네이버 등 통신판매 중개 플랫폼 사업자에 대한 개인정보보호위원회 제재처분에 대한 법원의 취소판결 확정

최근 네이버, 지마켓(구 이베이코리아)에 대한 개인정보보호위원회의 제재처분을 취소하는 판결(이하 ‘대상판결’)이 확정되어 그 내용을 소개해 드립니다. 대상판결은 '통신판매 중개 서비스를 제공하는 플랫폼(이하 “중개 플랫폼”)에 입점한 판매자(이하 ‘판매자’)는 개인정보 보호법상 중개 플랫폼 사업자의 개인정보취급자에 해당하지 않는다’는 판단을 하였습니다. 구체적 내용은 아래와 같습니다. 

1. 사안의 개요
중개 플랫폼 사업자는 해당 플랫폼 회원들(판매자와 구매자)에게 온라인 공간에서 상품을 거래할 수 있는 서비스를 제공합니다. 판매자는 중개 플랫폼 사업자로부터 제공받은 구매자의 개인정보를 이용하여 구매자에게 상품을 배송하는 등 판매 업무를 수행합니다.

개인정보보호위원회는 중개 플랫폼 사업자가 개인정보 보호법상 ‘개인정보처리자’이며, 판매자는 중개 플랫폼 사업자의 지휘·감독을 받아 개인정보를 처리하는 ‘개인정보취급자’에 해당한다고 전제하고, 중개 플랫폼 사업자가 판매자로 하여금 계정(ID)과 비밀번호만으로 판매자시스템에 접속할 수 있도록 하고 추가적으로 안전한 인증수단을 적용하지 않은 것이 개인정보 보호법상 안전조치의무를 위반한 것으로 판단하였습니다. 이에 개인정보보호위원회는 중개 플랫폼 사업자인 7개 대형 사업자들에게 안전한 인증수단 적용 및 판매자들에 대한 정기적인 교육 실시 등의 시정조치를 명하였습니다(이하 ‘이 사건 처분’). 

이 사건 처분을 부과받은 중개 플랫폼 사업자들 중 네이버와 지마켓은 개인정보보호위원회를 상대로 이 사건 처분의 취소를 구하는 소를 각 제기하였고, 법무법인(유) 광장은 제1심부터 네이버와 지마켓을 대리하여 소송을 수행하였습니다.

2. 대상판결의 요지
개인정보처리자의 안전한 인증수단 적용 의무는 ‘개인정보취급자’에 대해 적용되는 것이므로, 이 사건 처분의 위법성을 판단함에 있어서는 판매자가 중개 플랫폼 사업자의 ‘개인정보취급자’에 해당하는지가 핵심적인 쟁점이 되었습니다.

대상판결은 다음과 같은 이유로, 판매자는 중개 플랫폼 사업자의 ‘개인정보취급자’에 해당하지 않는다고 판단하여 이 사건 처분을 취소하였고, 대법원 및 서울고등법원에서 위 판결이 확정되었습니다. 

   - ‘개인정보취급자’는 반드시 개인정보처리자와 고용계약을 체결한 자로 한정되는 것은 아니며, 법령 또는 계약상 개인정보처리자의 의사에 따라 개인정보처리자를 위하여 그 지휘·감독 아래 업무를 집행하는 자를 의미함.

   - 판매자는 중개 플랫폼 사업자로부터 구매자의 개인정보를 제공받아 판매자 자신의 업무를 위하여 스스로의 의사에 따라 개인정보를 처리하는 ‘개인정보처리자’이자 ‘제3자’일 뿐, 중개 플랫폼 사업자의 ‘개인정보취급자’에 해당하지 않음.

3. 대상판결의 의의
대상판결은 개인정보 보호법상 ‘개인정보취급자’의 정의 및 범위, 개인정보취급자와 제3자 구분의 중요성에 대하여 최초로 구체적인 판시를 하였다는 점에서 큰 의미가 있습니다. 대상판결은 비단 중개 플랫폼 영역에 국한되지 않고, 개별 사안에서 ‘개인정보취급자’ 해당 여부 및 안전성 확보조치 적용 대상 여부에 관한 판단 기준 제시를 하였다는 점에서 향후 중요한 leading case가 될 것입니다.

개인정보보호위원회는 기존에 가이드라인을 통하여 판매자가 중개 플랫폼 사업자의 개인정보취급자에 해당한다는 해석을 하고 있었으나, 법원은 이를 제재 처분의 근거로 삼기는 어렵다고 판단한 것입니다. 다만, 네이버, 지마켓 등 중개 플랫폼 사업자들은 자율규제로서 구매자의 개인정보를 보호하기 위한 안전조치 수준을 스스로 강화한 바 있습니다(개인정보보호위원회, 2022. 7. 13.자 “온라인쇼핑(중개) 플랫폼 10개 사, 안전한 개인정보 이용을 위한 민관협력 자율규제 규약 서명” 보도자료).

또한 대상판결은 중개 플랫폼 사업자와 판매자 간 개인정보 처리에 관한 책임의 범위를 명확히 정립하였다는 점에서, 향후 중개 플랫폼 사업자가 개인정보 보호에 관한 컴플라이언스 구축 업무를 수행함에 있어서도 중요한 참고가 될 것으로 평가할 수 있습니다.


이번 판결은, 2020년 데이터 3법 개정 이후 중앙행정기관으로 새로이 출범한 개인정보보호위원회의 처분에 대하여 취소 판결이 내려진 최초의 판결입니다. 저희 법무법인(유) 광장은 국내 최대 규모의 개인정보 보호 및 정보보안 전문가들로 구성된 개인정보 및 정보보호 그룹을 구성하여, 이 사건 소송 수행을 포함하여 정보보호 분야에 관한 선도적인 자문 활동과 규제 대응 업무를 수행해 오고 있습니다.

개인정보 보호법 등 정보보호 분야와 관련하여 도움이 필요하신 경우, 언제든지 법무법인(유) 광장 개인정보 보호 및 정보보호 그룹에 문의하여 주시기 바랍니다.