Recent Developments

법무법인(유) 광장 TMT팀은 SK브로드밴드와 SK텔레콤이 글로벌 클라우드 사업자인 아마존웹서비스(AWS)와 협력하여 약 7조 원 규모의 AI 데이터센터 구축 사업을 진행함에 있어, 계약 체결 및 제반 인허가·규제 사항 전반에 대한 법률 자문을 수행하였습니다.

본 사업은 국내 최대 규모(GPU 6만장 투입)의 AI 전용 데이터센터를 구축하는 초대형 프로젝트로, AWS가 본 사업에 함께 참여하면서, 복잡한 이해관계 조율과 계약 구조 설계가 요구되는 사안이었습니다.

광장은 SK브로드밴드, SK텔레콤을 대리하여 주요 쟁점 도출부터 클라우드 관련 협력 등 제반 계약 체결, 법적 리스크 분석에 이르기까지 본 프로젝트 전반에 대한 법적 자문을 제공하였습니다. 특히 본 프로젝트와 관련된 인허가, 전력 수전 및 클라우드 관련 규제 검토, 부동산·건축 인프라 요건 등 다양한 법률 이슈에 대해 사전 대응방안을 마련하였으며, 이러한 종합적 자문을 바탕으로 SK브로드밴드와 SK텔레콤은 계획한 일정 내에 계약을 성공적으로 체결할 수 있었습니다.

이번 프로젝트는 국내 AI 산업 생태계 조성과 초대형 인프라 투자라는 측면에서 전략적 의미가 큰 사안으로, 광장의 ICT 및 인프라 분야 전문성과 복합계약 자문 경험이 집약된 사례라 할 수 있습니다. 본 계약의 성사로 인해 향후 SK그룹의 데이터센터 운영, 투자 확장, 추가 시설 구축 등 다양한 후속 자문 수요가 이어질 것으로 예상됩니다.

최근 네이버, 지마켓(구 이베이코리아)에 대한 개인정보보호위원회의 제재처분을 취소하는 판결(이하 ‘대상판결’)이 확정되어 그 내용을 소개해 드립니다. 대상판결은 '통신판매 중개 서비스를 제공하는 플랫폼(이하 “중개 플랫폼”)에 입점한 판매자(이하 ‘판매자’)는 개인정보 보호법상 중개 플랫폼 사업자의 개인정보취급자에 해당하지 않는다’는 판단을 하였습니다. 구체적 내용은 아래와 같습니다. 

1. 사안의 개요
중개 플랫폼 사업자는 해당 플랫폼 회원들(판매자와 구매자)에게 온라인 공간에서 상품을 거래할 수 있는 서비스를 제공합니다. 판매자는 중개 플랫폼 사업자로부터 제공받은 구매자의 개인정보를 이용하여 구매자에게 상품을 배송하는 등 판매 업무를 수행합니다.

개인정보보호위원회는 중개 플랫폼 사업자가 개인정보 보호법상 ‘개인정보처리자’이며, 판매자는 중개 플랫폼 사업자의 지휘·감독을 받아 개인정보를 처리하는 ‘개인정보취급자’에 해당한다고 전제하고, 중개 플랫폼 사업자가 판매자로 하여금 계정(ID)과 비밀번호만으로 판매자시스템에 접속할 수 있도록 하고 추가적으로 안전한 인증수단을 적용하지 않은 것이 개인정보 보호법상 안전조치의무를 위반한 것으로 판단하였습니다. 이에 개인정보보호위원회는 중개 플랫폼 사업자인 7개 대형 사업자들에게 안전한 인증수단 적용 및 판매자들에 대한 정기적인 교육 실시 등의 시정조치를 명하였습니다(이하 ‘이 사건 처분’). 

이 사건 처분을 부과받은 중개 플랫폼 사업자들 중 네이버와 지마켓은 개인정보보호위원회를 상대로 이 사건 처분의 취소를 구하는 소를 각 제기하였고, 법무법인(유) 광장은 제1심부터 네이버와 지마켓을 대리하여 소송을 수행하였습니다.

2. 대상판결의 요지
개인정보처리자의 안전한 인증수단 적용 의무는 ‘개인정보취급자’에 대해 적용되는 것이므로, 이 사건 처분의 위법성을 판단함에 있어서는 판매자가 중개 플랫폼 사업자의 ‘개인정보취급자’에 해당하는지가 핵심적인 쟁점이 되었습니다.

대상판결은 다음과 같은 이유로, 판매자는 중개 플랫폼 사업자의 ‘개인정보취급자’에 해당하지 않는다고 판단하여 이 사건 처분을 취소하였고, 대법원 및 서울고등법원에서 위 판결이 확정되었습니다. 

   - ‘개인정보취급자’는 반드시 개인정보처리자와 고용계약을 체결한 자로 한정되는 것은 아니며, 법령 또는 계약상 개인정보처리자의 의사에 따라 개인정보처리자를 위하여 그 지휘·감독 아래 업무를 집행하는 자를 의미함.

   - 판매자는 중개 플랫폼 사업자로부터 구매자의 개인정보를 제공받아 판매자 자신의 업무를 위하여 스스로의 의사에 따라 개인정보를 처리하는 ‘개인정보처리자’이자 ‘제3자’일 뿐, 중개 플랫폼 사업자의 ‘개인정보취급자’에 해당하지 않음.

3. 대상판결의 의의
대상판결은 개인정보 보호법상 ‘개인정보취급자’의 정의 및 범위, 개인정보취급자와 제3자 구분의 중요성에 대하여 최초로 구체적인 판시를 하였다는 점에서 큰 의미가 있습니다. 대상판결은 비단 중개 플랫폼 영역에 국한되지 않고, 개별 사안에서 ‘개인정보취급자’ 해당 여부 및 안전성 확보조치 적용 대상 여부에 관한 판단 기준 제시를 하였다는 점에서 향후 중요한 leading case가 될 것입니다.

개인정보보호위원회는 기존에 가이드라인을 통하여 판매자가 중개 플랫폼 사업자의 개인정보취급자에 해당한다는 해석을 하고 있었으나, 법원은 이를 제재 처분의 근거로 삼기는 어렵다고 판단한 것입니다. 다만, 네이버, 지마켓 등 중개 플랫폼 사업자들은 자율규제로서 구매자의 개인정보를 보호하기 위한 안전조치 수준을 스스로 강화한 바 있습니다(개인정보보호위원회, 2022. 7. 13.자 “온라인쇼핑(중개) 플랫폼 10개 사, 안전한 개인정보 이용을 위한 민관협력 자율규제 규약 서명” 보도자료).

또한 대상판결은 중개 플랫폼 사업자와 판매자 간 개인정보 처리에 관한 책임의 범위를 명확히 정립하였다는 점에서, 향후 중개 플랫폼 사업자가 개인정보 보호에 관한 컴플라이언스 구축 업무를 수행함에 있어서도 중요한 참고가 될 것으로 평가할 수 있습니다.


이번 판결은, 2020년 데이터 3법 개정 이후 중앙행정기관으로 새로이 출범한 개인정보보호위원회의 처분에 대하여 취소 판결이 내려진 최초의 판결입니다. 저희 법무법인(유) 광장은 국내 최대 규모의 개인정보 보호 및 정보보안 전문가들로 구성된 개인정보 및 정보보호 그룹을 구성하여, 이 사건 소송 수행을 포함하여 정보보호 분야에 관한 선도적인 자문 활동과 규제 대응 업무를 수행해 오고 있습니다.

개인정보 보호법 등 정보보호 분야와 관련하여 도움이 필요하신 경우, 언제든지 법무법인(유) 광장 개인정보 보호 및 정보보호 그룹에 문의하여 주시기 바랍니다.
 

4차 산업혁명 시대를 맞아 데이터의 보호와 활용을 조화시킨다는 목적 하에 2020.8.5. 이른바 데이터 3법에 대한 대대적인 개정이 이루어졌습니다. 그 핵심이 바로 가명정보를 통계작성, 연구, 공익적 기록 보존 목적으로 처리할 경우 정보주체의 동의를 면제하며, 가명정보의 활용 및 안전성 확보를 위하여 가명정보에 대한 정보주체의 열람, 정정, 삭제, 처리정지 등의 권리를 배제하는 등 개인정보 보호법의 일부 조항의 적용을 배제하는 규정들이었습니다 (개인정보 보호법 제28조의2, 제28조의5, 제28조의7 그리고 신용정보법 제32조 제6항 제9호의2, 신용정보법 제40조의3(이하 “본건 심판대상 조항”)). 그러나 2021년 6월경 본건 심판대상 조항들이 정보주체의 개인정보 자기결정권을 침해하여 위헌이라는 헌법소원이 제기되었고, 법무법인(유) 광장은 이해관계인인 개인정보보호위원회와 금융위원회를 대리한 결과 2023.10.26. 헌법재판소의 기각 결정을 받았습니다(2020헌마1477, 2021헌마748 (병합), 2020헌마1476). 

구체적으로 본건 중 ① 2020헌마1477, 2021헌마748 (병합) 건에서는 가명정보에서 다시 특정 개인을 알아보는 것을 금지하는 개인정보보호법 제28조의5와 정보주체의 권리 규정 등 개인정보 보호를 위한 다수의 규정을 가명정보에 적용하지 않도록 한 적용제외조항(개인정보보호법 제28조의7 및 신용정보법 제40조의3)이 정보주체가 권리 주장을 하는 것을 막음으로써 개인정보자기결정권을 침해하는지 여부가, ② 2020헌마1476 건에서는 정보주체 동의 없이 과학적 연구 등 목적으로 가명정보 처리를 허용하는 조항(개인정보보호법 제28조의2, 신용정보법 제32조 제6항 제9호의2)의 개인정보자기결정권 침해 여부가 문제되었습니다. 

광장은 본건 대상 조항들이 과잉금지원칙에 반하지 아니하여 위헌이라고 볼 수 없다는 점을, 본건 심판대상 조항에 관한 치밀하고도 방대한 헌법적 분석과 비교법적 검토를 담은 수 차례의 서면 제출을 통하여 적극 주장·입증하였습니다. 이에 헌법재판소는 광장의 주장을 받아들여 위 심판대상조항 전부에 대하여, 과잉금지원칙에 위반되지 아니하므로 청구인들의 개인정보자기결정권을 침해한다고 볼 수 없다고 하여 청구인들의 심판청구를 기각하는 결정을 내렸습니다 (재판관 전원의 일치된 의견, 소수의견 없음).

본건 헌법소원이 제기된 당시 이미 본건 심판대상조항에 근거하여 전 산업 분야에서 가명정보의 결합 및 활용을 통한 새로운 지식과 서비스의 창출이 가속화되고 있었으며, 이후 대한민국 정부 또한 데이터 경제의 발전을 위하여 가명정보의 활용을 더욱 촉진하는 시책들을 다양하게 발표하고 가명정보 결합 선도사례 및 활용 확대방안을 전파하여 왔습니다. 만일 본건 심판대상 조항의 위헌성이 인정되었더라면 이와 같은 노력들은 모두 물거품이 되었을 것인바, 본건은 정부의 데이터 경제 정책을 뒷받침하고, 기존의 가명정보 활용 생태계를 지켜냈다는 점에서 매우 큰 의미를 가지고 있는 판결입니다. 이처럼 광장은 튼튼한 이론적 기반 위에서 급변하는 데이터 경제 시대를 새로운 쟁점들에 빠르게 대응하고 있으며, 본건뿐 아니라 각종의 입법 활동 및 규제기관 대응 활동에서도 이러한 역량을 십분 발휘하고 있습니다.

2021년 1월 개인정보보호위원회는 네이버와 지마켓에 대하여, 오픈마켓 판매자 계정 도용 등에 따른 전자상거래 사기 사건이 지속적으로 증가하고 있음에도 판매자가 시스템 접속 시 충분한 안전성 확보조치를 취하지 아니하였다는 이유로 시정명령 및 과태료 부과 처분을 내렸습니다. 개인정보보호위원회는 네이버와 지마켓에서 물품을 판매하는 제3자들이 네이버와 지마켓의 개인정보취급자라고 보고, 네이버와 지마켓이 이들에 대한 관리·감독의무가 있다고 보아 위 처분을 한 것입니다.

이에 법무법인(유) 광장은 네이버 및 지마켓을 대리하여 위 처분에 대한 취소소송을 제기하였으며, 판매자들은 네이버와 지마켓의 개인정보취급자가 아니라 이들로부터 개인정보를 제공받은 제3자이자 독립한 개인정보처리자라는 점을 다양한 각도에서 입증하며 위 처분이 위법·부당함을 주장하였습니다. 

1심 법원은 네이버 및 지마켓의 주장을 받아들여 개인정보보호위원회의 본건 처분을 취소하였으며, 최근 지마켓 사건의 항소심 법원도 개인정보보호위원회의 항소를 기각하여 원심 판단을 유지하였습니다. 개인정보보호위원회는 데이터 3법 개정 이후 중앙행정기관으로 새롭게 출범하였는데, 현재 본건은 중앙행정기관인 개인정보보호위원회의 처분에 대하여 취소 판결이 내려진 유일한 사건입니다.

나아가 본건은 개인정보취급자의 범위를 명확히 하는 최초의 판결이고, 특히 오픈마켓 등 전자상거래 비즈니스와 관련하여 플랫폼 서비스 제공자의 역할 및 책임이라는 관점에서 선례로서 매우 중요한 가치를 지니고 있습니다. 

병원 직원이 제약사 직원에게 민감정보가 포함된 환자정보 약 5만여 건을 송부한 사안에서, 법무법인(유) 광장은 연세의료원(세브란스병원)을 대리하였습니다. 경찰 등 수사기관이 리베이트 관련 제약사 압수수색과정에서 본건 환자정보 유출을 확인함에 따라, 수사기관 수사와 개인정보보호위원회 조사가 함께 진행되었습니다. 또한 연세의료원은 의료법인인 동시에 학교법인에도 속한 관계로 본건에서는 소관부처인 교육부와 보건복지부에 대한 대응도 필요하였습니다. 

광장의 개인정보팀은 사건 초기부터 정보보호 전문 위원들을 세브란스 병원에 상주시켜 수사기관 및 개인정보보호위원회 조사를 시뮬레이션 하고 대응하였으며, 개인정보 유출과 관련한 언론 및 환자 민원 대응 업무까지 수행하였습니다. 

특히 수사기관의 수사 과정에서는 광장의 개인정보팀과 형사팀이 협업하여 연세의료원 주요 임원의 참고인 조사에 참여하고 변호인 의견서를 제출하였습니다. 환자의 개인정보 유출로 인한 손해배상청구 소송에서는 광장의 개인정보팀과 송무팀이 협업하여 본건이 불필요한 소송전으로 확대되는 것을 미연에 방지하였습니다. 

광장은 본건에서 규제기관 대응 업무에만 그치지 않고 연세의료원의 개인정보 보호 절차 개선 업무, 연세의료원 및 개별 병원의 정보보호조직 개편 업무 등 정보보호 거버넌스에 관한 실무 자문도 수행하였습니다.

이와 같이 광장이 개인정보팀을 중심으로 유기적이고 전문화된 토탈서비스를 제공한 결과, 고객은 복잡하고 전방위적인 개인정보 유출 사건에서 최소한의 제재만 받게 되었습니다. 광장은 고객의 신뢰를 바탕으로 현재도 수사기관 대응 등 본건의 잔여 업무를 신속하고 효과적으로 수행하고 있습니다.

2021년 1월 개인정보 보호위원회는 네이버와 지마켓에 대하여 오픈마켓 판매자 계정 도용 등에 따른 전자상거래 사기 사건이 지속적으로 증가하고 있음에도, 판매자가 시스템 접속 시 충분한 안전성 확보조치를 취하지 아니하였다는 이유로 시정명령 및 과태료 부과 처분을 내렸습니다. 개인정보 보호위원회는 네이버와 지마켓에서 물품을 판매하는 제3자들이 네이버와 지마켓의 개인정보취급자라고 보고, 네이버와 지마켓이 이들에 대한 관리·감독의무가 있다고 보아 이 사건 처분을 한 것입니다.  

법무법인(유) 광장은 네이버 및 지마켓을 대리하여 위 처분에 대한 취소소송을 제기하였으며, 판매자들은 네이버와 지마켓의 개인정보취급자가 아니라 이들로부터 개인정보를 제공받은 독립한 개인정보처리자라는 점을 다양한 각도에서 입증하며 위 처분이 위법·부당함을 주장하였습니다.  

1심 법원은 네이버 및 지마켓의 주장을 받아들여 개인정보 보호위원회의 이 사건 처분을 취소하였습니다. 

이 사건은 개인정보취급자의 범위를 명확히 하는 첫 번째 사건이었고, 특히 오픈마켓 등 전자상거래 비즈니스와 관련하여 플랫폼 서비스 제공자의 역할 및 책임이라는 관점에서 선례로서 매우 중요한 가치를 지니고 있습니다. 현재 이 사건은 2심이 진행 중이며, 광장은 2심에서도 위 회사들을 대리하여 소송을 수행하고 있습니다.

2022년경 SKT는 메타버스 플랫폼 “이프랜드(Ifland)”를 해외로 확장하고자 하였습니다. 이 과정에서 각국의 법규를 준수하기 위하여 방대한 법률검토가 필요하였습니다. 법무법인(유) 광장은 SKT를 위하여 글로벌 로펌과 함께 미국, 독일, 싱가포르, 아랍에미리트의 프라이버시, 지식재산권, 소비자보호, 인허가 기타 관련된 현지법 요건을 검토하여 구체적인 준수사항을 도출하였고, 소비자 이용약관, 개인정보 처리방침, 각종 동의서 등 현지법 준수에 필요한 문건들 또한 작성하였습니다. 그 결과 SKT는 이프랜드 서비스를 전세계 49개국에 성공리에 출시함으로써 글로벌 메타버스로 거듭나게 할 수 있었습니다. 

광장은 이와 같이 국내 업무 뿐 아니라 다수의 국내 기업을 위하여 해외 진출 또는 해외 서비스 런칭에 관한 컴플라이언스 업무 또한 수행하고 있습니다. 특히 유럽의 GDPR, 미국의 FTC법 및 CCPA, CPRA, 중국의 PIPL 등 각국의 프라이버시 법령에 관하여 현지 로펌들과 협업하여 가장 효율적이고 고객의 니즈에 맞는 자문을 제공하고 있으며, 그에 관하여 어느 로펌보다도 더 폭넓고 깊이 있는 전문성과 경험을 축적하고 있습니다.
 

메가존클라우드㈜는 2022년 8월 말, 4,000억원 규모의 시리즈C 투자유치를 완료하였습니다. 이번 시리즈 C 투자에는 MBK파트너스와 IMM PE가 투자자로 참여하였습니다.

법무법인(유)광장은 메가존클라우드를 대리하여 자금조달 구조 검토, 투자자들과의 계약서 협상 및 거래 종결에 이르기까지 거래의 전반을 자문하였습니다. 특히 이번 시리즈C 투자 시에는 신규 투자자들과 기존 투자자들 간의 이해관계 조율에 상당한 노력이 투입되었으며, 법무법인(유) 광장은 그간의 유사 업무 경험을 바탕으로 고객에게 적절한 자문을 함으로써 거래의 성사에 기여하였습니다.

SK텔레콤은 최근 약 40여개의 제휴사들에서 이용 가능한 할인권, 포인트 등 각종 혜택을 고객이 매월 일정한 금액을 내면 정해진 기간 동안 정기적으로 제공받을 수 있는 구독 서비스인 ‘우주패스’를 출시했습니다. SK텔레콤은 향후에는 우주패스 서비스에 가입한 이용자만 서비스를 이용하는 방식 외에도 이용자가 다른 이용자에게 ‘우주패스 이용권’을 선물할 수 있도록 하는 기능을 도입하고자 했습니다.

이와 같은 구독서비스에서 활용되는 이용권의 법적 성격에 대해 명확히 판단한 판례나 유권해석이 존재하지 않아 SK텔레콤이 우주패스 이용권 기능을 도입함에 있어서 법적 불확실성이 있었습니다. 

이에 법무법인(유) 광장은 유사한 서비스와의 비교 및 구독경제의 특성 등에 대한 분석을 통해 SK텔레콤이 합리적으로 준수해야 하는 규제 범위에 대한 자문을 제공해 새로운 서비스를 출시하는 데 기여한 것으로 평가됩니다.