SNS 이용자 외부 활동 정보 필수 동의 시정명령 취소 사건

원고는 소셜 네트워크 서비스인 B와 C를 운영하는 사업자로서, 이용자들이 다른 웹사이트나 앱에서 활동한 행태 정보(타사 행태정보)를 서비스 가입 시 필수적으로 동의하도록 했습니다. 이에 피고인 개인정보보호위원회는 원고의 이러한 행위가 서비스 제공에 반드시 필요한 최소한의 개인정보 외의 정보를 제공하지 않는다는 이유로 서비스 제공을 거부해서는 안 된다는 구 개인정보 보호법 제39조의3 제3항을 위반했다고 보아 시정명령과 공표 결정을 내렸습니다. 원고는 이 처분이 위법하다며 취소를 구하는 소송을 제기했으나 법원은 원고의 청구를 모두 기각했습니다.

관련 당사자

• 원고: 소셜 네트워크 서비스(SNS) 'B'와 'C'를 운영하며 이용자들에게 서비스를 제공하는 사업자
• 피고: 개인정보보호위원회로서, 개인정보 보호 관련 법규 위반 여부를 조사하고 제재 처분을 내리는 국가기관

분쟁 상황

원고는 소셜 네트워크 서비스인 'B'와 'C'를 운영하며 이용자들의 다양한 온라인 활동을 기반으로 맞춤형 콘텐츠와 광고를 제공했습니다. 이를 위해 원고는 다른 웹사이트나 모바일 앱 사업자들에게 비즈니스 도구(웹사이트용 D, 앱용 E)를 무료로 배포했습니다. 이 도구가 설치된 웹이나 앱을 이용자가 방문하여 활동하면, 해당 행태 정보(타사 행태정보)는 원고가 생성하고 이용자 기기에 저장해 둔 온라인 식별자(쿠키, 광고식별자 등)와 결합하여 이용자의 계정 정보와 매칭된 상태로 원고의 서버로 전송되었습니다. 문제는 원고가 이 사건 서비스의 회원 가입 단계에서 이용자들에게 성명, 생일, 성별, 연락처, 비밀번호 등 필수 정보와 함께 원고의 '데이터 정책'에 '동의'를 체크하도록 강제했다는 점입니다. 이 데이터 정책은 1만 4천여 글자, 694줄에 달하는 방대한 내용으로, 이 안에는 타사 행태정보 수집 및 맞춤형 광고 이용에 관한 내용이 포함되어 있었습니다. 이용자가 이 정책에 동의하지 않으면 서비스 가입 자체가 불가능했으며, '허용 안 함'과 같은 선택지는 제공되지 않았습니다. 개인정보보호위원회는 원고가 이러한 방식으로 타사 행태정보를 수집한 것이 '필요 최소한의 개인정보 이외의 개인정보를 제공하지 않는다는 이유로 서비스 제공을 거부해서는 안 된다'는 구 개인정보 보호법 제39조의3 제3항을 위반했다고 판단했습니다. 즉, 타사 행태정보가 서비스의 본질적인 기능에 반드시 필요한 정보가 아님에도 불구하고 이를 필수적으로 동의하게 함으로써 서비스 가입을 강제했다고 본 것입니다. 이에 개인정보보호위원회는 원고에게 시정명령과 공표 결정을 내렸고, 원고는 이에 불복하여 이 처분의 취소를 구하는 소송을 제기했습니다.

핵심 쟁점

이 사건의 주요 쟁점은 다음과 같습니다. 첫째, 원고가 이용자들의 다른 웹사이트나 앱에서의 활동 정보(타사 행태정보)를 수집하는 주체에 해당하는지 여부입니다. 둘째, 원고가 수집한 타사 행태정보가 원고가 제공하는 서비스의 본질적인 기능을 수행하기 위해 반드시 필요한 최소한의 개인정보인지 여부입니다. 셋째, 원고가 타사 행태정보 제공에 동의하지 않으면 서비스 가입이 불가능하도록 한 것이 구 개인정보 보호법 제39조의3 제3항에서 금지하는 '필요 최소한의 개인정보 이외의 정보를 제공하지 아니한다는 이유로 서비스 제공을 거부한 행위'에 해당하는지 여부입니다. 넷째, 피고가 내린 시정명령과 공표 결정이 재량권을 일탈하거나 남용한 위법한 처분인지 여부입니다.

법원의 판단

법원은 원고의 주장을 모두 받아들이지 않고, 피고인 개인정보보호위원회가 원고에게 내린 시정명령과 공표 결정이 적법하다고 판단하여 원고의 청구를 모두 기각했습니다. 이로써 원고는 소송비용까지 부담하게 되었습니다.

결론

이번 판결을 통해 소셜 미디어와 같은 정보통신 서비스 제공자는 서비스 가입 시 이용자에게 본질적 기능에 필요 없는 외부 활동 정보(타사 행태정보)의 수집 동의를 강제할 수 없다는 점이 명확해졌습니다. 이는 이용자의 개인정보 자기결정권을 보호하고, 정보통신서비스 제공자가 개인정보 보호법의 최소 수집 원칙과 동의 강제 금지 원칙을 준수해야 함을 강조하는 중요한 선례가 됩니다. 이용자들은 서비스 가입 단계에서부터 비필수적인 개인정보 수집에 대한 거부 선택권을 보장받아야 합니다.

연관 법령 및 법리

이 사건은 주로 구 개인정보 보호법(2023. 3. 14. 법률 제19234호로 개정되기 전의 것)의 여러 조항과 관련 법리에 따라 판단되었습니다.

1. 구 개인정보 보호법 제39조의3 제3항 (서비스 제공 거부 금지 원칙): 이 조항은 "정보통신서비스 제공자는 이용자가 필요한 최소한의 개인정보 이외의 개인정보를 제공하지 아니한다는 이유로 그 서비스의 제공을 거부해서는 아니 된다. 이 경우 필요한 최소한의 개인정보는 해당 서비스의 본질적 기능을 수행하기 위하여 반드시 필요한 정보를 말한다"고 규정하고 있습니다. 법원은 타사 행태정보가 원고 서비스의 본질적 기능에 필수적인 정보가 아니라고 판단하였으므로, 이를 강제한 원고의 행위는 이 조항을 위반한 것으로 보았습니다.
2. 구 개인정보 보호법 제39조의3 제1항 (개인정보 수집 동의 의무): 이 조항은 "정보통신서비스 제공자는 ... 이용자의 개인정보를 이용하려고 수집하는 경우에는 ‘개인정보의 수집ㆍ이용 목적’, ‘수집하는 개인정보의 항목’, ‘개인정보의 보유ㆍ이용 기간’을 이용자에게 알리고 동의를 받아야 한다"고 명시합니다. 법원은 원고가 온라인 식별자를 통해 특정 개인을 식별할 수 있는 타사 행태정보를 자신의 서버로 전송받는 시점에 개인정보를 취득하며, 이를 활용할 목적과 행위가 있으므로 개인정보 수집 주체로서 동의를 받아야 할 의무가 있다고 보았습니다.
3. 구 개인정보 보호법 제22조 제1항, 제2항 (동의 방법의 특례): 이 조항은 "개인정보처리자는 이 법에 따른 개인정보의 처리에 대하여 정보주체의 동의를 받을 때에는 각각의 동의 사항을 구분하여 정보주체가 이를 명확하게 인지할 수 있도록 알리고 각각 동의를 받아야 한다", "개인정보처리자는 제1항의 동의를 서면으로 받을 때에는 ... 대통령령으로 정하는 중요한 내용을 보호위원회가 고시로 정하는 방법에 따라 명확히 표시하여 알아보기 쉽게 하여야 한다"고 규정합니다. 원고가 필요한 최소한의 개인정보와 그 외의 개인정보를 구분하지 않고 데이터 정책에 일괄 동의하는 방식만을 설정한 것은 이 규정을 위반한 것으로 판단되었습니다.
4. 구 개인정보 보호법 제2조 (개인정보 및 개인정보처리자의 정의): 이 법은 '개인정보'를 "다른 정보와 쉽게 결합하여 특정 개인을 알아볼 수 있는 정보"로 정의하고, '개인정보처리자'를 "업무를 목적으로 개인정보파일을 운용하기 위하여 스스로 또는 다른 사람을 통하여 개인정보를 처리하는 자"로 정의합니다. 법원은 원고가 온라인 식별자를 매개로 타사 행태정보를 회원 계정과 매칭하여 특정 개인을 식별하고 이를 관리하므로 '개인정보처리자'에 해당한다고 보았습니다.
5. 구 개인정보 보호법 제3조 제1항 (개인정보 최소수집 원칙): 이 조항은 "개인정보처리자는 개인정보의 처리 목적을 명확하게 하여야 하고 그 목적에 필요한 범위에서 최소한의 개인정보만을 적법하고 정당하게 수집하여야 한다"고 규정합니다. 이 원칙은 원고가 서비스 제공을 위해 타사 행태정보를 수집하는 것이 과도한지 판단하는 근거가 되었습니다.

참고 사항

1. 필수 개인정보와 비필수 개인정보의 명확한 구분 및 동의 절차: 서비스 제공자는 회원 가입 시 서비스의 본질적인 기능을 위해 반드시 필요한 최소한의 개인정보와 그 외의 개인정보를 명확히 구분하여야 합니다. 비필수적인 개인정보에 대해서는 이용자가 동의를 거부하더라도 서비스 가입이나 이용에 불이익을 주어서는 안 됩니다. 동의 절차 또한 각각의 동의 사항을 구분하여 이용자가 명확하게 인지하고 선택할 수 있도록 해야 합니다.
2. 광고 매출이 본질적 기능으로 인정되지 않음: 서비스 제공이 주로 광고 수익에 기반하더라도, 이용자들이 광고를 시청하는 것은 서비스를 무료로 이용하는 것에 대한 일종의 '반대급부'이지, 서비스 자체의 본질적인 기능으로 보지 않습니다. 따라서 맞춤형 광고 제공을 위한 외부 행태정보 수집을 서비스의 본질적 기능으로 주장하기는 어렵습니다.
3. 서비스 내 정보로도 맞춤 서비스 제공 가능성 검토: 이미 서비스 내에서 수집되는 실명, 연락처, 생년월일, 성별, 프로필 정보, 친구 관계, 기기 정보, 위치 정보, 관심사 정보 등 광범위한 데이터가 맞춤형 콘텐츠나 광고 제공에 충분할 수 있습니다. 외부 행태정보가 없이도 유사한 맞춤형 서비스를 제공할 수 있다면, 이는 외부 행태정보 수집의 비필수성을 더욱 뒷받침하는 근거가 됩니다.
4. 가입 후 선택권만으로는 부족: 서비스 가입 단계에서 비필수적인 개인정보 수집에 대한 '허용 안 함' 선택지를 제공하지 않고, 가입 후에야 비로소 해당 정보를 제한하는 기능을 제공하는 것은 법규 준수로 인정되기 어렵습니다. 이용자는 서비스를 시작하는 시점부터 개인정보 수집에 대한 완전한 자기결정권을 행사할 수 있어야 합니다.
5. 글로벌 기업의 해외 정책 참고: 다른 국가, 특히 유럽연합(EU)과 같이 개인정보 보호 규제가 엄격한 지역에서는 비필수적인 쿠키 사용이나 외부 행태정보 수집에 대해 이용자의 명시적인 동의를 얻거나, 동의하지 않을 경우 해당 데이터를 삭제하는 정책을 시행하는 경우가 많습니다. 이는 기술적으로 충분히 구현 가능한 방식이며, 국내 서비스 제공자들도 참고하여 개인정보 보호 수준을 높일 필요가 있습니다.
6. 기술적 어려움이나 사업 구조 변경은 면책 사유 아님: 개인정보 수집 방식의 기술적 복잡성이나 동의 절차 변경으로 인한 사업 모델의 위험은 법규 위반을 정당화하는 사유가 될 수 없습니다. 서비스 제공자는 개인정보 보호 법규를 준수하는 범위 내에서 사업 모델을 설계하고 운영해야 합니다.
7. 타사 행태정보 수집의 은밀성 문제: 이용자가 인지하기 어려운 방식으로 이루어지는 복잡한 외부 행태정보 수집 방식은 이용자에게 '온라인 행동이 감시당한다'는 불안감을 야기할 수 있으며, 이는 개인정보 자기결정권 침해의 중요한 요소로 평가될 수 있습니다.