개인정보 보호법 위반은 이제 기업이나 개인 모두에게 치명적인 법적 리스크가 되었다. 실제 법원 판결을 통해 어떤 행위가 위반에 해당하는지, 그리고 어떤 처벌이 내려지는지 구체적으로 살펴보자. 공개된 개인정보 무단 수집부터 대규모 유출 사고까지, 실제 판례를 분석하면서 우리가 주의해야 할 지점을 짚어본다.
공개된 개인정보도 보호 대상이다
많은 사람들이 오해하는 부분이 있다. 인터넷에 이미 공개된 정보라면 자유롭게 수집하고 이용해도 된다는 생각 말이다. 하지만 서울중앙지방법원 2013나49885 판결은 이러한 통념을 정면으로 반박한다.
해당 사건에서 피고 업체들은 인터넷에 공개된 개인정보를 수집해 제3자에게 유료로 제공하는 사업을 운영했다. 이들은 “이미 공개된 정보”라는 점을 주요 항변으로 내세웠다. 그러나 법원은 공개된 개인정보라 하더라도 정보주체의 동의 없이 영리 목적으로 수집하고 제공하는 것은 개인정보자기결정권을 침해하는 불법행위라고 판단했다.
특히 개인정보 보호법은 공개된 개인정보와 비공개된 개인정보를 구분하지 않는다. 법원은 “우리 법제상 공개된 개인정보의 경우 이를 제한 없이 처리할 수 있다는 취지의 법률 조항은 존재하지 않는다”고 명확히 밝혔다. 정보주체가 특정 목적으로 공개한 정보를 전혀 다른 목적으로 수집하고 판매하는 것은 명백한 위반이다.
영업 목적 개인정보 제공의 법적 책임
개인정보를 수집해 제공하는 것 자체를 영업으로 삼는 경우, 법적 책임은 더욱 무겁다. 앞서 언급한 판결에서 피고들은 개인정보 제공 대가로 받은 금액이 사이트 운영 최소 비용이라고 주장했다. 하지만 법원은 이를 인정하지 않았다.
피고 1은 2000년부터 2009년까지 약 9년간, 피고 2는 2004년부터 2008년까지, 피고 5는 2010년부터 개인정보 보호법 시행 전날까지 각각 개인정보를 유료로 제공했다. 법원은 이들의 행위를 영업성이 있는 불법행위로 판단하고 손해배상 책임을 인정했다.
여기서 중요한 것은 개인정보처리자의 범위다. 개인정보 보호법은 ‘업무를 목적으로 개인정보파일을 운용하기 위하여 개인정보를 처리하는 자’를 개인정보처리자로 규정한다. 체계적으로 개인정보를 수집하고 제공하는 사업자라면 당연히 이에 해당하며, 더 높은 수준의 법적 의무를 부담한다.
대규모 개인정보 유출 사고의 처벌
실제 개인정보 보호법 위반 사례 중 상당수는 대규모 유출 사고와 관련이 있다. 여행 알선업체 하나투어의 사례가 대표적이다. 이 사건에서는 46만 건의 개인정보가 유출되었고, 개인정보 관리책임자와 법인 모두에게 각각 1천만 원의 벌금형이 선고되었다.
그렇다면 실제로 기업들은 어떤 의무를 위반한 것일까? 개인정보 보호법은 개인정보처리자에게 다음과 같은 의무를 부과한다.
- 개인정보의 안전성 확보에 필요한 기술적·관리적·물리적 조치 이행
- 개인정보 관리책임자 지정 및 실질적 관리 체계 구축
- 개인정보 처리방침 공개 및 열람 보장
- 개인정보 유출 시 즉각적인 통지 및 신고 의무
- 내부 관리계획 수립 및 정기적 점검 실시
하나투어 사건의 경우 이러한 안전조치 의무를 제대로 이행하지 않아 대규모 유출 사고가 발생했다. 법원은 개인정보 관리책임자의 개인 책임과 법인의 양벌규정 책임을 모두 인정했다. 특히 개인정보 관리책임자는 형식적 지위가 아니라 실질적인 관리 의무를 부담한다는 점을 명확히 했다.
동의 없는 개인정보 처리의 위법성
개인정보 보호법의 가장 핵심적인 원칙은 정보주체의 동의다. 원칙적으로 개인정보처리자는 정보주체의 동의를 받아야만 개인정보를 수집하고 이용할 수 있다. 그렇다면 어떤 경우에 동의가 유효한 것으로 인정될까?
법원은 유효한 동의의 요건으로 구체성과 명확성을 요구한다. 단순히 “개인정보 수집에 동의합니다”라는 포괄적 동의만으로는 부족하다. 수집 목적, 수집 항목, 보유 기간, 제3자 제공 여부 등이 명확히 고지되고 이에 대한 구체적 동의가 있어야 한다.
실무에서 자주 문제가 되는 것은 목적 외 이용이다. 회원가입 시 서비스 제공 목적으로 동의받은 개인정보를 마케팅 목적으로 활용하는 경우가 대표적이다. 이는 명백한 개인정보 보호법 위반이며, 별도의 동의 없이는 허용되지 않는다.
| 위반 유형 | 법정 형량 | 실제 선고 사례 |
|---|---|---|
| 개인정보 무단 수집·이용 | 5년 이하 징역 또는 5천만 원 이하 벌금 | 벌금 1천만 원 (하나투어 사건) |
| 개인정보 무단 제3자 제공 | 5년 이하 징역 또는 5천만 원 이하 벌금 | 손해배상 책임 인정 (서울중앙지법 사건) |
| 안전조치 의무 위반 | 2년 이하 징역 또는 2천만 원 이하 벌금 | 법인·개인 각 벌금형 |
| 개인정보 유출 미통지 | 3천만 원 이하 과태료 | 과태료 부과 및 시정명령 |
실무에서 주의해야 할 사항들
개인정보 보호법 위반을 예방하려면 어떻게 해야 할까? 실제 판례를 분석해보면 몇 가지 공통된 주의점이 드러난다.
첫째, 공개된 정보라도 무단 수집은 금지된다. 소셜미디어나 웹사이트에 공개된 이메일 주소, 전화번호를 스크래핑하여 영업에 활용하는 것은 위법이다. 정보주체가 특정 맥락에서 공개한 정보를 전혀 다른 목적으로 수집하는 것은 개인정보자기결정권 침해에 해당한다.
둘째, 개인정보 관리 체계를 실질적으로 구축해야 한다. 형식적으로 개인정보 관리책임자만 지정하고 실제 관리는 방치하는 경우가 많다. ▲ 접근 권한 관리 ▲ 암호화 조치 ▲ 정기적 점검 ▲ 직원 교육 등을 체계적으로 시행해야 한다.
셋째, 동의는 구체적이고 명확해야 한다. 약관에 묻혀있는 포괄적 동의 조항은 유효성이 인정되지 않을 가능성이 크다. 수집 목적별로 명확히 구분하고, 선택적 동의 항목은 반드시 분리해서 받아야 한다. 특히 제3자 제공이나 마케팅 활용의 경우 별도의 명시적 동의가 필수다.
넷째, 유출 사고 발생 시 신속한 대응이 중요하다. 개인정보 유출을 인지한 즉시 정보주체에게 통지하고 개인정보보호위원회에 신고해야 한다. 이를 지연하거나 은폐하려는 시도는 처벌을 가중시키는 요인이 된다.
자주 묻는 질문
공개된 SNS 정보도 개인정보 보호 대상인가?
그렇다. 개인이 SNS에 자발적으로 공개한 정보라 하더라도 이를 무단으로 수집하거나 영리 목적으로 활용하는 것은 개인정보 보호법 위반이다. 정보주체가 특정 목적으로 공개한 정보를 전혀 다른 목적으로 처리하는 것은 개인정보자기결정권 침해에 해당한다. 실제 서울중앙지방법원 판결에서도 이러한 행위에 대해 손해배상 책임을 인정했다.
개인정보 유출 시 법인과 담당자 모두 처벌받나?
양벌규정에 따라 법인과 개인 모두 처벌될 수 있다. 하나투어 사건에서처럼 개인정보 관리책임자 개인과 법인에 각각 벌금형이 선고된다. 다만 법인이 해당 업무에 관해 상당한 주의와 감독을 게을리하지 않은 경우에는 법인의 책임이 면제될 수 있다. 실무적으로는 내부 관리 체계를 철저히 구축하고 기록으로 남겨두는 것이 중요하다.
개인정보 보호법 위반 시 민사 손해배상도 가능한가?
가능하다. 형사처벌이나 과태료와 별개로 정보주체는 민사상 손해배상을 청구할 수 있다. 개인정보 보호법 제39조는 고의 또는 과실로 개인정보를 분실·도난·유출·위조·변조·훼손한 경우 손해배상 책임을 명시하고 있다. 특히 개인정보처리자의 고의나 중대한 과실이 인정되면 실제 손해의 3배까지 배상책임을 질 수 있어 주의가 필요하다.