피고 개인정보보호위원회(의뢰인)는 메타(원고)가 이용자의 개인정보를 제3자에게 무단으로 제공한 행위를 문제 삼아 67억원의 과징금 처분을 내렸습니다. 이에 메타는 과징금 처분을 취소해달라는 취소 소송을 제기하였으나, 본 법인이 개인정보보호위원회를 대리하여 1심과 2심에 이어 대법원 상고심에 이르기까지 모두 승소하였고, 결과적으로 원심판결을 유지하며 메타(원고)에 대한 시정명령 및 과징금 부과 처분이 최종 확정된 사례입니다.
계정 연동 로그인 과정에서 함께 이전된 다른 이용자의 개인정보
글로벌 SNS 플랫폼 운영사는 외부 앱에서 SNS 계정을 이용해 로그인할 수 있는 기능을 제공했습니다. 이용자가 외부 앱의 로그인 화면에서 ‘허용’ 버튼을 누르면 해당 이용자의 정보뿐만 아니라 그 이용자와 연결된 다른 회원들의 개인정보도 외부 앱으로 이전될 수 있도록 시스템이 설계되어 있었습니다.
그러나 정보가 이전된 회원들은 외부 앱을 직접 이용하거나 정보 이전에 동의한 사람이 아니었습니다. 일부 정보는 공개 범위가 ‘친구만 보기’로 설정되어 있었고, 프로필 정보 외에도 관심사, 활동 내역, 위치정보 등 SNS 이용 과정에서 생성된 다양한 정보가 포함될 수 있었습니다. 규제기관은 이러한 행위가 정보주체의 동의 없는 개인정보 제3자 제공에 해당한다고 판단해 시정명령과 과징금 부과 등의 처분을 했고, 플랫폼 운영사는 처분 취소소송을 제기했습니다.
개인정보의 공개와 제3자 제공 동의는 구별해야 합니다
개인정보가 SNS에 게시되거나 특정 회원에게 공개되었다고 하여 제3자에 대한 모든 제공까지 포괄적으로 허용한 것은 아닙니다. 개인정보자기결정권은 자신의 정보가 언제, 누구에게, 어느 범위까지 알려지고 이용될 것인지를 정보주체가 스스로 결정할 수 있는 권리이기 때문입니다.
이미 공개된 개인정보를 이용하는 경우에도 정보주체의 공개 목적, 공개 범위, 정보의 성질, 새로운 제공 상대방과 이용 목적, 사후 통제 가능성 등을 종합적으로 살펴야 합니다. 원래 SNS 친구와 정보를 공유하려는 의사와, 전혀 알지 못하는 외부 앱이 상업적 목적 등으로 정보를 이용하도록 허용하는 의사는 동일하게 평가할 수 없습니다.
특히 구 정보통신망법은 개인정보를 제3자에게 제공할 때 제공받는 자, 이용 목적, 제공 항목, 보유·이용 기간을 정보주체에게 알리고 동의를 받도록 정하고 있었습니다. 여러 정책 문서나 고객센터 안내에 관련 내용이 분산되어 있었다는 사정만으로 이러한 법정 고지 및 동의 절차가 충족되는 것은 아닙니다.
기술적 수단을 설계한 플랫폼도 ‘제공 주체’가 될 수 있습니다
플랫폼 운영사는 실제 정보 이전을 결정한 사람은 외부 앱에 로그인한 이용자이므로 자신이 개인정보 제공의 주체가 아니라고 주장했습니다. 그러나 개인정보 제3자 제공 여부는 버튼을 누른 사람만을 기준으로 형식적으로 판단할 수 없습니다.
법무법인 민후는 플랫폼 운영사가 개인정보를 보유·관리하면서 외부 앱이 해당 정보에 접근할 수 있는 기술적 구조를 설계하고, 이전 가능한 정보 항목과 접근 방식을 정했다는 점을 강조했습니다. 이용자가 로그인 기능을 선택했다는 사정이 있더라도, 정보주체가 아닌 다른 사람의 클릭으로 개인정보가 이전되는 구조를 만든 플랫폼의 행위는 개인정보의 제3자 제공으로 평가되어야 한다는 논리였습니다.
또한 이용자는 자신의 계정으로 외부 앱에 로그인하려 했을 뿐, 연결된 다른 회원들의 개인정보를 어떤 앱에 어떤 범위로 이전할 것인지 구체적으로 결정하지 않았습니다. 따라서 이를 이용자가 주도한 개인정보 이동이나 정보주체로부터 부여받은 포괄적 처분 권한의 행사로 볼 수 없다는 점도 제시했습니다.
적법한 동의는 정보주체의 명확한 인식을 전제로 합니다
법무법인 민후는 개인정보 제3자 제공에 관한 동의가 인정되려면 정보주체가 법정 고지사항을 쉽게 확인하고, 자신의 정보가 제3자에게 제공된다는 사실을 명확히 인식한 상태에서 동의해야 한다고 주장했습니다.
이 사건에서는 정책 문서, 도움말, 공개 범위 설정 도구 등이 서로 다른 경로에 배치되어 있었고, 외부 앱 로그인 시점과도 분리되어 있었습니다. 일부 화면에는 외부 앱의 이용 목적이나 개인정보 보유기간이 표시되지 않았으며, 실제 제공될 수 있는 개인정보 항목과 안내된 항목 사이에도 차이가 있었습니다. 이러한 사정만으로 정보주체가 자신의 개인정보 제공에 동의했다고 볼 수 없다는 점을 구체적으로 설명했습니다.
시정명령과 과징금 산정의 적법성도 함께 방어
플랫폼 운영사는 일부 외부 앱이 이미 정보를 삭제했거나 운영을 종료했으므로 개인정보 삭제 관련 시정명령이 불명확하거나 이행 불가능하다고 주장했습니다. 이에 법무법인 민후는 시정명령의 내용이 특정 앱의 정보를 무조건 삭제하라는 것이 아니라, 외부 앱에 제공된 개인정보의 삭제 방안을 규제기관과 협의하여 이행하라는 취지임을 밝혔습니다. 정보 제공 구조 전체에서 발생한 침해 상태를 제거하기 위한 조치라는 점도 강조했습니다.
과징금 산정과 관련해서는 위반행위가 단순히 계정 연동 로그인 기능에만 관계된 것이 아니라, 피해 정보주체의 개인정보를 보유·관리한 SNS 서비스 전체와 연결되어 있다는 점을 주장했습니다. 위반행위와 관련된 서비스의 범위는 개인정보가 실제로 보유·관리된 서비스를 기준으로 판단해야 하므로, 전체 서비스의 국내 매출을 기초로 한 과징금 산정이 적법하다는 논리를 제시했습니다.
항소와 상고가 모두 기각되어 처분의 적법성이 확정
항소심 법원은 법무법인 민후의 주장을 받아들여 플랫폼 운영사의 항소를 기각했습니다. 법원은 플랫폼 운영사가 정보주체의 개인정보에 외부 앱이 접근할 수 있는 기술적 수단을 적극적으로 마련한 이상 개인정보를 제3자에게 제공한 것으로 평가할 수 있다고 판단했습니다.
대법원도 플랫폼 운영사가 정보통신서비스 제공자에 해당하고, 다른 회원들의 개인정보를 외부 앱에 이전한 행위가 구 정보통신망법상 개인정보의 제3자 제공에 해당한다고 보았습니다. 나아가 해당 정보가 이미 공개된 정보라고 하더라도 별도의 동의 없이 외부 앱에 제공한 것은 객관적으로 인정되는 동의 범위를 벗어나 개인정보자기결정권을 침해한 행위라고 판단했습니다.
결국 플랫폼 운영사의 상고가 기각되면서 시정명령과 과징금 처분의 적법성이 최종적으로 확정되었습니다. 이 판결은 온라인 플랫폼이 개인정보 이전 기능을 기술적으로 설계·운영한 경우, 이용자의 클릭을 이유로 개인정보 보호 책임을 벗어날 수 없다는 점을 확인했다는 데 의미가 있습니다.
◐ 이 사례 관련 법 조문
- 구 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제2조 제1항 제3호
이 법에서 사용하는 용어의 뜻은 다음과 같다.
3. “정보통신서비스 제공자”란 「전기통신사업법」 제2조제8호에 따른 전기통신사업자와 영리를 목적으로 전기통신사업자의 전기통신역무를 이용하여 정보를 제공하거나 정보의 제공을 매개하는 자를 말한다. - 구 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제3조 제1항
과학기술정보통신부장관 또는 방송미디어통신위원회는 정보통신망의 이용촉진 및 안정적 관리ㆍ운영과 이용자 보호 등(이하 “정보통신망 이용촉진 및 정보보호등”이라 한다)을 통하여 정보사회의 기반을 조성하기 위한 시책을 마련하여야 한다. - 「행정소송법」 제8조 제2항
행정소송에 관하여 이 법에 특별한 규정이 없는 사항에 대하여는 법원조직법과 민사소송법 및 민사집행법의 규정을 준용한다. - 「민사소송법」 제420조 본문
판결이유를 적을 때에는 제1심 판결을 인용할 수 있다. 다만, 제1심 판결이 제208조제3항에 따라 작성된 경우에는 그러하지 아니하다.
◐ 이 사례의 관련 판례
- 대법원 2016. 6. 28. 선고 2014두2638 판결
정보통신서비스 제공자가 이용자로부터 개인정보 수집․제공에 관하여 정보통신망법에 따라 적법한 동의를 받기 위하여는, 이용자가 개인정보 제공에 관한 결정권을 충분히 자유롭게 행사할 수 있도록, 정보통신서비스 제공자가 미리 해당 인터넷 사이트에 통상의 이용자라면 용이하게 법정 고지사항의 구체적 내용을 알아볼 수 있을 정도로 법정 고지사항 전부를 명확하게 게재하여야 한다.
아울러, 법정 고지사항을 게재하는 부분과 이용자의 동의 여부를 표시할 수 있는 부분을 밀접하게 배치하여 이용자가 법정 고지사항을 인지하여 확인할 수 있는 상태에서 개인정보의 수집․제공에 대한 동의 여부를 판단할 수 있어야 하고, 그에 따른 동의의 표시는 이용자가 개인정보의 수집․제공에 동의를 한다는 명확한 인식 하에 행하여질 수 있도록 그 실행방법이 마련되어야 한다.
- 대법원 2023. 6. 29. 선고 2018도1917 판결
개인정보처리자가 개인정보를 수집함에 있어서는 어디까지나 ｢개인정보 보호법｣ 제15조 제1항 제1호에 따른 정보주체의 동의를 받는 경우가 원칙적인 모습이 되어야 하고, 정보주체의 동의가 없는 개인정보의 수집은 예외적으로만 인정되어야 하므로 그 요건 또한 가급적 엄격히 해석되어야 한다.
- 대법원 2014. 7. 24. 선고 2012다49933 판결
개인정보자기결정권의 보호대상이 되는 개인정보는 개인의 신체, 신념, 사회적 지위, 신분 등과 같이 개인의 인격주체성을 특징짓는 사항으로서 개인의 동일성을 식별할 수 있게 하는 일체의 정보라고 할 수 있고, 반드시 개인의 내밀한 영역에 속하는 정보에 국한되지 않고 공적 생활에서 형성되었거나 이미 공개된 개인정보까지 포함한다.
- 대법원 2016. 8. 17. 선고 2014다235080 판결
정보주체의 동의가 있었다고 인정되는 범위 내인지는 공개된 개인정보의 성격, 공개의 형태와 대상 범위, 그로부터 추단되는 정보주체의 공개 의도 내지 목적뿐만 아니라, 정보처리자의 정보제공 등 처리의 형태와 정보제공으로 공개의 대상 범위가 원래의 것과 달라졌는지, 정보제공이 정보주체의 원래의 공개 목적과 상당한 관련성이 있는지 등을 검토하여 객관적으로 판단하여야 한다.
- 대법원 2017. 4. 7. 선고 2016도13263 판결
개인정보의 ‘제3자 제공’은 본래의 개인정보 수집·이용 목적의 범위를 넘어 정보를 제공받는 자의 업무처리와 이익을 위하여 개인정보가 이전되는 경우인 반면, 개인정보 보호법 제26조와 정보통신망법 제25조에서 말하는 개인정보의 ‘처리위탁’은 본래의 개인정보 수집·이용 목적과 관련된 위탁자 본인의 업무 처리와 이익을 위하여 개인정보가 이전되는 경우를 의미한다.
- 대법원 2023. 10. 12. 선고 2022두68923 판결
과징금 부과기준 제4조 제1항은 관련 매출액을 “위반행위로 인하여 직접 또는 간접적으로 영향을 받는 서비스의 직전 3개 사업연도의 연평균 매출액”으로 정하였고, 같은 조 제2항은 관련 매출액 산정 시 서비스의 범위는 서비스 제공방식, 서비스 가입방법, 이용약관에서 규정한 서비스 범위, 개인정보 데이터베이스 관리 조직․인력 및 시스템 운영 방식 등을 고려하여 판단한다고 정하고 있다. ··· (중 략) ··· 위 과징금 부과를 위한 관련 매출액을 산정함에 있어 “위반행위로 인하여 직접 또는 간접적으로 영향을 받는 서비스”의 범위는, 유출사고가 발생한 개인정보를 보유․관리하고 있는 서비스의 범위를 기준으로 판단하여야 한다.
