개인정보보호위원회 처분에 불복한 기업들의 행정소송이 잇따르고 있다. 지금까지 1심 판단이 나온 사건에서는 개인정보위가 모두 승소했지만, 기업들은 한 건도 물러서지 않고 전부 항소하며 법정 공방을 이어가는 모습이다.
수십억~수천억 원에 달하는 과징금을 줄이기 위한 목적도 있지만, 맞춤형 광고와 플랫폼 식별정보 관리, 해외 결제망 운영 등 향후 데이터 사업모델의 법적 기준까지 걸려 있어 쉽게 물러설 수 없다는 분석이 나온다.
17건 소송에 대형 로펌 총출동…1심 패소에도 모두 항소
3일 개인정보위에 따르면 올해 7월 기준 개인정보위 처분과 관련해 진행 중인 행정소송은 모두 17건이다.
2023년 2월 메타와 구글이 맞춤형 광고 관련 처분에 불복해 소송을 제기한 것을 시작으로 삼성전자와 카카오, 카카오페이, 현대해상, 악사손해보험, 우리카드, 비와이엔블랙야크, SK텔레콤, 듀오정보 등이 잇달아 법정 다툼에 뛰어들었다.
이 가운데 메타 관련 2건과 구글, 삼성전자, 카카오, 카카오페이 사건 등 6건은 개인정보위가 1심에서 모두 승소했다. 하지만 기업들은 모두 항소했고 현재 2심이 진행 중이다. 나머지 11건은 1심 심리가 진행되고 있다.
진행 중인 소송 가운데 과징금 규모가 가장 큰 사건은 SK텔레콤의 유심 정보 유출 사고다. SK텔레콤은 가입자 2324만여 명의 유심 정보 유출 사고로 1348억 원의 과징금을 부과받자 처분 취소 소송을 제기했다.
구글과 메타는 다른 웹사이트와 앱에서 발생한 이용자 활동정보를 동의 없이 수집해 맞춤형 광고에 활용한 행위로 각각 692억 원과 308억 원의 과징금을 받았다. 카카오는 오픈채팅 이용자 개인정보 유출로 151억 4천만 원, 카카오페이는 약 4천만 명의 개인정보를 중국 알리페이에 이전한 행위로 59억 6800만 원의 과징금을 부과받았다.
우리카드는 134억 5100만 원, 현대해상은 61억 9800만 원, 악사손해보험은 27억 1500만 원의 과징금 처분에 각각 불복했다. 삼성전자와 비와이엔블랙야크, 듀오정보 등도 소송을 진행 중이다.
소송 대리는 국내 대형 로펌들이 맡고 있다. 김앤장은 구글과 메타, 삼성전자, 카카오, SK텔레콤 등을 대리하고 있으며 광장은 카카오페이와 악사손해보험을 맡았다. 태평양은 메타와 우리카드, 세종은 현대해상과 비와이엔블랙야크, 화우는 듀오정보 사건을 각각 담당하고 있다.
향후 법정 공방은 더욱 확대될 가능성이 있다. 개인정보위로부터 역대 최대인 약 6247억 원의 과징금을 부과받은 쿠팡은 법적 대응 방침을 밝혔지만 아직 의결서를 받지 않아 이번 집계에는 포함되지 않았다.
최근 불법 소형 기지국인 펨토셀을 통한 개인정보 유출 사고로 539억 7900만 원의 과징금을 받은 KT 역시 의결서가 송달되면 소송 제기 여부를 검토할 것으로 보인다.
연합뉴스, 황진환 기자과징금보다 더 큰 쟁점…'데이터 사업모델'의 운명
기업들이 소송에 나서는 가장 큰 이유는 막대한 과징금이다. 처분을 그대로 수용하면 수백억~수천억 원의 비용을 부담해야 하는 데다, 충분한 법적 대응을 하지 않았다는 이유로 경영진의 의사결정 책임이 문제 될 가능성도 있다.
과징금과 함께 내려지는 시정명령과 처분 결과 공표도 부담이다. 위법 사실이 공식적으로 공개되면 기업 이미지와 이용자 신뢰가 훼손되고, 피해자들의 손해배상 청구나 주주들의 책임 추궁으로 이어질 가능성도 배제하기 어렵다.
하지만 일부 소송은 단순히 과징금을 줄이기 위한 차원을 넘어 개인정보를 어떤 방식으로 수집·결합·이용할 수 있는지에 관한 기준을 정하는 성격이 더 짙다.
구글과 메타 사건에서는 다른 웹사이트와 앱에서 발생한 이용자 활동정보를 맞춤형 광고에 활용할 때 누가 개인정보 수집 주체인지, 개인정보처리방침에 관련 내용을 기재한 것만으로 적법한 동의를 받았다고 볼 수 있는지가 핵심 쟁점이다.
구글과 메타는 광고 도구를 설치하고 정보를 전송한 개별 웹사이트와 앱 운영자가 개인정보 수집 주체이며 이용자 동의를 받을 의무도 이들에게 있다고 주장했다. 설령 자신들에게 동의 의무가 있다고 하더라도 개인정보처리방침을 통해 정보 수집·이용 사실을 고지했으므로 적법하다는 논리도 폈다.
그러나 이 같은 주장이 최종적으로 받아들여지지 않으면 맞춤형 광고를 중심으로 구축된 정보 수집과 광고 제공 방식의 상당 부분을 손질해야 할 수 있다.
카카오 사건에서는 플랫폼 내부의 회원일련번호와 임시 식별값도 개인정보로 볼 수 있는지가 핵심 쟁점이다. 카카오는 회원일련번호만으로는 특정 이용자를 식별할 수 없고 전화번호 등 다른 정보는 해커가 외부에서 확보해 결합한 것이라고 맞섰다.
반대로 회원일련번호가 개인정보로 폭넓게 인정되면 플랫폼 사업자는 이름이나 전화번호뿐 아니라 내부 식별번호 역시 외부 정보와 결합될 가능성까지 고려해 관리해야 한다. 식별자 관리와 암호화, 접근통제 체계를 전반적으로 재점검해야 하는 셈이다.
카카오페이는 알리페이에 정보를 전송한 행위가 애플 결제 서비스의 부정 사용을 막기 위한 정상적인 업무위탁이라고 주장했다. 전송된 정보도 암호화돼 있어 알리페이가 이용자를 직접 특정할 수 없다는 입장이다.
이 주장이 최종적으로 받아들여지지 않으면 해외 사업자와 연계해 결제 위험과 이상거래를 분석하는 금융·핀테크 기업들도 정보 이전 목적과 대상, 이용자 동의 절차를 다시 설계해야 할 가능성이 있다.
기업들이 소송을 통해 지키려는 것이 과거 처분의 취소에 그치지 않고 앞으로 데이터를 어디까지 활용할 수 있는지에 대한 사업의 기준이라는 분석이 나오는 이유다.
법원 "계약 형식보다 정보처리 실질"…이용자 권리에 무게
법원은 지금까지 기업들이 내세운 계약 형식이나 기술적 구조보다 개인정보가 실제로 어떻게 수집·결합·이용됐고, 그 목적과 방법을 누가 결정했는지를 중심으로 판단해 왔다.
구글·메타 사건에서 서울행정법원은 이용자 정보를 최초로 전송한 곳이 개별 웹사이트와 앱이라 하더라도 광고 도구를 설계하고 정보를 추적·수집해 자사 계정정보와 결합한 뒤 맞춤형 광고에 활용한 주체는 구글과 메타라고 판단했다. 개인정보 처리 목적과 방법을 실질적으로 결정한 플랫폼이 직접 이용자의 동의를 받아야 한다는 취지다.
이용자의 동의를 받았다는 주장도 받아들이지 않았다. 구글은 가입 과정에서 추가 설정을 의미하는 '옵션 더보기'를 눈에 띄지 않게 배치한 채 정보 수집 동의를 기본값으로 설정했고, 메타는 관련 내용이 694줄에 달했지만 가입 화면에서는 한 번에 5줄만 보이도록 구성했다.
법원은 개인정보처리방침에 관련 내용을 기재한 것과 이용자가 어떤 정보가 어떤 목적으로 수집되는지를 명확히 알고 자유롭게 선택한 것은 다르다고 판단했다. 이에 따라 구글과 메타가 제기한 과징금 및 시정명령 취소 청구를 모두 기각했다.
카카오 사건에서도 법원은 회원일련번호만 따로 떼어 개인정보 여부를 판단하지 않았다. 회원일련번호를 매개로 휴대전화번호와 프로필명, 참여한 오픈채팅방 이름, 오픈채팅 프로필 등이 결합된 데이터베이스가 온라인에서 공개·판매된 만큼 개인정보 유출에 해당한다고 봤다. 다른 정보와의 결합을 통해 실제 개인 식별이 가능해졌다는 점을 중시한 것이다.
카카오페이 사건에서도 법원은 카카오페이와 알리페이 간 계약이 업무위탁인지 여부보다 알리페이가 실제 누구를 위해 정보를 처리했는지를 판단 기준으로 삼았다.
재판부는 알리페이가 카카오페이 이용자의 자금 부족 가능성을 나타내는 'NSF 점수'를 생성해 애플의 결제 위험 관리에 활용한 만큼 카카오페이의 업무만 대신 수행한 단순 수탁자로 보기 어렵다고 판단했다. 이용자들이 자신의 정보가 알리페이로 이전돼 애플의 결제 위험 평가에 활용되는 데 동의했다고 보기도 어렵다고 봤다.
지금까지의 1심 판결을 종합하면 기업들이 내세운 "제휴사가 수집했다", "내부 식별번호에 불과하다", "암호화된 업무위탁 자료다"라는 주장은 모두 개인정보 처리의 실질이라는 판단 기준 앞에서 받아들여지지 않았다.
기업의 데이터 활용 편의와 경제적 이익보다 이용자가 자신의 정보가 어디에 어떻게 활용되는지 알고 스스로 결정할 수 있는 '개인정보 자기결정권'에 더 큰 무게를 둔 판결이라는 평가가 나온다.
영문기사 보기 (View English Article)