오픈마켓 판매자의 개인정보처리자 지위와 플랫폼의 관리·감독 의무

해당판례

서울고등법원 2023. 9. 1. 선고 2022누54360 판결

대법원 2023. 12. 28. 선고 2023두54778 판결로 심리불속행 상고기각되어 확정되었다. 아래 법리는 서울고등법원이 설시한 내용이며, 대법원이 별도의 판결 이유로 제시한 법리는 아니다.

하급심

서울행정법원 2022. 7. 8. 선고 2021구합78848 판결은 개인정보보호위원회가 플랫폼 운영자에게 부과한 시정조치명령을 취소하였다.

서울고등법원은 판매자가 플랫폼의 지휘·감독을 받는 개인정보취급자에 해당하지 않는다고 판단하여 개인정보보호위원회의 항소를 기각하였다. 판매자는 자신의 상품 판매를 위해 구매자의 개인정보를 제공받는 제3자이자 독립된 개인정보처리자이므로, 플랫폼 내부의 개인정보취급자에 관한 관리·감독 의무를 판매자에게 그대로 적용할 수 없다는 취지이다.

대법원은 개인정보보호위원회의 상고를 심리불속행으로 기각하였다. 이에 시정조치명령을 취소한 결론이 확정되었으며, 파기환송심은 없다.

사실관계

원고는 오픈마켓을 운영하는 통신판매중개업자로서 판매자와 구매자가 온라인에서 상품을 거래할 수 있는 플랫폼을 제공하였다. 구매자의 회원가입이나 주문·결제 과정에서 개인정보의 제3자 제공에 관한 동의를 받고, 구매자의 성명·연락처·배송지 주소 등을 판매자에게 제공하였다. 판매자는 이를 자신의 상품 배송 등에 이용하였다.

판매자는 계정과 비밀번호를 입력하여 플랫폼에 접속하고, 자신의 거래에 필요한 구매자 정보를 확인할 수 있었다. 약관에는 구매자 정보의 목적 외 이용금지와 개인정보 보호에 관한 판매자의 의무가 규정되어 있었다.

개인정보보호위원회는 판매자를 원고의 지휘·감독을 받는 개인정보취급자로 보았다. 이에 판매자의 외부 접속에 추가적인 안전한 인증수단을 적용하지 않은 점 등을 문제 삼아, 원고에게 안전한 인증수단 적용과 정기교육 등의 시정조치를 명하였다.

원고는 판매자가 자신의 영업을 위해 정보를 제공받는 독립된 사업자이므로 개인정보취급자를 전제로 한 시정조치가 위법하다고 다투었다.

법리

일반적인 판단 기준

개인정보취급자는 반드시 개인정보처리자와 고용계약을 체결한 사람으로 한정되지 않는다. 다만 법령이나 계약에 따라 개인정보처리자를 위하여 그 의사와 지휘·감독 아래 개인정보 처리업무를 수행하는 관계가 있어야 한다.

시스템 접근권한을 부여하거나 이용약관으로 정보의 사용 범위를 제한하는 것만으로 이러한 관계가 성립하지는 않는다. 개인정보를 누구의 업무와 이익을 위해 처리하는지, 처리업무에 대한 실질적인 지휘·감독 권한이 누구에게 있는지를 살펴야 한다.

개인정보의 제공은 파일을 전송하거나 출력물을 전달하는 경우에 한정되지 않는다. 제3자에게 시스템상 접근권한을 부여하여 정보를 확인하게 하는 방식도 포함된다. 따라서 시스템에서 정보를 열람한다는 사정만으로 내부 개인정보취급자가 되는 것은 아니다.

침익적 행정처분의 근거규정은 엄격하게 해석해야 한다. 행정기관의 해설서만을 근거로 법령상 개인정보취급자의 범위를 확장할 수 없다.

해당 사건에 대한 적용

판매자는 원고의 업무를 대신 수행한 것이 아니라 자신의 상품을 판매하고 배송하기 위해 구매자 정보를 이용하였다. 계정·비밀번호 입력, 접근기간 제한, 목적 외 이용금지 등의 제약은 플랫폼 이용계약에 따른 제한으로서, 종속적인 업무 수행관계를 인정할 근거가 되지 않았다.

정보 제공 방식도 내부 직원의 업무 수행과 구별되었다. 판매자는 외부 이용자로서 웹서버를 통하여 필요한 주문정보를 제공받았으며, 원고의 내부 데이터베이스 서버 자체에 대한 접근권한을 부여받은 것은 아니었다.

법원은 판매자가 정보를 내려받기 전에는 개인정보취급자이고 내려받은 뒤에는 제3자가 된다는 개인정보보호위원회의 주장도 배척하였다. 이 사건 정보처리 관계에서 판매자는 처음부터 자신의 판매업무를 위해 개인정보를 제공받는 제3자였다.

따라서 판매자를 원고의 개인정보취급자로 전제한 시정조치명령은 처분사유가 인정되지 않아 위법하다고 판단하였다. 판매자는 별개의 개인정보처리자로서 자신의 개인정보 보호 의무를 부담한다.

실무적 유의점

플랫폼과 입점업체의 관계는 계약 명칭보다 실제 업무 구조에 따라 판단해야 한다. 거래 당사자, 배송·고객응대의 주체, 정보의 이용 목적, 업무지시 권한 등을 확인할 필요가 있다.
분쟁에서는 약관뿐 아니라 시스템 구성도, 계정별 접근권한, 정보조회·다운로드 방식, 업무지침 등으로 정보처리 관계를 구체적으로 입증해야 한다. 특히 시스템 이용 제한과 업무상 지휘·감독을 구별하여 설명하는 것이 중요하다.
계약에는 개인정보 제공의 목적과 범위, 목적 외 이용금지, 보유기간과 파기, 보안조치, 사고 통지 및 조사 협조 의무를 명확히 정해야 한다. 이러한 보호조항을 두었다는 이유만으로 상대방이 개인정보취급자가 되는 것은 아니다.
플랫폼은 이 판결을 자신의 안전조치 의무 전반을 면제한 것으로 해석해서는 안 된다. 판결은 판매자를 내부 개인정보취급자로 분류하여 부과한 의무를 부정한 것이며, 플랫폼 자체의 개인정보 처리에 관한 의무와 판매자의 독립적인 보호 의무는 각각 검토해야 한다.
시정조치명령을 다툴 때에는 적용 조문의 의무주체, 지휘·감독 관계의 인정 근거, 구체적인 위반행위를 나누어 검토해야 한다. 해설서의 설명이 법령의 문언과 범위를 넘어서는지도 쟁점이 된다.

오픈마켓 판매자의 개인정보처리자 지위와 플랫폼의 관리·감독 의무

해당판례

관련판례

관련법령

사실관계

법리

실무적 유의점