[정세진 법무법인 광장 변호사] 우리가 서비스를 이용하다 보면 한 회사가 보유한 개인정보가 다른 회사로 전달되는 경우가 많다. 상품 배송을 위해 배송업체에 주소와 연락처를 넘기기도 하고, 제휴회사가 자신의 상품이나 서비스를 홍보할 수 있도록 고객정보를 전달하기도 한다. 그렇다면 이처럼 개인정보가 다른 회사로 넘어갈 때에는 항상 고객의 동의를 받아야 할까? 반드시 그런 것은 아니다. 개인정보 보호법은 개인정보가 다른 회사에 전달되는 경우를 그 성격에 따라 ‘제3자 제공’과 ‘처리위탁’으로 구분한다.

제3자 제공은 개인정보를 넘겨받은 회사가 자신의 업무와 이익을 위해 개인정보를 이용하는 경우이다. 이러한 제3자 제공은 원칙적으로 정보주체의 동의가 필요하다. 반면 처리위탁은 기업이 자신의 업무 일부를 다른 회사에 맡기면서 그 업무에 필요한 개인정보를 함께 전달하는 경우이다. 개인정보를 넘겨받은 회사는 자신의 목적이 아니라 개인정보를 넘긴 회사의 업무를 대신 수행하기 위해 개인정보를 이용한다. 이러한 처리위탁에는 정보주체의 별도 동의가 필요하지 않다.

앞의 사례에서 상품 배송을 위한 개인정보 이전은 처리위탁에, 제휴회사의 상품이나 서비스 홍보를 위한 개인정보 이전은 제3자 제공에 해당한다. 문제는 현실에서 제3자 제공과 처리위탁을 구별하는 것이 항상 쉽지만은 않다는 점이다. 개인정보가 다른 회사로 전달된다는 외형은 동일하기 때문이다. 그렇다면 둘은 무엇을 기준으로 구별해야 할까?

이에 관한 중요한 판단기준을 제시한 판례가 이른바 ‘홈플러스 경품행사 사건’인 2016도13263 판결(대법원 2017. 4. 7. 선고 2016도13263 판결)이다.

이 사건에서 홈플러스는 보험회사들과 업무제휴약정을 체결하고 경품행사 등을 통해 수집한 고객들의 개인정보를 보험회사가 보험상품 마케팅에 활용할 수 있도록 전달하였다. 다만, 홈플러스는 고객들로부터 보험회사가 마케팅 목적으로 정보를 활용하는 것에 대한 동의를 받기 전에, 보험회사가 이미 보험계약을 체결한 고객이나 보험가입이 어려운 고객 등을 미리 걸러낼 수 있도록(사전필터링) 고객정보를 보험회사에 전달하였다.

문제는 바로 이 사전필터링을 위해 이루어진 개인정보 이전이었다. 홈플러스 측은 사전필터링은 향후 보험회사에 제공할 고객정보를 선별하기 위해 원래 홈플러스 자신이 수행하여야 할 업무이고, 이를 보험회사에 맡긴 것에 불과하므로 처리위탁에 해당한다고 주장하였다. 결국 사전필터링을 위한 개인정보 이전을 처리위탁으로 볼 수 있는지, 아니면 고객의 동의가 필요한 제3자 제공으로 보아야 하는지가 쟁점이 되었다.

그러나 대법원은 개인정보가 다른 회사로 전달되었다는 외형이나 당사자들이 붙인 명칭만으로 제3자 제공과 처리위탁을 구별할 수 없다고 보았다. 중요한 것은 개인정보가 누구의 업무처리와 이익을 위해 이전되는가였다.

대법원은 이를 판단하기 위해 개인정보를 이전한 목적과 방법, 대가의 지급 여부, 개인정보를 넘겨받은 자에 대한 실질적인 관리·감독 여부, 정보주체의 개인정보 보호에 미치는 영향 등을 종합적으로 고려해야 한다고 보았다. 특히 개인정보를 이용할 필요가 있는 사람이 실질적으로 누구인지를 살펴보아야 한다고 하였다.

이러한 기준에 따라 대법원은 사전필터링을 처리위탁으로 보지 않았다. 이는 사전필터링은 결국 보험회사가 자신의 보험영업에 필요한 고객을 선별하기 위해 개인정보를 이용한 것이므로, 보험회사 자신의 업무와 이익을 위해 고객정보가 이전된 경우로서 개인정보의 제3자 제공에 해당한다고 판단하였다.

이 판결의 의미는 제3자 제공과 처리위탁을 구별하기 위한 보다 구체적인 판단기준을 제시하였다는 데 있다. 개인정보를 넘겨받은 회사가 자신의 업무와 이익을 위해 개인정보를 이용한다면 제3자 제공이고, 개인정보를 넘긴 회사의 업무를 대신 수행한다면 처리위탁이라는 원칙 자체는 비교적 명확하다. 그러나 실제 거래관계에서는 여러 회사가 하나의 업무에 함께 관여하고 각자의 이해관계도 얽혀 있어 누구의 업무와 이익을 위한 것인지를 구별하기가 쉽지 않은 경우가 많다. 이 판결은 이러한 경우 계약의 명칭이나 형식이 아니라 개인정보 이전을 둘러싼 여러 사정을 종합적으로 살펴 그 실질을 판단해야 한다는 기준을 제시하였다.

오늘날 하나의 서비스를 제공하기 위해 여러 회사가 역할을 나누어 개인정보를 처리하며, 그 과정에서 개인정보를 주고받는 일은 흔한 일이 되었다. 그만큼 회사 사이의 개인정보 이전을 단순히 제3자 제공이나 처리위탁 중 하나로 구분하기 어려운 경우도 많아지고 있다. 계약서에 ‘처리위탁’이라고 적어 두었다는 이유만으로 처리위탁이 되는 것도 아니고, ‘제휴’라고 적어두었다고 해서 곧바로 제3자 제공이 되는 것도 아니다. 결국 개인정보 이전의 법적 성격은 구체적인 사정을 종합적으로 살펴 판단해야 한다. 개인정보가 다른 회사로 넘어가는 모습은 같더라도, 그 실질에 따라 동의가 필요한지에 대한 답은 달라질 수 있다.

■정세진 변호사 △고려대학교 전기전자전파공학 졸업 △한국과학기술원(KAIST) 전기 및 전자공학 석사 졸업 △성균관대학교 법학전문대학원 석사 졸업 △고려대학교 정보보호대학원 박사과정 수료 △前김앤장 법률사무소 변호사 △前 법무법인 율촌 변호사 △과학기술정보통신부 고문변호사 △개인정보보호위원회 고문변호사 △금융감독원 금융감독자문위원회 자문위원(디지털/IT분과)△사단법인 벤쳐기업협회 자문위원 △한국핀테크지원센터 혁신금융 전문위원 △한국금융연수원 겸임교수 △성균관대학교 법학전문대학원 겸임교수