1. 사실관계

원고는 1990년부터 A대학교 교수로 재직 중이고, 피고들은 국내의 인물정보를 직접 수집하거나 다른 사업자들로부터 제공받아 성명, 직업, 직장, 학력, 경력 등의 개인정보를 인터넷상에서 제3자에게 제공하는 인물정보제공 서비스사업을 영위했다.

피고들 중에는 종합법률정보제공 사이트를 운영하는 사업자(이하 동 사업자만을 지칭해 ‘피고’라고 하고, 다른 피고들에 대한 사실관계 설명은 생략함)가 있었다. 피고는 2010년 12월경부터 2012년 7월 사이에 원고의 사진, 성명, 성별, 출생연도, 직업, 직장, 학교, 경력 등의 개인정보를 피고가 운영하는 종합법률정보제공 사이트의 법조인 항목에 올린 다음 ‘유료’(개인정보만 따로 판매하는 방식이 아니라 다른 콘텐츠와 결합해 전체적으로 요금을 받는 방식)로 제3자에게 제공했다.

피고는 원고 개인정보의 수집 및 제공에 대해 원고로부터 동의를 받지 않았다. 그런데 피고가 수집 및 제공한 원고의 개인정보 중 생년월일을 제외한 나머지 정보는 원고가 재직 중인 A대학교 홈페이지에 공개돼 있었다. 원고의 생년월일은 1992년 사립대학교 교원명부(비매품), 1999학년도 A대학교 교수요람(비매품)에 공개돼 있었다. 즉, 피고는 공개된 원고의 개인정보를 수집한 것으로 추정됐다.

원고는 2012년 5월경 피고를 상대로 개인정보자기결정권 침해 등을 주장하며 300만원의 위자료 지급을 구하는 민사소송을 제기했다.

2. 쟁점

가. 이슈

이 사건에서는 피고가 원고의 공개된 개인정보를 원고의 동의 없이 수집해 제3자에게 제공한 행위가 원고의 ①개인정보자기결정권 침해가 되는지 ②그리고 개인정보보호법 위반이 되는지 문제가 됐다.

나. 개인정보자기결정권

개인정보자기결정권이란 자신에 관한 정보가 언제 누구에게 어느 범위까지 알려지고 또 이용되도록 할 것인지를 그 정보주체가 스스로 결정할 수 있는 권리를 말한다. 명문의 법 규정은 없지만 인간의 존엄과 가치, 행복추구권을 규정한 헌법 제10조 제1문에서 도출되는 일반적 인격권 및 헌법 제17조의 사생활의 비밀과 자유에 의해 보장되는 권리다. 개인정보보호권의 보호대상이 되는 개인정보는 개인의 신체, 신념, 사회적 지위, 신분 등과 같이 개인의 인격주체성을 특정 짓는 사항으로서 그 개인의 동일성을 식별할 수 있게 하는 일체의 정보라고 할 수 있다.

반드시 개인의 내밀한 영역에 속하는 정보에 국한되지 않으며, 공적 생활에서 형성됐거나 이미 공개된 개인정보까지 포함한다. 또한 그러한 개인정보를 대상으로 한 조사·수집·보관·처리·이용 등의 행위는 모두 원칙적으로 개인정보 자기 결정권에 대한 제한에 해당한다(대법원 2014. 7. 24. 선고 2012다49933 판결 등 참고).

다. 개인정보보호법

피고는 2010년 12월경부터 2012년 7월 사이에 원고의 개인정보를 제3자에게 제공했는데, 2011년 9월 30일부터 개인정보보호법이 시행됐기 때문에 동법 위반 여부도 문제가 됐다. 국내 개인정보보호법은 개인정보를 살아 있는 개인에 관한 정보로서 성명, 주민등록번호 및 영상 등을 통해 개인을 알아볼 수 있는 정보(해당 정보만으로는 특정 개인을 알아볼 수 없더라도 다른 정보와 쉽게 결합해 알아볼 수 있는 것을 포함)라고 정의하고 있을 뿐(동 법 제2조 제1호), 공개된 개인정보와 그러하지 아니한 개인정보를 구분하고 있지는 않다. 개인정보보호법은 개인정보처리자가 개인정보를 수집하거나, 제3자에게 제공할 경우 원칙적으로 정보주체의 동의를 받도록 요구하고 있다(동 법 제15조 및 제17조).

3. 판결의 요지

가. 원심 : 서울중앙지방법원 2014. 11. 4. 선고 2013나49885 판결

(1) 개인정보자기결정권 침해 관련

법원은 단순히 영리목적으로 공개된 개인정보를 수집해 이를 제3자에게 제공하는 행위를 정보주체의 동의 없이 한 경우에는 설령 정보주체가 공적인 존재라 하더라도 다른 특별한 사정이 없는 한 위법하다고 전제했다.

이러한 전제 하에서 원고는 공적인 존재에 해당하고 피고가 수집 또는 제공한 개인정보 중 생년월일을 제외한 나머지 정보는 이미 공개된 개인정보이고, 대체적으로 공적인 존재인 원고의 직업적 정보에 해당하므로 다른 사람이 이를 불특정 다수의 제3자에게 제공하더라도 원고는 이를 수인할 의무가 있다고 봤다.

다만 생년월일은 공개된 개인정보가 아니고, 공개된 개인정보라고 가정해도 공개 범위가 제한적이어서 이를 수집해 불특정 다수의 제3자에게 제공하는 것은 공개목적을 초과하는 것으로 봤다.

결국 피고가 원고의 개인정보를 유료로 불특정 다수의 제3자에게 제공한 행위는 불법행위에 해당한다고 판단했다.

(2) 개인정보보호법 위반 관련

법원은 피고는 개인정보보호법 소정의 개인정보처리자로서 정보주체의 동의를 받는 등 개인정보보호법에서 인정되는 경우에 한해 원고의 개인정보를 제3자에게 제공할 수 있다. 그러므로 피고가 원고의 동의 없이 개인정보를 불특정 다수의 제3자에게 유료 제공한 행위는 법에 위반된 불법행위에 해당한다고 판단했다

나. 이 사건 판결 : 대법원 2016. 8. 17. 선고 2014다235080 판결

(1) 개인정보자기결정권 침해 관련

대법원은 피고의 행위를 원고의 개인정보자기결정권을 침해하는 위법한 행위로 평가할 수 없다고 판단했다. 대법원은 이미 정보주체의 의사에 따라 공개된 개인정보를 별도 동의 없이 영리목적으로 수집·제공한 경우에는 개인정보에 관한 인격권 보호에 의해 얻을 수 있는 이익과 그 정보처리 행위로 인해 얻을 수 있는 이익을 비교 형량했다.

어느 쪽 이익이 더 우월한 것으로 평가할 수 있는지에 따라 그 정보처리 행위의 최종적인 위법성 여부를 판단해야 하고, 단지 정보처리자에게 영리 목적이 있었다는 사정만으로 곧바로 그 정보처리 행위를 위법하다고 할 수는 없다고 봤다.

그리고 위와 같은 법리를 바탕으로 원고가 공적인 존재라는 점, 원고 개인정보가 가지는 공공성과 공익성, A대학교 홈페이지 등에 의한 공개에서 추단되는 원고의 공개 목적 내지 의도, 원고 개인정보의 성질 및 가치와 이를 활용해야 할 사회·경제적 필요성을 고려했다.

또한 피고가 얻은 이익의 정도와 원고의 이익이 침해될 우려의 정도 등에 피고가 원고의 명시적 의사에 반해 개인정보를 처리한 것은 아닌 점까지 종합적으로 고려, 피고가 영리목적으로 원고의 개인정보를 수집해 제3자에게 제공했더라도 그에 의해 얻을 수 있는 법적 이익이 그와 같은 정보처리를 막음으로써 얻을 수 있는 정보주체의 인격적 법익에 비해 우월하다고 판단했다.

(2) 개인정보보호법 위반 관련

대법원은 피고가 원고의 동의를 받지 안 했다고 해서 개인정보보호법 제15조나 제17조를 위반했다고 볼 수도 없다고 판단했다.

대법원은 이미 공개된 개인정보를 정보주체의 동의가 있었다고 객관적으로 인정되는 범위 내에서 수집·이용·제공 등 처리를 할 때는 정보주체의 별도의 동의는 불필요하다고 봤다. 그러면서 정보주체의 동의가 있었다고 인정되는 범위 내 인지는 공개된 개인정보의 성격, 공개의 형태와 대상 범위를 객관적으로 판단해야 한다는 법리를 제시했다.

또한 추단되는 정보주체의 공개 내지 의도 목적뿐만 아니라 정보처리자의 정보제공 등 처리의 형태와 그 정보제공으로 인해 공개의 대상범위가 원래의 것과 달라졌는지, 그 정보제공이 정보주체의 원래의 공개 목적과 상당한 관련성이 있는지 등을 검토하라고 판결했다.

이러한 법리를 바탕으로 결국 대법원은 피고가 개인정보보호법 제15조나 제17조를 위반했다고 볼 수 없다고 판단했다.

원고가 A대학교 홈페이지에 공개한 개인정보의 성격, 그 공개의 형태와 대상 범위, 그로부터 추단되는 원고의 의도 내지 목적, 피고가 제3자에게 제공한 개인정보가 원고가 공개한 내용과 다르지 않은 점, 피고의 정보제공 목적이 원고의 원래 목적과 상당한 관련성이 있는 점, 피고의 행위로 인해 원고의 개인정보에 대한 인식범위가 원고가 의한 공개 당시와 달라졌다고 볼 수 없는 점 등이 종합적으로 고려됐다.

4. 판결의 의의

개인정보보호법은 개인정보처리자가 개인정보를 수집하거나 제3자에게 제공할 경우 원칙적으로 정보주체의 동의를 받도록 요구하고 있고, 그 외의 경우는 법률에 특별한 규정이 있거나 법령상 의무를 준수하기 위해 불가피한 경우 등에 한해서만 개인정보를 수집하거나 제3자에게 제공이 가능하도록 정하고 있다. 이는 정보주체의 개인정보자기결정권을 보호하는 차원에서는 타당하다. 그러나 한편으로는 관련 산업 발전을 위해서는 좀 더 유연한 접근이 필요하다는 입장도 있다.

예를 들어 빅데이터 산업의 경우 필연적으로 개인정보의 처리가 수반되는데, 개인정보보호법에 따르면 사실상 정보주체로부터 동의를 받지 않는 이상 개인정보를 처리하기는 어렵다.

이 사건 판결은 개인정보보호법에서 규정하고 있지 않는 ‘공개된 개인정보’라는 개념을 인정했고, 단지 정보처리자에게 영리 목적이 있었다는 사정만으로 곧바로 그 정보처리 행위를 위법하다고 할 수는 없다는 점을 확인했다.

이미 공개된 개인정보를 정보주체의 동의가 있었다고 객관적으로 인정되는 범위 내에서 수집·이용·제공 등 처리를 할 때에는 정보주체의 별도의 동의는 불필요하다고 판시했다. 관련 산업에서 개인정보의 이용 가능성을 높였다는 점에서 타당하고 의의가 있다고 본다.

5. 나가며

공개된 개인정보를 이용해 새로운 사업을 하는 것은 여전히 어려운 문제다. 왜냐하면 어떠한 정보가 공개된 개인정보인지, 개인정보의 수집·이용·제공 등 처리가 정보주체의 동의가 있었다고 객관적으로 인정되는 범위 내에 속하는지는 다양한 사실관계를 보고 판단을 해야 하기 때문이다.

개인정보를 이용한 사업은 필연적으로 다수의 개인정보를 수집하게 된다. 다수의 개인정보주체와 많은 분쟁에 휘말리게 될 가능성이 높을 수밖에 없다. 특히 개인정보보호법은 이에 위반하여 제3자에게 개인정보를 제공하는 행위를 형사처벌을 하고 있다(5년 이하의 징역 5천만원 이하 벌금). 결국 이러한 위험을 감안하고 새로운 사업을 해보기로 결정하는 것은 쉽지 않은 문제다.

한편 개인정보보호법은 정보주체의 동의만 받으면, 개인정보의 처리 목적이나 방법 등에 제한이 없이 개인정보를 처리할 수 있다. 일종의 ‘동의 만능주의’에 가깝다. 공개된 개인정보를 이용하는 경우에도 정보주체의 동의를 받으려는 시도를 하게 된다. 이는 사회적으로 불필요한 비용일 것이고, 동의를 받기 위해 여러 편법적인 수단을 동원하게 될 우려도 있다.

4차 산업혁명 시대라고 한다. 개인정보자기결정권을 보호하면서도 새로운 산업발전의 가능성을 열어주는 방향으로의 입법적인 해결을 기대해 본다.