법원, 홈플러스 개인정보 불법매매 인정했으나 배상책임은 미흡

고객정보 2천4백만건 보험사에 넘겨 약 230억원 이득 취한 사건

원고 62명 중 13명에 대해서만 배상책임 인정해, 즉각 항소 예정

고객정보 유출로 인해 피해가 발생하지 않았다는 점 홈플러스가 입증해야

서울중앙지방법원이 지난 7월 20일, 2015년 홈플러스의 고객 개인정보 불법판매로 피해를 입은 시민들의 손해배상청구소송에서 62명의 원고중 13명의 원고에 대해서만 10만원의 피해액을 인정하고 나머지 청구를 기각했다(2015가단73720, 판사 김영희). 참여연대 민생희망본부(본부장: 조형수 변호사)는 고객의 개인정보를 불법매매해 230억원이 넘는 이득을 취한 홈플러스의 범죄행위가 미친 피해를 적극적으로 해석하지 않은 법원의 판단에 유감을 표하며, 즉각 항소하여 소비자들이 합당한 피해구제를 받을 수 있도록 할 것임을 밝힌다.

홈플러스는  2011년부터 2014년까지 고가의 경품행사를 빌미로 수집한 고객들의 개인정보 712만 건을 보험회사 7곳에 148억 원에 불법으로 판매하고, 패밀리카드 회원을 모집하면서 수집한 개인정보 1,694만 건을 보험회사 2곳에 팔아 약 84억 원의 불법 이익을 취했다. 관리상 실수가 아닌 돈을 받고 고객의 개인정보를 팔아넘겼다는 점에서 소비자들을 경악케 한 초유의 사건이었다. 이후 참여연대는 공개적으로 모집한 62명의 시민과 함께 2015년 4월 손해배상청구소송을 제기했다.

3년만에 내린 이번 판결을 통해 법원은 원고인 소비자들이 개인정보자기결정권을 침해당했다고 인정하고, 홈플러스가 “기만적인 또는 부정한 방법으로 개인정보를 취득하거나, 원고들로부터 개인정보 수집․이용에 관한 유효한 동의가 없음에도 고의로 원고들의 개인정보를 마케팅 등을 위해 제휴업체에 제공하였다는 점에서 불법성이 크다”고 지적했다. 또  소비자들이 “자신들이 원하지 않는데도 불구하고 자신들의 개인정보를 제3자가 알게 될 수 있다는 불안감 또는 이를 영업에 활용함으로써 자신들이 영리행위의 대상으로만 취급되고 있다는 불쾌감을 갖는 상황에 처하게 되었다”고 하면서 소비자들의 정신적 피해를 인정했다. 그러나 배상책임에 있어서는 13명의 원고에 대해서만 각 10만원으로 인정하고, 나머지 49명의 원고에 대해서는 제3자정보제공 사실이 확인되지 않는다는 이유로 배상책임을 인정하지 않았다.

소비자 입장에서는 개인정보 매매라는 심각한 범죄행위를 인정하면서도 정작 피해의 범위와 정도에 대해서는 소극적으로 판단한 법원의 판결을 납득하기 어렵다. 법원은 홈플러스측이 모든 패밀리카드 회원의 개인정보 1,694만 건을 보험사에게 제공한 사실이 인정되었음에도 불구하고 원고들 중 49명에 대해서는 보험사에게 정보가 제공되었는지 여부를 구체적으로 확인할 수 없다는 이유로 인정하지 않았다. 홈플러스는 패밀리카드 회원의 모든 정보를 보험사에게 유상판매 목적으로 제공하였고, 보험회사는 이를 필터링하여 영업의 대상이 될 수 있는 개인정보만 필터링하였는데, 고객의 개인정보가 유상판매 목적으로 제공된 사실이 확인된 이상 원고들의 개인정보가 이에 포함되어 있지 않다는 점에 대해서는 이를 유상판매 대상으로 삼은 홈플러스측이 입증하도록 요구하는 것이 맞다. 만일 1심 법원이 판단한 논리에 따른다면, 홈플러스 패밀리카드 회원은 개인별로 자신의 개신정보가 유상판매의 대상이 되었는지 여부를 일일이 확인해야만 하는데, 소송과정에서 홈플러스측이 협조하지 않는 이상 이를 입증한다는 것은 사실상 불가능하다. 그 결과 홈플러스처럼 회원들의 개인정보를 유상판매하는 악의적인 행태는 앞으로도 다양한 방식으로 계속될 수 있다는 점에서, 1심 법원의 판단은 여러 모로 매우 미흡하다.

개인정보가 더욱 방대하고 활발하게 수집되는 빅데이터 시대에 기업의 정보윤리가 높은 수준으로 요구되고 있음에도 개인정보 유출사건이 반복되는 데에는 현행 법제도의 허점도 크게 작용한다. 더구나 이번 홈플러스 사건은 단순한 개인정보 유출 사건이 아니라 고객의 개인정보를 돈을 받고 제3자에게 판매한 사건이다. 이와 같은 악의적 행태로 인한 개인정보침해에 대해서는  소비자 개인이 아니라 관련 정보를 모두 보유하고 있는 기업이 입증책임을 부담하는 것이 개인정보보호법의 취지에 부합할 것이다. 그리고 다수의 피해자 발생과 소액의 손해 인정이 많은 개인정보침해사건의 특성에 비추어 미국 등 OECD국가들 처럼 집단소송제도와 최대 10배까지의 징벌적 배상 또한 개인정보보호를 위해 반드시 필요하다. 국회에 소비자집단소송법 등 여러 법안이 계류중이다. 국회는 제도개선 논의를 더 이상 미뤄서는 안 될 것이다.

▣개인정보보호법 관련 조항

제17조(개인정보의 제공) ① 개인정보처리자는 다음 각 호의 어느 하나에 해당되는 경우에는 정보주체의 개인정보를 제3자에게 제공(공유를 포함한다. 이하 같다)할 수 있다.
1. 정보주체의 동의를 받은 경우
2. 제15조제1항제2호·제3호 및 제5호에 따라 개인정보를 수집한 목적 범위에서 개인정보를 제공하는 경우

② 개인정보처리자는 제1항제1호에 따른 동의를 받을 때에는 다음 각 호의 사항을 정보주체에게 알려야 한다. 다음 각 호의 어느 하나의 사항을 변경하는 경우에도 이를 알리고 동의를 받아야 한다.
1. 개인정보를 제공받는 자
2. 개인정보를 제공받는 자의 개인정보 이용 목적
3. 제공하는 개인정보의 항목
4. 개인정보를 제공받는 자의 개인정보 보유 및 이용 기간
5. 동의를 거부할 권리가 있다는 사실 및 동의 거부에 따른 불이익이 있는 경우에는 그 불이익의 내용
③ 개인정보처리자가 개인정보를 국외의 제3자에게 제공할 때에는 제2항 각 호에 따른 사항을 정보주체에게 알리고 동의를 받아야 하며, 이 법을 위반하는 내용으로 개인정보의 국외 이전에 관한 계약을 체결하여서는 아니 된다.

 

제18조(개인정보의 목적 외 이용·제공 제한) ① 개인정보처리자는 개인정보를 제15조제1항에 따른 범위를 초과하여 이용하거나 제17조제1항 및 제3항에 따른 범위를 초과하여 제3자에게 제공하여서는 아니 된다

② 제1항에도 불구하고 개인정보처리자는 다음 각 호의 어느 하나에 해당하는 경우에는 정보주체 또는 제3자의 이익을 부당하게 침해할 우려가 있을 때를 제외하고는 개인정보를 목적 외의 용도로 이용하거나 이를 제3자에게 제공할 수 있다. 다만, 제5호부터 제9호까지의 경우는 공공기관의 경우로 한정한다.
1. 정보주체로부터 별도의 동의를 받은 경우
2. 다른 법률에 특별한 규정이 있는 경우
3. 정보주체 또는 그 법정대리인이 의사표시를 할 수 없는 상태에 있거나 주소불명 등으로 사전 동의를 받을 수 없는 경우로서 명백히 정보주체 또는 제3자의 급박한 생명, 신체, 재산의 이익을 위하여 필요하다고 인정되는 경우
4. 통계작성 및 학술연구 등의 목적을 위하여 필요한 경우로서 특정 개인을 알아볼 수 없는 형태로 개인정보를 제공하는 경우
5. 개인정보를 목적 외의 용도로 이용하거나 이를 제3자에게 제공하지 아니하면 다른 법률에서 정하는 소관 업무를 수행할 수 없는 경우로서 보호위원회의 심의·의결을 거친 경우
6. 조약, 그 밖의 국제협정의 이행을 위하여 외국정부 또는 국제기구에 제공하기 위하여 필요한 경우
7. 범죄의 수사와 공소의 제기 및 유지를 위하여 필요 경우
8. 법원의 재판업무 수행을 위하여 필요한 경우
9. 형(刑) 및 감호, 보호처분의 집행을 위하여 필요한 경우
③ 개인정보처리자는 제2항제1호에 따른 동의를 받을 때에는 다음 각 호의 사항을 정보주체에게 알려야 한다. 다음 각 호의 어느 하나의 사항을 변경하는 경우에도 이를 알리고 동의를 받아야 한다.
1. 개인정보를 제공받는 자
2. 개인정보의 이용 목적(제공 시에는 제공받는 자의 이용 목적을 말한다)
3. 이용 또는 제공하는 개인정보의 항목
4. 개인정보의 보유 및 이용 기간(제공 시에는 제공받는 자의 보유 및 이용 기간을 말한다)
5. 동의를 거부할 권리가 있다는 사실 및 동의 거부에 따른 불이익이 있는 경우에는 그 불이익의 내용
④ 공공기관은 제2항제2호부터 제6호까지, 제8호 및 제9호에 따라 개인정보를 목적 외의 용도로 이용하거나 이를 제3자에게 제공하는 경우에는 그 이용 또는 제공의 법적 근거, 목적 및 범위 등에 관하여 필요한 사항을 행정안전부령으로 정하는 바에 따라 관보 또는 인터넷 홈페이지 등에 게재하여야 한다. 
⑤ 개인정보처리자는 제2항 각 호의 어느 하나의 경우에 해당하여 개인정보를 목적 외의 용도로 제3자에게 제공하는 경우에는 개인정보를 제공받는 자에게 이용 목적, 이용 방법, 그 밖에 필요한 사항에 대하여 제한을 하거나, 개인정보의 안전성 확보를 위하여 필요한 조치를 마련하도록 요청하여야 한다. 이 경우 요청을 받은 자는 개인정보의 안전성 확보를 위하여 필요한 조치를 하여야 한다.

제39조(손해배상책임) ① 정보주체는 개인정보처리자가 이 법을 위반한 행위로 손해를 입으면 개인정보처리자에게 손해배상을 청구할 수 있다. 이 경우 그 개인정보처리자는 고의 또는 과실이 없음을 입증하지 아니하면 책임을 면할 수 없다.
③ 개인정보처리자의 고의 또는 중대한 과실로 인하여 개인정보가 분실·도난·유출·위조·변조 또는 훼손된 경우로서 정보주체에게 손해가 발생한 때에는 법원은 그 손해액의 3배를 넘지 아니하는 범위에서 손해배상액을 정할 수 있다. 다만, 개인정보처리자가 고의 또는 중대한 과실이 없음을 증명한 경우에는 그러하지 아니하다.  
④ 법원은 제3항의 배상액을 정할 때에는 다음 각 호의 사항을 고려하여야 한다.  
1. 고의 또는 손해 발생의 우려를 인식한 정도
2. 위반행위로 인하여 입은 피해 규모
3. 위법행위로 인하여 개인정보처리자가 취득한 경제적 이익
4. 위반행위에 따른 벌금 및 과징금
5. 위반행위의 기간·횟수 등
6. 개인정보처리자의 재산상태
7. 개인정보처리자가 정보주체의 개인정보 분실·도난·유출 후 해당 개인정보를 회수하기 위하여 노력한 정도
8. 개인정보처리자가 정보주체의 피해구제를 위하여 노력한 정도

논평 [원문보기/다운로드]

“천만계좌의 예금, 재벌 금고로 들어가나“

은산분리 규제 완화의 문제점 진단 토론회

일시 및 장소 : 2018년 8월 7일 화요일 오전 9시 30분, 국회의원회관 제1세미나실

주최 : 국회의원 추혜선·정의당 정책위원회·경제정의실천시민연합·참여연대 경제금융센터

1. 취지

정부·여당은 혁신 성장과 고용 촉진 명분을 내걸고 인터넷전문은행에 한해 은산분리 규제 완화를 적극 추진 중입니다. 인터넷전문은행에 국한한다고 하지만 이는 사실상 우회적인 은산분리 규제 완화에 다름없습니다. 게다가 은산분리 규제 완화를 주장하면서도 은산분리 규제 완화의 당위성 및 필요성을 제시하지 못한 채, 은산분리 규제 완화 주장의 논리적 취약성만 드러내고 있습니다. 

이는 은산분리 규제 완화 주장이 충분한 사회적 논의를 거친 것이 아니라 이해당사자 일방의 필요에 의해 제기된 점에서 기인하는 문제이기도 합니다. 예를 들어 ▲계속해서 자본확충에 실패하고 있는 케이뱅크를 부실하게 심사하여 현행 은행법 하에서 은행업을 영위할 능력이 없는 자에게 은행업 인가를 내준 후 이에 대한 책임을 회피하기 위한 수단으로 인터넷전문은행에 대해 은산분리 규제를 완화해야 한다고 주장하고 있는 금융위원회, ▲은산분리를 규정한 현행 은행법 하에서 인가를 받은 은행이면서도 인가 당시부터 끊임없이 은산분리 규제 완화를 주장하며, 부실한 자본확충 능력을 여실히 드러낸 바 있는 케이뱅크, ▲한편으로는 인터넷 전문은행에 대한 은산 분리 완화를 주장하면서 다른 한편으로는 영리병원 설립 허용 등  9건의 규제 개혁 과제를 제시하여 금융 및 의료 분야에서 공공성보다는 영리성을 추구하고자 하는 속내를 드러내고 있는 한국경영자총협회 등이 그 예라고 할 수 있습니다. 

하지만 은산분리 규제는 금융의 공공성 확보 및 재벌·대기업으로의 경제력 집중 방지를 위해 반드시 지켜야 할 원칙일 뿐만 아니라, 금융산업의 건전성 유지라는 금융감독 고유의 목표를 위해서도 매우 중요한 감독원칙입니다. 바로 이런 이유 때문에 "은행업과 상업의 분리(separation of banking and commerce)"는 명시적인 형태이건 실질적인 형태이건 선진국의 금융감독 원리로 오랫동안 자리잡아 왔던 것임. 또한 은산분리 규제 완화는 금융시스템의 안정성을 훼손하여 금융소비자 피해를 초래할 우려가 농후합니다. 

이런 문제를 종합적으로 살펴 볼 때 은산분리 규제를 완화하는 것은 금융규제의 근간을 허무는 중요한 문제로 중대하고 명백한 사유가 없는 한 함부로 완화할 수 없습니다. 

이에 은산분리 규제의 역사적 맥락과 정책적 함의를 살펴보고, 금융감독이 업계와 정치권의 요구에 휘둘리고 재벌·대기업으로의 경제력 집중이 심각한 우리 경제구조에서 은산분리 규제가 지속되어야 하는 유효한 원칙임을 확인하고, 은산분리 규제 완화 주장의 문제점을 진단하는 자리를 마련하고자 합니다. 

2. 개요

• 일시 및 장소 : 2018년 8월 7일 화요일 오전 9시 30분, 국회의원회관 제1세미나실
• 주최 : 국회의원 추혜선·정의당 정책위원회·경제정의실천시민연합·참여연대 경제금융센터
• 프로그램
  • 좌장 : 권영준 경실련 공동대표·한국뉴욕주립대 경영학부 교수
  • 발제1. 경제력 집중 관점에서 은산분리 규제의 필요성 : 박상인 서울대 교수·경실련 재벌개혁위원장
  • 발제2. 인터넷전문은행 규제 완화 주장의 문제점: 케이뱅크 사례를 중심으로 : 전성인 홍익대학교 경제학부 교수 
  • 토론
    • 고동원 성균관대학교 법학전문대학원 교수
    • 백주선 변호사·민변 민생경제위원회 위원장
    • 김경율 회계사·참여연대 경제금융센터 소장
    • 정명희 전국금융산업노동조합 정책실장
    • 조대형 입법조사처 금융공정거래팀 입법조사관
    • 금융위원회(섭외 중)