4개 시민단체, 개인정보 보호 완화한 정보통신망법 개정안 입법예고의견서 제출

일부 조항 2008년 이전으로 후퇴하는 등 기업에 유리한 개정안에 반대
고객 모르게 개인정보 판매되는 현실 개선할 방안 선행되어야

경실련 시민권익센터, 녹색소비자연대 ICT소비자정책연구소, 진보네트워크센터, 참여연대 민생희망본부는 오늘(11/2) 방송통신위원회의 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 일부개정안 입법예고에 대한 의견서를 제출하였다. 

이들 단체는 홈플러스와 롯데(우리)홈쇼핑 사건에서 볼 수 있듯이, 고객 모르게 개인정보가 판매되는 현실이 우선 개선되어야 한다고 지적하였다. 그런 점에서 ‘개인정보 유상 제공 여부’에 대해 이용자에게 고지하도록 규정하는 것에 대하여 찬성하였다.

그러나 개정안의 나머지 부분은 이용자 권리 보장보다 기업에 유리한 개인정보 보호 완화에 치중되어 있다는 점에서 반대하였다. 

우선 ‘서비스 개선’을 이유로 동의 없이 이용자의 개인정보를 수집·이용할 수 있도록 개정하는 것은 기업이 자의적으로 해석하여 이용자 권리를 제한할 수 있다.

또 현행 동의 철회권을 처리정지 요구권으로 변경하고 거절 사유를 폭넓게 인정한 것 역시 이용자 권리에 대한 침해가 우려된다. 기업의 이익을 위해 이용자의 처리정지 요구가 거절될 수 있을 뿐더러, 처리정지 요구에도 불구하고 계속 이용하거나 제3자에게 제공하는 기업을 처벌하는 규정을 두지 않았다. 

기업에 대하여 이용자가 개인정보의 열람 등을 요구하는 방법을 개인정보 수집방법보다 쉽게 하도록 한 현행 규정은 제대로 지켜지지 않고 있다는 지적을 받아 왔다. 그런데도 개정안은 이에 대한 시정이나 개선에 나서기보다 오히려 방법을 표시, 고지하는 것으로 사업자의 의무를 한정한 것 역시 기업 편의를 봐준 것으로 보인다.

전반적으로 2007년 이전의 조항으로 후퇴하는 조항이 많았다는 점도 문제이다.

개인정보 유출과 오남용이 기승을 부리자 2007년 이후 국회는 우리나라 정보통신망의 상황을 특별히 고려한 보호 규정을 도입하는 내용으로 몇 차례 정보통신망법을 개정하였다. 그 가운데 정보통신서비스의 제공에 관한 계약을 이행하기 위하여 필요한 개인정보로서 경제적ㆍ기술적인 사유로 통상적인 동의를 받는 것이 뚜렷하게 곤란한 경우에 한해 사전동의 예외를 인정하고, 개인정보 처리위탁시 이용자가 동의하도록 하였으며(이상 2007년), 사전동의 위반에 대해 형사처벌에 처하는 조항(2008년) 등이 도입되었다.

그런데 이번 개정안은 위 규정들을 모두 이전으로 후퇴하였다. 서비스 계약을 체결 또는 이행하기 위하여 불가피한 경우 사전동의의 예외로 삼고, 개인정보 처리위탁시 이용자 동의권을 박탈하였으며, 사전동의 위반에 대한 형벌 적용기준을 완화하였다.

국민 개인정보가 여전히 글로벌한 인터넷에 유출되어 있는 상황에서 이를 이전 기준으로 후퇴하겠다는 것은, 당시 국회의 법률 개정 취지에 반하는 것이다. 그러나 개정안은 꼭 그래야만 할 합리적인 이유도 설명하지 않았다.

방송통신위원회는 이번 개정안이 “글로벌 스탠더드”에 맞추기 위함에 있다고 그 취지를 설명하였으나, 실제로는 기업에게 유리한 내용으로 점철되어 있을 뿐, 관련 글로벌 스탠더드는 뚜렷치 않다.

결론적으로 이 개정안은 빅데이터 시대 정보통신서비스 제공자의 개인정보 오남용에 대해 이용자의 불안감이 커지는 데 부응하여 이용자의 권리를 보장하기 보다는, 전반적으로 산업계의 이해를 우선하는 명목으로 현행 규정보다 개인정보 보호를 완화하고 있다는 점에서 이들 단체는 반대 의견을 표하였다. 

<별첨> 의견서

법원, 홈플러스 개인정보 불법매매 인정했으나 배상책임은 미흡

고객정보 2천4백만건 보험사에 넘겨 약 230억원 이득 취한 사건

원고 62명 중 13명에 대해서만 배상책임 인정해, 즉각 항소 예정

고객정보 유출로 인해 피해가 발생하지 않았다는 점 홈플러스가 입증해야

서울중앙지방법원이 지난 7월 20일, 2015년 홈플러스의 고객 개인정보 불법판매로 피해를 입은 시민들의 손해배상청구소송에서 62명의 원고중 13명의 원고에 대해서만 10만원의 피해액을 인정하고 나머지 청구를 기각했다(2015가단73720, 판사 김영희). 참여연대 민생희망본부(본부장: 조형수 변호사)는 고객의 개인정보를 불법매매해 230억원이 넘는 이득을 취한 홈플러스의 범죄행위가 미친 피해를 적극적으로 해석하지 않은 법원의 판단에 유감을 표하며, 즉각 항소하여 소비자들이 합당한 피해구제를 받을 수 있도록 할 것임을 밝힌다.

홈플러스는  2011년부터 2014년까지 고가의 경품행사를 빌미로 수집한 고객들의 개인정보 712만 건을 보험회사 7곳에 148억 원에 불법으로 판매하고, 패밀리카드 회원을 모집하면서 수집한 개인정보 1,694만 건을 보험회사 2곳에 팔아 약 84억 원의 불법 이익을 취했다. 관리상 실수가 아닌 돈을 받고 고객의 개인정보를 팔아넘겼다는 점에서 소비자들을 경악케 한 초유의 사건이었다. 이후 참여연대는 공개적으로 모집한 62명의 시민과 함께 2015년 4월 손해배상청구소송을 제기했다.

3년만에 내린 이번 판결을 통해 법원은 원고인 소비자들이 개인정보자기결정권을 침해당했다고 인정하고, 홈플러스가 “기만적인 또는 부정한 방법으로 개인정보를 취득하거나, 원고들로부터 개인정보 수집․이용에 관한 유효한 동의가 없음에도 고의로 원고들의 개인정보를 마케팅 등을 위해 제휴업체에 제공하였다는 점에서 불법성이 크다”고 지적했다. 또  소비자들이 “자신들이 원하지 않는데도 불구하고 자신들의 개인정보를 제3자가 알게 될 수 있다는 불안감 또는 이를 영업에 활용함으로써 자신들이 영리행위의 대상으로만 취급되고 있다는 불쾌감을 갖는 상황에 처하게 되었다”고 하면서 소비자들의 정신적 피해를 인정했다. 그러나 배상책임에 있어서는 13명의 원고에 대해서만 각 10만원으로 인정하고, 나머지 49명의 원고에 대해서는 제3자정보제공 사실이 확인되지 않는다는 이유로 배상책임을 인정하지 않았다.

소비자 입장에서는 개인정보 매매라는 심각한 범죄행위를 인정하면서도 정작 피해의 범위와 정도에 대해서는 소극적으로 판단한 법원의 판결을 납득하기 어렵다. 법원은 홈플러스측이 모든 패밀리카드 회원의 개인정보 1,694만 건을 보험사에게 제공한 사실이 인정되었음에도 불구하고 원고들 중 49명에 대해서는 보험사에게 정보가 제공되었는지 여부를 구체적으로 확인할 수 없다는 이유로 인정하지 않았다. 홈플러스는 패밀리카드 회원의 모든 정보를 보험사에게 유상판매 목적으로 제공하였고, 보험회사는 이를 필터링하여 영업의 대상이 될 수 있는 개인정보만 필터링하였는데, 고객의 개인정보가 유상판매 목적으로 제공된 사실이 확인된 이상 원고들의 개인정보가 이에 포함되어 있지 않다는 점에 대해서는 이를 유상판매 대상으로 삼은 홈플러스측이 입증하도록 요구하는 것이 맞다. 만일 1심 법원이 판단한 논리에 따른다면, 홈플러스 패밀리카드 회원은 개인별로 자신의 개신정보가 유상판매의 대상이 되었는지 여부를 일일이 확인해야만 하는데, 소송과정에서 홈플러스측이 협조하지 않는 이상 이를 입증한다는 것은 사실상 불가능하다. 그 결과 홈플러스처럼 회원들의 개인정보를 유상판매하는 악의적인 행태는 앞으로도 다양한 방식으로 계속될 수 있다는 점에서, 1심 법원의 판단은 여러 모로 매우 미흡하다.

개인정보가 더욱 방대하고 활발하게 수집되는 빅데이터 시대에 기업의 정보윤리가 높은 수준으로 요구되고 있음에도 개인정보 유출사건이 반복되는 데에는 현행 법제도의 허점도 크게 작용한다. 더구나 이번 홈플러스 사건은 단순한 개인정보 유출 사건이 아니라 고객의 개인정보를 돈을 받고 제3자에게 판매한 사건이다. 이와 같은 악의적 행태로 인한 개인정보침해에 대해서는  소비자 개인이 아니라 관련 정보를 모두 보유하고 있는 기업이 입증책임을 부담하는 것이 개인정보보호법의 취지에 부합할 것이다. 그리고 다수의 피해자 발생과 소액의 손해 인정이 많은 개인정보침해사건의 특성에 비추어 미국 등 OECD국가들 처럼 집단소송제도와 최대 10배까지의 징벌적 배상 또한 개인정보보호를 위해 반드시 필요하다. 국회에 소비자집단소송법 등 여러 법안이 계류중이다. 국회는 제도개선 논의를 더 이상 미뤄서는 안 될 것이다.

▣개인정보보호법 관련 조항

제17조(개인정보의 제공) ① 개인정보처리자는 다음 각 호의 어느 하나에 해당되는 경우에는 정보주체의 개인정보를 제3자에게 제공(공유를 포함한다. 이하 같다)할 수 있다.
1. 정보주체의 동의를 받은 경우
2. 제15조제1항제2호·제3호 및 제5호에 따라 개인정보를 수집한 목적 범위에서 개인정보를 제공하는 경우

② 개인정보처리자는 제1항제1호에 따른 동의를 받을 때에는 다음 각 호의 사항을 정보주체에게 알려야 한다. 다음 각 호의 어느 하나의 사항을 변경하는 경우에도 이를 알리고 동의를 받아야 한다.
1. 개인정보를 제공받는 자
2. 개인정보를 제공받는 자의 개인정보 이용 목적
3. 제공하는 개인정보의 항목
4. 개인정보를 제공받는 자의 개인정보 보유 및 이용 기간
5. 동의를 거부할 권리가 있다는 사실 및 동의 거부에 따른 불이익이 있는 경우에는 그 불이익의 내용
③ 개인정보처리자가 개인정보를 국외의 제3자에게 제공할 때에는 제2항 각 호에 따른 사항을 정보주체에게 알리고 동의를 받아야 하며, 이 법을 위반하는 내용으로 개인정보의 국외 이전에 관한 계약을 체결하여서는 아니 된다.

 

제18조(개인정보의 목적 외 이용·제공 제한) ① 개인정보처리자는 개인정보를 제15조제1항에 따른 범위를 초과하여 이용하거나 제17조제1항 및 제3항에 따른 범위를 초과하여 제3자에게 제공하여서는 아니 된다

② 제1항에도 불구하고 개인정보처리자는 다음 각 호의 어느 하나에 해당하는 경우에는 정보주체 또는 제3자의 이익을 부당하게 침해할 우려가 있을 때를 제외하고는 개인정보를 목적 외의 용도로 이용하거나 이를 제3자에게 제공할 수 있다. 다만, 제5호부터 제9호까지의 경우는 공공기관의 경우로 한정한다.
1. 정보주체로부터 별도의 동의를 받은 경우
2. 다른 법률에 특별한 규정이 있는 경우
3. 정보주체 또는 그 법정대리인이 의사표시를 할 수 없는 상태에 있거나 주소불명 등으로 사전 동의를 받을 수 없는 경우로서 명백히 정보주체 또는 제3자의 급박한 생명, 신체, 재산의 이익을 위하여 필요하다고 인정되는 경우
4. 통계작성 및 학술연구 등의 목적을 위하여 필요한 경우로서 특정 개인을 알아볼 수 없는 형태로 개인정보를 제공하는 경우
5. 개인정보를 목적 외의 용도로 이용하거나 이를 제3자에게 제공하지 아니하면 다른 법률에서 정하는 소관 업무를 수행할 수 없는 경우로서 보호위원회의 심의·의결을 거친 경우
6. 조약, 그 밖의 국제협정의 이행을 위하여 외국정부 또는 국제기구에 제공하기 위하여 필요한 경우
7. 범죄의 수사와 공소의 제기 및 유지를 위하여 필요 경우
8. 법원의 재판업무 수행을 위하여 필요한 경우
9. 형(刑) 및 감호, 보호처분의 집행을 위하여 필요한 경우
③ 개인정보처리자는 제2항제1호에 따른 동의를 받을 때에는 다음 각 호의 사항을 정보주체에게 알려야 한다. 다음 각 호의 어느 하나의 사항을 변경하는 경우에도 이를 알리고 동의를 받아야 한다.
1. 개인정보를 제공받는 자
2. 개인정보의 이용 목적(제공 시에는 제공받는 자의 이용 목적을 말한다)
3. 이용 또는 제공하는 개인정보의 항목
4. 개인정보의 보유 및 이용 기간(제공 시에는 제공받는 자의 보유 및 이용 기간을 말한다)
5. 동의를 거부할 권리가 있다는 사실 및 동의 거부에 따른 불이익이 있는 경우에는 그 불이익의 내용
④ 공공기관은 제2항제2호부터 제6호까지, 제8호 및 제9호에 따라 개인정보를 목적 외의 용도로 이용하거나 이를 제3자에게 제공하는 경우에는 그 이용 또는 제공의 법적 근거, 목적 및 범위 등에 관하여 필요한 사항을 행정안전부령으로 정하는 바에 따라 관보 또는 인터넷 홈페이지 등에 게재하여야 한다. 
⑤ 개인정보처리자는 제2항 각 호의 어느 하나의 경우에 해당하여 개인정보를 목적 외의 용도로 제3자에게 제공하는 경우에는 개인정보를 제공받는 자에게 이용 목적, 이용 방법, 그 밖에 필요한 사항에 대하여 제한을 하거나, 개인정보의 안전성 확보를 위하여 필요한 조치를 마련하도록 요청하여야 한다. 이 경우 요청을 받은 자는 개인정보의 안전성 확보를 위하여 필요한 조치를 하여야 한다.

제39조(손해배상책임) ① 정보주체는 개인정보처리자가 이 법을 위반한 행위로 손해를 입으면 개인정보처리자에게 손해배상을 청구할 수 있다. 이 경우 그 개인정보처리자는 고의 또는 과실이 없음을 입증하지 아니하면 책임을 면할 수 없다.
③ 개인정보처리자의 고의 또는 중대한 과실로 인하여 개인정보가 분실·도난·유출·위조·변조 또는 훼손된 경우로서 정보주체에게 손해가 발생한 때에는 법원은 그 손해액의 3배를 넘지 아니하는 범위에서 손해배상액을 정할 수 있다. 다만, 개인정보처리자가 고의 또는 중대한 과실이 없음을 증명한 경우에는 그러하지 아니하다.  
④ 법원은 제3항의 배상액을 정할 때에는 다음 각 호의 사항을 고려하여야 한다.  
1. 고의 또는 손해 발생의 우려를 인식한 정도
2. 위반행위로 인하여 입은 피해 규모
3. 위법행위로 인하여 개인정보처리자가 취득한 경제적 이익
4. 위반행위에 따른 벌금 및 과징금
5. 위반행위의 기간·횟수 등
6. 개인정보처리자의 재산상태
7. 개인정보처리자가 정보주체의 개인정보 분실·도난·유출 후 해당 개인정보를 회수하기 위하여 노력한 정도
8. 개인정보처리자가 정보주체의 피해구제를 위하여 노력한 정도

논평 [원문보기/다운로드]