동의를 받았는데 위법이 된 이유

무슨 일이 있었나

2011년 홈플러스는 경품 이벤트를 통해 고객 개인정보 약 2,400만 건을 수집하고, 이를 보험사에 판매했습니다. 응모권에는 제3자 제공에 관한 고지가 인쇄되어 있었지만 글씨 크기가 약 1mm 수준이어서 ‘깨알고지’로 불렸습니다.

사건은 9년 가까이 다퉈졌습니다. 대법원은 개인정보보호법 위반을 인정했고, 파기환송을 거친 재상고심에서 벌금 7억 5천만 원이 확정됐습니다. 2024년 5월에는 민사 손해배상 사건에서 대법원 판단이 나왔는데, 배상이 인정된 원고는 극히 일부였습니다.

판결이 바꾼 기준은 무엇인가

하급심은 주로 형식적 동의를 봤습니다. 고지 문구가 존재했는지, 동의 표시가 있었는지입니다. 대법원과 확정된 판결은 실질적 동의를 봤습니다. 경품 이벤트에 참여하는 고객은 자기 정보가 홈플러스에서 쓰일 것으로 기대하지, 보험사에 넘어갈 것으로 기대하지 않는다는 것입니다.

실무자가 오해하기 쉬운 지점은 어디인가

• 개인정보 수집 목적을 구체적으로 적습니다. "경품 이벤트 진행을 위해"라는 표현만으로는 부족합니다. 이벤트의 목적과 개인정보 수집 및 이용의 목적을 각각 특정해야 합니다
• 제3자는 특정해야 합니다. "제휴사에 제공될 수 있습니다"만으로는 참여자가 판단하기 어렵습니다. 누구에게, 무엇을, 왜 주는지가 적혀야 합니다
• 가독성은 형식 요건입니다. 중요한 내용은 명확히 표시해 알아보기 쉽게 해야 합니다. 본문과 같은 크기, 스크롤 없이 읽히는 요약이 안전한 기준입니다
• 민사 배상이 적어도 리스크가 작은 것은 아닙니다. 개별 피해 입증이 어려워 배상 인정 범위는 좁았지만, 형사 처벌과 감독기관 제재, 평판 손실이 본체입니다. 현행 개인정보보호법은 매출액을 기준으로 한 과징금 체계를 두고 있습니다

우리 캠페인에는 어떻게 적용하는가

• 동의 화면의 문안 버전을 관리하고, 어느 버전에 동의했는지를 동의 시각과 함께 기록합니다
• 수집 항목별로 목적, 근거, 보유기간, 파기 시점을 표로 관리하고, 종료 후 실제로 파기합니다
• 고지 가독성 기준을 디자인 단계에서 정합니다. 요약은 본문 크기, 전문은 열기 구조, 필수/선택은 시각적으로 분리
• 브랜드에 데이터를 이관할 때 동의 범위를 함께 넘깁니다. 범위를 모르는 명단은 쓸 수 없는 명단입니다
• 참여자가 예상하지 못할 활용(제휴사 제공, 광고 모수 활용 등)이 있다면 별도 화면과 별도 동의로 분리합니다