발간사 개인정보보호법 이시행된지올해로 3년이되었습니다. 국민의개인정보보호에관한인식은과거에비하여상당히높아졌지만개인정보유출사고는끊임없이발생하고있고, 그규모와유형또한점차대형화 다양화되고있습니다. 올해초에는 1억건을훨씬상회하는신용카드고객개인정보가유출된사고까지발생하여그심각성을더하고있습니다. 개인정보분쟁조정위원회는개인정보유출등을둘러싼분쟁을조정하기위해설립된대체적분쟁해결 (ADR) 기구로서, 2001 년 12월설립이래총 4,354 건의분쟁사건에대하여손해배상, 제도개선권고등으로개인정보관련국민의피해를구제하여왔습니다. 또한위원회를통한분쟁조정성립율은 2013 년 84% 에달함으로써개인정보분쟁해결의중심기구로발전하였습니다. 이번에우리위원회는작년한해동안처리한분쟁조정사건들을유형별로정리하고개인정보침해내용과법령위반에따른손해배상의정도등피해구제의내용을구체적으로소개한 2013 년개인정보분쟁조정사례집을발간하게되었습니다. 이사례집이개인정보처리자및정보주체에게분쟁예방을위한가이드라인으로서유용하게활용되기를기대하는바입니다. 개인정보보호에관한인식과함께개인정보침해에관한권리구제의식역시높아지고있습니다. 앞으로도우리위원회는보다효율적이고전문적이며신속한분쟁조정서비스를제공하기위하여최선을다할것을약속드리며, 위원회가제역할을성실히수행할수있도록학계, 법조계및국민여러분의지속적인관심과아낌없는조언을부탁드립니다. 개인정보분쟁조정위원회위원장
Personal Information Dispute Mediation Casebook 개인정보분쟁조정위원회위원명단 구분성명소속 / 직위 위원장홍준형서울대행정대학원교수 상임위원이형기개인정보분쟁조정위원회상임위원 강미은 숙명여대언론정보학부교수 강정화 한국소비자연맹회장 김민호 성균관대법학전문대학원교수 김용표 김용표법률사무소변호사 김자혜 ( 사 ) 소비자시민모임회장 김종구 한국개인정보보호협의회상근부회장 김지현 법무법인태평양변호사 박병호 안전행정부제도정책관 위 원 박춘식염흥열 서울여대정보보호학과교수순천향대정보보호학과교수 윤영미 고려대법학전문대학원교수 윤용 법무법인율촌변호사 이성엽 법률사무소김 & 장변호사 이신두 서울대전기공학부교수 정준현 단국대법학과교수 채휘진 법무법인광장변호사 표용형 법률사무소조은변호사 황덕희 법무법인서울변호사 ( 위원가나다순 )
CONTENTS 제 1 장개인정보분쟁조정위원회 제 1 절개인정보분쟁조정개관 2 Ⅰ. 대안적분쟁해결제도 2 Ⅱ. 개인정보분쟁조정제도의도입배경 9 제 2 절개인정보분쟁조정위원회 10 Ⅰ. 설립근거 10 Ⅱ. 위원회구성 10 Ⅲ. 조정부구성 11 Ⅳ. 기능및권한 12 Ⅴ. 분쟁조정의범위 12 Ⅵ. 분쟁조정절차 13 제 2 장 2013 년도개인정보피해구제현황분석 제 1 절개인정보침해신고접수및유형별현황 20 Ⅰ. 접수현황 20 Ⅱ. 유형별현황 21 제 2 절개인정보분쟁조정위원회조정결정현황 23 Ⅰ. 위원회개최현황 23 Ⅱ. 위원회조정결정현황 23
2013 개인정보분쟁조정사례집 제 3 장주요피해구제사례분석 제 1 절침해유형별조정결정사례 30 Ⅰ. 정보주체의동의없는개인정보수집 30 1. 동의없이개인정보를수집 이용한개인정보처리자에대한손해배상요구 30 2. 동의없이개인정보를수집하여광고성이메일을발송한정보통신서비스제공자에대한손해배상요구 37 Ⅱ. 정보주체의개인정보를수집목적이외의목적으로사용 42 1. 동의없이개인정보를수집하여광고성이메일을발송한정보통신서비스제공자에대한손해배상요구 42 2. 이용자의개인정보를동의없이목적외로이용한정보통신서비스제공자에대한손해배상요구 46 3. 이용자의동의없이고객개인정보를영업목적으로이용한이동통신사업자에대한손해배상요구 51 4. 법정대리인의동의없이아동의개인정보를수집하여마케팅목적에활용한보험회사에대한손해배상요구 55 5. 피보험자개인정보를목적외로이용한보험회사에대한손해배상요구 59 6. 동의없이개인정보를이용하여광고성문자메세지를발송한개인정보처리자에대한손해배상요구 64 Ⅲ. 정보주체의동의없이개인정보를제 3 자에게제공 67 1. 고객개인정보를제3자에게제공한유통업체에대한손해배상및제도개선요구 67 2. 동의없이개인정보를제3자에게제공한보험회사에대한손해배상요구 71 Ⅳ. 개인정보수집 이용목적달성후개인정보미파기 75 1. 탈퇴한회원에게광고성이메일을발송한대형유통사업자에대한손해배상요구 75 2. 탈퇴회원의개인정보를파기하지않고메일을발송한온라인쇼핑몰에대한손해배상요구 79
CONTENTS Ⅴ. 개인정보의기술적 관리적조치미비 83 1. 개인정보가담긴비공개문서를노출시킨어린이집에대한손해배상요구 83 Ⅵ. 기타사례 87 1. 수신을거부한회원에게광고성이메일을발송한정보통신서비스제공자에대한손해배상요구 87 2. 수신거부한이용자에광고성메일을발송한정보통신서비스제공자에대한제도개선요구 92 3. 고객의수신거부의사에반하여마케팅행위를한금융기관에대한손해배상및제도개선요구 96 4. 치아성형전 후사진을동의없이영업목적으로이용한치과병원에대한손해배상요구 100 5. 정보주체의개인정보열람요청에불응한정보통신서비스제공자에대한손해배상요구 103 6. 회원탈퇴이후에도광고성문자메세지를발송한정보통신서비스제공자에대한손해배상및제도개선요구 107 제 2 절조정전합의사례 112 Ⅰ. 정보주체의개인정보를수집목적이외의목적으로사용 112 1. 개인정보를부가서비스가입에이용한이동통신서비스제공자에대한손해배상요구 112 2. 개인정보를요금납부방법변경에이용한케이블방송사업자에대한제도개선요구 113 3. 성형전 후사진을홍보및상담목적으로이용한성형외과병원에대한손해배상요구 114 4. 개인정보를광고성문자메세지발송에이용한개인정보처리자에대한손해배상요구 115 Ⅱ. 정보주체의동의없이개인정보를제3자에게제공 116 1. 이메일을통하여개인정보를제3자에게제공한대학교에대한손해배상요구 116 2. 동의없이처방전을제3자에게제공한의료기관에대한손해배상요구 117 3. 동의없이개인정보를제3자에게제공한개인정보처리자에대한손해배상요구 118
2013 개인정보분쟁조정사례집 Ⅲ. 개인정보수집 이용목적달성후개인정보미파기 119 1. 수신거부및개인정보처리정지요구에불응한개인정보처리자에대한개인정보삭제요구 119 2. 회원탈퇴이후에도광고성문자메세지를발송한정보통신서비스제공자에대한개인정보처리정지요구 120 3. 회원탈퇴및개인정보삭제요구에불응한정보통신서비스제공자에대한제도개선요구 121 Ⅳ. 개인정보의기술적 관리적조치미비 122 1. 정보주체의본인확인방법을제한적으로운영하는정보통신서비스제공자에대한제도개선요구 122 2. 탈퇴한회원의개인정보를검색사이트에노출시킨정보통신서비스제공자에대한손해배상요구 123
제 1 절 개인정보분쟁조정개관 Ⅰ. 대안적분쟁해결제도 대안적 ( 소송외적 ) 분쟁해결제도란분쟁의발생시제 3 자가관여하거나또는관여없이 당사자쌍방의자율적의사및합의에의하여분쟁을해결하는방식으로서법원의소송제도에의한분쟁해결방식을보완하는의미를지니고있다. 인간의사회생활중발생한분쟁은원칙적으로분쟁당사자간에양보와타협으로스스로해결하는것이원칙이나, 대다수의분쟁은당사자스스로해결하기어려우므로이러한경우에는제3자가개입하여분쟁을해결할수있다. 제3자가관여하는분쟁해결방식중대표적인것은 법원에의한소송 인데, 이는분쟁해결주체로서법원의권위를기대할수있고, 집행에있어서도강제력이부여되기때문에가장확실하고신뢰할수있는분쟁해결방식이라고할수있다. 그러나소송에의한분쟁해결방식은그처리기간이비교적장기간이며, 비용도과다하다는것이단점으로지적된다. 이에따라소송제도에갈음한 대안적( 소송외적 ) 분쟁해결제도 (ADR: Alternative Dispute Resolution) 가각광을받고있는데우리나라에서는대안적분쟁해결제도로서화해, 조정, 중재, 알선등다양한제도가각종법률에근거하여운영되고있다. 외국에는중재 (Arbitration), 중재와조정의중간적형태 (Med-Arb), 조정 (Mediation), 화해 (Conciliation), 알선 (Facilitation), 협상 (Negotiation), 의견제시또는권고 (Opinion or Recommendation), 결정 (Determination), 이행고지 (Enforcement Notice) 등다양한제도가있다. 2
대안적분쟁해결제도는보다신속하게분쟁해결을기대할수있고, 비용이저렴하며분쟁해결절차도법원의소송에비해간편하다는장점이있는반면, 분쟁해결결과에대한이행강제력이없기때문에, 어느일방이합의사항을이행하지않는경우에는분쟁당사자는또다시법원에제소해야한다는단점도있다. 대안적분쟁해결기법의종류는다음과같다. 1. 조정 (Mediation) 조정은가장발달된대체적인분쟁해결방법이다. 소송과달리조정은토론의장을제공하고그토론의장에서중립적인제3자의도움을받아당사자가자신들의문제를해결할수있도록한다. 조정자는당사자에대해결정을촉구하지않고, 당사자간대화를통해다툼이된쟁점을파고들도록도움을주는역할을수행한다. 이를위해조정자는당사자들을다음의 5단계로이끌게된다. 첫째, 조정자는당사자로하여금자발적으로조정에참여한다는취지의진술을하게하고, 차기일정의장소와시간을정하게하며비밀준수를서약하게하는등절차에관하여동의하도록한다. 이단계에서중요한점은상호대립각을세워어떠한것에도동의하지않으려던당사자들이 예 라고답변할수있는기반을비로소조성하게된다는점에있다. 둘째로, 조정자는유도방식이아니라쌍방당사자가면대면으로, 돌아가면서최초의입장을상호교환하게한다. 이단계에서처음으로각당사자는타방당사자의의견을충분하게청취하게되어사건의양면성을발견하게되며, 서로의입장이타협을통해조율될수있다는가능성을인식하게된다. 셋째로, 당사자들이소위협의절차에동의하게되면, 조정자는개별적으로각당사자들과의접촉을통해서경우에따라서는당사자들의최초주장에대한현실검증에당사자를참여시키면서대안모색을개시하게된다. 3
넷째로, 당자사간견해차를좁히게되면, 조정자는당사자간을오가며제안과반대제안을하거나회의등을통해당사자가각각의제안을교환할수있도록기회를마련하기도한다. 마지막으로당사자가합의에도달하게되면, 쌍방당사자는정식으로그합의문을다시확인하고합의문에서명하게된다. 당사자들이조정절차를정하고, 협의할수있기때문에분쟁의당사자들은재판관과같은외부의제3자에의해해당당사자에게선고되는결정보다는조정과정에서얻어진합의문을선호할가능성이크다. 조정이갖는그밖의장점으로는당사자가조정절차에서합의에도달하게되면항소나분쟁해결의지연, 추가적인비용부담또는불측의위험등으로부터부담없이해당분쟁을종료할수있다는점이다. 과거지향적인소송과달리조정은미래지향적이기때문에조정합의는상거래관계나고용관계등계속적관계를갖고있는당사자에게는매우유익한것으로평가되고있다. 2. 중재 (Arbitration) 중재는중립적인제3자가분쟁당사자의주장을듣고법원에의해강제집행될수있는구속적인결정을내리게된다는점에서는전통적인소송과유사하다. 차이점이있다면, 중재에있어서는분쟁당사자가그분쟁이발생하기전에계약서등을통해그절차에관해협약하여결정할수있다는점이다. 분쟁당사자들은상호간그들의사건을누가청문할것인지를결정하며, 절차는법원에의한것보다는약식의형태를취하게된다. 가장구별되는점은법원의재판과달리중재는대부분항소절차를제공하지아니한다는점에있다. 따라서중재결정으로사건은종료하게된다. 3. 조정중재 (Mediation-Arbitration) 조정중재는조정과중재를결합한것으로조정자는양당사자의견해가근접할수있도록노력하여합의에도달하게하는역할을수행하되, 양당사자가합의에이르지못하면조정자가중재자가되거나또는다른중재자에의하여종국적이고구속적인결정을위한조정절차로가게된다. 4
4. 약식심리 (Minitrial) 약식심리는대안적분쟁해결에서발전된것으로제조물책임, 대규모의건설및반트러스트사건과같이복잡다단한법률및사실문제가포함된대규모의분쟁을해결함에있어서그장점이발휘되고있다. 약식심리에서각당사자는통상의재판에서와같이각각변론하지만해당사건이당사자에의해직접심리되며변론은극단적으로압축되게된다는점에서재판과차이점을보인다. 약식심리에있어변호사와전문가는사건의응축된버전을양당사자의수뇌부에변론해야한다. 중립적인조언자는 ( 때때로는해당분야의전문가 ) 수뇌부와함께배석하여청문을주재하기도한다. 이러한변론을거쳐서수뇌부는쌍방당사자의강점과약점을충분하게인식하게되고그렇게됨으로써문제의해결을위한협상을시도하게된다. 이들은협상을할수없게되면중립적인조언자의의견을구하여협상안을도출하게된다. 이러한시도가성공하기위한열쇠는쌍방당사자의최고실무자의출석과약식심리중에발생한정보를교환하는것에있다. 약식심리변론은수뇌부로하여금분쟁을외부인이보는바대로보게하고협력적인해결의장을마련하는것을허용한다는점에특징이있으며, 법원의심리와의중요한차이점은통신특권과변호사업무에적용되는규칙을제외하고증거규칙은약식심리에적용되지않는다는점에있다. 또다른차이는약식심리는기록되지않기때문에사본이생산되지아니한다. 마지막으로, 절차는철저하게비밀이보장되며, 절차중에만들어진제안이나진술은법원심리에서는원용하지못한다. 1) 1) http://law.jrank.org/pages/8591/minitrial.html 5
5. 조기중립적평가 (Early Neutral Evaluation) 조기중립적평가 2) 는분쟁에대한일방또는쌍방당사자가해당사건과관련하여경험이있는자 ( 일반적으로는변호사 ) 의조언을구하고자할때이용된다. 정통한외부인에의한객관적인평가는당사자로하여금자신의사건을직시하도록하여당사자스스로강점과약점을파악할수있도록하는경우가많다는점에착안한방법이다. 물론, 이러한기법의성공여부는중립적인제3당사자의공정성과객관성에대한당사자의신뢰와문제를해결하고자하는당사자의의지에달려있다. 이절차는다음의순서에따른다. 3) 먼저, 쟁점사안에정통한경험이있는법률가인평가자는의뢰인의약식모임을주선하며다음과같은조언을한다. a 각당사자는 - 조언자, 의뢰인또는증인을통해 - 증거와자신에게유리한주장을행한다 ( 증거법리에대한고려는행하여지지아니하고증인에대한직접또는교차심문도하지아니한다 ) b 평가자는동의부분을확인하며, 쟁점을명백히하고당사자로하여금절차적및실체적약정에이를수있도록격려한다. c 평가자는다음의사항을담은평가서를작성한다. - 개연성이있는불법책임과피해범위 - 양당사자의상대적강점과약점에대한조사결과 - 위와같은조사결과의근거 d 평가자는다음의어느하나에해당하는당사자에게평가를요청한다. - 평가 ( 어느일방당사자가요청하면제출되어야하는평가 ) 에대한청문을요청하는자 2) 이제도는자신의주장과증거에관하여당사자상호간직접소통을증진하고, 중립적인전문가에의한사건의시시비비에관한평가를제공하며, 소송의뢰인과변호사를위한실체점검 (reality check) 을제공하고, 분쟁의핵심을명백히하며, 당사자의요청이있는때합의토론을용이하게함을목적으로한다. ; http://cand.uscourts.gov/ene 3) 주 2) 의홈페이지참조. 6
- 평가자가주선하는합의토론, 때로는당사자와의각각의개별모임에참가하기위해평가에대한청문의연기를요청하는자 - 쟁점이된발견을도출하거나추가적인공개를위해평가에대한청문의연기를요청하는자 e 합의토론이성립되지아니하거나사건을해결하지못하면평가자는다음과같이할수있다. - 당사자들로하여금추가정보를공유하게하는계획을수립하게하거나당사자로하여금신속하게유익한합의토론에이를수있게하거나사건의핵심적인내용을밝혀내기위한계획을수립할수있도록도움을제공한다. - 당자사들이소송비용을실질적으로추산할수있도록도움을제공한다. - 어떠한형태의후속세션이사건의진행또는합의에도움을줄수있는것인지의여부에대해판단한다. 6. 약식배심원심리 (Summary Jury Trial) 약식배심원심리는주로미국의연방법원에서이용되고있는방법이다. 연방법원의약식배심원심리는당사자들이배심원집단앞에서자신의사건을압축된형태로심리받을기회를제공한다. 조기중립적평가와같이약식배심원심리에의한조언은당사자로하여금자신의사건에대한강점과약점을평가할수있도록하여분쟁해결을용이하게한다. 약식배심원심리의또다른장점은약식심리와공통적인것으로서재판보다신속하게분쟁을해소한다. 조기평가를통해당사자들로하여금자신들의사건을해결할수있도록함으로써당사자들은소송에서와같은시간이나비용의낭비및우려등을피할수있다. 4) 법원의명령이있으면소송을중단하고약식배심원심리를행하게된다. 법원은이러한권한을연방민사소송규칙 (Federal Rules of Civil Procedure) 제16조 5) 에서 4) http://en.wikipedia.org/wiki/summary_jury_trial 5) 이조의 (a) 항은다음과같이규정하고있다. (a) 공판전회의의목적. 모든소송에서법원은다음각호의어느하나의목적을위해변호인과대표되지아니하는당사자를하나또는그이상의공판전회의에출석할것을명할수있다. 1. 소송종결의촉진 (expediting disposition of the action) 2. 관리부재로사건이지연되지않도록하기위한통제의조기확립과지속 7
찾고있다. 때로는당사자들스스로가다른당사자로하여금사건을재평가하게하는도구로서약식배심원심리를요청하기도하고, 쌍방당사자가약식배심원심리를요구하기도한다. 약식배심원심리는실체적인발견이완벽하게이루어지고현안이해결된후에행하여지게된다. 6명의배심원은일반적인배심원패널중에서선출된다. 약식배심원심리를위해법원은배심원을명부에등재하게된다. 대다수의사건에있어법원은배심원은자문적이어야한다는것과평결은비구속적성격을갖는다는것에대한설명없이배심원을배석하게한다. 이로부터실질적인배심원과가능한유사한기능을도출하게된다는점은명백하다. 변호인이변론을하기는하지만증인을부르지는아니한다. 이론상이러한모의연습은배심원이사건을어떻게다루어야하는것인지에대한방향을제시한다. 이러한약식배심원심리는당사자간합의에이르게되면관련이있는모든사람에게비용면에서나시간적인면에서경제적일뿐아니라, 항소절차도피할수있는장점이있는반면, 배심원이절차의중심을차지하는제도의특성상당사자들에게법적쟁점의결과에관하여아무런유용한단서도제공하지못하기때문에법률쟁점의해소에는별반도움이되지못한다. 대안적분쟁해결제도는그주관기관에따라민간단체형 법원부속형 행정기관담당형등으로나누어지는바, 우리나라의경우에는민간단체에의한것으로는 소비자기본법 제31 조에근거하여공정거래위원회에등록한소비자단체의협의체와법률적근거없이대한체육회규칙에근거한한국스포츠중재위원회 6) 를들수있고, 법원에의한경우는주로조정과관련한것으로 가사조정법 에의한가사조정과 민사조정법 에의한민사조정이있다. 현행법상가장주류를이루는대안적분쟁해결은행정기관형으로서 7) 개인정보보호법 에의한개인정보분쟁조정위원회, 소비자기본법 에 3. 낭비적인공판전활동의자제촉구 4. 보다철저한준비를통한공판의질적개선 5. 해결 (settlement) 의촉진 6) 김원태, 재판외분쟁해결제도의현상과과제, 법학연구, 충북대학교법학연구소, 2011, 53 쪽. 7) 김유환교수는 행정기관형의경우당사자간의합의에무게를두기보다는담당기관의판단에대한권위에의해 8
의한소비자분쟁조정위원회, 저작권법 에의한저작권위원회, 산업기술의유출방지 및보호에관한법률 에의한산업기술분쟁조정위원회등이있다. Ⅱ. 개인정보분쟁조정제도의도입배경 개인정보의이슈에있어서, 기업, 정부등개인정보처리자가고객의개인정보를적절히활용함으로써영업의효율성을높이고고객의편의성을제고할수있다는긍정적측면은인정되지만, 인터넷등정보통신기술의발달로인해유출된개인정보는순식간에가공할만한속도로광범위하게유포될수있고, 이러한유출로인한프라이버시나인격권침해뿐아니라보이스피싱등에의한재산적피해의우려가크다는부정적측면도또한심각하게고민하고해결해야할국가적과제로제기되고있다. 개인정보의유출이나오남용에의한피해는동시에수많은사람에게발생할수있으며, 정신적피해 재산적피해등그피해액을정확히예측하거나산정하기어려운것이현실이다. 특히기업의고객개인정보이용과관련하여우려되는점은정보주체가스스로개인정보의유출이나오 남용을사전에인지또는통제하기어려우며, 개인정보침해에대한사후적구제조치에의한원상회복도거의불가능하다는것이다. 이에따라개인정보침해에대한피해구제는시간과비용이많이들고절차가번거로운기존의소송제도만으로는적절한피해구제를도모할수없다는인식이확산되었다. 그리고이러한배경에서세계각국에서는개인정보보호전문기관을두고, 소송외적분쟁해결방식을마련하여개인정보피해를구제하고있으며우리나라에서도 2001년부터개인정보분쟁조정제도가도입되어운영되고있다. 분쟁을해결한다는점에서는엄밀하게보자면조정이아니라중재 (adjudication) 에해당한다 는취지의비판을하고있음에주목해야한다. 행정사건에대한재판외분쟁해결제도, 법학논총, 이화여자대학교법학연구소, 2001, 3/18 쪽참조. 9
제 2 절 개인정보분쟁조정위원회 Ⅰ. 설립근거 개인정보분쟁조정위원회는개인정보와관련된분쟁이발생한경우당사자간에합리적이고원만하게분쟁을해결하기위하여설립된대안적분쟁해결기구로서, 정보통신망이용촉진및정보보호등에관한법률 제33조에근거해 2001년 12월 3일발족하였다. 이후, 2011 년 9 월 30 일 개인정보보호법 이시행되면서위원회설치에대한근거 법률이 정보통신망이용촉진및정보보호등에관한법률 에서 개인정보보호법 으로바뀌었고, 그에따라그규모와기능면에서도커다란변화를맞게되었다. Ⅱ. 위원회의구성 개인정보에관한분쟁의조정을위하여설치되는위원회는위원장 1 명을포함한 20 명이내의위원으로구성되며, 그중 1 명은상임위원이된다. 위원은 1개인정보보호업무를관장하는중앙행정기관의고위공무원단에속하는공무원또는이에상당하는공공부문및관련단체의직에재직하고있거나재직하였던사람으로서개인정보보호업무의경험이있는사람, 2대학이나공인된연구기관에서부교수이상또는이에상당하는직에재직하고있거나재직하였던사람, 3판사 검사또는변호사로재직하고있거나재직하였던사람, 4개인정보보호와관련된시민사회단체또는소비자단체로부터추천을받은사람또는 5개인정보 10
처리자로구성된사업자단체의임원으로재직하고있거나재직하였던사람중에서안전행정부장관이임명 ( 위원장 ) 또는위촉하게된다 ( 법제40조 ). 조정위원은자격정지이상의형을선고받거나심신상의장애로직무를수행할수없는경우를제외하고는그의의사에반하여면직되거나해촉되지아니하도록그신분을보장 ( 법제41조 ) 함과아울러분쟁사건과관련하여위원의제척 기피 회피를규정하여분쟁사건에대한위원회의심의 의결에대한중립성내지공정성을도모하고있다. 8) Ⅲ. 조정부구성 위원회는조정업무의효율적처리를위하여조정부를설치할수있으며, 조정부는조정사건의분야별로위원장이지명하는 5명이내의위원으로구성하되그중 1명은변호사자격이있는위원으로하게된다. 이러한조정부가위원회에서위임받아의결한사항은위원회에서의결한것으로간주된다 ( 법제40조제6항, 같은법시행령제49조 ). 현재위원회는위원장과상임위원을포함하여 20인의위원으로구성되어있으며, 조정부는 3개의분과별로구성되어있는바, 제1 분과는일반분쟁 ( 위원 8인 ) 을, 제2 분과 ( 위원 5인 ) 는공공및일반분쟁을그리고제3분과 ( 위원 5인 ) 는집단및일반분쟁을각각관장하고있다. 8) 과거국가배상법상배상심의의회의결정에대해재판상화해효력을규정한조항이위헌으로판단된가장근본적인이유는중립성의상실에있었던점에주목할필요가있다 ; 이사건심판대상조항부분은 사법절차에준한다고볼수있는각종중재 조정절차와는달리배상결정절차에있어서는심의회의제 3 자성 독립성이희박한점, 심의절차의공정성 신중성도결여되어있는점 을종합하여볼때, 나아가국민에게그러한법관에의한재판을청구할수있는기본권을보장하고자하는헌법의정신에도충실하지못한것이다 ( 헌법재판소전원재판부 1995. 5. 25. 91 헌가 7). 11
Ⅳ. 기능및권한 위원회는개인정보와관련한분쟁조정을고유기능으로하고있다. 위원회는필요한 경우조정절차를진행하기전에당사자에게합의를권고할수있다. 또한위원회는분쟁조정을위해필요한자료의제공을분쟁당사자에게요청할수 있으며, 분쟁당사자또는참고인으로하여금위원회에출석하게하여의견을들을수있다. 분쟁당사자는정당한사유가없는한위원회의자료제공요청에응해야한다. 또한위원회는분쟁조정사건의심의를통하여손해배상결정뿐아니라피해예방활동, 법제도개선건의, 기업의잘못된거래행태에대한시정권고등을통해국민의권리보호및기업능률향상과건전한개인정보이용환경구축에도이바지하고있다. Ⅴ. 분쟁조정범위 위원회는개인정보, 즉생존하는개인에관한정보로서성명 주민등록번호등을비롯하여개인을알아볼수있는부호 문자 음향및영상등의정보침해로인한분쟁이면모두조정대상으로하고있다. 특히위원회는현재의 개인정보보호법 에서규율하고있는개인정보침해이외에도 정보통신망이용촉진및정보보호등에관한법률, 신용정보의이용및보호에관한법률, 의료법 및 민법 등관련법률의규정에의한개인정보침해등에대해서도조정대상에포함시켜오고있다. 위원회는제6차위원회 (2002.5.20) 에서위원회의조정범위에대하여 정보통신망이용촉진및정보보호등에관한법률 위반사건에한정하지아니하며신청인및피신청인도 정보통신망이용촉진및정보보호등에관한법률 상이용자및정보통신서비스제공자에한정하지아니하기로결정한이래, 개인정보침해사건에대해서는 12
모두위원회가조정할수있고개인정보를침해당한자및침해한자는모두조정사건의신청인및피신청인이될수있다는입장을견지해오고있다. 특히, 개인정보보호법 시행에따라공공기관을대상으로한분쟁조정사건도처리대상이되고있다. 다만, 타기관에서처리함이타당하다고판단되는사건에대하여는위원회의결정으로그사건을처리대상에서제외할수있다. Ⅵ. 분쟁조정절차 1. 신청권자 현행 개인정보보호법 은개인정보와관련한분쟁의해결을위한소송외적수단으로서조정제도를도입하면서분쟁조정의신청권자로서는일반적인분쟁조정신청권자와집단분쟁조정신청권자를전제하고있다. 즉, 같은법제43 조제1항은개인정보와관련한분쟁의조정을원하는자에대한분쟁조정신청권을, 제49조제 1항은정보주체의피해또는권리침해가다수의정보주체에게같거나비슷한유형으로발생하는경우에있어서의국가및지방자치단체, 개인정보보호단체및기관, 정보주체, 개인정보처리자에대한집단분쟁조정신청권을각각규정하고있다. 집단분쟁조정신청권에있어서특징적인것은소비자에대해집단적으로분쟁조정신청권을인정하고있지아니한 소비자기본법 9) 과달리정보주체에대하여도집단적인분쟁조정신청권을인정하고있다는점이다. 2. 신청요건 일반적인분쟁조정신청자에대하여는같은법제43조제 1항이 개인정보와관련한분쟁의조정을원하는자 로규정하는외에별도의요건을두고있지는아니하나, 9) 김도연, 소비자집단분쟁조정제도에관한소고, 경성법학, 경성대학교법학연구소, 2007, 12. 197 쪽및 소비자기본법 제 68 조제 1 항참조. 13
집단분쟁조정의경우에는제49조제1 항및같은법시행령제52 조에의하여정보주체의피해또는권리침해가다수의정보주체에게같거나비슷한유형으로발생하는경우로서 1피해또는권리침해를입은정보주체의수가개인정보처리자와분쟁해결이나피해보상에관한합의가이루어진정보주체와같은사안으로다른법령에따라설치된분쟁조정기구에서분쟁조정절차가진행중인정보주체및해당개인정보침해로인한피해에대하여법원에소 ( 訴 ) 를제기한정보주체등을제외하고 50명이상인사건과 2사건의중요한쟁점이사실상또는법률상공통된사건에대하여는위원회에일괄적인분쟁조정을의뢰또는신청할수있도록별도의요건을두고있다. 3. 절차의개시및공고 절차의개시및공고에있어서도분쟁조정을원하는자에의한일반적인분쟁조정과정보주체의피해또는권리침해가다수의정보주체에게같거나비슷한유형으로발생하는때에허용되는집단분쟁조정의경우를달리규정하고있다. 전자의경우에는별도의공고절차없이위원회가분쟁조정의신청을받은때에그신청내용을상대방에게알리면되나 ( 법제43조 ), 집단분쟁조정의경우에는이해관계인이불특정다수라는점에서 14일이상의기간동안위원회의홈페이지및 신문등의진흥에관한법률 에따라전국을보급지역으로하는일반일간신문에게재하는등의공고를한후 ( 법제49조제2항및같은법시행령제53조 ) 집단분쟁의조정절차를개시할수있다. 4. 참가신청 위원회는집단분쟁조정의당사자가아닌같거나비슷한유형의개인정보를침해받은정보주체또는개인정보처리자로부터그분쟁조정의당사자에추가로포함될수있도록하는신청을받을수있다 ( 같은법제49조제3항 ). 집단분쟁조정의당사자가아닌정보주체또는개인정보처리자가추가로집단분쟁조정의당사자로참가하려면 14일의공고기간중에문서로참가신청을하여야하고, 위원회는제1항에따라집단 14
분쟁조정당사자참가신청을받으면제1항의신청기간이끝난후 10일이내에참가인정여부를문서로알려야한다 ( 같은법시행령제54조 ). 5. 대표당사자의선임 집단분쟁조정의경우위원회는그의결로써집단분쟁조정의당사자중에서공동의이익을대표하기에가장적합한 1인또는수인을대표당사자로선임할수있다 ( 법제49 조제4항 ). 이는다수의피해자가있는분쟁해결절차의특성상이해관계인모두가출석 진술하여야하는등의번거로움을없애고분쟁을신속 용이하게해결하기위한방법이라고할것이다. 6. 분쟁조정기간 일반분쟁조정의경우에는분쟁조정의신청을받은날로부터, 집단분쟁조정의경우에는공고가종료된날의다음날부터 60일이내에심사하여조정안을작성하여야하고부득이한사정이있는경우에는위원회의의결로처리기간을연장할수있도록하여 ( 법제44조, 제49 조제 7항 ), 양자간기산점에차이를두는외에처리기간은모두 60일로하고있다. 7. 소제기등과분쟁조정절차의중지또는제외 일반분쟁조정의경우에는조정의처리절차중일방당사자가소를제기하게되면그조정의처리가중지되고이를당사자에게알려야하나 ( 법제48조2제2항 ), 집단분쟁조정의경우에는집단분쟁조정의당사자인정보주체중일부가법원에소를제기하였다고하더라도당연히절차가중지되지않고소를제기한정보주체만이절차에서제외된다 ( 법제49조제 6항 ). 15
8. 조정전합의권고 일반분쟁의경우에는분쟁조정신청을받았을때위원회가당사자에게그내용을제시하고조정전합의를권고할수있음을명시하고있으나 ( 법제46 조 ), 집단분쟁조정의경우에는이러한규정이없어위원회가대표당사자에게조정전합의를권고할수있는지의문이다. 그러나, 대안적분쟁해결제도가당사자의이해와양보를통한분쟁의신속 효율적인해소를그기본으로한다는점에서집단적인분쟁조정이라고하여달리볼것은아니라고할것이다. 9. 조정결정 위원회는 조사대상침해행위의중지, 원상회복, 손해배상, 그밖에필요한구제조치 또는 같거나비슷한침해의재발을방지하기위하여필요한조치 중의어느하나의사항을포함하여조정안을작성하면지체없이당사자에게제시하여하며, 조정안을제시받은당사자는제시받은날로부터 15일이내에조정안의내용에대한수락여부를알려야하고, 수락여부를알리지아니하면조정을거부한것으로본다 ( 법제47조 ). 10. 보상권고 집단분쟁조정에대하여는집단분쟁의당사자가아닌자로서피해를입은정보주체에대한보상계획서를작성하여위원회에제출할것을권고할수있도록하여집단분쟁에참가하지못하였지만같거나유사한피해를본정보주체의보호를도모하고있다 ( 법제49조제5 항 ). 11. 조정의효력 위원회가제시한조정안에대하여당사자가수락하여조정조서가유효하게작성되면, 해당조정의내용은재판상화해와동일한효력을갖게되고 ( 법제47조제 5항 ), 16
민사소송법상재판상화해는확정판결과동일한효력이있으므로 ( 민사소송법제220 조 ), 위원회에의한조정의효력은확정판결과동일한효력을갖게된다. 현재의판례는재판상의화해조서에대해무제한의기판력을인정하고있으므로 10) 재판상화해의효력을인정하고있는조정조서에대하여도무제한으로기판력이인정된다는결론에이르게된다. 따라서조정의당사자는조정내용의흠을이유로취소나무효의주장을할수없고, 조정내용에불복하여소를제기할수도없으며, 확정판결의재심사유와같은사유가있을때에만준재심 ( 민사소송법제461 조 ) 의절차에의하여다툴수있을뿐이다. 다음은개인정보분쟁조정절차도표로설명한것이다. 일반분쟁조정절차 10) 대법원 2006.6.29. 선고 2005 다 32814,32821 판결대법원 1962. 2. 15. 선고 4294 민상 914 전원합의체판결, 1981. 2. 24. 선고 80 다 1838 판결, 1992. 11. 27. 선고 92 다 8521 판결등. 17
18 집단분쟁조정절차
제 1 절 개인정보침해신고접수및유형별현황 Ⅰ. 접수현황 2013 년개인정보피해구제민원은총 177,736 건이접수되어 2012 년에접수된 166,801 건보다 10,935 건 (6.6%) 이더증가한것으로나타났다. 표 2-1 : 전년대비민원증감률 구분 2012 년 2013 년증감률 개인정보침해민원 166,801 177,736 6.6% 접수된민원총 177,736건을살펴보면, 민원인에게정보주체의권리, 법령, 유관기관안내등정보제공을해줌으로써상담으로종료한민원이 175,389 건이고, 민원의대상이된사업자에대한법위반여부조사등사실조사절차를거쳐처리한민원이 2,347 건이다. 이중위원회에서처리한분쟁조정건은총 173 건이다. 20
Ⅱ. 유형별현황 최근 5 년간개인정보침해민원을접수유형별로살펴본결과는다음과같다. 표 2-2 : 개인정보침해접수유형분석 ( 단위 : 건 ) 침해유형 2009 2010 2011 2012 2013 정보주체의동의없는개인정보수집 1,075 1,267 1,623 3,507 2,634 개인정보수집시고지의무불이행 15 75 53 396 84 과도한개인정보수집 115 146 379 847 1,139 고지한범위를넘어선목적외이용또는제 3 자제공 1,171 1,202 1,499 2,196 1,988 개인정보취급자에의한훼손 침해또는누설 158 158 278 941 1,022 개인정보처리위탁절차위반 6 25 36 125 44 영업의양수등의통지의무불이행 6 22 64 44 47 개인정보보호 ( 관리 ) 책임자미지정 10 21 38 48 51 기술적 관리적조치미비로인한개인정보유출등 819 1,551 10,958 3,855 4,518 수집또는제공받은목적달성후개인정보미파기 294 323 488 779 602 열람또는정정, 삭제, 처리정지요구불응 680 826 662 717 674 동의철회 열람 정정을수집보다쉽게해야할조치미이행 603 630 800 660 510 법정대리인의동의없는아동의개인정보수집 19 35 71 47 36 주민등록번호등타인정보의훼손 침해 도용 6,303 10,137 67,094 139,724 129,103 기타개인정보침해 23,893 38,414 38,172 12,915 35,284 합계 35,167 54,832 122,215 166,801 177,736 특히 2013년의민원접수현황을유형별로살펴보면, 주민번호등타인정보의훼손 침해 도용 관련민원이 2012 년 139,724 건에서 2013 년 129,103 건으로, 2013 년대비 7.6% 감소하였지만여전히전체민원건수의 73% 를차지하고있는데, 이는 2013년 8월부터온라인상에서의주민등록번호신규수집이전면금지됨에따른영향과타인에의해가입된웹사이트의탈퇴, 가입정보에대한삭제요청등정보주체의 자기정보통제 를위한확인수단인 주민등록번호클린센터 에대한이용자의이용이활성화되었기때문인것으로분석되고있다. 21
주목할만한개인정보침해유형은 정보주체의동의없는개인정보수집 및 고지한범위를넘어선목적외이용또는제3자제공, 수집또는제공받은목적달성후개인정보미파기, 개인정보수집시고지의무불이행 등으로 2009 년부터 2012년까지꾸준한증가추세를보였던침해유형으로서, 2011년 개인정보보호법 시행이후 2년만에각각 25%, 9%, 23%, 79% 감소하였는데, 이는 개인정보보호 에대한다각적인홍보및계도로국민의 개인정보보호법 에대한인지도가대폭상승하였고, 이에따른개인정보처리자등사업자의개인정보보호조치가반영되어나타난결과로해석된다. ( 개인정보보호법관련대국민인지도 : 12년 3월 33.4% 13 년 7월 91%, 2013 년 9월안전행정부발표 ) 반면 과도한개인정보수집 및 기술적 관리적조치미비로인한개인정보유출 은 2012 년 847건, 3,855 건에서 2013 년 1,139 건, 4,518 건으로, 전년대비각각 34%, 17% 증가하였는데, 이는앞서언급되었듯이 2013 년 8월, 정보통신망이용촉진및정보보호등에관한법률 에대한개정이이루어지면서부터온라인상에서의주민등록번호신규수집이전면금지됨에따른영향으로, 법시행이후에도온라인으로주민등록번호를수집하고있는정보통신서비스제공자등개인정보처리자에대한정보주체의침해신고와주민등록번호수집이전면금지된개인정보처리자들의대체방안마련을위한문의및상담이증가하였기때문으로여겨진다. 2013 년개인정보침해관련민원접수의전반적현황을종합하면, 개인정보보호의중요성에대한사회전반적인인식제고가이루어짐으로써, 개인정보의수집 이용에대한고지및동의획득, 수집한개인정보의목적외이용또는제3자제공등기본적인침해행위등이전년대비감소하였지만, 여전히끊이지않고발생하는대량의개인정보유출사고등은사업자의기술적 관리적조치의무소홀인경우가많아이에대한관련법령의의무준수등보호조치수준에대하여서는향후에도지속적인개선노력이필요할것으로보여진다. 22
제 2 절 개인정보분쟁조정위원회조정결정현황 Ⅰ. 위원회개최현황 2013 년도위원회는아래 < 표 2-3> 에서보는바와같이 6 회의전체회의, 18 회의조 정부회의등총 24 회개최되었다. 표 2-3 : 개인정보분쟁조정위원회회의실적 ( 단위 : 회 ) 구분 2009년 2010년 2011년 2012년 2013년 위원회개최 20 18 16 24 24 전체회의 11 11 10 4 6 조정부회의 9 7 6 20 18 2009 년 2월부터조정부회의개최 Ⅱ. 위원회조정결정현황 2013 년위원회에서처리한분쟁조정건수는총 173 건으로 12 년 143 건대비약 21% 증가하였으며, 개인정보보호법 활성화에따라분쟁조정대상에포함된공공기관대상분쟁조정신청은 12년 12건에서 10건으로소폭감소하였다. 개인정보피해구제에대한위원회의조정결정내역은다음의 < 표 2-4> 와같다. 23
위원회분쟁조정 표 2-4 : 개인정보분쟁조정위원회조정결정현황 ( 단위 : 건 ) 구분 2009 년 2010 년 2011 년 2012 년 2013 년 조정전합의 50 53 21 32 40 인용 조정성립 72 37 30 29 14 결정 조정불성립 20 94 19 15 10 기각결정 3 6 55 20 8 각하결정 - 1 1 47 101 합계 145 191 126 143 173 2010 년조정불성립 94 건중 81 건은동의없이일반요금제를정액요금제로변경한통신사에대한분쟁조정신청건을병합하여처리한건임 2011 년기각결정건수 55 건중 52 건은동일내용으로 5 개사업자에대하여분쟁조정신청한건을병합하여처리한건임 다음으로위원회에상정되어심의한건에대한분쟁조정성립률을살펴보면, 2013 년분쟁조정건수 64건 ( 기각등제외 ) 중 54건이조정성립되어조정성립률은 84% 로, 2012년의 80%, 2011년의 72% 보다증가한조정성립률을보이고있다. 11) 위원회가내린조정결정의유형은다음의 < 표 2-5> 와같다. 표 2-5 : 개인정보분쟁조정위원회조정결정유형 ( 단위 : 건 ) 위원회분쟁조정 구분 2009년 2010년 2011년 2012년 2013년 조정전합의 50 53 21 32 40 제도개선 41 12 11 12 8 제도개선및손해배상 31 32 31 26 9 손해배상 20 87 7 6 7 기각 3 6 55 20 8 각하 - 1 1 47 101 합계 145 191 126 143 173 2013 년위원회가조정전합의건을제외한심의건수 133건중제도개선을결정한건은 8건인데, 이는피신청인의법위반등잘못은인정되지만정신적피해를인정하기 11) 조정성립률산식 : 조정성립건수 ( 조정전합의건수포함 ) 상정건수 ( 기각건수불포함 ) 100 24
곤란한경우또는신청인이손해배상을원하지않고제도개선만을원하는경우에해당한다. 또한피신청인에대하여제도개선과손해배상지급결정을내린건은 9건으로위원회에서신청인의정신적손해배상및피신청인의개인정보보호를위한제도개선이필요하다고내린결정건이이에해당한다. 다음으로손해배상결정만을내린건은 7건으로, 피신청인이이미개인정보보호를위한필요한조치를다하였지만신청인에대한손해배상책임이인정되는경우에해당한다. 2013 년도에는다른해보다각하결정이 101건으로상대적으로많았는데, 그이유는 개인정보보호법 이시행되었음에도불구하고지속적으로발생해온일련의개인정보유출사고들을겪은국민들의개인정보보호에관한인식및유출에관한불안감이고조되어개인정보분쟁사건이아님에도불구하고적극적으로민원을신청한결과라고풀이된다. 위원회에접수된피해유형별내역은다음의 < 표 2-6> 와같다. 표 2-6 : 개인정보분쟁조정접수유형분석 ( 단위 : 건 ) 조정신청사유 2009 2010 2011 2012 2013 합 계 145 191 126 143 173 정보주체의동의없는개인정보수집 19 8 12 19 21 개인정보수집시고지의무불이행 - - - - - 과도한개인정보수집 - 1 1 1 5 고지한범위를넘어선목적외이용또는제3자제공 41 125* 19 76 43 개인정보취급자에의한훼손 침해 누설 5 3 4 2 4 개인정보보호기술적 관리적조치미비 22 27 76** 17 26 수집또는제공받은목적달성후개인정보미파기 9 9 5 10 13 열람정정, 삭제, 처리정지요구불응 16 6 2 1 13 동의철회 열람 정정을수집보다쉽게해야할조치미이행 - 2-1 1 기타개인정보침해 ( 개인정보취급방침수정요청등 ) 33 10 7 16 47 * 2010 년 고지한범위를넘어선목적외이용또는제 3 자제공 유형에서 125 건중 81 건은한통신사에대한분쟁조정신청건으로일괄처리한건임 ** 2011 년 개인정보기술적 관리적조치미비 유형에서 76 건중 52 건은 5 개사업자의해킹사고로인한개인정보유출에대한분쟁조정신청건으로. 일괄처리한건임 25
2013 년분쟁조정사건을유형별로살펴보면, 전체 173 건중 고지한범위를넘어선목적외이용및제3자제공 (43 건, 25%), 개인정보보호기술적 관리적조치미비 (26 건, 15%), 정보주체의동의없는개인정보수집 (21 건, 12%) 이가장많은유형으로나타나고있다. 고지한범위를넘어선목적외이용또는제3자제공 은 2012 년 76건에서 2013 년 43건으로감소하였지만여전히많은비율을차지하고있는데, 구체적인침해내용을살펴보면고객의전화번호, 이메일등을동의없이홍보목적으로이용하거나, 보험사나온라인쇼핑몰등제휴업체에제공한사례가많았다. 개인정보보호기술적 관리적조치미비 의경우 2012년 17건에서 2013년 26건으로증가하였는데, 사업자들이적절한보호조치없이고객의개인정보를온라인게시판등을통해노출하거나, 해킹등을통한개인정보유출사고가대부분이었다. 이용자동의없는개인정보수집 은 2012 년 19건에서 2013 년 21건으로소폭증가하였는데, 관련사업자들은멤버십회원가입, 온 오프라인이벤트, 제휴사, 공개된인터넷홈페이지등을통해수집하였다고주장하지만적법한동의를받지못하였거나, 공개된개인정보라도사회상규를벗어나수집 이용한경우가많았다. 위와같이개인정보의목적외이용및제3자제공, 무단수집에대한분쟁조정신청이증가한것은 2011 년 9월 개인정보보호법 시행이후국민들의개인정보보호에대한인식수준이제고된결과로보인다. 또한해킹을통한이동통신사의대량개인정보유출사고가발생한사건이전국민적인관심을가지면서일반국민들이보이스피싱등 2차피해가우려되는개인정보유출은물론개인정보수집 이용시사업자및공공기관이적법한절차를준수하는지여부에도관심을가지게된것으로분석된다. 한편, 기타개인정보침해의구체적인내용은다음과같다. 수신거부회원에게광고성이메일을발송, 치아성형전 후사진을동의없이영업목적으로이용, 회원탈퇴이후에도광고성문자메세지를발송등의경우이다. 또한기타개인정보침해유형은위에서설시한침해의여러유형중어느하나에만해당한다고단정할수없어기타로분류하였다. 무단으로수집한개인정보를제3자에게제공한경우, 목적을달성하였음에도미파기한개인정보를목적외로이용한경우등사건 26
발생유형이중첩하는경우인데, 개인정보침해사고는과거의단순한유형에서벗어나날이갈수록점차다양화복잡화되고있는것이라분석된다. 최근개인정보유출사고가지속적으로발생하면서사회문제가되고있다. 이에따라사업자등개인정보처리자는개인정보유출사고를예방하기위하여정보주체의주민등록번호와비밀번호의암호화등개인정보 DB에대한철저한관리, 접근통제시스템설치및운영등개인정보보호기술적 관리적조치의무를성실히이행하고개인정보취급자등내부직원에대한개인정보보호교육을실시하여야할것이다. 이에발맞추어개인정보분쟁조정위원회는개인정보침해행위로실생활에서발생하는국민불편을최소화하기위하여분쟁조정을통해사업자및공공기관에게침해재발방지대책마련을지속적으로권고하고언론등에관련사례를널리홍보 전파할예정이다. 또한, 개인정보보호주무부처인안전행정부와개인정보보호위원회등에대표적인침해유형및사례등을제공하고취약분야에대한집중적인교육, 홍보, 실태점검등을건의하는등관계기관과공동의노력을펼쳐갈예정이다. 27
28
제 1 절 침해유형별조정결정사례 Ⅰ. 정보주체의동의없는개인정보수집 사례 1 동의없이개인정보를수집 이용한 개인정보처리자에대한손해배상요구 1. 사건개요 신청인은 2012년 3월 시 A 아파트분양홍보관을방문하여관심고객신청서를작성하였으나, 개인정보수집및이용에대한동의는하지않음 이후, 신청인은 2013년 3월 4일, 8일에 A 아파트관련광고성문자를 2차례수신함 신청인은 A 아파트고객센터에관련사실을문의하였고, - 피신청인 1이 A 아파트분양홍보관운영시수집한관심고객카드에기재된신청인의개인정보를이용하여광고성문자를발송한사실을확인함 이후신청인은 2013년 4월 2일, 피신청인 1과합의를통해자신의개인정보를동의없이광고목적에이용한문제에대하여원만히해결하였으나, - 4월 19일, 4월 22일, 5월 10일, 피신청인 1, 2, 3으로부터아파트분양관련광고성문자및 TM을수신함 이에, 신청인은자신의동의없이개인정보를수집하여이용한피신청인 1, 2, 3 ( 이하 피신청인들 ) 에대하여정신적손해배상을요구하는분쟁조정을신청함 30
< 사건개요 > 1 2012. 3. 25. : 2 2013. 3. 4. : 3 2013. 3. 8. : 4 2013. 4. 2. : 5 2013. 4. 19. : 6 2013. 4. 22. : 7 2013. 5. 10. : 신청인은 OO시 A 아파트분양홍보관에서 관심고객등록카드 에개인정보를기입하였으나, 개인정보수집및이용 에대한동의란에는서명하지않음 피신청인 1 로부터광고성문자를수신함 피신청인 1 로부터광고성문자를수신함신청인과피신청인1은 2차례광고성문자발송한사실에대해이의제기하지않는조건으로손해배상금 OO만원을신청인에게지급한다는합의에동의함피신청인 2로부터광고성문자를수신함피신청인 3으로부터광고성문자를수신함피신청인 1로부터광고성 TM을수신함 2. 피신청인주장 < 피신청인 1 > : A 아파트분양홍보관운영및분양대행사 피신청인 1은 2012년 3월경신청인이작성한관심고객카드에기재된개인정보를이용하여광고성문자를발송하였는데, - 이사안에대하여신청인에게손해배상금 OO만원을지급함으로써합의를통해종결한사안이라고소명함 또한피신청인 1은신청인과의합의이후신청인에게광고성 TM이진행된것은무작위로전화번호를만드는프로그램을사용하여발생된사안이라고소명함 < 피신청인 2 > : 주택분양대행사 피신청인 2는직원이개인적으로보유하고있었던신청인의연락처를이용하여광고성문자를발송한것으로 - 해당직원이신청인의민원을접수하고연락하여사과및재발방지를약속하였으나신청인이이를거절하였다고소명함 31
< 피신청인 3 > : 주택분양대행사 피신청인 3은퇴사한직원이개인적으로보유하고있었던신청인의연락처를이용하여광고성문자를발송한것으로 - 신청인에게개인정보를수집하거나유출한사실이없음에대해전화상으로안내하였다고소명함 3. 사실조사 가. 신청인과피신청인들과의관계 신청인은피신청인 1이운영한아파트분양홍보관에방문하여관심고객관리카드를작성한고객이나, 피신청인 2 및피신청인 3과는직접적인관계가없음 나. 피신청인들에대한법률적용여부 피신청인 (1,2,3) 은업무를목적으로개인정보파일을운용하기위하여스스로또는다른사람을통하여개인정보를처리하는법인으로서 개인정보보호법 의 개인정보처리자 에해당하여이법의적용을받음 다. 피신청인 1이신청인의개인정보를수집한경위및동의획득여부 피신청인 1은분양홍보관에방문한고객을대상으로관심고객카드를작성하여고객의개인정보를수집하는데, - 2012년 3월신청인이홍보관에직접방문하여작성한관심고객카드를통해신청인의개인정보를수집함 그러나해당관심고객카드에명시된 개인정보수집및이용목적등에대한동의 란에신청인의서명날인은없었음 32
라. 피신청인 2와피신청인 3이신청인의개인정보를수집한경위및동의획득여부 피신청인 2 와피신청인 3은직접신청인으로부터개인정보를제공받은것이아니라각소속직원이개별적인방법을통하여신청인의연락처를수집한것이라고소명함 4. 위원회의견 < 피신청인 1 > 개인정보보호법 제15조제1항은 개인정보처리자는정보주체의동의를받은경우에는개인정보를수집할수있으며그수집목적의범위에서이용할수있다 고규정함 위조항은개인정보처리자가정보주체의개인정보를수집및이용하기위해서는해당정보주체에게사전에동의를받아야함을규정한것임 여기에서 동의 라함은개인정보처리자가개인정보를수집 이용하는것에대한정보주체의자발적인승낙의의사표시인바, - 정보주체에게 동의 의권리를인정하여개인정보처리자가정보주체의자발적인승낙의사표시 ( 서명날인 구두 온라인동의등 ) 없이개인정보를자의적으로수집및이용하는행위를방지하기위한규정임 이사건에서피신청인은분양홍보관운영시신청인이관심고객카드에작성한개인정보를이용한것이라고소명하고있으나, - 해당관심고객카드내용을확인하여본결과, 신청인이개인정보를기입하였으나, 개인정보수집및이용에대한동의의사표시인 서명날인 은하지않은사실이인정되므로, 33
- 피신청인 1 은정보주체의개인정보를이용하려고수집할경우, 사전에 알리고동의를얻어야함을규정한 개인정보보호법 제15조를위반하였다고판단됨 < 피신청인 2 > 개인정보보호법 제15조제1항은 개인정보처리자는정보주체의동의를받은경우에는개인정보를수집할수있으며그수집목적의범위에서이용할수있다 고규정함 위조항은개인정보처리자가정보주체의개인정보를수집및이용하기위해서는해당정보주체에게사전동의를받아야함을규정한것임 이사건에서피신청인은신청인의개인정보를신청인에게적법한절차에따라수집한것이아니라, 불명확한방법에따라신청인의동의를받지않고개인정보를수집한것으로, - 개인정보를수집및이용하기위해서는정보주체의동의를얻어야함을규정한 개인정보보호법 제15조를위반하였다고판단됨 < 피신청인 3 > 개인정보보호법 제15조제1항은 개인정보처리자는정보주체의동의를받은경우에는개인정보를수집할수있으며그수집목적의범위에서이용할수있다 고규정함 위조항은개인정보처리자가정보주체의개인정보를수집및이용하기위해서는해당정보주체에게사전동의를받아야함을규정한것임 이사건에서피신청인은신청인의개인정보를신청인에게적법한절차에따라수집한것이아니라, 불명확한방법에따라신청인의동의를받지않고개인정보를수집한것으로, 34
- 개인정보를수집및이용하기위해서는정보주체의동의를얻어야함을 규정한 개인정보보호법 제 15 조를위반하였다고판단됨 5. 위원회결정 < 피신청인 1 > 피신청인은 개인정보보호법 제15조에서정한동의획득절차를위반하여신청인의개인정보를명확한동의절차없이수집 이용하는등신청인에게개인정보의오남용우려등피해를입혔다고인정되므로, - 피신청인은신청인에게금200,000원의손해배상금을지급하여야한다. 아울러, 유사사례가발생하지않도록개인정보수집 이용시 개인정보보호법 등관련법령에부합하는 개인정보수집 이용동의절차 및해당동의에대한정보주체의명확한의사확인절차등을마련하는등재발방지를위해필요한계획을수립하고이행하는등제도를개선하여야한다. < 피신청인 2 > 피신청인은 개인정보보호법 제15조에서정한동의획득절차를위반하여신청인의개인정보를정당한고지및동의절차없이수집 이용하는등신청인에게개인정보의오남용우려등피해를입혔다고인정되므로, - 피신청인은신청인에게금100,000원의손해배상금을지급하여야한다. 아울러, 유사사례가발생하지않도록개인정보수집 이용시개인정보보호법 등관련법령에부합하는 개인정보수집 이용동의절차 및해당동의에대한정보주체의명확한의사확인절차등을마련하는등재발방지를위해필요한계획을수립하고이행하는등제도를개선하여야한다. 35
< 피신청인 3 > 피신청인은 개인정보보호법 제15조에서정한동의획득절차를위반하여신청인의개인정보를정당한고지및동의절차없이수집 이용하는등신청인에게개인정보의오남용우려등피해를입혔다고인정되므로, - 피신청인은신청인에게금100,000원의손해배상금을지급하여야한다. 아울러, 유사사례가발생하지않도록개인정보수집 이용시 개인정보보호법 등관련법령에부합하는 개인정보수집 이용동의절차 및해당동의에대한정보주체의명확한의사확인절차등을마련하는등재발방지를위해필요한계획을수립하고이행하는등제도를개선하여야한다. 36
사례 2 동의없이개인정보를수집하여광고성이메일을발송한정보통신서비스제공자에대한손해배상요구 1. 사건개요 신청인은 2013. 2. 18. 5년이넘도록서비스를이용하지않은피신청인으로부터광고성이메일을수신함 신청인은 2013. 2. 19. 피신청인의고객만족센터에연락하여광고성이메일이발송된경위를문의하였고, - 피신청인은회원가입시필수적으로광고메일수신및개인정보활용에동의해야하기때문에이에따라신청인에게광고성이메일을발송하였다고답변함 이에신청인은자신의동의없이광고성이메일을발송한피신청인에대하여제도개선및정신적손해배상을요구하는분쟁조정을신청함 2. 피신청인주장 피신청인의온라인사이트는회원가입시 이용약관 에반드시동의해야하는데, - 피신청인은신청인이회원가입시위이용약관에동의함에따라, 신청인에게광고성이메일을발송하였으며, 신청인의 2013. 2. 19. 자민원에의해광고성이메일은수신거부처리되었다고소명함 37
3. 사실조사 가. 피신청인에대한법률적용여부 피신청인은자사의온라인사이트 (www.n.co.kr) 를운영하고있는자로서, 정보통신망이용촉진및정보보호등에관한법률 ( 이하 정보통신망법 ) 제2조제1항제3호의정보통신서비스제공자에해당하여이법의적용을받음 나. 신청인과피신청인과의관계 피신청인은금융기관과업무제휴를통하여개인사업자에게세무회계솔루션을제공하는업체이고, - 신청인은과거사업체를운영하던당시피신청인의서비스를이용하였던자임 다. 피신청인이신청인에게광고성이메일을발송한경위및광고성이메일수신에관한동의획득여부 피신청인의온라인사이트는개인정보보호를위한 개인정보취급방침 을항상게시하고있으며, 회원가입시 이용약관 에반드시동의해야하며, - 피신청인은개인정보취급방침및이용약관제10조 ( 정보의제공및광고의게재 ) 에근거하여신청인에게광고성이메일을발송하였다고소명함 4. 위원회의견 가. 신청인의정신적손해발생여부판단 이메일광고는회원여부와상관없이원칙적으로표기의무만준수한다면누구에게나손쉽게발송할수있기때문에 1회성광고메일발송행위자체가위법성을띠고있다고보기어렵고, 38
- 피신청인이신청인에게광고성이메일을 1회발송하였지만, 신청인의명시적인수신거부의사표시이후에는광고성이메일을발송한사실이없으며, - 비록피신청인이법령에서규정한광고성이메일발송표기의무를준수하지못하였고, 회원가입시홈페이지이용약관에반드시동의하도록한것이정보통신망법에위반된다하더라도, - 피신청인은신청인의수신거부요청에따라즉시그문제를해결하는등적극적으로노력하였고, 신청인으로서는회원가입이후피신청인에게광고성이메일에관한명시적인수신거부의사표시를할수있었던기간이충분했다는점등을고려할때, - 신청인에대한손해배상책임을인정할만한정신적피해가발생하였다고보기는어렵다고판단됨 나. 피신청인의법위반여부판단 정보통신망이용촉진및정보보호등에관한법률 ( 이하 정보통신망법 ) 제50조제1항은누구든지전자우편등의매체를이용하여수신자의명시적인수신거부의사에반하는영리목적의광고성정보를전송하여서는아니된다고규정함 동조제4항및시행령제61조제2항은영리목적의광고성정보를전자우편을이용하여전송하는자는전송정보의유형및주요내용을구체적으로명시할것을규정함 동법제24조의 2 제3항은개인정보의제3자제공에대한동의와개인정보취급위탁에대한동의를하지않는다는이유로서비스제공을거부하여서는아니된다고규정함 사안에서, 피신청인은신청인의명시적인수신거부의사표시이후에는광고성이메일을발송하지않았으므로, 39
- 명시적인수신거부의사에반하는영리목적의광고성정보를전송하지않도록 규정한정보통신망법제 50 조제 1 항은위반하지아니하였다고판단됨 그러나피신청인은신청인에게광고성이메일을발송하면서제목이시작되는부분에 ( 광고 ) 표기의무및수집한전자우편주소의출처명시의무를위반한사실이인정되므로, 영리목적의광고성정보를전자우편을이용하여전송하는자는전송정보의유형및주요내용을구체적으로명시할것을규정한정보통신망법제50조제4항및동법시행령제61조제2항을위반하였다고판단됨 또한, 피신청인의온라인사이트는회원가입시개인정보의제3자제공에관한동의간주규정이그내용으로포함된 이용약관 에동의하지않으면회원가입자체가불가능하여온라인사이트의서비스를이용할수없게되므로, - 개인정보의제3자제공에대한동의와개인정보취급위탁에대한동의를하지아니한다는이유로서비스제공을거부할수없다는정보통신망법제24조의2 제3항을위반하였다고판단됨 5. 위원회결정 이사건피신청인은법령에서규정한광고성이메일발송표기의무를준수하지못하였고, 회원가입시홈페이지이용약관에반드시동의하도록함으로써, 신청인으로하여금정보주체로서의권리가부당하게제한되고있다는불안감을조성한점은인정되나, - 이러한사정만으로는금전으로위자할만한정신적손해를입었다고평가하기는어려우므로, 신청인이주장하고있는정신적피해에대한손해배상요구는인정하기어렵다고판단됨 40
그러나피신청인은향후유사한사례가발생하지않도록, 광고성이메일전송시 정보통신망이용촉진및정보보호등에관한법률 등에규정된표기의무및수집출처고지사항을준수하고, 피신청인의온라인사이트회원가입시개인정보의제3자제공에대한동의와개인정보의취급위탁에대한동의를개인정보의수집 이용동의와구분하여받고, 이에동의하지아니한다는이유로서비스제공을거부하지않도록재발방지조치에필요한계획을수립하여이행하는등제도를개선하여야한다. 41
Ⅱ. 정보주체의개인정보를수집목적이외의목적으로사용 사례 1 동의없이개인정보를수집하여광고성이메일을발송한정보통신서비스제공자에대한손해배상요구 1. 사건개요 신청인은 2013년 1월 28일에회원가입이나서비스를이용하지않은피신청인으로부터광고성이메일을수신함 신청인은 2013년 1월 30일에피신청인의대표자에게연락하여광고성메일이발송된경위를문의하였고, - 피신청인은아는지인으로부터신청인의이메일주소를전달받아피신청인이발간하는인터넷신문관련내용을신청인에게이메일을발송하였다고답변함 이에신청인은자신의동의없이개인정보를수집하여광고성메일을발송한피신청인에대하여제도개선및정신적손해배상을요구하는분쟁조정을신청함 2. 피신청인주장 피신청인은 2012년 8월 15일 A 라는인터넷신문웹사이트를개설한후, 홍보를위하여피신청인대표자의친구 지인등으로부터전달받은이메일주소로광고성메일을발송하였는데, - 신청인의민원접수이후신청인에게홍보메일을발송한경위와사과내용이담긴이메일을발송하였으며, 향후신청인에게광고성이메일을발송하지않을것이라고소명함 42
3. 사실조사 가. 피신청인에대한법률적용여부 피신청인은 A (www.t.co.kr) 라는사이트를운영하고있는회사로서, 정보통신망이용촉진및정보보호등에관한법률 ( 이하 정보통신망법 ) 제2조제1항제3호의정보통신서비스제공자 ( 부가통신사업자 ) 에해당하여이법의적용을받음 피신청인과신청인간에이용 제공의관계는존재하지않으므로, 기본적으로 정보통신망법 을적용하기어려우나, 불법스팸규정 ( 정보통신망법제 50 조부터제 50 조의 8 까지 ) 는이용 제공의관계유무와상관없이누구에게나적용되는법률이므로이법을적용함 나. 신청인과피신청인과의관계 신청인은피신청인과서비스이용계약을맺은회원이아님을확인함 다. 피신청인이신청인에게광고성메일을발송한경위 피신청인은인터넷신문 A 홍보를위해친구및지인등의도움을받아홍보성이메일을발송한것이라고소명함 라. 신청인의민원에대한피신청인의대응 신청인은피신청인으로부터광고성이메일을수신하여피신청인에게자신의개인정보수집출처에대하여문의함 (2013.01.30) - 이에피신청인은광고의목적이아니라좋은정보제공차원에서이메일을발송한것으로, 신청인의이메일정보를피신청인의지인을통해전달받았고, 이와같은불편을드려죄송하다는사과와함께향후광고성이메일을발송하지않겠다고답변함 43
4. 위원회의견 가. 신청인에게광고성이메일을발송한피신청인의책임유무 정보통신망법 제50조제1항은누구든지전자우편그밖에대통령령이정하는매체를이용하여수신자의명시적인수신거부의사에반하는영리목적의광고성정보를전송하여서는아니된다고규정함 또한, 제4항은 영리목적의광고성정보를전자우편이나그밖에대통령령으로정하는매체를이용하여전송하는자는대통령령으로정하는바에따라전송정보의유형및주요내용, 전송자의명칭및연락처, 전자우편주소를수집한출처등의사항을광고성정보에구체적으로밝혀야한다 고규정함 이사건에서, 피신청인은신청인의수신거부의사표시이후광고성이메일을발송하지않았으므로, - 명시적인수신거부의사에반하는영리목적의광고성정보를전송하지않도록규정한 정보통신망법 제50조제1항은위반하지아니하였다고판단됨 그러나피신청인은광고성메일을발송하면서제목이시작되는부분에 ( 광고 ) 표기의무및 수집한전자우편주소의출처명시의무 를위반하여신청인에게이메일을발송한사실이인정되므로, - 영리목적의광고성정보를전자우편을이용하여전송하는자는전송정보의유형및주요내용을구체적으로명시할것을규정한 정보통신망법 제50조제4항및시행령제61조제2항을위반하였다고판단됨 나. 신청인의정신적피해및손해배상적정성판단 먼저, 피신청인이신청인의개인정보관련권리를침해하였는지여부에대하여살펴보면, - 이메일광고는회원여부와상관없이원칙적으로표기의무만준수한다면누구에게나발송할수있기때문에이러한메일발송자체가불법이라고보기어려운점, 44
- 피신청인이신청인에게광고성이메일을 1회발송하기는하였으나, 신청인의명시적수신거부이후에는피신청인이광고성이메일을발송하지않은점등을고려할때, - 피신청인이신청인의개인정보관련권리를침해하여정신적피해를입혔다고보기는어렵다고판단됨 또한, 손해배상의범위를산정하기위한요소를살펴보더라도, - 피신청인이수집한신청인의이메일주소만으로는다른개인정보와결합되지않는한개인식별이어렵다는점, - 스팸관련법률규정상이메일스팸의경우 수신자가거부의사를밝힌경우에재전송을금지 (opt-out) 하도록하고있고, 전화스팸의경우 수신자에게사전에수신동의를받아야전송가능 (opt-in) 하도록규정하여, 이메일스팸발송에대해상대적으로완화하여규정되어있다는점, - 피신청인이광고성이메일발송표기의무를준수하지못한점은인정되나, 신청인의수신거부요청에대해바로해결하고사과하는등문제해결을위하여적극적으로노력한점등의상황을종합적으로고려해볼때, - 피신청인의손해배상책임을인정할만한신청인의정신적피해가있었다고보기는어렵다고판단됨 5. 위원회결정 피신청인은 정보통신망이용촉진및정보보호등에관한법률 제 50조제4항및시행령제61조제2항을위반하여광고성정보전송의유형및전자우편주소의수집출처를구체적으로명시하지않고신청인에게광고성이메일을발송한사실이인정되므로, - 이와유사한사례가발생하지않도록광고성메일전송시관련법령에규정된표기의무및수집출처고지사항을준수할수있도록하는등제도를개선하여야한다. 45
사례 2 이용자의개인정보를동의없이목적외로이용한정보통신서비스제공자에대한손해배상요구 1. 사건개요 신청인은 2011년 7월 5일기간통신사업자인피신청인의 A 서비스 에가입하여이용하던중, 2012년 1월 3일에결합상품으로피신청인의 B 서비스 에추가로가입하였고, - B 서비스 이용요금을 2~3개월간납입하지않았음 B 서비스 : 일정용량의무선데이터를이용할수있는서비스 A 서비스 : 와이파이망에접속해인터넷전화를이용하는서비스 피신청인은 2012년 4월 14일신청인을미납고객으로등록후, 4월 17일에체납요금징수업무를위탁한 OO신용정보 ( 주 ) 에신청인의개인정보를전달함 OO신용정보 ( 주 ) 는 2012년 4월 24일부터 7월 31일까지수차례미납안내문자 (10회) 와우편물 (4회) 을신청인에게발송하였으나수납되지않았고, - 2012년 8월 6일신청인의휴대전화로전화하였으나통화가어려워, 유선전화번호로연락하여미납된사실을신청인가족에게고지함 이에, 신청인은 B 서비스 가입시수집된정보가아니라 A 서비스 가입시수집한유선전화번호를 B 서비스 요금징수에이용하고, - 제3자인 OO신용정보 ( 주 ) 에제공한피신청인에게정신적손해배상을요구하는분쟁조정을신청함 46
2. 피신청인주장 피신청인은신청인의미납사실이확인되어체납징수업무를위탁한 OO신용정보 ( 주 ) 에신청인의개인정보를전달한것으로, - 신청인의고객정보에등록된유선전화번호를이용하여미납요금에대한사실을알린사안으로, 신청인이주장하는바와같이동의없이수집하여제3자에게제공한것이아니라고소명함 3. 사실조사 가. 피신청인에대한법률적용여부 피신청인은 전기통신사업법 의규정에따라방송통신위원회의허가를받은기간통신사업자로서 정보통신망이용촉진및정보보호등에관한법률제2조제1항제3호의정보통신서비스제공자에해당되어이법의적용을받음 나. 신청인과피신청인과의관계 신청인은피신청인의 A 서비스 및 B 서비스 를이용하고있는이용자임을확인함 신청인은 2011년 7월 5일 A 서비스 신청이후현재까지이용중인피신청인의고객으로, 피신청인은신청인의성명, 주민등록번호, 유선전화번호, 주소, 청구납부정보등의정보를보유하고있음 < 신청인의서비스가입정보 > 구분 A 서비스 B 서비스 가입일시 2011. 7. 5 2012. 1. 3 수집된개인정보 성명, 유선전화번호, 법정대리인정보 ( 성명, 주민등록번호, 연락처 ) 성명, 주민등록번호, 휴대전화번호, 주소 47
다. 피신청인과 OO신용정보 ( 주 ) 와의관계 피신청인은 OO신용정보 ( 주 ) 에채권추심업무를위탁하고있고, - 개인정보취급방침 제8장개인정보취급의위탁 에수탁사로 OO신용정보 ( 주 ) 와위탁한업무내용을공개하고있음 라. 피신청인이신청인의개인정보를수탁업체 (OO신용정보( 주 )) 에제공한경위 피신청인은 2012년 4월 14일신청인의 B 서비스 요금미납사실확인후신청인을미납고객으로등록하였고, - 이후, 2012년 4월 17일미납요금징수업무를위탁한 OO신용정보에신청인의미납사실과함께신청인의성명, 휴대전화번호, 유선전화번호등의개인정보를제공하였음 4. 위원회의견 가. 신청인의개인정보를 OO신용정보 ( 주 ) 에제공한피신청인의책임유무 정보통신망이용촉진및정보보호등에관한법률 ( 이하 정보통신망법 ) 제25조제2항은 정보통신서비스제공자등은정보통신서비스의제공에관한계약을이행하기위하여필요한경우로서 위탁받는자와위탁업무 를제27 조의 2제1항에따라공개하거나전자우편등대통령령으로정하는방법에따라이용자에게알린경우에는개인정보취급위탁에따른제1항의고지절차와동의절차를거치지아니할수있다 고규정함 피신청인은체납관리업무를 OO신용정보 ( 주 ) 에위탁하고있고, 관련내용을자사의인터넷홈페이지 개인정보취급방침제8장개인정보의취급위탁 에공개하였으며, 48
- 신청인또한 B 서비스 및 A 서비스 가입당시피신청인의개인정보수집 이용및위탁 제공관련내용에대하여동의를하였음 - 이에따라신청인의개인정보를채권추심목적으로수탁사 OO신용정보 ( 주 ) 에전달한것이므로, 정보통신망법 제25조를위반하였다고보기는어렵다고판단됨 나. A 서비스 목적으로수집한신청인의개인정보를 B 서비스 미납요금징수에이용한피신청인의책임유무 정보통신망법 제24 조는정보통신서비스제공자가수집한개인정보를이용시최초동의받은목적의범위를벗어나해당개인정보를이용하는것을금지하며, - 개인정보의수집 이용목적이원래의목적과다르거나변경된경우에는이용자에게별도의동의를얻을것을규정하고있음 피신청인이 A 서비스 가입을위해신청인으로부터수집및이용에동의를받은개인정보는해당서비스계약체결시고지하고동의받은이용목적으로만이용해야하고, - B 서비스 의미납요금징수행위는 정보통신망법 제22조제2항제2호에서규정하고있는 요금정산 의범위에포함되지않으며, - A 서비스 가입시수집한개인정보를이용하여 B 서비스 미납요금을징수하는행위는 신용정보보호법 제32조제4항제4호에서규정하고있는 채권추심 의범위에포함되지않는다는소관부처의해석에따라, - 피신청인은수집한개인정보를이용자로부터동의받은목적과다른목적으로이용함으로써, 정보통신망법 제24조를위반한것으로판단됨 49
5. 위원회결정 피신청인은신청인의명시적인동의없이 A 서비스 가입시수집한개인정보를 B 서비스 미납요금징수를위한채권추심행위에이용함으로써, 신청인의개인정보를수집한목적범위외로이용하여개인정보의오 남용우려등정신적피해를입혔다고인정되므로, - 피신청인은신청인에게금300,000원의손해배상금을지급하여야한다. 아울러, 피신청인은이사건과유사한사례가발생하지않도록, 이용자의개인정보를최초수집목적이외로이용시명시적으로동의받을수있도록이와관련된동의획득절차를마련하여재발방지조치에필요한계획을수립하고이행하는등제도를개선하여야한다. 50
사례 3 이용자의동의없이고객개인정보를영업목적으로이용한이동통신사업자에대한손해배상요구 1. 사건개요 2012년 6월 2일, 피신청인의대리점직원 ( 김OO 氏 ) 이신청인의동의없이고객정보를조회하여, 휴대전화구매등을권유하는 TM을진행함 이에신청인은동의없이자신의개인정보를조회하여영업목적으로이용한피신청인에대하여손해배상을요구하는분쟁조정을신청함 2. 피신청인주장 이사건 TM을진행한대리점의직원 A( 유OO 氏 ) 는여자친구였던신청인에게휴대전화구매를요청하기위하여, 고객정보조회권한자인대리점동료 B( 김OO 氏 ) 에게신청인의전화번호와주민등록번호를제공하여고객정보를조회하였으나, - 신청인에게연락한시점은알수없으며, 대리점에서신청인에게 TM을진행한것이아닌지인으로서기기변경권유를하였던것으로본건이 TM으로보기에는어려운점이있다고소명함 3. 사실조사 가. 피신청인에대한법률적용여부 피신청인은 전기통신사업법 의기간통신사업자로서 정보통신망이용촉진및정보보호등에관한법률 의정보통신서비스제공자에해당되어이법의적용을받음 51
나. 신청인과피신청인과의관계 신청인은피신청인의이동통신서비스를이용하는고객으로서, 이용자관계임을확인함 - 개통일자 : 2010년 07월 28일 다. 피신청인의대리점에서신청인에게 TM을진행한경위 피신청인의대리점 (OOOO, OO도 OO시 OO동 ) 직원인 A( 유OO 氏 ) 는여자친구였던신청인에게휴대전화구매를요청하기위하여동료 B( 김OO 氏 ) 에게신청인의개인정보 ( 휴대전화번호및주민등록번호 ) 를제공하여고객정보를조회함 고객정보조회이후대리점직원 B( 김OO 氏 ) 는 2012년 6월 2일, 신청인에게휴대전화구매를권유하는 TM을진행함 고객정보조회를통하여확인가능한정보 : 휴대전화모델명, 요금납부내역, 부가서비스가입내역, 주소, 은행계좌번호등 이사건 TM 을진행한대리점 (OOOO) 은신청인의가입신청을담당했던대리점이아니며, 직원 B( 김 OO 氏 ) 또한신청인과지인관계가아님 라. 신청인이 TM 등광고성정보수신에동의하였는지여부 2010년 7월28일신청인가입당시, 피신청인은 TM이나광고성정보전달등마케팅관련내용을개인정보수집 이용목적에명시하였으며, 이에대한업무를대리점, 판매점, 판매사등에게위탁하는내용에대하여또한신청인의동의를획득함 피신청인의마케팅 CRM 업무 : 단말기출시 변경, 요금제컨설팅, 요금할인등각종서비스 상품 ( 회사, 협력사, 제휴사가제공하는이동통신, 인터넷, 유선 인터넷전화, IPTV, FMC 등방송통신상품, 금융상품, 결합 제휴상품, 무선데이터, 스토리지등데이터 컨텐츠서비스, 부가서비스, 전자상거래서비스포함 ) 이벤트안내및유치, 이를위한텔레마케팅이나광고성정보전달포함 52
마. 피신청인의대리점 (OOOO) 에서고객정보조회및 TM 등을진행할수있는지여부 피신청인의대리점에서고객정보를조회하기위해서는이동통신서비스및부가서비스가입, 변경, 요금수납, 해지등업무와관련하여조회가가능하며, - 이경우고객의동의또는신분증확인절차를거쳐회사가권한을부여한직원의 ID로고객휴대폰번호와주민등록번호를입력하여야함 또한피신청인은개인정보의수집 이용및취급위탁등에대한동의획득시 TM 등이포함된마케팅 CRM 업무를대리점의위탁업무에포함하여대리점에서의 TM이가능하도록동의는받고있으나, - 실질적으로, TM 진행시에는동의고객을기준으로프로모션별리스트를추출하여진행하므로, 대리점자체내에서이루어지는 TM은불가하다고소명함 피신청인과이사건대리점 (OOOO) 과의대리점계약서제 1 조 ( 목적 ) 에서는위탁하는업무의내용을 회사 ( 피신청인 ) 가제공하는서비스의가입 유치등의업무 로규정하고있으며, 고객정보조회와관련하여제 7 조 ( 가입자정보보호 ) 제 2 항에서는대리점에서정당한권한없이회사의가입 해지고객데이터베이스에접근하는행위및수탁업무외의목적으로정보를수집 이용하는행위를금지하고있음 4. 위원회의견 가. 동의없이신청인의고객정보를조회하여 TM행위를한피신청인의책임유무 정보통신망이용촉진및정보보호등에관한법률 ( 이하 정보통신망법 ) 제25조 ( 개인정보의취급위탁 ) 제3항에서는정보통신서비스제공자등이개인정보취급위탁을하는경우, 수탁자가이용자의개인정보를취급할수있는목적을미리정하여야하며, 수탁자는이목적을벗어나서이용자의개인정보를취급하여서는아니된다고규정함 53
또한동법제 5 항은수탁자가개인정보취급위탁을받은업무와관련하여이장의 규정을위반하여이용자에게손해를발생시키면그수탁자를손해배상책임에있어서정보통신서비스제공자등의소속직원으로본다고규정함 이사건에서신청인은피신청인의대리점으로부터휴대전화구매등을권유하는 TM을받았으나, 이는가입신청서및개인정보활용동의서등을통하여가입당시고지되었고신청인이이에동의하였던부분으로, 피신청인이실질적으로대리점의 TM행위를제한하고는있었지만 정보통신망법 등관련법령상의규정을위반한것은아니라고판단됨 그러나피신청인의대리점에서신청인의고객정보를동의절차없이임의조회하여이용한사실은인정되는바, - 피신청인이대리점과체결한 대리점계약서 에의하면, 정당한권한 없이가입 해지고객데이터베이스에접근하는것을금지하도록규정하고있는데, 여기에서 정당한권한 이란, 정보조회가필요한업무에대하여고객의동의및신분증확인등의절차를거쳐접근권한이부여된직원에의하여정보조회가이루어지는것을뜻하는것으로해석되어지므로, 대리점에서의임의적인고객정보조회는피신청인과대리점과의업무위탁범위에포함되지않는행위라고판단됨 이에따라피신청인은개인정보취급위탁을하는경우, 수탁자가이용자의개인정보를취급할수있는목적을벗어나서이용자의개인정보를취급하여서는아니된다고규정한 정보통신망법 제25조제3항의규정을위반하였다고판단됨 5. 위원회결정 이사건에서피신청인은신청인의고객정보를정당한권한없이임의조회하여이용함으로써, 자신의개인정보에대한오 남용우려등신청인에게정신적피해를입혔다고인정되므로, - 피신청인은신청인에게금100,000원의손해배상금을지급하여야한다. 54
사례 4 법정대리인의동의없이아동의개인정보를수집하여마케팅목적에활용한보험회사에대한손해배상요구 1. 사건개요 대리인 ( 신청인의母 ) 은피신청인에게신청인관련상담조차받아본적이없음에도불구하고, 2012년 9월경피신청인이신청인 ( 아동 ) 에게발송한보험상품광고우편물을수신하게됨 - 이에대리인은신청인 ( 아동 ) 의개인정보를대리인의동의없이수집하여마케팅에활용한피신청인에게손해배상을요구하는분쟁조정을신청함 2. 피신청인주장 피신청인은 OO시교육문화센터에서진행한 놀토프로그램 참가자들의여행자보험계약을체결하면서신청인의개인정보를수집하였고, - 여행자보험계약담당직원이고객관리의일환으로신청인에게어린이보험에대한정보가필요하다생각되어리플렛을발송하게되었다고함 - 이는피신청인직원이고객관리차원에서보낸것이며, 업무목적외이용은결코없었다고소명함 3. 사실조사 가. 피신청인에대한적용법률 피신청인은 개인정보보호법 제2조제5호의업무를목적으로개인정보파일을운용하기위하여스스로또는다른사람을통하여개인정보를처리하는법인 ( 이하 개인정보처리자 ) 으로서 개인정보보호법 의적용을받음 55
나. 피신청인이신청인의개인정보를수집하게된경위 대리인은 OO 시청소년교육문화센터에서운영하는 9 월 2 주놀토프로그램 에 신청인을참여시키기위해참가신청서를작성하였는데, - 참가신청서를접수받은 OO 시청소년교육문화센터는신청인을포함한 참여아동 27명의여행자보험계약을피신청인과체결하였고, 이러한여행자보험계약체결과정에서신청인의개인정보를수집하였다고소명함 놀토프로그램 : OO 시에서주관하는복지프로그램으로다양한체험활동기회를제공하고건전한여가문화활동을장려하기위한프로그램 다. 피신청인이신청인의개인정보를광고목적에활용한경위 피신청인은 OO시교육문화센터로부터여행자보험가입및마케팅활용에대한동의를받았다는확인후보험계약을체결하였고, - 이를담당하였던직원은신청인이초등학생이기에어린이보험에대한정보가도움이될것이라판단하여리플렛을우편으로발송한것으로, - 이는고객관리차원에서보낸것이며, 업무목적외이용등 ( 유출및오 남용 ) 은결코없었다고소명하였으나, 교육문화센터의프로그램참가신청서에는여행자보험가입에대한내용의고지는있으나, 마케팅관련내용은없었음 4. 위원회의견 가. 신청인의개인정보를동의없이수집한피신청인의책임유무 개인정보보호법 제15조제1항제4호는 정보주체와의계약의체결및이행을위하여불가피하게필요한경우에는개인정보를수집할수있으며, 그수집목적범위에서이용할수있다 고규정함 56
- 이규정은정보주체와계약체결및이행을위하여개인정보의수집이불가피하게수반되는경우까지정보주체의동의를받도록하면경제활동에막대한지장을초래하고동의획득에소요되는비용만증가시키게되므로, - 계약체결이나이행을위해불가피하게필요한개인정보는정보주체에대한고지 동의없이도수집할수있도록한것으로해석됨 이사안의 놀토프로그램 에신청인이참여하는과정에서작성한참가신청서에는여행자보험가입에신청인의개인정보가사용된다는내용을고지하고있으며, - 대리인이이를인지하고참가신청서작성을완료하였다는점, 놀토프로그램 에참여하기위해여행자보험가입이필수적인사항이었음을고려해볼때, - 피신청인이신청인의개인정보를수집한행위는 여행자보험계약체결 을위하여불가피하게필요한경우에해당된다고판단됨 따라서피신청인은정보주체와의계약체결및이행을위해불가피하게신청인의개인정보를수집한것으로개인정보보호법제15조를위반하지아니하였다고판단됨 나. 신청인의개인정보를광고목적에활용한피신청인의책임유무 개인정보보호법 제18조제 1항은 개인정보처리자는개인정보를제15조제1항에따른범위를초과하여이용하여서는아니된다 고규정함 - 이규정은개인정보를수집목적을넘어이용하는경우다른개인정보의처리에대한동의와분리하여그해당목적에대하여별도의동의를받도록한것으로해석됨 피신청인은신청인의개인정보를이용하여광고우편물을발송한사실에대하여담당직원이고객관리의일환으로보낸것이며, 업무목적이외의이용등은없었다고주장하고있으나, 57
- 피신청인이신청인에게발송한우편물을살펴보면피신청인의주장처럼 고객관리의일환으로보기에는어려웠으며, 자녀의의료실비등보험상품을홍보하는내용으로판단됨 또한, 피신청인이신청인의개인정보를수집한목적은 여행자보험계약체결및이행 을위하여수집한정보로서마케팅목적으로개인정보를활용하기위해서는신청인에게사전에고지하고동의를얻어야할것임 - 그러나피신청인은마케팅활용에대한내용을정보주체에게사전에고지하고동의를얻어광고우편물을발송하는등마케팅에활용하였어야함에도불구하고이러한절차를거치지아니하였음 따라서피신청인은신청인의개인정보를원래의목적이외의범위를넘어이용한사실이인정되므로, - 개인정보를수집목적범위를초과하여이용할수없다고규정한개인정보보호법제18조제1항을위반하였다고판단됨 5. 위원회결정 피신청인은대량의개인정보를보유한보험업계의대기업으로서고객개인정보를성실한관리자의의무로관리하여야함에도불구하고, 신청인의개인정보를이용하여원하지않는광고우편물을발송함으로써신청인에게자신의개인정보가오 남용되고있다는우려등정신적피해를입혔다고인정되므로, - 피신청인은신청인에게금300,000원의손해배상금을지급하여야한다. 아울러, 개인정보보호법 등관련법령을준수할수있도록개인정보관리현황을전반적으로재점검하고재발방지조치를완료하기위한세부계획을수립및이행하는등제도를개선하여야한다. 58
사례 5 피보험자개인정보를목적외로이용한보험회사에대한손해배상요구 1. 사건개요 (2013 년 7월 26일 ) 신청인의배우자 ( 김OO) 는피신청인의보험상품을이용하는고객으로서, 2건의보험계약을유지하고있던중, 신청인을피보험자로하는보험상품 3건을추가로계약하고자피신청인의상담원 ( 의정부TM) 과유선을통해보험청약을진행함 - 유선을통한청약시, 피신청인의상담원은질병및상해에대한세부정보를피보험자인신청인과연락을통하여직접확인하였는데, - 이때피신청인의상담원은전산시스템에기재되지않았던보험계약자인신청인의배우자 ( 김OO) 자택전화번호란에신청인휴대전화번호를임의입력함 (2013년 8월 20일 ) 신청인을피보험자로하는보험청약 (3건) 이회신용서류미비로승인거절됨 (2013년 9월 6일 ) 피신청인의상담원 ( 전북TM) 은고객관리를위해기존보험계약을유지하고있던신청인의배우자 ( 김OO) 에게수차례연락을시도하였으나, 연락이되지않자김OO의자택전화번호란에기재되어있는신청인의휴대전화로연락을취함 이에신청인은본인의동의없이휴대전화번호를목적외로이용한피신청인에대하여손해배상을요구하는분쟁조정을신청함 59
2. 피신청인주장 2013년 7월 26일, 신청인을피보험자로하는보험청약당시상담원 ( 의정부 TM) 이편리한고객관리를위해보험계약자인배우자 ( 김OO) 의자택번호란에신청인의휴대전화번호를입력하였는데, - 이후, 신청인의배우자와기존보험계약 ( 피보험자조OO) 을유지중인전북TM 소속상담원이관리차원에서김OO와통화를원하였으나, 연결이되지않자자택전화번호란에기재된신청인의휴대전화번호를보험계약자인배우자의또다른휴대전화번호로오인하고신청인에게연락하게됨 - 피신청인은상기사건은상담원의업무미숙으로인한과실로, 해당직원에대한조치는당사 CS통합페널티기준에의거조치될예정이나, 물질적 정신적피해에대한보상을요구하는신청인의주장은수용하기어렵다고소명함 3. 사실조사 가. 피신청인에대한적용법률 피신청인은 신용정보의이용및보호에관한법률 제2조의신용정보제공 이용자로서이법의적용을받으나, 신용정보의이용및보호에관한법률 에규정되어있지않은개인정보보호관련사항에대하여서는 개인정보보호법 규정을적용함 신용정보보호법적용관련판단 : 신용정보보호법제 2 조 2 호 ( 정의 ) 에서규정하고있는 개인신용정보 및 개인식별정보 에 연락처 ( 휴대전화번호등 ) 정보는포함되어있지않으므로, 제 32 조 ( 개인신용정보의제공 활용에대한동의 ) 및제 33 조 ( 개인신용정보의이용 ), 제 34 조 ( 개인식별정보의제공 이용 ) 등관련규정을적용하기는어렵다고판단됨 60
나. 신청인과피신청인과의관계 신청인은피신청인의보험상품에대한피보험자로보험청약을진행한바있음 - 상해보험 건강보험 암보험 (2013.7.26.) 다. 피신청인이신청인의개인정보를수집한경위및동의획득여부 신청인의배우자 ( 김OO) 는 2013년 7월 26일신청인을피보험자로하는보험상품 3건 ( 상해 건강 암 ) 에대한청약을진행하였고, 이에피신청인은신청인에대한질병및상해관련세부정보등확인을위해배우자로부터신청인의휴대전화번호를수집함 - 피신청인의상담원은신청인과유선을통하여건강고지녹취, 해당보험청약과관련된개인 ( 신용 ) 정보의수집 이용 제공등사항에대하여동의를획득하였으나, - 상기보험청약은 2013년 8월 20일회신용서류미비로피신청인으로부터가입승인이거절됨 피신청인의보험승인거절에따라기납입된보험료 (1 회 ) 에대한환불처리문제로신청인측은피신청인과분쟁발생이발생되었고, 피신청인이 1 회보험료를현금으로지급하면서해결 (2013 년 8 월 21 일 ) 라. 피신청인 ( 의정부TM) 이배우자 ( 김OO) 자택번호란에신청인의연락처를입력하게된경위 피신청인은당시의정부TM 상담원이편리한고객관리를위해신청인의연락처를보험계약자인신청인배우자 ( 김OO) 자택전화번호란에입력한것으로, 업무미숙에따른과실이었다고소명함 마. 피신청인 ( 전북 TM) 이신청인에게연락을하게된경위및통화내용 2013 년 9월 6일, 신청인의배우자 ( 김OO) 와조OO를피보험자로하는보험계약을유지하고있던전북TM에서는고객관리차원에서배우자에게세차례통화를 61
시도하였으나연결이되지않았고, 이에상담원은자택전화번호란에입력된신청인의휴대전화로연락을취함 4. 위원회의견 가. 피보험자의개인정보를목적외로이용한피신청인의책임유무 개인정보보호법 제15조( 개인정보의수집 이용 ) 제1항제1호및제4호에서는정보주체의동의를받은경우, 정보주체와의계약의체결및이행을위하여불가피하게필요한경우에는개인정보를수집할수있으며, 그수집목적의범위에서이용할수있다고규정함 - 동법제18조 ( 개인정보의이용 제공제한 ) 제1항에서는개인정보처리자는개인정보를제15조제1항에따른범위를초과하여이용하거나정보주체등에게동의받은범위를초과하여제3자에게제공하여서는아니된다고규정함 - 동법제21조 ( 개인정보의파기 ) 제1항에서는개인정보처리자는다른법령에따라보존하여야하는경우를제외하고, 보유기간의경과, 개인정보의처리목적달성등그개인정보가불필요하게되었을때에는지체없이그개인정보를파기하여야한다고규정함 본사건에서신청인을피보험자로하는보험청약은피신청인이승인을거절함으로써계약이성립되지않았고, 이경우피신청인이수집한피보험자의연락처등개인정보는그수집 이용목적이달성되었으므로파기되어야할것으로판단되나, - 승인거절이전납입된보험료와관련한분쟁의발생으로, 피보험자의개인정보를포함한상기신청인을피보험자로하는보험관련정보등은 전자상거래등에서의소비자보호에관한법률시행령 제6조제1항제4 호 ( 소비자의불만또는분쟁처리에관한기록 ) 등관련법령에의하여보존 (3년) 되어야할사항에해당되므로, 62
- 피신청인이수집 이용목적달성후피보험자의연락처등개인정보를파기 하지않았다고하여 개인정보보호법 제21조등관련법령상의규정을위반한것은아니라고판단됨 하지만피신청인은보험계약을위해신청인으로부터수집한연락처를편리한고객관리를위해동의없이이용한사실은인정되므로, 개인정보처리자는개인정보의수집 이용목적의범위를초과하여이용하여서는아니된다고규정한 개인정보보호법 제18조제1항의규정을위반한것으로판단됨 5. 위원회결정 이사건에서피신청인은보험계약을위해제공한피보험자의개인정보를편리한고객관리를위해동의없이이용함으로써, 신청인으로하여금개인정보에대한오 남용우려등정신적피해를입혔다고인정되므로, - 피신청인은신청인에게금200,000원의손해배상금을지급하여야한다. 63
사례 6 동의없이개인정보를이용하여광고성문자메세지를발송한개인정보처리자에대한손해배상요구 1. 사건개요 신청인은 2012. 5. 12. 피신청인으로부터치과진료를받기위해내원하여자신의개인정보가담긴진료기록부를작성하였는데, - 피신청인은 2013. 6. 3. 이를이용하여신청인에게광고성문자메세지를발송하였고, - 이에신청인은본인의동의없이광고성문자메세지를발송한피신청인에대하여손해배상을요구하는분쟁조정을신청함 2. 피신청인주장 신청인은 2012. 5. 12. 피신청인에내원하여진료기록부를작성하면서신청인의이름, 주민번호, 주소, 전화번호정보를수집하였고, - 이에 2013. 6. 3. 내원환자에대한광고목적의문자메세지를 1회발송하게된것이라고소명함 3. 사실조사 가. 피신청인에대한법률적용여부 피신청인은업무를목적으로개인정보파일을운용하기위하여스스로또는다른사람을통하여개인정보를처리하는자로서, 개인정보보호법 제2조제5호의개인정보처리자에해당하여이법의적용을받음 64
나. 신청인과피신청인과의관계 피신청인은임플란트, 치아교정등을전문으로하는치과의원이고, - 신청인은치과진료를위하여피신청인에내원한자로서, 내원당시자신의개인정보가담긴진료기록부를작성함 다. 피신청인이신청인의개인정보를수집한경위 피신청인은 2012. 5. 12. 신청인이내원하여직접진료기록부를작성하였고, - 진료기록부양식에는이름, 주민번호, 주소, 전화번호정보를기입하도록되어있어, 이에신청인의각개인정보를수집함 라. 광고성문자메세지발송관련피신청인의동의획득여부 피신청인은 2013. 6. 3. 과거내원했던환자에대한광고목적의이벤트성문자메세지발송을일괄적으로 1회실시하였고, - 그과정에서정보주체의광고성문자메세지수신에대한동의는받지않았음을인정함 마. 개인정보침해신고센터의계도및피신청인의조치 한편, 신청인은광고성문자메세지를수신한후, 개인정보침해신고센터에이를신고하였고, - 개인정보침해신고센터는광고성문자메세지발송행위에대하여개인정보의목적외이용으로판단, 피신청인에대하여개인정보이용에대한동의획득절차를마련할것을권고하는한편, 개인정보수집 이용전반에관해계도함 이에피신청인은현재, 개인정보수집및활용에대한동의서를받고있으며, 동의하는환자에한해문자서비스를진행하고있음 65
4. 위원회의견 개인정보보호법 제 15 조제 1 항제 2 호는법률에특별한규정이있거나법령상 의무를준수하기위하여불가피한경우개인정보를수집할수있다고규정하나, - 같은법제 18 조제 1 항은그범위를초과하여이용하여서는아니됨을규정함 사안에서, 피신청인은신청인의개인정보를신청인이작성한진료기록부를통하여적법하게수집하였다고판단되나, - 신청인의동의없이광고성문자메세지를발송한피신청인의행위는신청인의개인정보를진료기록부작성목적범위를초과하여이용한것으로, 개인정보보호법 제18조제1항을위반하였다고판단됨 5. 위원회결정 피신청인은신청인의개인정보를다른목적으로이용하여광고성문자메세지를발송함으로써, 신청인에게자신의개인정보가오 남용되고있다는우려등정신적피해를입혔다고인정되므로, 피신청인은신청인에게 100,000원의손해배상금을지급하여야한다. 66
Ⅲ. 정보주체의동의없이개인정보를제 3 자에게제공 사례 1 고객개인정보를제 3 자에게제공한 유통업체에대한손해배상및제도개선요구 1. 사건개요 신청인은 2013년 7월 6일, 피신청인이운영하는 OOOO OO점에서화과자제품 3개를구입하였는데, 7월 9일첫개봉한제품에서곰팡이가피어있는사실을발견함 - 신청인은이후구입처인 OO점에찾아가책임자면담을요구하였고, 생산업체에확인후연락을주겠다는답변을받음 7월 15일, OOOO OO점에서는신청인과연락을통해해당제품을박스로증정하겠다는제안을하였고, 신청인은이를거절하였으나, - 수일후제품생산업체로부터화과자제품이신청인주소지로배송되었고, 이를확인한결과 OO점을통해신청인의주소지정보가제품생산업체에게제공되었음을확인함 이에신청인은동의없이개인정보를제3자에게제공한피신청인에대하여손해배상및제도개선을요구하는분쟁조정을신청함 2. 피신청인주장 피신청인은제품배송을생산업체에게부탁하는과정에서본건민원사항이발생된것으로보이며, 이는고객민원을처리하는과정에서민원의신속하고원만한해결을위해신청인의정보를생산업체에게전달하게된것으로, 67
- 관련법령및위원회의정책을위반하려는의도는없었으며, 본건사실을확인한즉시해당생산업체에당사로부터수령한신청인정보의파기를요청하였고, 안전하게파기된사실을확인하였으며, 재발방지를위해고객민원처리시, 관련법령을엄격히준수할것을재차강조및교육할계획이라고소명함 3. 사실조사 가. 피신청인에대한적용법률 피신청인은업무를목적으로개인정보파일을운용하기위하여스스로또는다른사람을통하여개인정보를처리하는법인으로서 개인정보보호법 의 개인정보처리자 에해당하여이법의적용을받음 나. 신청인과피신청인과의관계 신청인은피신청인이운영하는 OOOO OO점에서 2013년 7월 6일화과자를구매한고객이며, OOOO 포인트적립카드 ( 훼밀리카드 ) 회원임을확인함 다. 피신청인이신청인의개인정보를수집한경위 OOOO OO점에서는이사건민원으로해당점을방문한신청인에게상세경위파악후연락을주기로하였고, 이과정에서신청인의동의하에성명과연락처를수집하였고, - 사과의뜻을전하기위해포인트적립카드회원가입시수집한신청인의주소지정보를이용하여해당제품을배송함 라. 피신청인이생산업체에게제공한신청인의개인정보항목및제공경위 OOOO OO점담당자는신청인에게최대한빠른시일내에해당제품이배송될수있도록하고자제품생산업체 (OO 식품 ) 에게신청인의성명, 연락처, 주소를전달함 68
마. 피신청인의포인트적립카드회원가입시, 개인정보관련고지및동의사항 피신청인의포인트적립카드회원가입신청서양식에따르면, 성명, 주민등록번호, 주소, 휴대전화번호가필수기재사항으로미기재시회원가입이되지않으며, 고객불만사항등각종이용자민원처리관련사항을수집 이용목적에명시하고있음 피신청인은동의획득여부에따라신용카드사, 은행, 보험사등에회원개인정보를제공하고있으나, 제품생산업체 (OO 식품 ) 등은제 3 자제공대상이아님 바. 피신청인과제품생산업체가개인정보취급위탁관계인지여부 이사건제품생산업체 (OO 식품 ) 는피신청인의납품업체로서개인정보취급업무와관련한위 수탁관계가아님을확인함 4. 위원회의견 가. 고객개인정보를동의없이제3자에게제공한피신청인의책임유무 개인정보보호법 제15조( 개인정보의수집 이용 ) 제1항제1호에서는정보주체의동의를받은경우개인정보를수집할수있으며, 그수집목적의범위에서이용할수있다고규정함 - 동법제17조 ( 개인정보의제공 ) 제1항제1호및제2항에서는개인정보처리자가정보주체의동의를받은경우개인정보를제3자에게제공할수있으며, 이때개인정보를제공받는자, 제공받는자의개인정보이용목적, 제공하는개인정보항목등에대하여정보주체에게알리고동의를받아야한다고규정함 본사건에서신청인은피신청인의포인트적립카드회원으로서가입시, 고객불만사항등각종민원처리목적의개인정보수집 이용에동의하였는바, 피신청인은동의받은목적으로신청인의개인정보를수집 이용할수있다고판단됨 69
- 그러나신청인의성명, 연락처, 주소등개인정보를제3자인제품생산업체에게제공하기위해서는그이유가민원의원만한해결을위함이었다할지라도개인정보수집 이용관련동의와는별도로신청인의동의를획득하였어야하는바, - 피신청인은동의없이신청인의개인정보를제품생산업체에게제공한사실이인정되므로, 정보주체의개인정보를제3자에게제공할경우에는동의를받아야한다고규정한 개인정보보호법 제17조규정을위반한것으로판단됨 5. 위원회결정 이사건에서피신청인은신청인의동의없이개인정보를제3자에게제공함으로써, 신청인으로하여금개인정보에대한오 남용우려등정신적피해를입혔다고인정됨 - 그러나, 제공의목적이신청인이제기한민원에대한원만한해결을위함이었고, 사건이후해당업체에게제공된개인정보에대하여파기등조치가이루어진점등을종합적으로고려하여, 신청인에게금100,000원의손해배상금을지급하여야한다. - 아울러고객개인정보를취급하는직원들에대한개인정보보호관련법령및인식제고교육등재발방지조치에필요한계획을수립하고이행하는등제도를개선하여야한다. 70
사례 2 동의없이개인정보를제 3 자에게제공한 보험회사에대한손해배상요구 1. 사건개요 2013 년 8 월 28 일, 신청인탑승차량은가해차량에의하여접촉사고가발생되었고, 사고현장에서신청인과가해차량운전자는각각손해배상책임을대리하는보험회사를통하여현장수습및보험접수등을진행함 이과정에서신청인은자신의손해배상책임업무를대리하는 OO해상직원에게연락처등을제공하였는데, - 당일저녁가해차량운전자로부터전화를받게되었고, 본인의연락처수집경로에대하여문의한결과, 가해차량운전자의손해배상책임업무를대리하는피신청인으로부터신청인의연락처를제공받았음을확인함 이에, 신청인은자신의개인정보를동의없이제3자에게제공한피신청인에대하여손해배상을요구하는분쟁조정을신청함 2. 피신청인주장 개인정보처리자인당사는정보주체의동의가있으면제3자에게개인정보를제공할수있음 신청인은사고당시자신의보험회사현장출동직원에게인적사항을알려주며대인사고접수를요청하였는데, - 신청인은이를통하여본인의인적사항이가해차량운전자의보험회사직원및가해차량운전자에게제공된다는것을충분히인지할수있었고, 그러한과정 71
에서아무런이의를제기하지아니하였는바, 신청인은제3자제공에대한동의를한것으로볼수있을것이라고소명함 3. 사실조사 가. 피신청인에대한적용법률 피신청인은업무를목적으로개인정보파일을운용하기위하여스스로또는다른사람을통하여개인정보를처리하는법인으로서 개인정보보호법 의 개인정보처리자 에해당하여이법의적용을받음 나. 신청인과피신청인과의관계 신청인은교통사고피해자이며, 피신청인은가해차량운전자의손해배상책임업무를대리하는보험회사임 다. 피신청인이신청인의개인정보를수집 제공한경위 사고당시신청인은자신의보험회사현장출동담당자에게대인사고접수를요청하며인적사항을제공하였고, - 이에신청인의현장출동업체직원은자신이파악한신청인의인적사항을피신청인현장출동직원에게알려주며대인사고접수를요청함 피신청인의현장출동직원은신청인의대인사고접수후, 가해차량운전자에게신청인의사고번호, 성명, 전화번호등을기재하여제공함 라. 피신청인이교통사고가해자에게신청인의연락처를제공한경위 피신청인은교통사고피해자인신청인이임신상태였음을가해차량운전자가인지하였고, 이에사고발생에대한사과또는안부등을묻기위한요청이있어, 신청인의연락처를제공하였다고소명함 72
4. 위원회의견 가. 신청인의개인정보를동의없이수집하여제3자에게제공한피신청인의책임유무 자동차손해배상보장법 제3조( 자동차손해배상책임 ) 제1항에서는자기를위하여자동차를운행하는자는그운행으로다른사람을사망하게하거나부상하게한경우, 그손해를배상할책임을진다고규정함 - 동법제5조 ( 보험등의가입의무 ) 제1항에서는자동차보유자는자동차의운행으로다른사람이사망하거나부상한경우에피해자에게손해배상금액을지급할책임을지는책임보험이나책임공제에가입하여야한다고규정함 상법 제719조 ( 책임보험자의책임 ) 에서는책임보험계약의보험자는피보험자가보험기간중의사고로인하여제3자에게배상할책임을진경우에이를보상할책임이있다고규정함 개인정보보호법 제15조( 개인정보의수집 이용 ) 제1항제2호에서는, 법률에특별한규정이있거나법령상의무를준수하기위하여불가피한경우개인정보를수집할수있으며그수집목적의범위에서이용할수있다고규정함 - 동법제17조 ( 개인정보의제공 ) 에서는정보주체의개인정보를제3자에게제공할경우에는개인정보를제공받는자, 개인정보를제공받는자의개인정보이용목적, 제공하는개인정보의항목등에대하여정보주체의동의를받아야한다고규정함 본사건에서피신청인은교통사고가해운전자의손해배상책임을대리하는보험회사로서 상법 제719 조에따라사고피해자인신청인의치료비지불보증을위해개인정보를동의없이수집 이용할수있다고판단됨 73
- 이는 개인정보보호법 제 15 조제 1 항제 2 호에규정된법률에특별한 규정이있거나법령상의무를준수하기위하여불가피한경우로서, 관련법령상의규정을위반한것은아니라고판단되나, 신청인의개인정보를가해운전자에게동의없이제공한부분에대해서는그목적이교통사고가 피해자간의도의적책임에따른사과를위해서였다고할지라도, 이는피신청인이손해배상책임에대한의무를준수하기위하여불가피한경우에해당된다고보기에는어렵다고판단되므로, 제3자제공을위한고지및동의등의절차를준수하였어야한다고판단됨 - 따라서피신청인은정보주체의개인정보를제3자에게제공할경우에는동의를획득하여야한다고규정한 개인정보보호법 제17조규정을위반한것으로판단됨 5. 위원회결정 이사건에서피신청인은신청인의개인정보를동의없이제3 자에게제공함으로써, 신청인으로하여금자신의개인정보에대한오 남용우려등정신적피해를입혔다고인정됨 - 그러나제공된개인정보가성명및연락처에불과하다는점, 제공의목적이교통사고가 피해자간도의적책임에따른사과를진행하기위해서였다는점등을종합적으로고려하여, 피신청인은신청인에게금100,000원의손해배상금을지급하여야한다. 74
Ⅳ. 개인정보수집 이용목적달성후개인정보미파기 사례 1 탈퇴한회원에게광고성이메일을발송한대형유통사업자에대한손해배상요구 1. 사건개요 신청인은 2013년 1월 21일피신청인의홈페이지에서회원탈퇴하였음에도불구하고, 2월 11일에피신청인으로부터광고성이메일을수신함 - 이에, 신청인은피신청인이자신의개인정보를파기하지아니하고, 광고성이메일을보낸행위에대한처벌과정신적손해배상을요구하는분쟁조정을신청함 2. 피신청인주장 피신청인은 2013 년 2월 10일신청인으로부터연락을받고광고성메일이오발송되었음을확인하였고, - 광고성이메일발송대상회원DB에서신청인의정보가삭제되지않아광고성이메일이발송된것이라고소명함 피신청인은 2월 11일신청인에게연락하여오발송된경위를설명하고사죄의뜻으로상품권 10만원을드리려고하였으나, 신청인이이를거부하고더높은금액을요구하여합의가이루어지지못하였다고소명함 75
3. 사실조사 가. 피신청인에대한법률적용여부 피신청인은대규모점포를운영하는사업자로서업무를목적으로개인정보파일을운용하기위하여스스로개인정보를처리하는개인정보처리자이므로 개인정보보호법 의적용을받음 나. 신청인과피신청인과의관계 신청인은 2009년 12월 15일회원가입하여, 2013년 1월 21일탈퇴한이용자관계임을확인함 다. 피신청인의탈퇴회원개인정보에대한관리현황 피신청인은개인정보취급방침에수집및이용목적이달성된경우에는해당개인정보를지체없이파기한다고명시하고있으며, - 다만, 회원탈퇴시 3개월이내재가입을금지하고있어, 3개월동안탈퇴회원의개인정보를비활성 DB로분류하여임시로보관하고있다고소명함 탈퇴회원의이름, 기간계고객코드, 회원ID, 성별, 생년월일, 가입및탈퇴일, 가입경로정보를보존하고있음 라. 피신청인의광고성이메일발송절차 피신청인은회원가입상태이면서 E-mail 수신동의를체크한고객에게광고성이메일을발송하는데, - 주 1회해당고객데이터를추출하여매주수요일 6시에메일을발송한다고소명함 피신청인이소명한광고성이메일발송절차는다음과같음 1 회원의개인정보수정및가입 탈퇴현황과이메일수신동의여부에대해 1일 1회업데이트하여피신청인회원 DB에반영 76
2 광고성메일발송당일회원 DB 추출 3 E-mail 전송담당자가회원 DB를다운로드하여수동으로편집하여메일발송양식 ( 텍스트파일 ) 로변환 4 발송회원 DB를업로드하여대량메일전송솔루션 (OO메일솔루션 ) 으로발송 5 전송담당자가발송로그저장후업로드한회원 DB( 텍스트파일 ) 를수동으로삭제 마. 피신청인이신청인에게광고성메일을발송한경위 피신청인의메일발송시스템구조는주1회발송대상회원리스트를수동으로추출하여발송하고있는데, - 신청인의경우탈퇴이전메일발송대상회원리스트를관리담당자가삭제하지않고메일발송시스템에업로드하여광고성이메일이발송된것으로추정된다고소명함 4. 위원회의견 개인정보보호법 제21조제1항및제3항은 개인정보처리자는보유기간의경과, 개인정보의처리목적달성등그개인정보가불필요하게되었을때에는지체없이그개인정보를파기하여야하지만, 다른법령에따라보존하여야하는경우에는해당개인정보또는개인정보파일을다른개인정보와분리하여서저장 관리하여야한다 고규정함 이사건에서, 피신청인은이용자가회원탈퇴시동일회원재가입방지를위해 3개월간비활성 DB로분리보관하고있으나, 메일발송담당자의실수로메일발송리스트에서신청인의개인정보가삭제되지아니하였다고소명하고있는데, - 피신청인은개인회원 DB와메일발송리스트 DB를별도로관리하면서, 탈퇴회원과관련한메일발송리스트 DB는수작업을통하여삭제처리함으로써실제로는탈퇴회원의개인정보를소홀히관리하여지체없이파기등필요한조치를취하지않고있다는사실이인정됨 77
- 나아가, 피신청인의소명대로담당자의실수로인해광고성이메일이발송되었음을인정하더라도, 이는피신청인이가장기본적인개인정보보호의관리적조치를다하지않아탈퇴회원인신청인에게광고성정보이메일이발송된것이라볼것임 결국, 위의정황을종합하여고려하면, 피신청인은개인정보보호에대한인식이부족하여이용자의개인정보를소홀하게관리하고있음을반증하는것이며, - 피신청인은동의받은개인정보의보유및이용기간이끝난경우해당개인정보를지체없이파기해야할의무를규정한개인정보보호법제21조를위반하였다고판단되어위와같이조정결정함 5. 위원회결정 피신청인은신청인이회원탈퇴를하였음에도개인회원 DB 및메일발송리스트 DB에대한관리를소홀히하여신청인의개인정보를메일발송리스트 DB에서삭제하지아니하여, - 탈퇴회원인신청인에게원하지않는광고성이메일을발송함으로써, - 신청인에게자신의개인정보가부당하게보유되고있으며악용될수있다는우려등정신적피해를입혔다고인정되므로, - 피신청인은 2013년 05월 27일까지신청인에게금100,000 원의손해배상금을지급하여야한다 아울러, 피신청인은탈퇴회원정보가보유목적의범위를벗어나이용되지않도록개인회원 DB 와탈퇴회원 DB를전반적으로점검하는등의기술적 관리적및물리적조치를포함하여개인정보취급자에대한관리감독및교육등재발방지를위해필요한계획을수립하고이행하여야하며, - 해당계획서는서면으로 2013년 06월 10일까지우리위원회에제출하고, 이행이완료되는시점에그이행결과를통보하여야한다. 78
사례 2 탈퇴회원의개인정보를파기하지않고메일을발송한온라인쇼핑몰에대한손해배상요구 1. 사건개요 신청인은 2012 년 12월 8일피신청인으로부터이메일을수신하게되었는데, 회원탈퇴를하였음에도불구하고자신의개인정보를파기하지않고이메일을발송한피신청인에게손해배상및제도개선을요구하는분쟁조정을신청함 2. 피신청인주장 피신청인은신청인이주장하는 3개의회원가입 ID는정상적으로탈퇴처리되었으나, - 신청인이메일을수신하였다는이메일주소로검색한결과신청인과동일한명의의 ID OOOOO 가피신청인의 OOO사이트에외국인회원으로가입한이력이조회됨 - 외국인회원으로등록된 ID OOOOO 를확인한결과 2004년가입하여가입한일자에 인라인장비 에대한구매한내역이있으며, 신청인과이름, 전화번호, 이메일주소가일치한다고소명함 피신청인은신청인이수신한메일은 ID OOOOO 에기재된메일로발송된사항이며, 발송된메일은광고목적이아닌인식제고향상을위한공익적성격의메일이었고, - 현재정상회원으로확인되고있는 OOOOO ID는로그인하면직접탈퇴가가능하며, 이부분에어려움이있을경우고객센터를통해서도탈퇴가가능하다고소명함 79
3. 사실조사 가. 피신청인에대한적용법률 피신청인은온라인쇼핑몰사업자로서 정보통신망이용촉진및정보보호등에관한법률 제2조제3호에해당하는 정보통신서비스제공자 로서이법의적용을받음 나. 신청인의피신청인사이트관련회원가입 탈퇴현황 신청인은피신청인이운영하는 OOO 사이트에 3번의회원가입및탈퇴를하였다고주장하고있으며, - 피신청인은신청인이주장하는 3번의회원가입및탈퇴이력뿐만아니라신청인이수신하였다는이메일주소로검색한결과이를이용하는외국인회원 ID OOOOO 가조회되며, - OOOOO ID가가입된날짜에 인라인장비 가구매된이력이있으며, 구매시이용된이름, 연락처, 이메일이신청인의정보와일치하고물품은일산으로배송되었다고소명함 다. 피신청인의 OOO 사이트외국인회원가입방법 피신청인의 OOO 사이트외국인회원가입의경우외국인번호가없어도가입이가능하도록되어있으며, ID찾기에서도내국인과외국인회원이분리되어있음 라. 피신청인이신청인에게발송한이메일내용 피신청인은신청인이수신한이메일은 ID OOOOO 에기재된메일로발송된사항이며, 발송된메일은광고목적이아닌인식제고향상을위한공익적성격의메일이었다고소명함 - 신청인이제출한자료를살펴보면, 신청인이수신한메일은 개인정보보호공지 관련메일 (12.12.8, 13.3.30) 로서, 그내용은개인정보보호를위한안전수칙과스미싱에대한설명및대응방법을공지하고있음 80
4. 위원회의견 가. 신청인의개인정보를파기하지않고메일을발송한피신청인의책임유무 정보통신망이용촉진및정보보호등에관한법률 ( 이하 정보통신망법 ) 제29조제 1항제2호는 제22조제1항 ( 개인정보수집 이용동의 ) 에따라동의를받은개인정보의보유및이용기간이끝난경우에는해당개인정보를지체없이파기하여야한다 고규정함 이사건에서피신청인의 OOO 사이트에신청인의정보로가입된 ID는 4개가확인되며, 이중 3개의 ID는모두정상탈퇴처리된것으로판단됨 - 그러나, 외국인회원으로등록된 ID OOOOO 는 2004년 3월 15일가입하여 인라인장비 를구매한이력이있으며, 구매이후탈퇴이력은확인되지않음 신청인은 ID OOOOO 에대하여자신이사용하지않는이상한 ID이며, 설령 OOOOO ID로가입을하였더라도피신청인의실수나시스템오류로인하여내국인계정으로가입한정보가외국인계정으로변경되었을가능성이있다고주장하고있으며, - 피신청인은당시 OOO 사이트내국인회원으로가입하기위해서는주민등록번호입력이필요하였으며, 외국인회원으로가입한경우주민등록번호대신임의의숫자로가입정보가기록되기때문에 ID OOOOO 은외국인회원으로정상가입된것이라고주장함 - 이와같이당사자의주장이상이하지만 ID OOOOO 의고객명, 전화번호, 휴대전화번호, 이메일주소, 인라인장비 가배송된주소가신청인의정보와일치하는점을고려하였을때단순한시스템오류로단정하기는어렵다고판단됨 - ID OOOOO 에입력되어있는신청인의개인정보에대한명의도용여부에대하여는판단할수없었지만, 설령이 ID가신청인의개인정보를 81
도용하여가입된것이라하더라도이를피신청인이알수있는특별한사정이있었다고판단하기는어려움 따라서피신청인은정보통신망법등관련규정을위반하지아니하였다고판단됨 5. 위원회결정 신청인의분쟁조정신청을기각함 82