 있습니다.

그다음에는 누가 영상을 관리하고 있었고 누구에게 전달했는지를 살펴봐야 합니다. CCTV 관리업무를 담당하던 직원이 업무 과정에서 영상을 확인한 것인지, 관리 권한이 없는 직원이 임의로 복사한 것인지, 외부인에게 파일을 전송한 것인지에 따라 검토해야 할 내용이 달라집니다.

특히 단순히 모니터 화면을 확인하게 한 경우, 영상을 휴대전화로 다시 촬영하게 한 경우, 원본 또는 복사파일을 전달한 경우, 온라인에 게시한 경우를 구분할 필요가 있습니다.

따라서 수사에서는 “CCTV가 유출됐다”는 표현만으로 판단하기보다 영상이 어떤 방식으로 누구에게 이동했고 이후 어떻게 사용됐는지를 구체적으로 확인해야 합니다.

02 처음 영상을 처리한 목적과 실제 제공 목적을 비교해야 합니다

CCTV 영상의 제공 여부를 검토할 때 중요한 것은 해당 영상이 처음 어떤 목적으로 처리되고 있었는지를 확인하는 것입니다.

고정형 CCTV 운영자는 운영·관리 방침에 설치 근거와 설치 목적, 촬영 범위, 영상정보에 접근할 수 있는 사람, 촬영시간과 보관기간·보관장소 및 처리방법 등을 포함하도록 되어 있습니다. 따라서 실제 사건에서는 해당 사업장이나 시설의 CCTV 운영·관리 방침부터 확인할 필요가 있습니다.

예를 들어 시설안전이나 범죄예방 등을 위해 보관하고 있던 영상을 전혀 다른 목적으로 이용했다면 당초 처리 목적의 범위를 벗어났는지가 문제될 수 있습니다.

개인정보 보호법은 개인정보를 허용된 범위를 넘어 이용하거나 제3자에게 제공하는 것을 원칙적으로 제한하면서, 정보주체의 별도 동의가 있거나 다른 법률에 특별한 규정이 있는 경우, 급박한 생명·신체·재산의 이익을 위해 필요한 경우 등 일정한 예외를 두고 있습니다.

따라서 “사고가 발생했기 때문에 보여줬다”, “분쟁 확인을 위해 전달했다”는 설명만으로 적법성을 단정해서는 안 됩니다. 누구의 어떤 목적을 위해 제공했는지와 그 목적에 맞는 법적 근거가 실제 존재했는지를 구체적으로 확인해야 합니다.

03 오창훈 변호사의 대응방식 — 영상의 생성부터 외부 전달까지 경로를 확인합니다

안녕하세요, 형사전문변호사 오창훈입니다.

제가 CCTV 영상 유출 관련 사건을 검토할 때는 먼저 설치·처리 목적 → 영상 접근자 → 열람 요청 → 영상 확인·추출 → 제3자 전달 → 전달 이후 사용의 순서로 사실관계를 정리합니다.

우선 CCTV 운영·관리 방침과 내부규정을 확인합니다. 누가 영상정보에 접근할 권한을 가지고 있었는지, 영상을 열람하거나 복사할 때 내부 승인절차가 있었는지, 실제 담당자가 그 절차를 지켰는지를 살펴봅니다.

다음으로 영상을 요청한 사람이 누구인지 확인합니다. 영상 속 당사자가 자신의 모습을 확인하기 위해 요청한 것인지, 사고 상대방이나 보험회사·회사 관계자 등 제3자가 요청한 것인지에 따라 개인정보 제공 관계를 달리 검토해야 할 수 있습니다.

영상에 여러 사람이 함께 촬영되어 있다면 다른 정보주체의 개인정보가 포함되어 있다는 점도 살펴봐야 합니다. 필요한 경우 다른 사람을 알아볼 수 없도록 가림처리를 했는지, 필요한 부분만 제공했는지 등 제공 범위도 확인합니다.

파일이 외부로 전달됐다면 이메일, 메신저, USB, 휴대전화 촬영 등 실제 전달방법을 확인합니다. 이후 최초 수령자가 다른 사람에게 다시 전송하거나 SNS·온라인 커뮤니티에 게시했다면 최초 제공행위와 그 이후의 재전달 행위를 구분하여 각 행위자를 확인할 필요가 있습니다.

마지막으로 수사기관이 문제 삼는 행위와 적용 조항을 확인합니다. 영상의 목적 외 이용·제공이 문제인지, 접근권한 관리나 안전조치 문제가 함께 제기되는지, 최초 제공자와 이후 유포자의 책임이 어떻게 구분되는지를 수사기록과 객관자료에 맞춰 검토합니다.

04 자주 묻는 질문

05 참고자료 — 목적 외 이용과 제3자 제공을 구분해 확인합니다

개인정보 보호법은 개인정보처리자가 허용된 수집·이용 범위를 넘어 개인정보를 이용하거나 허용된 범위를 넘어 제3자에게 제공하는 것을 원칙적으로 제한하고 있습니다. 다만 정보주체로부터 별도의 동의를 받은 경우, 다른 법률에 특별한 규정이 있는 경우, 명백히 정보주체 또는 제3자의 급박한 생명·신체·재산의 이익을 위해 필요한 경우 등 법에서 정한 사유가 있다면 예외적으로 목적 외 이용·제공이 가능할 수 있습니다.

따라서 CCTV 영상 제공 사건에서는 단순히 ‘필요해서 줬다’는 설명보다 개인정보 보호법상 어느 근거에 따라 제공한 것인지가 중요합니다. 특히 목적 외 제공이라면 제공 목적과 상대방, 제공한 영상의 범위, 정보주체나 제3자의 이익을 부당하게 침해할 우려가 있었는지 등을 구체적으로 확인할 필요가 있습니다.

고정형 영상정보처리기기 운영자는 영상정보가 유출되지 않도록 안전성 확보에 필요한 조치를 해야 합니다. 또한 운영·관리 방침에는 관리책임자와 담당부서, 영상정보 접근권한자, 보관기간과 장소 및 처리방법, 정보주체의 열람 요구에 대한 조치 등이 포함되어야 합니다. 따라서 내부 직원의 영상 반출 사건이라면 외부 제공의 적법성뿐 아니라 접근권한과 내부 관리절차가 어떻게 운영되고 있었는지도 함께 살펴볼 필요가 있습니다.

반대로 CCTV 영상이 외부에 알려졌다는 결과만으로 특정 관리자에게 모든 책임을 귀속시켜서는 안 됩니다. 실제 영상에 접근한 사람이 누구인지, 최초 파일을 추출한 사람과 외부에 전달한 사람이 동일한지, 이후 제3자가 독자적으로 재전송하거나 공개한 것인지 등을 로그기록과 메신저·이메일 등으로 구분해야 합니다.

현재 CCTV 영상을 외부에 제공하거나 유출했다는 문제로 수사를 받고 있다면 영상이 퍼졌다는 결과만 설명하기보다 처음 영상을 처리한 목적과 자신의 접근권한부터 확인해 보시기 바랍니다. 오창훈 형사전문변호사인 저는 CCTV 운영·관리 방침과 접근·반출기록을 확인하고, 누가 어떤 요청을 받아 어느 범위의 영상을 누구에게 전달했는지, 정보주체의 동의나 별도의 제공 근거가 있었는지, 이후 재유포 과정에 실제로 관여했는지를 단계별로 구분하여 검토하고 있습니다.