경품행사를 통한 개인정보 수집 동의의 적법성과 제3자 제공·처리위탁의 구별

해당판례

대법원 2017. 4. 7. 선고 2016도13263 판결

하급심

제1심인 서울중앙지방법원 2016. 1. 8. 선고 2015고단510 판결과 원심인 서울중앙지방법원 2016. 8. 12. 선고 2016노223 판결은 공소사실을 모두 무죄로 판단하였다.

경품행사에 대해서는 응모권에 법정 고지사항이 기재되어 있고, 약 1mm 크기의 글씨도 읽을 수 있으며, 개인정보를 유상으로 제공한다는 사실까지 고지할 의무는 없다고 보았다. 보험회사에 회원정보를 미리 전달한 행위도 동의를 받을 대상자를 선별하기 위한 처리위탁으로 판단하였다.

대법원은 두 판단을 모두 받아들이지 않았다. 개인정보 판매 목적을 숨긴 광고, 불필요한 정보의 수집, 작은 글씨와 동의 강요 등 전체 과정을 종합하여 부정한 동의 취득 여부를 판단해야 한다고 보았다. 보험회사가 자신의 보험영업을 위해 정보를 선별하고 독자적으로 이용할 수 있었다면 단순한 수탁자로 볼 수 없다고 판단하여 파기환송하였다.

파기환송심인 서울중앙지방법원 2018. 8. 16. 선고 2017노1296 판결은 이를 반영하여 피고인들 모두에게 유죄를 선고하였다.

유통회사 임직원 6명에게 징역 6개월부터 1년까지의 형을 선고하고, 모두 집행유예 2년을 부가하였다.
보험회사 직원 2명에게 각 벌금 700만 원을 선고하였다.
유통회사 법인에 벌금 7,500만 원을 선고하였다.

파기환송심은 개인정보 판매대금에 대한 검사의 추징 요구는 받아들이지 않았다. 범행 후 신설된 특별 몰수·추징 규정은 적용할 수 없고, 당시 형법상 몰수·추징 요건도 충족되지 않는다고 판단하였다. 이후 재상고 및 확정 여부는 제공된 자료에서 확인되지 않는다.

사실관계

유통회사는 보험회사에 판매할 고객정보를 확보하기 위해 고가의 승용차와 보석 등을 내건 경품행사를 진행하였다. 보험회사와는 개인정보를 건당 1,980원에 판매하는 업무제휴약정을 체결하였다.

광고에는 경품과 사은행사 문구가 크게 표시되었으나, 개인정보를 수집하여 보험회사에 제공하는 거래의 실질은 드러나지 않았다. 응모권의 동의 관련 내용은 약 1mm 크기로 인쇄되어 있었고, 경품 추첨에 필요한 연락처 외에 자녀 수, 부모와의 동거 여부 등도 수집하였다. 일부 항목을 기재하지 않거나 동의하지 않으면 추첨에서 제외한다고 고지하였다.

회사는 이러한 경품행사로 약 712만 건의 개인정보를 수집하고, 그중 약 600만 건을 보험회사 등에 판매하여 약 119억 원을 받았다.

별도로 회사는 제3자 제공에 동의하지 않은 기존 회원정보를 보험회사에 먼저 전달하였다. 보험회사가 기존 가입자나 보험가입에 부적합한 사람 등을 걸러내면, 회사는 남은 회원에게 전화하여 제공 동의를 받았다.

보험회사 직원들은 사전 선별을 위해 내려받은 정보를 복사·편집·이용할 수 있었고, 유통회사는 이에 대해 실질적인 관리·감독을 하지 않았다.

법리

일반적인 판단 기준

부정한 동의 취득 여부는 동의서에 법정 항목이 적혀 있는지만으로 판단하지 않는다. 광고와 행사 기획부터 정보 입력 및 동의까지 전체 과정을 살펴, 정보주체의 의사결정에 영향을 주는 기망이나 은폐가 있었는지를 판단해야 한다.

여기에는 적극적인 허위 설명뿐 아니라 중요한 목적을 숨기는 소극적 행위도 포함된다. 수집 목적, 수집 정보와 목적의 관련성, 동의 방식, 법령 준수 여부, 정보의 내용과 규모 등을 종합적으로 고려한다.

제3자 제공과 처리위탁은 정보를 실질적으로 누구의 업무와 이익을 위해 사용하는지에 따라 구별한다. 처리위탁은 위탁자의 업무를 수행하기 위한 것으로, 수탁자는 위탁업무의 대가 외에 개인정보 이용 자체에 관한 독자적인 이익을 갖지 않고 위탁자의 관리·감독을 받아야 한다.

계약 명칭이나 당사자가 붙인 ‘위탁’이라는 표현만으로 법적 성격이 정해지지 않는다. 취득 목적과 방법, 대가의 흐름, 실제 통제 수준, 정보의 이용 필요가 있는 주체 등을 함께 살펴야 한다.

해당 사건에 대한 적용

경품행사는 실질적으로 개인정보를 판매하기 위한 사업이었음에도 단순 사은행사처럼 광고되었다. 응모자는 개인정보 제공이 경품행사 진행에 필요한 절차라고 오인할 가능성이 있었고, 작은 글씨로 기재된 동의사항만으로 그 오인을 바로잡기 어려웠다.

불필요한 정보를 수집하고 동의하지 않으면 추첨에서 제외한 사정까지 종합하면 부정한 방법으로 개인정보와 동의를 취득한 것으로 판단되었다. 약 1mm라는 글자 크기 하나만으로 범죄 성립을 판단한 것은 아니다.

보험회사의 사전 선별은 자신의 보험영업에 적합한 고객을 골라내는 업무였다. 보험회사는 독자적인 영업상 이익을 가졌고, 정보를 내려받은 뒤 유통회사의 실질적인 통제도 받지 않았다. 따라서 유통회사를 위한 단순 처리위탁으로 볼 수 없었다. 이후 전화로 동의를 받았다는 사정도 이미 이루어진 무동의 제공을 적법하게 바꾸지는 못하였다.

대법원은 절차상으로도 당시 CD에만 저장하여 제출한 범죄일람표 부분은 공소사실 특정에 문제가 있다고 지적하였다. 파기환송심에서는 검사가 범죄일람표 전체를 종이문서로 제출하는 등 공소사실을 보완한 후 유죄 판단이 이루어졌다.

실무적 유의점

동의서 검토는 광고·신청 화면·현장 안내까지 포함해야 한다. 법정 고지사항이 기재되어 있어도 전체 흐름이 이용자를 오인하게 만들면 부정한 동의 취득으로 평가될 수 있다.
경품 운영에 필요한 정보와 제휴사 마케팅에 필요한 정보를 구분해야 한다. 불필요한 정보의 제공이나 마케팅 동의를 경품 참여의 필수조건으로 설정하였는지가 주요 쟁점이 된다.
고객명단을 외부 업체에 보내 중복 여부나 영업 적합성을 확인하는 단계에서도 제3자 제공이 성립할 수 있다. 최종 마케팅 전에 동의를 받을 예정이라는 이유로 사전 전달이 정당화되지는 않는다.
위탁계약에는 처리 목적·범위, 독립적 이용금지, 접근권한, 복사·재제공 제한, 반환·파기 및 감독 권한을 구체적으로 정하고 실제로 집행해야 한다. 수령자가 자신의 영업을 위해 정보를 사용한다면 제3자 제공에 해당할 가능성을 별도로 검토해야 한다.
형사분쟁에서는 광고 원본, 응모권, 동의 화면, 제휴계약, 대금 정산자료, 정보 전달·다운로드 기록, 관리·감독 자료가 중요하다. 수령자 측도 동의가 없음을 알면서 영리 목적으로 제공받았는지에 따라 책임을 질 수 있다.
몰수·추징은 범행 시점의 법률과 기소된 행위의 범위를 확인해야 한다. 이 사건의 추징 불인정은 당시 법령과 공소사실에 따른 결론이다.

경품행사를 통한 개인정보 수집 동의의 적법성과 제3자 제공·처리위탁의 구별

해당판례

관련판례

관련법령

사실관계

법리

실무적 유의점