행정
개인정보보호위원회는 온라인 쇼핑몰 'C'를 운영하는 A 주식회사에 대해 판매자들이 개인정보 보호법상 '개인정보취급자'에 해당한다는 전제하에, 이들에게 안전한 인증 수단을 적용하고 정기 교육을 실시하라는 시정명령과 840만 원의 과태료를 부과했습니다. A 주식회사는 판매자들이 회사의 지휘·감독을 받는 개인정보취급자가 아닌 독립된 개인정보처리자라고 주장하며 시정명령 취소 소송을 제기했습니다. 법원은 판매자들이 A 주식회사의 지휘·감독을 받는 개인정보취급자에 해당한다고 보기 어렵다고 판단하여, 개인정보보호위원회의 시정명령을 취소했습니다.
A 주식회사는 온라인 쇼핑몰 'C'를 운영하며 판매자들에게 온라인 점포를 제공합니다. 구매자가 상품을 주문·결제할 때 A 주식회사 및 판매자에게 개인정보 제공 동의를 하고, A 주식회사는 이 동의에 근거하여 판매자에게 구매자의 개인정보를 제공합니다. 개인정보보호위원회는 C의 판매자들이 개인정보 보호법상 '개인정보취급자'에 해당한다고 판단하며, 판매자들이 외부에서 C에 접속 시 안전한 인증 수단을 적용하지 않고 단순히 계정(ID)과 비밀번호만으로 접속한 것이 개인정보 보호법 제29조 등을 위반했다고 보았습니다. 이에 개인정보보호위원회는 A 주식회사에 판매자들에 대한 안전한 인증 수단 적용 및 정기적인 교육 실시 등의 시정조치와 840만 원의 과태료를 부과했습니다. A 주식회사는 이 시정명령에 불복하여 취소 소송을 제기했습니다.
온라인 쇼핑몰의 판매자가 쇼핑몰 운영 회사의 지휘·감독을 받아 개인정보를 처리하는 '개인정보취급자'로 보아야 하는지, 아니면 독립적인 '개인정보처리자'(제3자)로 보아야 하는지 여부입니다. 이 분류에 따라 쇼핑몰 운영 회사가 판매자들에 대한 개인정보 안전성 확보 조치 의무를 부담하는지가 결정됩니다.
피고인 개인정보보호위원회가 2021년 6월 25일 원고 A 주식회사에 내린 별지 1 기재 시정명령을 취소한다. 소송비용은 피고가 부담한다.
법원은 개인정보 보호법상 '개인정보취급자'는 개인정보처리자의 지휘·감독을 받아 업무를 집행하는 자를 의미하며, 반드시 고용계약 관계에 한정되지 않더라도 종속적인 관계가 전제되어야 한다고 보았습니다. 온라인 쇼핑몰 'C'의 판매자들은 독립적으로 판매업무를 수행하며 구매자의 개인정보를 처리하는 자로서, A 주식회사가 판매자들에게 개인정보 목적 외 사용 금지 의무를 부과하거나 관리 안내서를 제공하는 것은 계약상 의무 또는 정보 제공에 불과할 뿐 실질적인 지휘·감독이라고 볼 수 없다고 판단했습니다. 또한, 약 111만 명에 이르는 판매자들의 컴퓨터 등에 물리적, 논리적 조치를 강제하는 것이 현실적으로 불가능하거나 과도한 의무를 부과하는 것이라는 점, 판매자를 독립된 개인정보처리자로 보아 직접 규제하는 것이 개인정보 보호에 더 적합하다는 점 등을 종합하여, 판매자를 A 주식회사의 개인정보취급자로 볼 수 없다고 결론 내렸습니다. 따라서 판매자를 개인정보취급자로 전제한 시정명령은 위법하므로 취소되어야 한다고 판결했습니다.
.jpg&w=96&q=100){kind=small}
