|
Ⅰ. 서 론
내 개인정보는 얼마에 판매되고 있을까. 누구나 한번쯤은 보험사로부터 보험상품권유 전화를 받은 적이 있을 것이다. 그런데 전화를 받고 나면 내 개인정보가 언제 어떻게 보험사로 흘러가게 되었는지 그 경로가 불투명한 경우가 많아서 찝찝한 기분이 들기도 한다. 오늘날 데이터를 기반으로 한 산업이 급속하게 성장하면서 기업들은 온·오프라인으로 쇼핑, 경품추첨 등의 방법을 통해 소비자들의 개인정보를 수집하고 있다. 이렇게 수집된 고객들의 개인정보는 단독으로 또는 다른 정보와 함께 결합되어 개인정보를 수집한 기업에 의해 직접 사용되기도 하고, 제3자에게 재판매 되기도 하며 데이터 시장에서 유통된다.
일찍이 미국에는 소비자의 개인정보를 수집하여 제3자와 공유 혹은 재판매하는 데이터 브로커(Data broker) 산업이 존재하여 왔는데, 미국에서도 소비자가 자신의 데이터가 어떻게 수집, 유통되고 있는지 정확히 인식하지 못하고 있는 경우가 많아 데이터 유통의 투명성 문제가 제기되었다. 이로 인해 미국 공정거래위원회(FTC)는 데이터 유통의 투명성 제고를 위하여 소비자가 데이터 수집 및 유통을 인지하고, 기업들이 보유하고 있는 개인 정보에 합리적으로 접근할 수 있도록 돕는 법률제정을 권고하였으며, 데이터 브로커 기업을 대상으로 조사를 벌이는 등 노력을 기울이고 있다.
우리나라에서도 데이터 유통의 투명성 문제는 지속적으로 제기되고 있다. 특히 국내 H회사가 경품행사를 통해 자녀 수, 부모님과 동거 여부 등 고객들의 개인정보를 취득하여 거액으로 보험회사에 판매한 사례는 언론에서 연일 보도되며 소비자들에게 경각심을 일깨워 주었다. H사의 사례와 관련하여 형사, 민사, 행정법원이 각 판결을 내렸는바, 아래에서는 형사판례(대법원 2017. 4. 7. 선고 2016도13263 판결)를 중심으로 관련 판례와 법적 쟁점을 소개하고자 한다.
II. 사건의 경과
1. 사안의 개요
피고인들은 H회사의 임직원들로서, L보험회사 및 S보험회사와 H회사가 경품행사를 통해 취득하는 개인정보를 1건당 1,980원에 판매한다는 업무제휴약정을 각 체결하고, 경품행사를 가장하여 경품 당첨을 기대하고 응모하는 고객들의 개인정보를 수집하여 보험회사에 대가를 받고 팔아 넘길 목적으로 경품행사를 기획, 시행하기로 하였다.
그리하여 피고인들은 경품 응모권 용지에 개인정보 수집 및 제3자 제공에 관한 내용을 약 1mm 크기로 인쇄하여 응모자들로 하여금 경품행사 현장에서 응모권이 있는 고가의 경품 사진(벤츠 승용차, 다이아몬드 반지 등)에 현혹되어 동의를 하도록 하였다. 또한, 피고인들은 경품행사에 필요한 범위를 넘어 개인정보(성명, 생년월일 또는 주민등록번호, 휴대전화번호, 자녀 수, 부모님과 동거 여부 등)를 수집하고, 그에 동의하지 않으면 경품 추첨에서 배제하였으며, 당첨자에게 연락하려는 노력을 게을리하거나 경품을 준비 또는 지급하지 않았고, 적법한 보험모집자가 아님에도 보험계약 체결 가능성이 있는 대량의 개인정보를 알선해 주고 그 대가를 받았다. 또한, H사는 개인정보 제3자 제공에 동의하지 않은 고객정보까지 보험회사들에게 제공하였고, 보험회사는 사전필터링을 거쳐 보험가입 가능성이 있는 고객정보를 선별하여 H사에게 다시 제공하고, H사는 이 정보를 H사와 위탁계약이 체결된 콜센터 회사에 전달하여 콜센터 회사의 상담원들이 전화를 걸어 제3자 제공 동의를 얻은 후(‘퍼미션 콜’이라 한다) 제3자 제공에 동의한 고객들의 데이터베이스를 다시 보험회사들에게 제공하였다.
이에 검사는 피고인들에게 부정한 방법에 의한 개인정보 취득 관련 개인정보 보호법 위반 및 미동의 개인정보 제공 관련 개인정보 보호법 위반 및 정보통신망법 위반(개인정보누설등)의 혐의가 인정된다고 판단하여 피고인들을 기소하였다.
한편, 관련 행정사건으로 H사는 H사에게 시정명령과 과징금납부명령을 부과한 공정거래위원회를 상대로 시정명령등 취소청구의 소를 제기하였고, 관련 민사사건으로는 소비자들이 H사를 상대로 손해배상청구를 하였다.
2. 소송의 쟁점
이 사건에서는 위 피고인들의 행위와 관련하여 1) 거짓이나 그 밖의 부정한 수단이나 방법으로 개인정보를 취득하였는지 여부(개인정보 보호법 제72조 제2호)와, 2) 개인정보의 제3자 제공에 해당하는지(개인정보 보호법 제17조 및 정보통신망법 제24조의 2) 아니면 처리위탁인지 여부가 쟁점이 되었다.
또한, 관련 행정사건에서는 H사가 경품행사를 광고하면서 응모자의 개인정보를 수집하여 이를 보험회사에 제공하는 것에 동의하여야만 경품행사에 응모할 수 있다는 것을 기재하지 않은 행위가 기만적인 광고에 해당하는지 여부(표시광고법 제3조 제1항 제2호)가 쟁점이 되었고, 관련 민사사건에서는 H사가 경품행사를 통해 개인정보를 수집, 판매한 행위가 개인정보 보호법상 개인정보 수집 제한(개인정보 보호법 제16조), 동의를 받는 방법(개인정보 보호법 제22조 제1항), 거짓이나 그 밖의 부정한 수단이나 방법으로 개인정보를 취득하거나 처리에 관한 동의를 받는 행위(개인정보 보호법 제59조 제1호)에 관한 조항을 위반하였는지 여부와, H사가 사전필터링을 위해 개인정보를 제공한 행위가 개인정보의 제3자 제공(개인정보 보호법 제17조 및 정보통신망법 제24조의 2)에 관한 조항을 위반하였는지 여부 등이 쟁점이 되었다.
3. 법원의 판단
가. 거짓이나 그 밖의 부정한 수단이나 방법으로 개인정보를 취득하였는지 여부
원심은 피고인들이 ‘거짓이나 그 밖의 부정한 수단이나 방법’으로 개인정보를 취득하거나 그 처리에 관한 동의를 받았는지 여부(개인정보 보호법 제72조 제2호)에 관하여 피고인들이 개인정보 보호법상 개인정보 수집 및 그 처리에 관한 동의를 받을 때 정보주체에게 알려야 하는 사항을 응모권에 모두 기재하였고, 개인정보를 ‘유상으로’ 제3자에게 제공한다는 사실까지 알려야 할 의무를 부담한다고 볼 수 없고, 응모권에 기재된 약 1mm 크기의 글씨는 다양한 곳에서 통용되는 것으로 경품행사 응모자들이 읽을 수 있었던 것으로 보이고, 응모자들이 자신들의 개인정보가 보험회사에 마케팅 목적으로 제공된다는 사실을 충분히 인식할 수 있는 상태에서 그에 관한 동의를 하였다고 봄이 상당하다고 판단하여, 이 부분 공소사실을 무죄로 판단한 제1심판결을 유지하였다.
하지만, 대법원의 판단은 원심과 달랐다. 대법원은 피고인들이 이 사건 광고 및 경품행사의 주된 목적을 숨긴 채 사은행사를 하였고, 소비자들을 오인하게 한 다음 경품행사와는 무관한 고객들의 개인정보까지 수집하여 이를 제3자에게 제공한 점, 피고인들이 이와 같은 행위를 하면서 개인정보 보호법상의 개인정보 보호 원칙 및 제반 의무를 위반한 점, 피고인들이 수집한 개인정보의 규모 및 이를 제3자에게 판매함으로써 얻은 이익 등을 종합적으로 고려하여, 피고인들은 개인정보 보호법 제72조 제2호에 규정된 ‘거짓이나 그 밖의 부정한 수단이나 방법으로 개인정보를 취득하거나 개인정보 처리에 관한 동의를 받는 행위를 한 자’에 해당한다고 보았다.
나. 개인정보 제3자 제공에 해당하는지 여부
원심은 보험회사가 H사로부터 제공받은 개인정보를 사전필터링을 하여 각 보험회사의 보험가입자나 블랙리스트에 올라 있는 사람을 걸러낸 행위에 관하여는, 보험회사들은 퍼미션 콜 업무 일부를 수행한 수탁자로서의 지위를 가질 뿐, 개인정보 보호법 제17조와 정보통신망법 제24조의2에 정한 ‘제3자’로서의 지위를 가진다고 볼 수 없으므로, H사가 보험회사들에게 개인정보를 제공하기 위해 개인정보주체들에게 개인정보 제3자 제공을 위한 동의를 받지 아니하여도 된다고 판단하였다.
그러나, 원심과 달리 대법원은 개인정보 처리위탁에 있어 수탁자는 위탁자로부터 위탁사무 처리에 따른 대가를 지급받는 것 외에는 개인정보 처리에 관하여 독자적인 이익을 가지지 않고, 정보제공자의 관리감독 아래 위탁 받은 범위 내에서만 개인정보를 처리하게 되는데, 사안에서 보험회사는 단순한 수탁자로서가 아니라 자신들의 독자적인 이익과 업무처리를 위하여 개인정보를 제공받은 ‘제3자’에 해당하여 개인정보 보호법 및 정보통신망법에서 말하는 개인정보 제3자 제공에 해당한다고 보았다.
다. 관련 사건
대법원은 H사가 공정거래위원회를 상대로 낸 시정명령 등 취소소송에서 경품행사를 광고하면서 개인정보를 수집하여 이를 보험회사에 제공하는 것에 동의하여야만 경품행사에 응모할 수 있다는 것을 기재하지 않은 것은 소비자의 구매 선택에 중요한 영향을 미칠 수 있는 거래조건을 은폐하여 공정한 거래질서를 해칠 우려가 있는 것이므로, 표시광고법 제3조 제1항 제2호에 정한 기만적인 광고에 해당한다고 보아 공정거래위원회가 시정명령과 함께 과징금을 부과한 것에 대하여 정당하다고 판단하여 원고패소 판결한 원심을 확정하였다(대법원 2017. 4. 7. 선고 2016두61242판결).
아울러, 서울중앙지방법원 제31부는 H사가 경품행사를 통해 개인정보를 수집, 판매한 행위와 사전필터링을 위해 개인정보를 제공한 행위는 원고들의 개인정보자기결정권을 침해한 불법행위로서, H사는 원고들에게 이로 인한 손해배상책임을 부담한다고 판단하였다(서울중앙지방법원 2018. 1. 18. 선고 2015가합541763판결).
III. 마무리
위 사안에서 보험사들에게 거액으로 판매된 개인정보는 자녀 수, 부모님과 동거 여부 등 우리가 일상 생활에서 무심코 제공하기 쉬운 정보들이었다. 데이터기반 산업이 활성화되고 데이터 유통이 증대됨에 따라 개인정보자기결정권 제한 또는 침해와 관련된 이슈들은 앞으로도 계속 발생할 것이다. 데이터의 유통 혹은 개인정보의 보호, 둘 중 한 가지만 강조하여서는 안되겠지만, 적어도 데이터의 유통과정이 투명하고 소비자들이 이를 신뢰할 수 있어야 데이터 기반 산업도 지속적으로 발전할 수 있을 것이다.
이와 같은 상황에서, 본 사안은 법원이 기업이 소비자의 개인정보를 수집하여 소비자들이 모르게 유상으로 제3자에게 소비자들의 개인정보를 판매한 행위에 대하여 개인정보 보호법 및 정보통신망법상 위반사항을 지적하고, 형사적으로는 그에 따른 처벌 및 민사적으로 소비자들에 대한 손해배상을 하도록 함으로써 데이터 유통의 투명성을 제고하였다는 것에 의의가 있다.
|