칼럼 및 연구자료

기업이 마케팅 목적으로 행사를 진행하며 응모자의 개인정보를 수집하는 일을 흔합니다. 그러나 그 행사가 단순히 홍보를 위한 것인지, 아니면 개인정보를 수집해 제3자에게 제공하기 위한 구조인지에 따라 법적으로 검토해야 할 사항은 크게 달라지며, 동의 항목을 형식적으로 빠짐없이 갖추었더라도 그 수집 과정 전반이 위법으로 평가될 수 있어 주의가 필요합니다. 

개인정보 보호법 제59조 제1호는 거짓이나 그 밖의 부정한 수단·방법으로 개인정보를 취득하거나 그 처리에 관한 동의를 받는 행위를 금지하고 있으며, 이를 위반할 경우 형사처벌의 대상이 될 수 있습니다. 여기서 '부정한 방법'은 허위 사실을 적극적으로 고지하는 경우뿐 아니라, 정보주체의 의사결정에 중요한 사항을 사실상 인지하기 어렵게 처리하는 소극적 방식까지 포함될 수 있다는 점에서 그 판단 기준을 정확히 이해하는 것이 중요합니다.

대법원 2017. 4. 7. 선고 2016도13263 판결은 이 문제를 잘 보여줍니다. 경품행사를 진행하면서 개인정보의 수집 및 제3자 제공에 관한 사항을 약 1mm 크기의 작은 글씨로만 기재하고, 수집한 응모자 정보를 보험회사에 제공한 사안에서 원심은 동의에 필요한 사항이 모두 기재되어 있었다는 이유로 위법성을 인정하기 어렵다고 보았으나 대법원의 판단은 달랐습니다. 

대법원은 동의를 받는 행위 그 자체만을 분리하여 판단할 것이 아니라, 수집의 동기·목적과 방법, 취득한 정보의 내용·규모 등 동의를 받게 된 전 과정을 종합해 사회통념에 따라 위법성을 판단하여야 한다고 보았습니다.

그리고 이 기준에 따라, 개인정보를 수집해 제3자에게 제공한다는 점이 광고에서 누락되어 소비자가 이를 단순 사은행사로 받아들일 가능성이 크고 응모 여부를 좌우하는 핵심 정보가 읽기 어려운 글씨로만 제공된 이상, 각각의 동의사항을 구분하여 정보주체가 명확하게 인지하고 동의하도록 한 개인정보 보호법 제22조의 요건을 위반한 것이라고 판시하였습니다.

이 판결은 개인정보 수집 동의의 적법성이 동의서 문구만으로 담보되지 않고, 수집의 목적과 방법, 안내 방식, 나아가 행사의 실질까지 포함한 전 과정을 종합하여 평가되며, 알려야 할 내용을 빠짐없이 기재하였더라도 정보주체가 이를 실질적으로 인지하기 어려운 방식이었다면 적법한 동의로 보기 어렵다는 점을 분명히 한 것입니다.

따라서 마케팅 활동에서 개인정보를 수집하는 기업이라면 동의 항목의 내용은 물론 그 전달 방식과 행사 구조의 실질까지 사전에 면밀히 검토할 필요가 있습니다. 특히 행사의 실질이 데이터 수집과 제3자 제공에 있다면 그 점이 광고와 안내 단계에서 명확히 드러나야 하며, 사전필터링과 같이 본래의 제공 동의 이전에 정보를 외부에 넘기는 행위도 제3자 제공에 해당할 수 있으므로, 처리 흐름 전반에서 외부 제공이 발생하는 지점과 그에 대응하는 동의의 적법성을 점검해 두는 것이 중요합니다.

법무법인 비트는 데이터 및 개인정보의 수집·이용·활용 분야에 특화된 전문성을 바탕으로, 개인정보 수집·제3자 제공 동의서 및 개인정보 처리방침의 작성·검토, 마케팅·프로모션 과정에서의 개인정보 처리 적법성 점검, 주무부처의 현장점검 대응, 침해·유출사고 위기대응에 이르기까지 개인정보 관련 법률 이슈 전반에 걸쳐 종합적인 자문을 제공하고 있습니다.

보다 자세한 칼럼의 내용은 아래 공식 블로그를 참고해 주시기 바라며, 개인정보 수집 단계의 동의 설계부터 분쟁 대응까지 법률 자문이 필요하시다면 언제든지 법무법인 비트 개인정보센터 리걸튠으로 문의하여 주시기 바랍니다.

• [개인정보 동의] 마케팅 이벤트 동의서만으로 충분할까? 기업 개인정보 수집의 적법성 판단 기준

감사합니다.

법무법인 비트 드림