최근 개인정보 보호 분야에서는 눈에 띄는 판례들이 소개되었습니다. 바로 개인정보의 상업적 이용에 관한 법원의 판단들입니다.
개인정보 보호법은 2011년 9월 1일에 시행된 법으로, 기존 공공 분야에 적용되던 공공기관 개인정보 보호에 관한 법률을 폐지하고 기존 민간분야를 규율하던 정보통신망 이용촉진 및 정보보호 등에 관한 법률, 신용정보의 이용 및 보호에 관한 법률 등의 모법(母法)이자 일반법으로 민간분야와 공공분야를 모두 아우르고자 입법되었습니다. 그로부터 만 5년이 흘러 이에 대한 인식도 많은 변화가 있는 것으로 보입니다. 필자의 기억으로 약 10년 전만 해도 피자를 배달시키고 싶을 때 피자집에서 우리 집 주소를 미리 알고 “00동 00-00 맞으시죠?” 라고 하면 ‘긴 주소를 불러주지 않아도 되어 참 편리하구나’ 라고 생각했던 때가 있었던 것 같은데, 요즘은 “제 개인정보는 어떻게 아셨죠?”, “제 개인정보 수집, 이용할 때 제 동의를 안구하신 것 같은데요?” 등의 반응도 심심찮게 들을지도 모르겠다는 생각이 듭니다. 그만큼 이제 많은 국민들도 개인정보 보호에 관한 권리의식이 높아졌다고 할 것입니다.
개인정보 보호법 시행을 전후하여 이런저런 개인정보 유출 사고 소식도 자주 접하게 되었습니다. 은행, 카드사, 이동통신사, 인터넷 포털, 인터넷쇼핑몰, 대형마트, 게임업체 등 대규모의 개인정보 유출 사건이 연이어 이슈화되고 본인의 개인정보 유출 여부를 확인할 수 있게끔 되어 본인의 개인정보가 유출됨을 확인까지 하고 나니, 이제는 “내 개인정보는 공공재(公共財)”라거나 “국민 대부분의 개인정보는 중국에 보관되고 있을 것”이라는 자조 섞인 반응도 흔히 있는 일입니다.
이로 인하여 개인정보 보호를 위한 많은 규제들과 관련 법령의 강화가 이루어지게 되었습니다. 이러한 정책 입안과 법 개정은 하나 같이 ‘국민들의 개인정보 보호 강화’라는 취지를 등에 업고 이루어지고 있습니다. 특히 대규모의 개인정보 유출 사고 후에는 경쟁이라도 하듯 개인정보 관련 개정안이 쏟아지고 있습니다. 이처럼 관련 법규와 규제가 강화됨에도 실질적으로 국민들의 개인정보의 보호가 강해지고 있는지에 관하여는 다소 의문입니다.
필자에게 이러한 의구심을 불러일으키게 한 최근의 두 개의 판례를 소개하고자 합니다. 첫 번째는 모 대형마트 회사의 고객 개인정보의 판매 행위 관련 형사사건입니다. 이 사건에서 해당 회사는 경품 이벤트를 진행하며 수집한 개인정보를 보험사에 판매하였는데, 이에 대한 동의 수집 과정에서 1mm 크기의 글씨로 개인정보의 제공 대상자와 이용목적을 기재한 것이 적절한 고지 방법으로 인정되어 1심에 이어 이번 달 12일에 있었던 2심에서도 담당자에 대한 무죄가 선고된 사안입니다. 두 번째 사례는 한 법과대학 교수가 각종 포털 사이트와 법률정보 사이트를 대상으로 본인의 동의를 구하지 않고 상업적으로 개인정보를 이용한 것에 대한 부당이득의 반환을 구한 사건입니다.
이 두 사건은 모두 개인정보의 상업적 이용에 관한 판단이라는 점에서 공통점이 있습니다. 특히 첫 번째 사건의 경우 수집단계부터 적극적으로 개인정보 판매를 목적으로 한 영업활동을 진행한 것입니다. 그럼에도 불구하고 개인정보 보호법령에 상업적으로 활용하였는지 여부에 대한 법적인 판단 근거가 없고 형식적으로 개인정보 제공에 관한 동의 등 요건을 갖추고 있는지 여부만을 판단근거로 보았다는 점이 눈에 띕니다. 두 번째 사건의 경우에는 공공성 있는 개인의 공개된 개인정보에 관한 국민의 알 권리와 해당 개인의 개인정보 자기결정권과의 이익형량을 통하여 개인정보의 이용에 관한 위자료의 지급여부를 판단하여야 한다고 설시하며, 정보주체의 동의 없이 영리 목적으로 개인정보를 수집, 제공한 것만으로 곧바로 위법하다고 판단할 수는 없다고 보고 있습니다. 결론적으로는 정보주체의 권리 보호와는 거리가 있는 판례라는 점에서도 공통점이 있다 할 것입니다.
물론 위 판례들이 여러 가지 고려에 따라 내려진 판례인 것은 맞습니다. 첫 번째 사건은 형사사건이므로 무죄추정의 원칙과 죄형법정주의에 의하여 형식적인 면에서 판단할 수 밖에 없다는 측면이 있으며, 두 번째 사건 역시 개인정보의 보호 뿐 아니라 활용이라는 측면까지 폭넓은 관점에서 종합적으로 검토한 결과라 볼 여지도 충분히 있습니다.
그럼에도 왠지 다소 허탈한 결론이라는 느낌을 지울 길은 없습니다. 지금 개인정보 보호와 관련하여 현업에서는 개인정보 보호관련 법령 준수를 위하여 새로운 서비스 런칭 여부를 고심하고 있는 케이스들이 비일비재합니다. 실제로 많은 시간과 비용을 투자하여 어렵게 서비스를 런칭한 스타트업 기업이 개인정보 이슈로 인하여 발목을 잡혀 어려움을 겪는다는 소식도 심심치 않게 들립니다. 개인정보 보호 관련 법령을 다 지키다가는 아무 사업도 못한다는 웃픈(?) 이야기가 괜한 투정 같지는 않습니다.
이처럼 우리나라의 발전의 핵심 산업 중 하나인 ICT 산업과 관련 융합산업이 개인정보 보호라는 이슈 앞에서 더딘 걸음을 걷고 있는 이 시점에서, 한편에서는 앞서 소개한 사례들과 같은 개인정보 활용 사례가 우리 법의 최종 판단기관인 법원에서 용인되었다는 점에서 개인정보의 상업적 이용의 한계와 허용에 관하여 다시 한 번 되짚어 볼 필요가 있다는 생각이 듭니다.
개인정보 보호법은 앞서 나열한 개인정보 보호 법령들과는 달리 그 제목에 “이용”과 “보호”를 함께 규율하지 아니하고, “보호”만을 담고 있습니다. 하지만 현실적으로 개인정보는 “보호”만 해야 할 대상은 아닙니다. 그럼에도 그 이용에 관한 기준은 법원의 판단에 맡겨질 수 밖에 없어 예측가능성이 떨어질 뿐 아니라 앞서 본 사례들을 고려하면 이를 확립된 기준으로 받아들이기도 무리가 있어 보입니다. 그러므로 개인정보 보호법 제정 만 5년을 앞두게 된 이제는 개인정보의 형식적인 보호라는 관점에서 벗어나 그 활용은 어디까지 인정되어야 할까에 대한 논의와 사회적 합의를 위한 노력을 기울여야 할 때라고 보입니다.
<김승한 변호사 주요 약력>
변호사시험 3회
서초중앙 법률사무소 변호사
前 한국인터넷진흥원(KISA), IBK기업은행 정보보호부 변호사
現 행정자치부 개인정보 자율규제 협의회 전문가 위원
;){kind=link}