회사 다면평가 열람용 인터넷 주소 일부 숫자를 바꿔 입력하는 방법을 반복해 다른 직원의 평가 결과를 열람하고 이를 캡처해 타인에게 전송했더라도 정보통신망법 위반으로 볼 수 없다는 취지의 대법원 판결이 나왔다. 다면평가 결과가 게시된 인터넷 페이지에 별도의 개인인증 절차 없이 주소만 입력해 접속할 수 있었다면, 페이지 접근권한을 임직원 본인으로 제한했다고 보기 어렵다는 판단이다. 대법원 형사1부(주심 오경미 대법관)는 지난달 26일 정보통신망이용촉진및정보보호법률 위반 혐의로 기소된 A 씨에게 징역형의 집행유예를 선고한 원심을 파기하고 사건을 수원지법으로 돌려보냈다(2023도1086). A 씨는 경기도의 B 아트센터에 근무하는 직원이다. B 센터는 직원 인사관리를 위해 매년 직원 간 다면평가를 실시했는데 직원들은 개인별로 부여된 인터넷 주소에 접속해 본인의 평가 결과를 열람할 수 있었다. A 씨는 자신의 다면평가 열람 페이지 주소 마지막 숫자 2자리를 다르게 입력하는 방법을 반복해 B 센터 임직원 51명의 평가 결과를 일일이 열어 보고 그 화면을 캡처한 뒤, 캡처 사진을 B 센터 본부장에게 전송한 혐의를 받았다. 1심은 "A 씨가 정당한 접근권한 없이 정보통신망에 침입해 타인의 비밀을 침해하고 누설했다"며 A 씨에게 징역 8개월에 집행유예 2년을 선고했다. B 센터와 용역계약을 맺고 다면평가 온라인 링크 개발과 조사를 진행하고 직원들에게 평가 결과 주소를 전송한 C 업체와 대표이사 D 씨에게는 "B 센터 임직원의 개인정보 유출을 방지하기 위한 조치를 취하지 않아 개인정보보호법을 위반했다"며 각각 벌금 500만 원을 부과했다. 2심도 A 씨의 항소를 기각하고 1심 판결을 유지했다. 하지만 대법원 판단은 달랐다. 대법원은 "정당한 접근권한 없이 또는 허용된 접근권한을 넘어 정보통신망에 침입하는 것을 금지한 정보통신망법 제48조 제1항은 정보통신망 자체의 안정성과 정보의 신뢰성을 보호하기 위한 것이므로 접근권한을 부여하거나 허용되는 범위를 설정하는 주체는 서비스제공자"라며 "서비스제공자로부터 권한을 부여받은 이용자가 아닌 제3자가 정보통신망에 접속한 경우 그에게 접근권한이 있는지 여부는 서비스제공자가 부여한 접근권한을 기준으로 판단해야 하며, 서비스제공자가 접근권한을 제한하는지 여부는 보호조치나 이용약관 등 객관적으로 드러난 여러 사정을 종합적으로 고려해 신중하게 판단해야 한다"고 전제했다. 이어 "평가결과 열람 인터넷 페이지는 별도의 로그인이나 개인인증 절차 없이 접속이 가능했으며 △주소 마지막이 숫자 2자리로 단순하게 구성돼 있었으며 주소가 암호화돼 있지 않은 점 △C 업체가 임직원들에게 평가 결과 주소를 전송한 이메일과 문자메시지에서 다른 임직원의 열람을 제한하는 것으로 볼 만한 내용을 포함시키지 않은 점에 따라 C 업체와 D 씨는 안정성 확보에 필요한 조치를 취하지 않았다는 이유로 유죄 판결을 확정 받았다"고 밝혔다. 그러면서 "C 업체가 B 센터 임직원들에게 본인의 다면평가 결과가 게시된 인터넷 페이지의 주소만을 개별적으로 전달했다 하더라도, 아무런 보호조치 없이 다면평가 결과가 게시된 인터넷 주소를 입력하는 방법만으로도 다면평가 결과를 열람할 수 있도록 한 이상, 인터넷 페이지 접근권한을 임직원 본인으로 제한했다고 보기 어렵다"며 "A 씨가 인터넷 주소의 일부 숫자를 바꿔 넣는 방법으로 다른 사람의 평가 결과가 게시된 페이지에 접속했다 하더라도 정보통신망법 제48조 제1항이 금지하는 정보통신망 침입 행위에 해당한다고 할 수 없다"고 판단했다. A 씨가 다른 임직원의 평가열람 페이지에 접속해 타인에게 비밀을 누설했다는 혐의에 대해서도 대법원은 "A 씨가 인터넷 주소 일부를 변경해 입력한 것 외에 별도로 부정한 수단 또는 방법으로 볼 만한 행위를 하지 않았으므로 다면평가 결과를 부정한 수단 또는 방법으로 취득하거나 누설했다고 할 수 없다"고 판시했다.

이동통신사는 서비스 가입자에게 발신통화내역상 접속된 기지국의 주소를 제공할 의무가 없다는 대법원 판단이 나왔다. 대법원 민사1부(주심 김선수 대법관)는 지난 13일 김가연 변호사가 KT를 상대로 낸 공개청구소송에서 원고의 상고를 기각하고 원고패소 판결한 원심을 확정했다(2020다255245). 사단법인 오픈넷 상근변호사로 활동하던 김 변호사는 2016년 6월경 KT에게 KT가 수집·보유하고 있는 '통화·문자 상세내역(착신 전화번호, 통화일시, 사용도수, 기지국 정보)' 정보에 관해 열람을 신청했으나 KT는 해당 정보가 제3자의 정보이거나 수집·보유하고 있는 정보가 아니라는 이유로 거절했다. 이에 김 변호사는 KT를 상대로 구 정보통신망 이용촉진 및 정보보호 등에 관한 법률 제30조 제2항 제1호 또는 이용계약에 따른 통화·문자 상세내역 정보를 공개하라는 소송을 제기했다. 당시 김 변호사는 "우리나라에서 개인정보열람청구권이 얼마나 실질적으로 보장되고 있는지 등을 알아보고고자 공익 목적으로 소송을 제기한다"고 밝혔다. 1심은 "KT는 개인정보 처리방침에 따라 통화·문자 상세내역 정보를 공개할 의무가 있다"고 판단해 KT의 개인정보 처리방침에 기한 공개 청구를 받아들였다. 다만 구 정보통신망법상 통화·문자 상세내역 정보는 개인정보에 해당한다고 보기 어려워 정보통신망법에 따른 공개 청구를 받아들이지는 않았다. 하지만 2심은 김 변호사의 청구를 기각했다. 1심 재판 중 KT가 김 변호사에게 발신통화 내역과 동 단위까지 표시된 기지국 주소를 제공했고, 이에 김 변호사는 2심에서 다른 정보는 요구 대상에서 제외하고 기지국 지번 주소 또는 허가번호를 공개하라는 취지로 청구를 변경했는데 2심에선 이 정보가 정보통신망법상 개인정보에 해당하지 않는다고 판단했다. 또 2심은 "김 변호사가 KT와 체결한 이동통신서비스 이용계약에는 김 변호사의 휴대전화가 발신했을 때 접속한 기지국 지번주소 또는 허가번호를 제공할 의무가 포함됐다고 보기 어렵다"며 이용계약에 따른 공개 청구도 받아들이지 않았다. 이에 김 변호사는 상고했으나 대법원은 받아들이지 않았다. 재판부는 "김 변호사의 휴대전화 단말기가 발신했을 때 접속한 기지국의 위치에 관한 정보는 김 변호사의 위치가 아닌 기지국의 위치에 관한 것으로서, 발신 기지국 위치만으론 휴대전화 단말기가 어느 위치에서 발신한 것인지를 알아내는 데 한계가 있다"며 "해당 정보는 구 정보통신망법상 개인정보에 해당한다고 보기 어렵다"고 밝혔다. 이어 "김 변호사와 KT가 체결한 이동통신서비스 이용계약에 KT가 김 변호사의 휴대전화가 발신했을 때 접속한 기지국 위치에 관한 주소를 제공할 의무가 있다는 내용이 포함됐다고 보기도 어렵다"고 설명했다.

구글이 미국 정보기관 등 제3자에 국내 이용자 정보를 제공한 내역을 공개해야 한다는 대법원 판단이 나왔다. 2심은 미국법이 비공개 의무를 부여한 부분은 구글이 공개를 거부할 수 있다고 봤다. 하지만 대법원은 이 부분도 종합적으로 검토해 공개 여부를 정해야 한다고 판단했다. 대법원 민사3부(주심 노정희 대법관)는 13일 구글 이용자 A 씨 등이 구글 인코퍼레이티드(구글)와 구글코리아를 상대로 낸 손해배상 등 청구소송(2017다219232)에서 원고 일부승소 판결한 원심 가운데 일부를 파기하고 사건을 서울고법으로 돌려보냈다. A 씨 등은 2014년 2월 구글 본사와 구글코리아에 사용자 정보를 제3자에게 제공한 내역을 공개하라고 요구했다. 하지만 구글 측이 구체적으로 답변하지 않았고, 재차 답변을 요청했으나 결국 답변을 받지 못하자 소송을 냈다. 앞서 1심은 미국 본사인 구글에게 비공개 의무가 있는 사항을 제외하고 현황을 공개하라며 원고 일부승소 판결했다. 2심도 원고 일부승소 판결하며, 구글이 비공개 사항을 제외한 개인정보 제공 현황을 공개할 의무가 있다고 봤다. 또 구글코리아에 대해서도 위치정보서비스와 위치기반서비스 관련 정보통신서비스 제공자이므로 열람·제공요구에 응해야 한다며 원고 측의 청구를 일부 인용했다. 하지만 대법원은 구글에 대한 원고 패소 부분을 파기환송했다. 비공개가 정당하다고 판단한 부분을 다시 심리하라는 취지다. 먼저 대법원은 "구글과 체결한 서비스 이용계약은 구 국제사법 제27조 제1항 제1호에 따른 소비자 계약이므로 원고들이 한국에 구글에 대한 소를 제기한 것은 전속적 재판관할합의에도 불구하고 적법하다"고 밝혔다. 구 국제사법 제27조의 '소비자 계약'은 전속적 재판관할합의 효력이 미치지 않는다. 외국법원에 소송을 제기하는 것에 어려움이 있는 소비자의 재판청구권을 실질적으로 보장하기 위해서다. 재판부는 비공개의무를 부여하는 외국법령이 존재하는 경우에 '정당한 사유'를 판단하는 기준과 이때 정보통신서비스 제공자등이 취해야 하는 조치에 대한 판단도 내놓았다. 재판부는 "대한민국 법령 외에 외국 법령도 준수해야 하는 정보통신 서비스 제공자 등이 그 외국 법령에서 해당 정보의 공개를 제한하고 있다는 등의 근거를 들어 열람·제공을 거부하는 경우, 외국 법령이 있다는 사정만으로 곧바로 정당한 사유가 존재한다고 볼 수는 없지만, 거부에 정당한 사유가 있는지를 판단할 때 외국 법령의 내용도 고려할 수 있다고 봐야 한다"며 "한국 법령 외에 외국 법령도 함께 준수해야 하는 지위에 있는 정보통신서비스 제공자 등이 구 정보통신망법 제30조 제4항에 따른 필요한 조치를 모두 이행했는지는 △외국법령에 따른 비공개의무가 한국 헌법, 법률 등의 내용과 취지에 부합하는지 △개인정보를 보호할 필요성이 비해 그 외국 법령을 존중해야 할 필요성이 현저히 우월한지 △해당 법령에서 요구하는 비공개요건이 충족되어 실질적으로 비공개의무를 부담하고 있는지 등을 종합적으로 고려해야 한다"고 판시했다. 그러면서 "정당한 사유가 있더라도 정보통신 서비스 제공자들은 그 항목을 구체적으로 특정해 제한·거절 사유를 통지해야 하고, 국가안보·범죄수사 등 사유로 외국 수사기관에 정보를 제공했더라도 그 사유가 종료되면 정보 제공 사실을 이용자에게 공개해야 한다"고 부연했다. 대법원 관계자는 "대한민국 법령 외에 외국 법령도 준수해야 하는 지위에 있는 정보통신서비스 제공자에게 그 외국법령에서 비공개의무를 부과하는 사항을 무조건 공개하도록 하는 것은 모순된 행위를 강요하는 것"이라며 "가혹하고 국제예양의 측면에서도 바람직하지 않다는 점을 감안해 그와 같은 외국법령을 정당한 사유의 판단 요소로 고려해야 한다는 법리를 설시하고, 그러한 법령의 존재 외에 정당한 사유를 인정하기 위해 필요한 구체적인 기준을 설시해 외국법적 요소가 있는 정보공개 사안에서 국가들 간 이익을 균형 있게 고려할 수 있도록 하는 방안을 제시한 판결"이라고 말했다.

시장점유율을 유지하기 위해 고객정보를 무단으로 이용해 선불폰(요금을 미리 내고 쓰는 휴대전화) 요금을 임의로 충전한 SK텔레콤에 벌금형이 확정됐다. 대법원 형사1부(주심 이기택 대법관)는 11일 정보통신망 이용촉진 및 정보보호 등에 관한 법률 위반 혐의로 기소된 SK텔레콤에 벌금 5000만원을 선고한 원심을 확정했다(2016도10102). 관련 업무를 담당한 이 회사 전·현직 팀장급 직원 2명에게는 징역 2년에 집행유예 3년이 확정됐다. SK텔레콤은 2010년 1월부터 2014년 8월까지 휴대전화 대리점 등과 공모해 이용정지 상태인 선불폰에 87만 차례에 걸쳐 임의로 요금을 충전하면서 고객 15만여명의 이름과 전화번호 등 개인정보를 무단 이용한 혐의를 받았다. 장기간 선불요금이 충전되지 않아 이용계약이 자동해지될 것으로 예상되는 선불폰을 임의로 충전해 가입회선을 유지하기 위한 목적이었다. 1,2심은 "SK텔레콤의 행위는 고객정보의 보유 기간 등 변경에 해당하는 것으로 이는 이용자에게 사전에 알리고 동의를 받아야 하는 부분"이라며 "이용자의 의사에 반해 선불폰 이용계약을 연장한 것은 고객의 개인정보자기결정권을 침해한 것"이라며 유죄 판결을 내렸다. 대법원 관계자는 "선불폰 이용계약 체결시 동의한 개인정보 수집·이용의 목적 범위에는 이동통신사가 임의로 이용자의 선불요금을 충전해 계약기간을 연장하는 것이 포함되지 않음을 명확히 하는 한편 이용자의 개인정보를 수집한 정보통신서비스 제공자가 직접 그 정보를 사용했더라도 목적 외 이용으로 처벌될 수 있음을 보여준 사례"라고 설명했다.

수백 명의 개인정보를 불법으로 구매해 인터넷 게시글의 추천 수를 조작한 혐의로 재판에 넘겨진 30대 남성에게 징역형이 선고됐다. 인천지법 형사5단독 장성욱 판사는 정보통신망 이용 촉진 및 정보보호 등에 관한 법률 위반 혐의로 기소된 A(33)씨에게 최근 징역 1년에 집행유예 2년을 선고하고 80시간의 사회봉사를 명령했다(2017고단9501). A씨는 지난해 5월 자신이 다니던 회사 사무실에서 '스카이프 메신저'를 통해 불법 인터넷 ID 매매 브로커로부터 네이버 계정과 패스워드, 이름과 연락처 등 640명의 개인정보 파일을 건당 400원에 구매한 뒤 이 계정들을 이용해 '네이버 지식인' 보험 관련 글에 집중적으로 추천을 달아 추천수를 조작한 혐의를 받고 있다. 장 판사는 "A씨는 불특정 다수인 640명의 이름과 아이디, 패스워드 등을 돈을 주고 구매한 후 이러한 개인정보를 이용해 인터넷 사이트에 홍보글을 작성하거나 추천했다"며 "취득한 개인정보의 양 및 내용, 범행 동기 등에 비춰 볼 때 죄질이 매우 좋지 않다"고 밝혔다. 이어 "A씨는 공무원 시험을 준비중이기 때문에 금고형 이상을 받을 경우 공무원이 될 수 없다며 선처를 바라지만, 2014년 개인정보 290건을 영리목적으로 제공받아 벌금 70만원의 약식명령을 받은 적이 있고, 2016년에도 인터넷 검색순위를 조작한 혐의로 벌금 300만원의 약식명령을 받은 전력이 있다"며 징역형 선고 이유를 설명했다.

'깨알 고지 응모권' 논란을 불러온 경품행사를 통해 입수한 고객 정보를 보험사에 판매한 홈플러스가 개인정보 유출 피해를 본 고객들과의 소송전에서 잇따라 패소하며 배상책임을 물어야 할 처지에 놓였다. 서울중앙지법 민사31부(재판장 김정운 부장판사)는 18일 김모씨 등 1069명(소송대리인 법무법인 지향)이 홈플러스와 라이나생명보험·신한생명보험을 상대로 낸 손해배상청구소송(2015가합541763)에서 "홈플러스는 김씨 등에게 각각 5~20만원씩 모두 8300여만원을 지급하고, 이 중 라이나생명은 485만원을, 신한생명은 1120만원을 공동으로 지급하라"며 원고일부승소 판결했다. 재판부는 "홈플러스가 경품행사를 통해 거짓이나 부정한 방법으로 개인정보를 수집해 이를 보험사에 판매한 행위, 제3자 정보제공에 동의하지 않은 사람들의 개인정보를 보험사에 제공한 행위는 개인정보의 자기결정권을 침해한 불법행위"라고 밝혔다. 이어 "이런 행위는 단순히 개인정보 처리자의 과실로 유출된 신용카드 개인정보 유출 사건보다 위법성이나 정보의 주체가 받는 정신적 고통이 더 크다"며 "이를 위자료 액수 산정에 반영했다"고 판시했다. 홈플러스는 2011년 12월부터 2014년 6월까지 11회의 경품행사에서 고객의 개인정보 약 712만건을 수집해 건당 1980원씩 보험사 7곳에 팔아 148억원의 부당이득을 챙긴 것으로 조사됐다. 또 2011년 12월부터 2014년 8월까지 고객의 동의 없이 개인정보를 라이나생명(약 765만건)과 신한생명(약 253만건)에 넘기고 사후 동의를 받은 경우 건당 2800원의 판매금을 받아 83억5000여만원의 부당이득을 챙긴 것으로 드러났다. 홈플러스는 경품행사 당시 응모권 뒷면에 '개인정보는 보험상품 안내 등을 위한 마케팅자료로 활용된다'고 고지했지만, 이같은 내용을 1㎜ 크기의 작은 글씨로 안내해 사실상 관련 내용을 알리지 않은 것이나 다름 없다는 비판을 받았다. 이에 김씨 등은 2015년 6월 "홈플러스가 2011∼2014년 경품행사로 모은 개인정보와 패밀리카드 회원정보 2400만여건을 보험사에 팔아 개인정보를 침해당했다"며 "1인당 30만원씩 배상하라"며 소송을 냈다. 앞서 수원지법 안산지원도 지난해 8월 같은 피해를 본 고객 425명이 홈플러스를 상대로 낸 소송에서 "1인당 5만∼12만원씩 배상하라"고 판결했다. 서울중앙지법 민사11부(재판장 박미리 부장판사)도 같은해 10월 원고패소 판결한 1심을 뒤집고 "홈플러스는 피해 고객 4명에게 각각 10만원씩 지급하라"며 홈플러스의 배상책임을 인정했다. 한편 이 사건과 관련해 도성환 전 홈플러스 사장과 법인 등 9명은 개인정보 보호법 위반 등의 혐의로 기소돼 현재 형사재판이 진행 중이다. 1심과 2심은 도 전 사장 등이 개인정보 제공에 대한 동의를 받았다고 판단해 무죄를 선고했다. 하지만 대법원은 지난해 4월 "홈플러스가 고객 개인정보를 판매할 목적을 숨긴 채 사은행사를 한 것은 개인정보 보호법상 부정한 개인정보 취득 행위에 해당한다"며 무죄를 선고한 원심을 파기하고 사건을 유죄 취지로 서울중앙지법으로 돌려보냈다(2016도13263). 검찰은 지난해 12월 파기환송심 결심공판에서 도 전 사장에게 징역 2년을, 홈플러스 법인에게는 벌금 7500만원과 추징금 231억7000만원을 구형했다. 재판부는 25일 오후 2시 도 전 사장 등에 대한 선고 공판을 열 예정이다.

2012년 발생한 KT 개인정보 유출 사고에서 회사의 책임을 인정한 1심 판결이 항소심에서 뒤집혔다. 인터넷이라는 특성상 모든 사이트가 해커의 불법적인 침입에 노출될 수밖에 없고 완벽한 보안을 갖추기는 어렵다는 취지다. 서울중앙지법 민사4부(재판장 송인권 부장판사)는 강모씨 등 KT 가입자 81명이 KT를 상대로 낸 손해배상청구소송(2015나61155)에서 원고일부승소 판결한 1심을 깨고 최근 원고패소 판결했다. 재판부는 "KT가 개인정보 유출방지에 관한 기술적·관리적 보호조치를 이행하지 않은 과실로 인해 사고가 발생했다고 보기 어렵다"고 밝혔다. 그러면서 "KT는 규정을 준수해 접속기록을 확인해왔다"며 "해커가 정상적 서버를 우회해 접속기록을 남기지 않고 정보를 유출했을 가능성을 예상하기 어려웠다"고 판시했다. 앞서 1심은 "KT가 고객정보를 보호하기 위한 노력을 다하지 못했다"며 "강씨 등에게 10만원씩을 지급하라"고 판결했다. 2012년 해커 2명에 의해 KT 가입자 870만명의 개인정보가 무분별하게 유출되는 사고가 발생했다. 해커들은 고객정보를 몰래 조회할 수 있는 프로그램을 만들어 이름과 주민등록번호를 비롯해 휴대전화 가입일, 고객 번호, 사용 요금제, 기기 변경일 등의 개인정보를 빼냈다. KT는 이러한 유출 사태를 5개월간 파악하지 못하다 뒤늦게 내부 보안점검을 통해 해킹 사실을 파악하고 경찰에 수사를 의뢰했다. 이에 강씨 등은 "KT의 관리·감독 부실로 개인정보가 유출됐다"며 "1인당 30만원을 배상하라"며 소송을 냈다.

사내 전산망에 공개된 노동조합원의 개인정보를 노조 임원선거 출마자에게 제공한 혐의로 기소된 전 노조위원장이 항소심에서 무죄 판결을 받았다. 개인정보 주체인 노조원의 사전동의가 있었다고 인정되는 범위에 속하는 개인정보는 별도 동의 절차를 생략하더라도 수집·이용·제공될 수 있다고 본 것이다. 울산지법 형사2부(재판장 이동식 부장판사)는 개인정보 보호법 위반 혐의로 기소된 A(55·변호인 민병환·조정민 변호사)씨에게 벌금 300만원을 선고한 원심을 파기하고 최근 무죄를 선고했다(2017노622). 울산의 한 대기업 정유업체 노조위원장을 지낸 A씨는 지난해 3월 노조 임원선거에 출마한 B씨의 선거활동을 돕기 위해 노조원 2569명의 개인정보를 제공한 혐의로 기소됐다. 파일 형태로 사내 전산망에 게시돼 임직원에게 공개된 해당 개인정보에는 조합원들의 성명과 사(社)번, 휴대전화 번호, 이메일 주소 등이 기재됐다. 조합원의 사진이나 집 주소, 주민등록번호 등은 포함되지 않은 것으로 조사됐다. 재판부는 "이미 공개된 개인정보의 동의 범위가 외부에 표시되지 않았다는 이유만으로 또다시 정보주체의 별도 동의를 받을 것을 요구한다면 정보주체의 공개의사에 부합하지 않고 도리어 무의미한 동의 절차를 밟기 위한 비용부담을 가중시키는 결과가 된다"고 밝혔다. 이어 "개인정보를 처리하거나 처리했던 자는 정당한 권한없이 다른 사람에게 개인정보를 유출해서는 안 되지만 정보주체의 동의가 있었다고 인정되는 범위에서는 별도의 동의가 불필요하다고 봐야 한다"며 "동의가 있었다고 인정되는 범위는 공개된 정보의 성격, 형태와 대상, 의도와 목적 등을 객관적으로 판단해야 한다"고 설명했다. 그러면서 "해당 정보는 회사 임직원 누구나 사내 전산망에 접속해 열람할 수 있었고, A씨가 이를 개인적·상업적 용도로 사용하지 않았을뿐만 아니라 노조원이 아닌 제3자에게 제공·유출한 사실도 없다"며 "특히 정보체인 조합원들이 이를 문제 삼은 사실이 없어, A씨가 정보주체로부터 별도의 동의를 받지 않고 개인정보를 제3자에게 제공하거나 정당한 권한 없이 다른 사람의 개인정보를 유출했다고 볼 수 없다"고 판시했다. 앞서 1심은 "정보주체인 근로자들의 묵시적 동의 여부를 판단할 때는 엄격한 기준을 적용해야 한다"며 "A씨는 회사가 효율적인 업무수행을 위해 사내 전산망에 게시한 사원의 정보를 노조 활동이나 개인적인 활용 목적으로 B씨에게 제공해 위법행위를 저질렀다"고 유죄 판결을 내렸다.

경품행사로 대량 수집한 고객 정보를 당사자 동의 없이 보험사에 판매한 유통업체 홈플러스가 피해 고객들에게 10만원씩 배상하라는 판결이 나왔다. 대법원이 올 4월 대형마트 등이 1㎜ 크기의 작은 글씨로 개인정보 제공 동의를 받고 이를 영리 목적으로 이용한 행위는 개인정보보호법 위반이라고 판시(2016도13263)한 이래 민사소송에서도 업체의 배상책임을 인정하는 판결이 잇따르고 있다. 서울중앙지법 민사11부(재판장 박미리 부장판사)는 김모씨 등 4명(소송대리인 정관영 변호사)이 홈플러스를 상대로 낸 손해배상소송(2016나83466)에서 최근 원고패소 판결한 1심을 뒤집고 홈플러스의 배상 책임을 인정했다. 재판부는 "홈플러스가 경품행사 당시 회원들에게서 개인정보 제3자 제공에 관한 동의를 받긴 했으나, 의도적으로 관련 부분의 글씨를 작게 해 김씨 등이 행사의 주된 목적을 인식하지 못하게 했다"며 "고객들의 개인정보 자기결정권을 침해했다"고 밝혔다. 이어 "김씨 등은 홈플러스의 고의적 위법행위에 본인의 정보가 판매할 목적에 수집됐고, 그중 일부가 보험사의 마케팅에 활용됐다는 점을 인식했을 때 기업으로부터 영리 대상으로 취급되고 있다고 느낄 수 있어 상당한 분노나 불쾌감을 느꼈을 것으로 보인다"고 설명했다. 다만 "추가적 개인정보 제공이나 유출이 없었고, 김씨 등의 성급함과 부주의도 원인이 됐다"며 위자료를 10만원으로 정했다. 앞서 1심은 지난해 12월 "해당 경품행사에 응모한 고객들 중 30% 정도는 개인정보 제공에 동의하지 않아 경품 추첨 대상에서 배제된 사실을 인정할 수 있다"며 "김씨 등도 경품 당첨 기회를 얻으려면 개인정보가 보험사 영업에 사용될 것이라는 점을 인식했다고 볼 수 있다"며 홈플러스의 손을 들어줬다. 김씨 등은 지난 2015년 "홈플러스가 2011년부터 2014년까지 7월까지 경품행사로 모은 개인정보와 패밀리카드 회원정보 2400만여건을 보험사에 231억7000여만원에 팔아 개인정보를 침해당했다"며 "1인당 100만원씩을 배상하라"며 소송을 냈다. 검찰도 같은해 2월 개인정보 보호법 위반 등의 혐의로 홈플러스 법인과 전현직 임원 8명을 기소했다. 이 사건의 1,2심은 "홈플러스가 경품 응모권에 '개인 정보가 보험회사 영업에 활용될 수 있다'는 내용의 고지 사항을 1㎜ 크기로 적어뒀고, 이 정도 글자 크기는 복권이나 의약품 사용설명서 등의 약관에서도 통용된다"며 무죄를 선고했다. 그러나 대법원은 지난 4월 "1㎜ 크기의 작은 글씨로 개인정보 제공 동의를 받은 경우 정상적으로 개인 정보 활용 동의를 받은 것이라고 볼 수 없다"며 무죄를 선고한 원심을 파기하고 사건을 유죄 취지로 서울중앙지법으로 돌려보냈다(2016도13263). 대법원 판결 이후 민사소송에서 배상판결이 이어지고 있다. 수원지법 안산지원 민사2부(재판장 우관제 부장판사)도 지난 8월 피해 고객 284명에게 홈플러스가 1인당 5~12만원씩 총 2306만원을 배상하라고 판결했다(2015가합1847).

개인정보 불법 수집 여부를 둘러싸고 의사와 환자들이 약학정보원 등을 상대로 소송을 냈지만 1심에서 패소했다. 서울중앙지법 민사26부(재판장 박상구 부장판사)는 김모씨 등 의사와 환자 1876명이 대한약사회와 약학정보원, 한국아이엠에스(IMS)헬스 주식회사를 상대로 낸 손해배상청구소송(2014가합508066)에서 최근 원고패소 판결했다. 김씨 등은 2014년 2월 "약사회와 약학정보원이 약국에 설치된 'PM2000' 프로그램을 통해 처방전에 기재된 성명과 주민등록번호 등 개인정보를 불법 수집하고, 이를 통계 처리 회사인 IMS에 제공했다"며 "의사 1인당 300만원, 환자 1인당 200만원 등 위자료 총 54억여원을 배상하라"며 소송을 냈다. 약사회 등은 "개인의 고유 정보를 수집 단계부터 암호화해 식별되지 않는 만큼 개인정보보호법 위반에 해당하지 않는다"고 맞섰다. 재판부는 의사나 환자들의 동의가 없는 정보 수집은 개인정보 보호법 위반 소지가 있지만, 실제 손해가 발생된 부분이 증명되지 않았다며 배상책임을 인정하지 않았다. 재판부는 "약사회는 약국의 처방관리 프로그램인 'PM2000'의 저작권자라는 사정만으로 불법행위를 했다고 볼 수 없다"며 "증거가 부족해 그 책임을 인정할 수 없다"고 밝혔다. 이어 "약학정보원이 식별성이 완전히 제거되지 않은 정보를 정보주체의 동의 없이 한국IMS헬스에 제공한 것은 개인정보보호법 위반에 해당한다"면서도 "해당 정보가 약학정보원과 한국IMS헬스에 제공된 이외에 다른 곳으로 유출되거나 제3자가 열람했을 가능성이 있다고 보기는 어렵다"고 설명했다. 또 "2014년 6월 이후 암호화된 정보를 보면 한국IMS헬스가 복구하는 것이 원천적으로 불가능하고 통계 작성을 위해 허용된 것으로 개인정보 보호법 위반에 해당하지 않는다"고 판시했다. 한편 약학정보원과 IMS헬스 임직원들은 개인정보 보호법 위반 혐의로 형사재판도 받고 있는데, 현재 결심까지 진행돼 선고 절차만 남겨두고 있다.