CONTENTS
- 1. 행정처분에 이의 제기한 M사
- - 과징금 취소 소송 제기한 M사의 주장
- - 과징금 적법하다는 개인정보위의 입장
- 2. 행정처분에 대한 대법원, ‘적법’하다는 결론
- - EU 역시 M사에 3249억원 벌금 부과
- 3. 행정처분 대응하는 대륜의 전략은?
1. 행정처분에 이의 제기한 M사
행정처분에 이의를 제기한 글로벌 빅테크 기업 M사는 당사가 운영하는 SNS 이용자들의 개인정보를 다른 사업자에게 무단으로 제공해 개인정보보호위원회(이하 개인정보위)로부터 67억원의 과징금 처분을 받았습니다.
개인정보위는 2020년 11월 M사가 국내 자사 SNS 이용자 330만 명의 학력, 경력, 출신지, 가족, 결혼∙연애 등 개인정보를 동의 없이 다른 약 1만여 개 사업자들에게 전달한 점을 확인해 이와 같은 행정처분을 내렸던 것인데요.
M사는 다른 사업자에게 제공한 정보는 이미 이용자가 자발적으로 공개한 정보이니 개인정보가 아니며, 국내 개인정보보호법을 위반하지 않았다고 반박했으나 대법원 상고심 역시 기각당했습니다.
과징금 취소 소송 제기한 M사의 주장
1. 개인정보 수집 주체가 아님
M사는 타사 웹사이트나 앱에서 수집된 행태정보는 해당 사업자들이 수집하여 자사에 제공하거나 처리 위탁한 것이므로, 개인정보 수집의 주체는 M사가 아니라고 주장했습니다.
따라서 개인정보 수집 및 이용에 대한 동의는 해당 사업자들이 받아야 하며, M사는 동의 받을 의무가 없다고 주장했습니다.
2. 동의 절차에 문제 없었음을 주장
M사는 자사의 SNS 서비스 가입 시 ‘데이터 정책’에 대한 동의를 받았고, 해당 정책에 정보 수집∙이용 내용이 포함되어 있으므로 법에서 요구하는 요건을 충족했다고 밝혔습니다.
3. 과징금 부과의 위법성 주장
M사는 개인정보위가 과도한 금액을 부과했다고 말하며, 과징금 산정 방식에도 위법성이 있다고 주장했습니다.
과징금 적법하다는 개인정보위의 입장
과징금은 적법하다는 개인정보위의 입장은 이렇습니다.
1. 개인정보 수집의 실질적 주체는 M사라는 주장
M사는 직접 온라인 식별자를 생성해 사용자에게 부여하고, 이를 바탕으로 타사 행태 정보를 수집 및 저장 분석했습니다.
개인정보위는 웹∙사용자들은 이 정보를 보유하지 않았기 때문에 동의의무는 M사에 있다고 주장했습니다.
2. 적법한 동의 없었음을 주장
개인정보위는 M사가 단순히 방대한 데이터 정책을 제시했을 뿐, 법적 고지사항(수집 목적, 항목, 보유 기간 등)을 명확히 하지 않았다고 지적했습니다.
또한 유럽 이용자에겐 제대로 된 동의절차를 제공하면서 국내 이용자에게는 제대로 고지하지 않았다고 강조했습니다.
또한 가입시 자동으로 동의 체크(옵트아웃 방식)으로 처리한 점도 문제가 된다고 지적했습니다.
개인정보위는 이러한 M사의 행태는 개인정보 보호법에서 요구하는 명확한 고지 및 사전 동의 요건을 충족하지 못했다고 판단했습니다.
3. 과징금 부과의 적정성 주장
개인정보위는 M사가 개인정보 수집·이용에 대해 적법한 동의를 받지 않았기 때문에 과징금 부과 대상이라고 판단했습니다.
또한 매출액, 중대성, 위반기간 등을 반영하여 과징금이 산정되었으며, 과거 위반사실이 있으므로 감경도 필요치 않다고 밝혔습니다.
과징금 액수도 법정 상한 내에서 정당하게 결정됐고, 개인정보 자기결정권 보호 차원에서 처분의 공익성도 매우 크다고 주장했습니다.
2. 행정처분에 대한 대법원, ‘적법’하다는 결론
행정처분에 취소소송을 제기한 M사에 대해, 대법원은 1심과 2심의 판단을 따르며 M사의 청구를 기각하는 판결을 내렸습니다.
M사는 해당 행정처분이 부당하다고 2021년 소송을 제기했지만, 2023년 1심, 2024년 2심 모두 패소했고 대법원 상고심 역시 기각당해, 최종 패소가 결정됐습니다.
대법원은 해당 정보가 개인정보에 해당하며, M사가 이용자의 동의 없이 이를 제3자에게 제공한 행위는 개인정보 보호법을 위반한 것이라고 판단했습니다.
개인정보 동의에 필요한 법적 고지사항을 이용자가 알 수 없고, 예상할 수도 없으므로 동의했다고 볼 수 없다는 원심의 판결을 따른 것입니다.
또한 이용자가 정보를 공개했더라도, 서비스 사업자로서 M사에 책무가 있다고 판단했습니다.
개인정보위는 최종 판단에 따라 소송으로 인해 집행정지된 처분 효력이 재개되었으므로, M사에 시정명령 이행을 촉구하고 이행 여부도 점검할 것으로 밝혔습니다.
EU 역시 M사에 3249억원 벌금 부과
지난 4월, EU 역시 M사에 2억유로(약 3249억원)의 벌금을 부과했습니다.
M사 서비스 이용자 중 서비스 이용료를 내지 않을 경우, 광고 목적 데이터 수집에 동의하도록 사실상 강요한 점이 문제가 됐습니다.
해당 조치는 글로벌 빅테크 기업의 시장 지배력을 규제하고 공정하고 경쟁적인 시장을 만들고자 한 ‘디지털 시장법(DMA)’에 근거해 내린 첫 번째 제재입니다.
EU의 트럼프 정부에 대한 관세전쟁의 보복성 대응으로 보인다는 지적도 이어집니다.
3. 행정처분 대응하는 대륜의 전략은?
행정처분이 적법하다는 대법원의 판결에 따라, 이번 행정처분 소송은 대규모 플랫폼 사업자의 개인정보 보호 책임성을 강조한 선례가 될 것으로 보입니다.
정보의 수집 주체가 누구인지, 어떤 경우에 이용자의 명시적 동의를 받아야 하는지, 과징금 산정의 적정성 등은 관련 법령과 판례에 대한 깊은 이해 없이는 판단하기 어려운 영역입니다.
따라서, 기업이 개인정보를 수집·이용하거나 행정처분을 다툴 상황에 처했다면, 개인정보보호법에 대한 전문적인 지식과 실무 경험을 갖춘 변호사의 조력을 받는 것이 좋습니다.
특히 플랫폼 기반 서비스를 운영하는 기업이라면, 서비스 설계 초기 단계에서부터 개인정보 수집·이용 구조에 대한 법적 리스크를 점검하고, 사후 분쟁 발생 시에도 전략적으로 대응할 수 있는 법률 자문을 받아야 합니다.
법무법인 대륜은 🔗개인정보보호법위반 관련 다수의 사건을 경험한 전문 변호사와 🔗기업전문변호사가 팀을 이루어 기업의 비즈니스 리스크 관리에 최선을 다 하고 있습니다.
