[안선영 변호사의 사건 파일] 개인정보 '깨알고지'만으로는 면책 어려워

[안선영 변호사의 사건 파일] 개인정보 '깨알고지'만으로는 면책 어려워 Q: 유통업을 운영하는 A는 회원으로 가입한 고객 중 '개인정보 제3자 제공'에 동의한 고객의 개인정보를 보험업을 운영하는 B에게 1건당 2000원에 판매해 왔다. A는 B에게 판매할 개인정보가 부족해지자 경품행사를 통해 개인정보를 수집한 다음 이를 B에게 판매하기로 마음먹고, 벤츠 등 고가의 경품을 내 건 '10주년 고객감사 대축제'라는 이름의 경품행사를 실시하였다. 그리고 A는 전단지, 인터넷 홈페이지, 물품구매 영수증 등을 통해 경품행사를 광고하였는데, 광고지에는 '개인정보 제3자 제공'에 관한 내용을 기재하지 않았다. 다만 A는 경품 응모권 뒷면에 '수집/이용목적 - 보험마케팅을 위한 정보제공 등', '개인정보 제3자 제공'이라는 제목 아래에는 'B보험회사가 개인정보를 제공받고, 제공받은 개인정보는 보험상품 등의 안내를 위한 전화 등 마케팅 자료로 활용된다'는 내용을 약 1mm 크기의 글씨로 기재하였고, 경품 응모장소에 실제 응모권의 약 4배 정도 사이즈의 응모권 확대사진을 걸어 두었다. C는 A가 운영하는 마트를 방문했다가 A가 낸 경품행사 광고를 보고 경품행사에 응모하였는데, 당시 C는 응모권에 1mm 사이즈로 기재되어 있는 '개인정보 수집/이용목적'이나 '개인정보 제3자 제공'에 관한 내용을 제대로 읽지 않은 채 모두 '동의'로 표시하여 응모권을 제출하였다. 그런데 한 달 후 C는 B로부터 수차례 보험에 가입할 것을 권유하는 전화를 받게 되었고, 그 과정에서 A가 B에게 자신의 개인정보를 판 사실을 알게 된 C는 A를 개인정보보호법 위반으로 고소하였다. A는 개인정보보호법 위반으로 처벌 될까? A: A는 개인정보보호법이 규율하는 개인정보처리자로서, A가 C의 개인정보를 제3자인 B에게 제공하려면, 개인정보를 제공받는 B, 개인정보를 제공받는 B의 개인정보 이용 목적, 제공하는 개인정보의 항목 등을 C에게 알리고 동의를 받아야 한다(개인정보보호법 제17조 제1항, 제2항 참조). 이때 A는 각각의 동의 사항을 구분하여 C가 이를 명확하게 인지할 수 있도록 해야 하고, 거짓이나 그 밖의 부정한 수단·방법으로 C의 개인정보를 취득하거나 개인정보 처리에 관한 동의를 받아서는 안 된다(개인정보보호법 제22조 제1항 및 제59조 제1호 참조). 만약 A가 거짓이나 그 밖의 부정한 수단·방법으로 C의 개인정보를 취득하거나 개인정보 처리에 관한 동의를 받으면 A는 3년 이하의 징역 또는 3000만 원 이하의 벌금에 처한다(개인정보보호법 제59조 제1호 및 제72조 제2호 참조). 이를 전제로, 이 사례와 유사한 사안에서 하급심 법원은 "비록 1mm 정도의 깨알과 같은 글씨지만 경품 응모권에 '개인정보 수집/이용목적'이나 '개인정보 제3자 제공' 등에 관한 내용을 기재하였고, 경품 응모장소에 실제 응모권의 4배 정도 사이즈의 응모권 확대사진을 걸어 둠으로써 경품행사에 응모하는 자가 '개인정보 제3자 제공'에 관한 내용을 읽을 수 있었으며, 경품에 응모한 자들 중 30%가 개인정보 제3자 제공과 관련된 체크란에 동의표시를 하지 않았다"는 이유를 들어 무죄를 선고한 바 있다. 그러나 대법원은 "경품행사의 목적이 고객들의 개인정보를 수집하여 보험회사에 대가를 받고 판매하는데 있던 것으로 보이고, 경품행사 광고에 '개인정보 제3자 제공'에 관한 내용이 누락되어 있어 일반적인 소비자들은 오로지 고객에 대한 사은행사의 일환으로 경품행사를 실시하는 것으로 받아들일 가능성이 크며, 경품 응모권에 '개인정보 제3자 제공'에 관한 내용이 기재되어 있기는 하나 1mm 정도의 작은 글씨로 기재되어 있어 그 내용을 읽기 쉽지 않을 뿐만 아니라, 짧은 시간 동안 응모권을 작성하면서 응모권에 기재된 내용을 정확히 파악하기 어려웠을 것으로 보이는 점, 수집한 개인정보의 규모와 이를 제3자에게 판매하여 얻은 이익이 상당한 점" 등을 이유로 들어 위 하급심 판결을 파기환송하였다(대법원 2017. 4. 7. 선고 2016도13263 판결 참조). 나아가 위 대법원 판결 이후 개인정보보호법령이 개정되어 '개인정보처리자가 개인정보 처리에 관한 동의를 서면으로 받을 때, 개인정보의 수집·이용 목적 등 대통령령으로 정하는 중요한 내용을 9포인트 이상, 다른 내용보다 20% 이상 크게, 색깔, 굵기 또는 밑줄 등을 통하여 그 내용을 명확히 표시하여 알아보기 쉽게 하여야 한다'는 규정이 신설되었다(개인정보보호법 제22조 제2항, 동법 시행령 제17조 제2항, 동법 시행규칙 제4조 참조). 따라서 앞으로는 개인정보 수집시 개인정보의 수집·이용 목적 등 중요한 사항을 보다 상대방에게 보다 충실히 고지해야 할 것으로 보인다.