新着情報

법무법인(유)광장 송무 그룹 개인정보 조사 대응 및 분쟁팀과 개인정보 및 정보보호(Data Privacy & Cybersecurity, DPC) 그룹은 최근 일부 가입자들이 제기한 개인정보 가명 처리 정지 청구 소송에서 SK텔레콤(의뢰인)을 대리하여 대법원의 파기환송이라는 성공적인 결과를 이끌어냈습니다(대법원 2025.7.18. 선고 2024다210554 판결). 이는 가명 정보 제도의 안정적인 정착을 이끄는 한편, AI 시대에 데이터 기반 기술과 산업이 지속적으로 발전할 수 있는 법적 기반을 마련함으로써, 우리나라의 AI 경쟁력을 제고할 수 있는 의미 있는 판결입니다. 1. 사안의 개요     의뢰인의 서비스 가입자들인 원고들은 의뢰인을 상대로 본인의 개인정보를 가명 처리하는 것에 대한 처리 정지를 요구했습니다. 원고들의 요구에 대해 의뢰인은 개인정보의 가명 처리에 대해서는 개인정보 처리 정지권이 제한된다는 이유로 거절하였습니다.     이에 원고들은 의뢰인을 상대로 본인의 개인정보를 개인정보보호법(법) 제28조의2에 따라 과학적 연구, 통계, 공익적 기록 보존의 목적으로 가명 처리해서는 안 된다는 것을 청구 취지로 하여 이 사건 소송을 제기하였습니다.     제1심 법원은 원고들 승소 판결을 선고하였으며, 이에 법무법인(유)광장 송무 그룹과 DPC 그룹은 항소심부터 의뢰인을 대리하여 소송을 수행하였습니다. 2. 주요 쟁점 및 법원의 판단     이 사건의 쟁점은 개인정보를 법 제28조의2에 따라 과학적 연구, 통계, 공익적 기록 보존의 목적으로 ‘가명 처리’하는 것이, 법 제37조에 따른 처리 정지권 행사 대상에 해당하는지 여부였습니다. 즉, 법 제28조의7는 ‘법 제28조의2에 따라 처리된 가명 정보’에 대하여는 처리 정지권에 관한 법 제37조의 적용이 배제된다고 규정있는데, '개인정보의 가명 처리'가 처리 정지권 행사 대상에 해당하는지 여부에 대한 해석이 문제되었습니다. 만일 원고들의 주장이 인용될 경우, AI 학습 데이터 활용을 포함하여 데이터 산업을 활성화하기 위해 도입된 개인정보의 가명 처리 및 가명 정보 제도의 도입 취지가 크게 훼손될 우려가 있었습니다.     제1심 법원은, 개인정보의 ‘가명 처리’ 역시 법 제2조 제2호에서 규정하고 있는 개인정보의 ‘처리’에 해당하므로, 원고들의 요구에 따라 가명 처리를 정지해야 한다고 판단하였습니다.     항소심부터 사건을 수임한 법무법인(유)광장 송무 그룹과 DPC 그룹은 개인정보보호법의 문언 및 체계, 가명 정보 제도의 도입 등 법률 개정 연혁 및 취지, 개인정보 자기 결정권의 헌법적 의미, 해외 유사 입법례와의 비교 등 다양한 측면에서 주장을 전개하였습니다. 특히 ‘가명 처리’는 ‘처리’와는 별도로 정의되고 있고, ‘가명 처리’는 익명 처리와 유사하게 개인정보에 대한 식별의 위험성을 낮추는 방법이므로 ‘처리’와는 명확히 구분되는 개념이라는 점을 적극적으로 논증하였습니다. 또한, 데이터 관련 신산업 육성이 범국가적 과제로 대두되고 인공지능, 클라우드, 사물 인터넷 등 신기술을 활용한 데이터 이용이 무엇보다 중요한 상황에서, 가명 처리 정지를 인정하는 것은 가명 정보 제도의 도입 취지에 정면으로 반한다는 점을 강조하였습니다.     항소심은 제1심 판결을 유지하였으나, 대법원은 결국 광장의 위 주장을 모두 받아들여, 개인정보의 가명 처리는 정보 주체의 처리 정지권 행사 대상에 해당하지 않는다고 판단하고 원심판결을 파기 환송하였습니다(대상 판결은 대법원 홈페이지에 주요 판결로 소개되어 있습니다.[이곳]에서 확일하실 수 있습니다.) 3. 대상 판결의 의의 및 시사점     원심 판결이 대법원에서 그대로 유지될 경우, 단순히 일부 개인의 권리 행사 범위를 판단하는 데 그치지 않고, 그 결론에 따라서는 개인정보의 가명 처리 및 가명 정보 제도의 도입 취지가 크게 훼손될 우려가 있었습니다. 그리고 4차 산업혁명위원회 해커톤 등 수년간의 치열한 사회적 협의를 거쳐 2020년 데이터 3법 개정을 통해 결실을 맺은 가명 정보 제도 활용에도 큰 장애가 발생할 수 있는 상황이었습니다. 특히 미국과 중국에 이어 AI 3대 강국 도약을 목표로 하는 새 정부의 정책 목표 달성을 위해 양질의 학습 데이터 확보가 국가적으로도 매우 중요한 상황에 놓이면서, 이 사건에 대한 전문가와 학계의 관심도 큰 상황이었습니다. 한편으로, 의료, 법률 AI 등 중요한 정보의 가명 처리가 필요한 분야에서는 가명 처리 정지 청구권이 남용될 우려도 있었습니다.     대상 판결은, 양질의 학습 데이터 확보가 무엇보다 중요한 AI 시대에 기업들의 데이터 활용을 촉진하고 신사업을 발전시킬 수 있는 개인정보 분야에서 기념비적인 판례 중 하나로 평가될 것으로 예상됩니다. 특히 대상 판결을 계기로 앞으로 AI 기업과 연구 기관 등에서 가명 처리를 통한 학습 데이터 확보를 더욱 적극적으로 추진할 수 있도록 관련 제도 개선에 관한 논의로 이어질 수도 있을 것으로 기대됩니다.     법무법인(유)광장은 새롭게 맡은 소송에서 다각도로 고민하고 치밀한 법리를 구축한 끝에 대역전극을 연출함으로써, 의뢰인의 승소뿐만 아니라 AI 업계의 성장의 발판이 되는 의미 있는 결과를 이끌어낼 수 있었습니다. 법무법인(유)광장 송무 그룹 개인정보 조사 대응 및 분쟁 조정팀과 DPC 그룹은 국내 최대 규모의 개인정보 보호 및 정보 보안 전문가들로 구성되어, 전문성과 풍부한 업무 경험을 바탕으로 국내외 기업들에 개인정보 관련 자문, 규제 기관 대응, 소송 수행 등 법률 서비스를 제공하고 있습니다. 위 내용을 업무에 참고하시기 바라며, 개인정보 관련 업무에 도움이 필요하신 경우 언제든지 법무법인(유)광장 송무 그룹 개인정보 조사 대응 및 분쟁 조정팀과 DPC 그룹에 문의하여 주시기 바랍니다.

We are pleased to inform you of a landmark ruling by the Supreme Court of Korea which has significant implications for e-commerce platform operators within the country. In a recent case, the Supreme Court has overturned the sanctions imposed by the Personal Information Protection Commission (PIPC) against major online marketplaces, Naver (South Korea’s leading internet platform company) and Gmarket (formerly eBay Korea). This pivotal case clarified that sellers on e-commerce intermediary platforms (the E-commerce Seller) are not considered ‘personal information managers’ of the platforms providing intermediary sales services (the E-commerce Platform) under the Personal Information Protection Act (PIPA). This ruling marks a transformative moment for privacy law enforcement related to E-commerce Platforms in South Korea. In this newsletter, we will delve into the details of the Supreme Court’s decision and discuss its broader impact on the e-commerce landscape. 1. Overview of the Case     First, operators of the E-commerce Platform provide a service that enables members (including both sellers and buyers) to trade goods online. During the provision of this service, seller members utilize the personal information of buyer members, provided by the E-commerce Platform operators, to deliver products and carry out various sales-related tasks. In this context, the PIPC has interpreted that E-commerce Platform operators are ‘data controllers’ under PIPA, and that seller members are ‘personal information managers’ who process personal information under the direction and supervision of the E-commerce Platform operators. Based on this presumption, the PIPC found that E-commerce Platform operators breached the necessary safety measures required under PIPA by allowing seller members access to the seller system using only an ID and password, without employing additional secure authentication methods. As a result, the PIPC issued an order to seven (7) major platform operators to implement secure authentication methods and conduct regular training for their seller members (the PIPC Order). Among the E-commerce Platform operators subject to the PIPC Order, Naver and Gmarket filed lawsuit actions against the PIPC seeking to annul the PIPC Order. We, Lee & Ko, have represented Naver and Gmarket from the court of first instance to the final decision by the Supreme Court. 2. Summary of the Supreme Court’s Ruling     The main issue presented to the Supreme Court concerned whether E-commerce Sellers qualify as ‘personal information managers’ for E-commerce Platform operators under PIPA. This distinction was critical, as PIPA’s requirement for data controllers to implement secure authentication methods specifically applies to ‘personal information managers.’ Consequently, the legality of the PIPC Order depended on this determination.     In this regard, the Supreme Court annulled the PIPC Order for the following reasons, determining that E-commerce Sellers do not qualify as the ‘personal information managers’ of the E-commerce Platform operators:     ■ A ‘personal information manager’ is not limited to those who have an employment contract with a data controller. It includes any person who, under laws or contractual terms, acts under the direction and supervision of a data controller to carry out certain tasks.     ■ "Third parties," who receive personal information from data controllers and utilize it for their own business purposes and benefits, are distinct from and cannot coexist with personal information managers.     ■ The E-commerce Sellers receive personal information of buyer members from the E-commerce Platform operators and process that information according to their own discretion for their business operations. They are thus ‘data controllers’ and ‘third parties’ themselves rather than ‘personal information managers’ of the E-commerce Platform operators. 3. Significance of the Supreme Court’s Ruling     The significance of this case lies in the fact that it provided the first specific judicial interpretation of PIPA regarding the definition and scope of a ‘personal information manager,’ and the critical distinction between a ‘personal information manager’ and ‘third party.’ This ruling is pivotal not only for the e-commerce platform industry but also establishes a benchmark for future cases across various sectors involving the determination of who qualifies as a ‘personal information manager’ and who is subject to security measures requirements as per PIPA.     Prior to this ruling, the PIPC had used its guidelines as the legal basis to interpret E-commerce Sellers as ‘personal information managers’ for E-commerce Platform operators. However, this ruling clearly established that the PIPC’s guidelines cannot serve as grounds for enforcement actions. Nonetheless, it should be noted that independent of the Supreme Court’s decision, major E-commerce Platform operators such as Naver and Gmarket have proactively enhanced their security measures through self-regulatory efforts to safeguard the personal information of buyer members.     Furthermore, this ruling is also significant as it clearly delineates the responsibilities related to personal information processing between E-commerce Platform operators and their seller members. This provides critical guidance for E-commerce Platform operators on how to structure their compliance and governance frameworks to protect personal information effectively. This ruling marks the first decision issued by the PIPC that has been overturned since it became a central administrative agency in 2020. Lee & Ko features a Data Privacy & Cybersecurity Group comprised of the largest team of personal information protection and information security experts in Korea. Our comprehensive legal services encompass consultations, legal investigation responses, and litigation representation concerning personal information matters. If you require advice or assistance concerning privacy-related matters, please feel free to contact us at your convenience.