홈플러스소송 시민단체공동보고대회 일시 2017 년 12 월 19 일 ( 화 ) 오전 10 시 장소 은행연합회관제 2 층국제회의실 경제정의실천시민연합, 안산소비자단체협의회, 진보네트워크센터, 참여연대, 한국소비자단체협의회
순서 사회 조순열변호사 경실련시민권익센터 발표1 발표2 발표3 발표4 안산소협 1심판결문취지설명 서치원변호사 ( 안산소비자단체협의회 ) 공정거래위원회홈플러스과징금부과건소개 ( 표시광고법 위반을중심으로 ) 성춘일변호사 ( 참여연대 ) 홈플러스소송을통해바라본입법개선의과제 좌혜선사무국장 ( 한국소비자단체협의회자율분쟁조정위원회, 변호사 ) 개인정보정책개선의과제 이은우변호사 ( 정보인권연구소이사 ) 질의응답 - 2 -
발표 수원지방법원안산지원 2015가합 1847 판결의의의 서치원변호사 안산소비자단체협의회 - 3 -
- 4 -
- 5 -
- 6 -
- 7 -
- 8 -
- 9 -
- 10 -
- 11 -
- 12 -
- 13 -
- 14 -
- 15 -
- 16 -
발표 공정거래위원회의홈플러스등에대한시정명령및과징금부과사건에대한검토 성춘일변호사 참여연대 1. 사건의경과 가. 공정거래위원회의의결 공정거래위원회는 2015. 5. 1. 홈플러스주식회사와홈플러스데스코주식회사 ( 이 하편의상 홈플러스등 이라고함 ) 에대하여아래와같이의결하였다 ( 공정거래위 원회의결제 2015-138 호, 사건번호 2014 안정 3112). 1. 피심인들은경품행사에대해광고하면서소비자의개인정보를수집하여제3자에게제공하는것을조건으로경품을지급한다는사실을숨기고마치고객사은행사의일환으로경품을지급하는것처럼소비자를속이거나소비자로하여금잘못알게할우려가있는기만적인광고행위를다시하여서는아니된다. 2. 피심인들은다음각호에따라과징금을국고에납부하여야한다. - 17 -
가. 과징금액 1) 홈플러스주식회사 : 325,000,000 원 2) 홈플러스테스코주식회사 : 110,000,000 원 나. 행정소송결과 홈플러스등은서울고등법원에행정소송을제기하면서 1 공정거래위원회가심사 심의과정때문제삼던행위와는다른내용으로최종처분을내렸고, 그과정에서사전에서면으로통지하거나의견을진술할기회조차주지않아절차적방어권을침해하였으며 ( 심사과정에서는 고객정보를팔아돈을챙겼다 고문제삼다가의결시에는 고객정보를팔면서제대로알리지않았다 는점 ), 2 비록광고에서고객정보활용에대해고지하지않았지만응모권에서는 1mm 크기글자 로나마고지를하였으며전단지와응모권을연결해하나의광고로봐야하므로부당광고라고볼수없다는취지로주장하였다. 그러나서울고등법원은, 공정거래위원회의처분은새로운행위내용을추가해인정한것이아닌응모권부분을제외하고축소해인정한것이고, 홈플러스등이심사 심의단계에서응모권부분에치중해방어함으로써다른광고수단에관해충분히의견을진술하지못했다고하더라도방어의기회가주어졌던이상절차적방어권이침해된것이라고볼수는없다고판시함으로써홈플러스등의청구를기각하였고, 대법원도 기만적인광고 에해당하는지여부는광고그자체를대상으로판단하면되고, 특별한사정이없는한광고가이뤄진후소비자가알게된사정까지고려해야하는것은아니다 라고판시하면서원심판단은정당하고법리를오해한잘못이없다고판결하였다. - 18 -
2. 사실관계 1) 홈플러스등은 2011. 8. 11. 부터 2014. 6. 18. 까지 12회에걸쳐아래 < 표 1> 기재와같이경품행사 2) 를실시하면서다음 < 그림 1> 기재와같이홈페이지, 구매영수증, 전단지등을통해 홈플러스가올해도 10대를쏩니다, 홈플러스창립 14주년고객감사대축제, 2014 새해맞이경품대축제, 홈플러스에서다이아몬드가내린다, 가정의달경품대축제, 황금이쏟아진다, 그룹탄생 5주년기념, 가을愛드리는경품대축제 등으로광고하면서경품행사를통해수집된고객들의개인정보를보험사등에게제공한다는사실을기재하지않았다. < 표 1> 경품행사내역 경품행사명행사기간응모인원 1 썸머페스티발자동차 10 대를쏩니다 2 홈플러스연말연시벤츠가온다!! 경품이쏟아진다!! 3 BMW 와벤츠가봄바람타고슝슝 4 홈플러스가올해도 10 대를쏩니다 5 넝쿨째굴러온아우디 vs 벤츠 6 응답하라! 2013! 겨울페스티발 2011. 8.11. 2011. 9.18. 2011.12. 8. 2012. 1.15. 2012. 3. 8. 2012. 4.15. 2012. 6. 7. 2012. 7.15. 2012. 8.20. 2012.10. 7. 2012.12. 3. 2013. 1.13. 799,169 790,737 818,822 562,943 813,796 539,532 1) 공정거래위원회의결서제2015-138 호참조. 2) 일반적으로경품제공방식은경품제공대상에따라공개현상경품, 소비자경품, 소비자현상경품으로분류되는바, 1 공개현상경품은거래에관계없이매장을방문한소비자누구에게나응모권을주고추첨을통해경품을주는것이고, 2 소비자경품은구매고객모두에게경품을주는것으로흔히사은품이라하는것이며, 3 소비자현상경품은구매고객중에서추첨을통해경품을주는것을의미하며, 이사건경품은 공개현상경품 에해당한다. - 19 -
7 홈플러스창립 14 주년고객감사대축제 8 가정의달경품대축제황금이쏟아진다 9 더위탈출벤츠와 BMW 의행운을잡아라 10 그룹탄생 5 주년기념가을愛드리는경품대축제 11 2014 새해맞이경품대축제홈플러스에서다이아몬드가내린다 12 2014 브라질월드컵승리기원홈플러스가드립니다 2013. 2.14. 2013. 3.31. 2013. 5. 6. 2013. 6.16. 2013. 7.25. 2013. 9. 8. 2013.10.10. 2013.11.27. 2013.12.26. 2014. 2. 9. 2014. 5.12. 2014. 6.18. 627,048 517,389 542,602 638,154 619,719 526,578 < 그림 1> 광고내용 구분광고내용 홈페이지 - 20 -
구매영수 증 전단지 - 21 -
3. 표시광고법위반여부 가. 관련법령 법제3조 ( 부당한표시 광고행위의금지 ) 1 사업자등은소비자를속이거나소비자로하여금잘못알게할우려가있는표시 광고행위로서공정한거래질서를해칠우려가있는다음각호의행위를하거나다른사업자등으로하여금하게하여서는아니된다. 2. 기만적인표시 광고 법시행령제 3 조 ( 부당한표시 광고의내용 ) 2 법제 3 조제 1 항제 2 호에따른기만적인표시 광고는사실을은폐하거나축 소하는등의방법으로표시 광고하는것으로한다. 나. 기만적인표시 광고심사지침 의내용 구 기만적인표시 광고심사지침 ( 제정 2011. 1. 1. 공정거래위원회예규제 85 호, 이하 심사지침 이라고함 ) 는아래와같이규정하고있다. 기만적인표시 광고는소비자의구매선택에중요한영향을미칠수있는사 실이나내용을은폐하거나축소하는등의방법으로표시 광고하는것을말한 다. 다. 기만적인광고의해당요건 기만적인광고에해당하기위해서는 1 광고내용이사실을은폐 축소하는등의 - 22 -
기만성이인정되어야하고, 2 소비자의오인성이인정되어야하며, 3 공정거래 저해성이인정되어야한다. (1) 기만성이인정되는지여부 먼저 은폐 라함은소비자가사실을인식하지못하도록감추거나지나치게작은글씨로표기하는등소비자가현실적으로이를인식하기어렵게하는것을말하며, 누락 은당초부터아예밝히지않거나빠뜨린것을말하고, 축소 란사실을은폐하거나누락하지않고표시또는설명하였으나지나치게생략된설명을제공하는등의방법으로통상의지적능력을지닌소비자가표시된설명만으로는이를사실에부합되도록인식하기어렵게하는것을의미한다. 홈플러스등은이사건광고를함에있어고객들에게추첨의형태로고가의자동차, 다이아몬드, 순금등의경품을지급한다는내용만기재하고, 경품을받기위해서는고객들이자신의개인정보를자신들및보험사등제3자에게제공해야하며홈플러스등이그와같이고객의개인정보를수집하고제3자에게제공하는것에대해동의해야한다는점에대해누락하였다. 또한, 홈플러스등은이사건경품행사는어디까지나고객들이이름, 성별, 생년월일, 핸드폰번호등자신의개인정보를기재하고자신들이이를수집하여보험사등제3자에게제공하는것에동의한고객들에대해서만추첨을통해경품을지급하는것으로서이는경품을지급받기위해중요한거래조건임에도불구하고이를아예밝히지않고광고를실시하였다. 3) 3) 홈플러스등이실시한이사건경품행사에참가하고자한고객은응모권을받아뒷면에이름, 성별, 전화번호, 생년월일등개인정보를기재하던중 개인정보제 3 자제공 란과 개인정보의수 집 취급위탁이용 란에동의하도록되어있음과동시에 기재 / 동의사항일부미기재, 미동의, 서명 - 23 -
그러므로홈플러스등이이사건광고를함에있어중요한사실을누락하거나 중요한거래조건을은폐하였다고할것이므로기만성이인정된다고할것이다. (2) 소비자오인성이인정되는지여부 소비자오인성을판단함에있어광고가소비자를속이거나소비자로하여금잘못알게할우려가있는지의여부는보통의주의력을가진일반소비자가당해광고를받아들이는전체적 궁극적인상을기준으로하여객관적으로판단한다는것이확립된대법원판례이다. 4) 또한, 부당광고행위해당여부에대한판단은광고그자체로유발된소비자오인성의우려여부를판단하는것이므로설사소비자가건축현장방문등을통하여오인된인식을바로잡을가능성이있다고하더라도광고의오인성에영향을미치지않는다는것이대법원판례이다. 5) 본사건에서보통의주의력을가진일반소비자는경품행사에참여한고객들의개인정보를수집하고보험사등제3자에게제공 판매된다는내용을누락한이사건광고를접할경우이사건경품행사의목적이홈플러스등의고객개인정보수집및제3자제공 판매에있음에도소비자로하여금단순고객감사차원에서진행하는것으로서 개인정보수집및제3자제공에대한동의 라는조건없이추첨을통해 누락시경품추첨에서제외됩니다. 와같은문구가적혀있음을확인함으로써, 비로소자신의개인정보가보험사등제3자에게제공된다는점을인지하게되었을것이다. 더구나수집된개인정보가보험사등에게제공되어생명 손해보험상품등의안내를위한마케팅자료로활용된다는내용은매우작은글씨로기재되어있어, 응모권을작성한소비자중일부는그와같은사실을명확히인지하지못한채막연히경품을받기위해형식적으로동의의사를표시했을가능성이크다고할것이다. 4) 대법원 2013. 11. 14. 선고 2013다22553 판결참조 5) 대법원 2001. 7. 20. 선고 2000두10557 판결참조 - 24 -
경품을제공하는것으로오인하거나오인할우려가있다. 특히홈플러스등은 홈플러스창립 14주년, 2014 브라질월드컵승리기원 등의제목하에이사건경품행사에대한광고를실시한바소비자는이사건경품행사가홈플러스등의개인정보수집및제3자판매목적이아니라고객에대한감사또는특별한날의기념등의목적에서이루어지는것으로오인하거나오인할우려가있다고할것이다. 참고로아래에서보는바와같이이사건응모권뒷면에는자신의개인정보를직접기재하고 개인정보수집, 취급위탁, 이용동의 란과 개인정보제3자제공 란에모두동의한다고체크표시해야하므로실제경품행사참여과정에서는개인정보수집및제3자제공사실을인식할수있을지도모르지만, 소비자의오인성은광고그자체로유발된소비자오인성우려여부를기준으로판단하므로추후에오인된인식을바로잡을가능성이있다할지라도광고의오인성여부에대해서는아무런영향을미치지않는다고할것이다. - 25 -
(3) 공정거래저해성인정여부 홈플러스등의개인정보수집및동개인정보의제3자제공에동의를해야추첨식으로경품을지급한다는거래조건은소비자가경품행사에대한참여여부를결정함에있어서중요한고려요소에해당하며, 그와같은점을누락한이사건광고를접한고객들은이사건경품행사가개인정보수집및제3자제공 판매목적에서이루어진것이라는점은인지하지못한채고객에대한감사의의미등에서고가의자동차등경품을추첨형태로지급한다는점만인지하여그에대해참여여부를결정하게되었을것이다. 그러므로홈플러스등의이사건광고는소비자의합리적인선택을방해함으로써공정한거래질서를저해할우려가있다고할것이다. 4. 이사건의의미 이사건에대해형사재판은 1심무죄, 2심무죄가선고되었다가대법원에서유죄취지로파기환송되어재판이진행되고있는데반하여, 행정소송사건은고등법원과대법원에서홈플러스등의부당광고행위가위법하다고선고되어판결이확정되었다. 사건의형식은공정거래위원회가홈플러스등에부과한시정명령과과징금이적법하다는것이기는하였지만, 이행정소송사건을계기로부당한표시 광고행위로부터소비자의합리적인의사결정을보호하고자하는표시광고법의입법목적및관련법률의입법취지가충분히반영된것이므로향후개인정보보호및소비자보호에상당한기여를할것으로보인다. - 26 -
발표 홈플러스소송을통해바라본입법개선의과제 좌혜선사무국장 한국소비자단체협의회자율분쟁조정위원회, 변호사 1. 홈플러스소송진행경위 가. 민사소송 - 4 개소비자, 시민단체 (1) 참여연대 2015가단73720 서울중앙지방법원 ( 민사93단독 ) 원고 홈플러스패밀리카드회원소비자 62명 피고 홈플러스주식회사 주장내용 개인정보보호법위반을이유로홈플러스패밀리카드회원소비자에게손해배상금 1,000,000원을지급할것을청구 소제기일 2015. 4. 21. (2) 경실련, 진보네트워크센터 2015 가합 541763 서울중앙지방법원 ( 제 31 민사부 ) 원고 홈플러스경품응모소비자와패밀리카드회원소비자를합하여 1069 명 피고 홈플러스주식회사, 라이나생명보험주식회사, 신한생명보험주식회사 - 27 -
주장내용 개인정보보호법위반을이유로홈플러스주식회사와라이나생명보험주식회사, 신한생명보험주식회사가연대하여 300,000원을지급할것을청구 소제기일 2015. 06. 30. 1심선고예정일 18. 01. 18. (3) 안산소비자단체협의회 2015가합1847 수원지방법원안산지원 ( 제2민사부 ) 원고 홈플러스경품응모소비자와패밀리카드회원소비자를합하여 426명 피고 홈플러스주식회사 주장내용 개인정보보호법위반을이유로홈플러스경품응모소비자와패밀리카드회원소비자에게손해배상금 500,000원을지급할것을청구 / 홈플러스경품응모소비자이면서패밀리카드회원소비자에도해당되면 700,000원을지급할것을청구 소제기일 2015. 07. 06. 1심선고 - 2017. 08. 31. 원고일부승소 경품응모소비자 100,000원 / 패밀리카드회원소비자증제3자제공에미동의한경우 50,000원 / 위두가지사항에모두해당하는경우 120,000원을손해배상금으로지급할것 항소심 2017. 09. 14. 원고, 피고, 쌍방항소 (4) 한국소비자단체협의회 2015가합17314 서울중앙지방법원 ( 제10민사부 ) 원고 홈플러스경품응모소비자와패밀리카드회원소비자를합하여 683명 피고 홈플러스주식회사, 라이나생명보험주식회사, 신한생명보험주식회사 주장내용 개인정보보호법위반을이유로홈플러스주식회사와라이나생명보험주식회사, 신한생명보험주식회사가연대하여 300,000원을지급할것을청구 소제기일 2015. 07. 07. - 28 -
1 심선고 2016. 11. 22. / 원고패소 항소심 2016. 12. 12. 원고항소 ( 서울고등법원 2017 나 2000337) 나. 형사소송 (1) 서울중앙지방법원 2015 고단 510( 형사 16 단독 ) 피고인 - 홈플러스주식회사외홈플러스주식회사, 라이나생명보험주식회사, 신 한생명보험주식회사관계자 8 명 1 심선고 - 16. 01. 08. / 전원무죄 (2) 서울중앙지방법원 2016 노 223( 제 5 형사부 ) 2 심선고 - 16. 08. 12. / 항소기각 ( 전원무죄 ) (3) 대법원 2016 도 13263( 제 3 부, 주심권순일대법관 ) 파기환송 - 17. 04. 07. / 유죄취지로환송 (4) 파기환송심 2017 노 1296( 제 4 형사부 ) 검찰구형 - 홈플러스주식회사벌금 7500 만원, 추징금 231 억 7000 만원 / 홈플러 스전사장징역 2 년 / 홈플러스및보험사들임직원징역 1 년 ~ 1 년 6 개월 선고기일예정 - 18. 01. 25. - 29 -
2. 개인정보보호법 의개정 가. [ 시행 2016. 1. 1.] [ 법률제 13423 호, 2015. 7. 24., 일부개정 ] (1) 개인정보보호위원회에정책 제도개선권고권및이행점검권, 자료제출요구권, 개인정보분쟁조정위원위촉권을부여하는등개인정보보호위원회의기능을강화 함 제 8 조제 4 항, 5 항 / 제 8 조의 2 / 제 11 조제 1 항 / 제 40 조제 3 항, 제 4 항 / 제 63 조제 4 항 (2) 징벌적손해배상제및법정손해배상제도입 제39조 ( 손해배상책임 ) 3개인정보처리자의고의또는중대한과실로인하여개인정보가분실 도난 유출 위조 변조또는훼손된경우로서정보주체에게손해가발생한때에는법원은그손해액의 3배를넘지않는범위에서손해배상액을정할수있다. 다만, 개인정보처리자가고의또는중대한과실이없음을증명한경우에는그러하지아니하다. 4법원은제3항의배상액을정할때에는다음각호의사항을고려하여야한다. 1. 고의또는손해발생의우려를인식한정도 2. 위반행위로인하여입은피해규모 3. 위법행위로인하여개인정보처리자가취득한경제적이익 4. 위반행위에따른벌금및과징금 5. 위반행위의기간 횟수등 6. 개인정보처리자의재산상태 7. 개인정보처리자가정보주체의개인정보분실 도난 유출후해당개인정보를회수하기위하여노력한정도 8. 개인정보처리자가정보주체의피해구제를위하여노력한정도 제 39 조의 2( 법정손해배상의청구 ) - 30 -
1제39조제1항에도불구하고정보주체는개인정보처리자의고의또는과실로인하여개인정보가분실 도난 유출 위조 변조또는훼손된경우에는 300만원이하의범위에서상당한금액을손해액으로하여배상을청구할수있다. 이경우해당개인정보처리자는고의또는과실이없음을입증하지아니하면책임을면할수없다. 2법원은제1항에따른청구가있는경우에변론전체의취지와증거조사의결과를고려하여제1항의범위에서상당한손해액을인정할수있다. 3제39조에따라손해배상을청구한정보주체는사실심의변론이종결되기전까지그청구를제1항에따른청구로변경할수있다. (3) 개인정보보호인증기관의지정및지정취소의법적근거마련 제32조의 2( 개인정보보호인증 ) 1행정자치부장관은개인정보처리자의개인정보처리및보호와관련한일련의조치가이법에부합하는지등에관하여인증할수있다. 2제1항에따른인증의유효기간은 3년으로한다. 3행정자치부장관은다음각호의어느하나에해당하는경우에는대통령령으로정하는바에따라제1항에따른인증을취소할수있다. 다만, 제1호에해당하는경우에는취소하여야한다. 1. 거짓이나그밖의부정한방법으로개인정보보호인증을받은경우 2. 제4항에따른사후관리를거부또는방해한경우 3. 제8항에따른인증기준에미달하게된경우 4. 개인정보보호관련법령을위반하고그위반사유가중대한경우 4행정자치부장관은개인정보보호인증의실효성유지를위하여연 1회이상사후관리를실시하여야한다. 5행정자치부장관은대통령령으로정하는전문기관으로하여금제1항에따른인증, 제3항에따른인증취소, 제4항에따른사후관리및제7항에따른인증심사원관리업무를수행하게할수있다. 6제1항에따른인증을받은자는대통령령으로정하는바에따라인증의내용을표시하거나홍보할수있다. 7제1항에따른인증을위하여필요한심사를수행할심사원의자격및자격취소요건등에관하여는전문성과경력및그밖에필요한사항을고려하여대통령령 - 31 -
으로정한다. 8 그밖에개인정보관리체계, 정보주체권리보장, 안전성확보조치가이법에부합하는지여부등제1항에따른인증의기준 방법 절차등필요한사항은대통령령으로정한다. (4) 부정한수단이나방법으로취득한개인정보를영리또는부정한목적으로제3 자에게제공한자에게 10년이하의징역또는 1억원이하의벌금에처하도록하고, 개인정보불법유통등으로인한범죄수익은몰수 추징할수있도록하여제재수준을강화함 제 70 조각호및제 74 조의 2 신설 나. [ 시행 2016. 9. 30.] [ 법률제 14107 호, 2016. 3. 29., 일부개정 ] (1) 대통령령으로정하는기준에해당하는개인정보처리자가정보주체이외로부터 개인정보를수집하여처리하는때에는정보주체에게수집출처 처리목적등을고 지하도록함 제 20 조제 2 항부터제 4 항까지신설 (2) 개인정보처리자가민감정보를처리하는경우에는그민감정보가분실 도난 유 출 위조 변조또는훼손되지않도록안전성확보에필요한조치를하도록함 제 23 조제 2 항신설 (3) 행정자치부장관은대통령령으로정하는기준에해당하는개인정보처리자가고 유식별정보를처리하는경우안전성확보에필요한조치를하였는지에관하여정 기적으로조사하도록함 제 24 조제 4 항및제 5 항신설 - 32 -
(4) 주민등록번호를수집할수있는법령의범위를법률 대통령령 국회규칙 대법원 규칙 헌법재판소규칙 중앙선거관리위원회규칙및감사원규칙으로한정함 제 24 조의 2 제 1 항제 1 호 (5) 개인정보보호책임자의성명또는개인정보보호업무및관련고충사항을처리 하는부서의명칭 연락처와인터넷접속정보파일등개인정보자동수집장치의설치 운영및그거부에관한사항을개인정보처리방침에포함하도록함 제 30 조제 1 항 다. [ 시행 2017. 10. 19. ] [ 법률제 14765 호, 2017.4.18., 일부개정 ] 개인정보처리자가서면등으로정보주체의동의를받을때에는정보의수집 이용목 적, 수집 이용하려는개인정보의항목등대통령령으로정하는중요한내용을행정 자치부령으로정하는방법에따라명확히표시하여알아보기쉽게함 3. 20 대국회의 개인정보보호법 개정안발의 가. 홈플러스사건의영향 (1) 김정재의원대표발의 (2016. 9. 23. / 의안번호 2427) 정보주체가개인정보의제 3 자제공에동의하였다하더라도이를매매하여기업이 이익을취하는것을금지하고, 이와관련한처벌조항을마련 ( 안제 18 조제 1 항, 제 1 9 조및제 71 조제 2 호 ). - 33 -
(2) 홍의락의원대표발의 (2016. 9. 27. / 의안번호 2484) 개인정보처리자가영리목적으로개인정보를제 3 자에게제공하지못하도록규정하 고, 이를위반할경우처벌근거를마련함으로써정보주체의자기결정권을보호 ( 안 제 17 조및제 71 조 ). (3) 심재권의원대표발의 (2016. 10. 4. / 의안번호 2567) 개인정보처리자가서면등으로정보주체의동의를받을때중요한내용은부호, 색채및굵고큰문자등으로명확히표시하여알아보기쉽게표시하도록명시함으로써, 국민의헌법상인정되는기본권중하나인개인정보자기결정권을더욱보호하고자함 ( 안제22조제2항신설 ). (4) 정재호의원대표발의 (2016. 12. 30. / 의안번호 4862) 개인정보수집ㆍ제공동의서에대한기준마련의근거를법에상향하여규정 ( 안 제 12 조제 2 항 ) (5) 이학영의원대표발의 (2017. 1. 12. / 의안번호 5062) 가. 개인정보유출등과관련된피해자의권리구제를극대화하기위하여개인정보의불법적인훼손ㆍ멸실ㆍ변경ㆍ위조ㆍ유출등으로인한일부피해자가소를제기하는경우, 그사건판결의효력이나머지피해자들에게도영향을미칠수있는집단소송제도를도입 ( 안제57조의 2 신설 ). 나. 개인정보유출등과관련된피해자의권리구제를용이하게하기위하여개인정보의불법적인훼손ㆍ멸실ㆍ변경ㆍ위조ㆍ유출등으로정보주체가행정자치부장관에게신고를한경우, 행정자치부장관은손해배상을명령할수있도록함 ( 안제6 6조의 2 신설 ). - 34 -
(6) 윤영석의원 (2017. 6. 21. / 의안번호 7497) 정보주체가개인정보의제 3 자제공에동의하였다하더라도이를매매하여기업이 이익을취하는것을금지하고, 이와관련한처벌조항을마련하고자함 ( 안제 17 조, 제 18 조, 제 24 조및제 71 조제 2 호 ). (7) 장정숙의원대표발의 (2017. 9. 11. / 의안번호 9245) 인터넷홈페이지등의경우에는 전체동의 항목을눌러필수정보와선택정보를한번에모두동의표시하도록하는기능을사용하고있어, 정보주체가제대로인식하지못한상황에서마케팅정보등선택정보의수신동의를하게될가능성이큼. 이에구분하여정보주체의동의를받아야하는필수정보와선택정보를컴퓨터프로그램등을이용하여한번에모두동의할수있도록하는것을제한함으로써정보주체의자기결정권을더욱강화 ( 안제22조제4항신설등 ). 나. 개인정보보호위원회의권한강화 (1) 김도읍의원대표발의 (2017. 3. 10. / 의안번호 6105) 분쟁조정위원회는분쟁조정신청을받은날부터 60일이내에이를심사하여조정안을작성하되, 부득이한사정이있는경우에는처리기간을연장할수있도록규정하고있음. 분쟁조정의처리기간연장사유를 부득이한사정 에서 정당한사유 로변경함으로써분쟁조정제도의명확성과신속성을확보.( 안제44조제1항단서 ). (2) 소병훈의원대표발의 ( 2017. 5. 11. / 의안번호 6865) 가 ) 개인정보보호위원회의소관사무를개인정보의보호및이용에관한시책의 수립 집행, 정보주체의권리침해에대한조사및권리구제등으로하고, 그위상을 중앙행정기관으로격상하며, 개인정보보호위원회에위원장을포함한 9 명의위원을 - 35 -
두되위원장및 2명의상임위원은정무직공무원으로함 ( 안제7조, 제7조의 2 신설및제8조제1항 ). 나 ) 개인정보보호위원회가신청또는직권으로개인정보침해사실을조사할수있도록하고, 조사결과에따라시정명령 고발 징계권고등을할수있도록함으로써, 개인정보와관련된정보주체의권리구제절차를강화 ( 안제39조의 3부터제39 조의 5까지, 제50조의 2, 제50조의 3, 제50조의 4 신설 ). (3) 송희경의원대표발의 (2017. 5. 30. / 의안번호 7083) 가 ) 개인정보보호위원회의위상을중앙행정기관으로격상하고, 개인정보의보호및이용에관한시책의수립 집행, 정보주체의권리침해에대한조사및권리구제등을소관사무로하며, 개인정보보호위원회에위원장을포함한 9명의위원을두되위원장및 2명의상임위원은정무직공무원으로함 ( 안제7조, 제7조의 2 신설및제8조제1항 ). 나 ) 개인정보처리자는정보주체또는제3자의이익을부당하게침해할우려가없는경우데이터값삭제, 가명처리, 총계처리, 범주화등개인정보를전부또는일부삭제하거나대체하여다른정보와쉽게결합하여도개인을알아볼수없도록조치하여생성한정보를정보주체의동의없이개인정보의목적외의용도로이용하거나제3자에게제공할수있도록함 ( 안제22조의 2 제1항신설 ). 다 ) 개인정보처리자는비식별정보를처리하는과정에서개인정보가생성되는경우에는지체없이회수 파기하거나추가적인비식별조치를하여야하며, 비식별정보가분실 도난 유출 위조 변조또는훼손되지아니하도록안전성확보에필요한조치와비식별조치의적정성을평가하기위한평가단구성을하도록함 ( 안제22조의 2 제2항부터제4항까지신설 ). 다. 개인정보활용 (1) 민경욱의원대표발의 (2016. 8. 10. / 의안번호 1519) - 36 -
가 ) 생체정보의정의규정을신설 ( 안제2조제8호신설 ). 나 ) 개인정보처리자는생체정보를처리하는경우그생체정보가분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조또는훼손되지아니하도록대통령령으로정하는바에따라암호화등안전성확보에필요한조치를하도록함 ( 안제24조의 3 제1항신설 ). 다 ) 개인정보처리자는생체정보의원본정보를보관하는경우성명ㆍ주민등록번호ㆍ주소등정보주체를알아볼수있는정보와별도로분리하도록하고, 원본정보는특징정보생성후파기하는것을원칙으로함 ( 안제24조의 3 제2항및제3항신설 ). (2) 강효상의원대표발의 (2016. 9. 1. / 의안번호 2030) 가 ) 생체정보의정의규정을신설함 ( 안제2조제8호신설 ). 나 ) 개인정보처리자는생체정보를처리하는경우대통령령으로정하는바에따라암호화등안전성확보에필요한조치를하도록하되, 안전성확보에필요한조치의기준은처리하는생체정보의종류ㆍ규모, 개인정보처리자의종업원수및매출액규모등을고려하여정하도록함 ( 안제24조의 3 제1항신설 ). 다 ) 개인정보처리자는생체정보의원본정보를보관하는경우성명ㆍ주민등록번호등정보주체를식별할수있는개인정보와별도로분리하여보관하도록하고, 원본정보는특징정보생성후복구ㆍ재생할수없도록파기하는것을원칙으로함 ( 안제24조의 3 제2항및제3항신설 ). (3) 김병기의원대표발의 (2016. 12. 8. / 의안번호 4238) 정부는빅데이터산업활성화를위하여 개인정보비식별조치가이드라인 을발표하였음. 가이드라인의핵심은익명화, 총계처리등비식별조치를통하여개인을식별할수없게된정보는현행법에따른개인정보가아닌것으로보아개인의동의없이도정보수집및제3자이용이가능하도록한것임. 현행법상비식별조치와관련된내용을보다구체화하고, 비식별조치를통하여생성된비식별정보를처리하는과정에서의안전성확보의무및위반시처벌조항등을신설함으로써, 정부의가이드라인이아닌법률에비식별조치를규정 ( 안제18조, 제22조의 2 신설, 제 71조, 제73조, 제75조 ). - 37 -
라. 기타 (1) 강병원의원대표발의 (2017. 1. 18. / 의안번호 5149) 수사기관등이건강등민감정보를열람하고자할때에는통신사실이나금융거래정보와같이법원의영장을발부받도록하는절차를추가하고, 열람한이후에는개인에게통지하도록의무를부과함으로써개인의자기정보결정권을두텁게보호하려는것임 ( 안제23조의 2 신설 ). (2) 박완수의원대표발의 (2017. 7. 28. / 의안번호 8274) 범죄예방및수사목적으로영상정보처리기기 (CCTV) 를설치 운영하는경우대통령령으로정하는기준이상의해상도와성능을갖춘영상정보처리기기를활용하도록함으로써, 영상정보처리기기의실효성과활용도를개선하려는것임 ( 안제25조제9항신설 ). (3) 황주홍의원대표발의 (2017. 6. 5. / 의안번호 7199) 현행법은개인정보보호정책추진, 성과평가등을위하여필요한경우행정자치부장관이중앙행정기관, 지방자치단체, 공공기관및민간개인정보처리자등을대상으로개인정보관리수준및실태파악등을위한조사를실시할수있도록규정하고있음. 그러나조사결과등을공개할수있는규정이미비함에따라, 조사대상및기준, 구체적인평가내용등을외부에서파악하기어려운실정임. 따라서행정자치부장관이개인정보관리수준및실태파악등을위한조사를실시한경우국회의소관상임위원회에보고하도록함으로써, 국민의대표인국회가공공과민간의개인정보관리현황을보다상세하게파악할수있도록하여효과적인개인정보보호정책수립이가능하도록하려는것임 ( 안제11조제2항 ). - 38 -
4. 집단소송법안의도입의필요성 가. 집단소송제정법안 (1) 박주민의원대표발의 / 소비자의권익보호를위한집단소송법안 소비자기본법 제20조위반으로인하여발생한피해에대한손해배상청구 제조물책임법 제3조에따른손해배상청구 독점규제및공정거래에관한법률 제56조에따른손해배상청구 전자상거래등에서의소비자보호에관한법률 제21조제1항, 할부거래에관한법률 제34조, 방문판매등에관한법률 제23조제1항, 제2항및제24 조의위반으로인하여발생한피해에대한손해배상청구 그밖에소비자집단소송에의하는것이적당하다고인정하는손해배상청구로서대통령령이정하는경우 (2) 서영교의원대표발의 / 소비자집단소송법안 소비자기본법 제4조또는제20조위반을이유로한손해배상청구 제조물책임법 제3조에따른손해배상청구 독점거래및공정거래에관한법률 제3조의2 제1항, 제19조, 제23조및제26 조제1항제1호의행위로인하여발생한피해에대한같은법제56조에따른손해배상청구 약관의규제에관한법률 제6조부터제9조까지의위반을원인으로한손해배상청구 표시 광고의공정화에관한법률 제10조에따른손해배상청구 전자상거래등에서의소비자보호에관한법률 제 21 조제 1 항, 할부거래에 관한법률 제 34 조, 방문판매등에관한법률 제 23 조제 1 항, 제 2 항및제 24 조의행위로인하여발생한피해에대한손해배상청구 - 39 -
(3) 박영선의원대표발의 / 집단소송법안 공통의이익을가진다수인에게피해가발생하는경우 (4) 이학영의원대표발의 ( 한국소비자단체협의회 ) / 소비자집단소송법안 소비자집단소송은원고적격을갖는소비자단체등이제기하는공통의무확인소송과그결과를전제로개별피해자의채권신고에기초하여채권을확정하는채권확정절차의 2단계로이뤄짐 ( 안제2장, 제3장 ). 공통의무확인소송이란소비자계약과관련하여또는사업자가제공하는재화나용역또는시설로다수의소비자에게피해가발생하거나다수의소비자가사업자로부터채무이행의청구를받은경우, 사업자가다수의소비자에게공통적인금전채무를부담하거나다수의소비자가사업자에게공통적인금전채무를부담하지않는다는확인을구하는소송을말함 ( 안제2조 ). 나. 금융소비자보호관련 (1) 이종걸의원대표발의 / 금융소비자보호및금융상품판매에관한법률안 금융상품판매업자가금융소비자보호법을위반함으로써발생한손해에대한손해 배상청구 (2) 박용진의원대표발의 / 금융소비자보호및금융상품판매에관한법률안 금융상품판매업자가금융소비자보호법을위반함으로써발생한손해에대한손해 배상청구 (3) 박선숙의원대표발의 / 금융소비자보호기본법안 금융상품판매업자가금융소비자보호법을위반함으로써발생한손해에대한손해 - 40 -
배상청구 다. 공정거래관련 (1) 전채철의원대표발의 / 공정거래관련집단소송법안 독점규제및공정거래에관한법률 제19조, 제26조제1항제1호및제4호 ( 재판매가격유지행위에한정 ) 또는제29조를위반하여발생한피해에대한같은법제56조에따른손해배상청구 제조물책임법 제3조에따른손해배상청구 표시 광고공정화에관한법률 제3조제1항의행위또는그밖의다른법령으로금지하는표시 광고행위로인하여발생한피해에대한손해배상청구. (2) 김경협의원대표발의 / 독점규제및공정거래에관한법률위반행위손해배 상사건집단소송법안 독점규제및공정거래에관한법률 제 3 조의 2 제 1 항, 제 19 조, 제 23 조및제 26 조제 1 항제 1 홍의행위로인하여발생한피해에대한같은법제 56 조에따른 손해배상청구 라. 개인정보보호관련 (1) 이학영의원대표발의 / 개인정보보호법일부개정법률안 개인정보보호법 제 59 조각호의행위로인하여발생한피해에대한같은법 제 39 조에따른손해배상청구 - 41 -
마. 의약외품, 식품관련 (1) 권미혁의원대표발의 / 약사법일부개정법률안 의약외품의사용으로인하여다수인에게발생한피해에대한손해배상청구 (2) 권미혁의원대표발의 / 식품안전기본법일부개정법률안 식품의섭취로인하여다수인에게발생한피해에대한손해배상청구 - 42 -
발표 홈플러스개인정보불법매매사건을통해본개인정보보호법의문제점과개선방안 이은우변호사 정보인권연구소이사 1. 들어가면서 가. 수사기록열람을통해드러난사실들 홈플러스에대한민사소송 ( 손해배상청구소송 ) 을진행하면서형사재판이벌어지고있는법원으로부터수사기록및공판기록을받아서확인해보니, 홈플러스의개인정보불법이용은언론에보도된수사결과를훨씬뛰어넘는경악할만한수준으로이루어져왔다는것을알수있었습니다. 그런데수사기록을보면, 수많은증거가있음에도불구하고검찰의수사가대폭축소되었다는의심을떨쳐버릴수없었습니다. 가장먼저홈플러스의행위는 기망적인수단을써서경제적이익을노린사기행위 로충분히의율할수있는사건으로보이는데, 사기죄 ( 특정경제범죄가중처벌등에관한법률위반 ) 로기소하지않고, 개인정보보호법위반죄로만기소한점이매우유감스럽습니다. 이사건의경우이득액이 50억원을넘기때문에특정경제범죄가중처벌등에관한법률에의하여무기또는 5년이상의징역에처해질수있고, 범죄수익은닉의규제및처벌등에관한법률에의하여범죄수익이나범죄수익에서유래한재산을몰수나추징도할수있습니다. - 43 -
그외에도수사기록에는추가적인범죄혐의가드러나있음에도불구하고, 이를적 극적으로수사하여기소하지않은점도매우유감스럽습니다. 나. 홈플러스의대응 홈플러스는대규모로개인정보를불법활용한사실이밝혀진이사건이터진후지금까지다음과같은태도로일관하고있습니다. 첫째, 피해자에게피해사실을일체알리지않음. 둘째, 심지어는피해자들이개인정보보호법에의하여자신의개인정보수집, 이용, 제3자제공내역에대해서열람을요청해도응하지않음. 셋째, 집단분쟁조정절차등의모든절차에서대응을하지않고회피하고있음. 넷째, 민사소송등에서최대한시간을끌고있음. 그런데문제는홈플러스의이런대응책이아주효과적으로먹히고있다는점입니다. 앞으로제도가개선되지않는다면우리나라에서개인정보대량유출이나, 불법적이용이발생하더라도기업들은모르쇠나무대응, 또는지연하는방법으로잠시들끓는여론의비난만피해가자는식으로대응할것입니다. 이하에서는홈플러스사건을진행하면서느낀개인정보보호법등의문제점을짚어보겠습니다. 2. 수사주체및수사결과의발표와관련한문제점 가. 문제상황 이사건의경우개인정보범죄정부합동수사단에서수사를하고, 그결과를발표하였습니다. 합동수사단은종합적이고신속한수사및대응을할수있다는점에서장점도있지만, 여기에민간기업 ( 개인정보보호협회, 통신3사, 포털3사 ) 이참여하는것은문제가있습니다. - 44 -
[ 개인정보범죄정부합동수사단출범안내보도자료 ] 수사결과를발표할때개인정보유출기업을모두익명처리하여결과적으로개 인정보유출사고의피해자들이자신이피해자인지를전혀알수없게하였는데, 이것도문제입니다. 더구나정보공개청구를했지만, 이것마저거부되었습니다. - 45 -
나. 개선방안 합동수사단에민간분야가포함되는것은오해의소지가있습니다. 개인정보범죄의 경우개인정보유출기업의명단은모두공개할필요가있습니다. 3. 개인정보보호에대한단일의감독및집행체계 가. 문제상황 이사건의경우홈플러스의행위에대해개인정보보호법이적용될지, 정보통신망법이적용될지는법률전문가도알기어렵습니다. 홈플러스가인터넷으로홈플러스전자상거래쇼핑몰을운영하고있지만, 회원가입이전부정보통신망을통해서이루어지는것은아닙니다. 반면홈플러스회원은정보통신망을통해서자신의정보를확인할수있습니다. 이상황에정보통신망이적용되는것인지, 개인정보보호법이적용되는지는복잡하기짝이없습니다. 어떤법이적용되는지에따라서법적규율이다르고, 처벌규정이다르고, 감독기관이다른것도심각한문제가아닐수없습니다. 홈플러스패밀리회원의경우정보통신망과개인정보보호법이각각적용된다고하면, 이에대해서처벌규정은중복적용될것인지, 과징금이나과태료부과는중복해서적용해도되는것인지도알기어렵습니다. 특히각각의감독기관이라고하는행정안전부, 방송통신위원회의감독이어떻게이루어질지도예상하기도어렵습니다. 나. 개선방안 개인정보보호법과정보통신망법을개인정보보호법하나로통합해야합니다. 전세계 - 46 -
적으로도개인정보보호법은전자적으로처리되는개인정보파일의처리를주된규율대상으로하고있습니다. 우리나라법률처럼개인정보파일의운용에대해서개인정보보호법이주로규율하면서도 정보통신서비스제공자 라는개념을별도로두고정보통신망법으로규율하면서, 감독기구, 법적의무를별도로두고있는입법례는찾을수없습니다. 만약정보통신서비스제공자에대해서특별하게규율해야할내용이있다면그내용을개인정보보호법이나기타의법률에서규율하면충분합니다. 감독기구도하나로통합해야합니다. 개인정보보호위원회와방송통신위원회의관계도분명하지않고, 별도의감독기구로방송통신위원회를두는것은부적절합니다. 실제로방송통신위원회는아래와같이자신의홈페이지를통해서스스로업무의중심을방송통신산업진흥에두고있습니다. 그리고방송통신위원회가밝힌 2017 년업무계획에서도볼수있듯이주된활동목적은산업의진흥에있습니다. - 47 -
그래서방송통신위원회의업무보고를보면, 2013-2016 년주요성과로 개인정보 비식별조치가이드라인등을통해산업발전을지원 을한것을들고있으며, 위치 정보산업활성화를구체적활동목적으로내세우고있습니다. [ 방송통신위원회 2017 년업무계획 ] 이런조직에서개인정보보호업무를독립적으로수행하기를기대하는것은무리입 니다. 방송통신위원회의직제상으로도개인정보보호업무는극히일부에불과하여, 감독기능을독립적으로수행해나갈것을기대하기어렵습니다. 실제로방송통신위 - 48 -
원회는그동안 비식별조치가이드라인 을제정해서개인정보보호법을허물기위한노력을해왔을뿐, 개인정보보호업무를독립적으로수행해왔다고보기어려운행보를보여왔습니다. 반면해외의독립감독기구들은아래와같이모두개인정보보호감독업무를주된업무로하는기구들이거나, 소비자보호기구들입니다. 국가영국스웨덴네덜란드홍콩호주뉴질랜드그리스미국캐나다프랑스 개인정보감독기구 정보커미셔너 (Information Commissioner) 정보조사원 (Datainspektionen) 정보보호원 (College bescherming persoonsgegevens) 개인정보 ( 프라이버시 ) 커미셔너 (Privacy Commissioner for Personal Data) 연방프라이버시커미셔너 (The Federal Privacy Commissioner) 프라이버시커미셔너 (Privacy Commissioner) 정보보호원 (Hellenic Data Protection Authority) 연방거래위원회 (FTC) 프라이버시커미셔너 (Privacy Commissioner) 국가정보처리 자유위원회 (Commission Nationale Informatique Libertes) 우리나라에서도개인정보보호를효과적으로수행하기위해서는진흥기구인방송통 신위원회와금융위원회가가지고있는정보통신사업자, 금융업과관련한개인정보 의보호및감독기능을개인정보보호위원회로통합해야합니다. 4. 개인정보불법이용에대한솜방망이행정제재 가. 문제상황 - 49 -
홈플러스가개인정보를불법매매하여막대한수익을거두었음에도불구하고, 홈플러스에대한행정적제재는솜방망이에불과하였습니다. 공정거래위원회에서부당한표시광고행위에대하여과징금을부과했을뿐이고, 개인정보침해행위에대해서는일체행정제재를하지않았습니다. 정보통신망이용촉진및정보보호등에관한법률에의하면방송통신위원장은관련한매출액의 100분의 3 이하에해당하는금액을과징금으로부과할수있는데, 과징금부과를해달라는신청을했음에도불구하고아무런조치를하지않았습니다. 반면개인정보보호법은주민등록번호의분실, 도난, 유출, 훼손의경우외에는과징금을부과하는규정을두고있지않습니다. 이경우에도과징금의상한액은 5억원으로제한되어있습니다. 개인정보보호법제34조의2( 과징금의부과등 ) 1 행정자치부장관은개인정보처리자가처리하는주민등록번호가분실 도난 유출 위조 변조또는훼손된경우에는 5억원이하의과징금을부과 징수할수있다. 다만, 주민등록번호가분실 도난 유출 위조 변조또는훼손되지아니하도록개인정보처리자가제24조제3항에따른안전성확보에필요한조치를다한경우에는그러하지아니하다. 정보통신망법제64조의3( 과징금의부과등 ) 1 방송통신위원회는다음각호의어느하나에해당하는행위가있는경우에는해당정보통신서비스제공자등에게위반행위와관련한매출액의 100분의 3 이하에해당하는금액을과징금으로부과할수있다. 1. 제22조제1항을위반하여이용자의동의를받지아니하고개인정보를수집한경우 2. ~ 7( 생략 ) - 50 -
나. 개선할점 (1) 개인정보보호법개정 개인정보보호법을개정하여개인정보침해행위가있을때는최소한관련매출액의 100분의 3을한도로과징금을부과할수있다는규정을두어야합니다. 과징금부과권한도행정안전부장관이아닌독립감독기구인개인정보보호위원회에부여해야합니다. (2) 방송통신위원회권한을개인정보보호위원회로 아울러현재정보통신서비스제공자의경우에는방송통신위원회가과징금부과권을가지고있는데, 방송통신위원회는그동안개인정보보호감독기관으로서역할을수행하지않아왔습니다. 이사건의경우에도방송통신위원회에과징금부과를해달라고신고를했는데, 아무런조치도취하지않았습니다. 이런점을고려한다면과징금부과권도개인정보보호위원회에일원화하는것이필요합니다. 5. 집단소송, 집단분쟁조정제도, 분쟁조정위원회의독립성과 공정성강화 가. 문제점 홈플러스사건의경우수많은피해자들이있었지만, 홈플러스로부터손해회복을 받게될개인은극히일부에불과합니다. 집단소송이나, 집단분쟁조정과같은제도 가효율적으로기능하지못하고있기때문입니다. - 51 -
그나마현재있는제도로는개인정보분쟁조정위원회의집단분쟁조정이있는데, 이것도이사건에서는실제아무런기능을못한무용지물이었습니다. 집단분쟁조정이시작도되지못했기때문입니다. 원래제도상으로는피신청인이조정에응할의사가없는경우에도분쟁조정위원회는일단집단분쟁조정개시결정을내릴수있고, 내려야하는것으로해석됩니다. 그런데개인정보분쟁조정위원회는피신청인이조정에응할의사가없다는이유로아예집단분쟁조정절차의개시조차도하지않고, 분쟁조정을시도하지도않았습니다. 이는분쟁조정위원회의직무유기입니다. 이와같이제도를운용할경우집단분쟁조정신청에응할기업은없을것입니다. 이는분쟁조정위원회가지나치게개인정보처리자의이익을옹호하는위원중심으로를구성되어있기때문이라고생각합니다. 이를계기로개인정보분쟁조정위원회의공정한구성을위한제도개선도필요하다고봅니다. 한편개인정보분쟁조정철차에서좀더효과적으로증거조사등을할수있도록제도를개선할필요도있습니다. 개인정보보호법제49조 ( 집단분쟁조정 ) 1 국가및지방자치단체, 개인정보보호단체및기관, 정보주체, 개인정보처리자는정보주체의피해또는권리침해가다수의정보주체에게같거나비슷한유형으로발생하는경우로서대통령령으로정하는사건에대하여는분쟁조정위원회에일괄적인분쟁조정 ( 이하 " 집단분쟁조정 " 이라한다 ) 을의뢰또는신청할수있다. 2 제1항에따라집단분쟁조정을의뢰받거나신청받은분쟁조정위원회는그의결로써제3항부터제7항까지의규정에따른집단분쟁조정의절차를개시할수있다. 이경우분쟁조정위원회는대통령령으로정하는기간동안그절차의개시를공고하여야한다. 제50조 ( 조정절차등 ) 1 제43조부터제49조까지의규정에서정한것외에분쟁의조정방법, 조정절차및조정업무의처리등에필요한사항은대통령령으로정한다. - 52 -
2 분쟁조정위원회의운영및분쟁조정절차에관하여이법에서규정하지아니한 사항에대하여는 민사조정법 을준용한다. 제40조 ( 설치및구성 ) 1 개인정보에관한분쟁의조정 ( 調停 ) 을위하여개인정보분쟁조정위원회 ( 이하 " 분쟁조정위원회 " 라한다 ) 를둔다. 2 분쟁조정위원회는위원장 1명을포함한 20명이내의위원으로구성하며, 위원은당연직위원과위촉위원으로구성한다. < 개정 2015.7.24.> 3 위촉위원은다음각호의어느하나에해당하는사람중에서보호위원회위원장이위촉하고, 대통령령으로정하는국가기관소속공무원은당연직위원이된다. < 개정 2013.3.23., 2014.11.19., 2015.7.24.> 1. 개인정보보호업무를관장하는중앙행정기관의고위공무원단에속하는공무원으로재직하였던사람또는이에상당하는공공부문및관련단체의직에재직하고있거나재직하였던사람으로서개인정보보호업무의경험이있는사람 2. 대학이나공인된연구기관에서부교수이상또는이에상당하는직에재직하고있거나재직하였던사람 3. 판사 검사또는변호사로재직하고있거나재직하였던사람 4. 개인정보보호와관련된시민사회단체또는소비자단체로부터추천을받은사람 5. 개인정보처리자로구성된사업자단체의임원으로재직하고있거나재직하였던사람 나. 개선방안 (1) 분쟁조정제도의실효성강화 우선현재의분쟁조정제도의실효성을강화하는방안을마련해야합니다. 집단분쟁조정신청을피신청인의조정에응할의사와무관하게반드시개시하도록 법률을개정하는것도고려해볼수있을것입니다. - 53 -
아울러개인정보분쟁조정절차에서좀더효과적인증거조사방안도마련해둘필요가있습니다. 현재개인정보분쟁조정위원회는행정자치부산하에서개인정보보호위원회산하로법률이개정되어독립성이강화되었습니다. 그러나, 분쟁조정위원회의위원구성중공무원을배제하고, 이용자의이익을대표할수있는위원이위원회구성시참여할수있는방안을적극모색해야합니다. 예를들어소비자단체추천위원의수를좀더늘릴필요가있습니다. (2) 개인정보감독기구의소비자피해구제지원 실제로다수의소비자들이피해를회복하고, 권리를실질적으로보장받을수있으려면개인정보감독기구가소비자의피해를구제하는것을지원해야합니다. 예컨대미국의경우는연방거래위원회와법무부장관등이소비자의피해회복을위한여러가지제도를운영하고있고, 각국의개인정보보호감독기구들도마찬가지로역할을수행하고있습니다. 위반행위에대해서조사하고, 위반행위자에대한손해배상의청구나피해회복의과정에서조사한사항을기초로지원하는제도를갖추고있습니다. 우리나라에서도이와같은제도를도입해야할것입니다. 6. 집단소송제도의개선 가. 문제점 현재는침해행위의금지를구하는소송만단체소송의대상으로하고있습니다. 이 것마저도집단분쟁조정을거부하거나, 집단분쟁조정의결과를수락하지않는경우 에만허용하고있습니다. - 54 -
개인정보보호법제51조 ( 단체소송의대상등 ) 다음각호의어느하나에해당하는단체는개인정보처리자가제49조에따른집단분쟁조정을거부하거나집단분쟁조정의결과를수락하지아니한경우에는법원에권리침해행위의금지 중지를구하는소송 ( 이하 " 단체소송 " 이라한다 ) 을제기할수있다. 그런데이사건과같이대규모적인개인정보침해행위가발생하여재산상의손해 와정신적손해를입은경우에는집단소송이허용되지않아서개인정보침해를입 은개인들이직접소송을해야합니다. 나. 개선할점 이사건과같이대규모개인정보침해가발생한경우, 침해를입은피해자들이재산상의손해나정신적손해의배상을구하기위해서도단체소송이가능하도록제도를개선할필요가있습니다. 그리고단체소송의요건에서사전에집단분쟁조정을거쳐야만하도록한것도시간의지연만가져오므로생략하는것이바람직합니다. 7. 유출통지제도의개선 가. 문제점 현재개인정보보호법에의하면개인정보침해가발생한경우개인정보유출통지를하도록하고있습니다. 그런데유출통지를하지않아도그에대한처벌규정은 5천만원이하의과태료를부과할수있을뿐이어서이사건의경우홈플러스는피해자들에게전혀유출사실을통지하지않았습니다. 그결과누가피해자인지를알수없었고, 사건의실체를알수없었습니다. - 55 -
개인정보보호법제34조 ( 개인정보유출통지등 ) 1 개인정보처리자는개인정보가유출되었음을알게되었을때에는지체없이해당정보주체에게다음각호의사실을알려야한다. 1. 유출된개인정보의항목 2. 유출된시점과그경위 3. 유출로인하여발생할수있는피해를최소화하기위하여정보주체가할수있는방법등에관한정보 4. 개인정보처리자의대응조치및피해구제절차 5. 정보주체에게피해가발생한경우신고등을접수할수있는담당부서및연락처 2 개인정보처리자는개인정보가유출된경우그피해를최소화하기위한대책을마련하고필요한조치를하여야한다. 3 개인정보처리자는대통령령으로정한규모이상의개인정보가유출된경우에는제1항에따른통지및제2항에따른조치결과를지체없이행정자치부장관또는대통령령으로정하는전문기관에신고하여야한다. 이경우행정자치부장관또는대통령령으로정하는전문기관은피해확산방지, 피해복구등을위한기술을지원할수있다. < 개정 2013.3.23., 2014.11.19.> 4 제1항에따른통지의시기, 방법및절차등에관하여필요한사항은대통령령으로정한다. 나. 개선할점 좀더강력하고효율적인개인정보유출통지제도를마련할필요가있습니다. 그리고이를이행하지않을경우의강력한시정방안이마련될필요가있습니다. 그방안의하나로서개인정보유출통지를하지않을경우개인정보감독기구에서직권으로개인정보유출사실을항목별로고지하는방안을마련할수도있을것입니다. - 56 -
아울러수사기관에서수사발표를할때개인정보유출기업을익명처리하는등과잉보호를하여개인정보침해사고의피해자들이피해구제를받는것을실질적으로방해했는데, 수사기관의수사결과발표도개인정보유출통지제도의취지에비추어좀더구체적이고상세하게할필요가있습니다. 8. 개인정보활용내역에대한편리한확인방법 가. 문제상황 현재개인정보보호법과정보통신망법에의하여개인정보주체들은자신의개인정보를처리하는자에게개인정보수집내역, 활용내역등의열람을요청할수있게되어있습니다. 이는개인정보유출시에자신도피해자인지를확인할수있는효과적인방법입니다. 그런데기업들이비협조적으로제도를운용하여개인정보주체의권리행사를방해하고있습니다. 개인정보보호법제35조 ( 개인정보의열람 ) 1 정보주체는개인정보처리자가처리하는자신의개인정보에대한열람을해당개인정보처리자에게요구할수있다. 3 개인정보처리자는제1항및제2항에따른열람을요구받았을때에는대통령령으로정하는기간내에정보주체가해당개인정보를열람할수있도록하여야한다. 이경우해당기간내에열람할수없는정당한사유가있을때에는정보주체에게그사유를알리고열람을연기할수있으며, 그사유가소멸하면지체없이열람하게하여야한다. 5 제1항부터제4항까지의규정에따른열람요구, 열람제한, 통지등의방법및절차에관하여필요한사항은대통령령으로정한다. 한편시행령은정보주체가열람요구서를제출하면회신을하도록규정하고있 - 57 -
는데, 6) 온라인을통한열람이가능하도록규정을마련할필요가있습니다. 9. 포인트카드와로열티마케팅의문제 가. 문제상황 6) 제41조 ( 개인정보의열람절차등 ) 1 정보주체는법제35조제 1항및제2항에따라자신의개인정보에대한열람을요구하려는경우에는행정자치부령으로정하는바에따라다음각호의사항중열람하려는사항을표시한개인정보열람요구서를개인정보처리자에게제출하여야한다. < 개정 2013.3.23., 2014.11.19.> 1. 개인정보의항목및내용 2. 개인정보의수집 이용의목적 3. 개인정보보유및이용기간 4. 개인정보의제3자제공현황 5. 개인정보처리에동의한사실및내용 3 법제35조제 3항전단에서 " 대통령령으로정하는기간 " 이란 10일을말한다. 4 개인정보처리자는제1항에따른개인정보열람요구서를받은날부터 10일이내에정보주체에게해당개인정보를열람할수있도록하는경우와제42조제 1항에따라열람요구사항중일부를열람하게하는경우에는열람할개인정보와열람이가능한날짜 시간및장소등 ( 제42조제1항에따라열람요구사항중일부만을열람하게하는경우에는그사유와이의제기방법을포함한다 ) 을행정자치부령으로정하는열람통지서로해당정보주체에게알려야한다. < 개정 2013.3.23., 2014.11.19.> 제42조 ( 개인정보열람의제한ㆍ연기및거절 ) 1 개인정보처리자는제41조제 1항에따른열람요구사항중일부가법제35조제 4항각호의어느하나에해당하는경우에는그일부에대하여열람을제한할수있으며, 열람이제한되는사항을제외한부분은열람할수있도록하여야한다. 2 개인정보처리자가법제35조제 3항후단에따라정보주체의열람을연기하거나같은조제4항에따라열람을거절하려는경우에는열람요구를받은날부터 10일이내에연기또는거절의사유및이의제기방법을행정자치부령으로정하는열람의연기 거절통지서로해당정보주체에게알려야한다. < 개정 2013.3.23., 2014.11.19.> - 58 -
쇼핑몰등에서마일리지방식으로적립금을주는것이무엇에대한대가인지논란의여지가있습니다. 상품을구입한것에대한대가라면, 이용내역을수집하여활용하는것은최소수집의원칙에어긋날소지가있습니다. 반면개인정보를활용하도록해준것에대한대가라면이용내역을수집해서활용하는것이최소수집원칙위반은아닐것입니다. 다만이런경우에도이를남용하는것은문제가될수있습니다. [ 홈플러스훼밀리카드소개, 홈페이지캡쳐 ] 그런데현재홈플러스의포인트적립은고객이상품을구매해준것에대한감사 의의미인것처럼소개되고있습니다. 이럴경우이용자의쇼핑내역을모두수집 하여보관하고, 이를분석하는것은최소수집의원칙에어긋나는것으로보입니다. - 59 -
나. 로열티마케팅의공정거래법위반여부 우리나라에만연해있는대기업의로열티마케팅의경우, 소비자에게이익이되는지아니면그와같은마케팅이소비자이익을저해하는것인지분석해볼필요가있습니다. 그동안많은학술연구에서이용실적에따라서할인혜택을주는로열티마케팅이소비자후생에도움이되지않고, 오히려소비자후생을감소시킨다는분석이많았습니다. 소량구매를하는다수의소비자들을희생시키고, 대량구매를하는소비자들에게과도한혜택을부여하는것은차별적취급에도해당합니다. 다. 개선방안 대형마트나쇼핑몰들의마일리지적립이고객이상품을구매해준것에대한감사의의미로적립해주는것이아니라, 개인정보활용동의를해준사람에게만적립을해주는것이라는점을명확하게알리도록해야합니다. 만약그렇지않다면이용내역의삭제를언제든지인정해주어야할것입니다. 아울러로열티마케팅의공정거래법위반여부에대해서도면밀한분석과검토가필요합니다. 10. 개인정보최소수집의원칙과쇼핑내역활용에대한이용 자들의권리, 이용자들의알권리보장을위한방안 가. 문제상황 홈플러스를비롯한대부분의대형마트를비롯한유통업체들은이용자들의쇼핑내 - 60 -
역을수집하여이를분석, 활용하고있습니다. 이들은이용자들에게포인트적립의혜택을제공한다는명목으로동의를받고있는데, 이와같이수집된개인정보를분석, 가공하여자신이직접활용하거나, 제3자에게제공하여활용하고있습니다. 이와관련하여대형마트의이용자개인정보활용실태가이용자에게정확하게알려지고있는지의문입니다. 나. 개선할점 먼저이용자들의쇼핑내역의수집과이용실태가투명하게공개되어야합니다. 개인정보를어떤것을어떻게수집하고있고, 개인정보결합은어떻게이루어지고있는지, 수집한개인정보를어떻게분석하고, 가공하는지도그실태가공개되어야합니다. 이용자들이삭제권을행사할경우에는삭제를해주어야합니다. 특히이용자들이자신의개인정보가어떻게처리되고있는지를온라인을통해서쉽게확인할수있는방안이개인정보보호법에마련되어야할것입니다. 11. 정보의동의요건완화론의등장, 비식별화를통한빅데 이터활용등의움직임에대한우려 이사건을통해대형마트가수집한고객들의개인정보를어떻게활용하는지를엿볼수있었는데, 이들은고객들의개인정보를오로지이윤창출을위한수단으로만활용하고있다는것을알수있었습니다. 우리는이사건을통해서개인정보수집에대한동의는보다더엄격하고확실하게할필요가있다는것도뼈저리게느꼈습니다. 그런데최근업계를중심으로개인정보수집동의의요건을완화해야한다는주장이나, 비식별화된개인정보는개인정보로보지않아야하며, 동의를요하지않고활용할수있게하여빅데이터활용을허용해야한다는등의주장이지속적으로 - 61 -
나오고있습니다. 그나마지금의구멍투성이인법률을누더기로만들겠다는것인데, 이런주장은국제적인추세에도반합니다. 그리고우리나라와같이재식별화의위험이높은환경에서는도저히받아들여질수없는주장입니다. 더구나기업의개인정보오남용에대해서이용자들이전혀통제할수없는상황에서개인정보보호법의완화주장은매우위험스러운주장이기도합니다. 특히개인의민감한쇼핑내역을분석하고, 가공하여활용하는기술이점점발전하고있는상황에서프로파일링에대한규율은절대적으로필요한상황입니다. - 62 -
메모 - 63 -
메모 - 64 -